EAP-TLS वि. PEAP: तुमच्या नेटवर्कसाठी कोणता प्रमाणीकरण प्रोटोकॉल योग्य आहे?

EAP-TLS वि. PEAP: तुमच्या नेटवर्कसाठी कोणता प्रमाणीकरण प्रोटोकॉल योग्य आहे? एक Purple तांत्रिक ब्रीफिंग [प्रस्तावना — अंदाजे 1 मिनिट] Purple तांत्रिक ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण तुमच्या एंटरप्राइझ वायरलेस इन्फ्रास्ट्रक्चरची रचना किंवा अपग्रेड करताना तुम्ही घेणार असलेल्या सर्वात परिणामकारक निर्णयांपैकी एकावर चर्चा करणार आहोत: तुमच्या 802.1X प्रमाणीकरण फ्रेमवर्कसाठी EAP-TLS आणि PEAP मधील निवड. जर तुम्ही हॉटेल ग्रुप, रिटेल इस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील संस्थेसाठी जबाबदार असलेले आयटी मॅनेजर, नेटवर्क आर्किटेक्ट किंवा CTO असाल, तर हा निर्णय तुमच्या सुरक्षा स्थितीवर, तुमच्या अनुपालन स्थितीवर आणि तुमच्या टीमच्या दैनंदिन ऑपरेशनल ओव्हरहेडवर परिणाम करतो. तर थेट मुद्द्यावर येऊया. EAP-TLS आणि PEAP या दोन्ही 802.1X प्रमाणीकरण पद्धती आहेत. ते दोन्ही प्रमाणीकरण विनंत्या हाताळण्यासाठी RADIUS सर्व्हरवर अवलंबून असतात आणि ते दोन्ही सामायिक WPA2 पासफ्रेजपेक्षा लक्षणीयरीत्या मजबूत सुरक्षा प्रदान करतात. परंतु ते ओळख प्रमाणित करण्याची पद्धत मूलभूतपणे भिन्न आहे — आणि त्या फरकाचा तुम्ही तुमचे नेटवर्क कसे डिप्लॉय करता, व्यवस्थापित करता आणि स्केल करता यावर मोठा परिणाम होतो. [तांत्रिक सखोल विश्लेषण — अंदाजे 5 मिनिटे] EAP-TLS — Extensible Authentication Protocol Transport Layer Security ने सुरुवात करूया. EAP-TLS हे एंटरप्राइझ WiFi प्रमाणीकरणाचे सुवर्ण मानक आहे. याचे परिभाषित वैशिष्ट्य म्हणजे परस्पर प्रमाणपत्र प्रमाणीकरण. याचा व्यवहारात अर्थ असा आहे: जेव्हा एखादे डिव्हाइस तुमच्या नेटवर्कशी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा RADIUS सर्व्हर डिव्हाइसला डिजिटल प्रमाणपत्र सादर करतो. डिव्हाइस त्याच्या विश्वसनीय सर्टिफिकेट ऑथॉरिटीजविरुद्ध त्या प्रमाणपत्राची तपासणी करते. पण PEAP मधील महत्त्वाचा फरक इथे आहे — डिव्हाइस नंतर त्याचे स्वतःचे प्रमाणपत्र सर्व्हरला परत सादर करते. सर्व्हर त्या क्लायंट प्रमाणपत्राची पडताळणी करतो, आणि जर दोन्ही प्रमाणपत्रे वैध आणि विश्वसनीय असतील तरच नेटवर्क ॲक्सेस देतो. यात कोणतेही पासवर्ड समाविष्ट नाहीत. अजिबात नाही. प्रमाणीकरण पूर्णपणे प्रमाणपत्र-आधारित आहे. हे EAP-TLS ला क्रेडेंशियल चोरी, डिक्शनरी अटॅक आणि मॅन-इन-द-मिडल अटॅकसाठी विलक्षण प्रतिरोधक बनवते. प्रमाणीकरण प्रवाहात अस्तित्वात नसलेला पासवर्ड तुम्ही चोरू शकत नाही. आता, याचा ट्रेड-ऑफ म्हणजे डिप्लॉयमेंटची गुंतागुंत. मोठ्या प्रमाणावर EAP-TLS चालवण्यासाठी, तुम्हाला तुमच्या नेटवर्कवरील प्रत्येक डिव्हाइससाठी प्रमाणपत्रे जारी करण्यासाठी, व्यवस्थापित करण्यासाठी आणि रद्द करण्यासाठी पब्लिक की इन्फ्रास्ट्रक्चर — एक PKI — आवश्यक आहे. एंडपॉइंट्सवर ती प्रमाणपत्रे सायलेंटली पुश करण्यासाठी तुम्हाला मोबाइल डिव्हाइस मॅनेजमेंट सोल्यूशनची देखील आवश्यकता आहे. जर तुम्ही Microsoft Intune किंवा Jamf सह कॉर्पोरेट इस्टेट चालवत असाल, तर हे पूर्णपणे व्यवस्थापित करण्यायोग्य आहे. जर तुम्ही तसे करत नसाल, तर EAP-TLS हे एक मोठे काम बनते. दुसरा ऑपरेशनल विचार म्हणजे प्रमाणपत्र जीवनचक्र व्यवस्थापन. प्रमाणपत्रे कालबाह्य होतात. जर तुमचे RADIUS सर्व्हर प्रमाणपत्र कालबाह्य झाले, तर तुमच्या नेटवर्कवरील प्रत्येक डिव्हाइस एकाच वेळी प्रमाणीकरण करण्यात अयशस्वी होईल. तो एक आपत्कालीन आउटेज आहे. प्रमाणपत्र मॉनिटरिंग आणि नूतनीकरण प्रक्रिया अनिवार्य आहेत. आता PEAP — Protected Extensible Authentication Protocol पाहूया. मजबूत सुरक्षा प्रदान करताना EAP-TLS ची डिप्लॉयमेंट गुंतागुंत दूर करण्यासाठी PEAP डिझाइन केले गेले. PEAP मागील मुख्य अंतर्दृष्टी ही आहे: तुम्हाला फक्त सर्व्हरकडे प्रमाणपत्र असणे आवश्यक आहे. क्लायंटला त्याची आवश्यकता नाही. हे असे कार्य करते. RADIUS सर्व्हर त्याचे प्रमाणपत्र क्लायंट डिव्हाइसला सादर करतो. क्लायंट सर्व्हरची पडताळणी करतो — अगदी EAP-TLS प्रमाणेच. हे एक एन्क्रिप्टेड TLS टनेल स्थापित करते. त्या टनेलच्या आत, क्लायंट नंतर तुमच्या आयडेंटिटी स्टोअर — ॲक्टिव्ह डिरेक्टरी, LDAP, Google Workspace, तुम्ही जे काही वापरत आहात त्याविरुद्ध मानक पासवर्ड-आधारित प्रमाणीकरण, सामान्यतः MSCHAPv2 वापरून करतो. पासवर्ड कधीही प्लेनटेक्स्टमध्ये प्रवास करत नाही. तो नेहमी एन्क्रिप्टेड टनेलमध्ये संरक्षित असतो. त्यामुळे PEAP खऱ्या अर्थाने सुरक्षित आहे — बशर्ते ते योग्यरित्या कॉन्फिगर केलेले असावे. आणि तिथेच आपल्याला PEAP डिप्लॉयमेंट्समधील सर्वात सामान्य आणि सर्वात धोकादायक मिसकॉन्फिगरेशनबद्दल बोलण्याची आवश्यकता आहे. जर क्लायंट डिव्हाइस RADIUS सर्व्हरच्या प्रमाणपत्राची कठोरपणे पडताळणी करण्यासाठी कॉन्फिगर केलेले नसेल, तर हल्लेखोर समान नेटवर्क नावासह एक रोग ॲक्सेस पॉईंट सेट करू शकतो, फसवणूक करणारे प्रमाणपत्र सादर करू शकतो आणि डिव्हाइस आनंदाने कनेक्ट होईल. हल्लेखोर नंतर MSCHAPv2 प्रमाणीकरण एक्सचेंज कॅप्चर करतो, जे ऑफलाइन क्रॅक केले जाऊ शकते. हा सैद्धांतिक हल्ला नाही — हे रिअल-वर्ल्ड पेनिट्रेशन चाचण्यांमध्ये वापरले जाणारे एक चांगल्या प्रकारे दस्तऐवजीकरण केलेले तंत्र आहे. यावर उपाय सरळ आहे: प्रत्येक क्लायंट डिव्हाइसवर कठोर सर्व्हर प्रमाणपत्र पडताळणी लागू करण्यासाठी ग्रुप पॉलिसी, MDM प्रोफाइल्स किंवा ऑनबोर्डिंग टूल्स वापरा. परंतु ऑपरेशनल वास्तव हे आहे की BYOD वातावरणात, हजारो अनमॅनेज्ड वैयक्तिक डिव्हाइसेसवर हे कॉन्फिगरेशन सातत्याने लागू केले जाते याची खात्री करणे खरोखर कठीण आहे. मी तुम्हाला एक ठोस तुलना देतो. 500-ठिकाणे असलेल्या रिटेल चेनचा विचार करा. त्यांच्याकडे कॉर्पोरेट-मालकीचे टॅब्लेट्स आणि हँडहेल्ड स्कॅनर्स आहेत, जे सर्व Microsoft Intune द्वारे व्यवस्थापित केले जातात. EAP-TLS हा योग्य निर्णय आहे. Intune आपोआप प्रमाणपत्रे पुश करते. जर एखादा स्कॅनर हरवला, तर आयटी त्याचे प्रमाणपत्र रद्द करते आणि तो काही मिनिटांत नेटवर्कच्या बाहेर असतो — कोणतेही पासवर्ड रिसेट नाहीत, 500 स्टोअर्समध्ये कोणतेही सामायिक पासफ्रेज बदल नाहीत. सुरक्षा परिपूर्ण आहे. आता त्यांच्या वैयक्तिक डिव्हाइसेसवर 3,000 कर्मचाऱ्यांसाठी WiFi चालवणाऱ्या मोठ्या कॉन्फरन्स सेंटरचा विचार करा. कोणतेही MDM नाही. कर्मचारी Google Workspace वापरतात. Google Secure LDAP सोबत इंटिग्रेट केलेले PEAP हा व्यावहारिक पर्याय आहे. कर्मचारी त्यांच्या मानक क्रेडेंशियल्ससह प्रमाणीकरण करतात. आयटी टीम प्रमाणपत्र पडताळणी कॉन्फिगर करण्यासाठी ऑनबोर्डिंग दस्तऐवज प्रदान करते. हे महिन्यांत नाही तर दिवसांत डिप्लॉय करण्यायोग्य आहे. दोन्ही प्रोटोकॉलला आधार देणारे आर्किटेक्चर हे समान तीन-घटक 802.1X मॉडेल आहे: सप्लिकंट — जे क्लायंट डिव्हाइस आहे — ऑथेंटिकेटर, जो तुमचा ॲक्सेस पॉईंट किंवा स्विच आहे, आणि RADIUS सर्व्हर. ऑथेंटिकेटर गेटकीपर म्हणून काम करतो, RADIUS सर्व्हर प्रमाणीकरण यशस्वी झाल्याचे संकेत देईपर्यंत सर्व ट्रॅफिक ब्लॉक करतो. [अंमलबजावणी शिफारसी आणि धोके — अंदाजे 2 मिनिटे] तर व्यावहारिक शिफारसी काय आहेत? पहिले: जर तुमच्याकडे MDM सोल्यूशन आणि कॉर्पोरेट-मालकीची डिव्हाइसेस असतील, तर EAP-TLS डिप्लॉय करा. PKI आणि प्रमाणपत्र व्यवस्थापनातील प्रारंभिक गुंतवणूक कमी जोखीम आणि सुलभ अनुपालन ऑडिटमध्ये लाभांश देते. नियंत्रित वातावरणासाठी — हेल्थकेअर, फायनान्स, सार्वजनिक क्षेत्र — हे ऐच्छिक नाही. हे असे आर्किटेक्चर आहे जे तुमचे ऑडिटर्स पाहण्याची अपेक्षा करतात. दुसरे: जर तुम्ही BYOD वातावरण चालवत असाल किंवा तुमच्याकडे MDM इन्फ्रास्ट्रक्चर नसेल, तर PEAP डिप्लॉय करा. परंतु सर्व्हर प्रमाणपत्र पडताळणी कॉन्फिगरेशन वगळू नका. हे लागू करण्यासाठी शक्य असेल तिथे ऑनबोर्डिंग टूल्स, नेटवर्क ॲक्सेस कंट्रोल पोर्टल्स किंवा MDM प्रोफाइल्स वापरा. याला एक अनिवार्य डिप्लॉयमेंट पायरी माना, ऐच्छिक हार्डनिंग उपाय नाही. तिसरे: तुम्ही कोणता प्रोटोकॉल निवडता याची पर्वा न करता, तुमच्या आर्किटेक्चरमध्ये RADIUS रिडंडन्सी तयार करा. प्रमाणीकरण हा एक महत्त्वपूर्ण मार्ग आहे. एका RADIUS सर्व्हरच्या बिघाडामुळे कोणालाही नेटवर्कवर प्रवेश मिळत नाही. क्लाउड-होस्टेड RADIUS सोल्यूशन्स रिडंडंट ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चर व्यवस्थापित करण्याच्या ओव्हरहेडशिवाय लवचिकता प्रदान करू शकतात. चौथे: प्रमाणीकरणानंतर तुमचे नेटवर्क सेगमेंट करा. यशस्वी 802.1X प्रमाणीकरणाने तुमच्या संपूर्ण कॉर्पोरेट नेटवर्कवर अमर्यादित ॲक्सेस देऊ नये. वापरकर्त्यांना योग्य ॲक्सेस कंट्रोल्ससह योग्य नेटवर्क सेगमेंट्समध्ये ठेवण्यासाठी VLAN असाइनमेंट धोरणांचा वापर करा. टाळण्यासारखे सामान्य धोके: EAP-TLS डिप्लॉयमेंट्समध्ये मोठ्या प्रमाणावर प्रमाणीकरण अपयशास कारणीभूत ठरणारी प्रमाणपत्र कालबाह्यता; PEAP डिप्लॉयमेंट्समध्ये सर्व्हर प्रमाणपत्रांची पडताळणी न करणारी क्लायंट डिव्हाइसेस; आणि वायरलेस कंट्रोलर आणि प्रमाणीकरण सर्व्हर दरम्यान उच्च लेटन्सीमुळे उद्भवणाऱ्या RADIUS टाइमआउट समस्या — विशेषतः भौगोलिकदृष्ट्या वितरित इस्टेट्समध्ये प्रासंगिक. [रॅपिड-फायर प्रश्नोत्तरे — अंदाजे 1 मिनिट] मी वारंवार ऐकत असलेल्या काही प्रश्नांवरून जातो. मी एकाच नेटवर्कवर EAP-TLS आणि PEAP दोन्ही चालवू शकतो का? होय. अनेक संस्था एका SSID वर कॉर्पोरेट डिव्हाइसेससाठी EAP-TLS आणि वेगळ्या SSID वर BYOD किंवा अतिथी ॲक्सेससाठी PEAP चालवतात, त्यांच्यामध्ये योग्य नेटवर्क सेगमेंटेशन असते. WPA3 हा निर्णय बदलतो का? WPA3 एंटरप्राइझ उच्च-सुरक्षा डिप्लॉयमेंट्ससाठी 192-बिट सुरक्षा मोड अनिवार्य करते, जे EAP-TLS शी संरेखित होते. WPA3 पर्सनल PSK ऐवजी SAE वापरते, परंतु एंटरप्राइझ 802.1X डिप्लॉयमेंट्ससाठी, EAP पद्धत निवड प्रासंगिक राहते. PEAP PCI DSS चे अनुपालन करते का? होय, जेव्हा सर्व्हर प्रमाणपत्र पडताळणी लागू करून योग्यरित्या कॉन्फिगर केले जाते. तथापि, कार्डधारक डेटा हाताळणाऱ्या वातावरणासाठी, सुरक्षा मूल्यांकनांमध्ये EAP-TLS हा वाढत्या प्रमाणात शिफारस केलेला दृष्टिकोन आहे. OpenRoaming बद्दल काय? OpenRoaming हुड अंतर्गत प्रमाणपत्र-आधारित प्रमाणीकरण वापरते, जे EAP-TLS तत्त्वांशी संरेखित होते. Purple सारखे प्लॅटफॉर्म OpenRoaming साठी आयडेंटिटी प्रोव्हायडर म्हणून काम करू शकतात, ज्यामुळे पुन्हा प्रमाणीकरण न करता ठिकाणांवर अखंड, सुरक्षित रोमिंग सक्षम होते. [सारांश आणि पुढील पायऱ्या — अंदाजे 1 मिनिट] थोडक्यात सांगायचे तर: EAP-TLS हा सर्वोच्च-सुरक्षा पर्याय आहे, जो परस्पर प्रमाणपत्र प्रमाणीकरणाद्वारे पासवर्ड पूर्णपणे काढून टाकतो. याला PKI आणि MDM इन्फ्रास्ट्रक्चर आवश्यक आहे परंतु ते सर्वात मजबूत अनुपालन स्थिती आणि सर्वात ग्रॅन्युलर डिव्हाइस-स्तरीय ॲक्सेस कंट्रोल प्रदान करते. PEAP हा BYOD आणि प्रमाणपत्र व्यवस्थापन इन्फ्रास्ट्रक्चर नसलेल्या वातावरणासाठी व्यावहारिक पर्याय आहे, जो विद्यमान क्रेडेंशियल्स वापरून मजबूत एन्क्रिप्टेड प्रमाणीकरण प्रदान करतो — परंतु केवळ तेव्हाच जेव्हा सर्व्हर प्रमाणपत्र पडताळणी कठोरपणे लागू केली जाते. निर्णय फ्रेमवर्क सरळ आहे: जर तुम्ही तुमची डिव्हाइसेस व्यवस्थापित करत असाल, तर EAP-TLS वापरा. जर तुमचे वापरकर्ते त्यांची स्वतःची डिव्हाइसेस आणत असतील, तर PEAP वापरा — परंतु ते योग्यरित्या कॉन्फिगर करा. तुमच्या पुढील पायऱ्यांसाठी: तुमच्या सध्याच्या प्रमाणीकरण कॉन्फिगरेशनचे ऑडिट करा, तुमच्या PKI आणि MDM तयारीचे मूल्यांकन करा आणि रिडंडन्सी आणि लेटन्सीसाठी तुमच्या RADIUS इन्फ्रास्ट्रक्चरचे पुनरावलोकन करा. जर तुम्ही तुमच्या कॉर्पोरेट नेटवर्कसोबत अतिथी WiFi डिप्लॉय किंवा अपग्रेड करत असाल, तर Purple सारखा प्लॅटफॉर्म तुमच्या प्रमाणीकरण फ्रेमवर्कसोबत कसा इंटिग्रेट होऊ शकतो याचा विचार करा जेणेकरून तुमच्या नेटवर्कवरून सुरक्षा आणि कृती करण्यायोग्य ॲनालिटिक्स दोन्ही प्रदान करता येतील. Purple तांत्रिक ब्रीफिंग ऐकल्याबद्दल धन्यवाद. पुढच्या वेळेपर्यंत.