PEAP Authentication काय आहे? PEAP तुमच्या WiFi ला कसे सुरक्षित करते

PEAP Authentication म्हणजे काय? PEAP तुमच्या WiFi ला कसे सुरक्षित करते. एक Purple Enterprise WiFi इंटेलिजन्स ब्रीफिंग. स्वागत आहे. जर तुम्ही हॉटेल ग्रुप, रिटेल इस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील संस्थेमध्ये नेटवर्क सुरक्षेसाठी जबाबदार असाल, तर हे ब्रीफिंग तुमच्यासाठी आहे. पुढील दहा मिनिटांत, आम्ही PEAP authentication कव्हर करणार आहोत - हे प्रत्यक्षात काय आहे, ते अंतर्गत कसे कार्य करते, तुमच्या सुरक्षा आर्किटेक्चरमध्ये ते कुठे बसते आणि सर्वात महत्त्वाचे म्हणजे, हे कधी योग्य असते विरुद्ध तुम्ही कधी अधिक मजबूत पर्यायाचा विचार केला पाहिजे. चला याविषयी सविस्तर जाणून घेऊया. विभाग एक: संदर्भ आणि हे आत्ताच का महत्त्वाचे आहे. आज बहुतांश एंटरप्राइझ WiFi डिप्लॉयमेंट अजूनही दोनपैकी एका ऑथेंटिकेशन मॉडेलवर अवलंबून आहेत. तुमच्याकडे एकतर प्री-शेअर्ड की आहे - संपूर्ण संस्थेमध्ये सामायिक केलेला एकच पासवर्ड - किंवा तुमच्याकडे 802.1X आहे, जे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी IEEE मानक आहे. PEAP हे ठामपणे 802.1X च्या गटामध्ये बसते, आणि कॉर्पोरेट आणि संस्थात्मक वातावरणात जागतिक स्तरावर ही आतापर्यंतची सर्वात मोठ्या प्रमाणावर डिप्लॉय केलेली EAP पद्धत आहे. PEAP इतके प्रबळ बनण्याचे कारण अगदी सोपे आहे: याने एक खरी ऑपरेशनल समस्या सोडवली. PEAP च्या आधी, सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन डिप्लॉय करण्याचा अर्थ प्रत्येक डिव्हाइसला - प्रत्येक लॅपटॉप, प्रत्येक फोन, प्रत्येक टॅबलेटला क्लायंट सर्टिफिकेट जारी करणे असा होता. पाचशे कर्मचारी आणि BYOD पॉलिसी असलेल्या संस्थेसाठी, हे एक असे PKI डिप्लॉयमेंटचे डोकेदुखीचे काम होते ज्यासाठी बहुतेक आयटी (IT) टीम्सकडे पुरेसे बजेट किंवा वेळ नसायचा. PEAP ने एक मध्यम मार्ग दिला: TLS द्वारे मजबूत सर्व्हर-साइड ऑथेंटिकेशन, आणि क्लायंटच्या बाजूला युझरनेम आणि पासवर्ड क्रेडेंशियल्स. यासाठी कोणत्याही क्लायंट सर्टिफिकेटची आवश्यकता नसते. या तडजोडीमुळे PEAP हे २००० आणि २०१० च्या दशकात एंटरप्राइझ WiFi ऑथेंटिकेशनसाठी डी फॅक्टो (वास्तविक) मानक बनले आणि आजही ते अत्यंत सामान्य आहे. २०२४ आणि त्यानंतरच्या काळासाठी इन्फ्रास्ट्रक्चरचे निर्णय घेणाऱ्या प्रत्येकासाठी याचे आर्किटेक्चर आणि त्याच्या मर्यादा समजून घेणे आवश्यक आहे. विभाग दोन: तांत्रिक सखोल विश्लेषण. जेव्हा एखादे डिव्हाइस PEAP द्वारे ऑथेंटिकेट होते, तेव्हा नक्की काय घडते ते आपण पाहूया. या प्रक्रियेचे दोन वेगळे टप्पे आहेत, आणि हे दोन्ही टप्पे समजून घेणे अत्यंत महत्त्वाचे आहे. या देवाणघेवाणीमधील तीन घटक आहेत: सप्लिकंट - म्हणजेच क्लायंट डिव्हाइस, मग ते लॅपटॉप असो, स्मार्टफोन असो किंवा IoT टर्मिनल असो; ऑथेंटिकेटर - सामान्यतः वायरलेस ॲक्सेस पॉइंट किंवा वायरलेस LAN कंट्रोलर; आणि ऑथेंटिकेशन सर्व्हर - जो जवळजवळ नेहमीच Microsoft NPS, FreeRADIUS, किंवा क्लाउड-होस्ट केलेली RADIUS सर्व्हिस यांसारखा RADIUS सर्व्हर असतो. पहिला टप्पा म्हणजे TLS टनेल स्थापित करणे. जेव्हा सप्लिकंट कनेक्ट करण्याचा प्रयत्न करतो, तेव्हा ऑथेंटिकेटर लगेच प्रवेश देत नाही. त्याऐवजी, तो स्थानिक नेटवर्कवर EAP देवाणघेवाण सुरू करतो - याला EAPOL, म्हणजेच EAP over LAN म्हणतात. ऑथेंटिकेटर हे RADIUS सर्व्हरकडे फॉरवर्ड करतो, जो आपले सर्व्हर-साइड TLS सर्टिफिकेट क्लायंटला सादर करतो. क्लायंट त्याच्या विश्वसनीय सर्टिफिकेट स्टोअरच्या विरोधात त्या सर्टिफिकेटचे प्रमाणीकरण करतो. प्रमाणीकरण यशस्वी झाल्यास, क्लायंट आणि RADIUS सर्व्हर दरम्यान एक TLS टनेल स्थापित केला जातो. हा टनेल एन्क्रिप्टेड असतो - आधुनिक डिप्लॉयमेंटमध्ये सामान्यतः TLS 1.2 किंवा 1.3 चा वापर केला जातो.दुसरा टप्पा म्हणजे इनर ऑथेंटिकेशन (inner authentication). त्या एन्क्रिप्टेड टनेलच्या आत, प्रत्यक्ष क्रेडेंशियल्सची देवाणघेवाण केली जाते. सर्वात सामान्य डिप्लॉयमेंटमध्ये - PEAP-MSCHAPv2 - क्लायंट Microsoft Challenge Handshake Authentication Protocol version 2 चा वापर करून युझरनेम आणि पासवर्ड पाठवतो. RADIUS सर्व्हर त्या क्रेडेंशियल्सची त्याच्या आयडेंटिटी स्टोअरद्वारे पडताळणी करतो, जे Active Directory, LDAP किंवा क्लाउड आयडेंटिटी प्रोव्हाइडर असू शकते. क्रेडेंशियल्स बरोबर असल्यास, RADIUS सर्व्हर ऑथेंटिकेटरद्वारे एक Access-Accept मेसेज परत पाठवतो आणि क्लायंटला नेटवर्क ॲक्सेस मिळतो. येथे मुख्य सुरक्षा वैशिष्ट्य म्हणजे MSCHAPv2 एक्सचेंज TLS टनेलच्या आत होते. वायरलेस चॅनेलचे निष्क्रियपणे मॉनिटरिंग करणारा अटॅकर ट्रान्सिटमधील क्रेडेंशियल्स पाहू शकत नाही. हाच PEAP चा मुख्य फायदा आहे. आता, PEAP-MSCHAPv2 कुठे कमी पडते? येथे दोन मोठे धोके आहेत जे कोणत्याही सुरक्षा जागरूक आर्किटेक्टने समजून घेणे आवश्यक आहे. पहिले: सर्व्हर सर्टिफिकेट व्हॅलिडेशन. PEAP ला केवळ सर्व्हरने सर्टिफिकेट सादर करणे आवश्यक असते - क्लायंटने ते सादर करणे बंधनकारक नसते. यामुळे एक सुप्रसिद्ध अटॅक वेक्टर तयार होतो. जर क्लायंट डिव्हाइस कोणतेही सर्टिफिकेट स्वीकारण्यासाठी - किंवा कोणत्याही CA कडून सर्टिफिकेट्स स्वीकारण्यासाठी - चुकीच्या पद्धतीने कॉन्फिगर केले गेले असेल, तर अटॅकर एखादा बोगदा ॲक्सेस पॉईंट उभा करू शकतो, खोटे सर्टिफिकेट दाखवू शकतो आणि MSCHAPv2 हँडशेक रोखू शकतो. hostapd-wpe सारख्या टूल्समुळे हा अटॅक अत्यंत सोपा झाला आहे. यावरील उपाय म्हणजे सक्तीने सप्लिकंट कॉन्फिगरेशन करणे: सर्व्हर सर्टिफिकेट व्हॅलिडेशन सक्तीचे करा, अपेक्षित CA पिन करा आणि सर्व्हरचे कॉमन नेम निर्दिष्ट करा. कोणत्याही गंभीर डिप्लॉयमेंटमध्ये हे बंधनकारक आहे. दुसरे: MSCHAPv2 हा जुना प्रोटोकॉल आहे ज्यामध्ये काही ज्ञात त्रुटी आहेत. २०१२ मध्ये मोक्सी मर्लिनस्पाईक यांच्या संशोधनाने दाखवून दिले की MSCHAPv2 चॅलेंज-रिस्पॉन्स जोड्या पुरेशा कम्प्युट पॉवरसह ऑफलाइन क्रॅक केल्या जाऊ शकतात. जर अटॅकर इनर ऑथेंटिकेशन एक्सचेंज कॅप्चर करतो - उदाहरणार्थ वर वर्णन केलेल्या बोगस AP अटॅकद्वारे - तर ते ऑफलाइन प्लेनटेक्स्ट पासवर्ड रिकव्हर करण्याचा प्रयत्न करू शकतात. त्यामुळे तुमच्या पासवर्ड पॉलिसीची ताकद थेट तुमच्या सुरक्षिततेवर परिणाम करते. लांब, गुंतागुंतीचे आणि यादृच्छिकपणे जनरेट केलेले पासवर्ड हा धोका लक्षणीयरीत्या कमी करतात. याची तुलना EAP-TLS शी करा, जिथे सर्व्हर आणि क्लायंट दोन्ही सर्टिफिकेट्स सादर करतात. तिथे चोरी करण्यासाठी कोणतेही पासवर्ड नसतात. यामुळे अटॅकचा धोका कमालीचा कमी होतो. यासाठी केवळ ऑपरेशनल गुंतागुंत व्यवस्थापित करावी लागते: तुम्हाला PKI ची आवश्यकता असते, तुम्हाला क्लायंट सर्टिफिकेट्स जारी करावे लागतात आणि त्यांचे व्यवस्थापन करावे लागते, तसेच ते प्रत्येक डिव्हाइसवर वितरित करण्यासाठी एक यंत्रणा आवश्यक असते. मॅच्युअर MDM डिप्लॉयमेंट आणि चांगल्या प्रकारे व्यवस्थापित PKI असलेल्या संस्थांसाठी, EAP-TLS हा सर्वोत्तम पर्याय आहे. इतर सर्वांसाठी, कठोर कॉन्फिगरेशनसह PEAP-MSCHAPv2 हा एक सुरक्षित आणि व्यावहारिक पर्याय ठरतो. तिसरा विभाग: अंमलबजावणीच्या शिफारसी आणि धोके. मी तुम्हाला प्रत्यक्ष डिप्लॉयमेंटसाठी काही मार्गदर्शन करतो. या अशा गोष्टी आहेत ज्या सुरक्षित PEAP डिप्लॉयमेंटला असुरक्षित डिप्लॉयमेंटपासून वेगळे करतात. क्रमांक एक: प्रत्येक supplicant वर सर्व्हर प्रमाणपत्र प्रमाणीकरण (server certificate validation) सक्तीचे करा. हा सर्वात महत्त्वाचा कॉन्फिगरेशन घटक आहे. Windows मध्ये, हे वायरलेस नेटवर्क प्रोफाइलमधील "Validate server certificate" चेकबॉक्स आहे. iOS आणि Android मध्ये, हे EAP कॉन्फिगरेशनमधील CA प्रमाणपत्र फील्ड आहे. हे कॉन्फिगर केले नसल्यास, इतर सर्व गोष्टी कितीही चांगल्या प्रकारे सेट केल्या असल्या तरीही तुमचे PEAP डिप्लॉयमेंट rogue AP हल्ल्यांना बळी पडू शकते. क्रमांक दोन: मॅन्युअल कॉन्फिगरेशन ऐवजी MDM किंवा GPO द्वारे डिप्लॉय करा. एंड-युझर्सद्वारे मॅन्युअल कॉन्फिगरेशन करणे विश्वासार्ह नसते. युझर्स प्रमाणपत्राच्या वॉर्निंग्सकडे दुर्लक्ष करून क्लिक करतील. ते CA फील्डचे चुकीचे कॉन्फिगरेशन करतील. तुमचे वायरलेस प्रोफाइल Microsoft Intune, Jamf किंवा Group Policy द्वारे पुश करा. हे तुमच्या संपूर्ण मालमत्तेत सुसंगत, पॉलिसी-सुसंगत supplicant कॉन्फिगरेशन सुनिश्चित करते. क्रमांक तीन: तुमच्या RADIUS सर्व्हरवर किमान TLS 1.2 वापरा. TLS 1.0 आणि 1.1 निष्क्रिय करा. बहुतांश आधुनिक RADIUS इम्प्लीमेंटेशन्स याला सपोर्ट करतात, परंतु याची खात्री करणे योग्य ठरेल - विशेषतः जुन्या ऑन-प्रिमाइसेस डिप्लॉयमेंट्सवर. क्रमांक चार: तुमच्या आयडेंटिटी प्रोव्हाइडरसह इंटिग्रेट करा. PEAP-MSCHAPv2 क्रेडेंशियल स्टोअरच्या विरुद्ध ऑथेंटिकेट करते. ते स्टोअर तुमचे अधिकृत आयडेंटिटी प्रोव्हाइडर असावे - जसे की Active Directory, NPS एक्स्टेंशनद्वारे Azure AD, किंवा LDAP इंटिग्रेशनसह क्लाउड RADIUS सेवा. याचा अर्थ असा की जेव्हा एखादा कर्मचारी नोकरी सोडतो, तेव्हा त्याचे अकाऊंट निष्क्रिय केल्याने त्याचा WiFi ॲक्सेस त्वरित रद्द होतो. बदलण्यासाठी कोणतेही शेअर्ड सिक्रेट्स नसतात, आणि मॅन्युअल डीप्रोविझनिंगची गरज नसते. क्रमांक पाच: तुमच्या गेस्ट नेटवर्कचा स्वतंत्रपणे विचार करा. PEAP ही एक एंटरप्राइझ ऑथेंटिकेशन पद्धत आहे. गेस्ट WiFi साठी - जिथे तुम्ही पाहुणे, ग्राहक किंवा कार्यक्रमातील उपस्थितांना जोडत आहात - तुम्हाला वेगळ्या दृष्टिकोनाची आवश्यकता आहे. Purple सारखे प्लॅटफॉर्म हे विशेषतः डिझाइन केलेले गेस्ट WiFi लेयर प्रदान करतात जे गेस्ट SSID वर RADIUS इन्फ्रास्ट्रक्चरची आवश्यकता न पडता captive portal ऑथेंटिकेशन, डेटा कॅप्चर आणि ॲनालिटिक्स हाताळतात. तुमचे एंटरप्राइझ SSID हे PEAP सह 802.1X वर ठेवा, आणि तुमचे गेस्ट SSID हे योग्य ऑनबोर्डिंगसह वेगळ्या, विलग नेटवर्कवर ठेवा. क्रमांक सहा: प्रमाणपत्र रोटेशनचे नियोजन करा. तुमच्या RADIUS सर्व्हर प्रमाणपत्राची मुदत संपेल. जेव्हा असे होईल, तेव्हा नवीन प्रमाणपत्र वितरित होईपर्यंत ते प्रमाणपत्र पिन केलेल्या प्रत्येक क्लायंटचे ऑथेंटिकेशन अयशस्वी होईल. तुमच्या ऑपरेशनल कॅलेंडरमध्ये प्रमाणपत्र नूतनीकरण समाविष्ट करा - मुदत संपण्याच्या किमान ९० दिवस आधी - आणि उत्पादन वातावरणात (production environment) लागू करण्यापूर्वी स्टेजिंग वातावरणात रोटेशन प्रक्रियेची चाचणी घ्या. मला क्षेत्रात वारंवार दिसणारे सर्वात सामान्य बिघाड प्रकार म्हणजे: प्रमाणपत्र प्रमाणीकरण सक्तीचे न करणे, ज्यामुळे rogue AP असुरक्षितता निर्माण होते; RADIUS सर्व्हर प्रमाणपत्रांची मुदत पूर्वसूचना न मिळता संपणे, ज्यामुळे मोठ्या प्रमाणावर ऑथेंटिकेशन बिघाड होतात; आणि चुकीच्या नेटवर्क सेगमेंटमधून RADIUS सर्व्हर ॲक्सेस करण्यायोग्य असल्यामुळे MSCHAPv2 इनर ऑथेंटिकेशन उघडे पडणे. योग्य नियोजनाद्वारे हे तिन्ही टाळता येणे शक्य आहे. विभाग चार: रॅपिड-फायर प्रश्न. PEAP हे Azure AD सारख्या क्लाउड आयडेंटिटी प्रोव्हायडर्ससोबत काम करू शकते का? होय. Azure AD MFA साठी Microsoft चे NPS एक्स्टेंशन तुम्हाला Azure AD द्वारे PEAP ऑथेंटिकेशन प्रॉक्सी करण्याची अनुमती देते, ज्यामुळे तुमच्या WiFi वर मल्टी-फॅक्टर ऑथेंटिकेशन सक्षम होते. पर्याय म्हणून, Cisco ISE, Aruba ClearPass किंवा JumpCloud RADIUS सारख्या क्लाउड RADIUS सेवा थेट Azure AD किंवा Okta सोबत एकत्रित केल्या जाऊ शकतात. PEAP हे PCI-DSS चे पालन करते का? PCI-DSS वातावरणात PEAP-MSCHAPv2 वापरले जाऊ शकते, परंतु तुम्ही सर्व्हर सर्टिफिकेट व्हॅलिडेशन सक्तीचे केले आहे, TLS 1.2 किंवा त्याहून अधिक आवृत्ती वापरात आहे आणि RADIUS सर्व्हर योग्यरित्या विभाजित केला आहे याची खात्री करणे आवश्यक आहे. PCI-DSS 4.0 नेटवर्क ॲक्सेस कंट्रोलबाबतच्या आवश्यकता अधिक कडक करते - तुमच्या QSA सोबत संबंधित आवश्यकतांचे पुनरावलोकन करा. मी PEAP कडून EAP-TLS कडे स्थलांतरित व्हावे का? जर तुमच्याकडे प्रगल्भ MDM डिप्लॉयमेंट असेल आणि PKI व्यवस्थापित करण्याची Operational क्षमता असेल, तर होय - EAP-TLS हा अधिक मजबूत पर्याय आहे. जर तुम्ही वैयक्तिक डिव्हाइसेस, जुने हार्डवेअर किंवा मर्यादित MDM कव्हरेज असलेले संमिश्र नेटवर्क व्यवस्थापित करत असाल, तर कडक कॉन्फिगरेशनसह PEAP-MSCHAPv2 वापरणे योग्य राहील. हा एक जोखीम-आधारित निर्णय आहे, कोणताही साधा पर्याय नाही. WPA3-Enterprise बद्दल काय? WPA3-Enterprise उच्च-सुरक्षा वातावरणासाठी 192-बिट सुरक्षा मोड अनिवार्य करते, परंतु तरीही ते PEAP सह EAP पद्धतींना सपोर्ट करते. WPA3 हवेतील एन्क्रिप्शन सुधारते परंतु EAP ऑथेंटिकेशन एक्सचेंजमध्ये कोणताही बदल करत नाही. विभाग पाच: सारांश आणि पुढील पावले. एकत्रितपणे सांगायचे तर: PEAP हा द्वि-टप्प्यांचा ऑथेंटिकेशन प्रोटोकॉल आहे जो TLS टनेलमध्ये अंतर्गत क्रेडेन्शियल्स - विशेषतः MSCHAPv2 - सुरक्षित करतो. ही सर्वात मोठ्या प्रमाणावर डिप्लॉय केलेली 802.1X EAP पद्धत आहे कारण ती क्लायंट सर्टिफिकेट्सची आवश्यकता दूर करते आणि तरीही मजबूत सर्व्हर ऑथेंटिकेशन प्रदान करते. याची मुख्य असुरक्षितता म्हणजे चुकीचे कॉन्फिगर केलेले सप्लिकंट्स जे सर्व्हर सर्टिफिकेट प्रमाणित करत नाहीत, त्यांच्यामुळे होणारे बनावट AP हल्ले होय. MDM-सक्तीचे वायरलेस प्रोफाइल्स, CA पिनिंग आणि सर्व्हर नेम व्हॅलिडेशनद्वारे हे धोके कमी करा. बहुतांश एंटरप्राइझ WiFi डिप्लॉयमेंट्ससाठी - कॉर्पोरेट कार्यालये, हॉटेलचे बॅक-ऑफ-हाउस नेटवर्क, रिटेल कर्मचारी नेटवर्क - योग्य कॉन्फिगरेशनसह PEAP-MSCHAPv2 हा एक चांगला, सुरक्षित पर्याय आहे. उच्च-सुरक्षा वातावरण, नियंत्रित उद्योग किंवा प्रगल्भ PKI इन्फ्रास्ट्रक्चर असलेल्या संस्थांसाठी, EAP-TLS लक्षणीयरीत्या मजबूत सुरक्षा प्रदान करते आणि तेच लक्ष्यित आर्किटेक्चर असावे. जर तुम्ही तुमच्या एंटरप्राइझ नेटवर्कसोबत गेस्ट WiFi देखील चालवत असाल - आणि तुमच्यापैकी बहुतांश जण चालवतात - तर लक्षात ठेवा की PEAP हे गेस्ट ऑनबोर्डिंगसाठी योग्य साधन नाही. Purple सारख्या प्लॅटफॉर्म्सचा विचार करा, जे ॲनालिटिक्स, डेटा कॅप्चर आणि मार्केटिंग इंटिग्रेशनसह विशेषतः तयार केलेले गेस्ट WiFi ऑथेंटिकेशन प्रदान करतात, ज्यामुळे तुमचा गेस्ट आणि एंटरप्राइझ ट्रॅफिक योग्यरित्या वेगळा राहतो आणि तुमचे अनुपालन टिकून राहते. अधिक वाचनासाठी, RADIUS सर्व्हर आर्किटेक्चर आणि एंटरप्राइझ WiFi ऑथेंटिकेशनवरील Purple चे मार्गदर्शक पहा. लिंक्स शो नोट्समध्ये आहेत. ऐकल्याबद्दल धन्यवाद. हे एक Purple Enterprise WiFi इंटेलिजन्स ब्रीफिंग होते.