Ofis Wi-Fi’sindasınız ama hâlâ VPN mi isteniyor? Nedeni bu

Dizüstü bilgisayar kurumsal SSID’de, sertifika istemi kabul edildi ve bir web uygulaması hâlâ VPN istiyor. Bu çift iş gibi görünüyor ve bazen öyle. İki oturum açma genellikle farklı kararlar uygular ve ikincisinin yerini hak edip etmediğini bilmenin tek yolu neyi değiştirdiğini sormaktır.

Bir ağa katılmak bir kabul kararıdır

Bir 802.1X kurulumu tek bir soruyu yanıtlar: bu cihaz veya kullanıcı bu ağa bağlanabilir mi? Erişim noktası kimlik bilgilerini bir RADIUS sunucusuna iletir ve yanıt, oturumu belirli bir VLAN’a yerleştiren veya bir filtre uygulayan öznitelikler taşıyabilir. Bu kabul ve bölümlemedir, belirli bir uygulama için yetkilendirme değil.

Oturum kabul edildikten sonra istemci ile erişim noktası arasındaki kablosuz bağlantı şifrelenir. Koruma orada, kablolu ağın kenarında biter.

Bu noktanın ötesindeki her şey bina içinde sıradan yönlendirmedir, segmentin izin verdiği iç erişilebilirlikle.

EAP-TTLS aslında neyi korur

EAP-TTLS kimlik doğrulama sırasında bir TLS tüneli kurar ve içinde bir iç yöntem çalıştırır. İç yöntem genellikle PAP’tır ve bir tasarımda görünmesi parolanın havadan düz metin olarak geçtiği anlamına gelmez, çünkü onu taşıyan TLS tünelidir. İstemci yine de sunucunun kimliğini doğrulamalı ve doğru CA’ya güvenmelidir ve tanıdık bir SSID bu doğrulama değildir. İç yöntem seçimini bir kimlik bilgisi biçimi olarak okuyun, dış şifreleme hakkında bir ifade olarak değil.

Bu bir kimlik doğrulama değişimidir, dizüstü bilgisayarın sonraki trafiği için bir veri tüneli değil.

Kimlik doğrulama bittiğinde TLS tüneli kaybolur ve istemcinin paketleri kabul edilen segment üzerinden gider. Bu ikisini karıştırmak, Wi-Fi şifrelemesinin VPN’in işini zaten yaptığı inancının köküdür.

VPN ikinci, daha dar bir karardır

VPN farklı bir soruyu yanıtlar: bu kimlik hangi özel kaynaklara ulaşabilir ve hangi koşullarda? Kendi politikası, kendi kimlik kontrolleri ve genellikle kendi cihaz durumu gereksinimleri olan bir ağ geçidinde sonlanır. Tünel açıldıktan sonra ulaşılabilen küme genellikle binanın iç ağından daha küçüktür ve role özgüdür.

Bu yüzden bir bakım rolü herkes gibi Wi-Fi’ye kabul edilebilir ve yine de bir yönetim alt ağına ulaşmak için tünele ihtiyaç duyabilir. Wi-Fi kararı erişim noktasında verildi; bu karar ağ geçidinde verilir.

Her iki aşama da şifrelenebilir ve yine de ilgisiz politikalar uygulayabilir.

Konum tabanlı güven nerede kırılır

Ofis ağına örtük olarak güvenilir gözüyle bakmak basit bir nedenle başarısız olur: ağ konumu bağlantının özelliğidir, kişinin değil. NIST’in sıfır güven rehberi bunu doğrudan söyler ve bu yüzden kaynak erişimi bina başına değil istek başına kararlaştırılır. Aynı SSID’ye katılan herkes aynı konumu devralır. Personel ağındaki ele geçirilmiş bir dizüstü bilgisayarın misafir ağındakiyle aynı şüpheyi hak etmesinin nedeni de budur.

Pratik sonuç, uygulama yetkilendirmesinin hâlâ var olması gerektiğidir. Bir alt ağın tamamını veren bir VPN, artı o alt ağdan gelen her isteğe güvenen bir uygulama, kötü bir günden bir kimlik bilgisi uzaktadır.

İki katmandan hiçbiri diğerinin yerini almaz, çünkü farklı kapsamlarda soruları yanıtlarlar.

İkinci oturum açmanın yerini hak edip etmediği nasıl anlaşılır

Ağ sahibine iki şey sorun: VPN bağlandıktan sonra neye ulaşılabilir hale gelir ve buna izin vermek için hangi kimlik veya cihaz koşulları denetlenir? Ardından gerçekte neyin yanıt verdiğini test ederek yanıtları doğrulayın. Tünel ne erişilebilirliği ne de güvenceyi değiştirmiyorsa bu bir kontrol değil operasyonel bir alışkanlık olabilir ve bu, kullanıcının etrafından dolaşması gereken bir şey değil, sahibinin kararıdır.

İstenmeyen doğrudan yolları da arayın, çünkü tünel olmadan ulaşılabilen bir kaynak tüneli dekoratif yapar.

Her sınırı ve amacını belgeleyin, o zaman sonraki kişi neden iki oturum açma olduğunu tahmin etmek zorunda kalmaz.