Cisco SUDI समजून घेणे: नेटवर्क ॲक्सेस कंट्रोलमधील हार्डवेअर-आधारित डिव्हाइस ओळख

Cisco SUDI समजून घेणे: Network Access Control मधील हार्डवेअर-आधारित डिव्हाइस ओळख एक Purple तांत्रिक माहितीपत्रक - संपूर्ण पॉडकास्ट स्क्रिप्ट (अंदाजे १० मिनिटे) --- विभाग १: ओळख आणि संदर्भ (अंदाजे १ मिनिट) नमस्कार आणि Purple च्या तांत्रिक माहितीपत्रकात आपले स्वागत आहे. पुढील दहा मिनिटांत मी तुम्हाला Cisco SUDI - Secure Unique Device Identifier बद्दल माहिती देणार आहे - हे नेमके काय आहे, ते तुमच्या network access control आर्किटेक्चरमध्ये कसे बसते आणि जर तुम्ही मोठ्या प्रमाणावर Cisco इन्फ्रास्ट्रक्चर चालवत असाल तर तुम्हाला याबद्दल काय करण्याची गरज आहे. हे नेटवर्क आर्किटेक्ट्स, IT मॅनेजर्स आणि विविध ठिकाणचे - हॉटेल्स, रिटेल इस्टेट, स्टेडियम्स, कॉन्फरन्स सेंटर्स - CTOs यांच्यासाठी डिझाइन केले आहे - जिथे तुम्ही enterprise WiFi चालवता आणि तुमच्या नेटवर्कवरील हार्डवेअर हे नेमके तेच आहे ज्याचा ते दावा करतात, याबद्दल तुम्हाला खात्री असणे आवश्यक आहे. SUDI सोडवत असलेल्या समस्येपासून सुरुवात करूया. कोणत्याही मोठ्या ठिकाणच्या नेटवर्कमध्ये, तुमच्याकडे डझनावारी किंवा शेकडो ॲक्सेस पॉइंट्स, स्विचेस आणि कंट्रोलर्स असतात. तुमच्या सुरक्षेची स्थिती ज्या प्रश्नावर अवलंबून असते तो म्हणजे: तुम्हाला हे कसे कळेल की त्यापैकी प्रत्येक डिव्हाइस हे एक अस्सल, सुधारित न केलेले Cisco उत्पादन आहे - आणि बनावट, तडजोड केलेले युनिट किंवा ट्रांझिटमध्ये छेडछाड केलेले डिव्हाइस नाही? SUDI हीच दरी भरून काढते. --- विभाग २: तांत्रिक सखोल विश्लेषण (अंदाजे ५ मिनिटे) SUDI म्हणजे Secure Unique Device Identifier. हे एक X.509 व्हर्जन ३ सर्टिफिकेट आहे - HTTPS आणि TLS मध्ये वापरले जाणारे तेच सर्टिफिकेट फॉरमॅट - पण हे एखाद्या व्यक्तीला किंवा सर्व्हरला जारी करण्याऐवजी, मॅन्युफॅक्चरिंग दरम्यान विशिष्ट हार्डवेअरला जारी केले जाते. यामध्ये डिव्हाइसचे प्रॉडक्ट आयडेंटिफायर आणि सिरियल नंबर समाविष्ट असतो आणि हे Cisco च्या स्वतःच्या पब्लिक की इन्फ्रास्ट्रक्चरमध्ये समाविष्ट असते. SUDI हे तुम्ही स्वतः इन्स्टॉल करत असलेल्या सॉफ्टवेअर सर्टिफिकेटपेक्षा वेगळे कशामुळे ठरते ते येथे दिले आहे. SUDI सर्टिफिकेट, त्याच्या संबंधित की पेअरसह, Trust Anchor module किंवा TAm नावाच्या छेडछाड-प्रतिरोधक चिपमध्ये असते. प्रायव्हेट की त्या चिपमध्येच जनरेट केली जाते आणि ती कधीही बाहेर पडत नाही. तुम्ही ते एक्सपोर्ट करू शकत नाही. तुम्ही त्याचा क्लोन बनवू शकत नाही. जर कोणी चिपकडे प्रत्यक्ष छेडछाड केली, तर की नष्ट होते. हाच हार्डवेअरचा मूळ विश्वास आहे. SUDI ही Cisco ची IEEE 802.1AR मानकाची अंमलबजावणी आहे - जे Secure Device Identifiers किंवा DevIDs साठीचे इंडस्ट्री मानक आहे. 802.1AR अंतर्गत, उत्पादकाने इन्स्टॉल केलेल्या क्रेडेंशियलला Initial Device Identifier किंवा IDevID म्हटले जाते. Cisco चे SUDI हे नेमके तेच आहे - एक IDevID जे Cisco फॅक्टरीमध्ये इन्स्टॉल करते. स्थानिक ऑथोरायझेशन पॉलिसीसाठी तुमचे स्वतःचे PKI जारी करत असलेल्या Locally Significant Device Identifier किंवा LDevID द्वारे तुम्ही याला पूरक बनवू शकता. आता, हे नेटवर्क ॲक्सेस कंट्रोलशी कसे जोडले जाते? सर्वात सामान्य इंटिग्रेशन पॉईंट म्हणजे IEEE 802.1X - पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल मानक. जेव्हा एखादा Cisco ॲक्सेस पॉईंट किंवा स्विच ऑनलाइन येतो, तेव्हा तो त्याचे SUDI प्रमाणपत्र RADIUS सर्व्हरला - सामान्यतः Cisco ISE, आयडेंटिटी सर्व्हिसेस इंजिन - EAP-TLS चा वापर करून सादर करू शकतो, जे ट्रान्सपोर्ट लेयर सिक्युरिटीसह एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल आहे. RADIUS सर्व्हर Cisco च्या पब्लिक सर्टिफिकेट ऑथॉरिटीवर या प्रमाणपत्राची पडताळणी करतो, डिव्हाइस अस्सल असल्याची खात्री करतो आणि नंतर योग्य नेटवर्क पॉलिसी लागू करतो. हे MAC ॲड्रेस बायपासपेक्षा लक्षणीयरित्या अधिक मजबूत आहे, जे बहुतांश नेटवर्क इन्फ्रास्ट्रक्चर डिव्हाइसेससाठी फॉलबॅक म्हणून वापरतात. MAC ॲड्रेस एका मिनिटापेक्षा कमी वेळेत स्पूफ केले जाऊ शकतात. टॅम्पर-रेझिस्टंट चिपमधील हार्डवेअर-बाउंड प्रमाणपत्र डिव्हाइसचे भौतिकरित्या नुकसान केल्याशिवाय स्पूफ केले जाऊ शकत नाही. वेन्यूच्या संदर्भात, हे तीन कारणांसाठी महत्त्वाचे आहे. पहिले, हे तुमच्या नेटवर्कमध्ये अवैध ॲक्सेस पॉईंट्स जोडण्याचा धोका दूर करते. बनावट किंवा अनधिकृत डिव्हाइस वैध SUDI सादर करूच शकत नाही. दुसरे, हे स्वयंचलित, झिरो टच प्रोव्हिजनिंग सक्षम करते - एक नवीन डिव्हाइस तुमच्या वेन्यूवर पाठवले जाते, ते सुरू होते, त्याचे SUDI सादर करते आणि तुमचे मॅनेजमेंट सिस्टम कॉन्फिगरेशन पुश करण्यापूर्वी तुमच्या इन्व्हेंटरीसह त्याची पडताळणी करते. कोणत्याही मॅन्युअल हस्तक्षेपाची गरज नाही. तिसरे, हे तुम्हाला क्रिप्टोग्राफिकली पडताळणी करण्यायोग्य ऑडिट ट्रेल देते. तुमच्या नेटवर्कवर ऑथेंटिकेट झालेले प्रत्येक डिव्हाइस हे एका विशिष्ट, नामांकित Cisco प्रॉडक्टचे असल्याचे सिद्ध करणाऱ्या प्रमाणपत्रासह ऑथेंटिकेट होते. मला Trust Anchor मॉड्युलबद्दल थोड्या अधिक तपशीलात सांगू द्या, कारण तो इतर सर्व गोष्टींचा पाया आहे. TAm ही एक प्रोप्रायटरी Cisco चिप आहे जी तीन गोष्टी प्रदान करते: SUDI आणि कीजसाठी नॉन-व्होलाटाईल सुरक्षित स्टोरेज, रँडम नंबर जनरेशनसह क्रिप्टोग्राफिक सर्व्हिसेस, आणि हार्डवेअर फिंगरप्रिंटिंग. शेवटची गोष्ट लक्षात घेण्यासारखी आहे - Cisco उत्पादनादरम्यान डिव्हाइसच्या गंभीर हार्डवेअर घटकांचे फिंगरप्रिंट घेते आणि ते फिंगरप्रिंट TAm मध्ये साठवते. जेव्हा डिव्हाइस बूट होते, तेव्हा ते ऑब्झर्व्ह केलेले हार्डवेअर फिंगरप्रिंट साठवलेल्या फिंगरप्रिंटशी पडताळून पाहते. ते जुळले नाहीत, तर डिव्हाइस बूट होणार नाही. हे वाहतुकीदरम्यान होणारी हार्डवेअर छेडछाड शोधून काढते - मोठ्या वेन्यूवरील डिप्लॉयमेंटसाठी ही एक खरी चिंता असते जिथे इन्स्टॉलेशनपूर्वी हार्डवेअर अनेक हातांमधून जाऊ शकते. तुम्हाला माहिती असावी अशी एक ऑपरेशनल समस्या: मे २०१९ पूर्वी जारी केलेली SUDI प्रमाणपत्रे उत्पादन तारखेपासून दहा वर्षांनी किंवा १४ मे २०२९ रोजी संपतात, यापैकी जे आधी घडेल. Cisco ने SUDI-2099 नावाच्या नवीन पिढीच्या प्रमाणपत्रांसह याचे निराकरण केले आहे, जे डिसेंबर २०९९ पर्यंत वैध आहे. तुम्ही २०१९ पूर्वी तयार केलेले Catalyst 9000 सिरीजचे हार्डवेअर वापरत असाल, तर तुम्हाला आता तुमच्या SUDI समाप्ती तारखा तपासणे आवश्यक आहे. यासाठी IOS-XE वर 'show crypto pki certificate' हा कमांड आहे. CISCO_IDEVID_SUDI ट्रस्टपॉइंट शोधा आणि समाप्ती तारीख तपासा. तुम्ही Catalyst 9200 वर असाल, तर तुम्ही योग्य 2099 प्रमाणपत्र वापरत आहात याची खात्री करण्यासाठी IOS-XE 17.12.2 किंवा त्यापुढील व्हर्जनवर अपग्रेड करा. - - - विभाग ३: अंमलबजावणीच्या शिफारसी आणि धोके (अंदाजे २ मिनिटे) मला तुम्हाला याचे प्रात्यक्षिक अंमलबजावणीचे चित्र देऊ द्या. जर तुम्ही एखाद्या ठिकाणी SUDI-आधारित ऑथेंटिकेशन तैनात करत असाल, तर पुढील क्रम उपयुक्त ठरेल. तुमच्या RADIUS इन्फ्रास्ट्रक्चरपासून सुरुवात करा. जर तुम्ही आधीच Cisco इकोसिस्टममध्ये असाल तर Cisco ISE हा नैसर्गिक पर्याय आहे, परंतु EAP-TLS ला सपोर्ट करणारा आणि बाह्य CA च्या विरूद्ध पडताळणी करू शकणारा कोणताही RADIUS सर्व्हर काम करेल. तुम्हाला तुमच्या RADIUS ट्रस्ट स्टोअरमध्ये Cisco चे रूट CA आणि ACT2 SUDI CA सर्टिफिकेट्स इम्पोर्ट करावे लागतील. हे Cisco च्या PKI पोर्टलवरून जाहीरपणे उपलब्ध आहेत. यानंतर, इन्फ्रास्ट्रक्चर उपकरणांसाठी सर्टिफिकेट-आधारित ऑथेंटिकेशनची आवश्यकता असण्यासाठी तुमचे 802.1X पॉलिसी कॉन्फिगर करा. हे तुमच्या एंड-युझर ऑथेंटिकेशन पॉलिसीपासून वेगळे ठेवा - कर्मचारी आणि अतिथी (गेस्ट) यांचे ऑथेंटिकेशन फ्लो वेगवेगळे असतात आणि ते ISE मधील वेगवेगळ्या पॉलिसी सेटवर असायला हवेत. नवीन उपयोजनांसाठी (deployments), Zero Touch Provisioning सक्षम करा. तुमची नेटवर्क मॅनेजमेंट सिस्टीम - Cisco DNA Centre किंवा Catalyst Centre - कॉन्फिगरेशन पुश करण्यापूर्वी उपकरणाची ओळख पडताळण्यासाठी SUDI चा वापर करू शकते. यामुळे मॅन्युअल स्टेजिंगची प्रक्रिया टळते आणि प्रति डिव्हाइस प्रोव्हिजनिंगचा वेळ तासांवरून मिनिटांवर येतो. आता, धोक्यांबद्दल बोलूया. मी सर्वात जास्त पाहत असलेली सामान्य चूक म्हणजे एकाच पोर्टवर SUDI ऑथेंटिकेशन आणि MAC address bypass चे मिश्रण करणे. जर SUDI अयशस्वी झाल्यावर तुम्ही MAB कडे परत जात असाल, तर तुम्ही सुरक्षा मॉडेल कमकुवत केले आहे. एक स्पष्ट पॉलिसी निश्चित करा: SUDI-सक्षम उपकरणांनी SUDI द्वारेच ऑथेंटिकेट केले पाहिजे, विषय संपला. नॉन-SUDI उपकरणे मॅन्युअल पुनरावलोकनासाठी प्रलंबित ठेवून क्वारंटाईन VLAN वर पाठवली जातात. दुसरा धोका म्हणजे सर्टिफिकेटची मुदत संपणे (expiry). तुमच्या सर्व उपकरणांमध्ये आताच SUDI एक्स्पायरी तारखांवर लक्ष ठेवण्यासाठी मॉनिटरिंग सेट करा. तुमचे ॲक्सेस पॉइंट्स आता ऑथेंटिकेट करू शकत नाहीत हे शोधण्यासाठी सेवा खंडित (service outage) होण्याची वाट पाहू नका. एकाच डॅशबोर्डमध्ये डिव्हाइसच्या आरोग्याचे संकेत - ऑथेंटिकेशन स्टेटससह - समोर आणण्यासाठी Purple चे प्लॅटफॉर्म Cisco Meraki आणि इतर हार्डवेअर व्हेंडर्ससोबत समाकलित होते, ज्यामुळे मोठ्या प्रमाणावर असे सक्रिय मॉनिटरिंग करणे व्यावहारिक बनते. तिसरा धोका म्हणजे स्कोप क्रीप (व्याप्ती वाढणे). SUDI हे हार्डवेअर उपकरणाला ऑथेंटिकेट करते. ते त्या उपकरणाद्वारे कनेक्ट होणाऱ्या युझरला ऑथेंटिकेट करत नाही. तुम्हाला अजूनही अतिथी, कर्मचारी आणि रहिवाशांसाठी एक स्वतंत्र ओळख स्तर (identity layer) आवश्यक आहे. तिथेच Purple सारखे प्लॅटफॉर्म काम करते - आम्ही मानवी ओळख स्तर, संमती कॅप्चर (consent capture), अतिथी रहदारीसाठी VLAN असाइनमेंट आणि ॲनालिटिक्स हाताळतो, तर SUDI खालील इन्फ्रास्ट्रक्चर स्तर हाताळतो. --- विभाग ४: रॅपिड-फायर प्रश्न आणि उत्तरे (अंदाजे १ मिनिट) मला नियमितपणे विचारल्या जाणाऱ्या तीन प्रश्नांवर नजर टाकू द्या. SUDI माझ्या सध्याच्या PKI ची जागा घेते का? नाही. SUDI हे मॅन्युफॅक्चरर-इन्स्टॉल केलेले IDevID आहे. ते हे सिद्ध करते की हे उपकरण अस्सल Cisco हार्डवेअर आहे. तुमचे एंटरप्राइझ PKI इतर सर्व गोष्टींसाठी LDevIDs आणि युझर सर्टिफिकेट्स जारी करते. ते समांतरपणे काम करतात. मी नॉन-Cisco हार्डवेअरवर SUDI वापरू शकतो का? नाही. SUDI हे Cisco-विशिष्ट आहे. HPE Aruba कडे IAP प्रोव्हिजनिंग सर्टिफिकेट्स नावाचा समतुल्य पर्याय आहे. Ruckus आणि Juniper Mist कडे त्यांची स्वतःची डिव्हाइस आयडेंटिटी मेकॅनिझम आहेत. यामागील मानक - IEEE 802.1AR - हे व्हेंडर-न्यूट्रल आहे, परंतु प्रत्येक उत्पादक त्याची अंमलबजावणी वेगळ्या पद्धतीने करतो. SUDI प्रमाणपत्र कालबाह्य झाल्यावर काय होते? प्रमाणीकरणासाठी SUDI वर अवलंबून असणाऱ्या सेवा - HTTPS, प्रमाणपत्र प्रमाणीकरणासह SSH, Zero Touch Provisioning - अयशस्वी होतील. डिव्हाइस स्वतः काम करत राहते, परंतु ते यापुढे तिची ओळख क्रिप्टोग्राफिकदृष्ट्या सिद्ध करू शकत नाही. म्हणूनच SUDI-2099 स्थलांतर महत्त्वाचे आहे. --- विभाग ५: सारांश आणि पुढील पावले (अंदाजे १ मिनिट) थोडक्यात सांगायचे तर: Cisco SUDI तुम्हाला हार्डवेअर-रूटेड डिव्हाइस ओळख प्रदान करते जी स्पूफ, क्लोन किंवा एक्सपोर्ट केली जाऊ शकत नाही. हा एक विश्वासार्ह इन्फ्रास्ट्रक्चर लेयरचा पाया आहे. IEEE 802.1X आणि योग्यरित्या कॉन्फिगर केलेल्या RADIUS पॉलिसीसह एकत्रित केल्यावर, हे अनधिकृत डिव्हाइसचा धोका काढून टाकते आणि मोठ्या प्रमाणावर स्वयंचलित प्रोव्हिजनिंग सक्षम करते. तुमच्या तीन त्वरित कृती: पहिली, show crypto pki certificate चा वापर करून SUDI कालबाह्य तारखांसाठी तुमच्या Cisco इस्टेटचे ऑडिट करा. दुसरी, Cisco चे रूट CA तुमच्या RADIUS ट्रस्ट स्टोअरमध्ये इंपोर्ट करा आणि इन्फ्रास्ट्रक्चर डिव्हाइसेससाठी EAP-TLS पॉलिसी कॉन्फिगर करा. तिसरी, तुमची इन्फ्रास्ट्रक्चर ऑथेंटिकेशन पॉलिसी तुमच्या एंड-युझर ऑथेंटिकेशन पॉलिसीपासून वेगळी करा - त्या वेगवेगळ्या उद्देशांसाठी काम करतात आणि त्यांचे व्यवस्थापन स्वतंत्रपणे केले पाहिजे. गेस्ट, कर्मचारी आणि रहिवाशांसाठी ओळख-आधारित नेटवर्क सेगमेंटेशन प्रदान करण्यासाठी Purple Cisco Meraki आणि इतर हार्डवेअर विक्रेत्यांसोबत कसे समाकलित होते याबद्दल तुम्हाला अधिक सखोल माहिती हवी असल्यास, purple.ai ला भेट द्या किंवा या एपिसोडच्या खाली लिंक केलेल्या संबंधित मार्गदर्शिका वाचा. ऐकल्याबद्दल धन्यवाद. पुढील ब्रीफिंगमध्ये भेटू. --- स्क्रिप्ट समाप्त