सुरक्षित BYOD WiFi: Passpoint प्रमाणपत्र ऑनबोर्डिंग विरुद्ध xPSK (iPSK)
झिरो-टच Passpoint EAP-TLS प्रमाणपत्रे विरुद्ध व्हेंडर-विशिष्ट xPSK (iPSK/easyPSK, DPSK, PPSK, MPSK) चा वापर करून व्यवस्थापित नसलेली कर्मचारी आणि विद्यार्थ्यांची उपकरणे (BYOD) सुरक्षित करण्यासाठी IT टीम्ससाठी एक सर्वसमावेशक तांत्रिक मार्गदर्शक.
Video overview
आमच्या मुख्य मालिकेचा भाग: Enterprise WiFi सुरक्षा मार्गदर्शिका →
आपले स्वतःचे डिव्हाइस आणा (BYOD) कार्यक्रम आता कॉर्पोरेट कार्यालये, आरोग्य सेवा संस्था आणि उच्च शिक्षण संस्थांच्या कॅम्पसमध्ये प्रमाणित बनले आहेत. तथापि, अनमॅनेज्ड स्मार्टफोन, टॅब्लेट आणि लॅपटॉप यांना एंटरप्राइझ नेटवर्कशी कनेक्ट करणे नेटवर्क प्रशासकांसाठी एक मूलभूत सुरक्षा आव्हान निर्माण करते.
जुने WPA2/3-Personal प्री-शेअर्ड की (PSKs) कर्मचाऱ्यांमध्ये वेगाने लीक होतात आणि नेटवर्कला अनधिकृत प्रवेश आणि पॅकेट तपासणीसाठी असुरक्षित बनवतात. याउलट, पारंपारिक 802.1X EAP-TLS सर्टिफिकेट एनरोलमेंट अनेकदा मोबाईल डिव्हाइस मॅनेजमेंट (MDM) एजंट नसलेल्या वैयक्तिक डिव्हाइसेसवर तैनात केल्यावर हेल्पडेस्कवरील कामाचा ताण मोठ्या प्रमाणात वाढवते.
ऑपरेशनल ओव्हरहेड न वाढवता BYOD डिव्हाइसेस सुरक्षित करण्यासाठी, नेटवर्क इंजिनिअरिंग टीम दोन आधुनिक आर्किटेक्चरल पॅटर्न्सपैकी एकाची निवड करतात: Passpoint (Hotspot 2.0) सर्टिफिकेट ऑनबोर्डिंग आणि व्हेंडर-विशिष्ट xPSK (Identity PSK).
-
BYOD सुरक्षेची समस्या
अनमॅनेज्ड वैयक्तिक डिव्हाइसेसवर मानक WiFi ऑथेंटिकेशन मॉडेल्स तीन कारणांमुळे अपयशी ठरतात:
- शेअर्ड की लीकेज: कर्मचाऱ्यांमध्ये शेअर केलेला एकच WPA2/3-Personal पासवर्ड एखादा कर्मचारी सोडून गेल्यावर किंवा तो पाहुण्यांसोबत शेअर केल्यावर लगेचच धोक्यात येतो.
- ओळख निश्चितीचा अभाव: शेअर्ड की मुळे वैयक्तिक नेटवर्क ट्रॅफिक किंवा MAC ॲड्रेस तुमच्या ओळख प्रदात्यामधील (Entra ID, Okta, किंवा Google Workspace) नामनिर्देशित कर्मचाऱ्यांच्या ओळखीशी जोडणारा कोणताही ऑडिट ट्रेल मिळत नाही.
- सप्लिकंट गुंतागुंत: मॅन्युअल 802.1X EAP-TLS किंवा PEAP कॉन्फिगरेशनसाठी युजर्सना मॅन्युअली रूट CA सर्टिफिकेट्सवर विश्वास ठेवावा लागतो, EAP पद्धती निवडाव्या लागतात आणि डोमेन नेम प्रविष्ट करावे लागतात - ज्यामुळे कनेक्शन्स अयशस्वी होतात आणि सपोर्ट तिकिटे वाढतात.
-
दृष्टिकोन १: Passpoint आणि सुरक्षित कर्मचारी सर्टिफिकेट ऑनबोर्डिंग
Passpoint (IEEE 802.11u / Hotspot 2.0) मॅन्युअल सप्लिकंट कॉन्फिगरेशन किंवा MDM नोंदणीची आवश्यकता नसताना वैयक्तिक डिव्हाइसेसवर झिरो-टच, एंटरप्राइझ-ग्रेड 802.1X EAP-TLS सुरक्षा स्थापित करते.
Passpoint ऑनबोर्डिंग कसे काम करते
- ओळख ऑथेंटिकेशन: कर्मचारी त्यांच्या विद्यमान सिंगल साइन-ऑन (SSO) क्रेडेंशियल्स (Entra ID, Okta, Google Workspace, किंवा SAML 2.0) वापरून वेब ऑनबोर्डिंग पोर्टलद्वारे लॉगिन करतात.
- प्रोफाइल निर्मिती: Purple प्लॅटफॉर्म वैयक्तिक क्लायंट सर्टिफिकेट आणि विश्वसनीय RADIUS CA रूट असलेले एक युनिक, स्वाक्षरी केलेले नेटवर्क प्रोफाइल तयार करतो.
- झिरो-टच प्रोव्हिजनिंग: iOS, Android, macOS आणि Windows 11 वर, युजर प्रोफाइल किंवा कॉन्फिगरेशन फाइल इन्स्टॉल करण्यासाठी फक्त एकदा टॅप करतो.
- स्वयंचलित कनेक्शन: डिव्हाइस स्वयंचलितपणे जगभरातील कोणतेही Passpoint-सक्षम व्हेन्यू नेटवर्क शोधते आणि WPA3-Enterprise 802.1X EAP-TLS वापरून त्यात सामील होते.
BYOD साठी Passpoint चे मुख्य फायदे
वैयक्तिक ओळख बंधन: प्रत्येक पॅकेट एनक्रिप्ट केले जाते आणि थेट कर्मचाऱ्याच्या युजर अकाउंटशी जोडले जाते.
त्वरित रद्दीकरण: जेव्हा एखादा कर्मचारी नोकरी सोडतो, तेव्हा त्यांची ओळख Entra ID किंवा Okta मध्ये रद्द केल्यास त्यांचे Passpoint सर्टिफिकेट सर्व साइट्सवर त्वरित निष्क्रिय होते.
क्रॉस-साइट रोमिंग: क्रेडेंशियल्स पुन्हा प्रविष्ट न करता कर्मचारी शाखा कार्यालये आणि दुर्गम ठिकाणी स्वयंचलितपणे कनेक्ट होतात.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.
पद्धत २: व्हेन्डर xPSK (Identity Pre-Shared Keys)
ज्या वातावरणात 802.1X EAP-TLS व्यवहार्य नाही - जसे की जुनी वैयक्तिक डिव्हाइसेस किंवा हेडलेस BYOD हार्डवेअर - तेथे व्हेन्डर-विशिष्ट xPSK अंमलबजावणी मानक WPA2/3-Personal SSIDs वर वैयक्तिक की सुरक्षा प्रदान करतात.
हार्डवेअर व्हेन्डर अंमलबजावणीचे प्रकार
विविध वायरलेस हार्डवेअर उत्पादक युनिक प्री-शेअर्ड की तंत्रज्ञान वेगवेगळ्या नावांनी अंमलात आणतात:
- Cisco / Meraki - iPSK (Identity PSK) / easyPSK: वैयक्तिक प्री-शेअर्ड की विशिष्ट RADIUS युझर प्रोफाइलशी जोडते, ज्यामुळे एकाच WPA2-Personal SSID वर प्रति-युझर VLAN असाइनमेंट आणि फायरवॉल पॉलिसी लागू करणे सक्षम होते.
- Ruckus Wireless - DPSK (Dynamic PSK): Ruckus Cloud / SmartZone द्वारे प्रति युझर किंवा डिव्हाइस युनिक पासफ्रेज की तयार करते, ज्या ऑटोमॅटिकली MAC ॲड्रेसशी बाइंड केल्या जातात.
- Extreme Networks - PPSK (Private PSK): ऑटोमॅटेड एक्सपायरी डेट आणि वैयक्तिक बँडविड्थ मर्यादांसह प्रति युझर सानुकूल की नियुक्त करते.
- Fortinet / FortiAP - MPSK (Multiple PSK): FortiGate वायरलेस कंट्रोलर्ससह एकत्रित होऊन FortiAuthenticator किंवा बाह्य RADIUS युझर डेटाबेसशी जोडलेल्या युनिक की नियुक्त करते.
- HPE Aruba Networking - ePSK (Enhanced PSK): प्रति-डिव्हाइस PSK की सह स्थानिक युझर रोल्स आणि ClearPass पॉलिसी अंमलबजावणी एकत्र करते.
- Ubiquiti UniFi - PPSK (Private Pre-Shared Key): एका युनिफाइड SSID वर विशिष्ट लक्ष्यित VLAN ला स्वतंत्र की नियुक्त करते.
xPSK चे मुख्य फायदे
- सार्वत्रिक डिव्हाइस सपोर्ट: मानक WPA2/3-Personal वर कार्य करते, ज्यामुळे हे 802.1X EAP सप्लिकंट नसलेल्या डिव्हाइसेसशी सुसंगत बनते.
- वेगळी की काढून टाकणे (Isolated Key Erasure): एका युझरची की हटवल्याने नेटवर्कवरील इतर कोणत्याही युझरला व्यत्यय येत नाही.
- VLAN आणि पॉलिसी स्टीअरिंग: Cloud RADIUS त्यांच्या युनिक कीच्या आधारे वैयक्तिक युझर्स किंवा डिव्हाइस प्रकारांना आयसोलेटेड VLAN मध्ये नियुक्त करते.
तांत्रिक तुलना: Passpoint EAP-TLS विरुद्ध xPSK
| आर्किटेक्चर वैशिष्ट्य | Passpoint (EAP-TLS) | व्हेन्डर xPSK (iPSK/DPSK/PPSK) |
|---|---|---|
| ऑथेंटिकेशन प्रोटोकॉल | WPA2/WPA3-Enterprise (802.1X) | WPA2/WPA3-Personal (WPA-PSK) |
| सुरक्षा स्तर | सर्टिफिकेट-आधारित EAP-TLS | प्रति युझर युनिक AES एन्क्रिप्शन की |
| युझर ऑनबोर्डिंग | वन-टॅप प्रोफाइल / ॲप डाउनलोड | सेल्फ-सर्व्हिस पोर्टल किंवा SMS की वितरण |
| डिव्हाइस सपोर्ट | स्मार्टफोन, टॅब्लेट, लॅपटॉप | सर्व WiFi डिव्हाइसेस (जुन्या/IoT सह) |
| आयडेंटिटी प्रोव्हाइडर सिंक | रिअल-टाइम SCIM / SAML रिव्होकेशन | Cloud RADIUS / API की मॅपिंग |
| मल्टी-साइट रोमिंग | स्वयंचलित अखंड रोमिंग | सिंक्रोनाइझ केलेल्या RADIUS बॅकएंडची आवश्यकता असते |
एंटरप्राइझ IT साठी आर्किटेक्चरल शिफारस
इष्टतम BYOD सुरक्षा आणि युझर अनुभवासाठी, एंटरप्राइझ IT टीम दुहेरी-स्तरीय धोरण लागू करतात:
- प्राथमिक कर्मचारी आणि विद्यार्थी BYOD: सर्व वैयक्तिक स्मार्टफोन, टॅब्लेट आणि लॅपटॉपसाठी Purple Staff Secure द्वारे Passpoint EAP-TLS सर्टिफिकेट ऑनबोर्डिंग तैनात करा. हे तुमच्या आयडेंटिटी प्रोव्हाइडरशी जोडलेली झिरो-ट्रस्ट 802.1X सुरक्षा लागू करते. २. विशेष आणि जुनी उपकरणे: Passpoint प्रोफाईल प्रोसेस करू न शकणाऱ्या वैयक्तिक उपकरणांसाठी cloud RADIUS xPSK (iPSK/PPSK) चा वापर करा, ज्यामुळे प्रत्येक उपकरणाला स्वतंत्र की आणि आयसोलेटेड VLAN असाइनमेंट मिळण्याची खात्री होते.
या मालिकेमध्ये पुढे वाचा
पासवर्डशिवाय WiFi वापरण्याचे अनुपालन फायदे: HIPAA, PCI, ISO 27001
तुम्ही हे ठरवू शकाल की स्टाफ नेटवर्क सामायिक पासवर्डवरून EAP-TLS सह 802.1X वर स्थलांतरित केल्याने PCI DSS 4.0, HIPAA आणि ISO 27001:2022 अंतर्गत तुमचे ऑडिट मधील त्रुटींचे अंतर भरून निघेल की नाही. हे कोणत्या नियंत्रणांची पूर्तता करते, कोणत्या नियंत्रणांची पूर्तता करत नाही आणि प्रत्यक्ष ऑडिट कामापूर्वी कोणते पुरावे गोळा करायचे हे तुम्हाला समजेल.
कर्मचारी बाहेर पडल्यावर WiFi ॲक्सेस कसा रद्द करावा
ही मार्गदर्शिका IT आणि स्थळ ऑपरेशन्स टीम्सना उर्वरित कर्मचाऱ्यांच्या कामात व्यत्यय न आणता, एखादा कर्मचारी बाहेर पडल्यावर स्टाफ WiFi ॲक्सेस कसा काढून टाकावा हे दाखवते. हे सर्टिफिकेट-आधारित 802.1X, ओळख-विशिष्ट iPSK आणि SCIM-संचालित डीप्रॉव्हिजनिंगची तुलना करते, आणि त्यानंतर एकाच दिवसात लागू करता येईल अशी रनबुक, चाचणी पद्धत आणि ऑडिट पुरावा मॉडेल प्रदान करते.
WPA2 Personal vs Enterprise: फरक काय आहे आणि तुम्ही कोणते वापरले पाहिजे?
हे तांत्रिक संदर्भ मार्गदर्शक enterprise WiFi वातावरणातील WPA2 Personal आणि WPA2 Enterprise सुरक्षा प्रोटोकॉलची सर्वसमावेशक तुलना प्रदान करते. हे नेटवर्क आर्किटेक्ट्स आणि IT नेत्यांना माहितीपूर्ण उपयोजन निर्णय घेण्यास मदत करण्यासाठी प्रत्येक मानकांचे आर्किटेक्चरल फरक, उपयोजन पद्धती आणि सुरक्षा परिणाम स्पष्ट करते.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.