อยู่บน Wi-Fi ของออฟฟิศแต่ยังถูกขอ VPN? นี่คือเหตุผล

แล็ปท็อปอยู่ใน SSID ขององค์กร ใบรับรองถูกยอมรับแล้ว และเว็บแอปยังคงขอ VPN อยู่ ดูเหมือนงานซ้ำซ้อน และบางครั้งก็เป็นเช่นนั้นจริง ๆ การล็อกอินสองครั้งมักบังคับใช้การตัดสินใจที่ต่างกัน และวิธีเดียวที่จะรู้ว่าครั้งที่สองคุ้มค่ากับตำแหน่งของมันหรือไม่คือถามว่ามันเปลี่ยนอะไร

การเข้าร่วมเครือข่ายคือการตัดสินใจรับเข้า

การติดตั้ง 802.1X ตอบคำถามข้อเดียว: อุปกรณ์หรือผู้ใช้นี้เชื่อมต่อกับเครือข่ายนี้ได้หรือไม่ จุดเชื่อมต่อส่งข้อมูลรับรองไปยังเซิร์ฟเวอร์ RADIUS และคำตอบอาจมีแอตทริบิวต์ที่วางเซสชันไว้ใน VLAN ที่กำหนดหรือใช้ฟิลเตอร์ นั่นคือการรับเข้าและการแบ่งส่วน ไม่ใช่การอนุญาตสำหรับแอปพลิเคชันใดแอปพลิเคชันหนึ่ง

เมื่อเซสชันได้รับอนุญาต ลิงก์ไร้สายจะถูกเข้ารหัสระหว่างไคลเอนต์และจุดเชื่อมต่อ การป้องกันสิ้นสุดตรงนั้น ที่ขอบของเครือข่ายแบบมีสาย

ทุกอย่างที่เลยจุดนั้นไปคือการกำหนดเส้นทางธรรมดาภายในอาคาร ด้วยการเข้าถึงภายในที่เซกเมนต์อนุญาต

EAP-TTLS ปกป้องอะไรจริง ๆ

EAP-TTLS สร้างอุโมงค์ TLS ระหว่างการยืนยันตัวตนและรันวิธีการภายในไว้ข้างใน วิธีการภายในมักเป็น PAP และการปรากฏในงานออกแบบไม่ได้หมายความว่ารหัสผ่านลอยผ่านอากาศเป็นข้อความธรรมดา เพราะอุโมงค์ TLS คือสิ่งที่พามันไป ไคลเอนต์ยังต้องตรวจสอบตัวตนของเซิร์ฟเวอร์และเชื่อถือ CA ที่ถูกต้อง และ SSID ที่คุ้นเคยไม่ใช่การตรวจสอบนั้น อ่านตัวเลือกวิธีการภายในเป็นรูปแบบของข้อมูลรับรอง ไม่ใช่เป็นคำกล่าวเกี่ยวกับการเข้ารหัสชั้นนอก

นี่คือการแลกเปลี่ยนการยืนยันตัวตน ไม่ใช่อุโมงค์ข้อมูลสำหรับทราฟฟิกภายหลังของแล็ปท็อป

เมื่อการยืนยันตัวตนสิ้นสุดลง อุโมงค์ TLS ก็หายไป และแพ็กเก็ตของไคลเอนต์เดินทางผ่านเซกเมนต์ที่ได้รับอนุญาต การสับสนระหว่างสองสิ่งนี้คือรากของความเชื่อที่ว่าการเข้ารหัส Wi-Fi ทำหน้าที่ของ VPN อยู่แล้ว

VPN คือการตัดสินใจที่สองที่แคบกว่า

VPN ตอบคำถามอื่น: ตัวตนนี้เข้าถึงทรัพยากรส่วนตัวใดได้ และภายใต้เงื่อนไขใด มันสิ้นสุดที่เกตเวย์ซึ่งมีนโยบายของตัวเอง การตรวจสอบตัวตนของตัวเอง และบ่อยครั้งมีข้อกำหนดเกี่ยวกับสถานะอุปกรณ์ของตัวเอง ชุดที่เข้าถึงได้หลังอุโมงค์ขึ้นมามักเล็กกว่าเครือข่ายภายในของอาคารและเฉพาะกับบทบาท

นั่นคือเหตุผลที่บทบาทงานบำรุงรักษาสามารถได้รับอนุญาตให้เข้า Wi-Fi เหมือนคนอื่น ๆ และยังต้องใช้อุโมงค์เพื่อเข้าถึงซับเน็ตการจัดการ การตัดสินใจเรื่อง Wi-Fi เกิดขึ้นที่จุดเชื่อมต่อ ส่วนการตัดสินใจนี้เกิดขึ้นที่เกตเวย์

ทั้งสองขั้นตอนสามารถถูกเข้ารหัสและยังบังคับใช้นโยบายที่ไม่เกี่ยวข้องกันได้

ความเชื่อใจตามตำแหน่งพังตรงไหน

การถือว่าเครือข่ายออฟฟิศน่าเชื่อถือโดยปริยายล้มเหลวด้วยเหตุผลง่าย ๆ: ตำแหน่งในเครือข่ายเป็นคุณสมบัติของการเชื่อมต่อ ไม่ใช่ของคุณบุคคล แนวทางความเชื่อใจเป็นศูนย์ของ NIST กล่าวเช่นนั้นโดยตรง และนั่นคือเหตุผลที่การเข้าถึงทรัพยากรถูกตัดสินต่อคำขอ ไม่ใช่ต่ออาคาร ใครก็ตามที่เข้าร่วม SSID เดียวกันจะสืบทอดตำแหน่งเดียวกัน นั่นก็เป็นเหตุผลที่แล็ปท็อปที่ถูกบุกรุกบนเครือข่ายพนักงานสมควรได้รับความสงสัยเช่นเดียวกับเครื่องบนเครือข่ายแขก

ผลในทางปฏิบัติคือการอนุญาตแอปพลิเคชันยังต้องมีอยู่ VPN ที่ให้ทั้งซับเน็ต บวกกับแอปพลิเคชันที่เชื่อถือทุกคำขอจากซับเน็ตนั้น อยู่ห่างจากวันแย่ ๆ เพียงข้อมูลรับรองเดียว

ไม่มีชั้นใดแทนที่อีกชั้น เพราะทั้งสองตอบคำถามในขอบเขตที่ต่างกัน

จะรู้ได้อย่างไรว่าการล็อกอินครั้งที่สองคุ้มค่ากับตำแหน่งของมัน

ถามเจ้าของเครือข่ายสองอย่าง: อะไรจะเข้าถึงได้หลัง VPN เชื่อมต่อ และมีการตรวจสอบเงื่อนไขตัวตนหรืออุปกรณ์ใดเพื่ออนุญาต จากนั้นตรวจสอบคำตอบด้วยการทดสอบว่าอะไรตอบสนองจริง ๆ หากอุโมงค์ไม่เปลี่ยนทั้งการเข้าถึงและความมั่นใจ มันอาจเป็นนิสัยในการปฏิบัติงานมากกว่าการควบคุม และนั่นเป็นการตัดสินใจของเจ้าของ ไม่ใช่สิ่งที่ผู้ใช้ควรหลีกเลี่ยง

มองหาเส้นทางตรงที่ไม่ตั้งใจด้วย เพราะทรัพยากรที่เข้าถึงได้โดยไม่ต้องใช้อุโมงค์ทำให้อุโมงค์เป็นเพียงของประดับ

บันทึกทุกขอบเขตและวัตถุประสงค์ของมัน แล้วคนถัดไปจะไม่ต้องเดาว่าทำไมมีการล็อกอินสองครั้ง