Na firemní Wi-Fi, a přesto po vás chtějí VPN? Tady je důvod

Notebook je na firemní SSID, výzva k certifikátu byla přijata, a webová aplikace přesto žádá VPN. Vypadá to jako dvojitá práce, a někdy to tak je. Obě přihlášení obvykle prosazují různá rozhodnutí, a jediný způsob, jak zjistit, zda si to druhé zaslouží své místo, je zeptat se, co mění.

Připojení k síti je rozhodnutí o vpuštění

Nasazení 802.1X odpovídá na jednu otázku: smí se toto zařízení nebo uživatel připojit k této síti? Přístupový bod předá přihlašovací údaje serveru RADIUS a odpověď může nést atributy, které zařadí relaci do určité VLAN nebo uplatní filtr. To je vpuštění a segmentace, ne autorizace pro konkrétní aplikaci.

Jakmile je relace vpuštěna, bezdrátové spojení je šifrováno mezi klientem a přístupovým bodem. Ochrana tam končí, na okraji drátové sítě.

Vše za tímto bodem je běžné směrování uvnitř budovy, s takovou vnitřní dosažitelností, jakou segment dovolí.

Co EAP-TTLS skutečně chrání

EAP-TTLS během autentizace staví tunel TLS a uvnitř něj spouští vnitřní metodu. Vnitřní metodou bývá často PAP a její výskyt v návrhu neznamená, že heslo letí vzduchem jako čistý text, protože ho nese právě tunel TLS. Klient stále musí ověřit identitu serveru a důvěřovat správné CA, a známé SSID tím ověřením není. Volbu vnitřní metody čtěte jako formát přihlašovacích údajů, ne jako tvrzení o vnějším šifrování.

Tohle je autentizační výměna, ne datový tunel pro pozdější provoz notebooku.

Když autentizace skončí, tunel TLS zmizí a pakety klienta putují vpuštěným segmentem. Záměna obojího je kořenem víry, že šifrování Wi-Fi už dělá práci VPN.

VPN je druhé, užší rozhodnutí

VPN odpovídá na jinou otázku: ke kterým soukromým prostředkům se tato identita smí dostat a za jakých podmínek? Končí na bráně s vlastní politikou, vlastními kontrolami identity a často vlastními požadavky na stav zařízení. Dosažitelná množina po navázání tunelu bývá menší než vnitřní síť budovy a specifická pro roli.

Proto může být role údržby vpuštěna na Wi-Fi jako všichni ostatní a přesto potřebovat tunel, aby dosáhla na správní podsíť. Rozhodnutí o Wi-Fi padlo na přístupovém bodě; toto se rozhoduje na bráně.

Obě fáze mohou být šifrované a přesto prosazovat nesouvisející politiky.

Kde se láme důvěra založená na poloze

Považovat kancelářskou síť za implicitně důvěryhodnou selhává z prostého důvodu: síťová poloha je vlastnost připojení, ne osoby. Pokyny NIST k nulové důvěře to říkají přímo, a proto se přístup k prostředkům rozhoduje na každý požadavek, ne na budovu. Kdo se připojí ke stejné SSID, zdědí stejnou polohu. Proto si kompromitovaný notebook v síti zaměstnanců zaslouží stejnou skepsi jako ten v hostovské síti.

Praktickým důsledkem je, že autorizace aplikací musí stále existovat. VPN, která přidělí celou podsíť, plus aplikace, která důvěřuje každému požadavku z této podsítě, je jeden přihlašovací údaj od špatného dne.

Ani jedna vrstva nenahrazuje druhou, protože odpovídají na otázky v různých rozsazích.

Jak poznat, zda si druhé přihlášení zaslouží své místo

Zeptejte se správce sítě na dvě věci: co se stane dosažitelným po připojení VPN a jaké podmínky identity nebo zařízení se kontrolují, aby to bylo povoleno? Potom odpovědi ověřte testováním toho, co skutečně odpovídá. Pokud tunel nemění ani dosažitelnost, ani záruku, může jít o provozní zvyk spíš než o kontrolu, a to je rozhodnutí pro správce, ne něco, co má uživatel obcházet.

Hledejte také nezamýšlené přímé cesty, protože prostředek dosažitelný bez tunelu dělá tunel ozdobným.

Zdokumentujte každou hranici a její účel a další člověk nebude muset hádat, proč existují dvě přihlášení.