ב-Wi-Fi של המשרד ובכל זאת מבקשים מכם VPN? הנה למה

המחשב הנייד נמצא על ה-SSID הארגוני, בקשת האישור נענתה, ואפליקציית ווב עדיין מבקשת את ה-VPN. זה נראה כמו עבודה כפולה, ולפעמים זה אכן כך. שתי הכניסות בדרך כלל אוכפות החלטות שונות, והדרך היחידה לדעת אם השנייה מצדיקה את מקומה היא לשאול מה היא משנה.

הצטרפות לרשת היא החלטת קבלה

פריסת 802.1X עונה על שאלה אחת: האם המכשיר או המשתמש הזה רשאי להתחבר לרשת הזו? נקודת הגישה מעבירה את פרטי הזיהוי לשרת RADIUS, והתשובה יכולה לשאת מאפיינים שממקמים את ההפעלה ב-VLAN מסוים או מחילים מסנן. זו קבלה ופילוח, לא הרשאה לאפליקציה מסוימת.

לאחר שההפעלה מתקבלת, הקישור האלחוטי מוצפן בין הלקוח לנקודת הגישה. ההגנה נגמרת שם, בקצה הרשת החוטית.

כל מה שמעבר לנקודה ההיא הוא ניתוב רגיל בתוך הבניין, עם הנגישות הפנימית שהפילוח מאפשר.

מה EAP-TTLS באמת מגן עליו

EAP-TTLS בונה מנהרת TLS במהלך האימות ומריץ בתוכה שיטה פנימית. השיטה הפנימית היא לעתים קרובות PAP, והופעתה בתכנון אינה אומרת שהסיסמה עוברת באוויר כטקסט גלוי, מפני שמנהרת ה-TLS היא שנושאת אותה. הלקוח עדיין חייב לאמת את זהות השרת ולסמוך על ה-CA הנכון, ו-SSID מוכר אינו האימות הזה. קראו את בחירת השיטה הפנימית כפורמט של פרטי זיהוי, לא כהצהרה על ההצפנה החיצונית.

זהו חילוף אימות, לא מנהרת נתונים לתעבורה המאוחרת של המחשב.

כשהאימות מסתיים, מנהרת ה-TLS נעלמת והחבילות של הלקוח עוברות על פני הפילוח שהתקבל. הערבוב בין השניים הוא שורש האמונה שהצפנת Wi-Fi כבר עושה את עבודת ה-VPN.

ה-VPN הוא החלטה שנייה וצרה יותר

VPN עונה על שאלה אחרת: לאילו משאבים פרטיים הזהות הזו רשאית להגיע, ובאילו תנאים? הוא מסתיים בשער עם מדיניות משלו, בדיקות זהות משלו ולעיתים קרובות דרישות משלו למצב המכשיר. הקבוצה הנגישה לאחר עליית המנהרה קטנה בדרך כלל מהרשת הפנימית של הבניין ומותאמת לתפקיד.

לכן תפקיד תחזוקה יכול להתקבל ל-Wi-Fi כמו כולם ועדיין להזדקק למנהרה כדי להגיע לתת-רשת ניהול. החלטת ה-Wi-Fi התקבלה בנקודת הגישה; זו מתקבלת בשער.

שני השלבים יכולים להיות מוצפנים ועדיין לאכוף מדיניות שאינה קשורה.

איפה אמון מבוסס מיקום נשבר

התייחסות לרשת המשרד כאל מהימנה מעצם היותה כזו נכשלת מסיבה פשוטה: מיקום ברשת הוא תכונה של החיבור, לא של האדם. הנחיות האמון-אפס של NIST אומרות זאת ישירות, ולכן הגישה למשאבים נקבעת לפי בקשה ולא לפי בניין. כל מי שמצטרף לאותו SSID יורש את אותו מיקום. גם משום כך מחשב נייד שנפרץ ברשת העובדים ראוי לאותה ספקנות כמו כזה שברשת האורחים.

ההשלכה המעשית היא שהרשאת אפליקציות חייבת עדיין להתקיים. VPN שמעניק תת-רשת שלמה, יחד עם אפליקציה שסומכת על כל בקשה מאותה תת-רשת, נמצא במרחק פרט זיהוי אחד מיום רע.

אף אחת משתי השכבות אינה מחליפה את האחרת, מפני שהן עונות על שאלות בהיקפים שונים.

איך לדעת אם הכניסה השנייה מצדיקה את מקומה

שאלו את בעל הרשת שני דברים: מה הופך לנגיש לאחר שה-VPN מתחבר, ואילו תנאי זהות או מכשיר נבדקים כדי לאפשר זאת? לאחר מכן אמתו את התשובות בכך שתבדקו מה באמת מגיב. אם המנהרה לא משנה לא נגישות ולא הבטחה, ייתכן שמדובר בהרגל תפעולי ולא בבקרה, וזו החלטה של הבעלים, לא משהו שמשתמש צריך לעקוף.

חפשו גם נתיבים ישירים לא מכוונים, מפני שמשאב שנגיש בלי המנהרה הופך את המנהרה לקישוט.

תעדו כל גבול ואת מטרתו, והאדם הבא לא יצטרך לנחש למה יש שתי כניסות.