उच्च शिक्षण संस्थांमध्ये सुरक्षित BYOD आणि 802.1X WiFi साठी SCEP लागू करणे

Purple Technical Briefing मध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण अशा विषयावर सखोल चर्चा करणार आहोत जो उच्च शिक्षण IT मध्ये सतत समोर येतो: कॅम्पसमध्ये सुरक्षित BYOD आणि 802.1X WiFi प्रदान करण्यासाठी SCEP - म्हणजेच Simple Certificate Enrolment Protocol - कसा लागू करावा. जर तुम्ही सध्या विद्यापीठ किंवा कॉलेजचे नेटवर्क व्यवस्थापित करत असाल, तर तुम्ही बहुधा एका परिचयाच्या दबावाचा सामना करत असाल. एका बाजूला, तुमच्याकडे शेकडो किंवा हजारो वैयक्तिक डिव्हाइसेस घेऊन येणारे विद्यार्थी, प्राध्यापक आणि कर्मचारी आहेत. दुसऱ्या बाजूला, तुमच्याकडे एक सुरक्षा स्थिती आहे जी संस्थात्मक, नियामक आणि वाढत्या प्रमाणात सायबर विमा आवश्यकता पूर्ण करणारी असावी लागते. पासवर्ड-आधारित WiFi आणि ओपन Captive Portals आता अजिबात चालत नाहीत. तर मग काय उपयुक्त ठरते याबद्दल बोलूया. प्रथम, आपण पार्श्वभूमी समजून घेऊया. 802.1X हा पोर्ट-आधारित नेटवर्क प्रवेश नियंत्रणासाठीचा IEEE मानक आहे. हा २००१ पासून अस्तित्वात आहे, परंतु आज तो पूर्वीपेक्षा अधिक महत्त्वाचा आहे. मूळ संकल्पना अशी आहे की कोणत्याही डिव्हाइसला तुमच्या नेटवर्कवर प्रवेश मिळण्यापूर्वी, त्याला स्वतःची ओळख सिद्ध करावी लागते - केवळ असा पासवर्ड सादर करून नाही जो कोणीही शेअर करू शकतो, तर एक पडताळणी करण्यायोग्य क्रेडेंशियल सादर करून. वायर्ड संदर्भात, ती क्रेडेंशियल तपासणी स्विच पोर्टवर होते. WiFi मध्ये, ती ॲक्सेस पॉइंटवर होते, ज्याचे नियंत्रण RADIUS सर्व्हरद्वारे केले जाते. आता, हे क्रेडेंशियल स्वतः विविध रूपांमध्ये असू शकते. तुम्ही PEAP - म्हणजेच Protected Extensible Authentication Protocol द्वारे युझरनेम आणि पासवर्ड वापरू शकता. किंवा तुम्ही EAP-TLS - Extensible Authentication Protocol with Transport Layer Security द्वारे डिजिटल सर्टिफिकेट वापरू शकता. EAP-TLS हा सर्वोत्तम दर्जा मानला जातो. हा परस्पर आहे - नेटवर्क डिव्हाइसचे प्रमाणीकरण करते, आणि डिव्हाइस नेटवर्कचे प्रमाणीकरण करते. हे परस्पर प्रमाणीकरणच बनावट ॲक्सेस पॉइंट्सना ब्लॉक करते. विद्यार्थ्याचा लॅपटॉप अशा बनावट नेटवर्कशी अजिबात कनेक्ट होणार नाही ज्याच्याकडे योग्य सर्टिफिकेट नाही. मग SCEP चा संबंध कुठे येतो? SCEP - Simple Certificate Enrolment Protocol - ही अशी यंत्रणा आहे ज्याद्वारे डिव्हाइसेस स्वयंचलितपणे त्या डिजिटल सर्टिफिकेट्सची विनंती करतात आणि ती प्राप्त करतात. SCEP शिवाय, तुम्हाला प्रत्येक डिव्हाइससाठी मॅन्युअली सर्टिफिकेट्स तयार करावे लागतील आणि वितरित करावे लागतील. दहा हजार विद्यार्थी आणि तीन हजार कर्मचारी असलेल्या विद्यापीठात, हे काम मॅन्युअली करणे व्यवहार्य नाही. SCEP ही संपूर्ण प्रक्रिया स्वयंचलित करते. हा फ्लो कसा काम करतो ते येथे दिले आहे. एखादे डिव्हाइस प्रोव्हिजनिंग नेटवर्कशी - ज्याला काहीवेळा ऑनबोर्डिंग SSID म्हटले जाते - कनेक्ट होते. ते तुमच्या SCEP सर्व्हरशी संपर्क साधते, जे सहसा तुमच्या Certificate Authority - म्हणजेच CA शी समाकलित असते. डिव्हाइस एक Certificate Signing Request सादर करते. SCEP सर्व्हर या विनंतीची पडताळणी करतो, अनेकदा तुमच्या डिरेक्टरीमध्ये - जसे की Microsoft Entra ID किंवा Google Workspace - युझरच्या क्रेडेंशियल्सची तपासणी करून. एकदा पडताळणी झाल्यावर, CA स्वाक्षरी केलेले सर्टिफिकेट जारी करते आणि डिव्हाइस ते इन्स्टॉल करते. त्या क्षणापासून, डिव्हाइस तुमच्या 802.1X ने सुरक्षित केलेल्या SSID वर स्वयंचलितपणे प्रमाणीकरण करण्यासाठी त्या सर्टिफिकेटचा वापर करते. कोणताही पोर्टल नाही, कोणतीही पासवर्डची विचारणा नाही, कोणतीही IT तिकीट निर्मिती नाही. चला आर्किटेक्चरबद्दल आणखी थोड्या तपशिलात बोलूया. एका विशिष्ट उच्च शिक्षण उपयोजनामध्ये (deployment), तुम्हाला तीन नेटवर्क सेगमेंटचा विचार करावा लागेल. पहिले, तुमचे ऑनबोर्डिंग नेटवर्क - हे असे ठिकाण आहे जेथे नोंदणी नसलेली उपकरणे येतात. याला इंटरनेट ॲक्सेस असतो परंतु ते तुमच्या अंतर्गत संसाधनांपासून वेगळे असते. दुसरे, तुमचे 802.1X-secured SSID - हे असे ठिकाण आहे जेथे नोंदणीकृत उपकरणे कनेक्ट होतात, ज्यांना त्यांच्या भूमिकेनुसार योग्य संसाधनांचा पूर्ण ॲक्सेस मिळतो. तिसरे, तुमचे व्यवस्थापन इन्फ्रास्ट्रक्चर - तुमचे RADIUS सर्व्हर, तुमचे CA, तुमचे SCEP सर्व्हर आणि तुमचे डिरेक्टरी इंटिग्रेशन. RADIUS सर्व्हर हा ट्रॅफिक पोलिसासारखा काम करतो. जेव्हा एखादे उपकरण तुमच्या 802.1X SSID शी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा ॲक्सेस पॉइंट RADIUS कडे ऑथेंटिकेशन विनंती पाठवतो. RADIUS हे CA च्या सर्टिफिकेट रिव्होकेशन लिस्टविरुद्ध सर्टिफिकेटची पडताळणी करते, तुमच्या डिरेक्टरीमध्ये वापरकर्त्याची स्थिती तपासते आणि एकतर ॲक्सेस मंजूर करते किंवा नाकारते. हे भूमिकेवर आधारित उपकरणाला VLAN कडे देखील नियुक्त करू शकते - विद्यार्थी एका सेगमेंटमध्ये जातात, प्राध्यापक दुसऱ्या सेगमेंटमध्ये आणि प्रशासकीय कर्मचारी तिसऱ्या सेगमेंटमध्ये जातात. हेच प्रत्यक्ष व्यवहारातील आयडेंटिटी-बेस्ड नेटवर्किंग (Identity-Based Networking) आहे. आता, मला विचारला जाणारा सर्वात सामान्य प्रश्नांपैकी एक म्हणजे: हे कोणत्या हार्डवेअरसह कार्य करते? चांगली बातमी अशी आहे की 802.1X हा एक स्टँडर्ड आहे, त्यामुळे तो WPA2 किंवा WPA3 Enterprise ला सपोर्ट करणाऱ्या कोणत्याही ॲक्सेस पॉइंटसह काम करतो. प्रत्यक्षात, तुम्हाला तुमच्या विशिष्ट विक्रेत्याच्या अंमलबजावणीची पडताळणी करावी लागेल. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi - हे सर्व या स्टँडर्डला सपोर्ट करतात. कॉन्फिगरेशनच्या पायऱ्या विक्रेत्यानुसार बदलतात, परंतु मूळ प्रोटोकॉल तोच असतो. एक वास्तविक अंमलबजावणी कशी दिसते ते मी तुम्हाला समजावून सांगतो. मी यूकेमधील एका मध्यम आकाराच्या विद्यापीठावर - अंदाजे पंधरा हजार विद्यार्थी, तीन कॅम्पस, Aruba आणि Meraki इन्फ्रास्ट्रक्चरचे मिश्रण - आधारित एक संमिश्र उदाहरण वापरेन. प्रकल्पाची सुरुवात नेटवर्क ऑडिटने झाली. सध्याची सेटअप ही विद्यार्थ्यांच्या ॲक्सेससाठी ओपन SSIDs आणि एका Captive Portal चे मिश्रण होती. आयटी टीम पासवर्ड रिसेट तिकिटांमुळे त्रस्त होती - आठवड्याला सुमारे चाळीस तिकिटे येत होती. iOS आणि Android वरील MAC ॲड्रेस रँडमायझेशनमुळे त्यांचे ॲनालिटिक्स पूर्णपणे विस्कळीत झाले होते, ज्यामुळे त्यांच्याकडे नेटवर्क वापराच्या पॅटर्नबद्दल कोणताही विश्वासार्ह डेटा नव्हता. पहिला टप्पा PKI इन्फ्रास्ट्रक्चर उपयोजित करण्याचा होता. त्यांनी टू-टियर CA - एक ऑफलाइन रूट CA आणि एक ऑनलाइन इश्यूइंग CA उभारला. SCEP सर्व्हर इश्यूइंग CA सह इंटिग्रेट करण्यात आला आणि ओळख पडताळणीसाठी Microsoft Entra ID शी जोडला गेला. सर्टिफिकेटचे आयुष्यमान एक वर्षासाठी सेट केले गेले होते, ज्याचे तीस दिवसांच्या कालावधीत ऑटोमॅटिक रिन्यूअल ट्रिगर केले जात असे. दुसरा टप्पा 802.1X SSID कॉन्फिगर करण्याचा होता. त्यांनी WPA3-Enterprise सह एक समर्पित SSID तयार केले, ते त्यांच्या RADIUS सर्व्हर्सकडे निर्देशित केले आणि VLAN असाइनमेंट नियम कॉन्फिगर केले. विद्यार्थ्यांना एक VLAN, कर्मचाऱ्यांना दुसरे आणि IoT उपकरणांना तिसरे VLAN मिळाले. तिसरा टप्पा म्हणजे ऑनबोर्डिंगचा अनुभव. अन-एनरोल केलेल्या उपकरणांना सेल्फ-सर्व्हिस पोर्टलवर रिडायरेक्ट करण्यासाठी त्यांनी नेटवर्क ऍक्सेस कंट्रोल सोल्यूशनचा वापर केला. विद्यार्थ्यांनी त्यांच्या युनिव्हर्सिटी क्रेडेंशियल्ससह ऑथेंटिकेट केले, SCEP फ्लो बॅकग्राउंडमध्ये चालला आणि सर्टिफिकेट इन्स्टॉल झाले. iOS वर, यासाठी कॉन्फिगरेशन प्रोफाइलची आवश्यकता होती. Android वर, ही प्रक्रिया थोडी वेगळी पण तितकीच ऑटोमेटेड होती. याचा परिणाम काय झाला? पहिल्याच महिन्यात पासवर्ड रिसेटच्या तिकिटांमध्ये नव्वद टक्क्यांहून अधिक घट झाली. नेटवर्क व्हिजिबिलिटीमध्ये लक्षणीय सुधारणा झाली कारण सर्टिफिकेटवर आधारित आयडेंटिटी MAC ॲड्रेसप्रमाणे रोटेट होत नाहीत. आणि सिक्युरिटी टीमकडे शेवटी नेटवर्कवरील प्रत्येक उपकरणासाठी एक विश्वसनीय ऑडिट ट्रेल उपलब्ध होता. आता या संपूर्ण चित्रात Purple कुठे बसते याबद्दल बोलूया. Purple चे SecurePass उत्पादन तंतोतंत याच आर्किटेक्चरवर तयार केले आहे. SecurePass हे 802.1X म्युच्युअल ऑथेंटिकेशनसह WPA2 आणि WPA3-Enterprise चा वापर करून डिजिटली स्वाक्षरी केलेले WiFi प्रोफाइल जारी करते. एनरोलमेंट प्रक्रियेसाठी तीस सेकंदांपेक्षा कमी वेळ लागतो. एकदा का उपकरणाकडे प्रोफाइल आले की, ते आपोआप कनेक्ट होते - कोणतेही पोर्टल नाही, कोणताही पासवर्ड नाही, कोणताही अडथळा नाही. उच्च शिक्षणासाठी SecurePass विशेषतः उपयुक्त ठरणारे कारण म्हणजे सिक्युरिटी आणि ॲनालिटिक्सचे एकत्रिकरण. ऑथेंटिकेशन क्रेडेंशियल हे रोटेटिंग MAC ॲड्रेस ऐवजी एक स्थिर सर्टिफिकेट असल्यामुळे, तुम्हाला अचूक रिटर्न व्हिजिट डेटा, ड्वेल टाइम आणि व्हिजिट फ्रिक्वेन्सी मिळते. तो डेटा थेट Purple च्या ॲनालिटिक्स प्लॅटफॉर्मवर जातो, ज्यामुळे तुमच्या कॅम्पस नेटवर्कचा कसा वापर केला जात आहे याची तुम्हाला खरी व्हिजिबिलिटी मिळते. स्टाफच्या डिप्लोयमेंटसाठी SecurePass हे Microsoft Entra ID आणि Google Workspace सोबत देखील इंटिग्रेट होते. याचा अर्थ असा की जेव्हा कर्मचारी युनिव्हर्सिटी सोडतो, तेव्हा त्याचा ऍक्सेस आपोआप रिव्होक (रद्द) होतो. कोणतीही मॅन्युअल प्रक्रिया नाही, विसरलेली खाती नाहीत, कोणतीही सिक्युरिटी गॅप नाही. हा जॉइनर्स, मूव्हर्स, लीव्हर्स वर्कफ्लो एंड-टू-एंड ऑटोमेटेड आहे. RADIUS इन्फ्रास्ट्रक्चरसाठी, Purple क्लाउड RADIUS सर्व्हर्स चालवते - प्रायमरी आणि सेकंडरी - ज्यामुळे तुम्हाला ते इन्फ्रास्ट्रक्चर स्वतः मॅनेज करावे लागत नाही. सपोर्टेड हार्डवेअर लिस्टमध्ये Cisco Meraki, Cisco Catalyst, HPE Aruba, Ubiquiti UniFi, Ruckus, Juniper Mist आणि Fortinet यांचा समावेश आहे. सविस्तर माहिती Purple सपोर्ट साईटवरील SecurePass FAQ मध्ये उपलब्ध आहे. इम्प्लीमेंटेशन करताना येणाऱ्या आणि लक्ष ठेवायला हव्या अशा काही अडचणी मी तुम्हाला सांगतो. या अशा गोष्टी आहेत ज्या प्रत्यक्ष डिप्लोयमेंट करताना टीम्सना अडचणीत आणतात. पहिली: सर्टिफिकेट रिव्होकेशन (रद्द करणे). तुमच्याकडे कार्यरत असणारी CRL - Certificate Revocation List - किंवा OCSP रिस्पॉन्डर असणे आवश्यक आहे. जर तुमचा RADIUS सर्व्हर रिव्होकेशन स्टेटस तपासू शकत नसेल, तर तुम्ही एकतर सर्व कनेक्शन्स ब्लॉक करता किंवा सर्व कनेक्शन्स स्वीकारता. या दोन्ही गोष्टी स्वीकारण्यायोग्य नाहीत. लाईव्ह जाण्यापूर्वी तुमच्या रिव्होकेशन इन्फ्रास्ट्रक्चरची चाचणी घ्या. दुसरी: डिव्हाइस कम्पॅटिबिलिटी (उपकरणांची सुसंगतता). बहुतेक आधुनिक iOS, Android, macOS आणि Windows उपकरणे मूळतःच EAP-TLS ला सपोर्ट करतात. परंतु जुनी उपकरणे, IoT एंडपॉइंट्स आणि काही लेगसी सिस्टीम्स याला सपोर्ट करत नाहीत. तुम्हाला त्या उपकरणांसाठी एक प्लॅन तयार ठेवावा लागेल - मग ते वेगळ्या ऑथेंटिकेशनसह स्वतंत्र SSID असो, किंवा एखादी मॅनेज्ड अपवाद प्रक्रिया असो.तिसरे: प्रमाणपत्राचा जीवनकाळ आणि नूतनीकरण. जर प्रमाणपत्रे कालबाह्य झाली आणि नूतनीकरण प्रक्रिया अयशस्वी झाली, तर युजर्सचा ऍक्सेस निघून जातो. तुमची नूतनीकरण विंडो पुरेशी ठेवा - समाप्तीपूर्वीचे तीस दिवस हे एक वाजवी किमान प्रमाण आहे. प्रमाणपत्राच्या समाप्तीचे मध्यवर्ती देखरेख करा आणि ती समस्या बनण्यापूर्वी अलर्ट द्या. चौथे: ऑनबोर्डिंगचा अनुभव. तांत्रिक प्रवाह परिपूर्ण असू शकतो, परंतु जर विद्यार्थ्यांना नावनोंदणी प्रक्रिया गोंधळात टाकणारी वाटली, तर ते ती पूर्ण करणार नाहीत. स्पष्ट चिन्हे, साधे सेल्फ-सर्व्हिस पोर्टल आणि एका छोट्या मदत मार्गदर्शकामध्ये गुंतवणूक करा. SecurePass जी तीस सेकंदांची नावनोंदणी जाहिरात करते ती साध्य करणे शक्य आहे, परंतु केवळ UX योग्य असेल तरच. पाचवे: RADIUS सर्व्हरची लवचिकता. तुमचे 802.1X इन्फ्रास्ट्रक्चर आता नेटवर्क ऍक्सेससाठी महत्त्वपूर्ण मार्ग आहे. जर तुमचा RADIUS सर्व्हर बंद पडला, तर कोणीही कनेक्ट होऊ शकत नाही. तुम्हाला प्राथमिक आणि दुय्यम RADIUS सर्व्हरची आवश्यकता आहे, आदर्शपणे वेगवेगळ्या उपलब्धता झोनमध्ये, ज्यामध्ये स्वयंचलित फेलओव्हर असेल. आता आमच्या जलद प्रश्नोत्तरांकडे वळूयात. हे ते प्रश्न आहेत जे मला वारंवार विचारले जातात. SCEP क्लाउड-आधारित CA सोबत काम करू शकते का? होय. Microsoft चे NDES - Network Device Enrolment Service - आणि अनेक थर्ड-पार्टी क्लाउड CA प्रदाते HTTPS वर SCEP ला सपोर्ट करतात. तुम्हाला ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चरची आवश्यकता नाही. 802.1X हे Passpoint आणि OpenRoaming सोबत काम करते का? होय. Passpoint - ज्याला Hotspot 2.0 म्हणूनही ओळखले जाते - हे 802.1X ला त्याचा ऑथेंटिकेशन स्तर म्हणून वापरते. OpenRoaming त्याचा विस्तार जगभरातील विश्वसनीय नेटवर्कच्या जागतिक महासंघापर्यंत करते. SecurePass द्वारे नावनोंदणी केलेला विद्यार्थी जगभरातील ऐंशी हजारांपेक्षा जास्त OpenRoaming ठिकाणी स्वयंचलितपणे कनेक्ट होईल. यामध्ये विमानतळ, हॉटेल्स, ट्रान्सपोर्ट हब यांचा समावेश आहे - कोणत्याही अतिरिक्त कृतीशिवाय. गेस्ट ऍक्सेसचे काय? 802.1X आणि SCEP हे व्यवस्थापित डिव्हाइसेस आणि ज्ञात ओळखींसाठी आहेत. अस्सल अतिथींसाठी (गेस्ट), तुम्हाला अद्याप वेगळ्या गेस्ट ऍक्सेस यंत्रणेची आवश्यकता आहे. या दोन्ही प्रणाली समांतर चालतात; त्या एकमेकांशी विसंगत ठरत नाहीत. WPA3-Enterprise अनिवार्य आहे का? नाही, 802.1X सह WPA2-Enterprise अजूनही मोठ्या प्रमाणावर तैनात आहे आणि बहुतेक वापर प्रकरणांसाठी पूर्णपणे सुरक्षित आहे. WPA3-Enterprise अधिक मजबूत एन्क्रिप्शन जोडते. तुमचे हार्डवेअर याला सपोर्ट करत असल्यास, ते सुरू करा. नसल्यास, WPA2-Enterprise हा एक मजबूत आधार आहे. शेवटी, या ब्रीफिंगमधून तुम्ही पाच गोष्टी लक्षात ठेवाव्यात अशी माझी इच्छा आहे. एक: उच्च शिक्षणामध्ये BYOD साठी प्रमाणपत्र-आधारित ऑथेंटिकेशनसह 802.1X हे योग्य सुरक्षा आर्किटेक्चर आहे. आज तुम्ही ज्या थ्रेट वातावरणात काम करत आहात त्यासाठी पासवर्ड आणि पोर्टल पुरेसे नाहीत. दोन: SCEP ही अशी गोष्ट आहे जी प्रमाणपत्र-आधारित ऑथेंटिकेशनला स्केलेबल बनवते. स्वयंचलित नावनोंदणीशिवाय, तुम्ही विद्यापीठाला आवश्यक असलेल्या प्रमाणात प्रमाणपत्रे तैनात करू शकत नाही. तीन: परस्पर ऑथेंटिकेशन (म्युच्युअल ऑथेंटिकेशन) हे मुख्य सुरक्षा वैशिष्ट्य आहे. हे तुमच्या नेटवर्कला अनधिकृत डिव्हाइसेसपासून संरक्षित करते तितकेच ते तुमच्या विद्यार्थ्यांना बनावट ऍक्सेस पॉइंट्सपासून देखील सुरक्षित ठेवते. चार: डिरेक्टरी इंटिग्रेशन - Microsoft Entra ID किंवा Google Workspace सह - ही अशी गोष्ट आहे जी जॉइनर्स, मूव्हर्स आणि लीव्हर्सचा वर्कफ्लो स्वयंचलित करते. याच्याशिवाय 802.1X तैनात करू नका. पाच: ऑनबोर्डिंगचा अनुभव दत्तक घेण्याचे प्रमाण ठरवतो. तंत्रज्ञान अगदी परिपूर्ण असू शकते, पण जर नावनोंदणी प्रक्रिया क्लिष्ट असेल, तर तुम्ही वेळ वाचवण्याऐवजी सपोर्ट तिकिटांवर जास्त वेळ घालवाल. तुम्हाला अधिक सखोल माहिती हवी असल्यास, Purple सपोर्ट साईटवर SecurePass चे तपशीलवार दस्तऐवजीकरण उपलब्ध आहे, ज्यामध्ये RADIUS कॉन्फिगरेशन, हार्डवेअर सुसंगतता आणि नावनोंदणी प्रवाहाचा समावेश आहे. लिंक्स शो नोट्समध्ये दिल्या आहेत. ऐकल्याबद्दल धन्यवाद. पुढील ब्रीफिंगमध्ये भेटू.