सुरक्षित उच्च शिक्षण BYOD आणि WiFi प्रमाणीकरणासाठी SCEP उपयोजित करणे

Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण उच्च शिक्षण IT मध्ये वारंवार समोर येणाऱ्या विषयावर चर्चा करणार आहोत: सुरक्षित BYOD आणि WiFi प्रमाणीकरणासाठी SCEP उपयोजित करणे. जर तुम्ही तुमच्या कॅम्पस नेटवर्कवर PEAP-MSCHAPv2 चालवत असाल, तर हे ब्रीफिंग तुमच्यासाठी थेट संबंधित आहे. आणि जर तुम्ही आधीच प्रमाणपत्र-आधारित प्रमाणीकरणाकडे जाण्याची योजना आखत असाल, तर आम्ही तुम्हाला तिथे पोहोचण्यासाठी आर्किटेक्चर, त्रुटी आणि अंमलबजावणीचा अनुक्रम सांगू. चला समस्येपासून सुरुवात करूया. विद्यापीठे ही मुळातच खुली वातावरण असतात. विद्यार्थी सप्टेंबरमध्ये दोन, तीन, कधीकधी पाच वैयक्तिक डिव्हाइसेससह येतात. ते त्वरित, सुरक्षितपणे आणि हेल्पडेस्कला कॉल न करता कनेक्ट होण्याची अपेक्षा करतात. बहुतांश संस्थांसाठी वास्तविकता अशी आहे की सत्र सुरू झाल्यापासून अठ्ठेचाळीस तासांच्या आत हेल्पडेस्कच्या रांगेत दोन हजार तिकिटे येतात. ही कर्मचाऱ्यांची समस्या नाही. ही आर्किटेक्चरची समस्या आहे. याचे मूळ कारण जवळजवळ नेहमीच सारखे असते: पासवर्ड-आधारित WiFi प्रमाणीकरण. जेव्हा तुम्ही PEAP आणि MSCHAPv2 सह WPA2-Enterprise चालवता, तेव्हा तुम्ही विद्यार्थ्यांना प्रत्येक डिव्हाइसवर ८०२.१X सेटिंग्ज मॅन्युअली कॉन्फिगर करण्यास सांगत असता. एक चुकीची सेटिंग, आणि ते मॅन-इन-द-मिडल (man-in-the-middle) हल्ल्याला बळी पडू शकतात. त्याहून वाईट म्हणजे, जेव्हा विद्यापीठ दर नव्वद दिवसांनी पासवर्ड रीसेट सक्तीचे करते, तेव्हा कॅम्पसमधील प्रत्येक डिव्हाइसचा WiFi प्रवेश एकाच वेळी बंद होतो. ही एक अंदाज लावता येण्याजोगी आणि टाळता येण्याजोगी आपत्ती आहे. याचे उत्तर EAP-TLS वापरून प्रमाणपत्र-आधारित प्रमाणीकरण आहे, आणि याला स्केलेबल बनवणारी यंत्रणा म्हणजे SCEP: Simple Certificate Enrollment Protocol. SCEP ला २०२० मध्ये RFC ८८९४ मध्ये IETF द्वारे औपचारिक रूप देण्यात आले होते, जरी ते २००० च्या दशकाच्या सुरुवातीपासून वापरात आहे. हे प्रत्येक डिव्हाइससाठी कोणत्याही मॅन्युअल IT हस्तक्षेपाशिवाय, डिव्हाइसेसवर X.५०९ डिजिटल प्रमाणपत्रांची विनंती आणि स्थापना करण्याची प्रक्रिया स्वयंचलित करते. हे उच्च पातळीवर कसे कार्य करते ते येथे आहे. तुमचे MDM प्लॅटफॉर्म, मग ते Microsoft Intune असो किंवा Jamf, प्रत्येक नोंदणीकृत डिव्हाइसवर SCEP पेलोड पुश करते. त्या पेलोडमध्ये दोन गोष्टी असतात: SCEP गेटवे URL आणि एक सामायिक चॅलेंज पासवर्ड. डिव्हाइस एक सर्टिफिकेट सायनिंग रिक्वेस्ट (CSR) जनरेट करते, ते SCEP गेटवेवर पाठवते, जे चॅलेंज पासवर्डची पडताळणी करते आणि विनंती तुमच्या सर्टिफिकेट ऑथॉरिटीकडे पाठवते. CA प्रमाणपत्रावर स्वाक्षरी करते आणि ते डिव्हाइसला परत करते. त्या क्षणापासून, डिव्हाइस EAP-TLS वापरून तुमच्या WiFi नेटवर्कवर प्रमाणीकृत होते: प्रमाणपत्र RADIUS सर्व्हरला डिव्हाइसची ओळख सिद्ध करते आणि RADIUS सर्व्हरचे प्रमाणपत्र डिव्हाइसला नेटवर्कची ओळख सिद्ध करते. परस्पर प्रमाणीकरण. हवेत कोणत्याही पासवर्डची देवाणघेवाण होत नाही. तो परस्पर प्रमाणीकरणाचा भाग अत्यंत महत्त्वाचा आहे. PEAP सह, तुमचा SSID ब्रॉडकास्ट करणाऱ्या बनावट ॲक्सेस पॉइंटशी कनेक्ट होणारा विद्यार्थी आनंदाने त्याचे क्रेडेंशियल्स सुपूर्द करेल. EAP-TLS सह, डिव्हाइस पुढे जाण्यापूर्वी RADIUS सर्व्हर प्रमाणपत्राची तपासणी करते. जर ते विश्वसनीय CA शी जुळत नसेल, तर कनेक्शन कोणतीही त्रुटी न दाखवता खंडित होते. तुम्ही इव्हिल ट्विन हल्ल्यांचा संपूर्ण प्रकारच नष्ट केला आहे. आता आर्किटेक्चरबद्दल बोलूया. विद्यापीठासाठी प्रॉडक्शन SCEP उपयोजनामध्ये सहा मुख्य घटक असतात. पहिले, तुमचे आयडेंटिटी प्रोव्हाइडर: Microsoft Entra ID, Okta, किंवा Google Workspace. दुसरे, तुमचे MDM प्लॅटफॉर्म: Windows आणि Android साठी Intune, macOS आणि iOS साठी Jamf. तिसरे, तुमची सर्टिफिकेट ऑथॉरिटी: एकतर ऑन-प्रिमाइसेस Microsoft Active Directory Certificate Services किंवा क्लाउड PKI. चौथे, तुमचा SCEP गेटवे: HTTP एंडपॉइंट जो प्रमाणपत्र विनंत्या प्राप्त करतो. पाचवे, प्रमाणीकरणासाठी तुमचा RADIUS सर्व्हर. सहावे, तुमचा ॲक्सेस स्तर: ८०२.१X साठी कॉन्फिगर केलेले Cisco Meraki, HPE Aruba, Ruckus, किंवा Juniper Mist ॲक्सेस पॉइंट्स. ट्रस्ट चेन अशी चालते. CA एक रूट प्रमाणपत्र जारी करते. ते रूट विश्वास स्थापित करण्यासाठी MDM द्वारे प्रत्येक डिव्हाइसवर वितरित केले जाते. त्यानंतर CA SCEP द्वारे डिव्हाइसेसना क्लायंट प्रमाणपत्रे जारी करते. जेव्हा एखादे डिव्हाइस कनेक्ट होते, तेव्हा ते त्याचे क्लायंट प्रमाणपत्र RADIUS सर्व्हरला सादर करते आणि RADIUS सर्व्हर त्याचे सर्व्हर प्रमाणपत्र डिव्हाइसला सादर करतो. दोन्ही बाजू विश्वसनीय रूटच्या विरूद्ध पडताळणी करतात. प्रवेश पासवर्डवर नाही तर प्रमाणपत्राच्या वैधतेवर आधारित मंजूर किंवा नाकारला जातो. मी तुम्हाला अंमलबजावणीच्या अनुक्रमाची माहिती देतो. हा तो क्रम आहे जो यशस्वी ठरतो. पायरी एक: तुमचा आयडेंटिटी स्टोअर स्वच्छ करा. तुमच्या Active Directory किंवा Entra ID मध्ये विद्यार्थी, कर्मचारी आणि पाहुण्यांसाठी स्पष्टपणे परिभाषित केलेले गट असल्याची खात्री करा. प्रमाणपत्र पॉलिसी आणि VLAN असाइनमेंट या गटांशी जोडल्या जातील. पायरी दोन: तुमची सर्टिफिकेट ऑथॉरिटी उपयोजित करा. जर तुम्ही Microsoft ADCS वापरत असाल, तर द्वि-स्तरीय श्रेणी उभी करा: एक offline root CA आणि एक online issuing CA. सुरुवातीच्या सेटअप नंतर रूट CA एअर-गॅप्ड (air-gapped) असावा. पायरी तीन: तुमचा SCEP गेटवे कॉन्फिगर करा. हा तो HTTP एंडपॉइंट आहे ज्याकडे hire तुमचे MDM डिव्हाइसेस निर्देशित करेल. हे सुनिश्चित करा की ते त्या नेटवर्क सेगमेंटमधून ॲक्सेस करण्यायोग्य आहे जिथे डिव्हाइसेस सुरुवातीची नोंदणी करतात, सामान्यतः तुमचे ऑनबोर्डिंग SSID. पायरी चार: तुमचा RADIUS सर्व्हर कॉन्फिगर करा. इश्यूइंग CA प्रमाणपत्र विश्वसनीय CA म्हणून आयात करा. EAP-TLS ला तुमची प्रमाणीकरण पद्धत म्हणून कॉन्फिगर करा. VLAN रिटर्न गुणधर्म सेट करा जेणेकरून RADIUS विद्यार्थ्यांना योग्य नेटवर्क सेगमेंटमध्ये डायनॅमिकली नियुक्त करू शकेल. पायरी पाच: तुमचे MDM प्रोफाइल कॉन्फिगर करा. Intune मध्ये, प्रथम Trusted Certificate प्रोफाइल तयार करा, नंतर SCEP Certificate प्रोफाइल, आणि नंतर SCEP प्रमाणपत्राचा संदर्भ देणारे WiFi प्रोफाइल तयार करा. हे अगदी याच क्रमाने उपयोजित करा. प्रत्येक प्रोफाइल आधीचे प्रोफाइल जागेवर असण्यावर अवलंबून असते. पायरी सहा: तुमचे ॲक्सेस पॉइंट्स कॉन्फिगर करा. Cisco Meraki, HPE Aruba, Ruckus, किंवा Juniper Mist वर, WPA2-Enterprise किंवा WPA3-Enterprise साठी तुमचा सुरक्षित SSID कॉन्फिगर करा. पीक ऑनबोर्डिंग दरम्यान प्रमाणपत्र पडताळणी लेटन्सी सामावून घेण्यासाठी RADIUS टाइमआउट किमान पाच सेकंदांवर सेट करा. आता, त्रुटींबद्दल बोलूया. मी या त्रुटींमुळे उपयोजन वारंवार विस्कळीत होताना पाहिले आहे. पहिले म्हणजे MDM प्रोफाइल चुकीच्या क्रमाने उपयोजित करणे. जर WiFi प्रोफाइल SCEP प्रमाणपत्र प्रोफाइलच्या आधी डिव्हाइसवर आले, तर डिव्हाइसकडे प्रमाणीकरण करण्यासाठी कोणतेही प्रमाणपत्र नसते. कनेक्शन अयशस्वी होते आणि वापरकर्ता हेल्पडेस्कला कॉल करतो. दुसरी त्रुटी म्हणजे BYOD डिव्हाइसेस विसरणे. Intune आणि Jamf तुमच्या संस्थेच्या मालकीच्या उपकरणांचे व्यवस्थापन करतात. परंतु विद्यार्थ्यांची वैयक्तिक डिव्हाइसेस तुमच्या MDM मध्ये नोंदणीकृत नसतात. त्यांच्यासाठी, तुम्हाला सेल्फ-सर्व्हिस ऑनबोर्डिंग पोर्टलची आवश्यकता आहे. विद्यार्थी त्यांच्या विद्यापीठाच्या क्रेडेंशियल्सचा वापर करून सिंगल साइन-ऑनद्वारे प्रमाणीकृत होतात आणि पोर्टल प्रमाणपत्र प्रदान करण्यासाठी SCEP चा वापर करते. Purple चे प्लॅटफॉर्म हा ऑनबोर्डिंग प्रवाह थेट कॅप्टिव्ह पोर्टल अनुभवामध्ये समाकलित करते, जेणेकरून विद्यार्थी कोणत्याही IT हस्तक्षेपाशिवाय दोन मिनिटांपेक्षा कमी वेळात नोंदणी पूर्ण करू शकतात. तिसरी त्रुटी म्हणजे पीक ऑनबोर्डिंग दरम्यान RADIUS टाइमआउट अपयश. तुमच्या RADIUS इन्फ्रास्ट्रक्चरची लोड चाचणी सप्टेंबरमध्ये नव्हे, तर त्यापूर्वी करा. किमान दोन RADIUS नोड्सवर लोड बॅलेंसिंग लागू करा. चौथी त्रुटी म्हणजे प्रमाणपत्र रद्द करणे (revocation). जेव्हा एखादा विद्यार्थी सोडतो, किंवा डिव्हाइस हरवते किंवा चोरीला जाते, तेव्हा तुम्हाला प्रमाणपत्र त्वरित रद्द करावे लागेल. तुमचे CA सर्टिफिकेट रिव्होकेशन लिस्ट प्रकाशित करते आणि तुमचा RADIUS सर्व्हर प्रत्येक प्रमाणीकरणावर ती तपासतो याची खात्री करा. आता आपण वारंवार ऐकल्या जाणाऱ्या प्रश्नांवर रॅपिड-फायर प्रश्नोत्तरांकडे वळूया. SCEP हे MDM शिवाय काम करू शकते का? तांत्रिकदृष्ट्या होय, पण व्यावहारिकदृष्ट्या नाही. SCEP पेलोड आणि WiFi प्रोफाइल पुश करण्यासाठी MDM नसल्यास, तुम्ही पुन्हा मॅन्युअल डिव्हाइस कॉन्फिगरेशनवर परत जाता. प्रमाणपत्राची वैधता किती असावी? विद्यार्थ्यांच्या डिव्हाइसेससाठी, एक ते दोन वर्षे मानक आहे. नूतनीकरणाच्या त्रासाशिवाय शैक्षणिक वर्ष पूर्ण करण्यासाठी पुरेसा मोठा, आणि प्रमाणपत्र धोक्यात आल्यास जोखीम मर्यादित करण्यासाठी पुरेसा लहान कालावधी. ८०२.१X ला सपोर्ट न करणाऱ्या IoT डिव्हाइसेसचे काय? सेल्फ-सर्व्हिस डिव्हाइस नोंदणी पोर्टलसह MAC Authentication Bypass वापरा. विद्यार्थी त्यांच्या गेमिंग कन्सोल किंवा स्मार्ट टीव्हीचा MAC पत्ता नोंदवतात आणि तुमची NAC सिस्टम त्याला योग्य VLAN मध्ये ठेवते. हे eduroam सोबत काम करते का? होय. eduroam फेडरेशनद्वारे EAP-TLS ला पूर्णपणे सपोर्ट केला जातो. तुमच्या कॅम्पस CA द्वारे जारी केलेली प्रमाणपत्रे जगभरातील कोणत्याही सहभागी संस्थेमध्ये eduroam वर विद्यार्थ्यांचे प्रमाणीकरण करू शकतात. शेवटी, यशस्वी SCEP उपयोजन परिभाषित करणारे तीन निर्णय येथे आहेत. पहिले: इतर कशाच्याही आधी hire तुमचे CA आर्किटेक्चर निवडा. ऑन-प्रिमाइसेस ADCS तुम्हाला पूर्ण नियंत्रण देते. क्लाउड PKI तुम्हाला ऑपरेशनल सुलभता देते. येथील चुकीच्या निवडीमुळे तुमचे महिन्यांचे काम वाया जाऊ शकते. दुसरे: पहिल्या दिवसापासून BYOD ऑनबोर्डिंग स्वयंचलित करा. विद्यार्थी त्यांची वैयक्तिक डिव्हाइसेस मॅन्युअली कॉन्फिगर करतील असे समजू नका. ते करणार नाहीत. सत्र सुरू होण्यापूर्वी सेल्फ-सर्व्हिस पोर्टल तयार करा. तिसरे: सप्टेंबरपूर्वी लोड अंतर्गत तुमच्या RADIUS क्षमतेची चाचणी घ्या. सत्राच्या पहिल्या दिवशी होणारा RADIUS बिघाड पूर्णपणे टाळता येण्याजोगा आहे. Purple चे प्लॅटफॉर्म या तिन्हींना सपोर्ट करते: क्लाउड ओव्हरले PKI एकत्रीकरण, आमच्या कॅप्टिव्ह पोर्टलद्वारे सेल्फ-सर्व्हिस BYOD ऑनबोर्डिंग, आणि नव्व्याण्णव पॉईंट नऊ नऊ नऊ टक्के अपटाइमसह ऐंशी हजार थेट ठिकाणांवर चाचणी केलेले RADIUS इन्फ्रास्ट्रक्चर. Purple टेक्निकल ब्रीफिंगमध्ये सामील झाल्याबद्दल धन्यवाद. अधिक मार्गदर्शनासाठी, purple.ai ला भेट द्या.