公司声称硬线连接是一个安全问题

信息安全 网络 杀毒软件 无线的 反剥削
2021-08-29 05:19:49

与我有关系的人正在参加他们想要的职业的学习营。这个人,姑且就叫她简吧,应该是在认真学习两个月吧。所提供的外壳提供无线互联网连接,这些连接参差不齐,甚至无法流畅地播放低质量视频或其他有用的学习任务。由于 Jane 想在停机时间学习并查找资源作为材料的参考,因此她需要访问这些材料并遭受连接缓慢的困扰。没有提供调制解调器或其他通过以太网连接的方式,学生应该有某种形式的无线连接计算机,大概。

现在,我希望简有最好的学习经历,我知道他们可能认为这种经历是“最好的学习”,所以我打电话说我有兴趣自己参加夏令营,但我只有一个台式电脑没有无线网卡,我希望有线连接。几个小时后,我收到了回复,内容如下:

“由于病毒和其他东西,我们不提供到我们网络的硬线连接”

我很清楚我被转发的信息是二手的,但我承认我无法改变任何人对这项政策的看法,我来这里提出这个问题:

仅提供无线连接究竟可以获得哪些安全优势?

在这种情况下,我假设给我的答案是真实的,而不仅仅是他们不做额外工作或类似事情的借口。

4个回答

警告:推测,因为我们都不知道他们的实际设置。

该组织很可能拥有自己的硬连线网络,以及仅限无线的访客网络。两者是独立的网络。这是一种常见的布局,因为在办公桌上铺设电线很昂贵,但对于您自己的员工来说是值得的;对于您的客人来说,无线广播很便宜,而且每一分钱都值得。

当您询问硬接线连接时,他们回答的是您将在哪个网络上而不是您如何连接到网络的问题。由于两者在他们的脑海中交织在一起(“硬线是我们的网络,无线是访客网络”),他们的回答非常简单。

从他们的角度来看,他们不希望在他们的网络上出现非组织机器,只希望在访客网络上——因为病毒和其他东西。我们都可以理解,我们不希望内部网络上有随机访问者,对吧?所以这将是他们的答案有意义的背景。

我建议向他们解释你的担忧,看看他们是否能想出解决方案,而不是询问他们你期望的解决方案。他们可能只希望客人需要足够的连接来进行电子邮件和轻量级网页浏览。如果您解释 Jane 需要更多带宽来满足她的学习需求,并且可以说服他们这是一个合理的请求,他们可能会找到一些帮助方式 - 即使只是将 Jane 移动到更靠近无线 AP 的房间。

这真的取决于他们如何建立他们的网络,所以我们只能推测。但我可以提供一个类似的轶事。

我当地的图书馆有一个 wifi,您可以使用您的借书证登录。有几个房间的墙上有以太网端口,但是当我问我是否可以插入时,我被告知以太网直接连接到后端网络,可以访问图书馆的数据库、打印机等。不适合客户。

通常的做法是为使用公司提供的防病毒软件等的“受信任”机器保留单独的网络,并为公众使用单独的网络。我想 wifi vs ethernet 是一种很好的分割方式。

我将从网络工程的角度来解决这个问题(完整披露:CCNA / N+,我从事企业级网络系统,其中包括我们将在这里讨论的复杂主题,以及已经完成的私立大学的网络工程)。

每个网络都不同,每个网络设备也不同,但有一些共性:

  • 许多企业级设备(交换机)提供某种“VLAN”(“Virtual-LAN”),对于那些不熟悉的人,可以将其视为“此交换机端口位于 LAN X 中,而另一个交换机端口位于LAN Y.",这允许我们在逻辑上分离设备,这样你我就可以插入同一个交换机,但通过 MAC 定位甚至看不到对方;
  • 许多企业级设备(交换机)提供 SNMP 目标/触发/“陷阱”ping,以根据 MA​​C 地址等在不同 VLAN 之间切换端口;

这是关于以太网/RJ-45/100M/1000M 连接的事情:我们通常为此使用低端设备,因为我们经常“只”需要一个基本的连接到路由器。通常它们不太先进,并且不提供上述优质功能。(现在,您通常会在几乎每个交换机上发现“VLAN”隔离,但 SNMP 触发和目标很难找到一个好的价格点。)

当我在大学工作时,我们使用的软件可以查看交换机端口和 MAC 地址(以太网端口的唯一硬件标识符),这将决定您所在的“VLAN”:访客、员工、教师、学生,实验室等。这在许可和实施方面都非常昂贵。虽然有很好的免费工具可以做到这一点,但设置起来仍然很困难,而且可能不值得,这取决于公司的目标是什么。(这个软件是出了名的不可靠。)另一个问题是,如果有足够的工作,MAC 地址可以被欺骗,这使得它与使用某人的全名一样安全。

所以,我们必须做出决定,支持可能不稳定、不安全、泄露对特权资源的访问的硬连线连接,还是不支持?

没有网络是绝对安全的,即使我们将“受保护”网络上的所有资源都锁定了,仍然存在将外部设备连接到网络的风险。因此,我们经常做出“任何 BYOD 都连接到此无线网络”之类的决定。我们可以通过不同的 SSID 和身份验证机制将无线网络变成“访客”/“安全”网络。这意味着我们可以让客人和员工连接到一个无线接入点。基础设施成本更低,而且我们获得了相同的安全优势。

像其他答案一样,这是猜想或推测,但根据我的(专业)经验,这可能是可能的解释。支持硬连线连接的基础设施成本太高,不合理。(而且由于如今人们使用的几乎所有设备都具有无线功能,因此很难证明其合理性。)考虑到即使是 Apple 在默认情况下也从 MacBook Pro 上删除了以太网端口,我们陷入了“这是否值得?”的问题。情况。


TL;DR;:以太网太贵了,无法全面实施和正确保护,而无线正变得更加普遍、安全且更易于分配访问。

看起来这已经解决了,但我想注入“无线 AP 隔离”的讨论,它是一键单击大多数供应商的中小型部署,例如小型学校和酒店。

我可以很容易地看到一个依赖 AP 隔离的“夏令营”,而不是硬件网络分段来阻止“病毒和其他东西”。

我不知道这是否真的是一个很好的防御,或者这是否很容易被打破。