EAP-TLS म्हणजे काय? प्रमाणपत्र - आधारित WiFi प्रमाणीकरण स्पष्ट केले आहे
हे मार्गदर्शक EAP-TLS (Extensible Authentication Protocol with Transport Layer Security) वर एक सर्वसमावेशक तांत्रिक संदर्भ प्रदान करते, जे एंटरप्राइझ WiFi साठी उपलब्ध सर्वात सुरक्षित 802.1X प्रमाणीकरण पद्धत आहे. यामध्ये आवश्यक असलेले X.509 प्रमाणपत्र इन्फ्रास्ट्रक्चर, परस्पर प्रमाणीकरण हँडशेक आणि आदरातिथ्य, किरकोळ विक्री, आरोग्य सेवा आणि सार्वजनिक - क्षेत्रातील वातावरणासाठी व्यावहारिक उपयोजन पॅटर्न समाविष्ट आहेत. IT व्यवस्थापक, नेटवर्क आर्किटेक्ट्स आणि CTOs ना PKI डिझाइन, MDM - समाकलित प्रमाणपत्र तरतूद, RADIUS कॉन्फिगरेशन आणि PCI-DSS आणि GDPR सह अनुपालन संरेखनावर कृतीयोग्य मार्गदर्शन मिळेल.
Video overview
हे मार्गदर्शक ऐका
पॉडकास्ट ट्रान्सक्रिप्ट पहा
आमच्या मुख्य मालिकेचा भाग: एंटरप्राइझ WiFi सुरक्षा मार्गदर्शक →
Enterprise 802.1X EAP protocol advisor
Select your organisation's identity infrastructure, device ecosystem, and security goals to identify the optimal EAP authentication method (EAP-TLS, PEAP, EAP-TTLS, or EAP-FAST) for your WiFi network.
EAP-TLS (802.1X Mutual TLS)
Key Advantage: Eliminates password theft, brute-force attacks, and rogue RADIUS server credential harvesting.
Implementation Advice: Push client certificates automatically via Intune / SCEP or Jamf. Pair with Purple Cloud RADIUS for dynamic VLAN assignment.
Need help deploying cloud RADIUS, WPA3-Enterprise, or EAP-TLS certificates across your access points?
कार्यकारी सारांश (Executive Summary)
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security) ही एक IEEE 802.1X ऑथेंटिकेशन पद्धत आहे जी तुमच्या वायरलेस ऑथेंटिकेशन प्रक्रियेमधून सामायिक क्रेडेंशियल्स पूर्णपणे काढून टाकते. जिथे PEAP आणि EAP-TTLS एन्क्रिप्टेड टनेलद्वारे ट्रान्समिट केलेल्या युझरनेम आणि पासवर्डवर अवलंबून असतात, तिथे EAP-TLS साठी क्लायंट डिव्हाइस आणि RADIUS सर्व्हर या दोघांनीही विश्वसनीय सर्टिफिकेट ऑथॉरिटी (CA) द्वारे जारी केलेले वैध X.509 सर्टिफिकेट्स सादर करणे आवश्यक असते. या परस्पर (mutual) ऑथेंटिकेशन मॉडेलचा अर्थ असा आहे की चोरी झालेल्या पासवर्डला काही महत्त्व उरत नाही - वैध, रद्द न केलेले सर्टिफिकेट असल्याशिवाय, कोणतेही डिव्हाइस नेटवर्कमध्ये सामील होऊ शकत नाही.
हॉटेल्स, रिटेल इस्टेट्स किंवा कॉन्फरन्स सेंटर्समध्ये Guest WiFi चालवणार्‍या व्हेन्यू ऑपरेटर्ससाठी, आणि कर्मचारी व IoT डिव्हाइस नेटवर्कसाठी जबाबदार असलेल्या IT टीम्ससाठी, EAP-TLS हे वायरलेस ऑथेंटिकेशन सुरक्षेचे सध्याचे सर्वोच्च शिखर दर्शवते. कार्डधारक डेटा वातावरणासाठी PCI-DSS 4.0 द्वारे, आरोग्य सेवा वायरलेस नेटवर्कसाठी HIPAA द्वारे हे अनिवार्य किंवा अत्यंत शिफारसित आहे, आणि WPA3 Enterprise 192-bit (Suite B) उपयोजनांसाठी ही आवश्यक पद्धत आहे.
याचे उपयोजन करणे सोपे नाही - सर्टिफिकेट लाइफसायकल मॅनेजमेंट, PKI इन्फ्रास्ट्रक्चर आणि MDM इंटिग्रेशन हे आव्हानात्मक आहे - परंतु सुरक्षा ROI लक्षणीय आहे. हे मार्गदर्शक आर्किटेक्चर, हँडशेक, उपयोजन पॅटर्न आणि EAP-TLS चे रोलआउट यशस्वी होते की रखडते हे ठरवणार्‍या ऑपरेशनल पद्धतींचे सविस्तर वर्णन करते.
तांत्रिक सखोल विश्लेषण (Technical Deep-Dive)
EAP-TLS नेमके काय करते
EAP-TLS हे 802.1X पोर्ट-आधारित ॲक्सेस कंट्रोल फ्रेमवर्कच्या आत कार्य करते. प्रत्येक ऑथेंटिकेशन एक्सचेंजमधील तीन घटक म्हणजे supplicant (क्लायंट डिव्हाइस), authenticator (वायरलेस ॲक्सेस पॉइंट किंवा मॅनेज्ड स्विच), आणि authentication server (सामान्यतः FreeRADIUS, Microsoft NPS, किंवा Cisco ISE सारखा RADIUS सर्व्हर). ॲक्सेस पॉइंट स्वतः ऑथेंटिकेशनचे निर्णय घेत नाही - तो एक पारदर्शक रिले म्हणून काम करतो, RADIUS पॅकेट्समध्ये EAP मेसेज समाविष्ट करतो आणि त्यांना ऑथेंटिकेशन सर्व्हरकडे फॉरवर्ड करतो.
RADIUS या आर्किटेक्चरला कसा आधार देतो हे अधिक सखोल समजून घेण्यासाठी, What Is RADIUS? How RADIUS Servers Secure WiFi Networks पहा.
EAP-TLS हँडशेक खालीलप्रमाणे कार्य करतो:
- ॲक्सेस पॉइंट कनेक्ट होत असलेल्या डिव्हाइसला EAP-Request/Identity पाठवतो.
- डिव्हाइस त्याच्या ओळखीसह (सामान्यतः युझरनेम चोरून ऐकण्यापासून वाचवण्यासाठी एक अनामित बाह्य ओळख) प्रतिसाद देते.
- RADIUS सर्व्हर EAP-TLS/Start मेसेजसह TLS हँडशेक सुरू करतो.
- क्लायंट त्याच्या समर्थित TLS सायफर सूट्सची जाहिरात करणारा ClientHello पाठवतो.5. RADIUS सर्व्हर ServerHello, त्याचे X.509 सर्व्हर प्रमाणपत्र आणि प्रमाणपत्राच्या विनंतीसह प्रतिसाद देतो.
- क्लायंट त्याच्या विश्वसनीय रूट CA स्टोअरसह सर्व्हर प्रमाणपत्राचे प्रमाणीकरण करतो. प्रमाणीकरण अयशस्वी झाल्यास, हँडशेक संपुष्टात येतो - ज्यामुळे अनधिकृत ॲक्सेस पॉइंट्सपासून संरक्षण मिळते.
- क्लायंट स्वतःचे X.509 क्लायंट प्रमाणपत्र सादर करतो.
- RADIUS सर्व्हर क्लायंट प्रमाणपत्राचे प्रमाणीकरण करतो: तो विश्वसनीय रूट CA कडे स्वाक्षरी साखळी तपासतो, प्रमाणपत्र कालबाह्य झाले नसल्याची खात्री करतो आणि प्रमाणपत्र रद्द केले गेले नाही याची पुष्टी करण्यासाठी प्रमाणपत्र रद्दीकरण सूची (CRL) तपासतो किंवा OCSP रिस्पॉन्डरला विचारणा करतो.
- दोन्ही बाजू TLS मास्टर सीक्रेटमधून सेशन कीज तयार करतात. RADIUS सर्व्हर EAP-Success पाठवतो आणि ॲक्सेस पॉइंट नियंत्रित पोर्ट उघडतो.
डिव्हाइसला कोणताही नेटवर्क ॲक्सेस देण्यापूर्वी ही संपूर्ण देवाणघेवाण होते. कोणत्याही टप्प्यावर पासवर्ड पाठवला जात नाही. तयार केलेल्या सेशन कीज प्रत्येक सेशनसाठी अद्वितीय असतात, ज्या ECDHE सायफर सूट्स वापरताना परफेक्ट फॉरवर्ड सिक्रसी प्रदान करतात - म्हणजेच भविष्यात एखादे प्रमाणपत्र धोक्यात आले तरीही मागील ट्रॅफिक डिक्रिप्ट केले जाऊ शकत नाही.
X.509 प्रमाणपत्रे आणि PKI आर्किटेक्चर
EAP-TLS ची सुरक्षा पूर्णपणे मूळ PKI च्या अखंडतेवर अवलंबून असते. EAP-TLS साठी एक सामान्य एंटरप्राइझ PKI तीन स्तरांचा बनलेला असतो:
| स्तर | घटक | भूमिका |
|---|---|---|
| रूट CA | ऑफलाइन रूट प्रमाणपत्र प्राधिकरण | इंटरमीडिएट CA प्रमाणपत्रांवर स्वाक्षरी करते; एअर-गॅप्ड ठेवले जाते |
| इंटरमीडिएट CA | ऑनलाइन जारी करणारे CA | सर्व्हर आणि क्लायंट प्रमाणपत्रे जारी करते; CRL प्रकाशन हाताळते |
| एंड एंटिटीज | RADIUS सर्व्हर प्रमाणपत्र + क्लायंट प्रमाणपत्रे | थेट प्रमाणीकरण हँडशेक दरम्यान वापरले जाते |
रूट CA ऑफलाइन आणि एअर-गॅप्ड ठेवले पाहिजे. त्याची प्रायव्हेट की धोक्यात आल्यास, तुमची संपूर्ण प्रमाणपत्र श्रेणी अवैध ठरते. इंटरमीडिएट CA दैनंदिन जारी करण्याचे काम हाताळते आणि CRL प्रकाशित करते. क्लायंट प्रमाणपत्रे वैयक्तिक डिव्हाइसेसना (वापरकर्त्यांना नाही) जारी केली जातात, सामान्यतः सब्जेक्ट अल्टरनेटिव्ह नेम (SAN) सह ज्यामध्ये डिव्हाइसचा MAC ॲड्रेस किंवा तुमच्या MDM मधील डिव्हाइस आयडेंटिफायर असतो.
EAP-TLS विरुद्ध इतर 802.1X पद्धती
वरील तक्ता दर्शवतो की नियंत्रित पर्यावरणासाठी EAP-TLS हाच शिफारस केलेला पर्याय का आहे. PEAP-MSCHAPv2, जी अजूनही सर्वात मोठ्या प्रमाणावर वापरली जाणारी 802.1X पद्धत आहे, त्यामध्ये काही त्रुटी आहेत: क्लायंटद्वारे वारंवार सर्व्हर प्रमाणपत्राचे प्रमाणीकरण केले जात नाही (एक चुकीचे कॉन्फिगरेशन जे अनधिकृत AP हल्ल्यांना सक्षम करते), आणि MSCHAPv2 स्वतः 2012 पासून क्रिप्टोग्राफिकली कमकुवत झाले आहे. EAP-TLS या दोन्ही त्रुटी दूर करते.
WPA2 Enterprise आणि WPA3 Enterprise
EAP-TLS दोन्ही WPA2 Enterprise (IEEE 802.11i) आणि WPA3 Enterprise (IEEE 802.11ax) वर समान रीतीने कार्य करते. वायरलेस डेटा एन्क्रिप्शन लेयरसाठी वाटाघाटी केलेल्या सायफर सूटमध्ये हा फरक आहे. WPA3 Enterprise मध्ये Protected Management Frames (PMF) अनिवार्य आहे आणि ते एक पर्यायी १९२-बिट सुरक्षा मोड (Suite B) ऑफर करते ज्यासाठी विशिष्ट लंबवर्तुळाकार वक्र सायफर सूट (ECDHE + ECDSA किंवा RSA-3072) सह EAP-TLS आवश्यक आहे. बहुतेक एंटरप्राइझ उपयोजनांसाठी, EAP-TLS आणि मानकीकृत AES-256 सायफर सूटसह WPA3 Enterprise ही योग्य लक्ष्य स्थिती आहे.
-
अंमलबजावणी मार्गदर्शक
टप्पा १: PKI डिझाइन आणि उपयोजन
एकही ॲक्सेस पॉइंट कॉन्फिगर करण्यापूर्वी, PKI कार्यरत असणे आवश्यक आहे. अस्तित्वात नसलेल्या अंतर्गत CA नसलेल्या संस्थांसाठी, Windows वातावरणात Microsoft Active Directory Certificate Services (AD CS) हा सर्वात सामान्य पर्याय आहे. क्रॉस-प्लॅटफॉर्म किंवा क्लाउड-नेटिव्ह उपयोजनांसाठी, HashiCorp Vault PKI, EJBCA किंवा AWS Private CA सारखी व्यवस्थापित PKI सेवा व्यवहार्य पर्याय आहेत.
या टप्प्यावरील महत्त्वाचे निर्णय:
- प्रमाणपत्र वैधता कालावधी: १ - २ वर्षांची क्लायंट प्रमाणपत्रे सुरक्षा आणि ऑपरेशनल ओव्हरहेडमध्ये संतुलन राखतात. लहान कालावधी रद्द करण्याच्या इव्हेंट्स वाढवतात; दीर्घ कालावधी तडजोड केलेल्या प्रमाणपत्राच्या प्रदर्शनाची विंडो वाढवतात.
- की अल्गोरिदम: RSA-2048 ला अजूनही व्यापकपणे सपोर्ट आहे. ECDSA P-256 हे लहान प्रमाणपत्रांच्या आकारांसह आणि जलद हँडशेकसह समतुल्य सुरक्षा देते - नवीन उपयोजनांसाठी शिफारस केलेले.
- CRL विरुद्ध OCSP: CRL वितरण अंमलात आणणे सोपे आहे परंतु यामुळे विलंब आणि कॅशिंग समस्या उद्भवतात. OCSP रीअल-टाइम रद्दीकरण स्थिती प्रदान करते. उच्च सुरक्षा वातावरणासाठी, RADIUS सर्व्हरवर OCSP स्टेपलिंग हा पसंतीचा दृष्टिकोन आहे.
टप्पा २: RADIUS सर्व्हर कॉन्फिगरेशन
तुमचा RADIUS सर्व्हर यासाठी कॉन्फिगर केलेला असणे आवश्यक आहे:
१. जोडणाऱ्या क्लायंटना त्याचे सर्व्हर प्रमाणपत्र (तुमच्या अंतर्गत CA द्वारे जारी केलेले) सादर करणे. २. क्लायंट प्रमाणपत्र प्रमाणीकरणासाठी केवळ तुमच्या अंतर्गत रूट आणि इंटरमीडिएट CAs वर विश्वास ठेवणे - क्लायंट प्रमाणीकरणासाठी सार्वजनिक CAs वर विश्वास ठेवू नका. ३. सादर केलेल्या प्रत्येक क्लायंट प्रमाणपत्रावर CRL किंवा OCSP तपासण्या करणे. ४. प्रमाणपत्र गुणधर्म (Common Name, SAN, किंवा OID एक्स्टेंशन्स) नेटवर्क पॉलिसी नियमांवर मॅप करणे - उदाहरणार्थ, प्रमाणपत्र गुणधर्मांवर आधारित विशिष्ट VLANs मध्ये डिव्हाइस नियुक्त करणे.
RADIUS सर्व्हर आर्किटेक्चर आणि कॉन्फिगरेशनच्या तपशीलवार माहितीसाठी, What Is RADIUS? How RADIUS Servers Secure WiFi Networks पहा.
टप्पा ३: MDM/SCEP द्वारे प्रमाणपत्र वितरण
मॅन्युअल प्रमाणपत्र इन्स्टॉलेशन वाढवता येत नाही. काही उपकरणांच्या पलीकडे कोणत्याही उपयोजनासाठी, प्रमाणपत्र प्रोव्हिजनिंग स्वयंचलित असणे आवश्यक आहे. मानक दृष्टिकोन असा आहे:
- व्यवस्थापित कॉर्पोरेट उपकरणे: तुमच्या PKI ला तुमच्या MDM प्लॅटफॉर्मसह (Microsoft Intune, Jamf, VMware Workspace ONE) समाकलित करा. SCEP किंवा EST प्रोफाइल कॉन्फिगर करा जे एखादे उपकरण नोंदणीकृत असताना स्वयंचलितपणे क्लायंट प्रमाणपत्राची विनंती करते आणि स्थापित करते. प्रमाणपत्र उपकरणाच्या TPM किंवा Secure Enclave ला बांधील असते जिथे सपोर्ट आहे, ज्यामुळे प्रमाणपत्र निर्यात करण्यास प्रतिबंध होतो.
- BYOD आणि कंत्राटदार डिव्हाइसेस: एक ऑनबोर्डिंग पोर्टल (जसे की Cisco ISE चे Guest पोर्टल किंवा समर्पित BYOD सोल्यूशन) तैनात करा जे वापरकर्त्याला एक-वेळच्या प्रमाणपत्र स्थापना प्रक्रियेद्वारे मार्गदर्शन करेल. कमी वैधतेचे प्रमाणपत्र जारी करा आणि VLAN पॉलिसीद्वारे नेटवर्क प्रवेश मर्यादित करा.
- IoT आणि हेडलेस डिव्हाइसेस: प्री-शेअर्ड चॅलेंज पासवर्डसह SCEP किंवा बूटस्ट्रॅप क्रेडेंशियल्ससह EST वापरा. मुदत संपण्यापूर्वी त्याच प्रोटोकॉलद्वारे प्रमाणपत्र नूतनीकरण स्वयंचलित केले जावे.
टप्पा ४: Access Point आणि SSID कॉन्फिगरेशन
यांच्यासह कॉर्पोरेट SSID कॉन्फिगर करा:
- सुरक्षा (Security): WPA2 Enterprise किंवा WPA3 Enterprise (802.1X)
- EAP प्रकार: EAP-TLS
- RADIUS सर्व्हर: शेअर केलेल्या सिक्रेटसह आपल्या ऑथेंटिकेशन सर्व्हरकडे निर्देश करा
- VLAN असाइनमेंट: RADIUS ॲट्रिब्युट्सद्वारे डायनॅमिक VLAN असाइनमेंट सक्षम करा (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID)
- PMF: WPA3 साठी अनिवार्य; WPA2 साठी अत्यंत शिफारसीय
टप्पा ५: क्लायंट सप्लिकंट कॉन्फिगरेशन
ग्रुप पॉलिसी किंवा Intune द्वारे व्यवस्थापित केलेल्या Windows डिव्हाइसेससाठी, EAP-TLS, विश्वसनीय रूट CA आणि प्रमाणपत्र निवड निकष निर्दिष्ट करणारी वायर्ड/वायरलेस नेटवर्क पॉलिसी तैनात करा. macOS आणि iOS वर, कॉन्फिगरेशन प्रोफाइल तैनात करा. Android वर, MDM-व्यवस्थापित WiFi प्रोफाइल वापरा. महत्त्वपूर्ण म्हणजे, सर्व्हर प्रमाणपत्र प्रमाणीकरण सक्तीचे करा (enforce server certificate validation) - अचूक CA आणि सर्व्हरचे नाव निर्दिष्ट करा. हे न तपासलेले सोडणे ही 802.1X तैनातींमधील सर्वात सामान्य चुकीची कॉन्फिगरेशन आहे.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.
सर्वोत्तम पद्धती (Best Practices)
सर्व सप्लिकंट्सवर सर्व्हर प्रमाणपत्र प्रमाणीकरण सक्तीचे करा. 802.1X तैनातीमध्ये सर्वात सहज गैरफायदा घेतला जाऊ शकणारा चुकीचा कॉन्फिगरेशन म्हणजे क्लायंट कोणतेही सर्व्हर प्रमाणपत्र स्वीकारतात, ज्यामुळे बनावट ॲक्सेस पॉइंट हल्ले करणे शक्य होते. प्रत्येक MDM-तैनात केलेल्या WiFi प्रोफाइलने विश्वसनीय CA आणि अपेक्षित सर्व्हरचे नाव (CN किंवा SAN) निर्दिष्ट केले पाहिजे.
मुदत संपण्यापूर्वी प्रमाणपत्र नूतनीकरण स्वयंचलित करा. प्रमाणपत्रे संपण्यास ३० दिवस शिल्लक असताना चेतावणी देण्यासाठी मॉनिटरिंग सेट करा. SCEP किंवा EST ऑटो-रिन्यूअल कॉन्फिगर करा जेणेकरून डिव्हाइसेस वापरकर्त्याच्या हस्तक्षेपाशिवाय प्रमाणपत्रांचे नूतनीकरण करतील. एकाच वेळी मोठ्या प्रमाणावर प्रमाणपत्रांची मुदत संपण्याची घटना ही एंटरप्राइझ नेटवर्क टीमसमोरील सर्वात विस्कळीत करणाऱ्या घटनांपैकी एक असू शकते.
शक्य असेल तिथे CRL ऐवजी OCSP लागू करा. CRL फाइल्स मोठ्या होऊ शकतात आणि क्लायंटद्वारे कॅशे केल्या जातात, याचा अर्थ असा की अलीकडेच रद्द केलेले प्रमाणपत्र देखील कॅशेची मुदत संपेपर्यंत स्वीकारले जाऊ शकते. OCSP रिअल-टाइम स्टेटस प्रदान करते आणि उच्च-सुरक्षा वातावरणासाठी पसंतीची रद्दीकरण यंत्रणा आहे.
तुमच्या PKI चे विभाजन करा. वेगवेगळ्या प्रमाणपत्र वर्गांसाठी स्वतंत्र इंटरमीडिएट CA वापरा: एक RADIUS सर्व्हर प्रमाणपत्रांसाठी, एक क्लायंट डिव्हाइस प्रमाणपत्रांसाठी, एक वापरकर्ता प्रमाणपत्रांसाठी. हे CA तडजोड झाल्यास त्याचा प्रभाव मर्यादित करते आणि रद्दीकरण पॉलिसी सुलभ करते.
ऑथेंटिकेशन इव्हेंट्स लॉग आणि मॉनिटर करा. तुमचा RADIUS सर्व्हर प्रत्येक कनेक्शनच्या प्रयत्नासाठी ऑथेंटिकेशन लॉग जनरेट करतो. हे लॉग तुमच्या SIEM मध्ये फीड करा. वारंवार ऑथेंटिकेशन अयशस्वी होणे, प्रमाणपत्र प्रमाणीकरण त्रुटी किंवा अनपेक्षित MAC पत्त्यांवरून कनेक्शन यासारखे पॅटर्न हे चुकीच्या कॉन्फिगरेशनचे किंवा हल्ल्याचे प्रारंभिक संकेत आहेत. PCI-DSS 4.0 शी सुसंगत रहा. आवश्यकता 8.6 सिस्टीम घटकांसाठी मजबूत प्रमाणीकरणाची (strong authentication) मागणी करते. PCI-DSS च्या कक्षेमध्ये येणाऱ्या वायरलेस नेटवर्क्ससाठी, सर्टिफिकेट-आधारित प्रमाणीकरणासह EAP-TLS नेटवर्क लेयरवर मल्टि-फॅक्टर प्रमाणीकरणाची आवश्यकता पूर्ण करते, कारण सर्टिफिकेट (तुमच्याकडे असलेली गोष्ट) आणि डिव्हाइसची TPM-बाउंड प्रायव्हेट की (तुम्ही स्वतः असलेली गोष्ट) हे दोन घटक मिळून दोन फॅक्टर्स तयार होतात.
-
ट्रबलशूटिंग आणि जोखीम कमी करणे
सामान्य अपयशाचे प्रकार
| अपयशाचा प्रकार | लक्षण | मूळ कारण | निराकरण |
|---|---|---|---|
| सर्टिफिकेट चेन व्हॅलिडेशन अयशस्वी | सर्व्हर सर्टिफिकेट एक्स्चेंज नंतर EAP-Failure | क्लायंट RADIUS सर्व्हरच्या CA वर विश्वास ठेवत नाही | MDM द्वारे डिव्हाइस ट्रस्ट स्टोअरमध्ये रूट CA सर्टिफिकेट पुश करा |
| क्लायंट सर्टिफिकेट सादर केले नाही | सर्व्हर सर्टिफिकेटनंतर प्रमाणीकरण थांबते | कोणतेही क्लायंट सर्टिफिकेट इन्स्टॉल केलेले नाही किंवा चुकीचे सर्टिफिकेट निवडले आहे | SCEP एनरोलमेंट पूर्ण झाल्याची खात्री करा; MDM प्रोफाइल तपासा |
| OCSP/CRL अनरिचेबल | मधूनमधून प्रमाणीकरण अयशस्वी होणे | RADIUS सर्व्हर रिव्होकेशन एंडपॉइंटपर्यंत पोहोचू शकत नाही | RADIUS सर्व्हरवरून OCSP/CRL URLs ॲक्सेस करण्यायोग्य असल्याची खात्री करा; स्थानिक CRL कॅशिंग लागू करा |
| सर्टिफिकेट एक्स्पायर झाले | सर्व डिव्हाइसेसचे प्रमाणीकरण एकाच वेळी अयशस्वी होते | रिन्यूअल ऑटोमेशन कॉन्फिगर केलेले नाही | 30-दिवसांच्या एक्स्पायरी अलर्ट्स लागू करा; SCEP ऑटो-रिन्यूअल कॉन्फिगर करा |
| रोग AP (Rogue AP) हल्ला | युजर्स घातक AP शी कनेक्ट होतात | सप्लिकंटवर सर्व्हर सर्टिफिकेट व्हॅलिडेशन डिसेबल केले आहे | सर्व MDM WiFi प्रोफाइलमध्ये सर्व्हर सर्टिफिकेट व्हॅलिडेशन सक्तीचे करा |
| VLAN असाइनमेंट अयशस्वी | डिव्हाइस कनेक्ट होते परंतु चुकीचा नेटवर्क सेगमेंट मिळतो | RADIUS ॲट्रिब्युट्स चुकीचे कॉन्फिगर केले आहेत | Tunnel-Type (13=VLAN), Tunnel-Medium-Type (6=802), Tunnel-Private-Group-ID (VLAN ID) तपासा |
मोठ्या प्रमाणावरील डिप्लॉयमेंटसाठी जोखीम कमी करणे
अनेक प्रॉपर्टीजमध्ये शेकडो ॲक्सेस पॉइंट्स असलेल्या हॉस्पिटॅलिटी वातावरणासाठी, आणि विखुरलेल्या साइट्स असलेल्या रिटेल चेन्ससाठी, मुख्य ऑपरेशनल जोखीम म्हणजे एकाच वेळी सर्टिफिकेट एक्स्पायर होण्याची घटना आहे. डिव्हाइस ग्रुप्समध्ये सर्टिफिकेट जारी करण्याच्या तारखा वेगवेगळ्या ठेवा जेणेकरून रिन्यूअल एकाच वेळी होण्याऐवजी वेगवेगळ्या वेळी विभागले जाईल. तुमच्या MDM मध्ये सर्टिफिकेट इन्व्हेंटरी ठेवा आणि 60 दिवसांच्या आत एक्स्पायर होणाऱ्या सर्टिफिकेट्सवर साप्ताहिक रिपोर्ट रन करा.
हेल्थकेअर वातावरणासाठी, अतिरिक्त जोखीम म्हणजे प्रमाणीकरणाचा विलंब (latency) क्लिनिकल वर्कफ्लोवर परिणाम करू शकतो. राउंड-ट्रिप वेळ कमी करण्यासाठी तुमचे RADIUS सर्व्हर प्लेसमेंट ऑप्टिमाइझ करा. प्रमाणीकरणासाठी WAN वरील अवलंबित्व कमी करण्यासाठी प्रत्येक साइटवर RADIUS प्रॉक्सी सर्व्हर डिप्लॉय करण्याचा विचार करा.
-
ROI आणि व्यावसायिक प्रभाव
सिक्युरिटी इन्व्हेस्टमेंटचे मूल्यमापन करणे
पासवर्ड-आधारित 802.1X च्या तुलनेत EAP-TLS चा बिझनेस केस डेटा लीकच्या खर्चाशी तुलना केल्यास अगदी स्पष्ट होतो. 2024 मध्ये UK मधील डेटा लीकचा सरासरी खर्च £3.58 दशलक्ष होता (IBM कॉस्ट ऑफ अ डेटा ब्रीच रिपोर्ट). कॉर्पोरेट डेटा लीक्सचे मोठे प्रमाण तडजोड केलेल्या क्रेडेंशियल्समुळे होते. EAP-TLS नेटवर्क ॲक्सेससाठी क्रेडेंशियल चोरीचा धोका पूर्णपणे काढून टाकते. PCI-DSS च्या नियमांचे पालन करणाऱ्या संस्थांसाठी, वायरलेस नेटवर्कमधील सुरक्षेचे उल्लंघन झाल्यामुळे कार्डधारकांचा डेटा उघड झाल्यास, मोठा दंड, फॉरेन्सिक तपासणीचा खर्च आणि संभाव्य कार्ड स्कीम दंड लागू होऊ शकतात, जे PKI डिप्लॉयमेंटच्या खर्चापेक्षा खूप जास्त असतात. केवळ या नियमांचे पालन करणे हे वायरलेस इन्फ्रास्ट्रक्चरवर कार्ड पेमेंट प्रक्रियेत असणाऱ्या कोणत्याही संस्थेसाठी या गुंतवणुकीचे समर्थन करते.
ऑपरेशनल कार्यक्षमतेतील वाढ
उलटपक्षी, MDM-इंटिग्रेटेड सर्टिफिकेट प्रोव्हिजनिंगसह योग्यरित्या अंमलात आणलेले EAP-TLS डिप्लॉयमेंट हे पासवर्ड-आधारित 802.1X च्या तुलनेत हेल्पडेस्कचा ताण कमी करू शकते. पासवर्ड रीसेट करणे, शेअर केलेले क्रेडेंशियल मॅनेजमेंट आणि "माझे WiFi का कनेक्ट होत नाही आहे" यासारख्या तिकीट्स पूर्णपणे नाहीशा होतात. सुरुवातीच्या डिप्लॉयमेंटसाठी थोडे प्रयत्न करावे लागतात, परंतु नियमित ऑपरेशन्ससाठी खूप कमी हस्तक्षेपाची गरज भासते.
सुरक्षित कर्मचारी नेटवर्कसह WiFi Analytics तैनात करणाऱ्या व्हेन्यू ऑपरेटर्ससाठी, EAP-TLS आणि डायनॅमिक VLAN असाइनमेंटद्वारे सक्षम केलेले सेगमेंटेशन म्हणजे अतिथींचा ट्रॅफिक, कर्मचाऱ्यांचा ट्रॅफिक आणि IoT डिव्हाइस ट्रॅफिक एकाच फिजिकल इन्फ्रास्ट्रक्चरवर पूर्णपणे वेगळे केले जाऊ शकतात - ज्यामुळे सुरक्षेची स्थिती सुधारतानाच हार्डवेअरचा खर्च देखील कमी होतो.
सुरक्षित Enterprise WiFi मधील Purple ची भूमिका
Purple चे प्लॅटफॉर्म Guest WiFi आणि एंटरप्राइझ नेटवर्क इंटेलिजन्स यांच्या समन्वयाने कार्य करते. कर्मचारी आणि कॉर्पोरेट डिव्हाइस नेटवर्कसाठी, EAP-TLS ऑथेंटिकेशन लेयर प्रदान करते. Purple चे WiFi Analytics प्लॅटफॉर्म याच्या वर कार्य करते, जे नेटवर्क वापराचे पॅटर्न, डिव्हाइस ड्वेल टाईम आणि व्हेन्यूमधील पाऊलखुणा (footfall) यावर स्पष्टता प्रदान करते - हा डेटा केवळ तेव्हाच अर्थपूर्ण ठरतो जेव्हा मूळ नेटवर्क योग्यरित्या सेगमेंट आणि ऑथेंटिकेट केलेले असते.
विस्तृत ठिकाणांवर OpenRoaming आणि Passpoint-आधारित अखंड कनेक्टिव्हिटी शोधणाऱ्या संस्थांसाठी, Purple हे Connect परवान्याअंतर्गत एक मोफत ओळख प्रदाता (identity provider) म्हणून कार्य करते, जे EAP-TLS ला पूरक असणारे समान 802.1X आणि सर्टिफिकेट-आधारित आयडेंटिटी फ्रेमवर्क वापरते. यामुळे EAP-TLS केवळ एक सुरक्षा नियंत्रण म्हणून नाही, तर transport हब्स, रिटेल इस्टेट्स आणि हॉस्पिटॅलिटी व्हेन्यूजमधील प्रगत कनेक्टिव्हिटी सेवांचा पाया म्हणून स्थापित होते.
SD-WAN आणि एंटरप्राइझ WiFi सुरक्षा कशा प्रकारे एकमेकांना छेदतात याचे मूल्यांकन करणाऱ्या नेटवर्क आर्किटेक्ट्ससाठी, The Core SD-WAN Benefits for Modern Businesses सुरक्षित ऑथेंटिकेशन हे आधुनिक WAN आर्किटेक्चरसह कसे समाकलित होते याबद्दल पूरक संदर्भ प्रदान करते.
महत्वाच्या व्याख्या
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
RFC ५२१६ मध्ये परिभाषित केलेली एक 802.1X ऑथेंटिकेशन पद्धत जी क्लायंट डिव्हाइस आणि RADIUS सर्व्हर दरम्यान परस्पर X.509 प्रमाणपत्र ऑथेंटिकेशन वापरते. विश्वसनीय Certificate Authority द्वारे स्वाक्षरी केलेले वैध, रद्द न केलेले प्रमाणपत्र सादर केल्याशिवाय दोन्हीपैकी कोणत्याही बाजूला नेटवर्क प्रवेश मिळत नाही.
WPA2 Enterprise किंवा WPA3 Enterprise उपयोजनांसाठी 802.1X ऑथेंटिकेशन पद्धतींचे मूल्यमापन करताना IT टीम्सना EAP-TLS चा सामना करावा लागतो. नियमन केलेल्या वातावरणासाठी (PCI-DSS, HIPAA, ISO 27001) ही शिफारस केलेली पद्धत आहे आणि WPA3 Enterprise १९२-बिट (Suite B) साठी ही आवश्यक पद्धत आहे.
X.509 प्रमाणपत्र
एक डिजिटल प्रमाणपत्र मानक (ITU-T X.509 आणि RFC 5280 मध्ये परिभाषित) जे पब्लिक की ला एका ओळखीशी (डिव्हाइस, सर्व्हर किंवा युझर) जोडते. यामध्ये विषयाची ओळख, पब्लिक की, जारी करणाऱ्या CA ची डिजिटल स्वाक्षरी आणि वैधतेच्या तारखा असतात. EAP-TLS मध्ये, RADIUS सर्व्हर आणि क्लायंट डिव्हाइस दोन्ही ऑथेंटिकेशन हँडशेक दरम्यान X.509 प्रमाणपत्रे सादर करतात.
RADIUS सर्व्हर कॉन्फिगर करताना (सर्व्हर प्रमाणपत्र), MDM द्वारे डिव्हाइसेसची नोंदणी करताना (क्लायंट प्रमाणपत्र) आणि PKI इन्फ्रास्ट्रक्चर व्यवस्थापित करताना IT टीम्सना X.509 प्रमाणपत्रांचा सामना करावा लागतो. प्रमाणपत्राची समाप्ती आणि निरसन (revocation) या प्राथमिक ऑपरेशनल चिंता आहेत.
PKI (पब्लिक की इन्फ्रास्ट्रक्चर)
डिजिटल प्रमाणपत्रे तयार करण्यासाठी, व्यवस्थापित करण्यासाठी, वितरित करण्यासाठी, संचयित करण्यासाठी आणि रद्द करण्यासाठी आवश्यक असलेले हार्डवेअर, सॉफ्टवेअर, पॉलिसी आणि प्रक्रियांचे संयोजन. EAP-TLS उपयोजनामध्ये, PKI मध्ये किमान एक रूट CA आणि एक जारी करणारा CA, तसेच प्रमाणपत्र रद्द करण्यासाठी CRL/OCSP इन्फ्रास्ट्रक्चर असते.
कोणत्याही EAP-TLS उपयोजनासाठी PKI हा मूलभूत आधार आहे. EAP-TLS उपयोजित करण्यापूर्वी IT टीम्सनी PKI डिझाइन आणि ऑपरेट करणे आवश्यक आहे. सामान्य PKI प्लॅटफॉर्म्समध्ये Microsoft AD CS, EJBCA, HashiCorp Vault PKI आणि AWS Private CA सारख्या व्यवस्थापित सेवांचा समावेश होतो.
RADIUS (रिमोट ऑथेंटिकेशन डायल-इन युझर सर्व्हिस)
एक नेटवर्किंग प्रोटोकॉल (RFC 2865) जो नेटवर्क ॲक्सेससाठी केंद्रीकृत ऑथेंटिकेशन, ऑथरायझेशन आणि अकाउंटिंग (AAA) प्रदान करतो. 802.1X/EAP-TLS उपयोजनांमध्ये, RADIUS सर्व्हर क्लायंट प्रमाणपत्रांची पडताळणी करतो, नेटवर्क पॉलिसी लागू करतो आणि ॲक्सेस पॉइंटवर VLAN असाइनमेंट गुणधर्म परत करतो.
प्रत्येक 802.1X उपयोजनामध्ये RADIUS हा ऑथेंटिकेशन सर्व्हर घटक आहे. सामान्य अंमलबजावणीमध्ये Microsoft NPS, FreeRADIUS, Cisco ISE आणि Aruba ClearPass यांचा समावेश होतो. अंतर्गत CA वर विश्वास ठेवण्यासाठी आणि प्रमाणपत्र रद्द झाल्याची तपासणी करण्यासाठी RADIUS सर्व्हर कॉन्फिगर केला पाहिजे.
म्युच्युअल ऑथेंटिकेशन
एक ऑथेंटिकेशन प्रक्रिया ज्यामध्ये दोन्ही संभाषण करणारे पक्ष कनेक्शन स्थापित करण्यापूर्वी एकमेकांच्या ओळखीची पडताळणी करतात. EAP-TLS मध्ये, क्लायंट RADIUS सर्व्हरच्या प्रमाणपत्राची पडताळणी करतो (अनधिकृत APs पासून संरक्षण करतो) आणि RADIUS सर्व्हर क्लायंटच्या प्रमाणपत्राची पडताळणी करतो (अनधिकृत डिव्हाइस ॲक्सेसपासून संरक्षण करतो).
म्युच्युअल ऑथेंटिकेशन हे PEAP आणि EAP-TTLS च्या तुलनेत EAP-TLS चे मुख्य वैशिष्ट्य आहे. IT टीम्सनी सुरक्षा ऑडिटर्स आणि अनुपालन टीम्सकडे EAP-TLS चे समर्थन करताना म्युच्युअल ऑथेंटिकेशनवर भर दिला पाहिजे, कारण ते थेट अनधिकृत AP आणि क्रेडेंशियल चोरीच्या धोक्यांना तोंड देते.
SCEP (सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल)
एक प्रोटोकॉल (मूळतः Cisco द्वारे परिभाषित, RFC 8894 मध्ये मानकीकृत) जो क्लायंट डिव्हाइस आणि सर्टिफिकेट ऑथॉरिटी दरम्यान स्वयंचलित प्रमाणपत्र विनंत्या आणि जारी करणे सक्षम करतो. EAP-TLS उपयोजनांमध्ये, युझरच्या हस्तक्षेपाशिवाय व्यवस्थापित डिव्हाइसेसवर क्लायंट प्रमाणपत्रे स्वयंचलितपणे वितरित करण्यासाठी MDM प्लॅटफॉर्म्सद्वारे SCEP चा वापर केला जातो.
एंटरप्राइझ MDM वातावरणात झिरो-टच प्रमाणपत्र वितरणासाठी SCEP ही मानक यंत्रणा आहे. क्लायंट प्रमाणपत्र उपयोजन आणि नूतनीकरण स्वयंचलित करण्यासाठी IT टीम्स Intune, Jamf किंवा Workspace ONE मध्ये SCEP प्रोफाइल कॉन्फिगर करतात.
CRL (सर्टिफिकेट रिव्होकेशन लिस्ट)
प्रमाणपत्राच्या अनुक्रमांकांची वेळोवेळी प्रकाशित केलेली यादी जी जारी करणाऱ्या CA द्वारे त्यांच्या समाप्ती तारखेपूर्वी रद्द केली गेली आहे. EAP-TLS ऑथेंटिकेशन दरम्यान सादर केलेले क्लायंट प्रमाणपत्र रद्द केले गेले नाही याची खात्री करण्यासाठी RADIUS सर्व्हर CRL तपासतात (उदा. डिव्हाइस चोरी किंवा कर्मचारी सोडल्यामुळे).
CRL व्यवस्थापन हा EAP-TLS उपयोजनांमध्ये एक गंभीर ऑपरेशनल विचार आहे. IT टीम्सनी हे सुनिश्चित केले पाहिजे की CRL वितरण बिंदू RADIUS सर्व्हरवरून प्रवेश करण्यायोग्य आहे, अलीकडील रद्दबातल केलेल्या गोष्टी प्रतिबिंबित करण्यासाठी CRL वारंवार प्रकाशित केले जातात आणि CRL पुनर्प्राप्त करणे शक्य नसल्यास ऑथेंटिकेशन नाकारण्यासाठी RADIUS सर्व्हर कॉन्फिगर केले आहेत.
OCSP (ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल)
एक रिअल-टाइम प्रमाणपत्र रद्द तपासणी प्रोटोकॉल (RFC 6960) जो RADIUS सर्व्हरला संपूर्ण CRL डाउनलोड आणि पार्स करण्याऐवजी विशिष्ट प्रमाणपत्राच्या सध्याच्या स्थितीसाठी CA च्या OCSP रिस्पॉन्डरकडे चौकशी करण्याची परवानगी देतो. OCSP हा CRL-आधारित तपासणीपेक्षा कमी लेटन्सी आणि अधिक वर्तमान रद्द करण्याची माहिती प्रदान करतो.
उच्च-सुरक्षा वातावरणासाठी जेथे रिअल-टाइम रद्द करणे महत्त्वाचे आहे (उदा. एखादे डिव्हाइस चोरीला गेल्याचे समजताच त्वरित प्रमाणपत्र रद्द करणे) अशा ठिकाणी IT टीम्सनी CRL ऐवजी OCSP ला प्राधान्य दिले पाहिजे. OCSP स्टेपलिंग, जिथे RADIUS सर्व्हर OCSP प्रतिसाद कॅशे करतो आणि सादर करतो, विलंब कमी करतो आणि प्रत्येक ऑथेंटिकेशन दरम्यान OCSP रिस्पॉन्डर पोहोचण्यायोग्य असण्याची आवश्यकता काढून टाकतो.
802.1X (पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल)
एक IEEE मानक जे LAN किंवा WLAN ला जोडण्याचा प्रयत्न करणाऱ्या उपकरणांसाठी ऑथेंटिकेशन फ्रेमवर्क प्रदान करते. हे तीन भूमिका परिभाषित करते: सप्लिकंट (कनेक्ट होणारे उपकरण), ऑथेंटिकेटर (ॲक्सेस पॉइंट किंवा स्विच), आणि ऑथेंटिकेशन सर्व्हर (RADIUS). EAP-TLS ही अशा अनेक EAP पद्धतींपैकी एक आहे ज्या 802.1X फ्रेमवर्कमध्ये वापरल्या जाऊ शकतात.
WPA2 Enterprise किंवा WPA3 Enterprise SSIDs कॉन्फिगर करताना आणि व्यवस्थापित स्विचेसवर वायर्ड पोर्ट ऑथेंटिकेशन कॉन्फिगर करताना IT टीम्सना 802.1X चा सामना करावा लागतो. EAP-TLS तैनात करण्यासाठी 802.1X समजून घेणे ही एक पूर्वअट आहे. 802.1X ही एक व्यापक फ्रेमवर्क आहे ज्यामध्ये EAP-TLS कार्य करते.
Perfect Forward Secrecy (PFS)
की एक्सचेंज प्रोटोकॉलचा एक क्रिप्टोग्राफिक गुणधर्म जो हे सुनिश्चित करतो की सेशन की दीर्घकालीन प्रायव्हेट की मधून मिळवता येऊ शकत नाहीत. ECDHE सायफर सूट्ससह EAP-TLS मध्ये, प्रत्येक सेशन एक युनिक एफिमेरल की जोडी तयार करतो, याचा अर्थ असा की प्रमाणपत्राची प्रायव्हेट की तडजोड झाल्यास ऐतिहासिक सेशन ट्रॅफिक उघड होत नाही.
PFS सुनिश्चित करण्यासाठी EAP-TLS कॉन्फिगर करताना IT टीम्सनी ECDHE-आधारित सायफर सूट्स निर्दिष्ट केले पाहिजेत. हे विशेषतः अशा वातावरणात महत्त्वाचे आहे जेथे नेटवर्क ट्रॅफिक रेकॉर्ड केला जातो आणि भविष्यात डिक्रिप्शनच्या प्रयत्नांना बळी पडू शकतो (एक "आता गोळा करा, नंतर डिक्रिप्ट करा" हल्ला परिस्थिती).
सोडवलेली उदाहरणे
१२ प्रॉपर्टीज असलेल्या ४५० - रूमच्या हॉटेल ग्रुपला त्यांच्या कर्मचाऱ्यांचे WiFi PEAP-MSCHAPv2 वरून EAP-TLS वर स्थलांतरित करायचे आहे. हा ग्रुप Microsoft Intune द्वारे व्यवस्थापित केलेले Windows 10/11 लॅपटॉप चालवतो, तसेच हाउसकीपिंग स्टाफद्वारे वापरले जाणारे अंदाजे २०० Android टॅब्लेट आहेत. IT टीमकडे सध्या कोणतेही अंतर्गत PKI नाही. शिफारस केलेले उपयोजन धोरण काय आहे?
पायरी १ - PKI उपयोजन (आठवडे १-३): द्वि-स्तरीय श्रेणीसह Microsoft AD CS उपयोजित करा. एका समर्पित सर्व्हरवर ऑफलाइन रूट CA सुरू करा जो प्राथमिक सेटअप नंतर बंद केला जाईल. Windows Server VM वर ऑनलाइन इश्यूइंग CA (इंटरमीडिएट CA) उपयोजित करा. १२ प्रॉपर्टीजमधील सर्व RADIUS सर्व्हरवरून प्रवेश करण्यायोग्य असलेल्या अंतर्गत वेब सर्व्हरवर CRLs प्रकाशित करण्यासाठी इश्यूइंग CA कॉन्फिगर करा. इश्यूइंग CA सर्व्हरवर OCSP रिस्पॉन्सडर भूमिका सक्षम करा.
पायरी २ - RADIUS इन्फ्रास्ट्रक्चर (आठवडे २-४): प्रत्येक प्रॉपर्टीवर Microsoft NPS (Network Policy Server) उपयोजित करा किंवा मुख्य NPS क्लस्टरकडे निर्देश करणाऱ्या प्रत्येक साइटवर NPS प्रॉक्सी सर्व्हरसह केंद्रीकृत करा. अंतर्गत CA कडून प्रत्येक NPS इन्स्टन्सला RADIUS सर्व्हर प्रमाणपत्र जारी करा. NPS नेटवर्क पॉलिसी कॉन्फिगर करा: प्रमाणीकरण पद्धत = EAP-TLS, विश्वसनीय रूट CA = अंतर्गत रूट CA, प्रमाणपत्र प्रमाणीकरण = सक्षम, RADIUS गुणधर्मांद्वारे VLAN असाइनमेंट.
पायरी ३ - Intune प्रमाणपत्र प्रोफाइल (आठवडे ३-५): Microsoft Intune मध्ये, सर्व व्यवस्थापित उपकरणांवर रूट CA प्रमाणपत्र पुश करण्यासाठी एक Trusted Certificate प्रोफाइल तयार करा. इश्यूइंग CA ला लक्ष्य करणारे SCEP Certificate प्रोफाइल तयार करा, ज्यामध्ये विषय नाव स्वरूप CN={{DeviceId}}, की वापर = डिजिटल स्वाक्षरी, विस्तारित की वापर = क्लायंट प्रमाणीकरण असेल. EAP-TLS, क्लायंट प्रमाणपत्र म्हणून SCEP प्रमाणपत्र प्रोफाइल आणि विश्वसनीय सर्व्हर प्रमाणपत्र प्राधिकरणाचे प्रतिनिधित्व करणारे रूट CA निर्दिष्ट करणारे एक WiFi प्रोफाइल तयार करा.
पायरी ४ - Android टॅब्लेट नोंदणी (आठवडे ४-६): Android Enterprise (समर्पित डिव्हाइस मोड) द्वारे Intune मध्ये Android टॅब्लेटची नोंदणी करा. समतुल्य Trusted Certificate, SCEP Certificate आणि WiFi कॉन्फिगरेशन प्रोफाइल उपयोजित करा. संपूर्ण रोलआउट करण्यापूर्वी १० टॅब्लेटच्या पायलट ग्रुपवर प्रमाणपत्र स्थापनेची पडताळणी करा.
पायरी ५ - पायलट आणि कटओव्हर (आठवडे ६-८): एका पायलट प्रॉपर्टीवर स्वतंत्र SSID वर PEAP च्या समांतर EAP-TLS चालवा. प्रमाणीकरण यश दर, VLAN असाइनमेंट आणि प्रमाणपत्र नूतनीकरण वर्तनाची पडताळणी करा. प्रॉपर्टीनुसार प्रॉपर्टी रोल आउट करा. प्रत्येक साइटवर ३० दिवसांच्या समांतर धावण्यानंतर PEAP SSID बंद करा.
२८० स्टोअर्स असलेल्या एका राष्ट्रीय रिटेल साखळीला PCI-DSS ४.० आवश्यकता पूर्ण करण्यासाठी त्यांचे पॉईंट-ऑफ-सेल WiFi नेटवर्क सुरक्षित करणे आवश्यक आहे. प्रत्येक स्टोअरमध्ये ८ ते १५ Windows आधारित POS टर्मिनल्स, मॅनेज्ड आणि अनमॅनेज्ड डिव्हाइसेसचे मिश्रण आहे आणि एकच IT प्रशासक आहे जो सर्व स्टोअर्सचे दूरस्थपणे (remotely) व्यवस्थापन करतो. ही साखळी सध्या सर्व स्टोअर्समध्ये सामायिक केलेला WPA2-PSK पासवर्ड वापरते. EAP-TLS कडे स्थलांतरित होण्याचा मार्ग कोणता आहे?
मूल्यांकन आणि व्याप्ती (Scoping): प्रथम, PCI-DSS कार्डधारक डेटा पर्यावरण (CDE) व्याप्ती निश्चित करा. कार्ड डेटावर प्रक्रिया करणारे POS टर्मिनल्स या व्याप्तीमध्ये येतात; कर्मचाऱ्यांच्या ब्रेक-रूममधील डिव्हाइसेस येत नाहीत. नेटवर्कचे विभाजन करा जेणेकरून केवळ POS टर्मिनल्स EAP-TLS सुरक्षित SSID वर असतील. यामुळे प्रमाणपत्र वितरणाची व्याप्ती एका ज्ञात, मॅनेज्ड डिव्हाइस समूहापुरती मर्यादित होते.
केंद्रीय PKI आणि RADIUS: प्रत्येक स्टोअरमध्ये ऑन-प्रिमाइसेस RADIUS हार्डवेअरची आवश्यकता दूर करण्यासाठी क्लाउड-होस्ट केलेली RADIUS सेवा (उदा. क्लाउडमधील Cisco ISE किंवा JumpCloud RADIUS) तैनात करा. अशा विखुरलेल्या रिटेल मालमत्तेसाठी हे अत्यंत महत्त्वाचे आहे जेथे स्थानिक सर्व्हर व्यवस्थापन शक्य नसते. क्लाउड RADIUS सेवा एका सुरक्षित टनेलद्वारे अंतर्गत PKI शी कनेक्ट होते.
MDM-चालित प्रमाणपत्र वितरण: सर्व POS टर्मिनल्स एका MDM मध्ये (Microsoft Intune किंवा समकक्ष) नोंदणीकृत असणे आवश्यक आहे. MDM पॉलिसीद्वारे रूट CA ट्रस्ट अँकर आणि SCEP प्रमाणपत्र प्रोफाइल तैनात करा. प्रमाणपत्राच्या विषयामध्ये (subject) स्टोअर क्रमांक आणि टर्मिनल ID (उदा. CN=POS-STORE042-TERM003) समाविष्ट असावा जेणेकरून तपशीलवार RADIUS पॉलिसी आणि ऑडिट लॉगिंग सक्षम होईल.
SSID कॉन्फिगरेशन: प्रत्येक स्टोअर ॲक्सेस पॉईंटवर WPA2 Enterprise / EAP-TLS सह एक समर्पित POS SSID कॉन्फिगर करा. ऑथेंटिकेट केलेल्या POS टर्मिनल्सना CDE VLAN वर ठेवण्यासाठी डायनॅमिक VLAN असाइनमेंट वापरा. ग्राहक WiFi साठी पूर्णपणे विलग केलेल्या VLAN वर एक स्वतंत्र गेस्ट SSID लागू करा.
देखरेख आणि अनुपालन पुरावा: केंद्रीय SIEM कडे फॉरवर्ड करण्यासाठी RADIUS ऑथेंटिकेशन लॉग्स कॉन्फिगर करा. ऑथेंटिकेशन यश दर, प्रमाणपत्राची वैधता स्थिती आणि कोणतेही निरसन (revocation) दर्शवणारे मासिक अहवाल तयार करा. हा लॉग डेटा PCI-DSS आवश्यकता १० (लॉगिंग आणि देखरेख) आणि आवश्यकता ८.६ (ऑथेंटिकेशन व्यवस्थापन) साठी ऑडिट पुरावा बनतो.
सराव प्रश्न
Q1. तुमची संस्था ६०० खाटांचे रुग्णालय चालवते ज्यामध्ये परिचारिका कर्मचाऱ्यांद्वारे वापरले जाणारे १,२०० व्यवस्थापित Windows लॅपटॉप आणि ४०० शेअर्ड Android टॅब्लेट आहेत. सध्याचे WiFi Active Directory क्रेडेंशियल्ससह PEAP-MSCHAPv2 वापरते. अलीकडील पेनिट्रेशन चाचणीमध्ये असे आढळले की कोणताही क्लायंट डिव्हाइस RADIUS सर्व्हर प्रमाणपत्र प्रमाणित करत नाही, आणि टेस्टरने AD क्रेडेंशियल्स कॅप्चर करून एक यशस्वी रॉग AP हल्ला केला. तुम्हाला ९० दिवसांच्या आत याचे निवारण करण्यास सांगण्यात आले आहे. तुमची प्राधान्यकृत निवारण योजना काय आहे?
टीप: काय त्वरित दुरुस्त केले जाऊ शकते (कॉन्फिगरेशन बदल) विरुद्ध कशासाठी इन्फ्रास्ट्रक्चर कामाची (PKI डिप्लॉयमेंट) आवश्यकता आहे याचा विचार करा. सर्वच उपायांच्या पायऱ्यांसाठी EAP-TLS ची आवश्यकता नसते - दीर्घकालीन मायग्रेशनचे नियोजन सुरू असताना काही उपाय सध्याच्या PEAP डिप्लॉयमेंटवर लागू केले जाऊ शकतात.
नमुना उत्तर पहा
तातडीने (आठवडा १-२): सध्याच्या PEAP डिप्लॉयमेंटवर सर्व्हर प्रमाणपत्र प्रमाणीकरण दुरुस्त करा. सर्व व्यवस्थापित Windows डिव्हाइसेसवर एक GPO/Intune WiFi प्रोफाइल अपडेट पुश करा जे विश्वसनीय रूट CA आणि RADIUS सर्व्हरचे अपेक्षित CN/SAN निर्दिष्ट करते. हे PKI बदलांची आवश्यकता नसताना रॉग AP असुरक्षितता त्वरित बंद करते. Android टॅब्लेटसाठी, एक अपडेट केलेले MDM WiFi प्रोफाइल पुश करा. हे काही दिवसांत गंभीर समस्येचे निराकरण करते.
अल्पकालीन (आठवडे २-८): अंतर्गत PKI तैनात करा. दोन-स्तरीय AD CS PKI (ऑफलाइन रूट CA + ऑनलाइन इश्यूइंग CA) उभे करा. अंतर्गत CA मधून नवीन RADIUS सर्व्हर प्रमाणपत्र जारी करा. NPS कॉन्फिगरेशन अपडेट करा. MDM द्वारे सर्व डिव्हाइसेसवर नवीन रूट CA ट्रस्ट अँकर पुश करा.
मध्यम मुदतीचे (आठवडे ६-१२): व्यवस्थापित उपकरणांसाठी EAP-TLS वर मायग्रेट करा. Windows लॅपटॉपसाठी Intune मध्ये SCEP प्रोफाइल कॉन्फिगर करा. क्लायंट प्रमाणपत्र प्रोफाइल तैनात करा. सध्याच्या PEAP SSID ला समांतर नवीन EAP-TLS SSID तयार करा. ५० लॅपटॉपसह पायलट चाचणी करा, सत्यापित करा, आणि नंतर टप्प्याटप्प्याने रोल आउट करा. शेअर्ड Android टॅब्लेट अधिक क्लिष्ट आहेत - Android Enterprise Dedicated Device नोंदणी व्यवहार्य आहे का, किंवा सामायिक वापराच्या उपकरणांसाठी प्रमाणपत्र-आधारित ऑनबोर्डिंग पोर्टल अधिक योग्य आहे का याचे मूल्यांकन करा.
महत्त्वाचा विचार: HIPAA ला ePHI वाहून नेणाऱ्या वायरलेस नेटवर्कसाठी योग्य संरक्षणाची आवश्यकता आहे. रॉग AP असुरक्षितता ही एक अहवाल देण्यायोग्य जोखीम आहे. तुमच्या अनुपालन अधिकाऱ्यासाठी निवारणाची टाइमलाइन आणि अंतरिम नियंत्रणे दस्तऐवजीकरण करा.
Q2. एक कॉन्फरन्स सेंटर सुरक्षित स्टाफ नेटवर्क (EAP-TLS) आणि guest WiFi नेटवर्क दोन्हीला सपोर्ट करण्यासाठी नवीन WiFi इन्फ्रास्ट्रक्चर तैनात करत आहे. हे ठिकाण 5,000 पर्यंत उपस्थितांच्या इव्हेंट्सचे आयोजन करते. IT व्यवस्थापकाला दोन्ही नेटवर्कसाठी समान फिजिकल ऍक्सेस पॉइंट इन्फ्रास्ट्रक्चर वापरायचे आहे. हे साध्य करण्यासाठी नेटवर्कचे आर्किटेक्चर कसे असावे, आणि मुख्य कॉन्फिगरेशन निर्णय कोणते आहेत?
टीप: SSID विभागणी, VLAN डिझाइन आणि कर्मचार्‍यांसाठी (प्रमाणपत्र - आधारित) विरुद्ध पाहुण्यांसाठी (Captive Portal किंवा सोशल लॉगिन) असलेल्या विविध प्रमाणीकरण आवश्यकतांचा विचार करा. Purple चा guest WiFi प्लॅटफॉर्म या आर्किटेक्चरसह कसा एकत्रित होतो याचा विचार करा.
नमुना उत्तर पहा
SSID आणि VLAN डिझाइन: समान फिजिकल ऍक्सेस पॉइंट इन्फ्रास्ट्रक्चरवर दोन SSID तैनात करा. SSID 1 (स्टाफ): WPA3 Enterprise / EAP-TLS, 5GHz आणि 6GHz बँडवर ब्रॉडकास्ट करणारे, स्टाफ VLAN शी मॅप केलेले (उदा. VLAN 10). SSID 2 (गेस्ट): WPA3 Personal किंवा OWE (Opportunistic Wireless Encryption) सह Open, गेस्ट VLAN शी मॅप केलेले (उदा. VLAN 20). गेस्ट VLAN ला स्टाफ VLAN किंवा अंतर्गत इन्फ्रास्ट्रक्चरमध्ये कोणताही प्रवेश नसावा - फक्त इंटरनेट प्रवेश असावा.
स्टाफ नेटवर्क: EAP-TLS पॉलिसीसह RADIUS सर्व्हर कॉन्फिगर करा. MDM द्वारे सर्व स्टाफ डिव्हाइसना क्लायंट प्रमाणपत्रे जारी करा. ऑथेंटिकेट झालेल्या स्टाफ डिव्हाइसना VLAN 10 वर ठेवण्यासाठी डायनॅमिक VLAN असाइनमेंट वापरा. EAP-TLS आणि स्वतंत्र प्रमाणपत्र पॉलिसीसह VLAN 30 वर AV/इव्हेंट मॅनेजमेंट उपकरणांसाठी स्वतंत्र SSID तैनात करण्याचा विचार करा.
गेस्ट नेटवर्क: Captive Portal प्रमाणीकरण, सोशल लॉगिन किंवा ईमेल कॅप्चरसाठी Purple च्या Guest WiFi प्लॅटफॉर्मसह समाकलित करा. गेस्ट नेटवर्क पूर्णपणे EAP-TLS इन्फ्रास्ट्रक्चरपेक्षा स्वतंत्रपणे कार्य करते. Purple चा WiFi Analytics प्लॅटफॉर्म गेस्ट नेटवर्कवरून ड्वेल टाइम, पाऊलखुणा आणि एंगेजमेंट डेटा प्रदान करतो.
क्षमता नियोजन: 5,000 समवर्ती पाहुण्यांसाठी, गेस्ट VLAN ची DHCP व्याप्ती, इंटरनेट अपलिंक आणि ऍक्सेस पॉइंट घनता योग्य आकाराची असल्याची खात्री करा. EAP-TLS प्रमाणीकरण प्रत्येक कनेक्शनसाठी नगण्य ओव्हरहेड जोडते परंतु पीक इव्हेंट लोडसाठी RADIUS सर्व्हर क्षमतेची पडताळणी केली पाहिजे.
Q3. एक रिटेल CTO 350 स्टोअर्ससाठी EAP-TLS तैनात करायचे की रोटेट केलेल्या शेअर केलेल्या की सह WPA2-PSK सुरू ठेवायचे याचे मूल्यमापन करत आहे. IT टीम लहान आहे (3 लोक) आणि त्यांना PKI चा कोणताही अनुभव नाही. CTO ची मुख्य चिंता POS नेटवर्कसाठी PCI DSS अनुपालन ही आहे. तुमची शिफारस काय आहे आणि तुम्ही बिझनेस केसची मांडणी कशी कराल?
टीप: PCI DSS आवश्यकता, लहान IT टीमची ऑपरेशनल क्षमता आणि PKI चा भार कमी करणारे व्यवस्थापित सेवा पर्याय उपलब्ध आहेत का याचा विचार करा. उत्तर 'त्वरित पूर्ण EAP-TLS तैनात करा' असेच असले पाहिजे असे नाही - टप्प्याटप्प्याने किंवा व्यवस्थापित दृष्टिकोन अधिक योग्य असू शकतो.
नमुना उत्तर पहा
शिफारस: मॅनेज्ड RADIUS आणि PKI सेवेद्वारे EAP-TLS, ६ महिन्यांच्या कालावधीत टप्प्याटप्प्याने लागू करणे.
WPA2-PSK हे PCI DSS कार्डधारक डेटा वातावरणासाठी स्वीकारार्ह नाही. PCI DSS आवश्यकता ८ सिस्टीम घटकांसाठी वैयक्तिक प्रमाणीकरण (authentication) अनिवार्य करते आणि सामायिक केलेला PSK हे पूर्ण करत नाही. PSK चा सुरक्षितता भंग झाल्यास सर्व ३५० स्टोअर्स एकाच वेळी असुरक्षित होतात. हा धोका केवळ सैद्धांतिक नाही - तडजोड केलेल्या WiFi क्रेडेंशियल्सद्वारे POS नेटवर्कमध्ये झालेला सुरक्षितता भंग हा किरकोळ विक्री (retail) क्षेत्रात दस्तऐवजीकरण केलेला हल्ला मार्ग आहे.
मॅनेज्ड सेवा दृष्टिकोन: अंतर्गत PKI तज्ञ तयार करण्याऐवजी, मॅनेज्ड RADIUS आणि PKI प्रदात्याची (उदा. Foxpass, JumpCloud, किंवा SecureW2) मदत घ्या. या सेवा होस्ट केलेले RADIUS सर्व्हर, मॅनेज्ड CA आणि MDM इंटिग्रेशन थेट तयार स्वरूपात देतात. IT टीम केवळ MDM कडून सर्टिफिकेट प्रोफाइल आणि ॲक्सेस पॉइंट RADIUS सेटिंग्ज कॉन्फिगर करते - कोणत्याही PKI तज्ञाची आवश्यकता नसते. खर्च साधारणपणे प्रति डिव्हाइस प्रति महिना $३-८ असतो, जो PCI DSS सुरक्षितता भंगाच्या खर्चाच्या तुलनेत नगण्य आहे.
बिझनेस केस: या गुंतवणुकीची तुलना तीन खर्च श्रेणींशी करा: (१) सुरक्षितता भंगा नंतर येणारा PCI DSS अ-अनुपालन दंड आणि फॉरेन्सिक तपासणी खर्च - मध्यम आकाराच्या किरकोळ विक्रेत्यासाठी साधारणपणे £५०k - £५००k; (२) कार्डधारक डेटा भंगासाठी कार्ड योजनेचा दंड - संभाव्यतः लाखो; (३) प्रतिष्ठेचे नुकसान आणि ग्राहक गमावणे. प्रत्येक स्टोअरमध्ये १५ POS टर्मिनल्स असणाऱ्या ३५० स्टोअर्ससाठी (५,२५० डिव्हाइसेस) $५/डिव्हाइस/महिना दराने मॅनेज्ड सेवेचा खर्च अंदाजे $२६,२५०/महिना आहे - जो सुरक्षितता भंग तपासाच्या दैनंदिन खर्चापेक्षा कमी आहे.
या मालिकेमध्ये पुढे वाचा
iOS आणि macOS 802.1X ट्रबलशूटिंग: Intune, Jamf आणि Microsoft Entra ID साठी एक डिप्लोयमेंट चेकलिस्ट
iPhones, iPads आणि Macs वर Intune किंवा Jamf Pro च्या माध्यमातून 802.1X का अयशस्वी होत आहे याचे निदान करण्यासाठी ही चेकलिस्ट वापरा. प्रत्येक बिघाड चारपैकी एका कारणामुळे होतो: सर्व्हर ट्रस्ट, आयडेंटिटी सर्टिफिकेट, macOS मोड किंवा Microsoft Entra ID ग्रुप स्कोपिंग. तुम्ही eapolclient आणि RADIUS लॉग्समधून कारणाची खात्री कराल, त्यावर उपाय लागू कराल आणि भविष्यातील सर्टिफिकेट रोटेशनचे टप्पे ठरवाल.
Intune WiFi प्रोफाइल सर्व्हर ट्रस्ट: Entra ID साठी सर्टिफिकेट सर्व्हर नावे आणि रूट CA चेकलिस्ट
तुम्ही Intune WiFi प्रोफाईलचे सर्व्हर व्हॅलिडेशन कॉन्फिगर करू शकाल जेणेकरून EAP-TLS आणि PEAP हे Windows, Apple आणि Android वर कनेक्ट होतील. तुम्ही सर्टिफिकेट सर्व्हरच्या नावांना RADIUS सर्टिफिकेटशी जुळवून घ्याल, योग्य root CA डिप्लोय कराल, Microsoft Entra ID ग्रुप असाइनमेंट्स अलाइन कराल आणि सर्टिफिकेट रिन्यूअल्स कनेक्शन खंडित करण्यापूर्वी ते आधीच स्टेज करून ठेवाल.
Android 802.1X आणि EAP-TLS ट्रबलशूटिंग: Intune आणि Microsoft Entra ID साठी एक डिप्लॉयमेंट चेकलिस्ट
तुम्ही हे शोधून काढू शकाल की व्यवस्थापित Android फोन्स तुमच्या स्टाफ SSID वर EAP-TLS मध्ये का अपयशी ठरतात आणि ते Intune मध्ये दुरुस्त करू शकाल. प्रत्येक समस्येला चार सामान्य कारणांशी जुळवून घ्या - गहाळ CA किंवा डोमेन, चुकीच्या प्रोफाइलमधील क्लायंट प्रमाणपत्र, न जुळणारे RADIUS सर्व्हरचे नाव व्हॅल्यू, किंवा न पोहोचवलेले ट्रस्टेड रूट. त्यानंतर एक रोलआउट चेकलिस्ट लागू करा जी पुन्हा होणारे आउटेज थांबवते.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.