Biuro „Wi-Fi“ tinkle, o vis tiek prašoma VPN? Štai kodėl

Nešiojamasis kompiuteris yra įmonės SSID tinkle, sertifikato užklausa priimta, o žiniatinklio programėlė vis tiek prašo VPN. Tai atrodo kaip dvigubas darbas, ir kartais taip ir yra. Du prisijungimai paprastai įgyvendina skirtingus sprendimus, o vienintelis būdas sužinoti, ar antrasis vertas savo vietos, yra paklausti, ką jis keičia.

Prisijungimas prie tinklo yra priėmimo sprendimas

802.1X diegimas atsako į vieną klausimą: ar šis įrenginys ar naudotojas gali prisijungti prie šio tinklo? Prieigos taškas perduoda kredencialus RADIUS serveriui, o atsakymas gali turėti atributų, kurie sesiją patalpina į tam tikrą VLAN arba pritaiko filtrą. Tai priėmimas ir segmentavimas, o ne autorizacija konkrečiai programėlei.

Kai sesija priimama, belaidis ryšys tarp kliento ir prieigos taško užšifruojamas. Apsauga baigiasi ten, laidinio tinklo pakraštyje.

Viskas už to taško yra įprastas maršrutizavimas pastato viduje, su tuo vidiniu pasiekiamumu, kurį leidžia segmentas.

Ką EAP-TTLS iš tikrųjų saugo

EAP-TTLS autentifikavimo metu sukuria TLS tunelį ir jame vykdo vidinį metodą. Vidinį metodą dažnai sudaro PAP, o jo atsiradimas projekte nereiškia, kad slaptažodis keliauja oru atviru tekstu, nes jį neša būtent TLS tunelis. Klientas vis tiek turi patikrinti serverio tapatybę ir pasitikėti tinkamu CA, o pažįstamas SSID nėra tas patikrinimas. Vidinio metodo pasirinkimą skaitykite kaip kredencialų formatą, o ne kaip teiginį apie išorinį šifravimą.

Tai autentifikavimo mainai, o ne duomenų tunelis vėlesniam nešiojamojo kompiuterio srautui.

Kai autentifikavimas baigiasi, TLS tunelio nebėra, o kliento paketai keliauja priimtu segmentu. Šių dviejų painiojimas yra įsitikinimo, kad „Wi-Fi“ šifravimas jau atlieka VPN darbą, šaknis.

VPN yra antras, siauresnis sprendimas

VPN atsako į kitą klausimą: kuriuos privačius išteklius ši tapatybė gali pasiekti ir kokiomis sąlygomis? Jis baigiasi šliuzo, turinčio savo politiką, savo tapatybės patikras ir dažnai savo reikalavimus įrenginio būsenai, lygmenyje. Pasiekiama aibė po tunelio pakėlimo paprastai būna mažesnė nei pastato vidinis tinklas ir būdinga konkrečiam vaidmeniui.

Štai kodėl priežiūros vaidmuo gali būti priimtas į „Wi-Fi“ kaip visi kiti, o vis tiek jam reikia tunelio, kad pasiektų administravimo potinklį. „Wi-Fi“ sprendimas priimtas prieigos taške; šis sprendimas priimamas šliuze.

Abu etapai gali būti užšifruoti ir vis tiek vykdyti nesusijusias politikas.

Kur lūžta vieta paremtas pasitikėjimas

Biuro tinklo laikymas savaime patikimu žlunga dėl paprastos priežasties: vieta tinkle yra ryšio savybė, o ne žmogaus. NIST nulinio pasitikėjimo gairės tai sako tiesiogiai, ir todėl prieiga prie išteklių sprendžiama kiekvienai užklausai, o ne kiekvienam pastatui. Kas prisijungia prie to paties SSID, paveldi tą pačią vietą. Todėl kompromituotas nešiojamasis kompiuteris darbuotojų tinkle nusipelno tokio pat skepticizmo kaip ir svečių tinkle esantis.

Praktinė pasekmė yra ta, kad programėlių autorizacija vis tiek turi egzistuoti. VPN, suteikiantis visą potinklį, kartu su programėle, kuri pasitiki kiekviena užklausa iš to potinklio, yra vieno kredencialo atstumu nuo blogos dienos.

Nė vienas sluoksnis nepakeičia kito, nes jie atsako į skirtingos apimties klausimus.

Kaip suprasti, ar antrasis prisijungimas vertas savo vietos

Paklauskite tinklo savininko dviejų dalykų: kas tampa pasiekiama po to, kai VPN prisijungia, ir kokios tapatybės ar įrenginio sąlygos tikrinamos, kad tai būtų leista? Tada patikrinkite atsakymus išbandydami, kas iš tikrųjų atsako. Jei tunelis nekeičia nei pasiekiamumo, nei garantijos, tai gali būti veiklos įprotis, o ne kontrolė, ir tai yra savininko sprendimas, o ne kažkas, ką naudotojas turėtų apeiti.

Taip pat ieškokite netyčinių tiesioginių kelių, nes išteklius, pasiekiamas be tunelio, daro tunelį dekoratyvų.

Dokumentuokite kiekvieną ribą ir jos paskirtį, ir kitam žmogui nereikės spėlioti, kodėl yra du prisijungimai.