Di Wi-Fi kantor dan masih diminta VPN? Inilah alasannya

Laptop berada di SSID korporat, permintaan sertifikat sudah diterima, dan sebuah aplikasi web masih meminta VPN. Ini terlihat seperti pekerjaan ganda, dan kadang memang begitu. Kedua proses masuk biasanya memberlakukan keputusan yang berbeda, dan satu-satunya cara untuk mengetahui apakah yang kedua layak mendapat tempatnya adalah dengan bertanya apa yang diubahnya.

Bergabung ke jaringan adalah keputusan penerimaan

Penerapan 802.1X menjawab satu pertanyaan: bolehkah perangkat atau pengguna ini terhubung ke jaringan ini? Titik akses meneruskan kredensial ke server RADIUS, dan jawabannya dapat membawa atribut yang menempatkan sesi di VLAN tertentu atau menerapkan filter. Itu penerimaan dan segmentasi, bukan otorisasi untuk aplikasi tertentu.

Setelah sesi diterima, tautan nirkabel dienkripsi antara klien dan titik akses. Perlindungan berakhir di sana, di tepi jaringan kabel.

Semua yang di luar titik itu adalah perutean biasa di dalam gedung, dengan keterjangkauan internal yang diizinkan segmen tersebut.

Apa yang sebenarnya dilindungi EAP-TTLS

EAP-TTLS membangun terowongan TLS selama autentikasi dan menjalankan metode dalam di dalamnya. Metode dalam itu sering kali PAP, dan kemunculannya dalam sebuah desain tidak berarti kata sandi melintasi udara sebagai teks polos, karena terowongan TLS-lah yang membawanya. Klien tetap harus memverifikasi identitas server dan memercayai CA yang tepat, dan SSID yang familier bukanlah verifikasi itu. Bacalah pilihan metode dalam sebagai format kredensial, bukan sebagai pernyataan tentang enkripsi luar.

Ini adalah pertukaran autentikasi, bukan terowongan data untuk lalu lintas laptop selanjutnya.

Saat autentikasi selesai, terowongan TLS hilang dan paket klien bergerak melintasi segmen yang diterima. Mencampuradukkan keduanya adalah akar dari keyakinan bahwa enkripsi Wi-Fi sudah melakukan pekerjaan VPN.

VPN adalah keputusan kedua yang lebih sempit

VPN menjawab pertanyaan yang berbeda: sumber daya privat mana yang boleh dijangkau identitas ini, dan dengan syarat apa? VPN berakhir di gateway dengan kebijakan sendiri, pemeriksaan identitas sendiri, dan sering kali persyaratan postur perangkat sendiri. Himpunan yang terjangkau setelah terowongan naik biasanya lebih kecil daripada jaringan internal gedung dan khusus untuk peran tersebut.

Itulah sebabnya peran pemeliharaan dapat diterima di Wi-Fi seperti orang lain dan tetap memerlukan terowongan untuk menjangkau subnet manajemen. Keputusan Wi-Fi dibuat di titik akses; yang ini dibuat di gateway.

Kedua tahap dapat dienkripsi dan tetap memberlakukan kebijakan yang tidak saling terkait.

Di mana kepercayaan berbasis lokasi runtuh

Memperlakukan jaringan kantor sebagai tepercaya secara implisit gagal karena alasan sederhana: lokasi jaringan adalah sifat koneksi, bukan sifat orang. Panduan zero-trust NIST menyatakannya secara langsung, dan itulah sebabnya akses ke sumber daya diputuskan per permintaan, bukan per gedung. Siapa pun yang bergabung ke SSID yang sama mewarisi lokasi yang sama. Itu juga sebabnya laptop yang terkompromi di jaringan staf layak mendapat kecurigaan yang sama dengan laptop di jaringan tamu.

Konsekuensi praktisnya adalah otorisasi aplikasi tetap harus ada. VPN yang memberikan seluruh subnet, ditambah aplikasi yang memercayai setiap permintaan dari subnet itu, hanya berjarak satu kredensial dari hari yang buruk.

Tak satu pun dari kedua lapisan menggantikan yang lain, karena keduanya menjawab pertanyaan pada cakupan yang berbeda.

Cara mengetahui apakah proses masuk kedua layak mendapat tempatnya

Tanyakan kepada pemilik jaringan dua hal: apa yang menjadi terjangkau setelah VPN terhubung, dan kondisi identitas atau perangkat apa yang diperiksa untuk mengizinkannya? Lalu verifikasi jawabannya dengan menguji apa yang benar-benar merespons. Jika terowongan tidak mengubah keterjangkauan maupun jaminan, itu mungkin kebiasaan operasional dan bukan kontrol, dan itu keputusan pemilik, bukan sesuatu yang harus diakali pengguna.

Carilah juga jalur langsung yang tidak disengaja, karena sumber daya yang terjangkau tanpa terowongan membuat terowongan itu hanya hiasan.

Dokumentasikan setiap batas dan tujuannya, dan orang berikutnya tidak perlu menebak mengapa ada dua proses masuk.