Cisco SUDI समजून घेणे: Secure Network Access Control मधील Hardware-Anchored Identity

ब्रिटिश इंग्लिशमध्ये आत्मविश्वासू, अधिकृत, संभाषणात्मक सुरात बोला - जसे की एखादा वरिष्ठ नेटवर्क सुरक्षा सल्लागार कार्यरत दुपारच्या जेवणादरम्यान क्लायंटला माहिती देत आहे. मोजलेला वेग, स्पष्ट उच्चार, कधीतरी कोरडा विनोद. हे व्याख्यान नाही. हे सेल्स पिच नाही. पीअर-टू-पीअर तांत्रिक ब्रीफिंग: Purple तांत्रिक ब्रीफिंग मालिकेत आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण अशा विषयावर बोलणार आहोत जो एंटरप्राइझ नेटवर्क उपयोजनांमध्ये वारंवार समोर येतो - Cisco SUDI. म्हणजेच Secure Unique Device Identifier. जर तुम्ही हे प्रत्यक्षात काय करते, 802.1X ऑथेंटिकेशनमध्ये ते कसे बसते, आणि तुमच्या वेन्यू किंवा कॅम्पस नेटवर्कसाठी ते महत्त्वाचे आहे का, [लहान विराम] यावर स्पष्ट उत्तर शोधत असाल, तर तुम्ही योग्य ठिकाणी आहात. चला मुख्य समस्येपासून सुरुवात करूया. बहुतेक एंटरप्राइझ नेटवर्क्स अजूनही डिव्हाइसेस ओळखण्यासाठी MAC ॲड्रेसवर अवलंबून असतात. MAC ऑथेंटिकेशन बायपास - किंवा MAB - सर्वत्र आहे. अडचण अशी आहे की MAC ॲड्रेस सहजपणे स्पूफ केले जाऊ शकतात. लॅपटॉप आणि पंधरा मिनिटे असलेला एखादा वाईट हेतू असलेला व्यक्ती विश्वासू ॲक्सेस पॉइंटच्या MAC ॲड्रेसची हुबेहूब नक्कल करू शकतो आणि थेट तुमच्या नेटवर्कमध्ये प्रवेश करू शकतो. हा केवळ सैद्धांतिक धोका नाही. हा एक दस्तऐवजीकरण केलेला हल्ला मार्ग आहे, आणि PCI-DSS 4.0 विशेषतः कार्डधारक डेटा वातावरणासाठी हे अपुरे असल्याचे सांगते. त्यामुळे प्रश्न असा पडतो: एखादे डिव्हाइस जे दावा करत आहे तेच आहे हे तुम्ही कसे सिद्ध कराल? केवळ "त्याच्याकडे योग्य MAC ॲड्रेस आहे" असे नाही - तर खरोखर, क्रिप्टोग्राफिक पद्धतीने ते सिद्ध करणे. इथेच SUDI चा उपयोग होतो. [लहान विराम] Cisco चे Secure Unique Device Identifier हे X.509 व्हर्जन 3 चे प्रमाणपत्र आहे, जे मॅन्युफॅक्चरिंग दरम्यान डिव्हाइसच्या ट्रस्ट अँकर मॉड्यूलमध्ये - म्हणजेच TAm चिपमध्ये - बर्न केले जाते. या प्रमाणपत्रात उत्पादन ओळखकर्ता (product identifier) आणि अनुक्रमांक (serial number) असतो, आणि ते Cisco च्या पब्लिक रूट सर्टिफिकेट ऑथॉरिटीशी जोडलेले असते. प्रायव्हेट की TAm चिपच्या आत तयार केली जाते आणि कधीही एक्स्पोर्ट केली जात नाही. कधीच नाही. तुम्ही त्याची हुबेहूब नक्कल करू शकत नाही. तुम्ही ते स्पूफ करू शकत नाही. ही ओळख भौतिकरित्या सिलिकॉनशी जोडलेली असते. यामुळे SUDI ही IEEE 802.1AR ची अंमलबजावणी बनते - जी सुरक्षित डिव्हाइस ओळखकर्त्यांसाठीचे मानक आहे. 802.1AR च्या परिभाषेत, SUDI हा एक IDevID आहे - म्हणजेच एक इनिशियल डिव्हाइस आयडेंटिफायर. ही फॅक्टरी-इन्स्टॉल केलेली ओळख आहे जी सिद्ध करते की डिव्हाइस हे मूळ Cisco उत्पादन आहे, जे एका ज्ञात सुविधेत, ज्ञात अनुक्रमांकासह तयार केले गेले आहे. आता, व्यवहारात याचे काय महत्त्व आहे? चला ऑथेंटिकेशन प्रवाहातून जाऊया. जेव्हा एखादे Cisco डिव्हाइस - समजा, एखादा Catalyst स्विच किंवा Meraki ॲक्सेस पॉइंट - तुमच्या नेटवर्कशी कनेक्ट होते, तेव्हा ते 802.1X सप्लिकंट म्हणून काम करू शकते. ते आपले SUDI प्रमाणपत्र नेटवर्कच्या ऑथेंटिकेटरला सादर करते, जे सहसा स्विच पोर्ट किंवा वायरलेस कंट्रोलर असते. ऑथेंटिकेटर ते क्रेडेंशियल RADIUS सर्व्हरकडे पाठवतो - Cisco ISE हा येथे सर्वात सामान्य पर्याय आहे, परंतु कोणताही RFC 2865-सुसंगत RADIUS सर्व्हर कार्य करतो. RADIUS सर्व्हर प्रमाणपत्र साखळी Cisco च्या रूट CA कडे प्रमाणित करतो. जर ती साखळी वैध असेल, तर डिव्हाइस अस्सल आहे. प्रवेश मंजूर केला जातो आणि योग्य VLAN नियुक्त केला जातो. या संपूर्ण देवाणघेवाणीत EAP-TLS - Extensible Authentication Protocol with Transport Layer Security - चा वापर केला जातो - जो परस्पर प्रमाणीकरणाचा (mutual authentication) एक प्रकार आहे. यामध्ये डिव्हाइस आणि नेटवर्क दोन्ही एकमेकांना प्रमाणित करतात. कोणतेही पासवर्ड नाहीत. कोणतेही शेअर्ड सिक्रेट्स नाहीत. कोणतेही MAC ॲड्रेसेस नाहीत. फक्त क्रिप्टोग्राफिक पुरावा. [short pause] आता Zero Touch Provisioning बद्दल बोलूया, कारण येथेच मोठ्या प्रमाणावर तैनातीसाठी SUDI खरोखरच उपयुक्त ठरते. कल्पना करा की तुम्ही एखाद्या हॉटेल चेनमध्ये 200 ॲक्सेस पॉइंट्स लावत आहात, किंवा 40 रिटेल ठिकाणी नेटवर्क इन्फ्रास्ट्रक्चर तैनात करत आहात. सामान्यतः, याचा अर्थ असा की प्रत्येक ठिकाणी एक तंत्रज्ञ असेल, जो प्रत्येक डिव्हाइस मॅन्युअली कॉन्फिगर करेल. SUDI-आधारित ZTP मुळे, डिव्हाइस सुरू होते, त्याची SUDI ओळख प्रॉव्हिजनिंग सर्व्हरसमोर सादर करते, सर्व्हर प्रमाणपत्राची वैधता तपासतो, तुमच्या इन्व्हेंटरीसह सिरियल नंबरची पडताळणी करतो आणि योग्य कॉन्फिगरेशन पुश करतो - जे एनक्रिप्टेड असते, त्यामुळे केवळ तेच विशिष्ट डिव्हाइस ते डिक्रिप्ट करू शकते. तंत्रज्ञांचे काम फक्त फिजिकल इन्स्टॉलेशनपुरते मर्यादित राहते. बाकीचे काम नेटवर्क स्वतः करते. हॉस्पिटॅलिटी आणि रिटेल ऑपरेटर्ससाठी, ही एक मोठी ऑपरेशनल बचत आहे. उदाहरणार्थ, Premier Inn शेकडो प्रॉपर्टीज चालवते. एखाद्या ठिकाणी प्री-रॅक केलेले हार्डवेअर पाठवणे आणि त्याची ओळख तपासून ते स्वतः कॉन्फिगर होणे, यामुळे दोन दिवसांचे कमिशनिंगचे काम फक्त दोन तासांवर येते. [short pause] आता आपण सर्टिफिकेट लाइफसायकल समजून घेऊया, कारण याच ठिकाणी अनेकदा टीम्स अडकतात. मूळ SUDI प्रमाणपत्रे मॅन्युफॅक्चरिंगच्या तारखेपासून दहा वर्षांच्या वैधतेसह जारी केली गेली होती, ज्यांची मर्यादा 14 मे 2029 पर्यंत आहे. Cisco ने प्रभावित उत्पादनांचा समावेश असणाऱ्या फील्ड नोटीस - FN 72094 आणि FN 72105 - जारी केल्या आहेत. मे 2019 नंतर उत्पादित केलेल्या डिव्हाइसेसची वैधता विंडो दहा वर्षांपेक्षा कमी आहे. जेव्हा SUDI एक्स्पायर होते, तेव्हा TLS साठी त्यावर अवलंबून असणारी फीचर्स - जसे की HTTPS मॅनेजमेंट इंटरफेस, SSH सर्टिफिकेट ऑथेंटिकेशन, ZTP - काम करणे बंद करू शकतात. डिव्हाइस स्वतः काम करत राहते; ते निकामी होत नाही. पण त्या विशिष्ट प्रमाणित सेवा बंद होतात. Cisco ने यावर उपाय म्हणून नवीन हार्डवेअरवर SUDI-2099 प्रमाणपत्रे आणली आहेत, जी डिसेंबर 2099 पर्यंत वैध आहेत. जर तुम्ही आज Cisco इन्फ्रास्ट्रक्चर खरेदी करत असाल, तर तुम्हाला SUDI-2099 मिळत आहे. तुमच्याकडे आधीचे जुने साहित्य असल्यास, iOS किंवा IOS-XE वर "show crypto pki certificates" वापरून तुमची एक्स्पायरी तारीख तपासा. त्यानुसार तुमच्या रिफ्रेश सायकलचे नियोजन करा. [short pause] चला, आता अंमलबजावणीच्या शिफारसींकडे वळूया. SUDI-आधारित ऑथेंटिकेशन तैनात करणाऱ्या कोणत्याही IT मॅनेजरला मी या तीन गोष्टी सांगू इच्छितो. पहिली गोष्ट: तुमची RADIUS पॉलिसी केवळ सर्टिफिकेट चेनवर नाही, तर सर्टिफिकेट ॲट्रिब्युट्सवर आधारित तयार करा. तुमच्या डिव्हाइस इन्व्हेंटरीसह Subject CN ची पडताळणी करा. वैध Cisco प्रमाणपत्र हे सिद्ध करते की ते डिव्हाइस मूळ Cisco हार्डवेअर आहे - पण ते त्या ठिकाणासाठी तुम्ही मागवलेले विशिष्ट डिव्हाइस आहे हे सिद्ध करत नाही. तुमच्या RADIUS ऑथोरायझेशन पॉलिसीमध्ये सिरियल नंबर क्रॉस-रेफरन्स करा. दुसरे: स्थलांतरादरम्यान (migration) तुमच्या अस्तित्वात असलेल्या MAB पॉलिसीऐवजी नव्हे, तर त्यासोबतच SUDI चालवा. कोणते डिव्हाइसेस 802.1AR ला सपोर्ट करतात हे शोधण्यासाठी Cisco ISE चे प्रोफाइलिंग वापरा आणि त्यांना हळूहळू सर्टिफिकेट-बेस्ड ऑथेंटिकेशनवर स्थलांतरित करा. जुने IoT डिव्हाइसेस - कॅमेरा, HVAC कंट्रोलर्स, कार्ड रीडर्स - बऱ्याचदा 802.1X अजिबात करू शकत नाहीत. त्यांच्यासाठी MAB हाच अंतिम पर्याय राहतो. पायाभूत सुविधांच्या (infrastructure) उपकरणांसाठी आधी MAB काढून टाकणे हे ध्येय आहे, कारण तेथे सर्वाधिक जोखीम असते. तिसरे: तुमच्या CMDB मध्ये तुमच्या सर्टिफिकेटची समाप्ती तारीख नोंदवून ठेवा. हे अगदी स्पष्ट वाटते, परंतु यामुळेच टीम्स अडचणीत येतात. एखादा स्विच ज्याने त्याची SUDI मुदत संपल्यामुळे HTTPS मॅनेजमेंट कनेक्शन्स स्वीकारणे बंद केले आहे, अशा समस्येचे रात्री दोन वाजता निदान करणे सोपे नसते. [short pause] जलद प्रश्नोत्तरे. मी तुम्हाला थोडक्यात उत्तरे देतो. SUDI हे 802.1X ची जागा घेते का? नाही. SUDI हे क्रेडेंशियल आहे. 802.1X ही ऑथेंटिकेशन फ्रेमवर्क आहे. SUDI हे तुम्ही 802.1X एक्सचेंज दरम्यान सादर करता. मी Cisco नसलेल्या इतर RADIUS सर्व्हर्ससोबत SUDI वापरू शकतो का? होय. कोणताही RADIUS सर्व्हर जो EAP-TLS ला सपोर्ट करतो आणि X.509 सर्टिफिकेट चेन प्रमाणित करू शकतो, तो SUDI सोबत काम करू शकतो. तुम्हाला तुमच्या RADIUS सर्व्हरच्या ट्रस्टेड स्टोअरमध्ये Cisco चे रूट CA सर्टिफिकेट इम्पोर्ट करावे लागेल. Cisco Meraki हे SUDI ला सपोर्ट करते का? होय, इन्फ्रास्ट्रक्चर ऑथेंटिकेशनसाठी. Meraki ॲक्सेस पॉइंट्स क्लाउड कंट्रोलर ऑथेंटिकेशनसाठी मॅन्युफॅक्चरर-इन्स्टॉल केलेल्या सर्टिफिकेट्सच्या स्वतःच्या प्रकाराचा वापर करतात. Meraki डॅशबोर्ड २०२६ च्या अंतिम मुदतीपूर्वी SUDI समाप्ती हाताळण्यासाठी अपडेट केला गेला होता. Purple WiFi चे काय? Purple हे तुमच्या अस्तित्वात असलेल्या इन्फ्रास्ट्रक्चरच्या - Cisco Meraki, HPE Aruba, Ruckus आणि इतर - वर क्लाउड ओव्हरले म्हणून काम करते. Purple चे Identity-Based Networks लेयर हे हार्डवेअर ऑथेंटिकेशन प्लेनच्या वर काम करते. SUDI स्वतः इन्फ्रास्ट्रक्चर डिव्हाइसेस सुरक्षित करते. Purple त्यावरील व्हिजिटर आणि स्टाफ आयडेंटिटी लेयर सुरक्षित करते. हे दोन्ही एकमेकांना पूरक आहेत, स्पर्धात्मक नाहीत. [short pause] थोडक्यात सांगायचे तर. Cisco SUDI तुम्हाला हार्डवेअर-अँकर केलेली, क्रिप्टोग्राफिकली पडताळणी करण्यायोग्य डिव्हाइस ओळख प्रदान करते. हे इन्फ्रास्ट्रक्चर डिव्हाइसेससाठी अटॅक व्हेक्टर म्हणून MAC स्पूफिंग पूर्णपणे काढून टाकते. हे मोठ्या प्रमाणावर Zero Touch Provisioning सक्षम करते. हे IEEE 802.1AR, PCI-DSS 4.0, आणि ISO 27001 च्या नियंत्रण आवश्यकतांशी सुसंगत आहे. आणि हे कोणत्याही 802.1X आणि EAP-TLS सक्षम RADIUS इन्फ्रास्ट्रक्चरसह सहजपणे समाकलित होते. पुढील व्यावहारिक पावले: SUDI सर्टिफिकेट संपण्याच्या तारखांसाठी तुमच्या Cisco उपकरणांच्या इन्व्हेंटरीचे ऑडिट करा, कोणते डिव्हाइसेस MAB चालवत आहेत जे सर्टिफिकेट-बेस्ड ऑथेंटिकेशनवर स्थलांतरित केले जाऊ शकतात ते ओळखा आणि चेन-ऑफ-ट्रस्ट तपासणीसोबत सिरियल नंबर व्हॅलिडेशन जोडण्यासाठी तुमच्या RADIUS पॉलिसीचे पुनरावलोकन करा. जर तुम्ही तुमच्या ठिकाणी Purple चालवत असाल, तर आमची टीम तुम्हाला मार्गदर्शन करू शकते की Identity-Based Networks तुमच्या सध्याच्या Cisco इन्फ्रास्ट्रक्चरशी कसे जोडले जाते. लिंक शो नोट्समध्ये दिली आहे. ऐकल्याबद्दल धन्यवाद. पुन्हा भेटूया.