सुरक्षित उच्च शिक्षण BYOD आणि WiFi प्रमाणीकरणासाठी SCEP तैनात करणे

Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण उच्च शिक्षणातील IT मध्ये वारंवार समोर येणाऱ्या एका विषयावर चर्चा करणार आहोत: सुरक्षित BYOD आणि WiFi प्रमाणीकरणासाठी SCEP उपयोजित करणे. जर तुम्ही तुमच्या कॅम्पस नेटवर्कवर PEAP-MSCHAPv2 चालवत असाल, तर हे ब्रीफिंग थेट तुमच्यासाठीच आहे. आणि जर तुम्ही आधीच प्रमाणपत्र-आधारित प्रमाणीकरणावर जाण्याचा विचार करत असाल, तर आम्ही तुम्हाला तिथे पोहोचण्यासाठी आवश्यक आर्किटेक्चर, संभाव्य अडचणी आणि अंमलबजावणीचा क्रम सांगणार आहोत. चला, समस्येपासून सुरुवात करूया. विद्यापीठे ही मूळ रचनेनुसारच खुली वातावरण असतात. सप्टेंबरमध्ये विद्यार्थी दोन, तीन, कधीकधी पाच वैयक्तिक उपकरणांसह येतात. त्यांची अपेक्षा असते कि त्यांनी हेल्पडेस्कला कॉल न करता ताबडतोब आणि सुरक्षितपणे कनेक्ट व्हावे. बहुतांश संस्थांचे वास्तव असे असते की सत्र सुरू झाल्यापासून अठ्ठेचाळीस तासांच्या आत हेल्पडेस्कच्या रांगेत दोन हजार तिकिटे जमा होतात. ही कर्मचाऱ्यांची टंचाई नाही. ही एक आर्किटेक्चरची समस्या आहे. याचे मूळ कारण जवळजवळ नेहमीच सारखे असते: पासवर्ड-आधारित WiFi प्रमाणीकरण. जेव्हा तुम्ही PEAP आणि MSCHAPv2 सह WPA2-Enterprise चालवता, तेव्हा तुम्ही विद्यार्थ्यांना प्रत्येक उपकरणावर 802.1X सेटिंग्ज व्यक्तिचलितपणे कॉन्फिगर करण्यास सांगत असता. एक चुकीची सेटिंग, आणि ते मॅन-इन-द-मिडल (man-in-the-middle) हल्ल्याला बळी पडू शकतात. याहून वाईट म्हणजे, जेव्हा विद्यापीठ दर नव्वद दिवसांनी पासवर्ड बदलण्याची सक्ती करते, तेव्हा कॅम्पसमधील प्रत्येक उपकरणाचा WiFi ॲक्सेस एकाच वेळी बंद होतो. ही एक पूर्वानुमानित आणि टाळता येण्यासारखी आपत्ती आहे. याचे उत्तर म्हणजे EAP-TLS वापरून प्रमाणपत्र-आधारित प्रमाणीकरण, आणि याला स्केलेबल बनवणारी यंत्रणा म्हणजे SCEP: म्हणजेच सिम्पल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल. जरी SCEP चा वापर २००० च्या सुरुवातीपासून केला जात असला, तरी २०२० मध्ये RFC ८८९४ मध्ये IETF ने याला औपचारिक स्वरूप दिले. हे प्रत्येक उपकरणासाठी कोणत्याही मानवी IT हस्तक्षेपाशिवाय, उपकरणांवर X.५०९ डिजिटल प्रमाणपत्रे मागवण्याची आणि स्थापित करण्याची प्रक्रिया स्वयंचलित करते. थोडक्यात हे कसे कार्य करते ते येथे आहे. तुमचे MDM प्लॅटफॉर्म, मग ते Microsoft Intune असो किंवा Jamf, प्रत्येक नोंदणीकृत उपकरणावर SCEP पेलोड पाठवते. त्या पेलोडमध्ये दोन गोष्टी असतात: SCEP गेटवे URL आणि एक सामायिक चॅलेंज पासवर्ड. उपकरण एक सर्टिफिकेट साइनिंग रिक्वेस्ट तयार करते, ती SCEP गेटवेकडे पाठवते, जी चॅलेंज पासवर्ड सत्यापित करते आणि विनंती तुमच्या सर्टिफिकेट अथॉरिटीकडे पाठवते. CA प्रमाणपत्रावर स्वाक्षरी करते आणि ते उपकरणाकडे परत पाठवते. त्यानंतर, ते उपकरण EAP-TLS वापरून तुमच्या WiFi नेटवर्कशी प्रमाणीकरण करते: हे प्रमाणपत्र RADIUS सर्व्हरकडे उपकरणाची ओळख सिद्ध करते, आणि RADIUS सर्व्हरचे प्रमाणपत्र उपकरणाकडे नेटवर्कची ओळख सिद्ध करते. परस्पर प्रमाणीकरण. हवेतून कोणत्याही पासवर्डची देवाणघेवाण होत नाही. परस्पर प्रमाणीकरणाचा हा भाग अत्यंत महत्त्वाचा आहे. PEAP सह, जर एखादा विद्यार्थी तुमचा SSID ब्रॉडकास्ट करणाऱ्या फसव्या ॲक्सेस पॉइंटशी कनेक्ट झाला, तर तो सहजपणे आपली क्रेडेन्शियल्स सोपवून देईल. EAP-TLS सह, उपकरण पुढे जाण्यापूर्वी RADIUS सर्व्हर प्रमाणपत्राची तपासणी करते. जर ते विश्वसनीय CA शी जुळले नाही, तर कनेक्शन आपोआप अयशस्वी होते. तुम्ही इव्हिल ट्विन (evil twin) हल्ल्यांचा संपूर्ण धोकाच दूर केला आहे. आता आर्किटेक्चरबद्दल बोलूया. विद्यापीठासाठीच्या एका प्रोडक्शन SCEP डिप्लॉयमेंटमध्ये सहा मुख्य घटक असतात. पहिला, तुमचा आयडेंटिटी प्रोव्हायडर: Microsoft Entra ID, Okta, किंवा Google Workspace. दुसरा, तुमचा MDM प्लॅटफॉर्म: Windows आणि Android साठी Intune, macOS आणि iOS साठी Jamf. तिसरा, तुमची Certificate Authority: एकतर ऑन-प्रिमाइसेस Microsoft Active Directory Certificate Services, किंवा क्लाउड PKI. चौथा, तुमचा SCEP गेटवे: HTTP एंडपॉइंट जो सर्टिफिकेटच्या विनंत्या प्राप्त करतो. पाचवा, ऑथेंटिकेशनसाठी तुमचा RADIUS सर्व्हर. सहावा, तुमचा ॲक्सेस लेयर: 802.1X साठी कॉन्फिगर केलेले Cisco Meraki, HPE Aruba, Ruckus, किंवा Juniper Mist ॲक्सेस पॉइंट्स. ट्रस्ट चेन अशा प्रकारे काम करते. CA एक रूट सर्टिफिकेट जारी करतो. ते रूट सर्टिफिकेट MDM द्वारे प्रत्येक डिव्हाइसवर वितरीत केले जाते, ज्यामुळे ट्रस्ट प्रस्थापित होतो. त्यानंतर CA हे SCEP द्वारे डिव्हाइसेसना क्लायंट सर्टिफिकेट जारी करते. जेव्हा एखादे डिव्हाइस कनेक्ट होते, तेव्हा ते आपले क्लायंट सर्टिफिकेट RADIUS सर्व्हरला सादर करते, आणि RADIUS सर्व्हर आपले सर्व्हर सर्टिफिकेट डिव्हाइसला सादर करतो. दोन्ही बाजू ट्रस्टेड रूटद्वारे पडताळणी करतात. ॲक्सेस हा पासवर्ड ऐवजी सर्टिफिकेटच्या वैधतेवर आधारित मंजूर किंवा नाकारला जातो. मी तुम्हाला अंमलबजावणीच्या क्रमाबद्दल माहिती देतो. हाच तो क्रम आहे जो यशस्वी ठरतो. पहिली पायरी: तुमचा आयडेंटिटी स्टोअर क्लीन करा. तुमच्या Active Directory किंवा Entra ID मध्ये विद्यार्थी, कर्मचारी आणि पाहुणे (गेस्ट्स) यांच्यासाठी स्पष्टपणे परिभाषित केलेले ग्रुप्स असल्याची खात्री करा. सर्टिफिकेट पॉलिसी आणि VLAN असाइनमेंट्स या ग्रुप्सशी जोडले जातील. दुसरी पायरी: तुमची Certificate Authority डिप्लॉय करा. तुम्ही Microsoft ADCS वापरत असल्यास, टू-टियर हायराॅर्की तयार करा: एक ऑफलाइन रूट CA आणि एक ऑनलाइन इश्यूइंग CA. रूट CA प्रारंभिक सेटअपनंतर एअर-गॅप केला पाहिजे. तिसरी पायरी: तुमचा SCEP गेटवे कॉन्फिगर करा. हा तो HTTP एंडपॉइंट आहे ज्याकडे तुमचे MDM डिव्हाइसेसना निर्देशित करेल. डिव्हाइसेस जेथून प्रारंभिक एनरोलमेंट करतात त्या नेटवर्क सेगमेंटमधून तो ॲक्सेसिबल असल्याची खात्री करा, सामान्यतः तुमच्या ऑनबोर्डिंग SSID वरून. चौथी पायरी: तुमचा RADIUS सर्व्हर कॉन्फिगर करा. इश्यूइंग CA सर्टिफिकेट ट्रस्टेड CA म्हणून इम्पोर्ट करा. तुमची ऑथेंटिकेशन पद्धत म्हणून EAP-TLS कॉन्फिगर करा. VLAN रिटर्न ॲट्रिब्युट्स सेट करा जेणेकरून RADIUS विद्यार्थ्यांना योग्य नेटवर्क सेगमेंटमध्ये डायनॅमिकली असाइन करू शकेल. पाचवी पायरी: तुमचे MDM प्रोफाइल कॉन्फिगर करा. Intune मध्ये, आधी ट्रस्टेड सर्टिफिकेट प्रोफाइल तयार करा, नंतर SCEP सर्टिफिकेट प्रोफाइल, आणि शेवटी SCEP सर्टिफिकेटचा संदर्भ देणारे WiFi प्रोफाइल तयार करा. हे नेमक्या याच क्रमाने डिप्लॉय करा. प्रत्येक प्रोफाइल आधीच्या प्रोफाइलवर अवलंबून असते. सहावी पायरी: तुमचे ॲक्सेस पॉइंट्स कॉन्फिगर करा. Cisco Meraki, HPE Aruba, Ruckus, किंवा Juniper Mist वर, तुमचे सुरक्षित SSID हे WPA2-Enterprise किंवा WPA3-Enterprise साठी कॉन्फिगर करा. पीक ऑनबोर्डिंग दरम्यान सर्टिफिकेट व्हॅलिडेशनच्या विलंबाशी जुळवून घेण्यासाठी RADIUS टाईमआउट किमान पाच सेकंदांवर सेट करा. आता, काही त्रुटी. मी या त्रुटींमुळे डिप्लॉयमेंट्स वारंवार विस्कळीत होताना पाहिले आहेत. पहिली त्रुटी म्हणजे MDM प्रोफाइल चुकीच्या क्रमाने डिप्लॉय करणे. जर SCEP सर्टिफिकेट प्रोफाइलच्या आधी WiFi प्रोफाइल डिव्हाइसवर पोहोचले, तर डिव्हाइसकडे ऑथेंटिकेट करण्यासाठी कोणतेही सर्टिफिकेट नसते. कनेक्शन अयशस्वी होते, आणि वापरकर्ता हेल्पडेस्कला कॉल करतो. दुसरी चूक म्हणजे BYOD डिव्हाइसेस विसरणे. Intune आणि Jamf तुमच्या संस्थेच्या मालकीच्या उपकरणांचे व्यवस्थापन करतात. परंतु विद्यार्थ्यांचे वैयक्तिक डिव्हाइसेस तुमच्या MDM मध्ये नोंदणीकृत नसतात. त्यांच्यासाठी, तुम्हाला एका सेल्फ-सर्व्हिस ऑनबोर्डिंग पोर्टलची आवश्यकता आहे. विद्यार्थी त्यांच्या विद्यापीठाच्या क्रेडेंशियलचा वापर करून Single Sign-On द्वारे प्रमाणीकरण करतो, आणि पोर्टल प्रमाणपत्र प्रदान करण्यासाठी SCEP चा वापर करते. Purple चा प्लॅटफॉर्म या ऑनबोर्डिंग प्रक्रियेला थेट captive portal अनुभवामध्ये समाकलित करतो, ज्यामुळे विद्यार्थी कोणत्याही IT हस्तक्षेपाशिवाय दोन मिनिटांपेक्षा कमी वेळात नोंदणी पूर्ण करतात. तिसरी चूक म्हणजे गर्दीच्या ऑनबोर्डिंग दरम्यान RADIUS टाइमआउट अयशस्वी होणे. तुमच्या RADIUS इन्फ्रास्ट्रक्चरची लोड चाचणी सप्टेंबरच्या आधी करा, त्यादरम्यान नाही. किमान दोन RADIUS नोड्समध्ये लोड बॅलन्सिंग लागू करा. चौथी चूक म्हणजे प्रमाणपत्र रद्द करणे. जेव्हा एखादा विद्यार्थी सोडून जातो किंवा एखादे डिव्हाइस हरवले किंवा चोरीला गेले, तेव्हा तुम्हाला ते प्रमाणपत्र त्वरित रद्द करावे लागेल. तुमची CA 'प्रमाणपत्र रद्दीकरण सूची' (Certificate Revocation List) प्रकाशित करत असल्याची आणि तुमचा RADIUS सर्व्हर प्रत्येक प्रमाणीकरणावर ती तपासत असल्याची खात्री करा. आता आम्ही वारंवार ऐकत असलेल्या प्रश्नांवर एक जलद प्रश्नोत्तरांची फेरी. MDM शिवाय SCEP काम करू शकते का? तांत्रिकदृष्ट्या होय, परंतु व्यावहारिकदृष्ट्या नाही. SCEP पेलोड आणि WiFi प्रोफाइल पुश करण्यासाठी MDM नसल्यास, तुम्ही पुन्हा मॅन्युअल डिव्हाइस कॉन्फिगरेशनवर परत जाता. प्रमाणपत्राची वैधता किती काळ असावी? विद्यार्थ्यांच्या डिव्हाइसेससाठी, एक ते दोन वर्षे प्रमाणित आहे. नूतनीकरणाच्या त्रासाशिवाय शैक्षणिक वर्षभर टिकेल इतकी दीर्घ, आणि प्रमाणपत्र धोक्यात आल्यास जोखीम मर्यादित ठेवण्यासाठी पुरेशी कमी. 802.1X ला सपोर्ट न करणाऱ्या IoT डिव्हाइसेसचे काय? सेल्फ-सर्व्हिस डिव्हाइस नोंदणी पोर्टलसह MAC Authentication Bypass वापरा. विद्यार्थी त्यांच्या गेमिंग कन्सोल किंवा स्मार्ट टीव्हीचा MAC पत्ता नोंदणीकृत करतात, आणि तुमची NAC प्रणाली त्यास योग्य VLAN मध्ये ठेवते. हे eduroam सोबत काम करते का? होय. EAP-TLS ला eduroam फेडरेशनद्वारे पूर्णपणे सपोर्ट आहे. तुमच्या कॅम्पस CA द्वारे जारी केलेली प्रमाणपत्रे जगभरातील कोणत्याही सहभागी संस्थेमध्ये eduroam वर विद्यार्थ्यांचे प्रमाणीकरण करू शकतात. शेवटी, यशस्वी SCEP उपयोजन (deployment) परिभाषित करणारे तीन निर्णय येथे आहेत. पहिले: इतर कशाच्याही आधी तुमचे CA आर्किटेक्चर निवडा. ऑन-प्रिमाइसेस ADCS तुम्हाला पूर्ण नियंत्रण देते. क्लाउड PKI तुम्हाला ऑपरेशनल सुलभता देते. येथील चुकीच्या निवडीमुळे तुमचे महिन्यांचे काम पुन्हा करावे लागू शकते. दुसरे: पहिल्या दिवसापासून BYOD ऑनबोर्डिंग स्वयंचलित करा. विद्यार्थी त्यांचे वैयक्तिक डिव्हाइसेस मॅन्युअली कॉन्फिगर करतील असे गृहीत धरू नका. ते करणार नाहीत. सत्र सुरू होण्यापूर्वी सेल्फ-सर्व्हिस पोर्टल तयार करा. तिसरे: सप्टेंबरपूर्वी लोड अंतर्गत तुमच्या RADIUS क्षमतेची चाचणी घ्या. सत्राच्या पहिल्या दिवशी RADIUS बंद पडणे पूर्णपणे टाळता येऊ शकते. Purple चा प्लॅटफॉर्म या तिन्हींना सपोर्ट करतो: क्लाउड ओव्हरले PKI इंटिग्रेशन, आमच्या captive portal द्वारे सेल्फ-सर्व्हिस BYOD ऑनबोर्डिंग, आणि नव्व्याण्णव पॉईंट नऊ नऊ नऊ टक्के अपटाइमसह ऐंशी हजार लाइव्ह ठिकाणांवर चाचणी केलेले RADIUS इन्फ्रास्ट्रक्चर. Purple टेक्निकल ब्रीफिंगमध्ये सामील झाल्याबद्दल धन्यवाद. अधिक मार्गदर्शनासाठी, purple.ai ला भेट द्या.