Na Wi-Fi do escritório e ainda assim pedem a VPN? Eis porquê

O portátil está no SSID corporativo, o aviso do certificado foi aceite, e uma aplicação web continua a pedir a VPN. Parece trabalho duplo, e às vezes é. Os dois inícios de sessão impõem geralmente decisões diferentes, e a única forma de saber se o segundo merece o seu lugar é perguntar o que muda.

Juntar-se a uma rede é uma decisão de admissão

Uma implementação 802.1X responde a uma pergunta: pode este dispositivo ou utilizador ligar-se a esta rede? O ponto de acesso passa as credenciais a um servidor RADIUS, e a resposta pode transportar atributos que colocam a sessão numa determinada VLAN ou aplicam um filtro. Isso é admissão e segmentação, não autorização para uma aplicação específica.

Depois de a sessão ser admitida, a ligação sem fios é cifrada entre o cliente e o ponto de acesso. A proteção termina aí, na fronteira da rede com fios.

Tudo o que está para lá desse ponto é encaminhamento comum dentro do edifício, com a acessibilidade interna que o segmento permitir.

O que o EAP-TTLS protege realmente

O EAP-TTLS constrói um túnel TLS durante a autenticação e executa um método interno dentro dele. O método interno é frequentemente PAP, e a sua presença num projeto não significa que a palavra-passe atravesse o ar em texto simples, porque é o túnel TLS que a transporta. O cliente ainda tem de verificar a identidade do servidor e confiar na CA correta, e um SSID familiar não é essa verificação. Leia a escolha do método interno como um formato de credenciais, não como uma afirmação sobre a cifra exterior.

Isto é uma troca de autenticação, não um túnel de dados para o tráfego posterior do portátil.

Quando a autenticação termina, o túnel TLS desaparece e os pacotes do cliente viajam pelo segmento admitido. Confundir os dois é a raiz da crença de que a cifra Wi-Fi já faz o trabalho da VPN.

A VPN é uma segunda decisão, mais estreita

Uma VPN responde a outra pergunta: a que recursos privados pode esta identidade chegar, e em que condições? Termina numa passagem com política própria, verificações de identidade próprias e frequentemente requisitos próprios de estado do dispositivo. O conjunto alcançável depois de o túnel subir é geralmente menor do que a rede interna do edifício e específico da função.

É por isso que uma função de manutenção pode ser admitida na Wi-Fi como todos os outros e ainda assim precisar de um túnel para chegar a uma sub-rede de gestão. A decisão da Wi-Fi foi tomada no ponto de acesso; esta é tomada na passagem.

Ambas as fases podem estar cifradas e ainda assim impor políticas não relacionadas.

Onde a confiança baseada na localização quebra

Tratar a rede do escritório como implicitamente fidedigna falha por uma razão simples: a localização na rede é uma propriedade da ligação, não da pessoa. A orientação de confiança zero da NIST diz isso diretamente, e é por isso que o acesso aos recursos é decidido por pedido e não por edifício. Quem se junta ao mesmo SSID herda a mesma localização. Também por isso um portátil comprometido na rede do pessoal merece o mesmo cepticismo que um na rede de convidados.

A consequência prática é que a autorização de aplicações tem de continuar a existir. Uma VPN que concede toda uma sub-rede, mais uma aplicação que confia em qualquer pedido dessa sub-rede, está a uma credencial de um dia mau.

Nenhuma das camadas substitui a outra, porque respondem a perguntas em âmbitos diferentes.

Como saber se o segundo início de sessão merece o seu lugar

Pergunte ao proprietário da rede duas coisas: o que se torna alcançável depois de a VPN ligar, e que condições de identidade ou de dispositivo são verificadas para o permitir? Depois verifique as respostas testando o que responde na realidade. Se o túnel não muda nem o alcance nem a garantia, pode ser um hábito operacional e não um controlo, e essa é uma decisão do proprietário, não algo que um utilizador deva contornar.

Procure também caminhos diretos não intencionais, porque um recurso alcançável sem o túnel torna o túnel decorativo.

Documente cada fronteira e o seu propósito, e a pessoa seguinte não terá de adivinhar porque há dois inícios de sessão.