Az irodai Wi-Fi-n, és mégis VPN-t kérnek? Ez az oka

A laptop a vállalati SSID-n van, a tanúsítványkérdést elfogadták, és egy webalkalmazás mégis a VPN-t kéri. Dupla munkának tűnik, és néha az is. A két bejelentkezés általában különböző döntéseket érvényesít, és az egyetlen módja annak eldöntésére, hogy a második megérdemli-e a helyét, ha megkérdezzük, mit változtat.

A hálózathoz csatlakozás befogadási döntés

Egy 802.1X-telepítés egyetlen kérdésre válaszol: csatlakozhat ehhez a hálózathoz ez az eszköz vagy felhasználó? A hozzáférési pont továbbítja a hitelesítő adatokat egy RADIUS-kiszolgálónak, és a válasz olyan attribútumokat hordozhat, amelyek egy adott VLAN-ba helyezik a munkamenetet, vagy szűrőt alkalmaznak. Ez befogadás és szegmentálás, nem pedig engedélyezés egy konkrét alkalmazás számára.

Amint a munkamenetet befogadják, a vezeték nélküli kapcsolat titkosítottá válik az ügyfél és a hozzáférési pont között. A védelem ott ér véget, a vezetékes hálózat peremén.

Minden, ami ezen a ponton túl van, közönséges forgalomirányítás az épületen belül, azzal a belső elérhetőséggel, amelyet a szegmens enged.

Mit véd valójában az EAP-TTLS

Az EAP-TTLS a hitelesítés során TLS-alagutat épít, és azon belül egy belső módszert futtat. A belső módszer gyakran a PAP, és jelenléte egy tervezésben nem jelenti azt, hogy a jelszó nyílt szövegként halad át a levegőn, mert a TLS-alagút az, ami szállítja. Az ügyfélnek továbbra is ellenőriznie kell a kiszolgáló identitását, és a megfelelő CA-ban kell megbíznia, és egy ismerős SSID nem ez az ellenőrzés. A belső módszer választását hitelesítőadat-formátumként olvassa, nem a külső titkosításról szóló kijelentésként.

Ez hitelesítési csere, nem adatalagút a laptop későbbi forgalma számára.

Amikor a hitelesítés véget ér, a TLS-alagút eltűnik, és az ügyfél csomagjai a befogadott szegmensen haladnak. A kettő összekeverése a gyökere annak a hitnek, hogy a Wi-Fi-titkosítás már elvégzi a VPN munkáját.

A VPN egy második, szűkebb döntés

A VPN más kérdésre válaszol: mely privát erőforrásokat érhet el ez az identitás, és milyen feltételekkel? Egy átjárónál végződik, amelynek saját szabályzata, saját identitásellenőrzései és gyakran saját követelményei vannak az eszköz állapotára. Az alagút felépülése után elérhető halmaz általában kisebb, mint az épület belső hálózata, és a szerepkörhöz igazodik.

Ezért egy karbantartási szerepkör ugyanúgy befogadható a Wi-Fi-re, mint bárki más, és mégis alagútra lehet szüksége egy felügyeleti alhálózat eléréséhez. A Wi-Fi-döntés a hozzáférési pontnál született; ez a döntés az átjárónál születik.

Mindkét szakasz lehet titkosított, és mégis egymástól független szabályzatokat érvényesíthet.

Hol törik meg a helyalapú bizalom

Az irodai hálózat hallgatólagos megbízhatónak tekintése egyszerű okból vall kudarcot: a hálózati hely a kapcsolat tulajdonsága, nem a személyé. A NIST nulla bizalomra vonatkozó iránymutatása ezt egyenesen kimondja, és ezért dől el az erőforrásokhoz való hozzáférés kérésenként, nem épületenként. Aki ugyanahhoz az SSID-hez csatlakozik, ugyanazt a helyet örökli. Ezért érdemel egy feltört laptop a munkatársak hálózatán ugyanannyi kételyt, mint egy a vendéghálózaton.

A gyakorlati következmény az, hogy az alkalmazásengedélyezésnek továbbra is léteznie kell. Egy VPN, amely egy egész alhálózatot ad, plusz egy alkalmazás, amely megbízik az abból az alhálózatból érkező minden kérésben, egy hitelesítő adatra van egy rossz naptól.

Egyik réteg sem helyettesíti a másikat, mert különböző hatókörökben válaszolnak kérdésekre.

Hogyan tudhatja meg, hogy a második bejelentkezés megérdemli-e a helyét

Kérdezze meg a hálózat tulajdonosától két dolgot: mi válik elérhetővé, miután a VPN csatlakozik, és milyen identitás- vagy eszközfeltételeket ellenőriznek az engedélyezéshez? Ezután ellenőrizze a válaszokat azzal, hogy teszteli, mi válaszol valójában. Ha az alagút sem az elérhetőségen, sem a biztosítékon nem változtat, lehet, hogy üzemeltetési szokás, nem pedig kontroll, és erről a tulajdonos dönt, nem pedig a felhasználónak kell megkerülnie.

Keressen nem szándékos közvetlen útvonalakat is, mert az alagút nélkül elérhető erőforrás dekoratívvá teszi az alagutat.

Dokumentálja minden határt és annak célját, és a következő embernek nem kell találgatnia, miért van két bejelentkezés.