На канцеларијском Wi-Fi-ју, а ипак траже VPN? Ево зашто

Лаптоп је на корпоративном SSID-ју, захтев за сертификат је прихваћен, а веб апликација ипак тражи VPN. Ово изгледа као двоструки посао, и понекад јесте. Две пријаве обично спроводе различите одлуке, и једини начин да се зна да ли друга заслужује своје место је да се пита шта она мења.

Придруживање мрежи је одлука о пријему

Поставка 802.1X одговара на једно питање: сме ли овај уређај или корисник да се повеже на ову мрежу? Приступна тачка прослеђује акредитиве RADIUS серверу, а одговор може да носи атрибуте који сесију смештају у одређени VLAN или примењују филтер. То је пријем и сегментација, а не ауторизација за одређену апликацију.

Када се сесија прихвати, бежична веза је шифрирана између клијента и приступне тачке. Заштита се ту завршава, на ивици жичне мреже.

Све иза те тачке је обично усмеравање унутар зграде, са оном унутрашњом достижношћу коју сегмент дозвољава.

Шта EAP-TTLS заиста штити

EAP-TTLS гради TLS тунел током аутентификације и унутар њега извршава унутрашњу методу. Унутрашња метода је често PAP, и њена појава у пројекту не значи да лозинка пролази кроз ваздух као чист текст, јер је носи управо TLS тунел. Клијент ипак мора да провери идентитет сервера и да верује исправном CA, а познати SSID није та провера. Избор унутрашње методе читајте као формат акредитива, а не као тврдњу о спољашњем шифровању.

Ово је размена за аутентификацију, а не тунел за податке за каснији саобраћај лаптопа.

Када се аутентификација заврши, TLS тунел нестаје и пакети клијента путују прихваћеним сегментом. Мешање тога двоје је корен веровања да Wi-Fi шифровање већ обавља посао VPN-а.

VPN је друга, ужа одлука

VPN одговара на друго питање: којим приватним ресурсима овај идентитет сме да приступи и под којим условима? Завршава се на пролазу са сопственом политиком, сопственим проверама идентитета и често сопственим захтевима за стање уређаја. Доступни скуп после подизања тунела обично је мањи од унутрашње мреже зграде и специфичан за улогу.

Зато улога за одржавање може да буде примљена на Wi-Fi као и сви остали, а ипак јој је потребан тунел да достигне административну подмрежу. Одлука о Wi-Fi је донета на приступној тачки; ова се доноси на пролазу.

Обе фазе могу да буду шифриране и ипак да спроводе неповезане политике.

Где се крши поверење засновано на локацији

Третирање канцеларијске мреже као подразумевано поуздане пада због једноставног разлога: локација у мрежи је својство везе, а не особе. NIST смернице о нултом поверењу то кажу директно, и зато се приступ ресурсима одлучује по захтеву, а не по згради. Свако ко се придружи истом SSID-ју наслеђује исту локацију. Зато и компромитовани лаптоп на мрежи особља заслужује исту скепсу као онај на мрежи гостију.

Практична последица је да ауторизација апликација ипак мора да постоји. VPN који даје целу подмрежу, плус апликација која верује сваком захтеву из те подмреже, удаљен је једну акредитиву од лошег дана.

Ниједан од два слоја не замењује други, јер одговарају на питања у различитим обимима.

Како знати да ли друга пријава заслужује своје место

Питајте власника мреже две ствари: шта постаје достижно након повезивања VPN-а и који услови идентитета или уређаја се проверавају да би се то дозволило? Затим проверите одговоре тестирајући шта заиста одговара. Ако тунел не мења ни достижност ни гаранцију, можда је оперативна навика, а не контрола, и то је одлука власника, а не нешто што корисник треба да заобилази.

Тражите и ненамерне директне путеве, јер ресурс доступан без тунела чини тунел декоративним.

Документујте сваку границу и њену сврху, и следећа особа неће морати да нагађа зашто постоје две пријаве.