Na firemnej Wi-Fi, a napriek tomu žiadajú VPN? Tu je dôvod

Notebook je na firemnom SSID, výzva na certifikát bola prijatá, a webová aplikácia napriek tomu žiada VPN. Vyzerá to ako dvojitá práca, a niekedy to tak je. Obe prihlásenia zvyčajne presadzujú rôzne rozhodnutia, a jediný spôsob, ako zistiť, či si to druhé zaslúži svoje miesto, je opýtať sa, čo mení.

Pripojenie k sieti je rozhodnutie o vpustení

Nasadenie 802.1X odpovedá na jednu otázku: smie sa toto zariadenie alebo používateľ pripojiť k tejto sieti? Prístupový bod odovzdá prihlasovacie údaje serveru RADIUS a odpoveď môže niesť atribúty, ktoré zaradia reláciu do určitej VLAN alebo uplatnia filter. To je vpustenie a segmentácia, nie autorizácia pre konkrétnu aplikáciu.

Keď je relácia vpustená, bezdrôtové spojenie je šifrované medzi klientom a prístupovým bodom. Ochrana tam končí, na okraji drôtovej siete.

Všetko za týmto bodom je bežné smerovanie vnútri budovy, s takou vnútornou dosiahnuteľnosťou, akú segment dovolí.

Čo EAP-TTLS skutočne chráni

EAP-TTLS počas autentizácie stavia tunel TLS a vnútri neho spúšťa vnútornú metódu. Vnútornou metódou býva často PAP a jej výskyt v návrhu neznamená, že heslo letí vzduchom ako čistý text, pretože ho nesie práve tunel TLS. Klient stále musí overiť identitu servera a dôverovať správnej CA, a známe SSID tým overením nie je. Voľbu vnútornej metódy čítajte ako formát prihlasovacích údajov, nie ako tvrdenie o vonkajšom šifrovaní.

Toto je autentizačná výmena, nie dátový tunel pre neskoršiu prevádzku notebooku.

Keď sa autentizácia skončí, tunel TLS zmizne a pakety klienta putujú vpusteným segmentom. Zámena týchto dvoch je koreňom viery, že šifrovanie Wi-Fi už robí prácu VPN.

VPN je druhé, užšie rozhodnutie

VPN odpovedá na inú otázku: ku ktorým súkromným prostriedkom sa táto identita smie dostať a za akých podmienok? Končí na bráne s vlastnou politikou, vlastnými kontrolami identity a často vlastnými požiadavkami na stav zariadenia. Dostupná množina po nadviazaní tunela je zvyčajne menšia než vnútorná sieť budovy a špecifická pre rolu.

Preto môže byť rola údržby vpustená na Wi-Fi ako všetci ostatní a napriek tomu potrebuje tunel, aby dosiahla na správcovskú podsieť. Rozhodnutie o Wi-Fi padlo na prístupovom bode; toto sa rozhoduje na bráne.

Obe fázy môžu byť šifrované a napriek tomu presadzovať nesúvisiace politiky.

Kde sa láme dôvera založená na polohe

Považovať kancelársku sieť za implicitne dôveryhodnú zlyháva z jednoduchého dôvodu: sieťová poloha je vlastnosť pripojenia, nie osoby. Usmernenia NIST k nulovej dôvere to hovoria priamo, a preto sa prístup k prostriedkom rozhoduje na každú požiadavku, nie na budovu. Kto sa pripojí k tej istej SSID, zdedí rovnakú polohu. Preto si kompromitovaný notebook v sieti zamestnancov zaslúži rovnakú skepsu ako ten v hostiteľskej sieti.

Praktickým dôsledkom je, že autorizácia aplikácií musí stále existovať. VPN, ktorá pridelí celú podsieť, plus aplikácia, ktorá dôveruje každej požiadavke z tejto podsiete, je jeden prihlasovací údaj od zlého dňa.

Ani jedna vrstva nenahrádza druhú, pretože odpovedajú na otázky v rôznych rozsahoch.

Ako zistiť, či si druhé prihlásenie zaslúži svoje miesto

Opýtajte sa správcu siete na dve veci: čo sa stane dostupným po pripojení VPN a aké podmienky identity alebo zariadenia sa kontrolujú, aby to bolo povolené? Potom odpovede overte testovaním toho, čo skutočne odpovedá. Ak tunel nemení ani dostupnosť, ani záruku, môže ísť o prevádzkový zvyk a nie o kontrolu, a to je rozhodnutie pre správcu, nie niečo, čo má používateľ obchádzať.

Hľadajte aj neúmyselné priame cesty, pretože prostriedok dostupný bez tunela robí tunel ozdobným.

Zdokumentujte každú hranicu a jej účel, a ďalší človek nebude musieť hádať, prečo existujú dve prihlásenia.