PEAP-MSCHAPv2: ते अजूनही सामान्य का आहे, ते धोकादायक का आहे आणि पुढे कसे जावे

नमस्कार, आणि या Purple तांत्रिक ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आम्ही अशा एका विषयावर चर्चा करत आहोत जो नेटवर्क आर्किटेक्चर, सुरक्षा अनुपालन आणि स्पष्टपणे सांगायचे तर, लेगसी तांत्रिक कर्जाच्या (technical debt) छेदनबिंदूवर आहे. आम्ही PEAP-MSCHAPv2 बद्दल बोलत आहोत. विशेषतः, आम्ही हे पाहत आहोत की ते एंटरप्राइझ WiFi मध्ये अजूनही सर्वात सामान्य प्रमाणीकरण पद्धत का आहे, आजच्या धोक्याच्या लँडस्केपमध्ये ते मूलभूतपणे धोकादायक का आहे आणि सर्वात महत्त्वाचे म्हणजे, तुम्ही तुमच्या संस्थेला व्यावहारिकदृष्ट्या अधिक चांगल्या गोष्टीकडे कसे नेऊ शकता. चला संदर्भापासून सुरुवात करूया. जर तुम्ही हॉटेल, रिटेल चेन किंवा मोठ्या सार्वजनिक ठिकाणी IT संचालक किंवा नेटवर्क आर्किटेक्ट असाल, तर तुमचे स्टाफ WiFi नेटवर्क—आणि कदाचित तुमची कॉर्पोरेट उपकरणे—PEAP-MSCHAPv2 वापरून प्रमाणीकरण करत असण्याची दाट शक्यता आहे. जवळपास दोन दशकांपासून WPA2-Enterprise नेटवर्क्ससाठी हे डीफॉल्ट मानक आहे. का? कारण ते तैनात करणे आश्चर्यकारकपणे सोपे आहे. ते RADIUS सर्व्हरद्वारे थेट Active Directory शी जोडले जाते, आणि वापरकर्ते फक्त त्यांचे मानक Windows वापरकर्तानाव आणि पासवर्ड टाईप करतात. व्यवस्थापित करण्यासाठी कोणतीही प्रमाणपत्रे नाहीत, तयार करण्यासाठी कोणतीही जटिल पब्लिक की इन्फ्रास्ट्रक्चर नाही. ते फक्त काम करते. पण "फक्त काम करणे" आता पुरेसे नाही. PEAP-MSCHAPv2 ला आधार देणारे सुरक्षा आर्किटेक्चर, स्पष्टपणे सांगायचे तर, तुटलेले आहे. चला तांत्रिक वास्तवात डोकावूया. MSCHAPv2 MD4 हॅशिंग अल्गोरिदम आणि DES एन्क्रिप्शनवर अवलंबून आहे. ही दोन्ही क्रिप्टोग्राफिक मानके 1990 च्या दशकात डिझाइन केली गेली होती आणि एका दशकाहून अधिक काळापासून ती कमकुवत मानली जातात. 2012 मध्ये, DEF CON सुरक्षा परिषदेत, संशोधक मॉक्सी मार्लिन्स्पाइक यांनी हे सिद्ध केले की MSCHAPv2 हँडशेक निश्चितपणे क्रॅक केला जाऊ शकतो. त्यांनी एक साधन जारी केले ज्याने क्रॅकिंग प्रक्रिया एकाच DES की क्रॅकमध्ये कमी केली, याचा अर्थ असा की माफक संगणकीय शक्ती असलेला हल्लेखोर—किंवा क्लाउड क्रॅकिंग सेवेचा ॲक्सेस असलेला—कॅप्चर केलेल्या हँडशेकमधून वापरकर्त्याचा प्लेनटेक्स्ट Active Directory पासवर्ड काही तासांत, किंवा काही मिनिटांत पुनर्प्राप्त करू शकतो. तर, प्रत्यक्ष जगात हल्लेखोर तो हँडशेक कसा कॅप्चर करतो? हे आपल्याला "इव्हिल ट्विन" (Evil Twin) हल्ल्याकडे घेऊन जाते. एखाद्या कॉर्पोरेट ऑफिसची किंवा हॉटेलच्या बॅक-ऑफ-हाऊस क्षेत्राची कल्पना करा. एक हल्लेखोर रोग ॲक्सेस पॉईंट घेऊन आत येतो—अनेकदा त्यांच्या बॅकपॅकमध्ये Wi-Fi Pineapple सारखे छोटे उपकरण असते. ते हा रोग AP तुमच्या कॉर्पोरेट नेटवर्कसारखाच अचूक SSID ब्रॉडकास्ट करण्यासाठी कॉन्फिगर करतात, समजा, "Staff-WiFi." ते सिग्नलची ताकद वाढवतात जेणेकरून जवळपासची उपकरणे नैसर्गिकरित्या तुमच्या कायदेशीर ॲक्सेस पॉईंट्सपेक्षा त्याला प्राधान्य देतात. जेव्हा कर्मचाऱ्याचा लॅपटॉप किंवा फोन कनेक्ट करण्याचा प्रयत्न करतो, तेव्हा रोग AP ऑथेंटिकेटर म्हणून काम करतो आणि हल्लेखोराद्वारे नियंत्रित बनावट RADIUS सर्व्हरकडे निर्देश करतो. कर्मचाऱ्याचे उपकरण PEAP टनेल सुरू करते. आता, हा एक गंभीर अपयशाचा मुद्दा आहे: PEAP क्लायंट उपकरणावर अवलंबून असते जे सर्व्हरच्या डिजिटल प्रमाणपत्राची पडताळणी करते जेणेकरून ते खऱ्या कॉर्पोरेट RADIUS सर्व्हरशी बोलत असल्याची खात्री होईल. तथापि, बहुतांश डिप्लॉयमेंट्समध्ये, क्लायंट उपकरणे एकतर चुकीच्या पद्धतीने कॉन्फिगर केलेली असतात, किंवा वापरकर्त्यांना फक्त एक पॉप-अप विचारला जातो की "तुम्हाला या प्रमाणपत्रावर विश्वास आहे का?" आणि ते फक्त ऑनलाइन जाण्यासाठी "Yes" वर क्लिक करतात. एकदा ते बनावट प्रमाणपत्र स्वीकारले गेले की, उपकरण टनेलमधून MSCHAPv2 चॅलेंज-रिस्पॉन्स पाठवते. हल्लेखोर ते कॅप्चर करतो, निघून जातो आणि ऑफलाइन हॅश क्रॅक करतो. आता त्यांच्याकडे वैध Active Directory क्रेडेन्शियल्स आहेत, ज्याचा वापर ते तुमच्या VPN, तुमच्या ईमेल सिस्टम किंवा इतर कोणत्याही कॉर्पोरेट सेवेमध्ये लॉग इन करण्यासाठी करू शकतात. हा केवळ सैद्धांतिक धोका नाही. पेनिट्रेशन टेस्टर्स आणि दुर्भावनापूर्ण अभिनेते दोघांसाठी ही एक मानक ऑपरेशनल प्रक्रिया आहे. आणि जर तुम्ही PCI DSS किंवा GDPR सारख्या अनुपालन फ्रेमवर्कच्या अधीन असाल, तर तडजोड केलेल्या प्रमाणीकरण प्रोटोकॉलवर अवलंबून राहणे ही एक मोठी जबाबदारी आहे. तर, जर धोके इतके जास्त असतील, तर आपण सर्वजण पुढे का गेलो नाही? याचे उत्तर सहसा समजलेली गुंतागुंत आणि लेगसी हार्डवेअर यांचे मिश्रण असते. PEAP पासून दूर जाणे म्हणजे प्रमाणपत्र-आधारित प्रमाणीकरणाकडे, विशेषतः EAP-TLS कडे जाणे. EAP-TLS हे सुवर्ण मानक आहे. यासाठी सर्व्हर आणि क्लायंट डिव्हाइस दोघांनीही वैध डिजिटल प्रमाणपत्र सादर करणे आवश्यक आहे. यात कोणतेही पासवर्ड प्रसारित केले जात नाहीत, हॅश केलेले किंवा इतर कोणत्याही स्वरूपात. हे ऑफलाइन डिक्शनरी हल्ल्यांपासून पूर्णपणे सुरक्षित आहे आणि इव्हिल ट्विन हल्ल्यांना अत्यंत प्रतिरोधक आहे कारण क्लायंट तुमच्या विश्वसनीय प्रमाणपत्र प्राधिकरणाने (Certificate Authority) स्वाक्षरी न केलेला कोणताही बनावट RADIUS सर्व्हर सायलेंटली नाकारेल. परंतु EAP-TLS तैनात करणे म्हणजे तुम्हाला पब्लिक की इन्फ्रास्ट्रक्चर, किंवा PKI ची आवश्यकता आहे. तुम्हाला प्रमाणपत्रे तयार करण्यासाठी आणि तुमच्या फ्लीटमधील प्रत्येक लॅपटॉप, फोन आणि टॅब्लेटवर सुरक्षितपणे वितरित करण्यासाठी एका मार्गाची आवश्यकता आहे. पाच वर्षांपूर्वी, Microsoft Active Directory Certificate Services इन्फ्रास्ट्रक्चर तयार करणे हा एक कठीण, महागडा प्रकल्प होता. आज मात्र परिस्थिती बदलली आहे. अंमलबजावणीचा मार्ग अधिक स्पष्ट आहे. जर तुम्ही मायग्रेशनची योजना आखत असाल, तर Purple मध्ये आम्ही आमच्या क्लायंट्सना शिफारस केलेला व्यावहारिक दृष्टिकोन येथे आहे. प्रथम, तुम्हाला हार्ड कटओव्हर करण्याची गरज नाही. आधुनिक RADIUS सर्व्हर्स—मग ते Cisco ISE असो, Aruba ClearPass असो, किंवा क्लाउड-नेटिव्ह सोल्यूशन्स असोत—तुम्हाला एकाच SSID वर एकाच वेळी PEAP-MSCHAPv2 आणि EAP-TLS चालवण्याची परवानगी देतात. पहिली पायरी म्हणजे तुमचे PKI तैनात करणे. तुम्हाला आता हे ऑन-प्रिमाइस तयार करण्याची गरज नाही. क्लाउड PKI सोल्यूशन्स थेट तुमच्या आयडेंटिटी प्रोव्हायडरशी—जसे की Entra ID किंवा Google Workspace—आणि तुमच्या मोबाईल डिव्हाइस मॅनेजमेंट प्लॅटफॉर्म्स जसे की Intune किंवा Jamf शी इंटिग्रेट होतात. दुसरी पायरी म्हणजे तुमच्या मॅनेज्ड उपकरणांवर क्लायंट प्रमाणपत्रे सायलेंटली पुश करण्यासाठी तुमच्या MDM चा वापर करणे. तुम्ही EAP-TLS ला प्राधान्य देण्यासाठी MDM द्वारे WiFi प्रोफाईल कॉन्फिगर करू शकता. याचा अर्थ तुमचे कॉर्पोरेट लॅपटॉप्स कोणत्याही वापरकर्त्याच्या हस्तक्षेपाशिवाय सुरक्षित, प्रमाणपत्र-आधारित पद्धतीवर आपोआप स्विच होतील. तिसरी पायरी म्हणजे संक्रमण टप्पा. तुम्ही तुमच्या RADIUS लॉग्सचे निरीक्षण करा. तुम्हाला तुमची मॅनेज्ड उपकरणे EAP-TLS द्वारे प्रमाणीकरण करताना दिसतील, तर अनमॅनेज्ड किंवा लेगसी उपकरणे PEAP वापरणे सुरू ठेवतील. हे आपल्याला सामान्य समस्येकडे घेऊन जाते: लेगसी उपकरणे. तुमच्या वेअरहाऊसमधील दहा वर्षांच्या जुन्या बारकोड स्कॅनर्सचे, किंवा EAP-TLS ला समर्थन न देणाऱ्या जुन्या पॉईंट-ऑफ-सेल टर्मिनल्सचे तुम्ही काय करता? यावर उपाय म्हणजे विभागणी (segmentation). सर्वात कमी सामान्य छेद सामावून घेण्यासाठी तुम्ही तुमच्या प्राथमिक स्टाफ नेटवर्कची सुरक्षा कधीही कमी करू नये. त्याऐवजी, त्या लेगसी उपकरणांना एका समर्पित VLAN वर आयसोलेट करा. तुम्ही कठोर नेटवर्क ॲक्सेस कंट्रोल्ससह MAC-आधारित प्रमाणीकरण वापरू शकता, हे सुनिश्चित करून की ती उपकरणे केवळ त्यांना आवश्यक असलेल्या विशिष्ट अंतर्गत सर्व्हर्सशीच बोलू शकतील, आणि इतर कशाशीही नाही. एकदा तुमचा मॅनेज्ड फ्लीट पूर्णपणे EAP-TLS कडे मायग्रेट झाला की, तुम्ही शेवटी तुमच्या मुख्य कॉर्पोरेट SSID वर PEAP-MSCHAPv2 अक्षम करू शकता, आणि असुरक्षिततेची खिडकी कायमची बंद करू शकता. IT संचालकांकडून आम्हाला मिळणाऱ्या सर्वात सामान्य प्रश्नांवर आधारित एक द्रुत रॅपिड-फायर प्रश्नोत्तरे करूया. प्रश्न पहिला: "WPA3 PEAP-MSCHAPv2 ची समस्या सोडवते का?" उत्तर: नाही. WPA3 हवेतील एन्क्रिप्शन सुधारते, परंतु अंतर्निहित EAP प्रमाणीकरण पद्धत तीच राहते. जर तुम्ही PEAP-MSCHAPv2 सोबत WPA3-Enterprise वापरत असाल, तर क्लायंटने सर्व्हर प्रमाणपत्राचे कठोरपणे प्रमाणीकरण न केल्यास तुम्ही अजूनही इव्हिल ट्विन द्वारे क्रेडेन्शियल कॅप्चरसाठी असुरक्षित आहात. प्रश्न दुसरा: "EAP-TTLS बद्दल काय?" उत्तर: EAP-TTLS हे PEAP पेक्षा चांगले आहे कारण ते प्रमाणीकरणाला टनेल करते, अनेकदा MSCHAPv2 ऐवजी PAP वापरून, जे MSCHAPv2 च्या विशिष्ट क्रिप्टोग्राफिक कमकुवतपणा टाळते. तथापि, ते अजूनही पासवर्ड्सवर अवलंबून असते आणि सर्व्हर प्रमाणपत्र प्रमाणित न केल्यास ते अजूनही असुरक्षित असते. ही एक पायरी आहे, परंतु EAP-TLS हे अंतिम ध्येय असले पाहिजे. प्रश्न तिसरा: "याचा आमच्या Purple गेस्ट WiFi वर कसा परिणाम होतो?" उत्तर: याचा थेट परिणाम होत नाही. गेस्ट WiFi सामान्यतः कॅप्टिव्ह पोर्टल्स किंवा WPA2/3-Personal सह ओपन नेटवर्क्स वापरते, जे तुमच्या 802.1X एंटरप्राइझ प्रमाणीकरणापासून वेगळे असतात. तथापि, तुमचे गेस्ट सर्व्हिसेस आणि ॲनालिटिक्स प्लॅटफॉर्म्ससह तुमच्या सर्व व्हेन्यू ऑपरेशन्सना समर्थन देणाऱ्या इन्फ्रास्ट्रक्चरचे संरक्षण करण्यासाठी तुमचे बॅक-ऑफ-हाऊस नेटवर्क सुरक्षित करणे महत्त्वपूर्ण आहे. थोडक्यात सांगायचे तर: PEAP-MSCHAPv2 ने आपली चांगली सेवा केली आहे, परंतु त्याची वेळ आता निघून गेली आहे. क्रिप्टोग्राफिक त्रुटी सार्वजनिक आहेत, आणि हल्ला करणारी साधने स्वयंचलित आहेत. EAP-TLS कडे मायग्रेशन हा आता कोणताही ब्लीडिंग-एज प्रकल्प राहिलेला नाही; हे एक मानक, साध्य करण्यायोग्य अपग्रेड आहे, जे आधुनिक MDM आणि क्लाउड PKI सोल्यूशन्समुळे लक्षणीयरीत्या सोपे झाले आहे. काहीही न करण्याचा धोका—तडजोड केलेला Active Directory पासवर्ड ज्यामुळे मोठ्या नेटवर्कचे उल्लंघन होऊ शकते—मायग्रेशनच्या ऑपरेशनल प्रयत्नांपेक्षा खूप जास्त आहे. आजच तुमच्या RADIUS लॉग्सच्या ऑडिटने सुरुवात करा, तुमची लेगसी उपकरणे ओळखा, आणि प्रमाणपत्र-आधारित प्रमाणीकरणाकडे तुमचे संक्रमण मॅप करण्यास सुरुवात करा. हे Purple तांत्रिक ब्रीफिंग ऐकल्याबद्दल धन्यवाद. अधिक तपशीलवार डिप्लॉयमेंट मार्गदर्शक आणि आर्किटेक्चर डायग्राम्ससाठी, या पॉडकास्टसोबत असलेले संपूर्ण तांत्रिक संदर्भ मार्गदर्शक नक्की वाचा.