Đang ở Wi-Fi công ty mà vẫn bị hỏi VPN? Đây là lý do

Chiếc laptop đã ở trên SSID của công ty, lời nhắc chứng chỉ đã được chấp nhận, vậy mà một ứng dụng web vẫn yêu cầu VPN. Nhìn thì giống như làm việc hai lần, và đôi khi đúng là như vậy. Hai lần đăng nhập thường thực thi những quyết định khác nhau, và cách duy nhất để biết lần thứ hai có xứng đáng hay không là hỏi xem nó thay đổi điều gì.

Tham gia một mạng là một quyết định kết nạp

Một triển khai 802.1X trả lời đúng một câu hỏi: thiết bị hoặc người dùng này có được phép gắn vào mạng này không? Điểm truy cập chuyển thông tin đăng nhập tới một máy chủ RADIUS, và câu trả lời có thể mang các thuộc tính đặt phiên vào một VLAN cụ thể hoặc áp một bộ lọc. Đó là kết nạp và phân đoạn, không phải cấp quyền cho bất kỳ ứng dụng cụ thể nào.

Khi phiên đã được kết nạp, liên kết không dây được mã hóa giữa máy khách và điểm truy cập. Sự bảo vệ dừng lại ở đó, tại rìa của mạng có dây.

Mọi thứ vượt qua điểm đó chỉ là định tuyến thông thường bên trong tòa nhà, với khả năng tiếp cận nội bộ mà phân đoạn cho phép.

EAP-TTLS thực sự bảo vệ điều gì

EAP-TTLS dựng một đường hầm TLS trong quá trình xác thực và chạy một phương thức bên trong nó. Phương thức bên trong thường là PAP, và việc nó xuất hiện trong một thiết kế không có nghĩa là mật khẩu đi qua không trung dưới dạng văn bản rõ, vì đường hầm TLS mới là thứ mang nó. Máy khách vẫn phải xác minh danh tính của máy chủ và tin đúng CA, và một SSID quen thuộc không phải là sự xác minh đó. Hãy đọc lựa chọn phương thức bên trong như một định dạng thông tin đăng nhập, chứ không phải một tuyên bố về lớp mã hóa bên ngoài.

Đây là một trao đổi xác thực, không phải một đường hầm dữ liệu cho lưu lượng sau này của laptop.

Khi xác thực kết thúc, đường hầm TLS biến mất và các gói của máy khách đi qua phân đoạn đã được kết nạp. Nhầm lẫn giữa hai thứ này chính là gốc rễ của niềm tin rằng mã hóa Wi-Fi đã làm công việc của VPN.

VPN là quyết định thứ hai, hẹp hơn

VPN trả lời một câu hỏi khác: danh tính này được tiếp cận những tài nguyên riêng tư nào, và trong điều kiện nào? Nó kết thúc tại một cổng với chính sách riêng, các kiểm tra danh tính riêng và thường cả những yêu cầu về tư thế thiết bị của riêng nó. Tập hợp có thể tiếp cận sau khi đường hầm dựng lên thường nhỏ hơn mạng nội bộ của tòa nhà và gắn với vai trò cụ thể.

Đó là lý do một vai trò bảo trì có thể được kết nạp vào Wi-Fi như mọi người mà vẫn cần đường hầm để tới một mạng con quản trị. Quyết định Wi-Fi được đưa ra ở điểm truy cập; quyết định này được đưa ra ở cổng.

Cả hai giai đoạn đều có thể được mã hóa mà vẫn thực thi những chính sách không liên quan đến nhau.

Niềm tin dựa trên vị trí sụp đổ ở đâu

Coi mạng văn phòng là đương nhiên đáng tin sẽ thất bại vì một lý do đơn giản: vị trí mạng là thuộc tính của kết nối, không phải của con người. Hướng dẫn zero-trust của NIST nói thẳng điều đó, và đó là lý do quyền truy cập tài nguyên được quyết định theo từng yêu cầu chứ không theo tòa nhà. Bất kỳ ai tham gia cùng một SSID đều thừa hưởng cùng một vị trí. Đó cũng là lý do một chiếc laptop đã bị xâm phạm trên mạng nhân viên đáng bị nghi ngờ giống như một thiết bị trên mạng khách.

Hệ quả thực tế là việc cấp quyền ở tầng ứng dụng vẫn phải tồn tại. Một VPN cấp cả một mạng con, cộng với một ứng dụng tin mọi yêu cầu từ mạng con đó, chỉ còn cách một thông tin đăng nhập là tới một ngày tồi tệ.

Không lớp nào thay thế lớp kia, vì chúng trả lời những câu hỏi ở các phạm vi khác nhau.

Làm sao biết lần đăng nhập thứ hai có đáng giữ

Hãy hỏi chủ mạng hai câu: sau khi VPN kết nối, những gì trở nên tiếp cận được, và những điều kiện danh tính hoặc thiết bị nào được kiểm tra để cho phép? Sau đó kiểm chứng câu trả lời bằng cách thử xem thực tế cái gì phản hồi. Nếu đường hầm không thay đổi khả năng tiếp cận lẫn mức bảo đảm, nó có thể chỉ là thói quen vận hành chứ không phải một biện pháp kiểm soát, và đó là quyết định của chủ mạng chứ không phải thứ người dùng nên lách qua.

Cũng hãy tìm những đường đi trực tiếp ngoài ý muốn, vì một tài nguyên tiếp cận được mà không cần đường hầm sẽ khiến đường hầm chỉ còn là thứ trang trí.

Hãy ghi lại từng ranh giới và mục đích của nó, và người tiếp theo sẽ không phải đoán vì sao có hai lần đăng nhập.