المصادقة الشخصية مقابل المؤسسية

تأتي WPA2 وWPA3 بنمطين للمصادقة: Personal وEnterprise. يستخدم النمط Personal كلمة مرور مشتركة واحدة للجميع، بينما يمنح النمط Enterprise كل مستخدم بيانات اعتماد خاصة به يتحقق منها خادم مركزي. يشرح هذا الدرس الفرق بينهما، وآلية عمل كل منهما، ومتى تختار أحدهما، وهو موضوع يتكرر بانتظام في اختبار Network+.

يستخدم نمط Personal، المعروف أيضًا باسم PSK ‏(Pre-Shared Key)، كلمة مرور واحدة يجب على كل من يتصل إدخالها. وتُعد كلمة مرور Wi-Fi المنزلية الموجودة على ملصق الموجّه مثالًا على PSK. من السهل إعداده، وهو مناسب تمامًا للمنازل والمكاتب الصغيرة. يشترك الجميع في السر نفسه، ومعرفته هي كل ما يلزم للانضمام إلى الشبكة.

لكن المفتاح المشترك هو أيضًا نقطة الضعف. فإذا سرّب أحد الأشخاص كلمة المرور، فبإمكان أي شخص الانضمام إلى الشبكة، ولإلغاء الوصول يجب تغيير كلمة المرور للجميع وإعادة تهيئة كل جهاز. لا توجد هوية خاصة بكل مستخدم، لذلك لا يمكنك معرفة هوية كل شخص أو تعطيل مستخدم واحد فقط. بالنسبة إلى عدد قليل من الأشخاص الموثوقين، لا يمثل ذلك مشكلة؛ أما في الشركة، فلا يتوسع هذا الأسلوب بكفاءة.

يستخدم نمط Enterprise مصادقة 802.1X، إذ يمنح كل مستخدم اسم مستخدم وكلمة مرور خاصين به (أو شهادة) بدلًا من مفتاح مشترك واحد. عند اتصال مستخدم، يتم التحقق من بيانات اعتماده مقابل خادم مصادقة مركزي قبل منحه الوصول. لا توجد كلمة مرور واحدة لشبكة Wi-Fi يمكن مشاركتها أو تسريبها؛ فكل شخص يصادق على هويته بشكل منفصل.

تعتمد مصادقة Enterprise على خادم RADIUS ‏(Remote Authentication Dial-In User Service). يمرر access point بيانات اعتماد كل مستخدم إلى خادم RADIUS، الذي يتحقق منها مقابل دليل، ثم يخبر AP بالسماح بالاتصال أو رفضه. ويُعد RADIUS العقل المركزي الذي يجعل تسجيل الدخول إلى Wi-Fi لكل مستخدم ممكنًا عبر العديد من access points في المؤسسة.

في 802.1X، تتعاون ثلاثة أدوار: supplicant (جهاز المستخدم)، وauthenticator (access point أو switch)، وauthentication server ‏(RADIUS). يرسل supplicant بيانات الاعتماد، ويمررها authenticator، ثم يقرر الخادم. وتتواصل هذه الأطراف باستخدام EAP ‏(Extensible Authentication Protocol)، وهو إطار عمل مرن يدعم كلمات المرور والشهادات وطرقًا أخرى.

يتفوق نمط Enterprise في المؤسسات. يمكنك تعطيل مستخدم واحد دون التأثير في أي شخص آخر، ومعرفة من اتصل، وفرض سياسات خاصة بكل مستخدم، وتجنب سر مشترك واحد يسهل تسريبه. كما يتكامل مع أدلة المستخدمين الموجودة، بحيث يستخدم الموظفون بيانات تسجيل الدخول نفسها التي لديهم بالفعل. وهذه المساءلة والتحكم على مستوى كل مستخدم هي بالضبط ما تحتاج إليه الشركات لتوفير Wi-Fi آمن وسهل الإدارة.

تكمن تكلفة نمط Enterprise في تعقيده. فهو يتطلب إعداد خادم RADIUS وصيانته ودمجه مع دليل المستخدمين، وهذا عمل أكبر بكثير من إدخال PSK واحد. بالنسبة إلى المنزل أو المكتب الصغير جدًا، لا تستحق هذه النفقات الإضافية. ويعتمد الاختيار على الموازنة بين العوامل: Personal للبساطة، وEnterprise للتوسع والتحكم والمساءلة.

استخدم Personal (PSK) للمنازل والشبكات الصغيرة التي يكون فيها مقبولًا أن يتشارك المستخدمون الموثوقون كلمة مرور واحدة. واستخدم Enterprise (802.1X with RADIUS) للشركات والمدارس وأي مكان تحتاج فيه إلى تسجيل دخول لكل مستخدم، وإلغاء وصول الأفراد، وتحقيق المساءلة. يمكن تشغيل كلا النمطين على WPA2 أو WPA3، لذا يمكنك اختيار معيار التشفير ونمط المصادقة بشكل مستقل.

يمكن لمصادقة Enterprise استخدام طرق EAP مختلفة. يتحقق كل من PEAP وEAP-TTLS من المستخدمين باستخدام اسم مستخدم وكلمة مرور داخل نفق محمي، وهو الأسلوب الأكثر شيوعًا. ويستخدم EAP-TLS certificates رقمية على كل من العميل والخادم لتوفير أقوى مصادقة دون كلمات مرور، لكنه يتطلب إدارة الشهادات. لا تحتاج إلى معرفة كل التفاصيل؛ يكفي أن تعرف أن EAP إطار عمل مرن، وأن EAP-TLS القائم على الشهادات هو الخيار الأكثر أمانًا.

يحدد الاختيار بين Personal وEnterprise كيفية إدارة الوصول اللاسلكي. يستخدم Personal مفتاحًا مشتركًا واحدًا، وهو بسيط لكنه لا يوفر تحكمًا خاصًا بكل مستخدم. أما Enterprise فيستخدم 802.1X وخادم RADIUS لتوفير بيانات اعتماد فردية، والمساءلة، وسهولة إلغاء الوصول. وتُعد معرفة الأدوار: supplicant وauthenticator وauthentication server، بالإضافة إلى مصطلح PSK، من أساسيات معرفة Network+ الخاصة بالمصادقة اللاسلكية.

اختبر معرفتك بالمصادقة.

يوفر WPA2/WPA3 نمطين. يستخدم Personal (PSK) كلمة مرور مشتركة واحدة، وهو بسيط للمنازل لكنه لا يوفر هوية خاصة بكل مستخدم، ويجعل إلغاء الوصول أمرًا شاقًا. ويستخدم Enterprise بروتوكول 802.1X مع خادم RADIUS، بحيث يمتلك كل مستخدم بيانات اعتماد فردية، مما يتيح المساءلة وسهولة إلغاء الوصول. أدوار 802.1X هي supplicant (الجهاز)، وauthenticator (AP)، وauthentication server ‏(RADIUS)، وتتواصل عبر EAP. اختر Personal للبساطة، وEnterprise للتوسع والتحكم.