Op de Wi-Fi van kantoor en toch om een VPN gevraagd? Dit is waarom

De laptop staat op de bedrijfs-SSID, de certificaatvraag is geaccepteerd, en een webapp vraagt nog steeds om de VPN. Het lijkt dubbel werk, en soms is het dat. De twee aanmeldingen dwingen meestal verschillende beslissingen af, en de enige manier om te weten of de tweede zijn plek verdient, is vragen wat hij verandert.

Toetreden tot een netwerk is een toelatingsbeslissing

Een 802.1X-implementatie beantwoordt één vraag: mag dit apparaat of deze gebruiker met dit netwerk verbinden? Het toegangspunt geeft de inloggegevens door aan een RADIUS-server, en het antwoord kan attributen bevatten die de sessie in een bepaald VLAN plaatsen of een filter toepassen. Dat is toelating en segmentering, geen autorisatie voor een specifieke toepassing.

Zodra de sessie is toegelaten, wordt de draadloze verbinding tussen de client en het toegangspunt versleuteld. De bescherming eindigt daar, aan de rand van het bekabelde netwerk.

Alles voorbij dat punt is gewone routering binnen het gebouw, met de interne bereikbaarheid die het segment toestaat.

Wat EAP-TTLS werkelijk beschermt

EAP-TTLS bouwt tijdens de authenticatie een TLS-tunnel en voert daarin een binnenmethode uit. De binnenmethode is vaak PAP, en het voorkomen ervan in een ontwerp betekent niet dat het wachtwoord als platte tekst door de lucht gaat, want de TLS-tunnel is wat het draagt. De client moet nog steeds de identiteit van de server verifiëren en de juiste CA vertrouwen, en een bekende SSID is die verificatie niet. Lees de keuze van binnenmethode als een formaat voor inloggegevens, niet als een uitspraak over de buitenste versleuteling.

Dit is een authenticatie-uitwisseling, geen datatunnel voor het latere verkeer van de laptop.

Wanneer de authenticatie klaar is, is de TLS-tunnel weg en reizen de pakketten van de client over het toegelaten segment. De twee verwarren is de wortel van de overtuiging dat Wi-Fi-versleuteling al het werk van de VPN doet.

De VPN is een tweede, smallere beslissing

Een VPN beantwoordt een andere vraag: welke privéresources mag deze identiteit bereiken, en onder welke voorwaarden? Hij eindigt op een gateway met eigen beleid, eigen identiteitscontroles en vaak eigen eisen aan de toestand van het apparaat. De bereikbare set na het opkomen van de tunnel is meestal kleiner dan het interne netwerk van het gebouw en specifiek voor de rol.

Daarom kan een onderhoudsrol net als iedereen tot de Wi-Fi worden toegelaten en toch een tunnel nodig hebben om een beheersubnet te bereiken. De Wi-Fi-beslissing is bij het toegangspunt genomen; deze wordt bij de gateway genomen.

Beide fasen kunnen versleuteld zijn en toch ongerelateerd beleid afdwingen.

Waar op locatie gebaseerd vertrouwen breekt

Het kantoornetwerk als impliciet vertrouwd behandelen mislukt om een eenvoudige reden: netwerklocatie is een eigenschap van de verbinding, niet van de persoon. De zero-trustrichtlijnen van NIST zeggen dat direct, en daarom wordt toegang tot resources per verzoek beslist en niet per gebouw. Wie lid wordt van dezelfde SSID, erft dezelfde locatie. Daarom verdient een gecompromitteerde laptop op het personeelsnetwerk hetzelfde wantrouwen als een op het gastnetwerk.

De praktische consequentie is dat applicatieautorisatie nog steeds moet bestaan. Een VPN die een heel subnet geeft, plus een applicatie die elk verzoek uit dat subnet vertrouwt, is één inloggegeven verwijderd van een slechte dag.

Geen van beide lagen vervangt de andere, omdat ze vragen op verschillende schalen beantwoorden.

Hoe u weet of de tweede aanmelding zijn plek verdient

Vraag de netwerkeigenaar twee dingen: wat bereikbaar wordt nadat de VPN verbindt, en welke identiteits- of apparaatvoorwaarden worden gecontroleerd om dat toe te staan? Verifieer de antwoorden vervolgens door te testen wat feitelijk reageert. Als de tunnel noch de bereikbaarheid noch de borging verandert, is het misschien operationele gewoonte in plaats van een controle, en dat is een beslissing van de eigenaar, niet iets wat een gebruiker moet omzeilen.

Zoek ook naar onbedoelde directe paden, want een resource die zonder de tunnel bereikbaar is, maakt de tunnel decoratief.

Documenteer elke grens en het doel ervan, en de volgende persoon hoeft niet te raden waarom er twee aanmeldingen zijn.