Di Wi-Fi pejabat dan masih diminta VPN? Inilah sebabnya

Komputer riba berada pada SSID korporat, gesaan sijil telah diterima, dan aplikasi web masih meminta VPN. Ini kelihatan seperti kerja berganda, dan kadangkala memang begitu. Kedua-dua log masuk biasanya menguatkuasakan keputusan yang berbeza, dan satu-satunya cara untuk mengetahui sama ada yang kedua berbaloi dengan tempatnya ialah bertanya apa yang diubahnya.

Menyertai rangkaian ialah keputusan kemasukan

Pelaksanaan 802.1X menjawab satu soalan: bolehkah peranti atau pengguna ini menyambung ke rangkaian ini? Titik akses menyerahkan kelayakan kepada pelayan RADIUS, dan jawapannya boleh membawa atribut yang meletakkan sesi dalam VLAN tertentu atau menggunakan penapis. Itu kemasukan dan segmentasi, bukan kebenaran untuk mana-mana aplikasi tertentu.

Setelah sesi diterima, pautan tanpa wayar disulitkan antara klien dan titik akses. Perlindungan berakhir di situ, di tepi rangkaian berwayar.

Segala-galanya di luar titik itu ialah penghalaan biasa di dalam bangunan, dengan capaian dalaman yang dibenarkan oleh segmen itu.

Apa yang sebenarnya dilindungi oleh EAP-TTLS

EAP-TTLS membina terowong TLS semasa pengesahan dan menjalankan kaedah dalaman di dalamnya. Kaedah dalaman selalunya PAP, dan kemunculannya dalam sesuatu reka bentuk tidak bermakna kata laluan melintasi udara sebagai teks biasa, kerana terowong TLS-itulah yang membawanya. Klien masih perlu mengesahkan identiti pelayan dan mempercayai CA yang betul, dan SSID yang biasa bukanlah pengesahan itu. Baca pilihan kaedah dalaman sebagai format kelayakan, bukan sebagai kenyataan tentang penyulitan luar.

Ini ialah pertukaran pengesahan, bukan terowong data untuk trafik komputer riba yang kemudian.

Apabila pengesahan tamat, terowong TLS hilang dan paket klien bergerak merentasi segmen yang diterima. Mengelirukan kedua-duanya ialah punca kepercayaan bahawa penyulitan Wi-Fi sudah melakukan kerja VPN.

VPN ialah keputusan kedua yang lebih sempit

VPN menjawab soalan yang berbeza: sumber persendirian manakah yang boleh dicapai oleh identiti ini, dan dalam keadaan apa? Ia berakhir pada gateway dengan dasar sendiri, pemeriksaan identiti sendiri dan selalunya keperluan postur peranti sendiri. Set yang boleh dicapai selepas terowong naik biasanya lebih kecil daripada rangkaian dalaman bangunan dan khusus untuk peranan itu.

Itulah sebabnya peranan penyelenggaraan boleh diterima masuk ke Wi-Fi seperti orang lain dan masih memerlukan terowong untuk mencapai subrangkaian pengurusan. Keputusan Wi-Fi dibuat di titik akses; keputusan ini dibuat di gateway.

Kedua-dua peringkat boleh disulitkan dan masih menguatkuasakan dasar yang tidak berkaitan.

Di mana kepercayaan berasaskan lokasi runtuh

Menganggap rangkaian pejabat sebagai boleh dipercayai secara tersirat gagal atas sebab yang mudah: lokasi rangkaian ialah sifat sambungan, bukan sifat orang. Panduan kepercayaan sifar NIST menyatakannya secara langsung, dan itulah sebabnya akses kepada sumber diputuskan setiap permintaan, bukan setiap bangunan. Sesiapa yang menyertai SSID yang sama mewarisi lokasi yang sama. Itulah juga sebabnya komputer riba yang terjejas pada rangkaian kakitangan wajar menerima keraguan yang sama seperti yang berada pada rangkaian tetamu.

Kesannya secara praktikal ialah kebenaran aplikasi masih perlu wujud. VPN yang memberikan seluruh subrangkaian, ditambah aplikasi yang mempercayai setiap permintaan daripada subrangkaian itu, hanya satu kelayakan daripada hari yang buruk.

Tiada satu lapisan pun menggantikan yang lain, kerana kedua-duanya menjawab soalan pada skop yang berbeza.

Cara mengetahui sama ada log masuk kedua berbaloi dengan tempatnya

Tanya pemilik rangkaian dua perkara: apa yang menjadi boleh dicapai selepas VPN disambung, dan syarat identiti atau peranti manakah yang diperiksa untuk membenarkannya? Kemudian sahkan jawapannya dengan menguji apa yang sebenarnya bertindak balas. Jika terowong itu tidak mengubah capaian mahupun jaminan, ia mungkin kebiasaan operasi dan bukannya kawalan, dan itu keputusan pemilik, bukan sesuatu yang pengguna patut elakkan.

Cari juga laluan langsung yang tidak diingini, kerana sumber yang boleh dicapai tanpa terowong menjadikan terowong itu hiasan.

Dokumenkan setiap sempadan dan tujuannya, dan orang seterusnya tidak perlu meneka mengapa terdapat dua log masuk.