Na uredskom Wi-Fi-ju i još traže VPN? Evo zašto

Laptop je na korporativnom SSID-u, certifikat je prihvaćen, a web aplikacija i dalje traži VPN. Izgleda kao dvostruki posao, i ponekad jeste. Dvije prijave obično nameću različite odluke, a jedini način da saznate zaslužuje li druga svoje mjesto jeste pitati šta ona mijenja.

Pridruživanje mreži je odluka o prijemu

802.1X postavka odgovara na jedno pitanje: smije li se ovaj uređaj ili korisnik priključiti na ovu mrežu? Pristupna točka prosljeđuje vjerodajnice RADIUS serveru, a odgovor može nositi atribute koji sesiju smještaju u određeni VLAN ili primjenjuju filter. To je prijem i segmentacija, a ne autorizacija za bilo koju konkretnu aplikaciju.

Kad je sesija primljena, bežična veza je šifrirana između klijenta i pristupne točke. Zaštita tu prestaje, na rubu žičane mreže.

Sve iza te točke je obično usmjeravanje unutar zgrade, s onom unutrašnjom dostupnošću koju segment dopušta.

Šta EAP-TTLS zapravo štiti

EAP-TTLS gradi TLS tunel tokom autentifikacije i unutar njega pokreće unutrašnju metodu. Unutrašnja metoda je često PAP, a njeno pojavljivanje u nacrtu ne znači da lozinka prelazi zrakom kao čist tekst, jer je nosi upravo TLS tunel. Klijent ipak mora provjeriti identitet servera i vjerovati ispravnom CA, a poznati SSID nije ta provjera. Izbor unutrašnje metode čitajte kao format vjerodajnica, a ne kao tvrdnju o vanjskom šifriranju.

Ovo je autentifikacijska razmjena, a ne podatkovni tunel za kasniji promet laptopa.

Kad autentifikacija završi, TLS tunel nestaje i paketi klijenta putuju primljenim segmentom. Miješanje to dvoje korijen je uvjerenja da Wi-Fi šifriranje već obavlja VPN-ov posao.

VPN je druga, uža odluka

VPN odgovara na drugo pitanje: kojim privatnim resursima ovaj identitet smije pristupiti i pod kojim uvjetima? Završava na pristupniku s vlastitom politikom, vlastitim provjerama identiteta i često vlastitim zahtjevima za stanje uređaja. Dostupan skup nakon uspostave tunela obično je manji od unutrašnje mreže zgrade i specifičan za ulogu.

Zato uloga održavanja može biti primljena na Wi-Fi kao i svi ostali, a ipak joj treba tunel da dosegne upravljačku podmrežu. Odluka o Wi-Fi-ju donesena je na pristupnoj točki; ova se donosi na pristupniku.

Obje faze mogu biti šifrirane i ipak provoditi nepovezane politike.

Gdje se lomi povjerenje zasnovano na lokaciji

Tretiranje uredske mreže kao implicitno pouzdane pada zbog jednostavnog razloga: mrežna lokacija je svojstvo veze, a ne osobe. NIST-ove smjernice za nulto povjerenje to kažu izravno, i zato se pristup resursima odlučuje po zahtjevu, a ne po zgradi. Svako ko se pridruži istom SSID-u nasljeđuje istu lokaciju. Zato kompromitirani laptop na mreži osoblja zaslužuje istu skepsu kao onaj na gostinjskoj mreži.

Praktična posljedica je da autorizacija aplikacija ipak mora postojati. VPN koji dodjeljuje cijelu podmrežu, plus aplikacija koja vjeruje svakom zahtjevu iz te podmreže, jednu su vjerodajnicu udaljeni od lošeg dana.

Nijedan sloj ne zamjenjuje drugi, jer odgovaraju na pitanja u različitim obuhvatima.

Kako prepoznati zaslužuje li druga prijava svoje mjesto

Pitajte vlasnika mreže dva pitanja: šta postaje dostupno nakon spajanja VPN-a i koji se uvjeti identiteta ili uređaja provjeravaju da bi se to dopustilo? Zatim provjerite odgovore testiranjem onoga što stvarno odgovara. Ako tunel ne mijenja ni dostupnost ni jamstvo, možda je operativna navika, a ne kontrola, i to je odluka za vlasnika, a ne nešto što korisnik treba zaobilaziti.

Tražite i nenamjerne izravne putanje, jer resurs dostupan bez tunela čini tunel ukrasnim.

Dokumentirajte svaku granicu i njenu svrhu, i sljedeća osoba neće morati nagađati zašto postoje dvije prijave.