Cisco SUDI समजून घेणे: नेटवर्क ॲक्सेस कंट्रोलमधील हार्डवेअर-आधारित डिव्हाइस ओळख

Cisco SUDI समजून घेणे: नेटवर्क ॲक्सेस कंट्रोलमधील हार्डवेअर-आधारित डिव्हाइस ओळख एक Purple तांत्रिक ब्रीफिंग - संपूर्ण पॉडकास्ट स्क्रिप्ट (अंदाजे १० मिनिटे) --- विभाग १: परिचय आणि संदर्भ (अंदाजे १ मिनिट) नमस्कार आणि Purple च्या तांत्रिक ब्रीफिंगमध्ये आपले स्वागत आहे. मी पुढील दहा मिनिटे तुम्हाला Cisco SUDI - Secure Unique Device Identifier - हे प्रत्यक्षात काय आहे, ते तुमच्या नेटवर्क ॲक्सेस कंट्रोल आर्किटेक्चरमध्ये कसे बसते आणि जर तुम्ही मोठ्या प्रमाणावर Cisco इन्फ्रास्ट्रक्चर चालवत असाल तर तुम्हाला याबद्दल काय करणे आवश्यक आहे, याबद्दल माहिती देणार आहे. हे नेटवर्क आर्किटेक्ट्स, IT मॅनेजर्स आणि वेन्यूजमधील CTOs - हॉटेल्स, रिटेल इस्टेट्स, स्टेडियम्स, कॉन्फरन्स सेंटर्स - जिथे तुम्ही एंटरप्राइझ WiFi चालवत आहात आणि तुमच्या नेटवर्कवरील हार्डवेअर नेमके तेच आहे ज्याचा ते दावा करत आहेत याबद्दल खात्री बाळगणे आवश्यक आहे, त्यांच्यासाठी आहे. चला SUDI सोडवत असलेल्या समस्येपासून सुरुवात करूया. कोणत्याही मोठ्या वेन्यू नेटवर्कमध्ये, तुमच्याकडे डझनभर किंवा शेकडो ॲक्सेस पॉइंट्स, स्विचेस आणि कंट्रोलर्स असतात. तुमची सुरक्षा स्थिती ज्या प्रश्नावर अवलंबून असते तो म्हणजे: तुम्हाला कसे माहीत की त्यापैकी प्रत्येक डिव्हाइस हे अस्सल, सुधारित न केलेले Cisco उत्पादन आहे - आणि बनावट, तडजोड केलेले युनिट किंवा वाहतुकीदरम्यान छेडछाड केलेले डिव्हाइस नाही? हीच ती पोकळी आहे जी SUDI भरून काढते. --- विभाग २: तांत्रिक सखोल विश्लेषण (अंदाजे ५ मिनिटे) SUDI म्हणजे Secure Unique Device Identifier. हे एक X.509 व्हर्जन ३ प्रमाणपत्र आहे - हेच प्रमाणपत्र स्वरूप HTTPS आणि TLS मध्ये वापरले जाते - परंतु ते एखाद्या व्यक्तीला किंवा सर्व्हरला जारी करण्याऐवजी, मॅन्युफॅक्चरिंग दरम्यान एका विशिष्ट हार्डवेअरला जारी केले जाते. यामध्ये डिव्हाइसचा उत्पादन आयडेंटिफायर आणि सिरियल नंबर असतो आणि ते Cisco च्या स्वतःच्या पब्लिक की इन्फ्रास्ट्रक्चरमध्ये रुजलेले असते. SUDI ला तुम्ही स्वतः इन्स्टॉल करू शकणाऱ्या सॉफ्टवेअर प्रमाणपत्रापेक्षा काय वेगळे बनवते ते येथे आहे. SUDI प्रमाणपत्र, त्याच्या संबंधित की जोडीसह (key pair), Trust Anchor module किंवा TAm नावाच्या टॅम्पर-रेझिस्टंट चिपमध्ये असते. खाजगी की (private key) त्या चिपच्या आत जनरेट होते आणि ती कधीही बाहेर जात नाही. तुम्ही ती एक्सपोर्ट करू शकत नाही. तुम्ही तिचे क्लोन करू शकत नाही. जर कोणी चिपशी भौतिक छेडछाड केली तर की नष्ट होते. हाच हार्डवेअर रूट ऑफ ट्रस्ट आहे. SUDI ही Cisco ची IEEE 802.1AR मानकाची अंमलबजावणी आहे - जे सुरक्षित डिव्हाइस आयडेंटिफायर्स किंवा DevIDs साठीचे उद्योग मानक आहे. 802.1AR अंतर्गत, उत्पादक-स्थापित क्रेडेंशियलला इनिशियल डिव्हाइस आयडेंटिफायर किंवा IDevID म्हटले जाते. Cisco चे SUDI नेमके तेच आहे - एक IDevID जे Cisco फॅक्टरीमध्ये इन्स्टॉल करते. तुम्ही याला लोकली सिग्निफिकेंट डिव्हाइस आयडेंटिफायर किंवा LDevID सह पूरक करू शकता, जे तुमचे स्वतःचे PKI स्थानिक ऑथरायझेशन पॉलिसींसाठी जारी करते. आता, हे नेटवर्क ॲक्सेस कंट्रोलमध्ये कसे जोडले जाते? सर्वात सामान्य एकत्रीकरण बिंदू म्हणजे IEEE 802.1X - पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल मानक. जेव्हा एखादा Cisco ॲक्सेस पॉइंट किंवा स्विच ऑनलाइन येतो, तेव्हा तो EAP-TLS का वापर करून RADIUS सर्व्हरला - सामान्यतः Cisco ISE, Identity Services Engine - त्याचे SUDI प्रमाणपत्र सादर करू शकतो, जे ट्रान्सपोर्ट लेयर सिक्युरिटीसह एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल आहे. RADIUS सर्व्हर Cisco च्या पब्लिक सर्टिफिकेट ऑथॉरिटीच्या विरूद्ध प्रमाणपत्राची पडताळणी करतो, डिव्हाइस अस्सल असल्याची खात्री करतो आणि नंतर योग्य नेटवर्क पॉलिसी लागू करतो. हे MAC address bypass पेक्षा लक्षणीयरीत्या मजबूत आहे, जी बहुतेक नेटवर्क इन्फ्रास्ट्रक्चर डिव्हाइसेससाठी वापरत असलेली फॉलबॅक पद्धत आहे. MAC ॲड्रेसेस एका मिनिटापेक्षा कमी वेळात स्पूफ (नक्कल) केले जाऊ शकतात. टॅम्पर-रेझिस्टंट चिपमधील हार्डवेअर-बाउंड प्रमाणपत्राची डिव्हाइसचे भौतिक नुकसान केल्याशिवाय नक्कल केली जाऊ शकत नाही. वेन्यूच्या संदर्भात, हे तीन कारणांमुळे महत्त्वाचे आहे. पहिले, हे तुमच्या नेटवर्कमध्ये अनधिकृत ॲक्सेस पॉइंट्स सामील होण्याचा धोका काढून टाकते. बनावट किंवा अनधिकृत डिव्हाइस वैध SUDI सादर करू शकत नाही. दुसरे, हे स्वयंचलित, Zero Touch Provisioning सक्षम करते - एक नवीन डिव्हाइस तुमच्या वेन्यूवर पाठवले जाते, पॉवर ऑन होते, त्याचे SUDI सादर करते आणि तुमची व्यवस्थापन प्रणाली कॉन्फिगरेशन पुश करण्यापूर्वी तुमच्या इन्व्हेंटरीच्या विरूद्ध त्याची पडताळणी करते. कोणताही मॅन्युअल हस्तक्षेप नाही. तिसरे, हे तुम्हाला क्रिप्टोग्राफिकदृष्ट्या पडताळणी करण्यायोग्य ऑडिट ट्रेल देते. तुमच्या नेटवर्कवर ऑथेंटिकेट झालेल्या प्रत्येक डिव्हाइसने एका प्रमाणपत्रासह तसे केले जे सिद्ध करते की ते एक विशिष्ट, नामांकित Cisco उत्पादन आहे. मला Trust Anchor module बद्दल थोड्या अधिक तपशीलात बोलू द्या, कारण हा पाया आहे ज्यावर इतर सर्व काही अवलंबून आहे. TAm ही एक प्रोप्रायटरी Cisco चिप आहे जी तीन गोष्टी प्रदान करते: SUDI आणि कीजसाठी नॉन-व्होलाटाइल सुरक्षित स्टोरेज, रँडम नंबर जनरेशनसह क्रिप्टोग्राफिक सेवा आणि हार्डवेअर फिंगरप्रिंटिंग. शेवटचे नोंद घेण्यासारखे आहे - Cisco मॅन्युफॅक्चरिंग दरम्यान डिव्हाइसच्या महत्त्वपूर्ण हार्डवेअर घटकांचे क्रिप्टोग्राफिक फिंगरप्रिंट रेकॉर्ड करते आणि ते फिंगरप्रिंट TAm मध्ये स्टोअर करते. जेव्हा डिव्हाइस बूट होते, तेव्हा UEFI फर्मवेअर आढळलेल्या हार्डवेअरच्या नवीन फिंगरप्रिंटची गणना करते आणि TAm मधील मास्टर फिंगरप्रिंटशी त्याची तुलना करते. फिंगरप्रिंट्स जुळत नसल्यास, डिव्हाइस बूट होणार नाही. हे वाहतुकीदरम्यान हार्डवेअर छेडछाड शोधते - मोठ्या वेन्यू तैनातीसाठी ही एक खरी चिंता आहे जिथे हार्डवेअर इन्स्टॉलेशनपूर्वी अनेक हातांमधून जाऊ शकते. एक ऑपरेशनल समस्या ज्याबद्दल तुम्हाला माहिती असणे आवश्यक आहे: मे २०१९ पूर्वी जारी केलेली SUDI प्रमाणपत्रे एकतर मॅन्युफॅक्चरिंग तारखेपासून दहा वर्षांनी किंवा १४ मे २०२९ रोजी, यापैकी जे आधी असेल तेव्हा कालबाह्य होतात. Cisco ने SUDI-2099 नावाच्या प्रमाणपत्रांच्या नवीन पिढीसह याचे निराकरण केले आहे, जे डिसेंबर २०९९ पर्यंत वैध आहे. जर तुम्ही २०१९ पूर्वी मॅन्युफॅक्चर केलेले Catalyst 9000 सिरीजचे हार्डवेअर चालवत असाल, तर तुम्हाला आता तुमच्या SUDI च्या समाप्ती तारखा तपासण्याची गरज आहे. IOS-XE वर 'show crypto pki certificate' ही कमांड आहे. CISCO_IDEVID_SUDI ट्रस्टपॉइंट शोधा आणि समाप्ती तारीख तपासा. जर तुम्ही Catalyst 9200 वर असाल, तर तुम्ही योग्य २०९९ प्रमाणपत्र वापरत आहात याची खात्री करण्यासाठी IOS-XE १७.१२.२ किंवा त्यानंतरच्या आवृत्तीवर अपग्रेड करा. --- विभाग ३: अंमलबजावणीच्या शिफारसी आणि अडचणी (अंदाजे २ मिनिटे) मी तुम्हाला व्यावहारिक अंमलबजावणीचे चित्र देतो. जर तुम्ही वेन्यू वातावरणात SUDI-आधारित ऑथेंटिकेशन तैनात करत असाल, तर खालील क्रम प्रभावी ठरतो. तुमच्या RADIUS इन्फ्रास्ट्रक्चरपासून सुरुवात करा. जर तुम्ही आधीच Cisco इकोसिस्टममध्ये असाल तर Cisco ISE ही नैसर्गिक निवड आहे, परंतु EAP-TLS ला सपोर्ट करणारा आणि बाह्य CA च्या विरूद्ध पडताळणी करू शकणारा कोणताही RADIUS सर्व्हर काम करेल. तुम्हाला Cisco चे root CA आणि ACT2 SUDI CA प्रमाणपत्रे तुमच्या RADIUS ट्रस्ट स्टोअरमध्ये इंपोर्ट करावी लागतील. हे Cisco च्या PKI पोर्टलवरून सार्वजनिकरित्या उपलब्ध आहेत. त्यानंतर, इन्फ्रास्ट्रक्चर डिव्हाइसेससाठी प्रमाणपत्र-आधारित ऑथेंटिकेशन आवश्यक करण्यासाठी तुमची 802.1X पॉलिसी कॉन्फिगर करा. याला तुमच्या एंड-युझर ऑथेंटिकेशन पॉलिसीपासून वेगळे करा - कर्मचारी आणि अतिथी ऑथेंटिकेशन फ्लो वेगळे आहेत आणि ते ISE मधील वेगवेगळ्या पॉलिसी सेटवर असावेत. नवीन तैनातीसाठी, Zero Touch Provisioning सक्षम करा. तुमची network व्यवस्थापन प्रणाली - Cisco DNA Centre किंवा Catalyst Centre - कॉन्फिगरेशन पुश करण्यापूर्वी डिव्हाइसची ओळख सत्यापित करण्यासाठी SUDI चा वापर करू शकते. हे मॅन्युअल स्टेजिंग प्रक्रिया काढून टाकते आणि प्रोव्हिजनिंगचा वेळ प्रति डिव्हाइस तासांवरून मिनिटांवर आणते. आता, अडचणींबद्दल. सर्वात सामान्य अडचण जी मी पाहतो ती म्हणजे एकाच पोर्टवर SUDI ऑथेंटिकेशन आणि MAC address bypass एकत्र करणे. जर SUDI अयशस्वी झाल्यावर तुम्ही MAB वर परत गेलात, तर तुम्ही सुरक्षा मॉडेल कमकुवत केले आहे. एक स्पष्ट पॉलिसी परिभाषित करा: SUDI-सक्षम डिव्हाइसेसनी SUDI द्वारेच ऑथेंटिकेट केले पाहिजे, पूर्णविराम. नॉन-SUDI डिव्हाइसेस मॅन्युअल पुनरावलोकनासाठी प्रलंबित असलेल्या क्वारंटाईन VLAN मध्ये जातात. दुसरी अडचण म्हणजे प्रमाणपत्राची समाप्ती. तुमच्या संपूर्ण इस्टेटमध्ये SUDI च्या समाप्ती तारखांसाठी आत्ताच मॉनिटरिंग सेट करा. तुमचे ॲक्सेस पॉइंट्स आता ऑथेंटिकेट करू शकत नाहीत हे शोधण्यासाठी सेवा खंडित होण्याची वाट पाहू नका. Purple चे प्लॅटफॉर्म एकाच डॅशबोर्डमध्ये डिव्हाइसच्या आरोग्याचे संकेत - ऑथेंटिकेशन स्थितीसह - दर्शवण्यासाठी Cisco Meraki आणि इतर हार्डवेअर विक्रेत्यांशी समाकलित होते, ज्यामुळे मोठ्या प्रमाणावर अशा प्रकारचे सक्रिय मॉनिटरिंग व्यावहारिक बनते. तिसरी अडचण म्हणजे स्कोप क्रीप. SUDI हार्डवेअर डिव्हाइस ऑथेंटिकेट करते. ते त्या डिव्हाइसद्वारे कनेक्ट होणाऱ्या वापरकर्त्याला ऑथेंटिकेट करत नाही. तुम्हाला अजूनही अतिथी, कर्मचारी आणि रहिवाशांसाठी स्वतंत्र ओळख स्तराची आवश्यकता आहे. तिथेच Purple सारखा प्लॅटफॉर्म काम करतो - आम्ही मानवी ओळख स्तर, संमती कॅप्चर, अतिथी ट्रॅफिकसाठी VLAN असाइनमेंट आणि ॲनालिटिक्स हाताळतो, तर SUDI खालील इन्फ्रास्ट्रक्चर स्तर हाताळतो. --- विभाग ४: जलद प्रश्न आणि उत्तरे (अंदाजे १ मिनिट) मी नियमितपणे विचारल्या जाणाऱ्या तीन प्रश्नांवरून जातो. SUDI माझ्या विद्यमान PKI ची जागा घेते का? नाही. SUDI हे उत्पादक-स्थापित IDevID आहे. हे सिद्ध करते की डिव्हाइस अस्सल Cisco हार्डवेअर आहे. तुमचे एंटरप्राइझ PKI इतर सर्व गोष्टींसाठी LDevIDs आणि वापरकर्ता प्रमाणपत्रे जारी करते. ते समांतर काम करतात. मी नॉन-Cisco हार्डवेअरवर SUDI वापरू शकतो का? नाही. SUDI हे Cisco-विशिष्ट आहे. HPE Aruba कडे IAP प्रोव्हिजनिंग प्रमाणपत्रे नावाचे समतुल्य आहे. Ruckus आणि Juniper Mist कडे स्वतःची डिव्हाइस ओळख यंत्रणा आहे. मूळ मानक - IEEE 802.1AR - विक्रेता-तटस्थ आहे, परंतु प्रत्येक उत्पादक त्याची अंमलबजावणी वेगळ्या पद्धतीने करतो. SUDI प्रमाणपत्र कालबाह्य झाल्यावर काय होते? ऑथेंटिकेशनसाठी SUDI वर अवलंबून असलेल्या सेवा - HTTPS, प्रमाणपत्र ऑथेंटिकेशनसह SSH, Zero Touch Provisioning - अयशस्वी होतील. डिव्हाइस स्वतः काम करत राहते, परंतु ते यापुढे क्रिप्टोग्राफिक पद्धतीने त्याची ओळख सिद्ध करू शकत नाही. म्हणूनच SUDI-2099 स्थलांतर महत्त्वाचे आहे. --- विभाग ५: सारांश आणि पुढील पावले (अंदाजे १ मिनिट) थोडक्यात सांगायचे तर: Cisco SUDI तुम्हाला हार्डवेअर-रुजलेली डिव्हाइस ओळख देते ज्याची नक्कल, क्लोन किंवा एक्सपोर्ट केले जाऊ शकत नाही. हा एका विश्वासार्ह इन्फ्रास्ट्रक्चर स्तराचा पाया आहे. IEEE 802.1X आणि चांगल्या प्रकारे कॉन्फिगर केलेल्या RADIUS पॉलिसीसह एकत्रित केल्यास, हे अनधिकृत डिव्हाइसचा धोका काढून टाकते आणि मोठ्या प्रमाणावर स्वयंचलित प्रोव्हिजनिंग सक्षम करते. तुमच्या तीन त्वरित कृती: एक, 'show crypto pki certificate' चा वापर करून SUDI च्या समाप्ती तारखांसाठी तुमच्या Cisco इस्टेटचे ऑडिट करा. दोन, तुमच्या RADIUS ट्रस्ट स्टोअरमध्ये Cisco चे root CA इंपोर्ट करा आणि इन्फ्रास्ट्रक्चर डिव्हाइसेससाठी EAP-TLS पॉलिसी कॉन्फिगर करा. तीन, तुमची इन्फ्रास्ट्रक्चर ऑथेंटिकेशन पॉलिसी तुमच्या एंड-युझर ऑथेंटिकेशन पॉलिसीपासून वेगळी करा - ते वेगवेगळ्या उद्देशांसाठी काम करतात आणि त्यांचे व्यवस्थापन स्वतंत्रपणे केले पाहिजे. जर तुम्हाला अतिथी, कर्मचारी आणि रहिवाशांसाठी ओळख-आधारित नेटवर्क सेगमेंटेशन प्रदान करण्यासाठी Purple Cisco Meraki आणि इतर हार्डवेअर विक्रेत्यांशी कसे समाकलित होते याबद्दल अधिक सखोल माहिती हवी असल्यास, purple.ai ला भेट द्या किंवा या एपिसोडच्या खाली लिंक केलेले संबंधित मार्गदर्शक वाचा. ऐकल्याबद्दल धन्यवाद. मी तुम्हाला पुढील ब्रीफिंगमध्ये भेटेन. --- स्क्रिप्टचा शेवट