অফিসের Wi-Fi-এ, তবুও VPN চাওয়া হচ্ছে? কারণ এখানেই

ল্যাপটপটি কর্পোরেট SSID-এ আছে, সার্টিফিকেটের অনুরোধ গ্রহণ করা হয়েছে, তবুও একটি ওয়েব অ্যাপ VPN চাইছে। এটাকে দ্বিগুণ কাজ মনে হয়, এবং মাঝে মাঝে তা-ই। দুটি লগইন সাধারণত ভিন্ন সিদ্ধান্ত কার্যকর করে, আর দ্বিতীয়টি তার জায়গা পাওয়ার যোগ্য কি না তা জানার একমাত্র উপায় হলো এটি কী বদলায় তা জিজ্ঞাসা করা।

নেটওয়ার্কে যোগ দেওয়া একটি প্রবেশ-অনুমতির সিদ্ধান্ত

একটি 802.1X স্থাপনা একটি প্রশ্নের উত্তর দেয়: এই ডিভাইস বা ব্যবহারকারী এই নেটওয়ার্কে যুক্ত হতে পারে কি? অ্যাক্সেস পয়েন্টটি শংসাপত্র RADIUS সার্ভারে পাঠায়, আর উত্তরটিতে এমন বৈশিষ্ট্য থাকতে পারে যা সেশনটিকে নির্দিষ্ট VLAN-এ রাখে বা ফিল্টার প্রয়োগ করে। এটি প্রবেশ ও বিভাজন, কোনো নির্দিষ্ট অ্যাপ্লিকেশনের জন্য অনুমোদন নয়।

সেশনটি প্রবেশের অনুমতি পাওয়ার পর, ক্লায়েন্ট ও অ্যাক্সেস পয়েন্টের মধ্যে ওয়্যারলেস লিঙ্কটি এনক্রিপ্ট হয়। সুরক্ষা সেখানেই শেষ, তারযুক্ত নেটওয়ার্কের প্রান্তে।

তার পরের সবকিছু ভবনের ভেতরের সাধারণ রাউটিং, সেগমেন্ট যতটা অভ্যন্তরীণ পৌঁছানো অনুমতি দেয় ততটা।

EAP-TTLS আসলে কী সুরক্ষা দেয়

EAP-TTLS প্রমাণীকরণের সময় একটি TLS টানেল তৈরি করে এবং তার ভেতরে একটি অন্তর্নিহিত পদ্ধতি চালায়। অন্তর্নিহিত পদ্ধতিটি প্রায়ই PAP, আর কোনো নকশায় এটির উপস্থিতির অর্থ এই নয় যে পাসওয়ার্ডটি খোলা টেক্সটে বাতাসের মধ্য দিয়ে যায়, কারণ TLS টানেলই এটি বহন করে। ক্লায়েন্টকে এখনও সার্ভারের পরিচয় যাচাই করতে হয় এবং সঠিক CA-তে আস্থা রাখতে হয়, আর পরিচিত SSID সেই যাচাই নয়। অন্তর্নিহিত পদ্ধতির পছন্দকে শংসাপত্রের একটি বিন্যাস হিসেবে পড়ুন, বাইরের এনক্রিপশন সম্পর্কে বক্তব্য হিসেবে নয়।

এটি একটি প্রমাণীকরণ বিনিময়, ল্যাপটপের পরবর্তী ট্র্যাফিকের জন্য ডেটা টানেল নয়।

প্রমাণীকরণ শেষ হলে TLS টানেল আর থাকে না এবং ক্লায়েন্টের প্যাকেটগুলো প্রবেশ-অনুমতিপ্রাপ্ত সেগমেন্টের ওপর দিয়ে যায়। এই দুটিকে গুলিয়ে ফেলাই সেই বিশ্বাসের মূল, যে Wi-Fi এনক্রিপশন ইতিমধ্যে VPN-এর কাজ করে দেয়।

VPN হলো দ্বিতীয়, আরও সংকীর্ণ সিদ্ধান্ত

VPN ভিন্ন একটি প্রশ্নের উত্তর দেয়: এই পরিচয়টি কোন ব্যক্তিগত সম্পদে পৌঁছাতে পারে, এবং কী শর্তে? এটি নিজস্ব নীতি, নিজস্ব পরিচয় যাচাই এবং প্রায়ই নিজস্ব ডিভাইস অবস্থার প্রয়োজনীয়তাসম্পন্ন একটি গেটওয়েতে শেষ হয়। টানেল ওঠার পর পৌঁছানো যায় এমন সেটটি সাধারণত ভবনের অভ্যন্তরীণ নেটওয়ার্কের চেয়ে ছোট এবং ভূমিকা-নির্দিষ্ট।

এই কারণেই একটি রক্ষণাবেক্ষণ ভূমিকা সবার মতোই Wi-Fi-এ প্রবেশের অনুমতি পেতে পারে, তবুও ব্যবস্থাপনা সাবনেটে পৌঁছাতে তার টানেল দরকার। Wi-Fi-এর সিদ্ধান্ত অ্যাক্সেস পয়েন্টে নেওয়া হয়; এই সিদ্ধান্তটি নেওয়া হয় গেটওয়েতে।

দুই ধাপই এনক্রিপ্টেড হতে পারে এবং তবুও অসংলগ্ন নীতি কার্যকর করতে পারে।

অবস্থান-ভিত্তিক আস্থা কোথায় ভেঙে পড়ে

অফিস নেটওয়ার্ককে অন্তর্নিহিতভাবে বিশ্বাসযোগ্য ভাবা একটি সহজ কারণে ব্যর্থ হয়: নেটওয়ার্ক অবস্থান সংযোগের বৈশিষ্ট্য, ব্যক্তির নয়। NIST-এর জিরো-ট্রাস্ট নির্দেশনা এ কথা সরাসরি বলে, আর তাই সম্পদে প্রবেশ প্রতি অনুরোধে নির্ধারিত হয়, প্রতি ভবনে নয়। যে কেউ একই SSID-এ যোগ দেয়, সে একই অবস্থান উত্তরাধিকারে পায়। এ কারণেই স্টাফ নেটওয়ার্কে আপোসকৃত একটি ল্যাপটপ অতিথি নেটওয়ার্কের একটির মতোই সন্দেহের যোগ্য।

ব্যবহারিক পরিণাম হলো, অ্যাপ্লিকেশন অনুমোদন এখনও থাকতেই হবে। যে VPN পুরো একটি সাবনেট দেয়, সঙ্গে এমন অ্যাপ্লিকেশন যা ওই সাবনেটের যেকোনো অনুরোধে আস্থা রাখে, সেটি একটি শংসাপত্র দূরত্বে খারাপ দিনের থেকে।

কোনো স্তরই অন্যটিকে প্রতিস্থাপন করে না, কারণ তারা ভিন্ন পরিসরে প্রশ্নের উত্তর দেয়।

দ্বিতীয় লগইন তার জায়গা পাওয়ার যোগ্য কি না তা কীভাবে বুঝবেন

নেটওয়ার্কের মালিককে দুটি প্রশ্ন করুন: VPN সংযুক্ত হওয়ার পর কী পৌঁছানো যায়, আর অনুমতি দিতে কোন পরিচয় বা ডিভাইসের শর্ত যাচাই করা হয়? তারপর প্রকৃতপক্ষে কী সাড়া দেয় তা পরীক্ষা করে উত্তরগুলো যাচাই করুন। যদি টানেল পৌঁছানো বা নিশ্চয়তার কোনোটিই না বদলায়, তবে এটি নিয়ন্ত্রণের বদলে পরিচালনাগত অভ্যাস হতে পারে, আর সেটি মালিকের সিদ্ধান্ত, ব্যবহারকারীর পাশ কাটানোর মতো কিছু নয়।

এছাড়া অনিচ্ছাকৃত সরাসরি পথ খুঁজুন, কারণ টানেল ছাড়া পৌঁছানো যায় এমন সম্পদ টানেলকে সাজসজ্জা বানিয়ে দেয়।

প্রতিটি সীমানা ও তার উদ্দেশ্য নথিভুক্ত করুন, পরের ব্যক্তিকে আর অনুমান করতে হবে না কেন দুটি লগইন আছে।