Pe Wi-Fi-ul biroului și totuși ți se cere VPN? Iată de ce

Laptopul este pe SSID-ul corporativ, solicitarea de certificat a fost acceptată, iar o aplicație web cere în continuare VPN-ul. Pare muncă dublă, și uneori chiar este. Cele două autentificări impun de obicei decizii diferite, iar singura cale de a afla dacă a doua își merită locul este să întrebi ce anume schimbă.

A te alătura unei rețele este o decizie de admitere

O implementare 802.1X răspunde la o singură întrebare: are voie acest dispozitiv sau utilizator să se conecteze la această rețea? Punctul de acces transmite acreditările către un server RADIUS, iar răspunsul poate purta atribute care așază sesiunea într-un anumit VLAN sau aplică un filtru. Aceasta este admitere și segmentare, nu autorizare pentru o anumită aplicație.

După ce sesiunea este admisă, legătura wireless este criptată între client și punctul de acces. Protecția se termină acolo, la marginea rețelei cu cablu.

Tot ce se află dincolo de acel punct este rutare obișnuită în interiorul clădirii, cu accesibilitatea internă pe care o permite segmentul.

Ce protejează de fapt EAP-TTLS

EAP-TTLS construiește un tunel TLS în timpul autentificării și rulează în el o metodă interioară. Metoda interioară este adesea PAP, iar prezența ei într-un proiect nu înseamnă că parola trece prin aer ca text clar, pentru că tunelul TLS este cel care o transportă. Clientul tot trebuie să verifice identitatea serverului și să aibă încredere în CA-ul corect, iar un SSID familiar nu este acea verificare. Citește alegerea metodei interioare ca pe un format de acreditări, nu ca pe o afirmație despre criptarea exterioară.

Acesta este un schimb de autentificare, nu un tunel de date pentru traficul ulterior al laptopului.

Când autentificarea se termină, tunelul TLS dispare, iar pachetele clientului circulă pe segmentul admis. Confundarea celor două este rădăcina convingerii că criptarea Wi-Fi face deja treaba VPN-ului.

VPN-ul este o a doua decizie, mai îngustă

Un VPN răspunde la o altă întrebare: la ce resurse private poate ajunge această identitate și în ce condiții? Se termină la o poartă cu propria politică, propriile verificări de identitate și adesea propriile cerințe privind starea dispozitivului. Mulțimea accesibilă după ridicarea tunelului este de obicei mai mică decât rețeaua internă a clădirii și specifică rolului.

De aceea un rol de întreținere poate fi admis pe Wi-Fi ca oricine altcineva și totuși are nevoie de un tunel pentru a ajunge la o subrețea de administrare. Decizia privind Wi-Fi a fost luată la punctul de acces; aceasta se ia la poartă.

Ambele etape pot fi criptate și totuși pot impune politici fără legătură între ele.

Unde se rupe încrederea bazată pe locație

Tratarea rețelei biroului ca implicit de încredere eșuează dintr-un motiv simplu: locația în rețea este o proprietate a conexiunii, nu a persoanei. Ghidul de încredere zero al NIST spune asta direct, și de aceea accesul la resurse se decide pe cerere, nu pe clădire. Oricine se alătură aceluiași SSID moștenește aceeași locație. De aceea un laptop compromis în rețeaua personalului merită aceeași suspiciune ca unul din rețeaua oaspeților.

Consecința practică este că autorizarea aplicațiilor trebuie să existe în continuare. Un VPN care acordă o întreagă subrețea, plus o aplicație care are încredere în orice cerere din acea subrețea, este la o acreditare distanță de o zi proastă.

Niciunul dintre cele două straturi nu îl înlocuiește pe celălalt, pentru că răspund la întrebări la scări diferite.

Cum afli dacă a doua autentificare își merită locul

Întreabă proprietarul rețelei două lucruri: ce devine accesibil după ce VPN-ul se conectează și ce condiții de identitate sau de dispozitiv sunt verificate pentru a permite asta? Apoi verifică răspunsurile testând ce răspunde de fapt. Dacă tunelul nu schimbă nici accesibilitatea, nici garanția, poate fi un obicei operațional și nu un control, iar asta este o decizie a proprietarului, nu ceva ce un utilizator ar trebui să ocolească.

Caută și căi directe nedorite, pentru că o resursă accesibilă fără tunel face tunelul decorativ.

Documentează fiecare graniță și scopul ei, iar următoarea persoană nu va trebui să ghicească de ce există două autentificări.