Bulegoko Wi-Fi-n eta oraindik VPN eskatzen dizute? Hau da arrazoia

Eramangarria enpresako SSID-an dago, ziurtagiriaren eskaera onartu da, eta web aplikazio batek oraindik VPN eskatzen du. Lan bikoitza dirudi, eta batzuetan hala da. Bi saio-hasierak normalean erabaki desberdinak betearazten dituzte, eta bigarrenak bere lekua merezi duen jakiteko modu bakarra zer aldatzen duen galdetzea da.

Sare batean sartzea onarpen-erabakia da

802.1X inplementazio batek galdera bati erantzuten dio: gailu edo erabiltzaile hau sare honetara konekta daiteke? Sarbide-puntuak kredentzialak RADIUS zerbitzarira pasatzen ditu, eta erantzunak sesioa VLAN jakin batean jartzen duen edo iragazki bat aplikatzen duen atributuak eraman ditzake. Hori onarpena eta segmentazioa da, ez aplikazio jakin baterako baimena.

Saioa onartu ondoren, haririk gabeko esteka bezeroaren eta sarbide-puntuaren artean zifratzen da. Babesa hor amaitzen da, kable bidezko sarearen ertzean.

Puntu horretatik aurrera eraikinaren barruko bideratze arrunta da, segmentuak uzten duen barneko irisgarritasunarekin.

Zer babesten du EAP-TTLS-ek benetan

EAP-TTLS autentifikazioan TLS tunel bat eraikitzen du eta bertan barne-metodo bat exekutatzen du. Barne-metodoa sarritan PAP izan ohi da, eta diseinu batean agertzeak ez du esan nahi pasahitzak airea testu argitan zeharkatzen duenik, TLS tunelak eramaten baitu. Bezeroak zerbitzariaren identitatea egiaztatu eta CA egokian fidatu behar du oraindik, eta SSID ezaguna ez da egiaztapen hori. Irakurri barne-metodoaren hautaketa kredentzialen formatu gisa, kanpoko zifratzeari buruzko adierazpen gisa beharrean.

Hau autentifikazio-trukea da, ez datu-tunela eramangarriaren geroagoko trafikoarentzat.

Autentifikazioa amaitzean, TLS tunela desagertu egiten da eta bezeroaren paketeak onartutako segmentutik zehar joaten dira. Biak nahastea Wi-Fi zifratzeak dagoeneko VPN-aren lana egiten duen ustearen sustraia da.

VPN bigarren erabaki estuagoa da

VPN-ak beste galdera bati erantzuten dio: zein baliabide pribatutara irits daiteke identitate hau, eta zein baldintzatan? Bere politika propioa, identitate-egiaztapen propioak eta sarritan gailuaren egoerarekiko baldintza propioak dituen atebide batean amaitzen da. Tunela altxatu ondoren irisgarria den multzoa eraikinaren barne-sarea baino txikiagoa izan ohi da eta rolaren araberakoa.

Horregatik mantentze-rol bat Wi-Fi-ra onar daiteke beste guztiek bezala, eta hala ere tunel bat behar du kudeaketa-azpisare batera iristeko. Wi-Fi-ren erabakia sarbide-puntuan hartu zen; hau atebidean hartzen da.

Bi etapa zifratuta egon daitezke eta hala ere elkarrekin zerikusirik ez duten politikak betearazi.

Non hausten den kokapenean oinarritutako konfiantza

Bulegoko sarea berez fidagarritzat hartzeak huts egiten du arrazoi sinple batengatik: sare-kokapena konexioaren ezaugarria da, ez pertsonarena. NIST-en zero-trust gidalerroek zuzenean diote hori, eta horregatik erabakitzen da baliabideetarako sarbidea eskaeraz eskaera, ez eraikinez eraikin. SSID berera batzen den edonork kokapen bera heredatzen du. Horregatik ere langileen sarean konprometitutako eramangarri batek bisitarien sarean dagoen beste zalantza bera merezi du.

Ondorio praktikoa da aplikazioen baimenak oraindik egon behar duela. Azpisare oso bat ematen duen VPN batek, azpisare horretako edozein eskaeretan fidatzen den aplikazio batekin, kredentzial bat falta du egun txar batetik.

Bi geruzetako batek ez du bestea ordezkatzen, galderak esparru desberdinetan erantzuten baitituzte.

Nola jakin bigarren saio-hasierak bere lekua merezi duen

Galdetu sarearen jabea bi gauzari buruz: zer bihurtzen da irisgarria VPN-a konektatu ondoren, eta zein identitate- edo gailu-baldintza egiaztatzen dira hori baimena emateko? Egiaztatu erantzunak, benetan zer erantzuten duen probatuz. Tunelak ez badu irisgarritasuna ezta bermea aldatzen, ziurrenik ohitura operatiboa da, kontrol bat baino gehiago, eta hori jabearen erabakia da, erabiltzaileak saihestu beharko lukeen zerbait baino.

Bilatu ustekabeko bide zuzenak ere, tunelik gabe irisgarria den baliabide batek tunela apaingarri egiten baitu.

Dokumentatu muga bakoitza eta haren helburua, eta hurrengo pertsonak ez du asmatu beharko zergatik dauden bi saio-hasiera.