Στο Wi-Fi του γραφείου και σας ζητούν ακόμα VPN; Να γιατί

Ο φορητός υπολογιστής είναι στο εταιρικό SSID, το αίτημα πιστοποιητικού έγινε δεκτό, και μια διαδικτυακή εφαρμογή ζητά ακόμα το VPN. Φαίνεται διπλή δουλειά, και μερικές φορές είναι. Οι δύο είσοδοι συνήθως επιβάλλουν διαφορετικές αποφάσεις, και ο μόνος τρόπος να μάθετε αν η δεύτερη αξίζει τη θέση της είναι να ρωτήσετε τι αλλάζει.

Η σύνδεση σε δίκτυο είναι απόφαση εισδοχής

Μια ανάπτυξη 802.1X απαντά σε ένα ερώτημα: επιτρέπεται σε αυτή τη συσκευή ή χρήστη να συνδεθεί σε αυτό το δίκτυο; Το σημείο πρόσβασης διαβιβάζει τα διαπιστευτήρια σε διακομιστή RADIUS, και η απάντηση μπορεί να φέρει χαρακτηριστικά που τοποθετούν τη συνεδρία σε συγκεκριμένο VLAN ή εφαρμόζουν φίλτρο. Αυτό είναι εισδοχή και κατάτμηση, όχι εξουσιοδότηση για κάποια συγκεκριμένη εφαρμογή.

Μόλις γίνει δεκτή η συνεδρία, η ασύρματη ζεύξη κρυπτογραφείται μεταξύ του πελάτη και του σημείου πρόσβασης. Η προστασία τελειώνει εκεί, στα όρια του ενσύρματου δικτύου.

Όλα πέρα από αυτό το σημείο είναι συνηθισμένη δρομολόγηση μέσα στο κτίριο, με όποια εσωτερική προσβασιμότητα επιτρέπει το τμήμα.

Τι προστατεύει πραγματικά το EAP-TTLS

Το EAP-TTLS χτίζει μια σήραγγα TLS κατά την ταυτοποίηση και εκτελεί μέσα της μια εσωτερική μέθοδο. Η εσωτερική μέθοδος είναι συχνά PAP, και η εμφάνισή της σε ένα σχέδιο δεν σημαίνει ότι ο κωδικός περνά στον αέρα ως απλό κείμενο, γιατί η σήραγγα TLS είναι αυτή που τον μεταφέρει. Ο πελάτης πρέπει ακόμα να επαληθεύσει την ταυτότητα του διακομιστή και να εμπιστευτεί το σωστό CA, και ένα οικείο SSID δεν είναι αυτή η επαλήθευση. Διαβάστε την επιλογή εσωτερικής μεθόδου ως μορφή διαπιστευτηρίων, όχι ως δήλωση για την εξωτερική κρυπτογράφηση.

Αυτή είναι μια ανταλλαγή ταυτοποίησης, όχι σήραγγα δεδομένων για την κατοπινή κίνηση του φορητού.

Όταν τελειώσει η ταυτοποίηση, η σήραγγα TLS εξαφανίζεται και τα πακέτα του πελάτη ταξιδεύουν πάνω από το τμήμα που έγινε δεκτό. Η σύγχυση των δύο είναι η ρίζα της πεποίθησης ότι η κρυπτογράφηση Wi-Fi κάνει ήδη τη δουλειά του VPN.

Το VPN είναι μια δεύτερη, στενότερη απόφαση

Ένα VPN απαντά σε άλλο ερώτημα: σε ποιους ιδιωτικούς πόρους μπορεί να φτάσει αυτή η ταυτότητα, και υπό ποιες προϋποθέσεις; Τερματίζεται σε μια πύλη με δική της πολιτική, δικούς της ελέγχους ταυτότητας και συχνά δικές της απαιτήσεις για την κατάσταση της συσκευής. Το προσβάσιμο σύνολο μετά την ανάπτυξη της σήραγγας είναι συνήθως μικρότερο από το εσωτερικό δίκτυο του κτιρίου και ειδικό για τον ρόλο.

Γι’ αυτό ένας ρόλος συντήρησης μπορεί να γίνει δεκτός στο Wi-Fi όπως όλοι και να χρειάζεται ακόμα σήραγγα για να φτάσει σε υποδίκτυο διαχείρισης. Η απόφαση για το Wi-Fi ελήφθη στο σημείο πρόσβασης· αυτή λαμβάνεται στην πύλη.

Και τα δύο στάδια μπορούν να είναι κρυπτογραφημένα και να επιβάλλουν άσχετες πολιτικές.

Πού καταρρέει η εμπιστοσύνη με βάση την τοποθεσία

Η αντιμετώπιση του δικτύου γραφείου ως σιωπηρά αξιόπιστου αποτυγχάνει για έναν απλό λόγο: η θέση στο δίκτυο είναι ιδιότητα της σύνδεσης, όχι του προσώπου. Η καθοδήγηση μηδενικής εμπιστοσύνης του NIST το λέει ευθέως, και γι’ αυτό η πρόσβαση σε πόρους αποφασίζεται ανά αίτημα και όχι ανά κτίριο. Όποιος συνδέεται στο ίδιο SSID κληρονομεί την ίδια θέση. Γι’ αυτό επίσης ένας παραβιασμένος φορητός στο δίκτυο προσωπικού αξίζει την ίδια δυσπιστία με έναν στο δίκτυο επισκεπτών.

Η πρακτική συνέπεια είναι ότι η εξουσιοδότηση εφαρμογών πρέπει να υπάρχει ακόμα. Ένα VPN που παρέχει ολόκληρο υποδίκτυο, μαζί με μια εφαρμογή που εμπιστεύεται κάθε αίτημα από αυτό το υποδίκτυο, απέχει ένα διαπιστευτήριο από μια κακή μέρα.

Κανένα από τα δύο στρώματα δεν αντικαθιστά το άλλο, γιατί απαντούν σε ερωτήματα σε διαφορετικές κλίμακες.

Πώς να καταλάβετε αν η δεύτερη είσοδος αξίζει τη θέση της

Ρωτήστε τον ιδιοκτήτη του δικτύου δύο πράγματα: τι γίνεται προσβάσιμο αφού συνδεθεί το VPN, και ποιες συνθήκες ταυτότητας ή συσκευής ελέγχονται για να επιτραπεί; Έπειτα επαληθεύστε τις απαντήσεις δοκιμάζοντας τι πραγματικά αποκρίνεται. Αν η σήραγγα δεν αλλάζει ούτε την προσβασιμότητα ούτε τη διασφάλιση, μπορεί να είναι λειτουργική συνήθεια παρά έλεγχος, και αυτό είναι απόφαση του ιδιοκτήτη, όχι κάτι που πρέπει να παρακάμπτει ένας χρήστης.

Αναζητήστε επίσης ακούσια άμεσα μονοπάτια, γιατί ένας πόρος προσβάσιμος χωρίς τη σήραγγα κάνει τη σήραγγα διακοσμητική.

Τεκμηριώστε κάθε όριο και τον σκοπό του, και ο επόμενος δεν θα χρειαστεί να μαντέψει γιατί υπάρχουν δύο είσοδοι.