Na pisarniškem Wi-Fi in vseeno zahtevajo VPN? Tu je razlog

Prenosnik je v poslovnem SSID, poziv za potrdilo je bil sprejet, in spletna aplikacija še vedno zahteva VPN. To je videti kot dvojno delo, in včasih tudi je. Obe prijavi običajno uveljavljata različne odločitve, in edini način, da ugotovite, ali si druga zasluži svoje mesto, je vprašati, kaj spreminja.

Pridružitev omrežju je odločitev o sprejemu

Uvedba 802.1X odgovarja na eno vprašanje: se sme ta naprava ali uporabnik povezati s tem omrežjem? Dostopna točka posreduje poverilnice strežniku RADIUS, odgovor pa lahko nosi atribute, ki sejo postavijo v določen VLAN ali uporabijo filter. To je sprejem in segmentacija, ne avtorizacija za določeno aplikacijo.

Ko je seja sprejeta, je brezžična povezava med odjemalcem in dostopno točko šifrirana. Zaščita se tam konča, na robu žičnega omrežja.

Vse onkraj te točke je običajno usmerjanje znotraj stavbe, s tisto notranjo dosegljivostjo, ki jo segment dovoli.

Kaj EAP-TTLS v resnici ščiti

EAP-TTLS med preverjanjem pristnosti zgradi tunel TLS in v njem izvaja notranjo metodo. Notranja metoda je pogosto PAP, in njena pojavitev v zasnovi ne pomeni, da geslo potuje po zraku kot čisto besedilo, ker ga nosi prav tunel TLS. Odjemalec mora še vedno preveriti identiteto strežnika in zaupati pravi CA, in znan SSID ni to preverjanje. Izbiro notranje metode berite kot obliko poverilnic, ne kot trditev o zunanjem šifriranju.

To je izmenjava preverjanja pristnosti, ne podatkovni tunel za poznejši promet prenosnika.

Ko se preverjanje pristnosti konča, tunela TLS ni več in paketi odjemalca potujejo po sprejetem segmentu. Zamenjava teh dveh je koren prepričanja, da šifriranje Wi-Fi že opravlja delo VPN.

VPN je druga, ožja odločitev

VPN odgovarja na drugo vprašanje: do katerih zasebnih virov lahko ta identiteta dostopa in pod katerimi pogoji? Konča se na prehodu z lastno politiko, lastnimi preverjanji identitete in pogosto lastnimi zahtevami glede stanja naprave. Dosegljiva množica po dvigu tunela je običajno manjša od notranjega omrežja stavbe in značilna za vlogo.

Zato je lahko vzdrževalna vloga sprejeta v Wi-Fi kot vsi drugi, in vseeno potrebuje tunel, da doseže upravljalno podomrežje. Odločitev o Wi-Fi je bila sprejeta na dostopni točki; ta se sprejme na prehodu.

Obe stopnji sta lahko šifrirani in vseeno uveljavljata nepovezane politike.

Kje se zlomi zaupanje, ki temelji na lokaciji

Obravnavanje pisarniškega omrežja kot implicitno zaupanja vrednega spodleti iz preprostega razloga: omrežna lokacija je lastnost povezave, ne osebe. Smernice NIST o ničelnem zaupanju to povedo neposredno, in zato se dostop do virov odloča na zahtevo in ne na stavbo. Kdor se pridruži istemu SSID, podeduje isto lokacijo. Zato si ogrožen prenosnik v omrežju zaposlenih zasluži enako skeptičnost kot tisti v gostujočem omrežju.

Praktična posledica je, da mora avtorizacija aplikacij še vedno obstajati. VPN, ki dodeli celotno podomrežje, skupaj z aplikacijo, ki zaupa vsaki zahtevi iz tega podomrežja, je eno poverilnico oddaljen od slabega dneva.

Nobena od obeh plasti ne nadomesti druge, ker odgovarjata na vprašanja v različnih obsegih.

Kako ugotoviti, ali si druga prijava zasluži svoje mesto

Vprašajte lastnika omrežja dve stvari: kaj postane dosegljivo po povezavi VPN in kateri pogoji identitete ali naprave se preverjajo, da se to dovoli? Nato odgovore preverite s testiranjem, kaj se v resnici odziva. Če tunel ne spremeni niti dosegljivosti niti zagotovila, je morda operativna navada in ne nadzor, in to je odločitev lastnika, ne pa nekaj, kar naj bi uporabnik obšel.

Iščite tudi nenamerne neposredne poti, ker vir, dosegljiv brez tunela, naredi tunel dekorativen.

Dokumentirajte vsako mejo in njen namen, in naslednji osebi ne bo treba ugibati, zakaj sta dve prijavi.