PPSK WPA3: वैशिष्ट्ये आणि उपयोजन मॉडेल्सची तुलना

Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण अशा प्रश्नावर चर्चा करत आहोत जो सध्या मल्टी-टेनंट मालमत्ता, हॉस्पिटॅलिटी किंवा रिटेल क्षेत्रात काम करणाऱ्या जवळजवळ प्रत्येक नेटवर्क आर्किटेक्टच्या डेस्कवर येतो: PPSK आणि WPA3 ची प्रत्यक्षात कशी तुलना होते, आणि कोणते उपयोजन मॉडेल तुमच्या वातावरणासाठी योग्य आहे? चला संदर्भापासून सुरुवात करूया. जर तुम्ही मालमत्ता विकासक, BTR ऑपरेटर किंवा सामायिक WiFi पायाभूत सुविधांसह निवासी ब्लॉक व्यवस्थापित करणारे घरमालक असाल, तर तुम्ही बहुधा हे दोन्ही शब्द ऐकले असतील. PPSK, ज्याचा अर्थ Private Pre-Shared Key आहे, आणि WPA3, जे Wi-Fi Alliance कडून WiFi सुरक्षेची नवीनतम पिढी आहे. त्यांच्याबद्दल अनेकदा अशी चर्चा केली जाते की जणू ते एकमेकांशी स्पर्धा करणारे तंत्रज्ञान आहेत. तसे नाही. ते वेगवेगळ्या समस्या सोडवतात. आणि बऱ्याच उपयोजनांमध्ये, तुम्हाला दोन्हीची आवश्यकता असते. म्हणून पुढे जाण्यापूर्वी आपण आपल्या संज्ञा स्पष्टपणे परिभाषित करूया. WPA3 हे एक सुरक्षा प्रमाणपत्र मानक आहे, ज्याला २०१८ मध्ये Wi-Fi Alliance द्वारे मान्यता देण्यात आली आहे. हे दोन मुख्य प्रकारांमध्ये येते. WPA3-Personal, जे जुन्या Pre-Shared Key यंत्रणेला SAE - Simultaneous Authentication of Equals नावाच्या यंत्रणेने बदलते. आणि WPA3-Enterprise, जे 802.1X फ्रेमवर्कवर तयार केले गेले आहे आणि उच्च-सुरक्षा वातावरणासाठी पर्यायी १९२-बिट क्रिप्टोग्राफिक सूट सादर करते. WPA3-Personal मधील महत्त्वपूर्ण सुधारणा म्हणजे SAE ऑफलाइन डिक्शनरी हल्ले काढून टाकते. WPA2 मध्ये, जेव्हा एखादे डिव्हाइस तुमच्या नेटवर्कशी कनेक्ट होते तेव्हा जर एखाद्या हल्लेखोराने फोर-वे हँडशेक कॅप्चर केला, तर ते तो डेटा घेऊन जाऊ शकत होते आणि तुमच्या नेटवर्कला पुन्हा स्पर्श न करता त्यावर अनिश्चित काळासाठी ब्रूट-फोर्स क्रॅकिंग टूल्स चालवू शकत होते. SAE याला पूर्णपणे थांबवते. प्रत्येक पासवर्डच्या अंदाजासाठी ॲक्सेस पॉईंटशी सक्रिय परस्परसंवादाची आवश्यकता असते. हे ऑफलाइन क्रॅकिंग व्यावहारिकदृष्ट्या अशक्य करते. WPA3 हे IEEE 802.11w मध्ये परिभाषित केलेले Protected Management Frames, किंवा PMF देखील अनिवार्य करते. हे डिव्हाइसेस आणि ॲक्सेस पॉईंट्समधील व्यवस्थापन ट्रॅफिकचे स्पूफिंग आणि रिप्ले हल्ल्यांपासून संरक्षण करते. WPA2 मध्ये, PMF पर्यायी होते. WPA3 मध्ये, यावर कोणतीही तडजोड केली जाऊ शकत नाही. आता, PPSK. Private Pre-Shared Key हे एक प्रोप्रायटरी तंत्रज्ञान आहे - आणि तो प्रोप्रायटरी शब्द महत्त्वाचा आहे, म्हणून आपण त्यावर पुन्हा येऊ. मूळ संकल्पना सोपी आहे: एका SSID वरील प्रत्येक डिव्हाइसने एकच पासवर्ड शेअर करण्याऐवजी, प्रत्येक डिव्हाइस किंवा प्रत्येक वापरकर्त्याला एक युनिक पासफ्रेज मिळतो. वेगवेगळे विक्रेते याचे ब्रँडिंग वेगवेगळ्या प्रकारे करतात. Cisco याला iPSK म्हणते. Extreme Networks याला PPSK म्हणते. Ruckus याला DPSK म्हणते. Juniper Mist याला Multi-PSK म्हणते. HPE Aruba याला MPSK म्हणते. Cambium याला ePSK म्हणते. या सर्वांमधील मूळ यंत्रणा सारखीच आहे. हे तांत्रिकदृष्ट्या कसे कार्य करते ते येथे आहे. मानक WPA2-Personal मध्ये, Pre-Shared Key हा 802.11i मानकामध्ये परिभाषित केलेल्या सूत्राचा वापर करून तुमच्या पासफ्रेजमधून मिळवला जातो. समान पासवर्ड वापरणारे प्रत्येक डिव्हाइस समान PSK मिळवते. PPSK अंमलबजावणीमध्ये, प्रत्येक युनिक पासफ्रेज एक वेगळा PSK मिळवतो. जेव्हा एखादे डिव्हाइस कनेक्ट होते, तेव्हा ॲक्सेस पॉईंट किंवा RADIUS सर्व्हर फोर-वे हँडशेकमधील Message Integrity Check च्या विरुद्ध प्रत्येक संग्रहित PSK चा प्रयत्न करतो जोपर्यंत त्याला जुळणारा की मिळत नाही. अशा प्रकारे डिव्हाइस ओळखले जाते. याचा व्यावहारिक परिणाम असा होतो की तुम्ही BTR इमारतीमधील प्रत्येक रहिवाशाला, हॉटेलमधील प्रत्येक कर्मचाऱ्याला किंवा प्रत्येक IoT डिव्हाइस श्रेणीला स्वतःचा युनिक पासफ्रेज नियुक्त करू शकता आणि तो पासफ्रेज एका विशिष्ट VLAN शी मॅप करू शकता. फ्लॅट एक मधील रहिवाशाला पासफ्रेज A मिळतो, जो VLAN १० शी मॅप होतो. फ्लॅट दोन मधील रहिवाशाला पासफ्रेज B मिळतो, जो VLAN २० शी मॅप होतो. त्यांचे ट्रॅफिक लेयर २ वर वेगळे केले जाते. ते एकच SSID, ॲक्सेस पॉईंट्सचा एक संच, एक पायाभूत सुविधा सामायिक करतात - परंतु ते एकमेकांचे डिव्हाइसेस पाहू शकत नाहीत. आता येथेच PPSK आणि WPA3 मधील तणाव आर्किटेक्चरल दृष्ट्या महत्त्वाचा ठरतो. आणि हा असा भाग आहे ज्याकडे बहुतेक मार्गदर्शक दुर्लक्ष करतात. PPSK, त्याच्या पारंपारिक स्वरूपात, WPA2 वर चालते. मल्टी-PSK यंत्रणा WPA2 का पाया असलेल्या 802.11i मध्ये परिभाषित केलेल्या फोर-वे हँडशेकवर अवलंबून असते. WPA3-Personal त्या हँडशेकला SAE ने बदलते. या दोन्ही यंत्रणा प्रोटोकॉल पातळीवर मूलभूतपणे विसंगत आहेत. याचा अर्थ असा आहे की जर तुम्ही आज बहुतेक ॲक्सेस पॉईंट्सवर शुद्ध WPA3-Personal SSID कॉन्फिगर केले, तर तुम्ही त्याच SSID वर एकाच वेळी PPSK चालवू शकत नाही. SAE हँडशेक मल्टी-PSK ट्रायल-अँड-मॅच वर्कफ्लोला समर्थन देत नाही. तथापि - आणि हे महत्त्वाचे आहे - उद्योग यावर सक्रियपणे तोडगा काढत आहे. Juniper Mist चे Access Assurance प्लॅटफॉर्म आता RADIUS-आधारित दृष्टिकोन वापरून WPA3 Multi-PSK चे समर्थन करते जेथे ॲक्सेस पॉईंट WPA3-SAE मोडमध्ये कार्य करतो आणि RADIUS सर्व्हर प्रत्येक डिव्हाइसच्या की शोधण्याचे काम हाताळतो. Cisco चे iPSK सोल्यूशन देखील अशाच प्रकारे बाह्य RADIUS सर्व्हरसह WPA3-SAE चे समर्थन करते जेथे MAC ॲड्रेस ते PSK मॅपिंग संग्रहित केले जाते. 802.11ax अंतर्गत WiFi 6E सह सादर केलेला 6GHz बँड WPA3 अनिवार्य करतो. त्यामुळे 6GHz ला लक्ष्य करणाऱ्या कोणत्याही उपयोजनासाठी WPA3-सुसंगत PPSK सोल्यूशन शोधणे आवश्यक आहे. तुमच्या उपयोजनाच्या निर्णयासाठी व्यावहारिक परिणाम असा आहे: जर तुम्ही Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme किंवा Fortinet हार्डवेअर वापरत असाल, तर तुमचे सुरक्षा आर्किटेक्चर अंतिम करण्यापूर्वी तुमच्या विक्रेत्याचे सध्याचे फर्मवेअर WPA3 अधिक मल्टी-PSK समर्थनासाठी तपासा. हे क्षेत्र वेगाने बदलत आहे. चला उपयोजन मॉडेल्सबद्दल बोलूया. या क्षेत्रात आपल्याला तीन प्राथमिक पॅटर्न पाहायला मिळतात. पहिले म्हणजे RADIUS शिवाय PPSK, ज्याला कधीकधी स्थानिक PPSK किंवा कंट्रोलर-आधारित PPSK म्हटले जाते. PSK पूल थेट ॲक्सेस पॉईंट किंवा वायरलेस कंट्रोलरवर संग्रहित केला जातो. हे सर्वात सोपे उपयोजन आहे. कोणत्याही बाह्य प्रमाणीकरण सर्व्हरची आवश्यकता नाही. हे लहान साइट्ससाठी चांगले कार्य करते - एकच रिटेल शाखा, ५०० पेक्षा कमी सदस्य असलेली कोवर्किंग स्पेस किंवा लहान निवासी ब्लॉक. मर्यादा स्केलची आहे. बहुतेक कंट्रोलर-आधारित अंमलबजावणी PSKs ची संख्या काही शे ते काही हजारांपर्यंत मर्यादित करतात. की व्यवस्थापन मॅन्युअल बनते. आणि की स्थानिक पातळीवर संग्रहित केल्यामुळे, तडजोड केलेली की रद्द करण्यासाठी थेट कंट्रोलरला स्पर्श करणे आवश्यक असते. दुसरे मॉडेल RADIUS सह PPSK आहे. येथे, PSK पूल बाह्य RADIUS सर्व्हरमध्ये असतो. जेव्हा एखादे डिव्हाइस कनेक्ट होते, तेव्हा ॲक्सेस पॉईंट प्रमाणीकरण विनंती RADIUS कडे पाठवतो, जे त्या डिव्हाइससाठी योग्य PSK शोधते आणि ते AP कडे परत पाठवते. हे मॉडेल हजारो डिव्हाइसेसपर्यंत स्केल करू शकते. हे ओळख प्रदात्यांशी - Microsoft Entra ID, Okta, Google Workspace - समाकलित होते जेणेकरून तुम्ही प्रोव्हिजनिंग आणि डी-प्रोव्हिजनिंग स्वयंचलित करू शकता. जेव्हा एखादा रहिवासी BTR इमारतीमधून बाहेर पडतो, तेव्हा तुम्ही ओळख प्रदात्यामधील त्यांची नोंद रद्द करता आणि त्यांचा WiFi ॲक्सेस काही सेकंदात नाहीसा होतो. कोणतीही मॅन्युअल की रोटेशन नाही. हेच ते आर्किटेक्चर आहे ज्यावर Purple चे मल्टी-टेनंट WiFi प्लॅटफॉर्म तयार केले गेले आहे. तिसरे मॉडेल 802.1X सह WPA3-Enterprise आहे. यात अजिबात PSKs नसतात. प्रत्येक डिव्हाइस EAP-TLS किंवा PEAP द्वारे प्रमाणपत्र किंवा क्रेडेंशियल वापरून प्रमाणित होते. कॉर्पोरेट वातावरण, आरोग्य सेवा आणि PCI-DSS किंवा ISO 27001 सारख्या कठोर अनुपालन आवश्यकता असलेल्या कोणत्याही ठिकाणासाठी हे सुवर्ण मानक आहे. याचा अतिरिक्त भार जास्त आहे - तुम्हाला प्रमाणपत्र व्यवस्थापनासाठी पब्लिक की इन्फ्रास्ट्रक्चरची आवश्यकता असते आणि प्रत्येक डिव्हाइसची नोंदणी करणे आवश्यक असते. रहिवासी स्वतःचे डिव्हाइसेस आणत असलेल्या BTR इमारतीसाठी, हे क्वचितच व्यावहारिक असते. हॉटेलच्या कर्मचारी नेटवर्कसाठी किंवा हॉस्पिटलच्या क्लिनिकल डिव्हाइस ताफ्यासाठी, हे योग्य उत्तर आहे. आता हे अधिक स्पष्ट करण्यासाठी दोन वास्तविक जगातील परिस्थिती पाहूया. परिस्थिती एक. २०० युनिट्सचा BTR विकास. ऑपरेटरला प्रत्येक रहिवाशाचा स्वतःचा खाजगी नेटवर्क विभाग असावा असे वाटते, ज्यामध्ये शेजारच्या फ्लॅट्समध्ये कोणतीही दृश्यमानता नसेल. त्यांना स्मार्ट होम डिव्हाइसेसना - थर्मोस्टॅट्स, व्हिडिओ डोअरबेल्स, स्मार्ट यांसारख्या - देखील समर्थन देणे आवश्यक आहे, जे सहसा केवळ WPA2-वर चालतात. आणि त्यांना नेटवर्क व्यवस्थापनाचा अतिरिक्त भार शक्य तितका कमी हवा आहे. येथे योग्य आर्किटेक्चर म्हणजे WPA2 किंवा WPA2/WPA3 ट्रान्झिशन मोड SSID वर RADIUS सह PPSK. प्रत्येक रहिवाशाला राहायला आल्यावर एक युनिक पासफ्रेज मिळतो, जो RADIUS सर्व्हरशी समाकलित केलेल्या मालमत्ता व्यवस्थापन प्रणालीद्वारे स्वयंचलितपणे प्रोव्हिजन केला जातो. त्यांचे डिव्हाइसेस - फोन, लॅपटॉप, स्मार्ट टीव्ही - त्या पासफ्रेजचा वापर करून कनेक्ट होतात आणि त्यांच्या समर्पित VLAN वर पोहोचतात. त्यांचे IoT डिव्हाइसेस एका वेगळ्या IoT पासफ्रेजचा वापर करून कनेक्ट होतात जो मर्यादित IoT VLAN शी मॅप केला जातो, ज्याला मुख्य निवासी विभागामध्ये प्रवेश नसतो. जेव्हा ते बाहेर पडतात, तेव्हा मालमत्ता व्यवस्थापन प्रणाली डी-प्रोव्हिजनिंग सुरू करते. त्यांचा पासफ्रेज रद्द केला जातो. प्रवेश संपतो. Purple चे मल्टी-टेनंट WiFi प्लॅटफॉर्म अगदी हाच वर्कफ्लो हाताळते, जे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks आणि Fortinet मधील हार्डवेअरशी समाकलित होते. क्लाउड ओव्हरलेचा अर्थ असा आहे की साइटवर कोणतेही हार्डवेअर असले तरीही तुम्ही संपूर्ण मालमत्ता एकाच डॅशबोर्डवरून व्यवस्थापित करू शकता. परिस्थिती दोन. १५० खोल्यांची हॉटेल मालमत्ता. हॉटेलला तीन वेगळे नेटवर्क विभाग हवे आहेत: हॉटेल अभ्यागतांसाठी अतिथी WiFi, ऑपरेशनल डिव्हाइसेससाठी कर्मचारी WiFi आणि CCTV, डोअर ॲक्सेस आणि HVAC साठी इमारत व्यवस्थापन नेटवर्क. अतिथी नेटवर्क विनाअडथळा असणे आवश्यक आहे. कर्मचारी नेटवर्क सुरक्षित आणि ऑडिट करण्यायोग्य असणे आवश्यक आहे. इमारत व्यवस्थापन नेटवर्क पूर्णपणे स्वतंत्र असणे आवश्यक आहे. येथे, आर्किटेक्चर हे तीन-SSID डिझाइन आहे. अतिथी SSID खरोखर पासवर्डमुक्त अनुभवासाठी WPA3-Personal सह SAE, किंवा Opportunistic Wireless Encryption सह Enhanced Open वापरते, जे संमती-आधारित ऑनबोर्डिंगसाठी Purple च्या कॅप्टिव्ह पोर्टल सह एकत्रित केले जाते. कर्मचारी SSID Microsoft Entra ID विरुद्ध प्रमाणित केलेले 802.1X सह WPA3-Enterprise वापरते. इमारत व्यवस्थापन SSID समर्पित VLAN सह PPSK वापरते, जे फायरवॉलवर इतर सर्व ट्रॅफिकपासून वेगळे केले जाते. आता मी सर्वात सामान्य अंमलबजावणी त्रुटींबद्दल सांगतो, कारण येथेच उपयोजन चुकतात. पहिले म्हणजे PMF सुसंगतता. WPA3 हे Protected Management Frames अनिवार्य करते. जर तुमच्याकडे जुने डिव्हाइसेस असतील - जुने बारकोड स्कॅनर, पॉईंट-ऑफ-सेल टर्मिनल्स, काही वैद्यकीय उपकरणे - जे PMF चे समर्थन करत नाहीत, तर ते शुद्ध WPA3 SSID शी कनेक्ट करण्यात अपयशी ठरतील. याचे लक्षण म्हणजे डिव्हाइस नेटवर्क पाहते परंतु कनेक्ट होऊ शकत नाही. यावर उपाय म्हणजे एकतर WPA3 Transition Mode, जो एकाच SSID वर WPA2 आणि WPA3 दोन्ही क्लायंटना अनुमती देतो, किंवा त्या जुन्या डिव्हाइसेससाठी स्वतंत्र VLAN वर समर्पित WPA2 SSID. Transition Mode ही एक वैध स्थलांतर रणनीती आहे, परंतु ती डाऊनग्रेड हल्ल्यांना बळी पडू शकते, म्हणून याकडे तात्पुरती व्यवस्था म्हणून पहा. दुसरी त्रुटी म्हणजे की स्प्रॉल. योग्य लाइफसायकल व्यवस्थापनाशिवाय PPSK उपयोजनामध्ये, तुमच्याकडे जुन्या की जमा होतात. माजी रहिवासी, माजी कर्मचारी, वापरात नसलेले डिव्हाइसेस - हे सर्व तुमच्या RADIUS डेटाबेसमध्ये अनाथ PSKs सोडतात. यातील प्रत्येक एक संभाव्य हल्ला मार्ग असू शकतो. पहिल्या दिवसापासून प्रोव्हिजनिंग आणि डी-प्रोव्हिजनिंग स्वयंचलित करा आणि तुमच्या PSK डेटाबेसचे त्रैमासिक ऑडिट करा. तिसरी त्रुटी म्हणजे 6GHz चे नियोजन. जर तुम्ही WiFi 6E किंवा WiFi 7 ॲक्सेस पॉईंट्स उपयोजित करत असाल आणि 6GHz बँड वापरू इच्छित असाल, तर WPA3 अनिवार्य आहे. तुम्ही 6GHz वर WPA2 चालवू शकत नाही. त्यामुळे जर तुमची PPSK रणनीती WPA2 वर अवलंबून असेल, तर तुमचे 6GHz रेडिओ न वापरलेले राहतील किंवा स्वतंत्र SSID चालवतील. तुमची हार्डवेअर खरेदी अंतिम करण्यापूर्वी तुमच्या सुरक्षा आर्किटेक्चरचे नियोजन करा. आता रॅपिड-फायर प्रश्नोत्तरांसाठी. प्रश्न: मी एकाच SSID वर PPSK आणि WPA3 चालवू शकतो का? उत्तर: आजच्या बहुतेक हार्डवेअरवर, मूळतः नाही. परंतु Juniper Mist आणि Cisco दोन्ही RADIUS-आधारित मल्टी-PSK सह WPA3-SAE चे समर्थन करतात. तुमच्या विक्रेत्याचे सध्याचे फर्मवेअर तपासा. पुढील १२ ते १८ महिन्यांत सर्व विक्रेत्यांमध्ये व्यापक समर्थनाची अपेक्षा करा. प्रश्न: Is PPSK compliant with PCI-DSS? उत्तर: जर प्रत्येक कार्डधारक डेटा पर्यावरण डिव्हाइस स्वतःच्या स्वतंत्र VLAN वर असेल आणि प्रवेश नियंत्रित आणि ऑडिट करण्यायोग्य असेल, तर PPSK हे PCI-DSS नेटवर्क वर्गीकरण आवश्यकता पूर्ण करू शकते. कार्डधारक डेटा पर्यावरणासाठी, 802.1X आणि EAP-TLS सह WPA3-Enterprise हा दीर्घकालीन सुरक्षित पर्याय आहे. प्रश्न: जर एखाद्या रहिवाशाने त्यांचा PPSK शेजाऱ्यासोबत शेअर केला तर काय होईल? उत्तर: त्यांचा शेजारी रहिवाशाच्या त्याच VLAN वर येईल. शेजारी इतर रहिवाशांच्या ट्रॅफिकमध्ये प्रवेश करू शकत नाही. परंतु याचा अर्थ असा होतो की मालमत्ता ऑपरेटर अनधिकृत वापरकर्त्याला सेवा प्रदान करत आहे. हार्डवेअर समर्थन करत असल्यास PSKs ला MAC ॲड्रेसशी बाइंड करून किंवा वापर मॉनिटरिंग आणि विसंगती चेतावणी लागू करून हे कमी करा. थोडक्यात सांगायचे तर. PPSK आणि WPA3 हे पूरक आहेत, प्रतिस्पर्धी नाहीत. PPSK मल्टी-टेनंट अलगावची समस्या सोडवते - एक SSID, प्रति रहिवासी किंवा डिव्हाइस युनिक क्रेडेंशियल्स, स्वयंचलित VLAN असाइनमेंट. WPA3 प्रमाणीकरण सुरक्षा समस्या सोडवते - SAE ऑफलाइन डिक्शनरी हल्ले काढून टाकते, PMF व्यवस्थापन फ्रेम्सचे संरक्षण करते आणि १९२-बिट सूट उच्च-सुरक्षा अनुपालन आवश्यकता पूर्ण करतो. आज सामायिक WiFi पायाभूत सुविधा उपयोजित करणाऱ्या BTR ऑपरेटर आणि घरमालकांसाठी, रहिवासी अलगावसाठी RADIUS सह PPSK हे शिफारस केलेले आर्किटेक्चर आहे, जे व्यापक डिव्हाइस सुसंगततेसाठी WPA2 किंवा WPA3 Transition Mode वर चालते, ज्यामध्ये विक्रेत्याचे समर्थन परिपक्व झाल्यावर WPA3-नेटिव्ह PPSK कडे स्थलांतराचा स्पष्ट मार्ग असतो. याला कर्मचारी आणि ऑपरेशनल डिव्हाइसेससाठी समर्पित WPA3-Enterprise SSID आणि स्मार्ट बिल्डिंग सिस्टमसाठी स्वतंत्र IoT VLAN सह जोडा. Purple चे मल्टी-टेनंट WiFi प्लॅटफॉर्म या सर्वांवर हार्डवेअर-अज्ञेयवादी क्लाउड ओव्हरले म्हणून कार्य करते. आम्ही ८०,००० थेट ठिकाणे आणि ३५० दशलक्ष युनिक वापरकर्त्यांमध्ये RADIUS एकत्रीकरण, प्रोव्हिजनिंग वर्कफ्लो, विश्लेषण आणि अनुपालन अहवाल व्यवस्थापित करतो. ISO 27001 प्रमाणित, GDPR आणि CCPA अनुपालन, ९९.९९९% अपटाइम. पुढच्या वेळेपर्यंत.