På kontorets Wi-Fi og stadig bedt om en VPN? Her er hvorfor

Bærbaren er på virksomhedens SSID, certifikatprompten blev accepteret, og en webapp beder stadig om VPN’en. Det ligner dobbeltarbejde, og nogle gange er det det. De to logins håndhæver normalt forskellige beslutninger, og den eneste måde at vide, om det andet gør sig fortjent til sin plads, er at spørge, hvad det ændrer.

At tilslutte sig et netværk er en adgangsbeslutning

En 802.1X-udrulning besvarer ét spørgsmål: må denne enhed eller bruger koble sig til dette netværk? Adgangspunktet sender legitimationsoplysningerne videre til en RADIUS-server, og svaret kan bære attributter, der placerer sessionen i en bestemt VLAN eller anvender et filter. Det er adgang og segmentering, ikke autorisation for en bestemt applikation.

Når sessionen er optaget, er den trådløse forbindelse krypteret mellem klienten og adgangspunktet. Beskyttelsen slutter der, ved kanten af det kablede netværk.

Alt ud over det punkt er almindelig routing inde i bygningen, med den interne tilgængelighed, som segmentet tillader.

Hvad EAP-TTLS egentlig beskytter

EAP-TTLS bygger en TLS-tunnel under autentificeringen og kører en indre metode inde i den. Den indre metode er ofte PAP, og dens optræden i et design betyder ikke, at adgangskoden går gennem luften som klartekst, fordi det er TLS-tunnelen, der bærer den. Klienten skal stadig verificere serverens identitet og stole på den rigtige CA, og en velkendt SSID er ikke den verifikation. Læs valget af indre metode som et format for legitimationsoplysninger, ikke som en erklæring om den ydre kryptering.

Dette er en autentificeringsudveksling, ikke en datatunnel til bærbarens senere trafik.

Når autentificeringen er færdig, er TLS-tunnelen væk, og klientens pakker rejser over det optagne segment. At forveksle de to er roden til troen på, at Wi-Fi-kryptering allerede gør VPN’ens arbejde.

VPN’en er en anden, snævrere beslutning

En VPN besvarer et andet spørgsmål: hvilke private ressourcer må denne identitet nå, og under hvilke betingelser? Den terminerer ved en gateway med egen politik, egne identitetskontroller og ofte egne krav til enhedens tilstand. Det nåbare sæt, når tunnelen er oppe, er normalt mindre end bygningens interne netværk og specifikt for rollen.

Det er derfor en vedligeholdelsesrolle kan optages på Wi-Fi som alle andre og stadig have brug for en tunnel for at nå et administrationssubnet. Wi-Fi-beslutningen blev truffet ved adgangspunktet; denne træffes ved gatewayen.

Begge trin kan være krypterede og stadig håndhæve uafhængige politikker.

Hvor tillid baseret på placering bryder sammen

At behandle kontornetværket som implicit troværdigt fejler af en simpel grund: netværksplacering er en egenskab ved forbindelsen, ikke ved personen. NISTs zero-trust-vejledning siger det direkte, og det er derfor, adgang til ressourcer afgøres for hver anmodning og ikke for hver bygning. Enhver, der tilslutter sig den samme SSID, arver samme placering. Det er også derfor, en kompromitteret bærbar på medarbejdernetværket fortjener samme skepsis som en på gæstenetværket.

Den praktiske konsekvens er, at applikationsautorisation stadig skal findes. En VPN, der giver et helt subnet, plus en applikation, der stoler på enhver anmodning fra det subnet, er én legitimationsoplysning fra en dårlig dag.

Ingen af lagene erstatter det andet, fordi de besvarer spørgsmål i forskellige omfang.

Sådan afgør du, om det andet login gør sig fortjent til sin plads

Spørg netværksejeren om to ting: hvad bliver nåbart, efter at VPN’en forbinder, og hvilke identitets- eller enhedsbetingelser kontrolleres for at tillade det? Verificér derefter svarene ved at teste, hvad der faktisk svarer. Hvis tunnelen hverken ændrer tilgængelighed eller sikkerhed, kan det være operationel vane snarere end en kontrol, og det er en beslutning for ejeren, ikke noget en bruger bør gå uden om.

Se også efter utilsigtede direkte veje, fordi en ressource, der er nåbar uden tunnelen, gør tunnelen dekorativ.

Dokumentér hver grænse og dens formål, så skal den næste person ikke gætte på, hvorfor der er to logins.