PKI म्हणजे काय? पब्लिक की इन्फ्रास्ट्रक्चर WiFi सिक्युरिटी कशी सक्षम करते

Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आम्ही एंटरप्राइझ नेटवर्क सिक्युरिटीच्या एका मूलभूत घटकावर चर्चा करत आहोत: पब्लिक की इन्फ्रास्ट्रक्चर, किंवा PKI, आणि विशेषतः ते सर्टिफिकेट-आधारित ऑथेंटिकेशनद्वारे सुरक्षित WiFi कसे सक्षम करते. जर तुम्ही हॉटेल्स, रिटेल चेन्स किंवा मोठ्या सार्वजनिक ठिकाणांवर कनेक्टिव्हिटी व्यवस्थापित करणारे आयटी मॅनेजर, नेटवर्क आर्किटेक्ट किंवा व्हेन्यू ऑपरेशन्स डायरेक्टर असाल, तर तुम्हाला माहित आहे की पारंपारिक प्री-शेअर्ड की — भिंतीवर चिकटवलेला किंवा व्हाईटबोर्डवर शेअर केलेला पासवर्ड — आता कालबाह्य झाला आहे. ही एक मोठी सुरक्षा जोखीम आहे. हे कोणतीही वैयक्तिक जबाबदारी देत नाही आणि ते रोटेट करणे हे एक ऑपरेशनल दुःस्वप्न आहे. मग, पर्याय काय आहे? उत्तर आहे PKI सोबत जोडलेले IEEE 802.1X. चला मूलभूत गोष्टींपासून सुरुवात करूया. PKI म्हणजे काय? पब्लिक की इन्फ्रास्ट्रक्चर हे डिजिटल सर्टिफिकेट्स तयार करणे, व्यवस्थापित करणे, वितरित करणे, वापरणे, संचयित करणे आणि रद्द करणे यासाठी आवश्यक असलेले हार्डवेअर, सॉफ्टवेअर, धोरणे आणि प्रक्रियांचे सर्वसमावेशक फ्रेमवर्क आहे. सोप्या भाषेत सांगायचे तर, ही अशी प्रणाली आहे जी तुम्हाला तुमच्या नेटवर्कवरील प्रत्येक डिव्हाइस आणि वापरकर्त्याला डिजिटल पासपोर्ट जारी करण्याची परवानगी देते. वापरकर्त्याने पासवर्ड टाईप करण्याऐवजी, त्यांचे डिव्हाइस एक डिजिटल सर्टिफिकेट सादर करते — X.509 मानकानुसार फॉरमॅट केलेले एक क्रिप्टोग्राफिक डॉक्युमेंट. हे सर्टिफिकेट पब्लिक की ला ओळखीशी जोडते, जसे की डिव्हाइसचा MAC ॲड्रेस किंवा कर्मचाऱ्याचा ईमेल ॲड्रेस. या प्रणालीतील मध्यवर्ती प्राधिकरण म्हणजे सर्टिफिकेट ऑथॉरिटी, किंवा CA. CA ला तो पासपोर्ट जारी करणारे सरकार समजा. जर तुमचे नेटवर्क CA वर विश्वास ठेवत असेल, तर ते त्या CA ने जारी केलेल्या सर्टिफिकेट्सवर विश्वास ठेवते. आता, हे WiFi ला कसे लागू होते? हे आपल्याला 802.1X आणि EAP-TLS कडे घेऊन जाते. 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी IEEE मानक आहे. हे मूलत: तुमच्या नेटवर्कच्या दारात — ॲक्सेस पॉईंटवर — बाउन्सर म्हणून काम करते. जोपर्यंत डिव्हाइस स्वतःची ओळख सिद्ध करत नाही तोपर्यंत ते सर्व ट्रॅफिक ब्लॉक करते. EAP-TLS, ज्याचा अर्थ एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल विथ ट्रान्सपोर्ट लेयर सिक्युरिटी असा आहे, ही या पुराव्यासाठी सुवर्ण मानक पद्धत आहे. यासाठी म्युच्युअल ऑथेंटिकेशन आवश्यक आहे. हे अत्यंत महत्त्वाचे आहे. EAP-TLS मध्ये, क्लायंट डिव्हाइस RADIUS सर्व्हरला आपले सर्टिफिकेट सादर करून सांगते की, मी एक वैध कॉर्पोरेट डिव्हाइस आहे. परंतु नंतर, RADIUS सर्व्हर क्लायंटला स्वतःचे सर्टिफिकेट परत सादर करून सांगतो की, आणि मी कायदेशीर कॉर्पोरेट नेटवर्क आहे, कोणताही बनावट ॲक्सेस पॉईंट नाही. हा परस्पर विश्वास सुरक्षा व्यावसायिक ज्याला इव्हिल ट्विन अटॅक्स म्हणतात ते प्रतिबंधित करतो, जिथे एखादा वाईट अभिनेता क्रेडेंशियल्स चोरण्यासाठी त्याच नेटवर्क नावासह बनावट ॲक्सेस पॉईंट सेट करतो. कारण वाईट अभिनेत्याकडे तुमच्या अंतर्गत सर्टिफिकेट ऑथॉरिटीचे वैध सर्टिफिकेट नसते, क्लायंट डिव्हाइस कनेक्ट होण्यास नकार देईल. पूर्णविराम. चला घटकांबद्दल अधिक तपशीलवार बोलूया. सर्टिफिकेट ऑथॉरिटी हायरार्कीमध्ये साधारणपणे तीन स्तर असतात. शीर्षस्थानी, तुमच्याकडे रूट CA असतो. हा विश्वासाचा अंतिम स्रोत आहे. चांगल्या प्रकारे डिझाइन केलेल्या डिप्लॉयमेंटमध्ये, रूट CA पूर्णपणे ऑफलाइन ठेवला जातो — भौतिकदृष्ट्या सुरक्षित, एअर-गॅप्ड. तो फक्त इंटरमीडिएट CA सर्टिफिकेट्स साईन करतो. त्याखाली, तुमच्याकडे एक किंवा अधिक इंटरमीडिएट CAs असतात. हे ऑनलाइन असतात आणि इश्यूइंग CA सर्टिफिकेट्सच्या दैनंदिन सायनिंगचे काम हाताळतात. रूट CA ला इंटरमीडिएट CAs पासून वेगळे ठेवण्याचा अर्थ असा आहे की जरी एखाद्या इंटरमीडिएट CA शी तडजोड झाली, तरीही तुम्ही तुमचे संपूर्ण PKI नष्ट न करता ते रद्द करू शकता. हायरार्कीच्या तळाशी, इश्यूइंग CA प्रत्यक्षात एंड-एंटिटी सर्टिफिकेट्स साईन करतो — जे तुमच्या लॅपटॉप्स, टॅब्लेट्स आणि स्मार्टफोन्सवर जातात. प्रत्येक सर्टिफिकेटमध्ये अनेक प्रमुख फील्ड्स असतात: सब्जेक्ट, जो सर्टिफिकेट धारकाची ओळख पटवतो; इश्यूअर, जो ते साईन करणाऱ्या CA ची ओळख पटवतो; पब्लिक की; व्हॅलिडिटी पिरियड, जो सुरुवातीच्या आणि शेवटच्या तारखा परिभाषित करतो; आणि जारी करणाऱ्या CA ची डिजिटल सिग्नेचर. आता, एका वास्तविक-जगातील अंमलबजावणीच्या परिस्थितीवर नजर टाकूया. पाचशे स्टोअर्स असलेल्या एका रिटेल चेनची कल्पना करा. ते सध्या WPA2-PSK चालवत आहेत — सर्व ठिकाणी एकच शेअर्ड पासवर्ड. आयटी टीमला माहित आहे की ही एक समस्या आहे. कर्मचाऱ्यांच्या उलाढालीमुळे पासवर्ड बाह्यरित्या शेअर केला जातो. नेटवर्कवर कोण आहे याचे ऑडिट करण्याचा कोणताही मार्ग नाही. आणि जर एका स्टोअरच्या पासवर्डशी तडजोड झाली, तर हल्लेखोराला संपूर्ण इस्टेटचा ॲक्सेस मिळतो. PKI कडे जाण्याचा मार्ग असा दिसतो. प्रथम, क्लाउड-मॅनेज्ड PKI प्रोव्हायडर निवडा आणि विद्यमान मोबाईल डिव्हाइस मॅनेजमेंट सोल्यूशनसोबत इंटिग्रेट करा. दुसरे, प्रत्येक कॉर्पोरेट डिव्हाइसवर अद्वितीय, डिव्हाइस-बाउंड सर्टिफिकेट्स स्वयंचलितपणे पुश करण्यासाठी SCEP — सिम्पल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल — कॉन्फिगर करा. तिसरे, क्लाउड RADIUS सेवा डिप्लॉय करा आणि PKI विरुद्ध सर्टिफिकेट्स प्रमाणित करण्यासाठी ती कॉन्फिगर करा. चौथे, कॉर्पोरेट SSID वर 802.1X ऑथेंटिकेशन लागू करण्यासाठी प्रत्येक स्टोअरमधील वायरलेस कंट्रोलर्स पुन्हा कॉन्फिगर करा. शेवटी, PSK नेटवर्क बंद करा. परिणाम? प्रत्येक डिव्हाइसची एक अद्वितीय क्रिप्टोग्राफिक ओळख असते. जर एखादा टॅब्लेट चोरीला गेला, तर त्याचे सर्टिफिकेट PKI मध्ये रद्द केले जाते, आणि काही मिनिटांतच, ते डिव्हाइस कोणत्याही स्टोअरमधील कोणत्याही नेटवर्कमध्ये ॲक्सेस करू शकत नाही. कोणतेही पासवर्ड रोटेशन नाही. कोणताही डाउनटाइम नाही. कोणताही ऑपरेशनल गोंधळ नाही. आता, काही सामान्य त्रुटींबद्दल बोलूया, कारण इथेच अनेक डिप्लॉयमेंट्स अडचणीत येतात. पहिली आणि सर्वात सामान्य समस्या म्हणजे खराब रिव्होकेशन व्यवस्थापन. सर्टिफिकेट्स जारी करणे हा सोपा भाग आहे. त्यांना खात्रीशीरपणे रद्द करण्यात टीम्स अनेकदा कमी पडतात. तुमचा RADIUS सर्व्हर प्रत्येक ऑथेंटिकेशन प्रयत्नावर सर्टिफिकेट रिव्होकेशन लिस्ट, किंवा CRL सक्रियपणे तपासण्यासाठी, किंवा OCSP म्हणून ओळखला जाणारा ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल वापरण्यासाठी कॉन्फिगर केलेला असणे आवश्यक आहे. दिवसातून फक्त एकदा नाही. प्रत्येक वेळी. जर एखाद्या डिव्हाइसशी तडजोड झाली आणि त्याचे सर्टिफिकेट रद्द केले गेले, परंतु तुमचा RADIUS सर्व्हर दर चोवीस तासांनी एकदाच CRL तपासत असेल, तर तुमच्याकडे एक्सपोजरची चोवीस तासांची विंडो असते. दुसरी त्रुटी म्हणजे टाईम सिंक्रोनायझेशन. हे तुमच्या अपेक्षेपेक्षा जास्त वेळा टीम्सना अडचणीत आणते. डिजिटल सर्टिफिकेट्स वेळेबाबत अत्यंत संवेदनशील असतात. जर क्लायंट डिव्हाइसचे घड्याळ काही मिनिटांपेक्षा जास्त मागे-पुढे असेल — उदाहरणार्थ, NTP बिघाडामुळे — तर सर्टिफिकेट व्हॅलिडेशन अयशस्वी होईल. सर्टिफिकेट एकतर अद्याप वैध नाही किंवा आधीच कालबाह्य झालेले दिसेल. तुमच्या संपूर्ण नेटवर्क इन्फ्रास्ट्रक्चरमध्ये मजबूत NTP कॉन्फिगरेशन सुनिश्चित करा. तिसरी त्रुटी म्हणजे ट्रस्ट चेन डिस्ट्रिब्युशन. EAP-TLS म्युच्युअल ऑथेंटिकेशन काम करण्यासाठी, क्लायंट डिव्हाइसने RADIUS सर्व्हरचे सर्टिफिकेट जारी करणाऱ्या रूट CA वर विश्वास ठेवला पाहिजे. ॲक्टिव्ह डिरेक्टरीशी जोडलेल्या Windows डिव्हाइसेसवर, हे सहसा ग्रुप पॉलिसीद्वारे स्वयंचलितपणे हाताळले जाते. परंतु Android डिव्हाइसेस, iOS डिव्हाइसेस किंवा BYOD उपकरणांसाठी, तुम्हाला MDM द्वारे रूट CA सर्टिफिकेट पुश करणे आवश्यक आहे. जर तुम्ही ही पायरी चुकवली, तर ती डिव्हाइसेस RADIUS सर्व्हरचे सर्टिफिकेट नाकारतील आणि कनेक्ट होण्यात अपयशी ठरतील. चला मला सर्वात जास्त विचारल्या जाणाऱ्या रॅपिड-फायर प्रश्नांकडे वळूया. मी अतिथी WiFi साठी EAP-TLS वापरू शकतो का? तांत्रिकदृष्ट्या होय, परंतु व्यावहारिकदृष्ट्या नाही. अतिथी डिव्हाइसेस अनमॅनेज्ड असतात, त्यामुळे तुम्ही त्यांच्यावर सर्टिफिकेट्स पुश करू शकत नाही. अतिथी नेटवर्क्सनी सोशल लॉगिन किंवा ईमेल ऑथेंटिकेशनसह Captive Portal वापरले पाहिजे, तर कॉर्पोरेट SSID EAP-TLS वापरते. Purple सारखे प्लॅटफॉर्म्स हे पृथक्करण स्वच्छपणे हाताळतात. OpenRoaming म्हणजे काय आणि PKI चा त्याच्याशी कसा संबंध आहे? OpenRoaming हे एक फेडरेटेड WiFi मानक आहे जे वापरकर्त्यांना प्री-प्रोव्हिजन केलेल्या प्रोफाईलचा वापर करून सहभागी नेटवर्क्सशी अखंडपणे आणि सुरक्षितपणे कनेक्ट होऊ देते — मूलत: एक सर्टिफिकेट-आधारित क्रेडेंशियल. Purple कनेक्ट लायसन्स अंतर्गत OpenRoaming साठी मोफत आयडेंटिटी प्रोव्हायडर म्हणून काम करते, याचा अर्थ Purple द्वारे प्रोव्हिजन केलेले वापरकर्ते Captive Portal किंवा पासवर्डशिवाय कोणत्याही OpenRoaming-सक्षम ठिकाणी कनेक्ट होऊ शकतात. सर्टिफिकेट्सचे नूतनीकरण किती वेळा केले पाहिजे? सर्वोत्तम सराव म्हणजे एंड-एंटिटी सर्टिफिकेट्ससाठी सर्टिफिकेटचे आयुष्य एक वर्ष सेट करणे आणि वैधता कालावधीच्या साठ टक्के टप्प्यावर नूतनीकरण स्वयंचलित करणे. जर नूतनीकरण प्रक्रिया अयशस्वी झाली तर हे तुम्हाला एक मोठा बफर देते. आजच्या ब्रीफिंगचा सारांश सांगायचा तर. PKI असुरक्षित शेअर्ड सिक्रेट्सच्या जागी क्रिप्टोग्राफिक ओळख वापरते. प्रत्येक डिव्हाइसला एक अद्वितीय, न बनवता येणारे डिजिटल सर्टिफिकेट मिळते. EAP-TLS म्युच्युअल ऑथेंटिकेशन प्रदान करते, हे सुनिश्चित करते की डिव्हाइस नेटवर्कवर विश्वास ठेवते आणि नेटवर्क डिव्हाइसवर विश्वास ठेवते. स्केलेबल डिप्लॉयमेंट्ससाठी MDM द्वारे स्वयंचलित प्रोव्हिजनिंग अनिवार्य आहे. मजबूत रिव्होकेशन चेकिंग हा सुरक्षित डिप्लॉयमेंट आणि सुरक्षिततेची खोटी भावना यातील फरक आहे. आणि सार्वजनिक ठिकाणांसाठी, OpenRoaming सारख्या PKI-समर्थित मानकांचा अवलंब केल्याने मोठ्या प्रमाणावर अखंड, सुरक्षित अतिथी अनुभव मिळतो. जर तुम्ही सर्टिफिकेट-आधारित WiFi कडे मायग्रेशन करण्याची योजना आखत असाल, तर संपूर्ण तांत्रिक संदर्भ मार्गदर्शक Purple वेबसाइटवर उपलब्ध आहे, ज्यामध्ये आर्किटेक्चर डायग्राम्स, डिप्लॉयमेंट चेकलिस्ट्स आणि हॉस्पिटॅलिटी, रिटेल आणि हेल्थकेअर वातावरणासाठी सोडवलेली उदाहरणे आहेत. या ब्रीफिंगमध्ये सामील झाल्याबद्दल धन्यवाद. पुढच्या वेळेपर्यंत.