प्रमाणपत्र आधारित WiFi प्रमाणीकरण: EAP-TLS गाइड

कोई व्यक्ति व्यवसाय छोड़ रहा है, और आपकी टीम यह तय कर रही है कि कर्मचारियों का WiFi पासवर्ड फिर से बदला जाए या नहीं। इसे बदलने का मतलब है लैपटॉप, फोन, रिसेप्शन टैबलेट और उन उपकरणों को फिर से कनेक्ट करना जिन्हें कॉन्फ़िगर करना किसी को याद नहीं है। इसे ऐसे ही छोड़ने का मतलब यह स्वीकार करना है कि संगठन के बाहर का कोई व्यक्ति अभी भी कनेक्ट होना जानता है।

प्रमाणपत्र आधारित WiFi प्रमाणीकरण आपको विश्वसनीय उपकरणों की पहचान करने का एक बेहतर तरीका देता है। लेकिन यह आपकी टीम द्वारा किए जाने वाले कार्य को भी बदल देता है: पासवर्ड वितरित करने के बजाय, आप ट्रस्ट चेन, प्रमाणपत्र नवीनीकरण, रद्दीकरण और उन उपकरणों का प्रबंधन करेंगे जो महीनों के लिए स्टोरेज में गायब हो जाते हैं। सुरक्षा में सुधार वास्तविक है। विश्वसनीय संचालन के लिए वायरलेस प्रोफ़ाइल में EAP-TLS चुनने से कहीं अधिक की आवश्यकता होती है।

विषय सूची

• सर्टिफिकेट-आधारित WiFi प्रमाणीकरण का क्या अर्थ है
  • कंपोनेंट्स कहाँ फिट होते हैं
• EAP-TLS हैंडशेक चरण-दर-चरण कैसे काम करता है
  • एक्सचेंज और इसके विफलता बिंदुओं को समझें
  • सर्वर को सत्यापित करने के लिए क्लाइंट को कॉन्फ़िगर करें
• शेयर किए गए पासवर्ड और PEAP से सर्टिफिकेट की तुलना
  • केवल लेबल की ही नहीं, क्रेडेंशियल की भी तुलना करें
  • उपयोगकर्ता आबादी के अनुसार सही विधि का चयन करें
• CA का निर्माण और MDM के माध्यम से सर्टिफिकेट का प्रोविजनिंग करना
  • सर्टिफिकेट जारी करने से पहले प्रोफ़ाइल चुनें
  • ट्रस्ट, क्रेडेंशियल और कॉन्फ़िगरेशन एक साथ प्रदान करें
• जारी करने से लेकर नवीनीकरण तक सर्टिफिकेट जीवनचक्र का प्रबंधन
  • प्रत्येक चरण को एक परिचालन नियंत्रण दें
  • उन डिवाइसों के लिए योजना बनाएं जो ऑनलाइन नहीं हैं
• डिवाइस खोने या कर्मचारियों के जाने पर एक्सेस रद्द करना
  • स्टेटस की जांच को समझें
  • एक संपूर्ण खोए-हुए-डिवाइस प्रक्रिया का उपयोग करें
• डिवाइस की पात्रता और अपवाद योजना
  • पूरे डिवाइस जीवनचक्र का परीक्षण करें
  • अपवादों को सीमित और जवाबदेह बनाएं
• रोल आउट करने से पहले अपनी सर्टिफिकेट योजना की पुष्टि करें
  • इस सप्ताह की तत्परता समीक्षा को ठोस बनाएं
  • पायलट का मूल्यांकन उसकी सहायता-क्षमता के आधार पर करें

प्रमाणपत्र आधारित WiFi ऑथेंटिकेशन का क्या अर्थ है

प्रमाणपत्र-आधारित WiFi प्रमाणीकरण, एक साझा WiFi पासवर्ड को एक व्यक्तिगत डिजिटल प्रमाणपत्र से बदल देता है, जिसे नेटवर्क पहुंच प्रदान करने से पहले जांचता है। एक साझा कार्यालय द्वार कोड बनाम एक कर्मचारी बैज के बारे में सोचें। कोड के साथ, हर कोई साबित करता है कि वे एक ही रहस्य जानते हैं। बैज के साथ, सुरक्षा डेस्क एक विशेष क्रेडेंशियल की पहचान कर सकता है और इसे स्वतंत्र रूप से रद्द कर सकता है।

मान लीजिए कि एक प्रबंधित (managed) लैपटॉप को कर्मचारी नेटवर्क तक पहुंच की आवश्यकता है। इसका सर्टिफिकेट डिवाइस या उसके असाइन किए गए उपयोगकर्ता की पहचान करता है, और इसकी सुरक्षित प्राइवेट की (private key) इसे साबित करने देती है कि उसके पास वह क्रेडेंशियल है। सर्टिफिकेट स्वयं एक गुप्त पासवर्ड नहीं है, और केवल सार्वजनिक सर्टिफिकेट की प्रतिलिपि बनाने से संबंधित प्राइवेट की प्रदान नहीं होती है।

आरेख दिखाता है कि कैसे व्यक्तिगत क्रेडेंशियल सामान्य पासवर्ड को प्रतिस्थापित करते हैं।

घटक कहां फिट होते हैं

मूल ढांचा IEEE 802.1X है, जिसे मूल रूप से वायर्ड इथरनेट के लिए विकसित किया गया था और वायरलेस LANs के लिए अनुकूलित किया गया था। IEEE 802.1X प्रमाणीकरण का Microsoft का अवलोकन) RADIUS के माध्यम से केंद्रीय प्रमाणीकरण के ढांचे और भूमिका का वर्णन करता है।

एक्सेस पॉइंट प्रवेश को नियंत्रित करता है, जबकि RADIUS सेवा प्रमाणीकरण अनुरोध का मूल्यांकन करती है। EAP-TLS उस व्यवस्था के माध्यम से की जाने वाली प्रमाणपत्र-आधारित प्रमाणीकरण विधि है। कनेक्शन के लिए कीइंग सामग्री स्थापित करने से पहले डिवाइस और प्रमाणीकरण सर्वर एक-दूसरे का सत्यापन करते हैं।

इन घटकों को अलग रखें:

• डिवाइस प्रमाणपत्र: एंडपॉइंट या उपयोगकर्ता की पहचान करता है और डिवाइस द्वारा रखी गई एक प्राइवेट कुंजी के साथ काम करता है।
• प्रमाणीकरण सर्वर प्रमाणपत्र: डिवाइस को यह सत्यापित करने की अनुमति देता है कि वह किसी अनुमोदित प्रमाणीकरण सेवा से बात कर रहा है।
• प्रमाणन प्राधिकरण: ऐसे प्रमाणपत्र जारी करता है जिन्हें प्रत्येक पक्ष स्पष्ट रूप से विश्वसनीय प्रमाणपत्र श्रृंखला के माध्यम से सत्यापित कर सकता है।

जरूरी नहीं कि डिवाइस और सर्वर को एक ही जारीकर्ता अथॉरिटी से सर्टिफिकेट की आवश्यकता हो। मुख्य बात यह है कि प्रत्येक पक्ष उपयुक्त जारीकर्ता पर भरोसा करता है और सही वैलिडोशन नीति लागू करता है।

व्यवहारिक नियम: प्रमाणपत्रों को नेटवर्क पहचान प्रणाली (identity system) के रूप में देखें, जटिल पासवर्ड के रूप में नहीं।

यह अंतर खोए हुए लैपटॉप को संभालने के आपके तरीके को बदल देता है। आप अन्य सभी के उपकरणों पर क्रेडेंशियल्स को बदले बिना इसके क्रेडेंशियल को वापस ले सकते हैं। हालांकि, एक वैध प्रमाणपत्र का होना पहचान स्थापित करता है, असीमित अनुमति नहीं। आपकी एक्सेस नीति को अभी भी यह तय करने की आवश्यकता है कि वह पहचान किस तक पहुंच सकती है।

EAP-TLS हैंडशेक चरण-दर-चरण कैसे काम करता है

एक कनेक्शन में डिवाइस का सप्लीकेंट, ऑथेंटिकेटर के रूप में कार्य करने वाला एक्सेस पॉइंट, और प्रमाणीकरण सर्वर शामिल होता है। सप्लीकेंट ऑपरेटिंग-सिस्टम का वह घटक है जो एंटरप्राइज नेटवर्क प्रमाणीकरण को संभालता है।

यह सरलीकृत फ़्लो प्रत्येक प्रोटोकॉल संदेश के बजाय मुख्य हैंडऑफ़ को दिखाता है।

एक्सचेंज और इसके विफलता बिंदुओं का पालन करें

इस एक्सचेंज के आधारभूत म्यूचुअल ऑथेंटिकेशन और की डेrivation को EAP-TLS स्पेसिफिकेशन, RFC 5216 में परिभाषित किया गया है।

1. डिवाइस एक्सेस प्वाइंट के साथ जुड़ता है। यह एंटरप्राइज प्रमाणीकरण एक्सचेंज शुरू करता है और एक पहचान प्रदान करता है। केवल जुड़ने भर से सामान्य नेटवर्क एक्सेस नहीं मिलता है। एक गलत वायरलेस सुरक्षा सेटिंग डिवाइस को सर्टिफिकेट प्रमाणीकरण तक पहुँचने से रोक सकती है।

2. एक्सेस प्वाइंट EAP संदेशों को RADIUS पर रिले करता है। यह स्वयं डिवाइस सर्टिफिकेट जारी करने के बजाय एंडपॉइंट और प्रमाणीकरण सेवा के बीच एक्सचेंज को पास करता है। एक RADIUS कनेक्टिविटी समस्या या गलत तरीके से पंजीकृत एक्सेस प्वाइंट एक्सचेंज को यहीं रोक सकता है।

3. सर्वर अपना सर्टिफिकेट प्रस्तुत करता है। डिवाइस सर्टिफिकेट चेन, वैधता और अपेक्षित सर्वर पहचान की जांच करता है। एक अविश्वासी जारीकर्ता, अपूर्ण चेन या अप्रत्याशित सर्वर नाम के कारण डिवाइस को कनेक्शन अस्वीकार कर देना चाहिए।

4. डिवाइस अपना क्लाइंट सर्टिफिकेट प्रस्तुत करता है। सर्वर क्रेडेंशियल को मान्य करता है, लागू निरसन (revocation) जानकारी की जांच करता है और पहचान का मूल्यांकन करता है। एक गुम सर्टिफिकेट या अनुपलब्ध प्राइवेट की (private key) उपयोगकर्ता को एक सामान्य कनेक्शन विफलता की तरह दिख सकती है, भले ही सर्वर लॉग एक विशिष्ट कारण दिखाते हों।

5. TLS एक्सचेंज साझा कीइंग सामग्री (shared keying material) स्थापित करता है। एंडपॉइंट को अपनी प्राइवेट की के स्वामित्व का प्रदर्शन करना होगा, न कि केवल एक सर्टिफिकेट फ़ाइल प्रस्तुत करनी होगी। असंगत क्रिप्टोग्राफ़िक सेटिंग्स पूर्ण होने से रोक सकती हैं, भले ही दोनों सर्टिफिकेट अन्यथा मान्य हों।

6. RADIUS प्रमाणीकरण परिणाम और नीति विशेषताओं को लौटाता है। एक स्वीकृति में एक VLAN असाइनमेंट या अन्य समर्थित प्राधिकरण विशेषताएं शामिल हो सकती हैं। एक सफल प्रमाणीकरण के बाद एक अनुपयोगी कनेक्शनCertificate समस्या के बजाय VLAN या डाउनस्ट्रीम नीति समस्या का संकेत दे सकता है।

सर्वर को सत्यापित करने के लिए क्लाइंट को कॉन्फ़िगर करें

सप्लीकेंट प्रोफाइल में, स्पष्ट रूप से EAP-TLS चुनें, विश्वसनीय CA को कॉन्फ़िगर करें और अपेक्षित RADIUS सर्वर नाम निर्दिष्ट करें। सर्वर सर्टिफिकेट वैलिडेशन को सक्षम रखें। केवल ऑनलाइन होने के लिए उपयोगकर्ताओं को किसी चेतावनी को बायपास न करने दें।

अपनी टीम के साथ एक्सचेंज पर चर्चा करते समय प्रोटोकॉल फ्लो के साथ इस वीडियो का उपयोग करें।

प्रत्येक कनेक्शन प्रमाणीकरण के समय क्रेडेंशियल्स की उपस्थिति, पहुंच और स्वीकार्यता पर निर्भर करता है। इसलिए समस्या निवारण के लिए केवल यह दिखाने वाले एक्सेस प्वाइंट डैशबोर्ड की ही नहीं कि एक क्लाइंट जुड़ने में विफल रहा, बल्कि सप्लीकेंट और RADIUS दोनों से साक्ष्य की आवश्यकता होती है।

साझा किए गए पासवर्ड और PEAP

के साथ प्रमाणपत्रों की तुलना

WiFi समान मानदंडों पर ऑथेंटिकेशन विधियाँ

विधि	डिवाइस पर क्रेडेंशियल	निरसन (Revocation) दायरा	जवाबदेही	सेटअप का प्रयास
साझा WPA2 या WPA3-Personal पासफ़्रेज़	प्रत्येक उपयोगकर्ता के लिए ज्ञात एक पासफ़्रेज़	सभी के लिए की (key) बदलता है	साझा क्रेडेंशियल से स्वयं कोई नहीं	कम
PEAP-MSCHAPv2 के साथ WPA2-Enterprise	प्रति उपयोगकर्ता यूज़रनेम और पासवर्ड	एक खाता निष्क्रिय करता है	प्रति उपयोगकर्ता	मध्यम
WPA2 या WPA3-Enterprise पर EAP-TLS	प्रति डिवाइस विशिष्ट क्लाइंट सर्टिफिकेट और प्राइवेट की	एक सर्टिफिकेट को निरस्त करता है	मैप होने पर प्रति डिवाइस और उपयोगकर्ता	उच्च, PKI और प्रबंधित प्रोविज़निंग की आवश्यकता है
EAP-TLS के साथ WPA3-Enterprise 192-बिट	प्रोफ़ाइल की क्रिप्टोग्राफ़िक आवश्यकताओं को पूरा करने वाला सर्टिफिकेट	एक सर्टिफिकेट को निरस्त करता है	मैप होने पर प्रति डिवाइस और उपयोगकर्ता	उच्च, साथ ही सिफर अनुकूलता जांच

EAP-TLS, WPA3 का पर्याय नहीं है। WiFi Alliance प्रमाणन रिकॉर्ड समर्थित एंटरप्राइज़ प्रमाणीकरण विधियों के बीच EAP-TLS की पहचान करता है। प्रमाणपत्र प्रमाणीकरण एक एंटरप्राइज़ प्रमाणीकरण विकल्प है, जबकि WPA प्रोफ़ाइल वायरलेस सुरक्षा आवश्यकताओं को भी निर्धारित करती है।

केवल लेबल की ही नहीं, क्रेडेंशियल की भी तुलना करें

एक साझा पासफ़्रेज़ एक सामान्य रहस्य के ज्ञान को साबित करता है। यह स्थापित नहीं करता है कि किस कर्मचारी ने इसे प्रदान किया है, हालांकि नेटवर्क उपकरण अभी भी कनेक्शन विवरण रिकॉर्ड कर सकते हैं। कर्मचारियों के जाने पर स्थिति असहज हो जाती है क्योंकि क्रेडेंशियल बदलने का मतलब है इसका उपयोग करने वाले हर डिवाइस को अपडेट करना।

PEAP-MSCHAPv2 व्यक्तिगत उपयोगकर्ता नाम और पासवर्ड की ओर बढ़ता है। यह आंतरिक प्रमाणीकरण विनिमय की सुरक्षा के लिए सर्वर-प्रमाणित TLS टनल का उपयोग करता है, इसलिए उचित सर्वर सत्यापन अभी भी महत्वपूर्ण है। यह उपयोगी प्रति-उपयोगकर्ता रिकॉर्ड प्रदान कर सकता है, लेकिन पासवर्ड परिवर्तन और खाता समस्याएं वायरलेस सहायता का हिस्सा बनी रहती हैं।

EAP-TLS के साथ, एंडपॉइंट प्रमाणीकरण के दौरान अकाउंट पासवर्ड के बजाय अपने सर्टिफिकेट और प्राइवेट की (private key) का उपयोग करता है। यह प्रशासकों को प्रबंधित करने के लिए एक डिवाइस-विशिष्ट क्रेडेंशियल प्रदान करता है, बशर्ते इन्वेंट्री सर्टिफिकेट्स को एंडपॉइंट्स और उनके स्वामियों के साथ सही ढंग से मैप करती हो।

वह विधि चुनें जिसके क्रेडेंशियल लाइफसाइकिल को आपकी टीम वास्तव में संचालित कर सकती है, न कि केवल कंट्रोलर मेनू में सबसे मजबूत लेबल।

पॉपुलेशन के अनुसार विधि का मिलान करें

मैनेज्ड स्टाफ एक्सेस के लिए शेयर किए गए पासफ़्रेज़ एक खराब डिफ़ॉल्ट विकल्प हैं, जहाँ व्यक्तिगत रूप से एक्सेस वापस लेना और जवाबदेही मायने रखती है। मेहमानों और कम जोखिम वाले उपकरणों के लिए भी, एक सामान्य पासवर्ड के लिए एक विचारशील वितरण और प्रतिस्थापन नीति की आवश्यकता होती है।

प्रमाणपत्र प्रबंधित लैपटॉप और फोन के लिए उपयुक्त होते हैं क्योंकि आप उन्हें मौजूदा प्रबंधन प्रणाली के माध्यम से प्रोविज़न कर सकते हैं। उच्च-आश्वासन एंटरप्राइज़ प्रोफ़ाइल अनुकूलता कार्य जोड़ती है; यह किसी भी जीवनचक्र की जिम्मेदारियों को नहीं हटाती है। पहचान-आधारित एक्सेस डिज़ाइन को अनिश्चित काल के लिए स्थगित करने का कारण बनने के बजाय, PEAP एक माइग्रेशन विकल्प बना रह सकता है जहाँ व्यक्तिगत खाते मौजूद हैं लेकिन प्रमाण पत्र प्रोविज़निंग तैयार नहीं है।

CA का निर्माण करना और MDM के माध्यम से प्रमाणपत्रों का प्रावधान (provisioning) करना

एक प्रबंधनीय परिनियोजन (deployment) एक पब्लिक की इंफ्रास्ट्रक्चर (PKI) के साथ शुरू होता है, जिसका स्वामित्व स्पष्ट होता है। एक सामान्य पदानुक्रम रूट सर्टिफिकेशन अथॉरिटी को ऑफ़लाइन रखता है और नियमित सर्टिफिकेट जारी करने के लिए इश्यूइंग CA का उपयोग करता है। एक प्रबंधित PKI सेवा आपकी टीम द्वारा स्थानीय रूप से हर घटक को संचालित किए बिना उन भूमिकाओं को पूरा कर सकती है।

जारीकर्ता CA डिवाइस और सर्वर प्रमाणपत्रों पर हस्ताक्षर करता है। RADIUS को क्लाइंट प्रमाणपत्र शृंखला पर भरोसा होना चाहिए, जबकि एंडपॉइंट्स को उपयुक्त सर्वर शृंखला पर भरोसा करना चाहिए। यह न मानें कि एक रूट प्रमाणपत्र स्थापित करने से वायरलेस नीति का शेष हिस्सा स्वचालित रूप से कॉन्फ़िगर हो जाता है।

प्रमाणपत्र जारी करने से पहले प्रोफ़ाइल चुनें

एक डिवाइस टेम्पलेट को क्लाइंट ऑथेंटिकेशन उपयोग, एक डिवाइस या उपयोगकर्ता पहचान की आवश्यकता होती है जिसे आपकी पॉलिसी हल कर सकती है, और आपके नवीनीकरण और रिकवरी डिज़ाइन द्वारा नियंत्रित एक वैधता अवधि की आवश्यकता होती है।

सुरक्षा स्तर के अनुसार प्रमाणपत्र प्रोफ़ाइल

प्रोफ़ाइल	की (Key) और एल्गोरिदम	सामान्य वैधता	यह कहाँ उपयुक्त है
मानक प्रबंधित लैपटॉप या फ़ोन	संगठन द्वारा स्वीकृत एल्गोरिदम जो पूरे फ़्लीट में समर्थित है	नवीनीकरण और रिकवरी नीति द्वारा निर्धारित	WPA2-Enterprise पर मिश्रित फ़्लीट
अधिक सख्त प्रबंधित डिवाइस	एंडपॉइंट परीक्षण के बाद स्वीकृत अधिक मजबूत टेम्पलेट	नीति और नवीनीकरण क्षमता द्वारा निर्धारित	वर्तमान फर्मवेयर के साथ आधुनिक फ़्लीट
WPA3-Enterprise 192-बिट	ECDSA P-384 या RSA 3072 या इससे बड़ा	नीति और नवीनीकरण क्षमता द्वारा निर्धारित	संगतता परीक्षण के बाद उच्च-आश्वासन (higher-assurance) साइटें
हेडलेस या लेगेसी डिवाइस	अक्सर असमर्थित	विक्रेता-समर्थित जीवनचक्र या अपवाद समाप्ति	अपवाद पथ (Exception path)

WiFi Alliance परिनियोजन गाइड निर्दिष्ट करती है कि WPA3-Enterprise 192-बिट मोड प्रमाणीकरण को EAP-TLS तक सीमित करता है और P-384 अण्डाकार-वक्र (elliptic-curve) मापदंडों या कम से कम 3072 बिट्स के RSA/DH मॉड्यूलो आकारों के साथ AES-256-GCM सुइट्स का उपयोग करता है। इसलिए तालिका के उच्च-आश्वासन प्रोफ़ाइल को केवल प्रमाणपत्र के की (Key) लेबल के बजाय संपूर्ण चयनित सुइट के विरुद्ध जाँचा जाना चाहिए।

सर्टिफिकेट टेम्प्लेट, RADIUS सॉफ़्टवेयर, सप्लिकेंट्स और क्रिप्टोग्राफ़िक प्रदाताओं का सहमत होना आवश्यक है। साधारण EAP-TLS का समर्थन करने वाला एक एंडपॉइंट इस सख्त प्रोफाइल के तहत अभी भी विफल हो सकता है।

ट्रस्ट, क्रेडेंशियल और कॉन्फ़िगरेशन एक साथ प्रदान करें

SCEP के साथ, प्रबंधन प्रोफ़ाइल डिवाइस को एक कुंजी युग्म (key pair) उत्पन्न करने और एक प्रमाणपत्र का अनुरोध करने के लिए निर्देशित करती है। CA अनुरोध पर हस्ताक्षर करता है; डिवाइस अपनी निजी कुंजी को सुरक्षित स्टोरेज में रखता है। एक ही क्लाइंट प्रमाणपत्र और निजी कुंजी को कई मशीनों में वितरित न करें।

नियंत्रित क्रम में निर्भरताओं (dependencies) को तैनात करें:

• पहले ट्रस्ट करें: आवश्यक विश्वसनीय CA प्रमाणपत्र इंस्टॉल करें।
• इसके बाद क्रेडेंशियल: SCEP कॉन्फ़िगरेशन वितरित करें और सफल जारी होने की पुष्टि करें।
• अंत में वायरलेस प्रोफ़ाइल: इच्छित क्लाइंट क्रेडेंशियल और सर्वर सत्यापन सेटिंग्स को संदर्भित करें।

निर्भर प्रोफ़ाइलों में समूह लक्षितकरण को सुसंगत रखें। रोलआउट को मानकीकृत करने से पहले प्लेटफॉर्म के अंतरों की समीक्षा करने के लिए MDM WiFi प्रमाणपत्र प्रोफ़ाइल तुलना का उपयोग करें। इसके अलावा एक ऐसा एनरोलमेंट कनेक्शन भी प्रदान करें जो उस प्रमाणपत्र पर निर्भर न हो जिसे डिवाइस अभी भी प्राप्त करने का प्रयास कर रहा है।

जारी करने से लेकर नवीनीकरण तक प्रमाणपत्र जीवनचक्र का प्रबंधन करना

जो लैपटॉप आज सफलतापूर्वक कनेक्ट होता है, वह अपनी नवीनीकरण अवधि (renewal period) के दौरान अलमारी में रखे रहने के बाद विफल हो सकता है। हो सकता है कि एक्सेस प्वाइंट ठीक हो, पासवर्ड न बदला गया हो, और उपयोगकर्ता ने कुछ भी गलत न किया हो। एंडपॉइंट के पास अब कोई स्वीकार्य क्रेडेंशियल नहीं है।

NIST की EAP आवश्यकताओं संबंधी गाइडेंस इस बात का वर्णन करती है कि ऑथेंटिकेशन से पहले सर्टिफिकेट्स का प्रावधान किया जाना चाहिए, वे एक्सचेंज के दौरान उपलब्ध होने चाहिए और निरसन (revocation) स्थिति सहित सत्यापन योग्य होने चाहिए। ये आवश्यकताएं लाइफसाइकल निर्भरताओं को नेटवर्क उपलब्धता का हिस्सा बनाती हैं।

यह समय-सीमा शुरुआती तैनाती से परे स्वामित्व सौंपने के लिए उपयोगी है।

प्रत्येक चरण को एक परिचालन नियंत्रण दें

चरण	नियंत्रण	विफलता जिसे यह रोकता है
एनरोलमेंट	MDM पंजीकरण और प्रोफ़ाइल लक्ष्यीकरण की निगरानी करें	डिवाइस को कभी भी एनरोलमेंट निर्देश प्राप्त नहीं होता है
जारी करना (Issuance)	टेम्प्लेट अनुमतियों और अनुरोध परिणामों को मान्य करें	CA अनुरोधों को अस्वीकार करता है या अनुपयोगी सर्टिफिकेट जारी करता है
तैनाती (Deployment)	इन्स्टॉलेशन और सुरक्षित प्राइवेट-की एक्सेस सत्यापित करें	सर्टिफिकेट मौजूद है लेकिन सप्लिकेंट इसका उपयोग नहीं कर सकता
नवीनीकरण (Renewal)	जल्दी शुरू करें, पूरा होने की निगरानी करें और परीक्षण किए गए ओवरलैप की अनुमति दें	डिवाइस बिना किसी प्रतिस्थापन के समाप्ति तक पहुंच जाते हैं
समाप्ति (Expiry)	मालिकों को सचेत करें और एक प्रतिबंधित रिकवरी मार्ग प्रदान करें	समाप्त हो चुके उपकरणों को रिकवर करने का कोई तरीका नहीं है
सेवानिवृत्ति (Retirement)	क्रेडेंशियल वापस लें और पुरानी इन्वेंट्री प्रविष्टियों को हटाएं	सेवानिवृत्त उपकरण एक स्वीकृत पहचान बनाए रखते हैं

नवीनीकरण के लिए पूरा होने के प्रमाण की आवश्यकता होती है, न कि केवल सक्षम ऑटोमेशन सेटिंग की। ट्रैक करें कि कोई प्रतिस्थापन प्रमाणपत्र जारी किया गया था, इंस्टॉल किया गया था और सफलतापूर्वक उपयोग किया गया था या नहीं। ओवरलैप के दौरान, पुष्टि करें कि आवेदक बार-बार किसी अप्रचलित क्रेडेंशियल को चुनने के बजाय एक उपयुक्त क्रेडेंशियल चुनता है।

उन उपकरणों के लिए योजना बनाएं जो ऑनलाइन नहीं हैं

नवीनीकरण विंडो को वास्तविक डिवाइस व्यवहार के अनुसार सेट करें। मौसमी रूप से उपयोग किए जाने वाले या स्पेयर के रूप में रखे गए उपकरणों को उस लैपटॉप से भिन्न रिकवरी प्रक्रिया की आवश्यकता हो सकती है जो दैनिक रूप से चेक इन करता है। यह न मानें कि एक ऑफ़लाइन एंडपॉइंट नवीनीकृत हो सकता है क्योंकि इसका पुराना प्रमाणपत्र अभी भी MDM में सूचीबद्ध है।

सर्टिफिकेट सीरियल नंबर, एंडपॉइंट आइडेंटिफायर, मालिक, जारीकर्ता, समाप्ति और नवीनीकरण की स्थिति को जोड़ने वाली एक इन्वेंट्री बनाए रखें। जारीकर्ता CA और प्रमाणीकरण सर्वर सर्टिफिकेट्स को शामिल करें, क्योंकि उनके प्रतिस्थापन से बहुत व्यापक आबादी प्रभावित हो सकती है।

एक नवीनीकरण कार्य जो सफलतापूर्वक चला है, वह उस डिवाइस के समान नहीं है जो अपने प्रतिस्थापन प्रमाणपत्र प्रमाणीकरण (authentication) कर सकता है।

क्लॉक एरर, ऑपरेटिंग-सिस्टम रीबिल्ड और CA चेन परिवर्तनों का परीक्षण करें। एक रीबिल्ड प्राइवेट की को हटा सकता है; क्लॉक एरर के कारण एक वैध सर्टिफिकेट अभी तक वैध नहीं दिखाई दे सकता है; चेन परिवर्तन से एंडपॉइंट्स बिना आवश्यक ट्रस्ट के रह सकते हैं।

MDM, PKI और नेटवर्क सेवाओं से जुड़ी विफलताओं के लिए नामित मालिक असाइन करें। अन्यथा, प्रत्येक टीम यह रिपोर्ट कर सकती है कि उसका अपना सिस्टम ठीक है, जबकि एंडपॉइंट डिस्कनेक्ट रहता है। EAP-TLS आउटेज जोखिम को इन्वेंट्री, ऑटोमेशन और डिपेंडेंसी-मैनेजमेंट समस्या में बदल देता है। यह उस जोखिम को समाप्त नहीं करता है।

डिवाइस खो जाने या लोगों के चले जाने पर एक्सेस रद्द (Revoke) करना

कंपनी छोड़ने वाले व्यक्ति का डायरेक्टरी अकाउंट अक्षम (disable) कर दिया जाता है, लेकिन उनके लैपटॉप में अभी भी ऐसा सर्टिफिकेट मौजूद होता है जिसकी समय सीमा समाप्त नहीं हुई है। क्या वह पुनः कनेक्ट हो सकता है, यह आपके ऑथराइजेशन इंटीग्रेशन और रिवोकेशन कंट्रोल पर निर्भर करता है। अकाउंट को डिसेबल करना और सर्टिफिकेट को रद्द (revoke) करना अलग-अलग क्रियाएं हैं, जब तक कि आपका कॉन्फ़िगर किया गया वर्कफ़्लो उन्हें स्पष्ट रूप से जोड़ता न हो।

ऑफबोर्डिंग के परिणाम को परिचालन के संदर्भ में परिभाषित करें: नए प्रमाणीकरण विफल होने चाहिए, एनरोलमेंट से रिप्लेसमेंट क्रेडेंशियल्स जारी नहीं होने चाहिए, और मौजूदा सत्र एक समर्थित तंत्र के माध्यम से समाप्त होने चाहिए। एक पूर्ण HR टिकट इनमें से किसी भी परिणाम को साबित नहीं करता है।

स्टेटस जांच को समझें

सर्टिफिकेट रिवोकेशन लिस्ट, या CRL, उन सर्टिफिकेट्स को प्रकाशित करती है जिन्हें किसी जारीकर्ता द्वारा वापस ले लिया गया है। ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल, या OCSP, एक वैलिडेटर को रेस्पोंडर से सर्टिफिकेट स्टेटस का अनुरोध करने की अनुमति देता है।

सर्टिफिकेट को वैलिडेट करने वाला कंपोनेंट प्रासंगिक स्टेटस-चेकिंग नीति को लागू करता है। क्लाइंट सर्टिफिकेट के लिए, यह आमतौर पर प्रमाणीकरण सेवा होती है, एक्सेस प्वाइंट नहीं। यदि स्टेटस की जानकारी उपलब्ध नहीं है, तो एक फेल्ड-क्लोज्ड नीति अन्यथा वैध डिवाइसों को ब्लॉक कर सकती है, जबकि एक फेल्ड-ओपन नीति उस क्रेडेंशियल को स्वीकार कर सकती है जिसके निरस्तीकरण (revocation) की पुष्टि नहीं की जा सकती।

उस विकल्प को स्पष्ट बनाएं। यह मानने के बजाय कि "revoke" पर क्लिक करने से हर ऑथेंटिकेशन निर्णय तुरंत बदल जाता है, अपने परीक्षणों में कैश्ड स्टेटस जानकारी, पब्लिकेशन डेले और रेस्पोंडर की उपलब्धता को शामिल करें।

खोए हुए डिवाइस की पूरी प्रक्रिया का उपयोग करें

एक गायब लैपटॉप के लिए, प्रत्येक कार्रवाई को एक अलग टीम के अंतिम चरण के रूप में मानने के बजाय कार्यों का समन्वय करें:

1. क्रेडेंशियल की पहचान करें और उसे वापस लें। एंडपॉइंट को उसके वास्तविक प्रमाणपत्र सीरियल नंबर से मिलाएँ और प्रासंगिक क्रेडेंशियल को रद्द करें।
2. प्रतिस्थापन जारी होने से रोकें। डिवाइस की एनरोलमेंट पात्रता को अक्षम करें और उपयुक्त MDM रिटायरमेंट या हटाने की प्रक्रिया लागू करें।
3. सक्रिय एक्सेस समाप्त करें। समर्थित सत्र-डिस्कनेक्ट नियंत्रणों का उपयोग करें, जिसमें RADIUS ऑथराइजेशन परिवर्तन (Change of Authorization) शामिल है, जहाँ इन्फ्रास्ट्रक्चर इसका समर्थन करता है।
4. परिणाम सत्यापित करें। पुष्टि करें कि सत्र समाप्त हो गया है और एक नया प्रमाणीकरण प्रयास अस्वीकृत कर दिया गया है।

केवल निरसन (revocation) से ही आवश्यक रूप से कोई स्थापित वायरलेस सत्र समाप्त नहीं होता है। समर्थित डिस्कनेक्ट तंत्र के बिना उपकरणों पर, सत्र पुनर्कनेक्शन, पुनर्माणीकरण या किसी अन्य बाध्यकारी सत्र सीमा तक जारी रह सकता है। इस सीमा को अपनी घटना प्रक्रिया (incident procedure) में दर्ज करें।

आपके ऑडिट रिकॉर्ड में निम्नलिखित शामिल होना चाहिए:

• क्रेडेंशियल पहचान: डिवाइस पहचानकर्ता, प्रमाणपत्र सीरियल नंबर और संबद्ध मालिक।
• निर्णय का प्रमाण: रद्द करने का कारण, ऑपरेटर और कार्रवाई का समय।
• प्रवर्तन का प्रमाण: सत्र समाप्ति का समय और उसके बाद की अस्वीकृति का परिणाम।
• बकाया जोखिम: कोई भी सत्र जिसे बलपूर्वक समाप्त नहीं किया जा सका और की गई रोकथाम कार्रवाई।

रिवोकेशन अभ्यासों का समय निर्धारित करें। उन्हें ऑथेंटिकेशन-नीति परिवर्तनों के बाद और नियमित परिचालन परीक्षण के दौरान चलाएं, ताकि वास्तव में डिवाइस खो जाने की घटना पूरे पाथ को साबित करने का आपका पहला प्रयास न हो।

डिवाइस पात्रता और अपवाद योजना

डिवाइस श्रेणियाँ और EAP-TLS के साथ उनका उपयुक्त मेल

डिवाइस क्लास	EAP-TLS उपयुक्तता	विशिष्ट विकल्प	पूछा जाने वाला मुख्य प्रश्न
प्रबंधित लैपटॉप और फ़ोन	मजबूत	किसी की आवश्यकता नहीं, MDM एनरोलमेंट	क्या MDM एनरोलमेंट विश्वसनीय है?
कॉर्पोरेट टैबलेट और कियोस्क	MDM द्वारा प्रबंधित होने पर अच्छा	अपने आप में कियोस्क-विशिष्ट की SSID	क्या प्राइवेट की सुरक्षित स्टोरेज में रह सकती है?
हेडलेस IoT सेंसर	उपयुक्त फर्मवेयर के बिना खराब	आइसोलेटेड VLAN पर प्रति-डिवाइस की	क्या फर्मवेयर 802.1X का समर्थन करता है?
रूम सिस्टम, AV और कॉन्फ्रेंसिंग	विक्रेता-विशिष्ट सहायता	प्रति-डिवाइस की के साथ समर्पित SSID	क्या विक्रेता सर्टिफिकेट इंस्टॉल और रिन्यू कर सकता है?
मेडिकल डिवाइस	अक्सर सीमित	विक्रेता द्वारा स्वीकृत विधि के साथ खंडित (Segmented) नेटवर्क	क्या डिवाइस इस विधि के लिए प्रमाणित है?
लेगेसी ऑपरेटिंग सिस्टम एंडपॉइंट्स	आवश्यक क्षमताएं अनुपस्थित होने पर असमर्थित	समय-सीमाबद्ध अपवाद के साथ क्वारंटीन VLAN	अपवाद की समीक्षा कब की जाती है?

मूल बाधा यह है कि प्रत्येक EAP-TLS क्लाइंट को अपने स्वयं के सर्टिफिकेट की आवश्यकता होती है, न कि केवल सर्वर पर विश्वास की। NIST की वायरलेस नेटवर्क गाइडेंस इस क्लाइंट-सर्टिफिकेट आवश्यकता को केवल सर्वर वाले सर्टिफिकेट ऑथेंटिकेशन से अलग करती है।

इसलिए एक डिवाइस को कार्यशील सप्लीकेंट, उपयुक्त प्राइवेट-की सुरक्षा और अपने क्रेडेंशियल प्राप्त करने तथा बदलने के लिए समर्थित तरीके की आवश्यकता होती है। यह कहने वाली विशिष्टता शीट (specification sheet) कि “एंटरप्राइज WiFi समर्थित है” इन क्षमताओं को स्थापित करने के लिए पर्याप्त नहीं है।

पूरे डिवाइस जीवनचक्र का परीक्षण करें

कॉन्फ़्रेंस-रूम सिस्टम के लिए, वेंडर से फ़ैक्टरी रीसेट के बाद सर्टिफिकेट इंस्टॉलेशन, रिन्यूअल और रिकवरी का प्रदर्शन करने के लिए कहें। एक वेब इंटरफ़ेस जो सर्टिफिकेट अपलोड स्वीकार करता है, वह रखरखाव का समाधान किए बिना ऑनबोर्डिंग का समाधान कर सकता है।

मेडिकल और ऑपरेशनल उपकरणों के लिए, वेंडर की सहायता आवश्यकताओं को बनाए रखें। केवल इसलिए किसी प्रोडक्शन डिवाइस की ऑथेंटिकेशन विधि न बदलें क्योंकि उसी निर्माता का कोई अन्य प्रोडक्ट इसका समर्थन करता है।

व्यक्तिगत उपकरणों को एक अलग पात्रता निर्णय की आवश्यकता होती है। उपयोगकर्ताओं को एनरोल करने के लिए बाध्य करने से पहले आपके BYOD ऑनबोर्डिंग डिज़ाइन को यह स्थापित करना चाहिए कि कौन सा प्रबंधन या प्रोफाइल इंस्टॉलेशन स्वीकार्य है।

अपवादों को सीमित और जवाबदेह बनाएं

जो डिवाइस सर्टिफिकेट्स का उपयोग नहीं कर सकता है, उसे किसी मैनेज्ड कर्मचारी लैपटॉप की एक्सेस अनुमतियाँ विरासत में नहीं मिलनी चाहिए। इसके वैकल्पिक क्रेडेंशियल के लिए एक परिभाषित मालिक प्रदान करें और नेटवर्क को उसके आवश्यक गंतव्यों तक सीमित करें।

प्रत्येक अपवाद के लिए निम्नलिखित रिकॉर्ड करें:

• तकनीकी कारण: गायब क्षमता या विक्रेता प्रतिबंध, जिसे कॉन्फ़िगरेशन जाँच द्वारा समर्थित किया गया है।
• क्षतिपूर्ति नियंत्रण: विभाजन (Segmentation), अनुमति प्राप्त सेवाएं और व्यक्तिगत रूप से रद्द करने योग्य विकल्प।
• समीक्षा की तारीख: अपवाद को नवीनीकृत करने, बदलने या हटाने का एक निर्धारित निर्णय।
• प्रतिस्थापन योजना: फर्मवेयर अपग्रेड, समर्थित ऑनबोर्डिंग विधि या हार्डवेयर प्रतिस्थापन जो इसे समाप्त करेगा।

अज्ञात उपकरणों के लिए एक अस्थायी क्वारंटाइन नेटवर्क को स्थायी घर बनाने से बचें। बिना किसी मालिक या निकास स्थिति के एक अपवाद एक अनिर्धारित एक्सेस पॉलिसी बन जाता है। रक्षात्मक दृष्टिकोण किसी भी कीमत पर सर्टिफिकेट प्राप्त करना नहीं है; यह सोच-समझकर सीमित किए गए विकल्पों के साथ-साथ मजबूत प्रबंधित-डिवाइस ऑथेंटिकेशन है।

रोल आउट करने से पहले अपनी प्रमाणपत्र योजना की पुष्टि करें

एक सफल प्रदर्शन यह दिखाता है कि एक स्वस्थ लैपटॉप कनेक्ट हो सकता है। एक उपयोगी पायलट दिखाता है कि तब क्या होता है जब नामांकन विफल हो जाता है, क्रेडेंशियल की अवधि समाप्त हो जाती है, एक डिवाइस वापस ले लिया जाता है और कोई निर्भरता अनुपलब्ध हो जाती है। केवल पहले सफल हैंडशेक को नहीं, बल्कि पूरे ऑपरेटिंग मॉडल को स्वीकृत करें।

प्रोडक्शन एक्सेस को बदलने से पहले एक पायलट साइट चुनें और दायरे में आने वाली डिवाइस श्रेणियों की पहचान करें। एक्सेस पॉइंट क्षमताओं, सप्लिकेंट व्यवहार और फ़र्मवेयर संस्करणों का इन्वेंट्री बनाएं। जहाँ उच्च-आश्वासन प्रोफ़ाइल की आवश्यकता हो, प्रतिनिधि एंडपॉइंट्स के विरुद्ध चयनित सर्टिफिकेट टेम्पलेट, सर्टिफिकेट-चेन चेक और विस्तृत की (key) उपयोग को मान्य करें।

इस सप्ताह की तत्परता समीक्षा (readiness review) को ठोस बनाएं

गयाब स्वामियों और अप्रमाणित मान्यताओं को उजागर करने के लिए इस चेकलिस्ट का उपयोग करें।

• डिवाइस समर्थन की पुष्टि करें: सत्यापित करें कि प्रत्येक इन-स्कोप डिवाइस एक सुरक्षित प्राइवेट की को स्टोर और उपयोग कर सकता है, न कि केवल एक सर्टिफिकेट इम्पोर्ट कर सकता है।
• विश्वास और नवीनीकरण की पुष्टि करें: CA चेन, एनरोलमेंट सेवा, नवीनीकरण निगरानी और रिकवरी पथ के लिए मालिकों को नियुक्त करें।
• प्रवर्तन का परीक्षण करें: स्वीकृति, अस्वीकृति, निरसन (revocation) और समर्थित लाइव-सेशन समाप्ति का प्रदर्शन करें।
• अपवादों को स्वीकृत करें: प्रत्येक असमर्थित वर्ग को एक प्रतिबंधित विकल्प, जवाबदेह मालिक और समीक्षा तिथि दें।
• कार्रवाई योग्य अलर्ट सेट करें: आगामी समाप्ति और विफल नवीनीकरण घटनाओं को उस व्यक्ति तक पहुंचाएं जो उनका समाधान कर सकता है।

एक दोहराने योग्य RADIUS प्रमाणीकरण परीक्षण प्रक्रिया का उपयोग करें ताकि इंजीनियर तुलनीय साक्ष्य एकत्र कर सकें। क्लाइंट की स्थिति, अपेक्षित परिणाम, वास्तविक परिणाम और प्रासंगिक विफलता कोड दर्ज करें।

सहायता योग्यता के आधार पर पायलट का आकलन करें

परिभाषित रोलबैक प्रक्रिया के साथ मौजूदा नेटवर्क के साथ सर्टिफिकेट पाथ चलाएं। इसमें रिमोट एनरोलमेंट, रीबिल्ट एंडपॉइंट, एक ऑफलाइन स्पेयर और आपका हेल्पडेस्क जिन ऑपरेटिंग सिस्टम्स का समर्थन करता है, उन्हें शामिल करें। केवल हाल ही में प्रोविज़न किए गए लैपटॉप न चुनें।

ऑथेंटिकेशन लॉग के साथ-साथ हेल्पडेस्क टिकट्स की समीक्षा करें। सर्टिफिकेट विफलताओं को वायरलेस कवरेज, एड्रेस एलोकेशन और VLAN समस्याओं से अलग करें, ताकि टीम किसी असंबंधित खराबी को ठीक करने के लिए PKI को फिर से डिज़ाइन न करे।

पायलट स्वीकृति का अर्थ यह होना चाहिए कि प्रबंधित डिवाइस आमतौर पर उपयोगकर्ता के हस्तक्षेप के बिना जुड़ते हैं, विफलताओं के नाम निर्दिष्ट कारण होते हैं, और पहुँच की वापसी को प्रदर्शित किया जा सकता है। निर्णय की व्याख्या करने के लिए पर्याप्त पहचान संदर्भ के साथ सफल और अस्वीकृत दोनों प्रयासों का प्रमाण रखें।

पायलट शुरू होने से पहले उसकी समीक्षा तिथि निर्धारित करें। इस सप्ताह साइट, डिवाइस श्रेणियों, मालिकों और स्वीकृति मानदंडों की पुष्टि करें, फिर टीम द्वारा विफलताओं को हल करने और रिकवरी साबित करने के बाद ही इसका विस्तार करें। भरोसेमंद नवीनीकरण और रिवोकेशन के साथ एक छोटा रोलआउट, एक व्यापक परिनियोजन (deployment) की तुलना में बेहतर आधार है जिसे कोई भी आत्मविश्वास से ठीक नहीं कर सकता है।

---

Purple Access आपके पास पहले से मौजूद एक्सेस पॉइंट्स पर गेस्ट और प्रति-डिवाइस एक्सेस के साथ-साथ, MDM-प्रदत्त EAP-TLS के माध्यम से प्रमाणपत्र-आधारित स्टाफ WiFi प्रदान करता है। एक साइट पर पायलट की योजना बनाने, प्रमाणपत्र और अपवाद पथों को सत्यापित करने, और रोलआउट का विस्तार करने से पहले सपोर्ट टिकटों और ऑडिट साक्ष्यों पर परिणाम का न्याय करने के लिए Purple Access पर जाएं।