SCEP चे एंटरप्राइझ मार्गदर्शक: स्वयंचलित कॅम्पस WiFi सुरक्षेसाठी Simple Certificate Enrollment Protocol उपयोजित करणे

शुभ प्रभात. जर तुम्ही हॉटेल ग्रुप, रिटेल इस्टेट, स्टेडियम किंवा युनिव्हर्सिटी कॅम्पसमध्ये WiFi इन्फ्रास्ट्रक्चर मॅनेज करत असाल, तर हे ब्रीफिंग तुमच्यासाठी आहे. आम्ही SCEP - Simple Certificate Enrollment Protocol - बद्दल जाणून घेणार आहोत आणि विशेषतः ते एंटरप्राइझ WiFi मधील सर्वात कठीण समस्येचे कसे निवारण करते: तुमच्या हेल्पडेस्कला तिकिटांचा त्रास न देता, हजारो डिव्हाइसेसवर स्वयंचलितपणे सर्टिफिकेट्स कसे मिळवायचे. [short pause] मी आधी पार्श्वभूमी स्पष्ट करतो. तुम्ही निर्णय घेतला आहे - जो योग्य आहे - की कर्मचाऱ्यांच्या WiFi साठी प्री-शेअर्ड की आता स्वीकार्य नाहीत. एका सिंगल कॉम्प्रमाइज्ड पासवर्डमुळे तुमचा संपूर्ण नेटवर्क सेगमेंट धोक्यात येतो. तुम्ही 802.1X ऑथेंटिकेशनकडे वळला आहात किंवा वळत आहात. हे ते IEEE मानक आहे ज्यासाठी प्रत्येक डिव्हाइसला नेटवर्क अ‍ॅक्सेस मिळण्यापूर्वी स्वतःची ओळख सिद्ध करणे आवश्यक असते. 802.1X चा सर्वात सुरक्षित प्रकार म्हणजे EAP-TLS - Extensible Authentication Protocol with Transport Layer Security - जो पासवर्ड ऐवजी डिजिटल सर्टिफिकेट्स वापरतो. सर्टिफिकेट्स प्रत्येक डिव्हाइससाठी क्रिप्टोग्राफिकली युनिक असतात, ते शेअर केले जाऊ शकत नाहीत आणि एखादे डिव्हाइस गहाळ झाल्यास किंवा कर्मचाऱ्याने नोकरी सोडल्यास ते त्वरित रिव्होक केले जाऊ शकतात. [short pause] इथपर्यंत सर्व ठीक आहे. खरी समस्या डिस्ट्रिब्युशनची आहे. तंत्रज्ञाने प्रत्येक डिव्हाइसला स्पर्श न करता तुमच्या इस्टेटमधील प्रत्येक लॅपटॉप, प्रत्येक फोन, प्रत्येक टॅबलेटवर - Windows, iOS, Android, macOS वर - एक युनिक सर्टिफिकेट कसे मिळवायचे? SCEP याच समस्येचे अचूक निवारण करते. [medium pause] SCEP ला 2020 मध्ये RFC 8894 मधील इंटरनेट इंजिनिअरिंग टास्क फोर्सद्वारे औपचारिक रूप देण्यात आले होते, तरीही हे 2000 च्या दशकाच्या सुरुवातीपासून एंटरप्राइझ वातावरणात वापरले जात आहे. हा असा प्रोटोकॉल आहे जो प्री-कॉन्फिगर केलेल्या URL आणि चॅलेंज पासवर्डचा वापर करून मॅनेज्ड डिव्हाइसला त्याच्या स्वतःच्या सर्टिफिकेट अथॉरिटीकडून थेट स्वतःच्या सर्टिफिकेटची विनंती करू देतो. येथील सर्वात महत्त्वाचा सुरक्षा बिंदू: प्रायव्हेट की डिव्हाइसवरच जनरेट केली जाते, डिव्हाइसच्या सुरक्षित एन्क्लेव्हमध्ये स्टोअर केली जाते - जो Windows डिव्हाइसेसवर TPM चिप किंवा Apple हार्डवेअरवर Secure Enclave असतो - आणि ती कधीही नेटवर्कवर ट्रॅव्हल करत नाही. डिव्हाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट जनरेट करते, ती SCEP गेटवेवर पाठवते, गेटवे चॅलेंज प्रमाणित करतो, विनंती तुमच्या सर्टिफिकेट अथॉरिटीकडे फॉरवर्ड करतो, CA त्यावर साइन करतो आणि साईन केलेले सर्टिफिकेट डिव्हाइसकडे परत येते. ही संपूर्ण प्रक्रिया एंड युझरसाठी अदृश्य असते. [short pause] आता, Microsoft वातावरणात, SCEP गेटवे हा सामान्यतः NDES - Network Device Enrollment Service असतो - हा एक Windows Server रोल आहे जो तुमच्या MDM प्लॅटफॉर्म आणि तुमच्या CA मधील मध्यस्थ म्हणून काम करतो. Microsoft Intune मॅनेज्ड डिव्हाइसेसवर SCEP प्रोफाइल पुश करते, जे त्यांना NDES URL आणि चॅलेंज पासवर्ड सांगते. डिव्हाइसेस उर्वरित प्रक्रिया स्वयंचलितपणे करतात. [medium pause] प्रत्यक्ष अंमलबजावणी कशी दिसते ते मी तुम्हाला सविस्तर सांगतो. १५० प्रॉपर्टीज असणारा एक हॉटेल समूह गृहीत धरा - अगदी Premier Inn च्या स्केलचा विचार करा. त्यांच्याकडे फ्रंट-ऑफ-हाउस कर्मचाऱ्यांसाठी Windows लॅपटॉप्स, हाउसकीपिंग सुपरवायझर्ससाठी iOS डिव्हाइसेस आणि रेस्टॉरंट पॉइंट-ऑफ-सेलवर Android टॅब्लेट्सचे मिश्रण आहे. SCEP वापरण्यापूर्वी, ते त्रैमासिक बदलल्या जाणाऱ्या शेअर्ड पासवर्डसह WPA2-Personal चालवत होते. प्रत्येक पासवर्ड बदलानंतर हेल्पडेस्क कॉल्सचा पूर यायचा. SCEP आणि Intune सह, ते लागोपाठ तीन प्रोफाइल्स डिप्लॉय करतात. पहिले, Trusted Root Certificate प्रोफाइल - हे प्रत्येक डिव्हाइसला कंपनीच्या Certificate Authority वर विश्वास ठेवण्यास सांगते. दुसरे, SCEP Certificate प्रोफाइल - हे डिव्हाइसेसना त्यांचे युनिक क्लायंट सर्टिफिकेट गोळा करण्याचे निर्देश देते. तिसरे, WiFi प्रोफाइल - हे SSID कॉन्फिगर करते, सिक्युरिटी टाईप WPA2-Enterprise किंवा WPA3-Enterprise वर सेट करते आणि ऑथेंटिकेशनसाठी SCEP सर्टिफिकेटकडे निर्देशित करते. Intune मधील त्याच डिव्हाइस ग्रुपमध्ये हे तीन प्रोफाइल्स डिप्लॉय करा, आणि प्रत्येक मॅनेज केलेले डिव्हाइस युनिक सर्टिफिकेटसह, युझरच्या कोणत्याही हस्तक्षेपाशिवाय कॉर्पोरेट SSID ला आपोआप कनेक्ट होते. [short pause] RADIUS सर्व्हर - सहसा Microsoft NPS किंवा क्लाउड RADIUS सर्व्हिस - EAP-TLS ऑथेंटिकेशन विनंती प्राप्त करतो, CA कडून सर्टिफिकेट व्हॅलिडेट करतो, Certificate Revocation List तपासतो आणि ॲक्सेस मंजूर किंवा नाकारतो. जर एखादा कर्मचारी नोकरीवरून कमी झाला, तर तुम्ही CA मधील त्याचे सर्टिफिकेट रिव्होक (रद्द) करता. त्यांच्या डिव्हाइसचा WiFi ॲक्सेस पुढील ऑथेंटिकेशन सायकलमध्ये बंद होतो. कोणताही पासवर्ड रिसेट करण्याची गरज नसते. त्रैमासिक पासवर्ड बदलण्याची वाट पाहण्याची गरज उरत नाही. [medium pause] आता, लोक सहसा SCEP आणि PKCS - Public Key Cryptography Standards मधील फरकाबद्दल विचारतात. दोन्ही Intune सोबत काम करतात. मुख्य फरक हा आहे की प्रायव्हेट की कुठे जनरेट होते. SCEP सह, ती डिव्हाइसवरच जनरेट होते. PKCS सह, CA दोन्ही की मध्यवर्ती ठिकाणी जनरेट करतो आणि प्रायव्हेट की डिव्हाइसवर पुश करतो. याचा अर्थ असा की प्रायव्हेट की नेटवर्कवरून प्रवास करते, ज्यामुळे नेटवर्कमध्ये ती हॅक होण्याचा सैद्धांतिक धोका निर्माण होतो. PKCS चे स्वतःचे महत्त्व आहे - हे S/MIME ईमेल एन्क्रिप्शनसाठी अधिक योग्य आहे जिथे की एस्क्रो महत्त्वाचे असते. WiFi ऑथेंटिकेशनसाठी, SCEP हाच योग्य पर्याय आहे. नेहमीच. [short pause] मी तुम्हाला दुसरी परिस्थिती सांगतो - रिटेल इस्टेट. संपूर्ण UK मध्ये २०० स्टोअर्स असलेल्या एका फॅशन रिटेलरची कल्पना करा, ज्यातील प्रत्येक स्टोअरमध्ये Cisco Meraki ॲक्सेस पॉइंट्स कार्यरत आहेत. त्यांची पॉइंट-ऑफ-सेल सिस्टीम्स Windows-आधारित आहेत, ज्या Intune द्वारे मॅनेज केल्या जातात. त्यांना PCI DSS अनुपालनाची (compliance) आवश्यकता आहे, ज्याचा अर्थ कार्डधारकांचा डेटा हाताळणाऱ्या कोणत्याही डिव्हाइससाठी नेटवर्क सेगमेंटेशन आणि मजबूत ऑथेंटिकेशन आवश्यक आहे. SCEP-आधारित EAP-TLS त्यांना स्टाफ SSID वर डिव्हाइस-लेव्हल ऑथेंटिकेशन देते, ज्यामध्ये RADIUS पॉलिसीद्वारे VLAN असाइनमेंट चालवली जाते. POS टर्मिनल्स आपोआप PCI-scoped VLAN वर कनेक्ट होतात. गेस्ट WiFi - जे स्वतंत्रपणे Purple सारख्या प्लॅटफॉर्मद्वारे हाताळले जाते - ते स्वतःच्या स्वतंत्र ऑथेंटिकेशन फ्लोसह पूर्णपणे विलग केलेल्या SSID वर चालते. ही दोन्ही नेटवर्क्स कधीही एकमेकांना स्पर्श करत नाहीत. ऑडिटर्स खूश असतात. सिक्युरिटी टीम सुखाची झोप घेते. [medium pause] बरं, आता अडचणींबद्दल बोलूया, कारण अशा काही गोष्टी आहेत ज्या टीम्सना अडचणीत आणतात. [short pause] Intune मधील ग्रुप टार्गेटिंगमधील विसंगती हा सर्वात सामान्य बिघाड होण्याचा प्रकार आहे. तुमचे Trusted Root प्रोफाइल, तुमचे SCEP प्रोफाइल आणि तुमचे WiFi प्रोफाइल या सर्वांनी एकाच Azure AD ग्रुपला टार्गेट केले पाहिजे. जर SCEP प्रोफाइल User ग्रुपला टार्गेट करत असेल आणि WiFi प्रोफाइल Device ग्रुपला टार्गेट करत असेल, तर Intune ही परस्परावलंबित्व सोडवू शकत नाही आणि WiFi प्रोफाइल त्रुटी (error) म्हणून दर्शविले जाते. आधी तुमचे असाइनमेंट्स तपासा - जवळजवळ नेहमीच हाच मूळ दोष असतो. [short pause] दुसरी त्रुटी: NDES सर्व्हरची उपलब्धता. रिमोट डिव्हाइसेस ऑन-साइट येण्यापूर्वी त्यांची नोंदणी करण्यासाठी इंटरनेटवरून तुमचा NDES सर्व्हर पोहोचण्यायोग्य असणे आवश्यक आहे. हे करण्याचा सुरक्षित मार्ग म्हणजे Azure AD Application Proxy द्वारे, जे तुम्हाला इनबाउंड फायरवॉल पोर्ट्स न उघडता रिमोट ऍक्सेस देते. NDES थेट इंटरनेटवर उघडे करू नका. [short pause] तिसरी: CRL उपलब्धता. जेव्हा जेव्हा एखादे डिव्हाइस ऑथेंटिकेट होते तेव्हा तुमचा RADIUS सर्व्हर Certificate Revocation List तपासतो. जर CRL Distribution Point पोहोचण्यायोग्य नसेल - कदाचित एखादा सर्व्हर डाउन असेल, किंवा फायरवॉल नियम बदलला असेल - तर प्रत्येकासाठी ऑथेंटिकेशन अयशस्वी होते. तुमचे CRL एंडपॉइंट्स अत्यंत उपलब्ध ठेवा आणि त्यांची नियमित चाचणी घ्या. [short pause] चौथी: सर्टिफिकेट टेम्पलेट परवानग्या. जर तुमच्या NDES कनेक्टर सर्व्हिस अकाउंटकडे सर्टिफिकेट टेम्पलेटवर Read आणि Enroll परवानग्या नसतील, तर डिव्हाइसेसना त्यांचे सर्टिफिकेट मिळवण्याचा प्रयत्न करताना HTTP 403 एरर्स येतात. हे परवानग्यांचे एक सोपे फिक्स आहे, परंतु सुरुवातीच्या सेटअप दरम्यान हे सुटणे सोपे असते. [medium pause] आता झटपट उत्तरांची फेरी घेऊया. [short pause] काय SCEP हे नॉन-Microsoft MDMs सोबत काम करू शकते? होय - Apple डिव्हाइस फ्लीट्ससाठी Jamf, VMware Workspace ONE आणि बहुतेक एंटरप्राइझ MDM प्लॅटफॉर्म्स SCEP प्रोफाइलला सपोर्ट करतात. हा प्रोटोकॉल वेंडर-न्यूट्रल आहे. [short pause] SCEP हे क्लाउड PKI सोबत काम करते का? होय. Intune Suite मधील Microsoft चे स्वतःचे क्लाउड PKI ऑन-प्रिमाइसेस NDES सर्व्हरची गरज पूर्णपणे काढून टाकते. SecureW2 आणि Keyfactor सारखे थर्ड-पार्टी क्लाउड PKI प्रदाते देखील क्लाउड SCEP एंडपॉइंट्स ऑफर करतात. [short pause] WPA3-Enterprise बद्दल काय? WPA3-Enterprise समान 802.1X आणि EAP-TLS ऑथेंटिकेशन स्टॅक वापरते. SCEP द्वारे जारी केलेले सर्टिफिकेट्स अगदी तशाच प्रकारे काम करतात. अपग्रेड हे वायरलेस प्रोटोकॉल लेयरवर असते, सर्टिफिकेट लेयरवर नाही. [short pause] सर्टिफिकेट्सचा कालावधी किती असतो? सामान्यतः एक वर्ष, तरीही तुम्ही कमी वैधतेचे कालावधी कॉन्फिगर करू शकता. कालबाह्य होण्यापूर्वी Intune स्वयंचलित नूतनीकरण (automatic renewal) हाताळते, ज्यामुळे वापरकर्त्यांना कधीही कोणताही अडथळा येत नाही. [medium pause] थोडक्यात सांगायचे तर, SCEP मोठ्या प्रमाणावर सर्टिफिकेट वितरणाचे ऑटोमेशन करते, ज्यामुळे मोठ्या डिव्हाइस फ्लीट्सवर PKI डिप्लॉयमेंटचा मॅन्युअल ओव्हरहेड नाहीसा होतो. प्रायव्हेट की डिव्हाइसवरच राहते - हाच EAP-TLS चा सुरक्षेचा पाया आहे. क्रमाने डिप्लॉय करा: आधी Trusted Root, दुसरे SCEP प्रोफाइल, तिसरे WiFi प्रोफाइल, जे सर्व एकाच ग्रुपला टार्गेट करतील. Application Proxy द्वारे तुमचा NDES एंडपॉईंट सुरक्षितपणे पब्लिश करा. तुमचे CRL एंडपॉइंट्स अत्यंत उपलब्ध ठेवा. आणि जर तुम्ही नव्याने सुरुवात करत असाल, तर ऑन-प्रिमाइसेस NDES वरील अवलंबित्व पूर्णपणे काढून टाकण्यासाठी क्लाउड PKI चे मूल्यांकन करा. [short pause] गेस्ट WiFi साठी - स्वतंत्र, अभ्यागतांसाठी असलेले नेटवर्क - प्रमाणपत्र-आधारित प्रमाणीकरण (certificate-based authentication) हा योग्य पर्याय नाही. गेस्टकडे व्यवस्थापित डिव्हाइसेस नसतात. अशा ठिकाणी Purple सारखे प्लॅटफॉर्म प्रमाणीकरण फ्लो हाताळते: captive portal, सोशल लॉगिन, ईमेल कॅप्चर किंवा SMS पडताळणी, जे सर्व थेट फर्स्ट-पार्टी डेटा लेयरमध्ये जोडले जाते ज्याचा वापर तुमची मार्केटिंग टीम प्रत्यक्षात करू शकते. हे दोन्ही दृष्टिकोन एकमेकांना पूरक आहेत: तुमच्या व्यवस्थापित कर्मचारी वर्गासाठी SCEP, तुमच्या गेस्ट नेटवर्कसाठी Purple. दोन्ही एकाच हार्डवेअरवर चालतात, आणि VLAN द्वारे स्पष्टपणे विभागलेले असतात. [short pause] ही SCEP एंटरप्राइझ WiFi ऑनबोर्डिंगची तुमची संक्षिप्त माहिती आहे. आर्किटेक्चर डायग्राम, टप्प्याटप्प्याने केलेले Intune कॉन्फिगरेशन आणि व्यावहारिक उदाहरणांसह संपूर्ण लेखी मार्गदर्शिका Purple वेबसाइटवर उपलब्ध आहे. ऐकल्याबद्दल धन्यवाद.