कर्मचारी नोकरी सोडून गेल्यानंतर WiFi ॲक्सेस कसा रद्द करावा

Purple Technical Briefing मध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण एंटरप्राइझ ऑफबोर्डिंगमधील सर्वात सामान्य त्रुटींपैकी एकावर चर्चा करत आहोत: एखादा कर्मचारी कंपनी सोडतो तेव्हा प्रत्यक्षात WiFi ॲक्सेसचे काय होते? हे ऐकायला सोपे वाटते. कोणीतरी त्यांचे बॅज जमा करते, HR त्यांचे खाते बंद करते आणि तुम्ही पुढे जाता. पण जर तुमचे नेटवर्क अजूनही शेअर्ड WPA2 पासवर्डवर चालत असेल, तर ती व्यक्ती पासवर्ड माहित असतानाच बाहेर पडली आहे. आणि जोपर्यंत तुम्ही तो प्रत्येकासाठी बदलत नाही, तोपर्यंत ते कार पार्कमधून पुन्हा कनेक्ट करू शकतात. आज आपण याच समस्येचे निराकरण करत आहोत. आम्ही प्रति-वापरकर्ता WiFi रिव्होकेशनसाठी (प्रवेश रद्द करणे) तीन विश्वासार्ह मॉडेल्स कव्हर करू, त्याच दिवशीच्या रिव्होकेशन चेकलिस्टचा आढावा घेऊ आणि ISO 27001 किंवा SOC 2 ऑडिटरला तुमच्या लॉगमध्ये नक्की काय पाहायचे असते हे स्पष्ट करू. चला सुरुवात करूया. विभाग एक: शेअर्ड पासवर्ड हे या कामासाठी चुकीचे साधन का आहेत. WPA2-Personal, जे सामान्य होम-router सेटअप आहे, ते सिंगल प्री-शेअर्ड की वापरते. नेटवर्कवरील प्रत्येकाला एकच पासवर्ड माहित असतो. जेव्हा एखादी व्यक्ती कंपनी सोडते, तेव्हा तो पासवर्ड त्यांच्या फोनवर, त्यांच्या लॅपटॉपवर, त्यांनी कधीही कनेक्ट केलेल्या कोणत्याही डिव्हाइसवर अद्याप वैध असतो. त्यांचा ॲक्सेस रद्द करण्याचा एकमेव मार्ग म्हणजे संपूर्ण नेटवर्कचा पासवर्ड बदलणे आणि तो उर्वरित प्रत्येक वापरकर्त्याला आणि डिव्हाइसला पुन्हा वितरित करणे. २०० कर्मचारी असलेल्या हॉटेलमध्ये, याचा अर्थ प्रत्येक पॉइंट-ऑफ-सेल टर्मिनल, प्रत्येक बॅक-ऑफिस PC, प्रत्येक व्यवस्थापकाचा फोन अपडेट करणे असा होतो. ५० स्टोअर्स असलेल्या रिटेल चेनमध्ये, याचा अर्थ प्रत्येक साइटवर समन्वित रोलआउट करणे असा होतो. याचा ऑपरेशनल खर्च जास्त आहे, व्यत्यय खरा आहे आणि कर्मचारी सोडल्याचा शेवटचा दिवस आणि पासवर्ड बदलण्याची प्रक्रिया पूर्ण होणे यामधील काळ हा सुरक्षेतील एक मोठा धोका आहे. PCI DSS, जे पेमेंट कार्ड इंडस्ट्रीचे मानक आहे, त्यानुसार जेव्हा जेव्हा पासवर्ड माहित असलेले कर्मचारी कंपनी सोडतात तेव्हा तुम्हाला शेअर्ड क्रेडेंशियल्स बदलणे आवश्यक असते. त्यामुळे जर तुमचे कॅश काउंटर तुमच्या स्टाफ WiFi सारख्याच नेटवर्कवर असतील, तर कर्मचारी सोडल्यास केवळ सर्वोत्तम पद्धतीची शिफारस नाही, तर अनुपालनाचे (compliance) बंधन लागू होते. याचे मूळ कारण सोपे आहे: शेअर्ड पासवर्डला कोणतीही ओळख (identity) जोडलेली नसते. नेटवर्क सध्याचा कर्मचारी आणि माजी कर्मचारी यांच्यात फरक करू शकत नाही. हे दुरुस्त करण्यासाठी, तुम्हाला प्रति-वापरकर्ता क्रेडेंशियल्सची आवश्यकता आहे. विभाग दोन: प्रत्यक्षात काम करणारी तीन मॉडेल्स. मॉडेल एक म्हणजे EAP-TLS सर्टिफिकेट-आधारित ऑथेंटिकेशनसह 802.1X. एंटरप्राइझ WiFi सुरक्षेसाठी हे सुवर्ण मानक आहे. या मॉडेलमध्ये, प्रत्येक वापरकर्ता किंवा डिव्हाइसकडे तुमच्या सर्टिफिकेट ऑथॉरिटी (CA) द्वारे जारी केलेले एक युनिक डिजिटल सर्टिफिकेट असते. जेव्हा ते WiFi शी कनेक्ट होतात, तेव्हा RADIUS सर्व्हर त्या सर्टिफिकेटची क्रिप्टोग्राफिक पद्धतीने पडताळणी करतो. हे सर्टिफिकेट ओळखीशी जोडलेले असते, पासवर्डशी नाही. ॲक्सेस रद्द करण्यासाठी, तुम्ही CA स्तरावर सर्टिफिकेट रद्द करता. RADIUS सर्व्हर OCSP (Online Certificate Status Protocol) चा वापर करून रिअल टाइममध्ये रिव्होकेशन स्टेटस तपासतो. जेव्हा तुम्ही एखादे सर्टिफिकेट रद्द केलेले म्हणून चिन्हांकित करता, तेव्हा पुढच्या वेळी जेव्हा ते डिव्हाइस ऑथेंटिकेट करण्याचा प्रयत्न करते, तेव्हा RADIUS सर्व्हर OCSP रिस्पॉन्डरकडे चौकशी करतो, रद्द केल्याचा प्रतिसाद मिळवतो आणि ॲक्सेस पॉईंटला Access-Reject पाठवतो. पुढील ऑथेंटिकेशनच्या प्रयत्नानंतर काही सेकंदातच ते डिव्हाइस नेटवर्कच्या बाहेर होते. सक्रिय सत्रांसाठी (active sessions), तुम्ही सध्याचे सत्र त्वरित समाप्त करण्यासाठी RADIUS Change of Authorisation किंवा CoA चा वापर करता. एकत्रितपणे, OCSP आणि CoA चा अर्थ असा आहे की तुम्ही तुमच्या RADIUS लॉगमध्ये संपूर्ण ऑडिट ट्रेलसह, एका मिनिटापेक्षा कमी वेळात कंपनी सोडणाऱ्या कर्मचाऱ्याचा WiFi ॲक्सेस रद्द करू शकता. EAP-TLS मधील आव्हान म्हणजे PKI ओव्हरहेड. तुम्हाला एक सर्टिफिकेट ऑथॉरिटी, डिव्हाइसेसना सर्टिफिकेट जारी करण्याची यंत्रणा (सामान्यतः Microsoft Intune सारख्या MDM द्वारे) आणि ती रद्द करण्याची प्रक्रिया आवश्यक असते. परिपक्व MDM आणि ओळख पायाभूत सुविधा असलेल्या संस्थांसाठी, हे योग्य उत्तर आहे. लहान टीम्स किंवा IoT डिव्हाइसेस असलेल्या वातावरणासाठी जे सर्टिफिकेट ऑथेंटिकेशनला सपोर्ट करू शकत नाहीत, तुम्हाला वेगळ्या दृष्टिकोनाची आवश्यकता आहे. मॉडेल दोन म्हणजे iPSK, म्हणजेच Identity Pre-Shared Key. Cisco याला iPSK म्हणते, Ruckus याला DPSK म्हणते, Aruba याला MPSK म्हणते, पण संकल्पना एकच आहे: प्रत्येक वापरकर्त्याला किंवा डिव्हाइसला एक युनिक पासवर्ड मिळतो, जरी ते सर्व एकाच SSID शी कनेक्ट होत असले तरीही. RADIUS सर्व्हर प्रत्येक युनिक की एका विशिष्ट ओळखीशी आणि पर्यायाने एका विशिष्ट VLAN शी मॅप करतो. जेव्हा तुम्ही ती की RADIUS डेटाबेसमधून हटवता, तेव्हा ते डिव्हाइस यापुढे ऑथेंटिकेट करू शकत नाही. कर्मचारी सोडल्याचा परिणाम केवळ एकाच व्यक्तीवर होतो. इतर सर्वांच्या की वैध राहतात. iPSK हे विशेषतः मिश्र डिव्हाइस प्रकार असलेल्या वातावरणासाठी योग्य आहे. IoT डिव्हाइसेस, पॉइंट-ऑफ-सेल टर्मिनल्स आणि जुने हार्डवेअर जे 802.1X सर्टिफिकेट्सना सपोर्ट करू शकत नाहीत, ते सर्व iPSK वापरू शकतात. हे संपूर्ण PKI डिप्लॉयमेंटपेक्षा ऑपरेट करण्यासाठी सोपे आहे, ज्यामुळे इन्फ्रास्ट्रक्चर ओव्हरहेडशिवाय प्रति-वापरकर्ता रिव्होकेशनची आवश्यकता असलेल्या मध्यम-आकाराच्या संस्थांसाठी हा योग्य पर्याय ठरतो. iPSK साठी रिव्होकेशनची वेळ साधारणपणे काही मिनिटे असते, सेकंद नाही. की हटवण्याची प्रक्रिया RADIUS सर्व्हरपर्यंत पोहोचते, परंतु डिव्हाइस पुन्हा ऑथेंटिकेट होईपर्यंत किंवा तुम्ही कनेक्शन तोडण्यासाठी CoA पॅकेट पाठवेपर्यंत सक्रिय सत्रे सुरू राहू शकतात. मॉडेल तीन म्हणजे SCIM-चालित डिप्रोव्हिजनिंग. SCIM म्हणजे System for Cross-domain Identity Management. हे RFC 7643 आणि RFC 7644 मध्ये परिभाषित केलेले एक ओपन मानक आहे, जे तुमच्या ओळख प्रदात्याला (identity provider) रिअल टाइममध्ये डाउनस्ट्रीम सिस्टम्सवर वापरकर्ता लाइफसायकल इव्हेंट्स पाठवण्याची परवानगी देते. हे व्यवहारात कसे कार्य करते ते येथे आहे. तुमचे ओळख प्रदाता, मग ते Microsoft Entra ID असो, Okta असो किंवा Google Workspace असो, वापरकर्ता खात्यांसाठी अधिकृत स्त्रोत (source of truth) आहे. जेव्हा HR ओळख प्रदात्यामध्ये कंपनी सोडणाऱ्या कर्मचाऱ्याचे खाते निष्क्रिय करते, तेव्हा SCIM तुमच्या WiFi व्यवस्थापन प्लॅटफॉर्मसह प्रत्येक कनेक्ट केलेल्या सिस्टमला विनंती पाठवते. Purple तुमच्या ओळख प्रदात्याशी SCIM द्वारे कनेक्ट होते. ज्या क्षणी तुम्ही Entra ID, Okta किंवा Google Workspace मध्ये वापरकर्त्याला निष्क्रिय करता, त्याच क्षणी Purple ला SCIM इव्हेंट प्राप्त होतो आणि पुढील ऑथेंटिकेशनच्या वेळी त्यांचे WiFi क्रेडेंशियल्स रद्द केले जातात. हा इव्हेंट टाइमस्टॅम्प, वापरकर्त्याची ओळख आणि घेतलेल्या कारवाईसह लॉग केला जातो. ती लॉग एंट्री हीच आहे जी ISO 27001 ऑडिटरला पाहण्याची आवश्यकता असते. SCIM हे 802.1X किंवा iPSK ची जागा घेत नाही. ते त्यांच्या वर कार्य करते. SCIM ओळख लाइफसायकल हाताळते; ऑथेंटिकेशन प्रोटोकॉल नेटवर्क अंमलबजावणी हाताळतो. SCIM आणि 802.1X चे संयोजन तुम्हाला संपूर्ण ऑडिट ट्रेल आणि शून्य मॅन्युअल स्टेप्ससह स्वयंचलित, रिअल-टाइम रिव्होकेशन देते. विभाग तीन: त्याच-दिवशीचे रिव्होकेशन चेकलिस्ट. जेव्हा एखादा कर्मचारी शेवटच्या दिवशी काम सोडतो, तेव्हा तुमच्या IT टीमने खालील क्रमाचे पालन केले पाहिजे. पहिली पायरी: तुमच्या आयडेंटिटी प्रोव्हायडरमध्ये खाते निष्क्रिय करा. ही इतर सर्व गोष्टींसाठीची मुख्य ट्रिगर आहे. Microsoft Entra ID मध्ये, खाते 'disabled' वर सेट करा. Okta मध्ये, युझरला निष्क्रिय (deactivate) करा. Google Workspace मध्ये, खाते निलंबित (suspend) करा. दुसरी पायरी: जर तुम्ही SCIM चालवत असाल, तर डिप्रोव्हिजनिंग इव्हेंट ट्रिगर झाल्याची खात्री करा. संबंधित इव्हेंटसाठी तुमचे SCIM लॉग्स किंवा तुमचे WiFi व्यवस्थापन प्लॅटफॉर्म तपासा. जर SCIM कार्यरत नसेल, तर तुमच्या CA मधील प्रमाणपत्र मॅन्युअली रद्द करा किंवा तुमच्या RADIUS डेटाबेसमधून iPSK की हटवा. तिसरी पायरी: कोणतेही सक्रिय WiFi सेशन समाप्त करण्यासाठी RADIUS CoA पाठवा. बहुतांश एंटरप्राइझ RADIUS सर्व्हर्स आणि Purple सारखे प्लॅटफॉर्म, डिप्रोव्हिजनिंग इव्हेंटवर हे आपोआप करू शकतात. जर तुम्ही हे मॅन्युअली करत असाल, तर युझरचे डिव्हाइस MAC ॲड्रेस किंवा सेशन ID द्वारे डिस्कनेक्ट करण्यासाठी तुमच्या RADIUS सर्व्हरचा CoA इंटरफेस वापरा. चौथी पायरी: कोणतेही सक्रिय सेशन्स शिल्लक नसल्याची खात्री करा. तुमचे WiFi कंट्रोलर डॅशबोर्ड तपासा. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, किंवा Fortinet वर, तुम्ही युझरनेम किंवा डिव्हाइसद्वारे शोध घेण्यास आणि शून्य सक्रिय असोसिएशन असल्याची खात्री करण्यास सक्षम असले पाहिजे. पाचवी पायरी: ऑडिट लॉग एंट्री संग्रहित (archive) करा. संबंधित युझर आणि तारखेसाठी RADIUS ऑथेंटिकेशन लॉग, SCIM इव्हेंट लॉग आणि CoA लॉग एक्सपोर्ट करा किंवा फ्लॅग करा. हे तुमच्या ITSM किंवा सुरक्षा माहिती आणि इव्हेंट व्यवस्थापन प्लॅटफॉर्ममध्ये स्टोअर करा. ISO 27001 Annex A कंट्रोल A.9.2.6 नुसार तुम्ही काम सोडताना सर्व कर्मचारी आणि कंत्राटदारांचे प्रवेश अधिकार काढून घेणे किंवा समायोजित करणे आवश्यक आहे. तुमचा लॉग हाच याचा पुरावा आहे. सहावी पायरी: जर तुम्ही WPA2 शेअर केलेले PSK चालवत असाल आणि वरीलपैकी काहीही लागू होत नसेल, तर पासवर्ड बदला (rotate). शक्य असल्यास काम सोडणाऱ्याच्या शेवटच्या दिवसापूर्वी किंवा त्यानंतर लगेचच सर्व साइट्स आणि डिव्हाइसेसवर नवीन पासवर्ड लागू करण्याचे नियोजन करा. विभाग चार: ऑडिटरला काय हवे असते. ISO 27001 आणि SOC 2 दोन्हीसाठी तुम्ही हे दाखवणे आवश्यक आहे की रोजगार संपल्यावर प्रवेश त्वरित काढून टाकला जातो. विशेषतः WiFi साठी, ऑडिटर्स चार गोष्टी शोधतात. पहिली, एक दस्तऐवजीकरण केलेली ऑफबोर्डिंग प्रक्रिया ज्यामध्ये स्पष्टपणे नेटवर्क प्रवेशाचा समावेश आहे. दुसरी, गेल्या बारा महिन्यांतून निवडलेल्या साधारणपणे दहा ते पंचवीस व्यक्तींच्या नमुन्यासाठी त्या प्रक्रियेचे पालन केले गेल्याचा पुरावा. तिसरी, खाते निष्क्रिय केल्याची वेळ आणि WiFi प्रवेश रद्द केल्याची वेळ दर्शवणारा लॉग, ज्यामधील अंतर स्पष्टपणे दिसेल. चौथी, कोणत्याही माजी कर्मचाऱ्याचे खाते सक्रिय WiFi सेशन्स दाखवत नसल्याची खात्री. जर तुम्ही WPA2 शेअर केलेले PSK चालवत असाल, तर तुम्ही तिसऱ्या आणि चौथ्या मुद्द्यांसाठी पुरावा सादर करू शकत नाही. तिथे प्रति-युझर लॉग नसतो. तुम्ही जास्तीत जास्त पासवर्ड बदलल्याची तारीख दाखवू शकता आणि असा युक्तिवाद करू शकता की ते काम सोडणाऱ्याच्या शेवटच्या दिवसापूर्वी किंवा त्याच दिवशी पूर्ण झाले होते. ऑडिटर्स आता या गोष्टीला वाढत्या प्रमाणात नकार देतात. जर तुम्ही SCIM सह 802.1X चालवत असाल, तर लॉग स्वयंचलित असतो. Purple प्रत्येक SCIM डिप्रोव्हिजनिंग इव्हेंटची नोंद UTC टाइमस्टॅम्प, आयडेंटिटी प्रोव्हायडर सोर्स, युझरचा युनिक आयडेंटिफायर आणि परिणामी केलेल्या कारवाईसह ठेवते. हा एक स्पष्ट, ऑडिट करण्यायोग्य रेकॉर्ड आहे. विभाग पाच: अंमलबजावणीतील त्रुटी आणि त्या कशा टाळाव्यात. सर्वात सामान्य चूक म्हणजे आयडेंटिटी प्रोव्हायडरमध्ये खाते निष्क्रिय करणे पुरेसे आहे असे गृहीत धरणे. जोपर्यंत तुमचे WiFi प्लॅटफॉर्म SCIM किंवा तत्सम रिअल-टाइम इंटिग्रेशनद्वारे त्या आयडेंटिटी प्रोव्हायडरशी जोडलेले नसेल, तोपर्यंत हे पुरेसे नाही. त्या कनेक्शनशिवाय, WiFi सिस्टमला खाते निष्क्रिय केल्याचे समजण्याचा कोणताही मार्ग नाही. दुसरी त्रुटी म्हणजे सर्टिफिकेट कॅशिंग. OCSP सह देखील, RADIUS सर्व्हर्स कॉन्फिगर करण्यायोग्य कालावधीसाठी (साधारणपणे १५ ते ६० मिनिटे) चांगल्या प्रतिसादांचे कॅश ठेवतात. जर तुम्ही एखादे प्रमाणपत्र रद्द केले आणि RADIUS सर्व्हरकडे कॅश केलेला चांगला प्रतिसाद असेल, तर कॅश कालबाह्य होईपर्यंत डिव्हाइस ऑथेंटिकेट करणे सुरू ठेवू शकते. उच्च-सुरक्षा वातावरणासाठी तुमचे OCSP कॅश TTL १५ मिनिटे किंवा त्यापेक्षा कमी सेट करा. तिसरी त्रुटी म्हणजे सक्रिय सेशन्स विसरणे. क्रेडेंशियल्स रद्द केल्याने नवीन ऑथेंटिकेशन रोखले जाते परंतु विद्यमान WiFi सेशन समाप्त होत नाही. डिव्हाइस त्वरित डिस्कनेक्ट करण्यासाठी क्रेडेंशियल्स रद्द केल्यानंतर नेहमी RADIUS CoA पाठवा. चौथी त्रुटी म्हणजे IoT आणि शेअर केलेली डिव्हाइसेस. काम सोडणाऱ्याच्या ओळखीवर नोंदणीकृत असलेले डिव्हाइस हे शेअर केलेले वर्कस्टेशन किंवा ऑपरेशनल हार्डवेअर असू शकते. रद्द करण्यापूर्वी, डिव्हाइस वैयक्तिक आहे की शेअर केलेले आहे याची खात्री करा. जर ते शेअर केलेले असेल, तर काम सोडणाऱ्याचे क्रेडेंशियल्स रद्द करण्यापूर्वी सेवा खात्यांतर्गत (service account) त्याची पुन्हा नोंदणी करा. विभाग सहा: जलद प्रश्नोत्तरे. प्रश्न: प्रमाणपत्र-आधारित WiFi प्रवेश किती वेगाने रद्द केला जाऊ शकतो? OCSP आणि RADIUS CoA सह, तुम्ही CA कडून प्रमाणपत्र रद्द केल्याच्या क्षणापासून ६० सेकंदांच्या आत. पुढील ऑथेंटिकेशनच्या प्रयत्नात OCSP तपासणी होते. CoA सक्रिय सेशन त्वरित समाप्त करते. प्रश्न: SCIM सर्व WiFi हार्डवेअरसह कार्य करते का? SCIM हे आयडेंटिटी मॅनेजमेंट लेयरवर कार्य करते, हार्डवेअर लेयरवर नाही. Purple हे हार्डवेअर-अज्ञेयवादी (hardware-agnostic) आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, आणि Fortinet सह कार्य करते. SCIM इंटिग्रेशन थेट ॲक्सेस पॉईंट्सशी नसून Purple शी असते. प्रश्न: आमच्याकडे MDM नसेल आणि आम्ही प्रमाणपत्रे तैनात करू शकत नसू तर काय? iPSK हे तुमचे उत्तर आहे. हे तुम्हाला प्रमाणपत्र इन्फ्रास्ट्रक्चरची आवश्यकता नसताना प्रति-युझर रिव्होकेशन देते. Purple हे iPSK की व्यवस्थापित करू शकते आणि लाइफसायकल स्वयंचलित करण्यासाठी तुमच्या आयडेंटिटी प्रोव्हायडरशी कनेक्ट होऊ शकते. सारांश आणि पुढील पावले. मुख्य संदेश असा आहे: जर तुम्ही इतर कोणावरही परिणाम न करता एका व्यक्तीचा WiFi प्रवेश रद्द करू शकत नसाल, तर तुम्हाला शेअर केलेल्या क्रेडेंशियलची समस्या आहे. यावरील उपाय म्हणजे प्रति-युझर क्रेडेंशियल्स, एकतर 802.1X EAP-TLS द्वारे प्रमाणपत्रे किंवा iPSK द्वारे युनिक की, आणि एचआरने कारवाई करताच रिव्होकेशन स्वयंचलित करण्यासाठी SCIM-चालित डिप्रोव्हिजनिंग. Purple हे SCIM द्वारे Microsoft Entra ID, Okta, आणि Google Workspace शी कनेक्ट होते, ८०,००० हून अधिक लाइव्ह ठिकाणी कार्यरत आहे आणि ऑडिटसाठी प्रत्येक डिप्रोव्हिजनिंग इव्हेंटची नोंद ठेवते. जर तुम्ही ISO 27001 किंवा SOC 2 ची तयारी करत असाल, किंवा एखादी घटना घडण्यापूर्वी काम सोडणाऱ्या कर्मचाऱ्यांमुळे निर्माण होणारी सुरक्षा त्रुटी दूर करू इच्छित असाल, तर येथून सुरुवात करा. प्रमाणपत्र रद्द करणे आणि OCSP च्या संपूर्ण तांत्रिक विश्लेषणासाठी, WiFi ऑथेंटिकेशनसाठी OCSP आणि प्रमाणपत्र रद्द करण्याबाबतचे आमचे मार्गदर्शक पहा. यासाठी अधिक व्यापक जॉइनर-मूव्हर-लीव्हर ऑटोमेशन चित्रासाठी, आमचे एंटरप्राइझ WiFi सुरक्षा मार्गदर्शक पहा. Purple टेक्निकल ब्रीफिंग ऐकल्याबद्दल धन्यवाद.