EAP-TLS विरुद्ध PEAP: तुमच्या नेटवर्कसाठी कोणते ऑथेंटिकेशन प्रोटोकॉल योग्य आहे?
तुमच्या नेटवर्कवरील प्रत्येक डिव्हाइस ग्रुपने कोणती 802.1X पद्धत वापरली पाहिजे हे ठरवा: तुम्ही इनरोल करू शकत असलेल्या कॉर्पोरेट मालकीच्या उपकरणांसाठी EAP-TLS, वैयक्तिक आणि कंत्राटदारांच्या उपकरणांसाठी लॉक केलेल्या सर्व्हर सर्टिफिकेट व्हॅलिडेशनसह PEAP, आणि पाहुण्यांसाठी Captive Portal किंवा OpenRoaming. तुम्ही डाउनटाइमशिवाय एकाच RADIUS सर्व्हिसवर दोन्ही पद्धती चालवणारे मायग्रेशन देखील प्लॅन करू शकता.
Video overview
हे मार्गदर्शक ऐका
पॉडकास्ट ट्रान्सक्रिप्ट पहा
आमच्या मुख्य मालिकेचा भाग: एंटरप्राइज WiFi सुरक्षा मार्गदर्शक →
EAP-TLS vs PEAP authentication decision tool
Evaluate your directory infrastructure, device ownership mix, and security compliance to determine the optimal 802.1X wireless protocol for your organisation.
Determines credential protocols supported at directory level.
Governs certificate provisioning capability without user intervention.
Sets threshold for password elimination and hardware TPM isolation.
EAP-TLS (Mutual Certificate-Based 802.1X)
Eliminate password-based attacks with cryptographic device certificates.
Evil Twin & MITM resistance
Immune to Evil Twin rogue APs: client and server each prove possession of a private key, so there is no reusable password for a rogue AP to capture.
Helpdesk & credential friction
0% password-related WiFi lockouts. Certificates renew silently in the background via MDM.
Microsoft Entra ID does not support legacy password hashing (NTLM/MSCHAPv2) natively. EAP-TLS with Microsoft Intune Cloud PKI / SCEP and Cloud RADIUS provides the direct native integration path.
Migrate your enterprise WiFi to certificate-based 802.1X
Connect with Purple technical architects to design your zero-trust wireless authentication, integrate Cloud RADIUS with Microsoft Entra ID, and eliminate credential exposure.
जेव्हा तुम्ही डिव्हाइसेस नियंत्रित करता तेव्हा EAP-TLS निवडा. प्रत्येक डिव्हाइस प्रमाणपत्रासह स्वतःची ओळख सिद्ध करते, त्यामुळे फिशिंग किंवा क्रॅक करण्यासाठी कोणताही पासवर्ड नसतो. जेव्हा तुम्ही वैयक्तिक डिव्हाइसेससारख्या ठिकाणी प्रमाणपत्रे जारी करू शकत नाही, तेव्हा PEAP निवडा आणि प्रत्येक क्लायंटवर सर्व्हर प्रमाणपत्र व्हॅलिडेशन अनिवार्य करा. यापैकी कोणतेही अज्ञात पाहुण्यांसाठी योग्य नाही, त्यामुळे त्याऐवजी कॅप्टिव्ह पोर्टल किंवा OpenRoaming वापरा.
तुम्ही EAP-TLS की PEAP निवडावे?
दोन्ही प्रोटोकॉल IEEE 802.1X च्या अंतर्गत चालतात, जे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठीचे मानक आहे. 802.1X ॲक्सेस पॉइंटने ट्रॅफिक फॉरवर्ड करण्यापूर्वी डिव्हाइसला स्वतःची ओळख सिद्ध करण्यास भाग पाडते. ते पुरावे EAP (Extensible Authentication Protocol) संदेश म्हणून RADIUS सर्व्हरकडे जातात, जी सर्व्हिस प्रत्येक कनेक्शन मंजूर किंवा नाकारते.
EAP-TLS आणि PEAP हे तो पुरावा वाहून नेण्याचे दोन मार्ग आहेत. फरक हा आहे की डिव्हाइस काय सादर करते.
- EAP-TLS हे RFC 5216 मध्ये परिभाषित केले आहे आणि RFC 9190 मध्ये TLS 1.3 साठी अपडेट केले आहे. सर्व्हर आणि डिव्हाइस प्रत्येकजण एक डिजिटल प्रमाणपत्र सादर करतात. ओळख ही एका खाजगी की वर आधारित असते जी डिव्हाइस कधीही सोडत नाही.
- PEAP (Protected EAP) फक्त सर्व्हरकडे प्रमाणपत्राची मागणी करते. डिव्हाइस सर्व्हरशी एक एन्क्रिप्टेड टनेल तयार करते, त्यानंतर त्यामध्ये युझरनेम आणि पासवर्ड पाठवते, जे जवळजवळ नेहमीच MSCHAPv2 सह असते.
थोडक्यात शिफारस:
- मॅनेज केलेले लॅपटॉप, टॅब्लेट, स्कॅनर आणि पेमेंट डिव्हाइसेस: EAP-TLS.
- वैयक्तिक फोन आणि कंत्राटदारांचे डिव्हाइसेस जे तुम्ही एनरोल करू शकत नाही: PEAP, सर्व्हर प्रमाणपत्र व्हॅलिडेशन लॉक-ऑनसह.
- पाहुणे, चाहते, प्रवासी आणि ग्राहक: कोणतेही नाही. Guest WiFi द्वारे कॅप्टिव्ह पोर्टल किंवा OpenRoaming वापरा.
बहुतेक संस्था एकाच RADIUS सर्व्हिसवर दोन्ही पद्धती चालवतात, ज्या डिव्हाइसच्या मालकीनुसार विभक्त केल्या जातात. या मार्गदर्शकाचा उर्वरित भाग ती रेषा कुठे आहे आणि प्रत्येक बाजू चालवण्यासाठी किती खर्च येतो हे दाखवतो.
व्यवहारात EAP-TLS आणि PEAP कसे भिन्न आहेत?
EAP-TLS हँडशेक कसे कार्य करते
RADIUS सर्व्हर त्याचे प्रमाणपत्र प्रथम पाठवते. डिव्हाइस विश्वासू रूट सर्टिफिकेट ॲथॉरिटी (CA) विरुद्ध ते तपासते. त्यानंतर डिव्हाइस स्वतःचे प्रमाणपत्र पाठवते आणि मॅचिंग प्रायव्हेट की त्याच्याकडे असल्याचे सिद्ध करते.
सर्व्हर डिव्हाइस प्रमाणपत्र वैध आहे आणि ते रद्द केले गेले नाही याची पुष्टी करतो. ते सर्टिफिकेट रिव्होकेशन लिस्ट (CRL) किंवा OCSP (Online Certificate Status Protocol, RFC 6960) सह रिव्होकेशन तपासते. त्यानंतरच ॲक्सेस पॉइंट डिव्हाइसला प्रवेश देतो.
कोणत्याही टप्प्यावर कोणताही पासवर्ड नेटवर्कवरून जात नाही. फिश केलेला पासवर्ड नेटवर्क उघडू शकत नाही, कारण नेटवर्क कधीही पासवर्ड मागत नाही.
PEAP हँडशेक कसे कार्य करते
RADIUS सर्व्हर त्याचे प्रमाणपत्र पाठवते आणि डिव्हाइस ते व्हॅलिडेट करते. दोन्ही बाजू TLS टनेल तयार करतात. त्या टनेलच्या आत, डिव्हाइस ॲक्टिव्ह डिरेक्टरी सारख्या डिरेक्टरीविरुद्ध MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2) चालवते. क्रेडेंशियल्स जुळल्यास, डिव्हाइसला ॲक्सेस मिळतो.
Microsoft, Cisco आणि RSA Security यांनी मिळून PEAP विकसित केले. हे कधीही IETF मानक बनले नाही. Microsoft त्याच्या MS-PEAP प्रोटोकॉल स्पेसिफिकेशनमध्ये बहुतेक डिव्हाइसेस वापरत असलेली आवृत्ती प्रकाशित करते.
सर्व्हर प्रमाणपत्र व्हॅलिडेशन PEAP ची सुरक्षितता का ठरवते
टनेल पासवर्डचे संरक्षण केवळ तेव्हाच करते जेव्हा डिव्हाइस दुसऱ्या टोकाला कोण आहे याची तपासणी करते. ती तपासणी वगळा, आणि एक आक्रमणकर्ता "evil twin" म्हणून ओळखल्या जाणाऱ्या बनावट एक्सेस पॉईंटवरून तुमच्या नेटवर्कचे नाव प्रसारित करू शकतो. त्यानंतर डिव्हाइस आक्रमणकर्त्यासोबत MSCHAPv2 पूर्ण करते आणि चॅलेंज व रिस्पॉन्स सोपवून देते.
2012 मध्ये, Microsoft Security Advisory 2743314 ने चेतावणी दिली होती की unencapsulated MSCHAPv2 एक्सचेंज क्रॅक केले जाऊ शकतात. यावर Microsoft चा उपाय म्हणजे सर्व्हर प्रमाणपत्र व्हॅलिडेशन अनिवार्य करून त्यांना PEAP मध्ये रॅप करणे हा होता. तो नियम आजही कायम आहे.
EAP-TLS मध्ये ही कमकुवतता नसते. बनावट एक्सेस पॉईंटपर्यंत पोहोचणाऱ्या डिव्हाइसकडे देण्यासारखा कोणताही पुन्हा वापरण्यायोग्य पासवर्ड नसतो.
EAP-TLS विरुद्ध PEAP तुलना
| EAP-TLS | PEAP (MSCHAPv2) | |
|---|---|---|
| डिव्हाइस काय सादर करते | स्वतःचे प्रमाणपत्र आणि प्रायव्हेट की | TLS टनेलच्या आत युझरनेम आणि पासवर्ड |
| आवश्यक प्रमाणपत्रे | सर्व्हर आणि प्रत्येक क्लायंट डिव्हाइस | केवळ सर्व्हर |
| स्पष्टीकरण देणारे तपशील | IETF RFC 5216 आणि RFC 9190 | Microsoft MS-PEAP तपशील |
| फिशिंग झालेल्या किंवा पुन्हा वापरलेल्या पासवर्डचा धोका | काहीही नाही - कोणताही पासवर्ड अस्तित्वात नसतो | पूर्ण - पासवर्ड हेच क्रेडेंशियल असते |
| Evil twin चा धोका | कमी - कॅप्चर करण्यासाठी कोणताही पुन्हा वापरण्यायोग्य गुपित पासवर्ड नसतो | सर्व्हर व्हॅलिडेशन बंद असल्यास जास्त |
| WPA3-Enterprise 192-bit मोड | सपोर्टेड | सपोर्टेड नाही |
| Windows Credential Guard | अप्रभावित | सेव्ह केलेले MSCHAPv2 क्रेडेंशियल्स ब्लॉक करते |
| आवश्यक इन्फ्रास्ट्रक्चर | RADIUS, PKI, MDM किंवा ऑनबोर्डिंग टूल | RADIUS, सर्व्हर प्रमाणपत्र, डिरेक्टरी |
| गमावलेले एक डिव्हाइस रिव्होक करणे | ते एक प्रमाणपत्र रिव्होक करा | अकाउंट रीसेट करा, ज्यामुळे त्या व्यक्तीच्या सर्व उपकरणांवर परिणाम होतो |
| पासवर्ड बदलाचा परिणाम | काहीही नाही | प्रत्येक स्टोअर केलेल्या WiFi प्रोफाईलला अपडेट करावे लागते |
| सर्वोत्तम योग्य | कॉर्पोरेटच्या मालकीचे ताफ्यातील उपकरणांचे संच, पेमेंट आणि क्लिनिकल डिव्हाइसेस | वैयक्तिक डिव्हाइसेस, कॉन्ट्रॅक्टर्स, PKI नसलेल्या मालमत्ता |
निर्णय बदलणारे दोन प्लॅटफॉर्म बदल
Windows. Microsoft च्या Credential Guard दस्तऐवजीकरणामध्ये नमूद केले आहे की जेव्हा Credential Guard सुरू असतो तेव्हा MSCHAPv2-आधारित WiFi आणि VPN कनेक्शन्स सेव्ह केलेले क्रेडेंशियल्स वापरू शकत नाहीत. व्हर्जन 22H2 पासून पात्र Windows 11 Enterprise आणि Education डिव्हाइसेसवर Credential Guard बाय डीफॉल्ट सक्षम केला आहे. Microsoft EAP-TLS सारख्या प्रमाणपत्र-आधारित पद्धतींकडे वळण्याची शिफारस करते.
Android. अलीकडील Android व्हर्जनने सर्व्हर प्रमाणपत्र व्हॅलिडेशन वगळण्याचा पर्याय काढून टाकला आहे. PEAP प्रोफाईलमध्ये आता CA प्रमाणपत्र आणि सर्व्हर डोमेनचे नाव असणे आवश्यक आहे. यामुळे evil twin मधील त्रुटी बंद होते, परंतु यामुळे कर्मचाऱ्यांसाठी मॅन्युअल सेटअप अधिक कठीण होते.
EAP-TLS निवडणे कधी योग्य ठरते?
जेव्हा तीन अटी पूर्ण होतात तेव्हा EAP-TLS निवडा. डिव्हाइसेस तुमच्या मालकीची आहेत, तुम्ही त्यांच्यावर कॉन्फिगरेशन पुश करू शकता, आणि पासवर्ड हॅक झाल्यास वास्तविक नुकसान होऊ शकते.
- Microsoft Intune सारख्या MDM (मोबाईल डिव्हाइस मॅनेजमेंट) प्लॅटफॉर्मद्वारे व्यवस्थापित केले जाणारे कॉर्पोरेट-मालकीचे लॅपटॉप.
- PCI-DSS च्या कव्हरेजमधील नेटवर्कवरील पॉईंट-ऑफ-सेल टर्मिनल्स आणि हँडहेल्ड स्कॅनर्स.
- Healthcare मधील क्लिनिकल टॅब्लेट आणि कार्ट्स, जिथे सामायिक केलेला वॉर्ड पासवर्ड हा कायमस्वरूपी धोका असतो.
- हॉटेल्समधील बॅक-ऑफिस, फ्रंट-डेस्क आणि हाऊसकीपिंग डिव्हाइसेस.
- WPA3-Enterprise 192-bit मोडसाठी तयार केलेले नेटवर्क, जे WPA3 स्पेसिफिकेशन EAP-TLS सायफर सूटशी जोडते.
सर्टिफिकेट्समुळे ऑफबोर्डिंग देखील अचूक होते. एक सर्टिफिकेट रिव्होक करा आणि एका डिव्हाइसचा ॲक्सेस संपतो, तर त्या व्यक्तीची इतर डिव्हाइसेस काम करत राहतात. हे तुमच्या MDM आणि डिरेक्टरीमधील जॉइनर्स, मुव्हर्स आणि लीव्हर्सशी तंतोतंत जुळते.
प्रायव्हेट कीज डिव्हाइसच्या TPM (ट्रस्टेड प्लॅटफॉर्म मॉड्यूल) मध्ये किंवा हार्डवेअर सपोर्ट करत असलेल्या ठिकाणी सिक्युअर एन्क्लेव्हमध्ये नॉन-एक्सपोर्टेबल म्हणून स्टोअर करा. जे सर्टिफिकेट डिव्हाइसवरून कॉपी केले जाऊ शकत नाही ते इतरत्र पुन्हा वापरले जाऊ शकत नाही.
सरावित सीनॅरिओ: 30-प्रॉपर्टी असलेला हॉटेल ग्रुप
या मार्गदर्शकातील सीनॅरिओ हे सामान्य डिप्लॉयमेंट्सचे एकत्रित रूप आहेत, कोणत्याही विशिष्ट ग्राहकाचे निकाल नाहीत.
परिस्थिती. एक हॉटेल ग्रुप प्रत्येकी सुमारे 200 खोल्यांच्या 30 प्रॉपर्टीज चालवतो. बॅक-ऑफिस लॅपटॉप्स, हाऊसकीपिंग टॅब्लेट्स आणि फ्रंट-डेस्क PCs एकाच Staff WiFi नेटवर्कचा वापर करतात. डिव्हाइसेस काही सामायिक Active Directory खाती वापरून PEAP सह साइन इन करतात. जेव्हा एखादा टॅब्लेट गहाळ होतो, तेव्हा IT टीम सामायिक पासवर्ड रिसेट करते आणि तो वापरणाऱ्या प्रत्येक डिव्हाइसला पुन्हा कॉन्फिगर करते.
काय केले गेले. प्रत्येक डिव्हाइस आधीपासूनच MDM मध्ये एनरोल केलेले होते. टीमने क्लाउड PKI (पब्लिक की इन्फ्रास्ट्रक्चर, सर्टिफिकेट्स इश्यू आणि रिव्होक करणारी सिस्टीम) उभी केली. त्यांनी SCEP (सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल, RFC 8894) वापरून डिव्हाइस सर्टिफिकेट्स पुश केले. त्यानंतर Staff WiFi प्रोफाईल EAP-TLS वर स्विच झाली. कटओव्हर दरम्यान समान RADIUS सर्व्हिसवर PEAP लाइव्ह राहिले. डायनॅमिक VLAN असाइनमेंटने हाऊसकीपिंग टॅब्लेट्सना फायनान्स लॅपटॉप्सपेक्षा वेगळ्या सेगमेंटवर ठेवले.
निकाल. सामायिक WiFi खाती शून्यावर आली. हरवलेल्या टॅब्लेटसाठी आता डझनभर डिव्हाइसेसवर पासवर्ड रिसेट करण्याऐवजी फक्त एक सर्टिफिकेट रिव्होकेशन करावे लागते. पासवर्ड रोटेशनमुळे आता WiFi मध्ये व्यत्यय येत नाही, कारण कोणताही WiFi पासवर्ड शिल्लक उरलेला नाही. हॉस्पिटॅलिटी नेटवर्कबद्दल अधिक माहिती आमच्या Hotels पेजवर आहे.
PEAP केव्हा योग्य पर्याय आहे?
जेव्हा तुम्ही डिव्हाइसवर सर्टिफिकेट ठेवू शकत नाही आणि साइन इन करणाऱ्या व्यक्तीचे डिरेक्टरी अकाउंट असते, तेव्हा PEAP निवडा.
- BYOD (ब्रिंग युअर ओन डिव्हाइस) पॉलिसीअंतर्गत वैयक्तिक फोनवरील कर्मचारी, जिथे MDM एनरोलमेंट स्वीकार्य नाही.
- अल्पकालीन खाती असलेले कंत्राटदार, तात्पुरते इव्हेंट कर्मचारी आणि एजन्सी कामगार.
- Active Directory असलेले पण PKI नसलेले परिसर, EAP-TLS कडे जाण्यातील एक तात्पुरती पायरी म्हणून.
PEAP या प्रकरणांसाठी केवळ तीन नियंत्रणे लागू असतानाच स्वीकार्य आहे.
- प्रत्येक डिव्हाइसवर सर्व्हर सर्टिफिकेट व्हॅलिडेशन लॉक करा. ट्रस्टेड CA आणि अचूक सर्व्हर नाव नमूद करा. हे ग्रुप पॉलिसी, MDM प्रोफाईल किंवा ऑनबोर्डिंग टूलद्वारे डिप्लॉय करा, कधीही मॅन्युअली करू नका.
- सर्व्हर सर्टिफिकेट प्रेडिक्टेबल ठेवा. तुमच्या डिव्हाइसेसचा ज्या CA वर आधीपासून विश्वास आहे तिथून ते इश्यू करा आणि रिन्यूअल दरम्यान सर्व्हरचे नाव स्थिर ठेवा.
- डिरेक्टरी पासवर्ड मजबूत करा. टनेलच्या आतील पासवर्ड जितका मजबूत असेल तितकाच PEAP मजबूत असतो. लांबीची अट सक्तीची करा आणि डिरेक्टरीमध्ये लीक झालेले किंवा धोक्यात आलेले पासवर्ड्स ब्लॉक करा.
सरावित सीनॅरिओ: हंगामी कर्मचाऱ्यांसह कॉन्फरन्स सेंटर
परिस्थिती. शहराच्या मध्यभागातील एक कॉन्फरन्स आणि इव्हेंट व्हेन्यू प्रत्येक गर्दीच्या हंगामात सुमारे 300 तात्पुरत्या कर्मचाऱ्यांना कामावर ठेवते. ते रोस्टरिंग आणि रेडिओ ॲप्ससाठी त्यांचे स्वतःचे फोन वापरतात. व्हेन्यू त्यांना त्यांच्या वैयक्तिक फोनवर MDM मध्ये एनरोल करण्यास सांगू शकत नाही. तोपर्यंत, स्टाफ रूमच्या नोटिसबोर्डवर एक लटकवलेला सामायिक WPA2-Personal पासवर्ड वापरला जात होता.
काय केले गेले. IT ने प्रत्येक तात्पुरत्या कर्मचाऱ्यासाठी समाप्ती तारीख असलेले एक डिरेक्टरी खाते तयार केले. Staff WiFi PEAP वर हलवले गेले. एका वन-टाइम ऑनबोर्डिंग प्रोफाईलने प्रत्येक फोनवर CA आणि सर्व्हरचे नाव निश्चित केले. कराराच्या समाप्ती तारखेला खाती आपोआप निष्क्रिय होतात. उपस्थित राहणारे लोक स्वतंत्र Captive Portal नेटवर्कवरच राहिले.
निकाल. सामायिक पासवर्ड बंद करण्यात आला. सोडणारे कर्मचारी आता पुढील पासवर्ड बदलाच्या वेळी नाही, तर त्यांच्या समाप्तीच्या तारखेलाच प्रवेश गमावतात. प्रत्येक कर्मचाऱ्याचे कनेक्शन RADIUS लॉगमध्ये एका ठराविक नावाच्या खात्याशी जोडले जाते, ज्याचे सुरक्षा पथक प्रत्येक इव्हेंटनंतर ऑडिट करू शकते.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.
EAP-TLS आणि PEAP चालवण्यासाठी किती खर्च येतो?
कोणत्याही प्रोटोकॉलसाठी लायसन्स फी नाही. दोन्ही Windows, macOS, iOS, Android आणि ChromeOS मध्ये तयार केलेले आहेत. खर्च इन्फ्रास्ट्रक्चर आणि कर्मचाऱ्यांच्या वेळेमध्ये असतो.
| खर्चाची बाब | EAP-TLS | PEAP |
|---|---|---|
| RADIUS सेवा | आवश्यक | आवश्यक |
| RADIUS सर्व्हर प्रमाणपत्र | आवश्यक, CA च्या वेळापत्रकानुसार नूतनीकरण केले जाते | आवश्यक, CA च्या वेळापत्रकानुसार नूतनीकरण केले जाते |
| क्लायंट प्रमाणपत्रे जारी करण्यासाठी PKI | आवश्यक, ऑन-प्रीमिसस किंवा क्लाउड | आवश्यक नाही |
| MDM किंवा ऑनबोर्डिंग टूल | पायलटच्या पलीकडे आवश्यक | शिफारस केलेले, सर्व्हर व्हॅलिडेशन सक्तीचे करण्यासाठी |
| क्लायंट प्रमाणपत्र नूतनीकरण | प्रत्येक डिव्हाइस, तुम्ही ठरवलेल्या वेळापत्रकानुसार | काहीही नाही |
| WiFi पासवर्ड तिकिटे | काहीही नाही | प्रत्येक बदलानंतर लॉकआउट्स आणि प्रोफाईल अपडेट्स |
| वायरलेस ॲक्सेससाठी ऑडिट पुरावा | प्रमाणपत्र जारी करणे आणि रद्द करण्याचे लॉग | खाते आणि पासवर्ड पॉलिसी नोंदी |
EAP-TLS मध्ये कुठे खर्च होतो
EAP-TLS सुरुवातीलाच खर्च वाढवते. तुम्ही PKI आणि प्रमाणपत्र टेम्पलेट्स, एनरोलमेंट आणि रिव्होकेशन डिझाइन करण्यासाठी कर्मचाऱ्यांच्या वेळेचा मोबदला देता. जर तुम्ही आधीच MDM चालवत असाल, तर डिलिव्हरीचा बहुतांश खर्च भागवला जातो. लाँचनंतर, मुख्य आवर्ती कार्य म्हणजे प्रमाणपत्र नूतनीकरण, जे MDM स्वयंचलित करते.
PEAP मध्ये कुठे खर्च होतो
PEAP स्वस्त सुरू होते परंतु तुम्ही जसजसे पुढे जाल तसतसा खर्च वाढतो. प्रत्येक पासवर्ड बदलामुळे फोन आणि लॅपटॉपवर जुने क्रेडेंशियल्स राहू शकतात. वारंवार झालेले अयशस्वी प्रयत्न Active Directory मधील खाते लॉक करू शकतात, ज्यामुळे हेल्पडेस्क तिकीट तयार होते. ते खर्च कर्मचाऱ्यांची संख्या आणि पासवर्ड रोटेशनच्या वारंवारतेनुसार वाढतात.
सर्व्हर प्रमाणपत्राच्या कालावधीवर लक्ष ठेवा
जर तुमचे RADIUS सर्व्हर प्रमाणपत्र सार्वजनिक CA कडून आले असेल, तर त्याचा कालावधी कमी होत आहे. CA/Browser Forum चे Ballot SC-081 कमाल सार्वजनिक TLS प्रमाणपत्र कालावधी टप्प्याटप्प्याने कमी करते. ही मर्यादा मार्च 2026 पासून 200 दिवसांवर आणि मार्च 2029 पासून 47 दिवसांवर येईल. अनेक टीम्स त्याऐवजी प्रायव्हेट CA कडून RADIUS प्रमाणपत्र जारी करतात, ज्यामुळे नूतनीकरण त्यांच्या स्वतःच्या वेळापत्रकानुसार राहते.
ते चुकण्याचा खर्च
IBM च्या Cost of a Data Breach Report 2024 नुसार जागतिक सरासरी डेटा ब्रिचचा खर्च USD 4.88 दशलक्ष इतका आहे. चोरीला गेलेले किंवा तडजोड केलेले क्रेडेंशियल्स त्या अहवालात सर्वात सामान्य सुरुवातीच्या अटॅक वेक्टर्सपैकी एक होते. EAP-TLS ते कव्हर करत असलेल्या प्रत्येक डिव्हाइससाठी अटॅक सरफेसवरून WiFi पासवर्ड पूर्णपणे काढून टाकते.
व्यावहारिक उदाहरण: 120 स्टोअर्स असलेला रिटेलर
परिस्थिती. एक रिटेलर PEAP वर हँडहेल्ड स्कॅनर्स आणि मोबाईल पॉइंट-ऑफ-सेल डिव्हाइसेससह 120 स्टोअर्स चालवतो. हे डिव्हाइसेस एकच सर्व्हिस अकाउंट शेअर करतात. त्या अकाउंटच्या प्रत्येक शेड्यूल्ड रोटेशनमुळे ज्या स्टोअर्समध्ये डिव्हाइसेसने जुना पासवर्ड ठेवत ऑथेंटिकेशन अयशस्वी झाले.
काय करण्यात आले. IT ने आधीपासून चालवत असलेल्या MDM चा वापर करून स्कॅनर्स आणि पेमेंट डिव्हाइसेस EAP-TLS वर हलवले. प्रत्येक डिव्हाइसला त्याचे स्वतःचे सर्टिफिकेट मिळाले. स्टोअर कर्मचार्‍यांचे फोन PEAP वरच राहिले, ज्यांचा कार्डधारक डेटा एन्व्हायरनमेंटशी कोणताही मार्ग नसलेल्या वेगळ्या VLAN वर समावेश होता.
निकाल. रोटेशनच्या दिवशी होणारे आउटेज थांबले, कारण इन-स्कोप डिव्हाइसेस आता शेअर केलेल्या पासवर्डवर अवलंबून नव्हते. रिव्होकेशन आता पूर्ण स्टोअरऐवजी प्रति डिव्हाइस झाले. PCI DSS आवश्यकता 11.2.1 अंतर्गत त्रैमासिक रोग ॲक्सेस पॉइंट तपासण्या न बदलता सुरू राहिल्या. स्टोअर नेटवर्कबद्दल अधिक माहितीसाठी आमचे Retail पृष्ठ पहा.
प्रत्येक प्रोटोकॉल कसा खंडित होतो आणि तुम्ही तो कसा रोखू शकता?
एक्सपायर झालेले सर्टिफिकेट्स
जर CA सर्टिफिकेट किंवा RADIUS सर्व्हर सर्टिफिकेट एक्सपायर झाले, तर प्रत्येक ऑथेंटिकेशन एकाच वेळी अयशस्वी होते. याचा परिणाम EAP-TLS आणि PEAP दोन्हीवर होतो. प्रत्येक एक्सपायरी तारखेच्या 90, 30 आणि सात दिवस आधी अलर्ट सेट करा आणि प्रत्येक सर्टिफिकेटसाठी एक मालक निश्चित करा.
सर्व्हर व्हॅलिडेशन बंद ठेवणे
सर्व्हर व्हॅलिडेशन वगळणारे PEAP प्रोफाईल कोणत्याही इव्हिल ट्विनला क्रेडेंशियल्स सोपवते. डिव्हाइस प्रोफाईल्सचे नियमितपणे ऑडिट करा आणि तुमच्या सुरक्षा पुनरावलोकनात ही तपासणी जोडा. कर्मचार्‍यांना "Don't validate" वर टॅप करण्यास सांगणाऱ्या कोणत्याही मॅन्युअल सेटअप सूचना काढून टाका.
RADIUS लॅटन्सी आणि सिंगल पॉइंट्स ऑफ फेल्युअर
ऑथेंटिकेशन हे क्रिटिकल पाथवर असते. कंट्रोलर, RADIUS सर्व्हर आणि डिरेक्टरी मधील उच्च लॅटन्सीमुळे EAP टाइमआउट्स होतात. रिडंडन्सीसह RADIUS चालवा किंवा एकापेक्षा जास्त प्रदेशांसह क्लाउड RADIUS वापरा. Trains वरील स्टेशन्स आणि रोलिंग स्टॉक सारख्या वितरीत मालमत्तांसाठी, ॲक्सेस पॉइंट्सच्या जवळ लोकल RADIUS प्रॉक्सी ठेवा.
रोग ॲक्सेस पॉइंट्स
रोग डिव्हाइसेसना सतत फ्लॅग करण्यासाठी तुमच्या ॲक्सेस पॉइंट प्लॅटफॉर्ममध्ये तयार केलेल्या वायरलेस इन्ट्रुजन डिटेक्टचा वापर करा. जर तुम्ही कार्ड पेमेंट स्वीकारत असाल, तर PCI DSS आवश्यकता 11.2.1 नुसार तुम्हाला दर तीन महिन्यांनी अनधिकृत ॲक्सेस पॉइंट्सची चाचणी घेणे आवश्यक आहे.
ऑथेंटिकेशननंतर फ्लॅट नेटवर्क
यशस्वी 802.1X लॉगिनने संपूर्ण नेटवर्क खुले करू नये. डायनॅमिक VLAN असाइनमेंट वापरा, जिथे RADIUS RFC 3580 मध्ये परिभाषित केलेल्या ॲट्रिब्युट्सचा वापर करून प्रत्येक डिव्हाइससाठी VLAN (व्हर्च्युअल LAN) परत करतो. पेमेंट डिव्हाइसेस, कर्मचार्‍यांचे फोन आणि बिल्डिंग सिस्टीम्स नंतर त्यांच्या स्वतःच्या ॲक्सेस कंट्रोलसह स्वतंत्र सेगमेंटवर येतात.
तुम्ही तुमच्या मालमत्तेसाठी कसा निर्णय घ्याल?
प्रोटोकॉल पसंतीपासून नाही, तर डिव्हाइसच्या मालकीपासून सुरुवात करा. खालील मॅट्रिक्स सामान्य परिस्थितींचा मॅपिंग करून शिफारस दर्शवतो.
| तुमची परिस्थिती | शिफारस केलेली पद्धत | का |
|---|---|---|
| कॉर्पोरेट लॅपटॉप्स जे आधीपासूनच MDM मध्ये आहेत | EAP-TLS | प्रमाणपत्रे तुम्ही आधीच वापरत असलेल्या टूलिंगद्वारे तैनात केली जातात |
| PCI DSS कव्हरेजमधील पेमेंट टर्मिनल्स आणि स्कॅनर्स | EAP-TLS | रोटेट किंवा लीक होण्यासाठी कोणताही सामायिक पासवर्ड नाही |
| रुग्णालयाच्या वॉर्डमधील क्लिनिकल उपकरणे | EAP-TLS | प्रति-उपकरण रिव्होकेशन, वॉर्डसाठी कोणताही सामायिक पासवर्ड नाही |
| कर्मचार्‍यांचे वैयक्तिक फोन, MDM ला अनुमती नाही | लॉक केलेल्या सर्व्हर व्हॅलिडेशनसह PEAP | फोनची नोंदणी न करता डिरेक्टरी लॉगिन |
| हंगामी आणि कंत्राटी कर्मचारी | कालमर्यादित खात्यांसह PEAP | कंत्राट संपण्याच्या तारखेला प्रवेश आपोआप समाप्त होतो |
| Smart TVs, प्रिंटर आणि 802.1X नसलेले सेन्सर्स | समर्पित VLAN वर iPSK | प्रति उपकरण युनिक की, कोणत्याही 802.1X सप्लीकंटची आवश्यकता नाही |
| हॉटेलचे पाहुणे, चाहते, प्रवासी आणि खरेदीदार | Captive Portal किंवा OpenRoaming | कोणतेही डिरेक्टरी खाते नाही आणि व्यवस्थापित करण्यासाठी कोणतेही उपकरण नाही |
iPSK (आयडेंटिटी प्री-शेअर की, ज्याला PPSK देखील म्हणतात) प्रत्येक उपकरणाला किंवा गटाला एकाच नेटवर्क नावावर स्वतःची WiFi की देते. 802.1X सप्लीकंट चालवू न शकणाऱ्या उपकरणांसाठी याचा वापर करा.
निर्णयापर्यंत पोहोचण्यासाठी चार-टप्प्यांचा मार्ग
- मालकीनुसार उपकरणांची यादी करा. त्यांना कॉर्पोरेट-व्यवस्थापित, वैयक्तिक, हेडलेस आणि गेस्ट मध्ये विभाजित करा.
- तुम्ही आधीपासून काय वापरत आहात ते तपासा. विद्यमान MDM मुळे व्यवस्थापित उपकरणांसाठी EAP-TLS वापरणे हा एक सोपा प्रकल्प बनतो.
- लक्ष्य स्थिती सेट करा. प्रत्येक व्यवस्थापित उपकरणासाठी EAP-TLS, जिथे नोंदणी करणे अशक्य आहे तिथेच PEAP ठेवा.
- आहे त्याच ठिकाणी स्थलांतर करा. एकाच RADIUS सेवेवर दोन्ही पद्धती चालवा, व्यवस्थापित उपकरणे EAP-TLS वर हलवा आणि नंतर त्यांचे PEAP प्रोफाईल बंद करा.
Purple कुठे बसते?
Purple हे हार्डवेअर-अग्नोस्टिक आहे. आम्ही Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून काम करतो. जुने काढून नवीन बसवण्याची (rip and replace) आवश्यकता नाही. Purple तुम्ही आज चालवत असलेल्या नेटवर्कच्या वरच्या स्तरावर काम करते.
कर्मचारी आणि रहिवाशांसाठी, Purple चे Identity-Based Networks कर्मचारी WiFi आणि Multi-Tenant WiFi ऍक्सेसला ओळखीशी जोडतात. ते Microsoft Entra ID, Okta किंवा Google Workspace शी जोडलेल्या क्लाउड RADIUS द्वारे कार्य करतात. नवीन जोडले जाणारे, बदलणारे आणि सोडणारे कर्मचारी मॅन्युअली व्यवस्थापित करण्याऐवजी थेट डिरेक्टरीमधून हाताळले जातात. 802.1X चालवू न शकणाऱ्या उपकरणांना iPSK मिळते.
पाहुण्यांसाठी, Purple चे Guest WiFi एक Captive Portal प्रदान करते, हे प्रवेश मिळण्यापूर्वी दाखवले जाणारे वेब पेज आहे, ज्यामध्ये ऐच्छिक संमतीचे पर्याय असतात. हे OpenRoaming ला देखील सपोर्ट करते, जे Passpoint (Hotspot 2.0) वर बनवलेले Wireless Broadband Alliance चे फेडरेशन आहे. OpenRoaming मुळे परत येणारी उपकरणे एनक्रिप्टेड कनेक्शनद्वारे आपोआप जोडली जातात. Purple च्या Connect प्लॅनमध्ये OpenRoaming साठी आयडेंटिटी प्रोव्हायडर समाविष्ट आहे. WiFi Analytics नंतर या कनेक्शन्सचे ड्वेल टाईम आणि पुनरावृत्ती भेटींच्या फर्स्ट-पार्टी डेटामध्ये रूपांतर करते.
Purple 80,000+ पेक्षा जास्त लाइव्ह स्थळांवर चालते आणि 2024 मध्ये याने 440 दशलक्ष लॉगिन हाताळले आहेत (Purple चा स्वतःचा डेटा). Purple हे ISO 27001 प्रमाणित, GDPR सुसंगत आणि Cyber Essentials प्रमाणित आहे.
वारंवार विचारले जाणारे प्रश्न
EAP-TLS हे PEAP पेक्षा जास्त सुरक्षित आहे का?
होय. EAP-TLS दोन्ही बाजूंचे प्रमाणपत्रांसह प्रमाणीकरण करते, त्यामुळे कोणत्याही बनावट ॲक्सेस पॉइंटवरून फिशिंग करण्यासाठी, अंदाज लावण्यासाठी किंवा कॅप्चर करण्यासाठी कोणताही पासवर्ड नसतो. PEAP एका एनक्रिप्टेड बोगद्याच्या आत पासवर्ड सुरक्षित करते. तिची सुरक्षा ही सर्व्हरचे प्रमाणपत्र व्हॅलिडेट करणाऱ्या प्रत्येक डिव्हाइसवर अवलंबून असते. चांगल्या प्रकारे कॉन्फिगर केल्यास, वैयक्तिक डिव्हाइसेससाठी PEAP स्वीकारार्ह आहे. कॉर्पोरेट-मालकीची डिव्हाइसेस, पेमेंट टर्मिनल्स आणि क्लिनिकल उपकरणांसाठी, EAP-TLS क्रेडेंशियल अटॅकचा संपूर्ण प्रकारच काढून टाकते.
PCI DSS ला वायरलेस नेटवर्कसाठी EAP-TLS ची आवश्यकता आहे का?
नाही. PCI DSS v4.0 मध्ये कोणत्याही EAP पद्धतीचे नाव दिलेले नाही. यासाठी कार्डधारकांचा डेटा वाहून नेणाऱ्या वायरलेस नेटवर्कवर मजबूत क्रिप्टोग्राफी आणि आवश्यकतेनुसार 11.2.1 अंतर्गत अनधिकृत ॲक्सेस पॉइंट्सची त्रैमासिक तपासणी आवश्यक आहे. पासवर्ड वापरला जातो तिथे ते पासवर्ड नियंत्रणे देखील सेट करते. EAP-TLS इन-स्कोप उपकरणांसाठी WiFi पासवर्ड स्कोपच्या बाहेर ठेवते, ज्यामुळे तुमचे पुरावे सादर करणे सोपे होते. सर्व्हर व्हॅलिडेशन आणि पासवर्ड पॉलिसी लागू आणि दस्तऐवजीकरण केल्यास PEAP देखील अनुरुप राहू शकते.
आपण डाउनटाइमशिवाय PEAP वरून EAP-TLS कडे जाऊ शकतो का?
होय. एक RADIUS सेवा एकाच नेटवर्क नावावर दोन्ही पद्धती स्वीकारू शकते. प्रत्येक डिव्हाइस त्याच्या प्रोफाइलमध्ये नमूद केलेली कोणतीही पद्धत वापरते. प्रमाणपत्रे जारी करा आणि तुमच्या MDM द्वारे नवीन EAP-TLS प्रोफाइल पुश करा, नंतर डिव्हाइसेस स्विच होताना RADIUS लॉग्स पहा. जेव्हा कोणतेही मॅनेज केलेले डिव्हाइस PEAP द्वारे प्रमाणित होत नाही, तेव्हा त्यांचे PEAP प्रोफाईल काढून टाका. PEAP फक्त अशा वैयक्तिक डिव्हाइसेससाठी ठेवा जे तुम्ही नोंदणी करू शकत नाही.
EAP-TLS चालवण्यासाठी आम्हाला MDM ची गरज आहे का?
काही मोजक्या डिव्हाइसेसपेक्षा जास्त डिव्हाइसेससाठी, व्यावहारिकदृष्ट्या होय. प्रत्येक डिव्हाइसला एक प्रमाणपत्र, एक विश्वासू CA आणि एक WiFi प्रोफाइल आवश्यक असते. प्रत्येक प्रमाणपत्र संपण्यापूर्वी त्याचे नूतनीकरण करणे देखील आवश्यक आहे. Microsoft Intune सारखे MDM हे SCEP किंवा तत्सम नोंदणी प्रोटोकॉलद्वारे स्वयंचलित करते. याशिवाय, ऑनबोर्डिंग टूल वैयक्तिक उपकरणांवर प्रमाणपत्रे इंस्टॉल करू शकते, परंतु मॅन्युअल इंस्टॉलेशन पायलट प्रोजेक्टच्या पलीकडे स्केलेबल नाही.
PEAP च्या तुलनेत EAP-TLS चा खर्च किती आहे?
कोणत्याही प्रोटोकॉलसाठी लायसन्स फी नाही. फरक फक्त इन्फ्रास्ट्रक्चर आणि कर्मचाऱ्यांच्या वेळेचा आहे. PEAP ला RADIUS सेवा, एक सर्व्हर प्रमाणपत्र आणि डिरेक्टरीची आवश्यकता असते जी तुम्ही बहुधा आधीच चालवत असाल. EAP-TLS क्लाउडमध्ये किंवा ऑन-प्रीमिसिसमध्ये PKI जोडते, आणि प्रमाणपत्रे देण्यासाठी आणि त्यांचे नूतनीकरण करण्यासाठी एक MDM जोडते. तुम्ही आधीच MDM साठी पैसे देत असल्यास, अतिरिक्त खर्च प्रामुख्याने PKI चा असतो. याच्या बदल्यात, WiFi पासवर्ड रीसेट आणि रोटेशन लॉकआउट्स पूर्णपणे बंद होतात.
Purple आमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्ससोबत काम करेल का?
होय. Purple हे हार्डवेअर-ॲग्नॉस्टिक आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून चालते. हे सर्व बाह्य RADIUS सर्व्हरसह 802.1X ला सपोर्ट करतात. तुमचे ॲक्सेस पॉइंट्स EAP-TLS आणि PEAP मधील निवडीला मर्यादित करत नाहीत. जुने काढून नवीन बसवण्याची काहीच गरज नाही: Purple तुम्ही आज चालवत असलेल्या नेटवर्कच्या शीर्ष स्तरावर काम करते.
पाहुण्यांनी EAP-TLS किंवा PEAP वापरावे का?
नाही. दोन्ही प्रोटोकॉल एका ओळखल्या जाणाऱ्या व्यक्तीची किंवा व्यवस्थापित उपकरणाची गृहितक धरतात, आणि हॉटेल, स्टेडियम तसेच स्टेशनचे पाहुणे यांपैकी काहीही नसतात. ऑप्ट-इन्स आणि वापराच्या अटींसाठी Captive Portal वापरा. Passpoint वर तयार केलेले OpenRoaming वापरा, जेणेकरून परत येणारी उपकरणे एनक्रिप्टेड लिंकद्वारे आपोआप कनेक्ट होतील. Purple चे Guest WiFi या दोन्ही बाबी पूर्ण करते, आणि Connect प्लॅनमध्ये OpenRoaming साठी आयडेंटिटी प्रोव्हायडर समाविष्ट आहे.
2026 मध्ये PEAP वापरणे अजूनही सुरक्षित आहे का?
होय, काही मर्यादांच्या अधीन राहून. लॉक केलेल्या सर्व्हर सर्टिफिकेट व्हॅलिडेशन आणि मजबूत डिरेक्टरी पासवर्डसह PEAP वैयक्तिक उपकरणांसाठी एक योग्य पर्याय राहतो. Windows वर याची भूमिका कमी होत आहे, जिथे Credential Guard सेव्ह केलेले MSCHAPv2 क्रेडेन्शियल्स ब्लॉक करते. Microsoft याऐवजी सर्टिफिकेट-आधारित ऑथेंटिकेशनची शिफारस करते. प्रत्येक व्यवस्थापित Windows उपकरणासाठी EAP-TLS चे नियोजन करा, आणि तुम्ही नियंत्रित न करणाऱ्या उपकरणांसाठी PEAP ठेवा.
महत्वाच्या व्याख्या
IEEE 802.1X
पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी IEEE मानक. ॲक्सेस पॉइंटने ट्रॅफिक फॉरवर्ड करण्यापूर्वी डिव्हाइसने ऑथेंटिकेट करणे आवश्यक आहे, जे RADIUS सर्व्हरवर EAP मेसेज म्हणून एक्सचेंज घेऊन जाते.
EAP-TLS आणि PEAP दोन्ही 802.1X च्या आत चालतात, त्यामुळे या मार्गदर्शकातील निवड ही आहे की तुमचे 802.1X डिप्लॉयमेंट कोणती EAP पद्धत वापरते, 802.1X वापरायचे की नाही ही नाही.
EAP-TLS
IETF RFC 5216 मध्ये परिभाषित केलेली आणि RFC 9190 मध्ये TLS 1.3 साठी अपडेट केलेली EAP पद्धत. सर्व्हर आणि डिव्हाइस प्रत्येक डिजिटल सर्टिफिकेट सादर करतात आणि डिव्हाइस सिद्ध करते की त्याच्याकडे एक प्रायव्हेट की आहे जी ते कधीही सोडत नाही.
कॉर्पोरेट-मालकीचे लॅपटॉप, पेमेंट टर्मिनल्स, स्कॅनर्स आणि क्लिनिकल उपकरणांसाठी शिफारस केलेली पद्धत, कारण कोणताही पासवर्ड नेटवर्क पार करत नाही आणि एक हरवलेल्या डिव्हाइससाठी फक्त एक सर्टिफिकेट रिव्होकेशन करावे लागते.
PEAP
IETF मानकाऐवजी Microsoft, Cisco आणि RSA Security द्वारे विकसित केलेले आणि Microsoft च्या MS-PEAP प्रोटोकॉल तपशीलामध्ये दस्तऐवजीकरण केलेले Protected EAP. यामध्ये फक्त सर्व्हर प्रमाणपत्र सादर करतो; डिव्हाइस TLS टनेलच्या आत क्रेडेंशियल्स पाठवते.
तुम्ही इनरोल करू शकत नसलेल्या वैयक्तिक फोन आणि कंत्राटदारांच्या उपकरणांसाठी फॉलबॅक. हे फक्त सर्व्हर सर्टिफिकेट व्हॅलिडेशन लॉक ऑन आणि मजबूत डिरेक्टरी पासवर्ड्ससह स्वीकार्य आहे.
MSCHAPv2
Microsoft Challenge Handshake Authentication Protocol आवृत्ती 2, पासवर्डवर आधारित अंतर्गत पद्धत जी जवळजवळ नेहमी PEAP मध्ये वापरली जाते. Microsoft Security Advisory 2743314 (2012) ने चेतावणी दिली आहे की unencapsulated MSCHAPv2 एक्सचेंज क्रॅक केले जाऊ शकतात.
याची कमकुवतता हेच कारण आहे की सर्व्हर प्रमाणपत्र पडताळणी PEAP ची सुरक्षा ठरवते, आणि म्हणूनच Windows Credential Guard आता सेव्ह केलेल्या MSCHAPv2 WiFi क्रेडेंशियल्सना ब्लॉक करते.
RADIUS
ऑथेंटिकेशन सेवा जी ॲक्सेस पॉइंटद्वारे रीले केलेले EAP संदेश प्राप्त करते आणि प्रत्येक 802.1X कनेक्शन मंजूर किंवा नाकारते, पर्यायाने डिव्हाइससाठी VLAN सारखे गुणधर्म परत करते.
एकच RADIUS सेवा एकाच नेटवर्क नाव (SSID) वर EAP-TLS आणि PEAP स्वीकारू शकते, ज्यामुळे शून्य-डाउनटाइम मायग्रेशन शक्य होते. ते रिडंडंसीसह चालवा, कारण ऑथेंटिकेशन क्रिटिकल पाथवर असते.
Evil twin
एक बनावट (rogue) ॲक्सेस पॉइंट जो तुमच्या नेटवर्क नाव (SSID) चे ब्रॉडकास्ट करतो. एक PEAP क्लायंट जो सर्व्हर प्रमाणपत्र पडताळणी वगळतो, तो याच्याशी MSCHAPv2 पूर्ण करतो आणि चॅलेंज व रिस्पॉन्स सोपवतो.
मुख्य PEAP धोका. अलीकडील Android आवृत्त्यांनी पडताळणी वगळण्याचा पर्याय काढून टाकला आहे, आणि PCI DSS आवश्यकता 11.2.1 ला अनधिकृत ॲक्सेस पॉइंट्ससाठी त्रैमासिक तपासणी आवश्यक आहे.
OCSP आणि CRL
Online Certificate Status Protocol (RFC 6960) आणि सर्टिफिकेट रिव्होकेशन लिस्ट, या दोन कार्यपद्धती ज्यांचा वापर RADIUS सर्व्हर EAP-TLS हँडशेक्स दरम्यान क्लायंट प्रमाणपत्र रद्द केले गेले नाही याची पुष्टी करण्यासाठी करतो.
रिव्होकेशन चेकिंगमुळे प्रति-डिव्हाइस ऑफबोर्डिंग कार्य करते: एक प्रमाणपत्र रद्द करा आणि केवळ तेच डिव्हाइस ॲक्सेस गमावते.
PKI
पब्लिक की इन्फ्रास्ट्रक्चर, ऑन-प्रीमिस किंवा क्लाउडमध्ये चालणारी प्रणाली जी प्रमाणपत्रे जारी करते आणि रद्द करते. EAP-TLS ला प्रत्येक क्लायंट डिव्हाइसला प्रमाणपत्र जारी करण्यासाठी याची आवश्यकता असते.
EAP-TLS चा मुख्य प्रारंभिक खर्च. जर तुम्ही आधीच MDM साठी पैसे देत असाल, तर PEAP च्या तुलनेत PKI हा बहुतांश अतिरिक्त खर्च असतो.
SCEP
Simple Certificate Enrollment Protocol, RFC 8894 मध्ये निर्दिष्ट केलेले, जे स्वायत्त्य रीतीने डिव्हाइस प्रमाणपत्रे विनंती आणि स्थापित करण्यासाठी Microsoft Intune सारख्या MDM प्लॅटफॉर्मद्वारे वापरले जाते.
प्रमाणपत्रे व्यवस्थापित केलेल्या डिव्हाइसेसपर्यंत मोठ्या प्रमाणावर कशी पोहोचतात आणि मुदत संपण्यापूर्वी नूतनीकरण कशी होतात याचे तंत्र, म्हणूनच मॅन्युअल इन्स्टॉलेशन पायलट प्रोजेक्टच्या पलीकडे स्केलेबल होत नाही.
डायनॅमिक VLAN असाइनमेंट
RADIUS द्वारे RFC 3580 मध्ये परिभाषित केलेल्या टनेल वैशिष्ट्यांचा वापर करून प्रत्येक ऑथेंटिकेट केलेल्या डिव्हाइससाठी VLAN (व्हर्च्युअल LAN) परत करणे, जेणेकरून ॲक्सेस पॉइंट डिव्हाइसला योग्य सेगमेंटवर ठेवतो.
यशस्वी 802.1X लॉगिनला फ्लॅट नेटवर्क उघडण्यापासून थांबवते, पेमेंट डिव्हाइसेसना कर्मचाऱ्यांच्या फोनपासून आणि कार्डधारक डेटा वातावरणाच्या आवाक्याबाहेर ठेवते.
Windows Credential Guard
एक Windows सुरक्षा वैशिष्ट्य जे, Microsoft च्या दस्तऐवजीकरणानुसार, सेव्ह केलेल्या क्रेडेंशियल्सचा वापर करून MSCHAPv2-आधारित WiFi आणि VPN कनेक्शन्सना प्रतिबंधित करते. हे 22H2 आवृत्तीपासून पात्र Windows 11 Enterprise आणि Education डिव्हाइसेसवर डीफॉल्टनुसार सक्षम आहे.
एक प्लॅटफॉर्म बदल जो व्यवस्थापित Windows उपकरणांसाठी EAP-TLS च्या बाजूने निर्णय झुकवतो, कारण Microsoft प्रमाणपत्रावर आधारित पद्धतींची शिफारस करते.
iPSK
Identity pre-shared key, ज्याला PPSK देखील म्हणतात, जे 802.1X सप्लिकंटशिवाय एका नेटवर्क नाव (SSID) वर प्रत्येक डिव्हाइस किंवा गटाला स्वतःची WiFi की देते.
स्मार्ट टीव्ही, प्रिंटर आणि सेन्सर्ससाठी योग्य पर्याय जे समर्पित VLAN वर ठेवलेले EAP-TLS किंवा PEAP चालवू शकत नाहीत.
सोडवलेली उदाहरणे
एक 30-प्रॉपर्टी असलेला हॉटेल ग्रुप एकाधिक शेअर केलेल्या Active Directory अकाउंट्ससह PEAP चा वापर करून बॅक-ऑफिस लॅपटॉप, हाउसकीपिंग टॅब्लेट्स आणि फ्रंट-डेस्क PC एकाच Staff WiFi नेटवर्कवर चालवतो. प्रत्येक हरवलेला टॅब्लेट शेअर केलेला पासवर्ड रिसेट करण्यास आणि तो वापरणाऱ्या प्रत्येक डिव्हाइसचे रीकॉन्फिगरेशन करण्यास भाग पाडतो.
प्रत्येक डिव्हाइस आधीपासूनच MDM मध्ये इनरोल केलेले होते, त्यामुळे टीमने क्लाउड PKI सुरू केले आणि SCEP (RFC 8894) वापरून डिव्हाइस सर्टिफिकेशन्स पुश केले. कटओव्हरदरम्यान एकाच RADIUS सर्व्हिसवर PEAP लाइव्ह राहूनही, Staff WiFi प्रोफाईल EAP-TLS वर स्विच झाले. डायनॅमिक VLAN असाइनमेंटने हाउसकीपिंग टॅब्लेट्सना फायनान्स लॅपटॉपपासून वेगळ्या सेगमेंटवर ठेवले. शेअर केलेले WiFi अकाउंट्स शून्य झाले. हरवलेल्या टॅब्लेटसाठी आता डझनभर उपकरणांवर पासवर्ड रिसेट करण्याऐवजी फक्त एक सर्टिफिकेट रिव्होकेशन करावे लागते, आणि पासवर्ड रोटेशनमुळे WiFi मध्ये अडथळा येत नाही कारण कोणताही WiFi पासवर्ड शिल्लक राहिलेला नाही.
शहर-केंद्रातील एका कॉन्फरन्सच्या ठिकाणी दर पीक सीझनमध्ये सुमारे 300 तात्पुरते कर्मचारी नियुक्त केले जातात. ते रोस्टरिंग आणि रेडिओ ॲप्ससाठी वैयक्तिक फोन वापरतात, त्यांना MDM मध्ये इनरोल करण्यास सांगितले जाऊ शकत नाही, आणि त्यांनी स्टाफ रूमच्या नोटीसबोर्डवर पिन केलेला एक WPA2-Personal पासवर्ड शेअर केला आहे.
IT ने प्रत्येक तात्पुरत्या कर्मचाऱ्यासाठी एंड डेटसह एक डिरेक्टरी अकाउंट तयार केले आणि Staff WiFi ला PEAP वर हलवले. एका वन-टाईम ऑनबोर्डिंग प्रोफाईलने MDM इनरोलमेंटशिवाय इव्हिल ट्विनचा धोका टाळून, प्रत्येक फोनवर विश्वासू CA आणि सर्व्हरचे नाव निश्चित केले. कराराच्या समाप्ती तारखेला अकाउंट्स आपोआप डिझाइनबल होतात आणि उपस्थित राहणारे लोक वेगळ्या Captive Portal नेटवर्कवर राहिले. शेअर केलेला पासवर्ड बंद करण्यात आला. सोडणाऱ्यांचे ॲक्सेस पुढील पासवर्ड बदलाऐवजी त्यांच्या समाप्ती तारखेलाच संपतात, आणि प्रत्येक इव्हेंटनंतर ऑडिटसाठी RADIUS लॉगमध्ये प्रत्येक कर्मचाऱ्याचे कनेक्शन एका नामनिर्देशित अकाउंटशी मॅप केले जाते.
120-स्टोअर असलेला एक रिटेलर हँडहेल्ड स्कॅनर्स आणि मोबाईल पॉइंट-ऑफ-सेल डिव्हाइसेस एका शेअर केलेल्या सर्व्हिस अकाउंटसह PEAP वर चालवतो. त्या अकाउंटच्या प्रत्येक शेड्यूल्ड रोटेशनमुळे ज्या स्टोअरमध्ये जुना पासवर्ड वापरला जातो तिथे रात्रभर ऑथेंटिकेशन अयशस्वी होते.
IT ने स्कॅनर्स आणि पेमेंट डिव्हाइसेसना आधीपासून चालवत असलेल्या MDM द्वारे EAP-TLS वर हलवले, ज्यामुळे प्रत्येक डिव्हाइसला स्वतःचे सर्टिफिकेट मिळाले. स्टोअरमधील कर्मचाऱ्यांचे फोन PEAP वर राहिले, जे कार्डहोल्डर डेटा एन्व्हायर्नमेंटचा कोणताही मार्ग नसलेल्या वेगळ्या VLAN वर होते. रोटेशनच्या दिवशी येणारे आऊटेज बंद झाले कारण इन-स्कोप डिव्हाइसेस आता शेअर केलेल्या पासवर्डवर अवलंबून नव्हते, आणि रिव्होकेशन स्टोअरऐवजी प्रति-डिव्हाइस झाले. PCI DSS आवश्यकता 11.2.1 अंतर्गत त्रैमासिक रोग ॲक्सेस पॉइंट तपासण्या अपरिवर्तित राहिल्या, तर इन-स्कोप उपकरणांमधून WiFi पासवर्ड काढून टाकल्याने ऑडिटसाठी आवश्यक असलेला पुरावा कमी झाला.
सराव प्रश्न
Q1. एका विद्यापीठाचे IT विभाग 20,000 विद्यार्थ्यांसाठी कॅम्पसमध्ये सुरक्षित WiFi उपयोगात आणत आहे. विद्यार्थी Windows, macOS, iOS आणि Android च्या मिश्रणावर चालणारे स्वतःचे लॅपटॉप आणि स्मार्टफोन आणतात. IT संचालक कमाल सुरक्षेचा आग्रह धरतात आणि EAP-TLS चा प्रस्ताव देतात. तुमची आर्किटेक्चरल शिफारस काय आहे?
टीप: विषम डिव्हाइस इस्टेटमधील अनमॅनेज्ड, वैयक्तिक मालकीच्या उपकरणांवर प्रमाणपत्र व्यवस्थापनाच्या ऑपरेशनल ओव्हरहेडचा विचार करा.
नमुना उत्तर पहा
या विशिष्ट वापर प्रकरणासाठी EAP-TLS ला नका असा सल्ला द्या. EAP-TLS सर्वोत्तम सुरक्षा प्रदान करत असले, तरी MDM सोल्यूशनशिवाय २०,००० पेक्षा जास्त अनमॅनेज्ड विद्यार्थ्यांच्या उपकरणांवर क्लायंट प्रमाणपत्रे तैनात करणे आणि व्यवस्थापित करणे हे सपोर्टवर अत्यंत कठीण ताण निर्माण करेल. विद्यार्थी वारंवार उपकरणे बदलतात आणि MDM ऑटोमेशनशिवाय iOS, Android, Windows आणि macOS वर प्रमाणपत्र इंस्टॉल करण्याची ऑनबोर्डिंग प्रक्रिया क्लिष्ट असते. विद्यापीठाच्या विद्यार्थी डिरेक्टरी सेवेशी समाकलित PEAP (किंवा EAP-TTLS) ची शिफारस करा. सर्व्हर प्रमाणपत्राची कठोरपणे पडताळणी करण्यासाठी विद्यार्थ्यांची उपकरणे कॉन्फिगर करण्यासाठी मजबूत ऑनबोर्डिंग साधने वापरली जात असल्याची खात्री करा. पर्यायाने, विद्यापीठाद्वारे व्यवस्थापित केलेल्या कर्मचारी उपकरणांसाठी स्वतंत्र SSID वर EAP-TLS तैनात करा, ज्यामुळे टायर्ड सुरक्षा आर्किटेक्चर तयार होईल.
Q2. सुरक्षा ऑडिट दरम्यान, पेनेट्रेशन टेस्टकरने तेच SSID ब्रॉडकास्ट करणारा रोग ॲक्सेस पॉइंट सेट करून तुमच्या PEAP-सुरक्षित वायरलेस नेटवर्कवरून वापरकर्त्याची क्रेडेंशियल्स यशस्वीरित्या गोळा केली. या असुरक्षिततेचे मूळ कारण काय आहे आणि त्याचा उपाय काय आहे?
टीप: PEAP मधील TLS टनेल टप्प्यादरम्यान काय घडते आणि क्लायंट डिव्हाइस काय तपासत आहे - किंवा तपासत नाही - याचा विचार करा.
नमुना उत्तर पहा
याचे मूळ कारण सप्लिकंटमधील चुकीचे कॉन्फिगरेशन आहे. RADIUS सर्व्हरचे डिजिटल प्रमाणपत्र कठोरपणे पडताळण्यासाठी क्लायंट उपकरणे कॉन्फिगर केलेली नाहीत. जेव्हा रोग AP ने बनावट प्रमाणपत्र सादर केले, तेव्हा क्लायंट उपकरणांनी त्यावर आंधळेपणाने विश्वास ठेवला, हल्लेखोरासह TLS टनेल स्थापित केला आणि MSCHAPv2 ऑथेंटिकेशन एक्सचेंज ट्रान्समिट केले. हल्लेखोर हे ऑफलाइन क्रॅक करू शकतो. याचे तीन उपाय आहेत: (१) सर्व क्लायंट उपकरणांवर ग्रुप पॉलिसी किंवा MDM प्रोफाईलद्वारे कठोर सर्व्हर प्रमाणपत्र पडताळणी लागू करा; (२) इतर डोमेनवरील प्रमाणपत्रे स्वीकारणे टाळण्यासाठी सप्लिकंट कॉन्फिगरेशनमध्ये नेमके अपेक्षित RADIUS सर्व्हर डोमेन नाव निर्दिष्ट करा; (३) रोग ॲक्सेस पॉइंट्स शोधण्यासाठी आणि सतर्क करण्यासाठी वायरलेस इन्ट्रुजन डिटेक्शन सिस्टम (WIDS) तैनात करा.
Q3. एक हेल्थकेअर प्रदाता रुग्णांच्या नोंदी ॲक्सेस करणाऱ्या मोबाईल नर्सिंग वर्कस्टेशन्सना सपोर्ट देण्यासाठी आपले नेटवर्क अपग्रेड करत आहे. ही वर्कस्टेशन्स कॉर्पोरेटच्या मालकीची आहेत, Microsoft Intune द्वारे IT द्वारे कठोरपणे व्यवस्थापित केली जातात आणि वातावरण हेल्थकेअर डेटा संरक्षण नियमांचे पालन करणारे असले पाहिजे. त्यांनी PEAP की EAP-TLS तैनात करावे?
टीप: नियमन वातावरण, डिव्हाइस नियंत्रणाची पातळी आणि ॲक्सेस केलेल्या डेटाची संवेदनशीलता यांचे मूल्यमापन करा.
नमुना उत्तर पहा
निःसंकोचपणे EAP-TLS तैनात करा. हेल्थकेअर वातावरणाला कडक पालन आणि क्रेडेंशियल चोरीविरुद्ध कमाल सुरक्षेची आवश्यकता असते - हेल्थकेअर नेटवर्कमध्ये तडजोड केलेला पासवर्ड रुग्णांच्या नोंदी उघड करू शकतो आणि GDPR तसेच क्षेत्र-विशिष्ट डेटा संरक्षण आवश्यकतांअंतर्गत मोठ्या प्रमाणात नियामक दंड आकारू शकतो. कारण ही उपकरणे कॉर्पोरेटच्या मालकीची आहेत आणि Microsoft Intune द्वारे पूर्णपणे व्यवस्थापित केली जातात, क्लायंट प्रमाणपत्रे तैनात करणे ऑपरेशनलदृष्ट्या शक्य आहे आणि पूर्णपणे स्वयंचलित केले जाऊ शकते. EAP-TLS आवश्यक परस्पर ऑथेंटिकेशन प्रदान करते जेणेकरून केवळ अधिकृत, कॉर्पोरेट-व्यवस्थापित उपकरणेच क्लिनिकल नेटवर्क ॲक्सेस करू शकतील. या व्यतिरिक्त, EAP-TLS नियमन ऑडिट सुलभ करते - नेटवर्क आर्किटेक्चरचे पुनरावलोकन करणारे ऑडिटर्स प्रमाणपत्र-आधारित, पासवर्डमुक्त ऑथेंटिकेशन सिस्टम पाहतील जी पासवर्ड-आधारित पर्यायांपेक्षा मूळतः अधिक सुरक्षित आहे.
वारंवार विचारले जाणारे प्रश्न
What is the key difference between EAP-TLS and PEAP?
The fundamental difference is mutual authentication using digital certificates. EAP-TLS requires cryptographic X.509 certificates on both the RADIUS server and the client device, completely eliminating passwords and credential-based attacks. PEAP (typically PEAP-MSCHAPv2) only requires a digital certificate on the RADIUS server, while client devices authenticate using traditional usernames and passwords tunneled through an encrypted TLS session.
Why is PEAP-MSCHAPv2 considered vulnerable to credential theft and rogue AP attacks?
PEAP-MSCHAPv2 relies on the client device validating the RADIUS server certificate before transmitting credentials. In practice, unmanaged endpoints and misconfigured supplicants often fail to validate the server certificate or domain name. An attacker operating a rogue access point (Evil Twin) can present a fake certificate, capture the MSCHAPv2 challenge and response exchange, and crack the user password offline using cloud-based dictionary or rainbow table attacks.
Can EAP-TLS be deployed on unmanaged or BYOD devices?
Deploying EAP-TLS on unmanaged personal devices requires an automated onboarding workflow or captive portal onboarding assistant that provisions a short-lived or revocable client certificate. Because manual certificate installation is complex for non-technical users, organisations lacking an automated certificate onboarding mechanism often deploy EAP-TTLS with cloud directory credentials or WPA3-Enterprise with Passpoint profiles for BYOD fleets.
How does Microsoft Entra ID handle EAP-TLS compared to PEAP?
Microsoft Entra ID (formerly Azure AD) does not support legacy password-based authentication protocols like MSCHAPv2 because it does not store password hashes on-premises. As a result, native cloud Entra ID environments cannot directly authenticate PEAP-MSCHAPv2 without legacy hybrid domain controllers. EAP-TLS is the standard for Entra ID networks, pairing Microsoft Intune and Cloud PKI or SCEP with a cloud RADIUS server to authenticate devices based on verified directory identity.
What operational infrastructure is required to manage EAP-TLS client certificates?
EAP-TLS requires a Public Key Infrastructure (PKI) - either an on-premises Certificate Authority (such as AD CS) or a cloud PKI service - and a mobile device management (MDM) platform like Microsoft Intune, Jamf, or Workspace ONE to automatically issue, renew, and revoke certificates via SCEP (RFC 8894) or EST. The wireless network also requires an 802.1X-capable RADIUS server to validate incoming certificate chains and check revocation status via CRL or OCSP.
How does Cloud RADIUS simplify migrating from PEAP to EAP-TLS?
Cloud RADIUS eliminates the need to deploy and patch physical on-premises RADIUS servers (such as Windows Server NPS or FreeRADIUS clusters). Modern cloud RADIUS platforms integrate directly with cloud identity providers like Microsoft Entra ID, Okta, and Google Workspace, validate client certificates dynamically against issuing CAs, and assign role-based VLANs and access policies without on-premises hardware or VPN tunnels.
स्रोत
- IETF RFC 5216: The EAP-TLS Authentication Protocol
- IETF RFC 9190: EAP-TLS 1.3
- IETF RFC 3580: IEEE 802.1X RADIUS Usage Guidelines
- Microsoft Security Advisory 2743314
- Microsoft Learn: Credential Guard overview
- PCI Security Standards Council document library (PCI DSS v4.0)
- CA/Browser Forum
- IBM Cost of a Data Breach Report
या मालिकेमध्ये पुढे वाचा
WiFi साठी Microsoft Cloud PKI: Intune आणि Microsoft Entra ID सोबत EAP-TLS सर्टिफिकेट उपयोजन
तुम्ही Microsoft Cloud PKI, Cloud PKI रूट किंवा तुमचे स्वतःचे CA (BYOCA) तुमच्या मालमत्तेसाठी योग्य आहे की नाही हे ठरवू शकाल. त्यानंतर तुम्ही NDES शिवाय Intune-व्यवस्थापित उपकरणांवर EAP-TLS WiFi सर्टिफिकेट्स उपयोजित करू शकता. या मार्गदर्शकामध्ये RADIUS ला साखळीवर विश्वास ठेवायला लावणे, CRL द्वारे सर्टिफिकेट्स रद्द करणे आणि आठ सर्वात सामान्य त्रुटींचे निवारण करणे समाविष्ट आहे.
cloud RADIUS सह Juniper Mist वर 802.1X कॉन्फिगर करणे
तुम्ही Juniper Mist वर WPA2 किंवा WPA3-Enterprise WLAN कॉन्फिगर करू शकाल जे cloud RADIUS सह ऑथेंटिकेट करते, UDP RADIUS, RadSec आणि Mist Edge प्रॉक्सी यापैकी योग्य पर्याय निवडू शकाल आणि RADIUS ॲट्रिब्यूट्स् डायनॅमिक VLANs शी मॅप करू शकाल. ऑथेंटिकेशन कुठे अयशस्वी झाले हे Mist च्या क्लायंट इनसाइट्स टाइमलाइन आणि Marvis मध्ये नेमके कुठे दिसते हे देखील तुम्हाला समजेल.
iOS आणि macOS 802.1X ट्रबलशूटिंग: Intune, Jamf आणि Microsoft Entra ID साठी एक डिप्लोयमेंट चेकलिस्ट
iPhones, iPads आणि Macs वर Intune किंवा Jamf Pro च्या माध्यमातून 802.1X का अयशस्वी होत आहे याचे निदान करण्यासाठी ही चेकलिस्ट वापरा. प्रत्येक बिघाड चारपैकी एका कारणामुळे होतो: सर्व्हर ट्रस्ट, आयडेंटिटी सर्टिफिकेट, macOS मोड किंवा Microsoft Entra ID ग्रुप स्कोपिंग. तुम्ही eapolclient आणि RADIUS लॉग्समधून कारणाची खात्री कराल, त्यावर उपाय लागू कराल आणि भविष्यातील सर्टिफिकेट रोटेशनचे टप्पे ठरवाल.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.