PEAP ऑथेंटिकेशन म्हणजे काय? PEAP तुमचे WiFi कसे सुरक्षित करते

PEAP ऑथेंटिकेशन म्हणजे काय? PEAP तुमचे WiFi कसे सुरक्षित करते. एक Purple एंटरप्राइझ WiFi इंटेलिजन्स ब्रीफिंग. स्वागत आहे. जर तुम्ही हॉटेल ग्रुप, रिटेल एस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील संस्थेमध्ये नेटवर्क सुरक्षेसाठी जबाबदार असाल, तर हे ब्रीफिंग तुमच्यासाठी आहे. पुढील दहा मिनिटांत, आपण PEAP ऑथेंटिकेशन कव्हर करणार आहोत — ते प्रत्यक्षात काय आहे, ते आतून कसे कार्य करते, ते तुमच्या सुरक्षा आर्किटेक्चरमध्ये कुठे बसते आणि सर्वात महत्त्वाचे म्हणजे, ते कधी योग्य आहे आणि तुम्ही त्याहून अधिक मजबूत पर्याय कधी शोधला पाहिजे. चला तर मग सुरुवात करूया. विभाग एक: संदर्भ आणि हे आता का महत्त्वाचे आहे. आजचे बहुतांश एंटरप्राइझ WiFi डिप्लॉयमेंट्स अजूनही दोनपैकी एका ऑथेंटिकेशन मॉडेलवर अवलंबून आहेत. तुमच्याकडे एकतर प्री-शेअर्ड की (pre-shared key) आहे — संपूर्ण संस्थेमध्ये शेअर केलेला एकच पासवर्ड — किंवा तुमच्याकडे 802.1X आहे, जे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी IEEE मानक आहे. PEAP हे 802.1X च्या श्रेणीत येते, आणि जागतिक स्तरावर कॉर्पोरेट आणि संस्थात्मक वातावरणात ही सर्वात जास्त वापरली जाणारी EAP पद्धत आहे. PEAP इतके प्रबळ होण्याचे कारण सरळ आहे: त्याने एका वास्तविक ऑपरेशनल समस्येचे निराकरण केले. PEAP पूर्वी, प्रमाणपत्र-आधारित WiFi ऑथेंटिकेशन डिप्लॉय करणे म्हणजे प्रत्येक डिव्हाइसला — प्रत्येक लॅपटॉप, प्रत्येक फोन, प्रत्येक टॅब्लेटला क्लायंट प्रमाणपत्रे जारी करणे. पाचशे कर्मचारी आणि BYOD पॉलिसी असलेल्या संस्थेसाठी, ती एक PKI डिप्लॉयमेंटची डोकेदुखी आहे ज्यासाठी बहुतांश आयटी टीम्सकडे बजेट किंवा वेळ नव्हता. PEAP ने एक मध्यम मार्ग दिला: TLS द्वारे मजबूत सर्व्हर-साइड ऑथेंटिकेशन, आणि क्लायंटच्या बाजूला युजरनेम आणि पासवर्ड क्रेडेन्शियल्स. कोणत्याही क्लायंट प्रमाणपत्रांची आवश्यकता नाही. त्या तडजोडीमुळे 2000 आणि 2010 च्या दशकात एंटरप्राइझ WiFi ऑथेंटिकेशनसाठी PEAP हे डी फॅक्टो मानक (de facto standard) बनले, आणि ते आजही अत्यंत सामान्य आहे. त्याचे आर्किटेक्चर — आणि त्याच्या मर्यादा — समजून घेणे 2024 आणि त्यानंतर इन्फ्रास्ट्रक्चरचे निर्णय घेणाऱ्या प्रत्येकासाठी आवश्यक आहे. विभाग दोन: तांत्रिक सखोल माहिती. जेव्हा एखादे डिव्हाइस PEAP द्वारे ऑथेंटिकेट करते तेव्हा नेमके काय होते ते पाहूया. या प्रक्रियेचे दोन वेगळे टप्पे आहेत, आणि दोन्ही समजून घेणे महत्त्वाचे आहे. या एक्सचेंजमधील तीन घटक आहेत: सप्लिकंट (supplicant) — ते क्लायंट डिव्हाइस आहे, मग तो लॅपटॉप, स्मार्टफोन किंवा IoT टर्मिनल असो; ऑथेंटिकेटर (authenticator) — सामान्यतः वायरलेस ॲक्सेस पॉईंट किंवा वायरलेस LAN कंट्रोलर; आणि ऑथेंटिकेशन सर्व्हर — जवळजवळ नेहमीच एक RADIUS सर्व्हर, जसे की Microsoft NPS, FreeRADIUS, किंवा क्लाउड-होस्टेड RADIUS सेवा. पहिला टप्पा म्हणजे TLS टनेलची स्थापना. जेव्हा सप्लिकंट कनेक्ट होण्याचा प्रयत्न करतो, तेव्हा ऑथेंटिकेटर त्वरित ॲक्सेस देत नाही. त्याऐवजी, तो लोकल नेटवर्कवर EAP एक्सचेंज सुरू करतो — हे EAPOL, EAP ओव्हर LAN आहे. ऑथेंटिकेटर हे RADIUS सर्व्हरकडे फॉरवर्ड करतो, जो क्लायंटला त्याचे सर्व्हर-साइड TLS प्रमाणपत्र सादर करतो. क्लायंट त्याच्या विश्वसनीय प्रमाणपत्र स्टोअरच्या विरुद्ध त्या प्रमाणपत्राची पडताळणी करतो. पडताळणी यशस्वी झाल्यास, क्लायंट आणि RADIUS सर्व्हर दरम्यान एक TLS टनेल स्थापित केला जातो. हा टनेल एन्क्रिप्टेड असतो — आधुनिक डिप्लॉयमेंट्समध्ये सामान्यतः TLS 1.2 किंवा 1.3. दुसरा टप्पा म्हणजे इनर ऑथेंटिकेशन. त्या एन्क्रिप्टेड टनेलच्या आत, प्रत्यक्ष क्रेडेन्शियल्स एक्सचेंज केले जातात. सर्वात सामान्य डिप्लॉयमेंटमध्ये — PEAP-MSCHAPv2 — क्लायंट Microsoft Challenge Handshake Authentication Protocol version 2 वापरून युजरनेम आणि पासवर्ड पाठवतो. RADIUS सर्व्हर त्याच्या आयडेंटिटी स्टोअरच्या विरुद्ध त्या क्रेडेन्शियल्सची पडताळणी करतो, जे ॲक्टिव्ह डिरेक्टरी, LDAP किंवा क्लाउड आयडेंटिटी प्रोव्हायडर असू शकते. क्रेडेन्शियल्स योग्य असल्यास, RADIUS सर्व्हर ऑथेंटिकेटरद्वारे ॲक्सेस-ॲक्सेप्ट (Access-Accept) मेसेज परत पाठवतो आणि क्लायंटला नेटवर्क ॲक्सेस दिला जातो. येथील प्रमुख सुरक्षा वैशिष्ट्य म्हणजे MSCHAPv2 एक्सचेंज TLS टनेलच्या आत होते. वायरलेस चॅनेलचे पॅसिव्ह मॉनिटरिंग करणारा हल्लेखोर ट्रान्झिटमधील क्रेडेन्शियल्स पाहू शकत नाही. हे PEAP चे मुख्य मूल्य (core value proposition) आहे. आता, PEAP-MSCHAPv2 कुठे कमी पडते? दोन महत्त्वपूर्ण समस्या आहेत ज्या कोणत्याही सुरक्षा-जागरूक आर्किटेक्टने समजून घेणे आवश्यक आहे. पहिले: सर्व्हर प्रमाणपत्र पडताळणी. PEAP मध्ये फक्त सर्व्हरने प्रमाणपत्र सादर करणे आवश्यक असते — क्लायंटने ते सादर करणे आवश्यक नसते. यामुळे एक ज्ञात अटॅक व्हेक्टर (attack vector) तयार होतो. जर क्लायंट डिव्हाइस कोणतेही प्रमाणपत्र स्वीकारण्यासाठी — किंवा कोणत्याही CA कडील प्रमाणपत्रे स्वीकारण्यासाठी चुकीच्या पद्धतीने कॉन्फिगर केलेले असेल — तर हल्लेखोर रोग ॲक्सेस पॉईंट (rogue access point) उभा करू शकतो, बनावट प्रमाणपत्र सादर करू शकतो आणि MSCHAPv2 हँडशेक इंटरसेप्ट करू शकतो. hostapd-wpe सारख्या टूल्सनी हा हल्ला अगदी सोपा केला आहे. यावरील उपाय म्हणजे कठोर सप्लिकंट कॉन्फिगरेशन: सर्व्हर प्रमाणपत्र पडताळणीची सक्ती करा, अपेक्षित CA पिन करा आणि सर्व्हरचे कॉमन नेम निर्दिष्ट करा. कोणत्याही गंभीर डिप्लॉयमेंटमध्ये हे अनिवार्य आहे. दुसरे: MSCHAPv2 हा ज्ञात कमकुवतपणा असलेला जुना प्रोटोकॉल आहे. Moxie Marlinspike च्या 2012 च्या संशोधनाने हे सिद्ध केले की MSCHAPv2 चॅलेंज-रिस्पॉन्स पेअर्स पुरेशा कॉम्प्युट पॉवरसह ऑफलाइन क्रॅक केले जाऊ शकतात. जर हल्लेखोराने इनर ऑथेंटिकेशन एक्सचेंज कॅप्चर केले — उदाहरणार्थ वर वर्णन केलेल्या रोग AP हल्ल्याद्वारे — तर ते प्लेनटेक्स्ट पासवर्ड ऑफलाइन रिकव्हर करण्याचा प्रयत्न करू शकतात. त्यामुळे तुमच्या पासवर्ड पॉलिसीची ताकद थेट तुमच्या धोक्यावर परिणाम करते. लांब, गुंतागुंतीचे, यादृच्छिकपणे (randomly) जनरेट केलेले पासवर्ड्स हा धोका लक्षणीयरीत्या कमी करतात. याची तुलना EAP-TLS शी करा, जिथे सर्व्हर आणि क्लायंट दोन्ही प्रमाणपत्रे सादर करतात. चोरी करण्यासाठी कोणतेही पासवर्ड्स नसतात. हल्ल्याची शक्यता नाटकीयरित्या कमी होते. यातील तडजोड म्हणजे ऑपरेशनल गुंतागुंत: तुम्हाला PKI ची आवश्यकता असते, तुम्हाला क्लायंट प्रमाणपत्रे जारी आणि व्यवस्थापित करण्याची आवश्यकता असते आणि ती प्रत्येक डिव्हाइसवर वितरित करण्यासाठी तुम्हाला एका यंत्रणेची आवश्यकता असते. परिपक्व MDM डिप्लॉयमेंट आणि चांगल्या प्रकारे व्यवस्थापित PKI असलेल्या संस्थांसाठी, EAP-TLS हे सुवर्ण मानक (gold standard) आहे. इतर सर्वांसाठी, कठोर कॉन्फिगरेशनसह PEAP-MSCHAPv2 हा एक योग्य आणि व्यावहारिक पर्याय राहतो. विभाग तीन: अंमलबजावणी शिफारसी आणि धोके. मी तुम्हाला व्यावहारिक डिप्लॉयमेंट मार्गदर्शन देतो. या गोष्टी सुरक्षित PEAP डिप्लॉयमेंटला असुरक्षित डिप्लॉयमेंटपासून वेगळे करतात. क्रमांक एक: प्रत्येक सप्लिकंटवर सर्व्हर प्रमाणपत्र पडताळणीची सक्ती करा. हा सर्वात महत्त्वाचा कॉन्फिगरेशन आयटम आहे. Windows मध्ये, हा वायरलेस नेटवर्क प्रोफाइलमधील 'Validate server certificate' चेकबॉक्स आहे. iOS आणि Android मध्ये, हे EAP कॉन्फिगरेशनमधील CA प्रमाणपत्र फील्ड आहे. जर हे कॉन्फिगर केलेले नसेल, तर तुमचे PEAP डिप्लॉयमेंट रोग AP हल्ल्यांसाठी असुरक्षित आहे, मग बाकी सर्व गोष्टी कितीही चांगल्या प्रकारे सेट केलेल्या असल्या तरीही. क्रमांक दोन: मॅन्युअल कॉन्फिगरेशन ऐवजी MDM किंवा GPO द्वारे डिप्लॉय करा. एंड युजर्सद्वारे मॅन्युअल कॉन्फिगरेशन अविश्वसनीय आहे. युजर्स प्रमाणपत्र इशाऱ्यांकडे दुर्लक्ष करतील. ते CA फील्ड चुकीचे कॉन्फिगर करतील. तुमचे वायरलेस प्रोफाइल्स Microsoft Intune, Jamf किंवा ग्रुप पॉलिसी द्वारे पुश करा. हे तुमच्या संपूर्ण एस्टेटमध्ये सुसंगत, पॉलिसी-अनुरूप सप्लिकंट कॉन्फिगरेशन सुनिश्चित करते. क्रमांक तीन: तुमच्या RADIUS सर्व्हरवर किमान TLS 1.2 वापरा. TLS 1.0 आणि 1.1 डिसेबल करा. बहुतांश आधुनिक RADIUS अंमलबजावणी याला सपोर्ट करतात, परंतु याची पडताळणी करणे योग्य आहे — विशेषतः जुन्या ऑन-प्रिमाइसेस डिप्लॉयमेंट्सवर. क्रमांक चार: तुमच्या आयडेंटिटी प्रोव्हायडरसोबत इंटिग्रेट करा. PEAP-MSCHAPv2 क्रेडेन्शियल स्टोअरच्या विरुद्ध ऑथेंटिकेट करते. ते स्टोअर तुमचा अधिकृत आयडेंटिटी प्रोव्हायडर असावा — ॲक्टिव्ह डिरेक्टरी, NPS एक्स्टेंशनद्वारे Azure AD, किंवा LDAP इंटिग्रेशनसह क्लाउड RADIUS सेवा. याचा अर्थ असा की जेव्हा एखादा कर्मचारी कंपनी सोडतो, तेव्हा त्याचे अकाउंट डिसेबल केल्याने त्याचा WiFi ॲक्सेस त्वरित रद्द होतो. रोटेट करण्यासाठी कोणतेही शेअर्ड सिक्रेट्स नाहीत, कोणतेही मॅन्युअल डीप्रोव्हिजनिंग नाही. क्रमांक पाच: तुमच्या गेस्ट नेटवर्कचा स्वतंत्रपणे विचार करा. PEAP ही एक एंटरप्राइझ ऑथेंटिकेशन पद्धत आहे. गेस्ट WiFi साठी — जिथे तुम्ही अभ्यागत, ग्राहक किंवा इव्हेंट उपस्थितांना ऑनबोर्ड करत आहात — तुम्हाला वेगळ्या दृष्टिकोनाची आवश्यकता आहे. Purple सारखे प्लॅटफॉर्म्स एक उद्देश-निर्मित गेस्ट WiFi लेयर प्रदान करतात जे गेस्ट SSID वर RADIUS इन्फ्रास्ट्रक्चरची आवश्यकता नसताना Captive Portal ऑथेंटिकेशन, डेटा कॅप्चर आणि ॲनालिटिक्स हाताळते. तुमचे एंटरप्राइझ SSID PEAP सह 802.1X वर ठेवा आणि तुमचे गेस्ट SSID योग्य ऑनबोर्डिंगसह वेगळ्या, आयसोलेटेड नेटवर्कवर ठेवा. क्रमांक सहा: प्रमाणपत्र रोटेशनसाठी योजना करा. तुमचे RADIUS सर्व्हर प्रमाणपत्र कालबाह्य होईल. जेव्हा ते होईल, तेव्हा ज्या प्रत्येक क्लायंटने ते प्रमाणपत्र पिन केले आहे ते नवीन प्रमाणपत्र वितरित होईपर्यंत ऑथेंटिकेट करण्यात अपयशी ठरतील. तुमच्या ऑपरेशनल कॅलेंडरमध्ये प्रमाणपत्र नूतनीकरण (certificate renewal) समाविष्ट करा — कालबाह्य होण्याच्या किमान 90 दिवस आधी — आणि प्रोडक्शनमध्ये रोल आउट करण्यापूर्वी स्टेजिंग वातावरणामध्ये रोटेशन प्रक्रियेची चाचणी घ्या. मी फील्डमध्ये पाहतो ती सर्वात सामान्य अपयशाची कारणे आहेत: प्रमाणपत्र पडताळणीची सक्ती न करणे, ज्यामुळे रोग AP असुरक्षितता निर्माण होते; RADIUS सर्व्हर प्रमाणपत्रे जी पूर्वसूचनेशिवाय कालबाह्य होतात, ज्यामुळे व्यापक ऑथेंटिकेशन बिघाड होतो; आणि MSCHAPv2 इनर ऑथेंटिकेशन उघडकीस येणे कारण RADIUS सर्व्हर चुकीच्या नेटवर्क सेगमेंटमधून ॲक्सेसिबल असतो. योग्य नियोजनाने हे तिन्ही टाळता येऊ शकतात. विभाग चार: रॅपिड-फायर प्रश्न. PEAP Azure AD सारख्या क्लाउड आयडेंटिटी प्रोव्हायडर्ससोबत काम करू शकते का? होय. Azure AD MFA साठी Microsoft चे NPS एक्स्टेंशन तुम्हाला Azure AD द्वारे PEAP ऑथेंटिकेशन प्रॉक्सी करण्याची परवानगी देते, ज्यामुळे तुमच्या WiFi वर मल्टी-फॅक्टर ऑथेंटिकेशन सक्षम होते. वैकल्पिकरित्या, Cisco ISE, Aruba ClearPass, किंवा JumpCloud RADIUS सारख्या क्लाउड RADIUS सेवा थेट Azure AD किंवा Okta सोबत इंटिग्रेट होऊ शकतात. PEAP PCI DSS चे पालन करते का? PEAP-MSCHAPv2 चा वापर PCI DSS वातावरणात केला जाऊ शकतो, परंतु तुम्हाला हे सुनिश्चित करणे आवश्यक आहे की सर्व्हर प्रमाणपत्र पडताळणीची सक्ती केली आहे, TLS 1.2 किंवा त्याहून अधिक वापरले जात आहे आणि RADIUS सर्व्हर योग्यरित्या सेगमेंट केलेला आहे. PCI DSS 4.0 नेटवर्क ॲक्सेस कंट्रोल्सच्या आवश्यकता अधिक कठोर करते — तुमच्या QSA सोबत संबंधित आवश्यकतांचे पुनरावलोकन करा. मी PEAP वरून EAP-TLS वर मायग्रेट करावे का? जर तुमच्याकडे परिपक्व MDM डिप्लॉयमेंट असेल आणि PKI व्यवस्थापित करण्याची ऑपरेशनल क्षमता असेल, तर होय — EAP-TLS हा अधिक मजबूत पर्याय आहे. जर तुम्ही वैयक्तिक उपकरणे, लेगसी हार्डवेअर किंवा मर्यादित MDM कव्हरेज असलेले मिश्र एस्टेट व्यवस्थापित करत असाल, तर कठोर कॉन्फिगरेशनसह PEAP-MSCHAPv2 योग्य राहते. हा एक जोखमीवर आधारित निर्णय आहे, बायनरी नाही. WPA3-Enterprise बद्दल काय? WPA3-Enterprise उच्च-सुरक्षा वातावरणासाठी 192-बिट सिक्युरिटी मोड अनिवार्य करते, परंतु ते अद्याप PEAP सह EAP पद्धतींना सपोर्ट करते. WPA3 ओव्हर-द-एअर एन्क्रिप्शन सुधारते परंतु EAP ऑथेंटिकेशन एक्सचेंज स्वतः बदलत नाही. विभाग पाच: सारांश आणि पुढील पावले. थोडक्यात सांगायचे तर: PEAP हा दोन-टप्प्यांचा ऑथेंटिकेशन प्रोटोकॉल आहे जो इनर क्रेडेन्शियल्स — सामान्यतः MSCHAPv2 — एका TLS टनेलमध्ये रॅप करतो. ही सर्वात जास्त वापरली जाणारी 802.1X EAP पद्धत आहे कारण ती मजबूत सर्व्हर ऑथेंटिकेशन प्रदान करताना क्लायंट प्रमाणपत्रांची आवश्यकता दूर करते. याची प्राथमिक असुरक्षितता म्हणजे सर्व्हर प्रमाणपत्राची पडताळणी न करणाऱ्या चुकीच्या कॉन्फिगर केलेल्या सप्लिकंट्समुळे शक्य होणारे रोग AP हल्ले. MDM-एनफोर्स्ड वायरलेस प्रोफाइल्स, CA पिनिंग आणि सर्व्हर नेम व्हॅलिडेशन द्वारे हे कमी करा. बहुतांश एंटरप्राइझ WiFi डिप्लॉयमेंट्ससाठी — कॉर्पोरेट कार्यालये, हॉटेल बॅक-ऑफ-हाऊस नेटवर्क्स, रिटेल स्टाफ नेटवर्क्स — योग्य कॉन्फिगरेशनसह PEAP-MSCHAPv2 हा एक योग्य, सुरक्षित पर्याय आहे. उच्च-सुरक्षा वातावरण, नियंत्रित उद्योग किंवा परिपक्व PKI इन्फ्रास्ट्रक्चर असलेल्या संस्थांसाठी, EAP-TLS लक्षणीयरीत्या मजबूत सुरक्षा प्रदान करते आणि ते लक्ष्यित आर्किटेक्चर असले पाहिजे. जर तुम्ही तुमच्या एंटरप्राइझ नेटवर्कसोबत गेस्ट WiFi देखील चालवत असाल — आणि तुमच्यापैकी बहुतांश जण चालवत आहेत — तर लक्षात ठेवा की गेस्ट ऑनबोर्डिंगसाठी PEAP हे योग्य साधन नाही. Purple सारख्या प्लॅटफॉर्म्सकडे पहा, जे ॲनालिटिक्स, डेटा कॅप्चर आणि मार्केटिंग इंटिग्रेशनसह उद्देश-निर्मित गेस्ट WiFi ऑथेंटिकेशन प्रदान करतात, तुमचे गेस्ट आणि एंटरप्राइझ ट्रॅफिक योग्यरित्या वेगळे ठेवतात आणि तुमची कंप्लायन्स स्थिती अबाधित ठेवतात. पुढील वाचनासाठी, RADIUS सर्व्हर आर्किटेक्चर आणि एंटरप्राइझ WiFi ऑथेंटिकेशनवरील Purple चे मार्गदर्शक पहा. लिंक्स शो नोट्समध्ये आहेत. ऐकल्याबद्दल धन्यवाद. हे एक Purple एंटरप्राइझ WiFi इंटेलिजन्स ब्रीफिंग होते.