Automatisierung der Enterprise WiFi-Sicherheit: Der SCEP-Zertifikatsbereitstellungs-Leitfaden

Willkommen zu diesem technischen Briefing. Ich werde Sie heute durch unseren neuesten Leitfaden führen: Automatisierung der Enterprise WiFi-Sicherheit, mit besonderem Fokus auf die SCEP-Zertifikatsbereitstellung. Wenn Sie Netzwerke für Hotels, Einzelhandelsketten oder öffentliche Veranstaltungsorte verwalten, wissen Sie bereits, dass die Verwendung von Pre-Shared Keys oder einfachen Captive Portals für den Mitarbeiterzugriff ein massives Sicherheitsrisiko darstellt. Heute sprechen wir über den Goldstandard: 802.1X-Authentifizierung mittels EAP-TLS. Lassen Sie uns einen Blick auf die Architektur werfen. Die größte Herausforderung bei EAP-TLS ist nicht das Protokoll selbst, sondern die Logistik, einzigartige Client-Zertifikate auf Tausende von Geräten zu übertragen – seien es Windows-Laptops, iPads oder Point-of-Sale-Tablets. Hier kommen Mobile-Device-Management- bzw. MDM-Plattformen wie Microsoft Intune oder Jamf ins Spiel. Aber wie stellen Sie diese Zertifikate sicher bereit? Im Wesentlichen haben Sie zwei Möglichkeiten: PKCS oder SCEP. Lassen Sie mich das ganz unmissverständlich sagen: Für die WiFi-Authentifizierung sollten Sie SCEP wählen. Das ist das Simple Certificate Enrollment Protocol. Und das ist der Grund dafür: Bei SCEP weist das MDM-System das Endgerät an, seinen eigenen privaten Schlüssel lokal zu generieren. Dieser Schlüssel bleibt in der sicheren Hardware des Geräts gesperrt. Er wird niemals über das Netzwerk übertragen. Das Gerät sendet lediglich eine Zertifikatsignierungsanforderung (Certificate Signing Request) über ein Gateway, in der Regel einen NDES-Server, an Ihre Zertifizierungsstelle. Vergleichen Sie das mit PKCS, bei dem die Zertifizierungsstelle den privaten Schlüssel zentral generiert und über das Netzwerk an das Gerät überträgt. Während PKCS seine Daseinsberechtigung hat – etwa bei der E-Mail-Verschlüsselung, bei der Sie ein Key-Escrow benötigen –, ist die Übertragung privater Schlüssel über das Netzwerk ein Risiko, das Sie für die Netzwerkauthentifizierung schlichtweg nicht eingehen müssen. Belassen Sie die Schlüssel auf dem Gerät. Nutzen Sie SCEP. Kommen wir nun zur Implementierung. Wenn Sie eine einzige Sache aus diesem Briefing mitnehmen, dann diese Faustregel: Vertrauen vor Authentifizierung. Sie können nicht einfach ein WiFi-Profil bereitstellen und erwarten, dass es funktioniert. Es gibt eine strikte, dreistufige Bereitstellungsreihenfolge, die Sie einhalten müssen. Schritt eins: Bereitstellung des Trusted Root-Zertifikats. Bevor ein Gerät ein Client-Zertifikat anfordern oder Ihrem RADIUS-Server vertrauen kann, muss es der ausstellenden Zertifizierungsstelle vertrauen. Stellen Sie dieses Profil zuerst bereit. Schritt zwei: Konfigurieren und Bereitstellen des SCEP-Zertifikatsprofils. Dieses teilt dem Gerät mit, wie es mit dem SCEP-Gateway kommunizieren soll, welches Format für den Betreffnamen zu verwenden ist und wofür das Zertifikat eigentlich gedacht ist – in diesem Fall für die Client-Authentifizierung. Sie müssen dieses Profil mit dem in Schritt eins bereitgestellten Trusted Root verknüpfen. Schritt drei: Bereitstellung des 802.1X WiFi-Profils. Hier führen Sie alles zusammen. Sie geben die SSID an, wählen WPA3-Enterprise, stellen den EAP-Typ auf EAP-TLS ein und verweisen auf das SCEP-Zertifikat für die Client-Authentifizierung. Hier ist ein großer Fallstrick, den wir ständig sehen. Ein Kunde ruft uns an und sagt: "Die Zertifikate befinden sich auf dem Gerät, aber das WiFi-Profil zeigt in Intune einen Fehler an." Fast jedes Mal liegt dies an einer fehlerhaften Gruppenzuordnung (Targeting Mismatch). Wenn Sie das SCEP-Profil einer „Benutzer“-Gruppe zuweisen, das WiFi-Profil jedoch einer „Geräte“-Gruppe, kann das MDM die Abhängigkeit nicht auflösen. Gleichen Sie Ihre Zielgruppen über alle drei Profile hinweg exakt ab. Betrachten wir ein reales Szenario. Stellen Sie sich ein Hotel mit 200 Zimmern vor. Es verfügt über 150 verwaltete iOS-Geräte für das Housekeeping. Derzeit nutzen sie ein Standard-Passwortnetzwerk, und das Personal gibt das Passwort ständig an Gäste weiter. Ein Albtraum. Durch die Migration auf WPA2-Enterprise mit EAP-TLS via SCEP eliminiert der IT-Leiter das Passwort vollständig. Die iOS-Geräte authentifizieren sich geräuschlos im Hintergrund anhand ihrer Zertifikate. Doch was passiert, wenn eine Reinigungskraft ein Gerät verliert oder das Unternehmen verlässt? Das Deaktivieren des Active Directory-Kontos reicht nicht aus, da das Zertifikat auf diesem Gerät kryptografisch weiterhin gültig ist. Dies bringt uns zu einer kritischen Sicherheitsmaßnahme: der strengen CRL-Prüfung. Sie müssen Ihren RADIUS-Server so konfigurieren, dass er die Zertifikatssperrliste (Certificate Revocation List) prüft. Wenn ein Gerät verloren geht, sperren Sie das Zertifikat bei der CA. Der RADIUS-Server erkennt die Sperrung in der CRL und blockiert sofort den Netzwerkzugriff. Ohne strenge CRL-Prüfung ist Ihre Sicherheitsaufstellung unvollständig. Zusammenfassend lässt sich sagen, dass der Übergang zur automatisierten SCEP-Zertifikatsbereitstellung einen enormen ROI liefert. Sie werden eine Reduzierung der WiFi-bezogenen Helpdesk-Tickets um 70 bis 80 Prozent feststellen, da sich Benutzer nicht mehr aussperren oder Passwörter falsch eingeben. Vor allem eliminieren Sie das Risiko des Abgreifens von Anmeldedaten (Credential Harvesting) und stellen sicher, dass Sie Compliance-Frameworks wie PCI DSS und GDPR einhalten. Bei der Automatisierung der WiFi-Sicherheit in Unternehmen geht es nicht nur darum, Dinge abzuriegeln; es geht darum, den sicheren Weg zum einfachsten Weg für Ihre Benutzer zu machen. Vielen Dank fürs Zuhören, und schauen Sie sich unbedingt den vollständigen schriftlichen Leitfaden für die detaillierte Schritt-für-Schritt-Konfiguration an.