Bereitstellung von SCEP für sichere BYOD- und WiFi-Authentifizierung im Hochschulbereich

Willkommen beim technischen Briefing von Purple. Ich bin Ihr Gastgeber, und heute behandeln wir ein Thema, das in der IT von Hochschulen ständig zur Sprache kommt: die Bereitstellung von SCEP für eine sichere BYOD- und WiFi-Authentifizierung. Wenn Sie PEAP-MSCHAPv2 auf Ihrem Campus-Netzwerk betreiben, ist dieses Briefing für Sie direkt relevant. Und wenn Sie bereits einen Wechsel zur zertifikatsbasierten Authentifizierung planen, liefern wir Ihnen die Architektur, die Fallstricke und die Implementierungsreihenfolge, um dieses Ziel zu erreichen. Beginnen wir mit dem Problem. Universitäten sind von Natur aus offene Umgebungen. Studierende kommen im September mit zwei, drei, manchmal fünf persönlichen Geräten an. Sie erwarten, sich sofort, sicher und ohne Anruf beim Helpdesk zu verbinden. Die Realität an den meisten Einrichtungen ist eine Helpdesk-Warteschlange, die innerhalb von 48 Stunden nach Semesterbeginn zweitausend Tickets erreicht. Das ist kein Personalproblem. Das ist ein Architekturproblem. Die Ursache ist fast immer dieselbe: passwortbasierte WiFi-Authentifizierung. Wenn Sie WPA2-Enterprise mit PEAP und MSCHAPv2 betreiben, verlangen Sie von den Studierenden, die 802.1X-Einstellungen auf jedem Gerät manuell zu konfigurieren. Eine falsche Einstellung, und sie sind anfällig für einen Man-in-the-Middle-Angriff. Schlimmer noch: Wenn die Universität alle 90 Tage eine Passwortänderung erzwingt, verliert jedes Gerät auf dem Campus gleichzeitig den WiFi-Zugang. Das ist eine vorhersehbare, vermeidbare Katastrophe. Die Antwort ist eine zertifikatsbasierte Authentifizierung mittels EAP-TLS, und der Mechanismus, der sie skalierbar macht, ist SCEP: das Simple Certificate Enrollment Protocol. SCEP wurde 2020 von der IETF im RFC 8894 formalisiert, obwohl es bereits seit den frühen 2000er-Jahren im Einsatz ist. Es automatisiert den Prozess der Anforderung und Installation digitaler X.509-Zertifikate auf Geräten, ohne dass ein manueller IT-Eingriff pro Gerät erforderlich ist. Hier ist die Funktionsweise im Überblick. Ihre MDM-Plattform, sei es Microsoft Intune oder Jamf, überträgt eine SCEP-Payload auf jedes registrierte Gerät. Diese Payload enthält zwei Dinge: die SCEP-Gateway-URL und ein gemeinsames Challenge-Passwort. Das Gerät generiert einen Certificate Signing Request, sendet ihn an das SCEP-Gateway, welches das Challenge-Passwort validiert und die Anfrage an Ihre Certificate Authority weiterleitet. Die CA signiert das Zertifikat und sendet es an das Gerät zurück. Ab diesem Zeitpunkt authentifiziert sich das Gerät über EAP-TLS an Ihrem WiFi-Netzwerk: Das Zertifikat beweist die Identität des Geräts gegenüber dem RADIUS-Server, und das Zertifikat des RADIUS-Servers beweist die Identität des Netzwerks gegenüber dem Gerät. Gegenseitige Authentifizierung. Keine Passwörter, die über die Luft übertragen werden. Diese gegenseitige Authentifizierung ist entscheidend. Bei PEAP übergibt ein Student, der sich mit einem gefälschten Access Point verbindet, der Ihre SSID ausstrahlt, bereitwillig seine Anmeldedaten. Bei EAP-TLS überprüft das Gerät das Zertifikat des RADIUS-Servers, bevor es fortfährt. Wenn es nicht mit der vertrauenswürdigen CA übereinstimmt, schlägt die Verbindung geräuschlos fehl. Damit haben Sie die gesamte Klasse der Evil-Twin-Angriffe eliminiert. Sprechen wir nun über die Architektur. Eine produktionsbereite SCEP-Bereitstellung für eine Universität besteht aus sechs Kernkomponenten. Erstens, Ihr Identity Provider: Microsoft Entra ID, Okta oder Google Workspace. Zweitens, Ihre MDM-Plattform: Intune für Windows and Android, Jamf für macOS and iOS. Drittens, Ihre Certificate Authority: entweder Microsoft Active Directory Certificate Services lokal oder eine Cloud-PKI. Viertens, Ihr SCEP-Gateway: der HTTP-Endpunkt, der Zertifikatsanfragen empfängt. Fünftens, Ihr RADIUS-Server für die Authentifizierung. Sechstens, Ihre Zugriffsebene: Cisco Meraki, HPE Aruba, Ruckus oder Juniper Mist Access Points, die für 802.1X konfiguriert sind. Die Vertrauenskette verläuft wie folgt. Die CA stellt ein Root-Zertifikat aus. Dieses Root-Zertifikat wird über das MDM an jedes Gerät verteilt, wodurch Vertrauen aufgebaut wird. Die CA stellt dann über SCEP Client-Zertifikate für die Geräte aus. Wenn sich ein Gerät verbindet, präsentiert es sein Client-Zertifikat dem RADIUS-Server, und der RADIUS-Server präsentiert sein Serverzertifikat dem Gerät. Beide Seiten verifizieren dies anhand des vertrauenswürdigen Root-Zertifikats. Der Zugriff wird basierend auf der Gültigkeit des Zertifikats gewährt oder verweigert, nicht auf Basis eines Passworts. Lassen Sie mich Sie durch die Implementierungsreihenfolge führen. Das ist die Reihenfolge, die funktioniert. Schritt eins: Bereinigen Sie Ihren Identitätsspeicher. Stellen Sie sicher, dass Ihr Active Directory oder Entra ID über klar definierte Gruppen für Studierende, Mitarbeiter und Gäste verfügt. Zertifikatsrichtlinien und VLAN-Zuweisungen werden an diese Gruppen gekoppelt. Schritt zwei: Stellen Sie Ihre Certificate Authority bereit. Wenn Sie Microsoft ADCS verwenden, bauen Sie eine zweistufige Hierarchie auf: eine Offline-Root-CA und eine Online-Issuing-CA. Die Root-CA sollte nach der Ersteinrichtung physisch vom Netz getrennt (air-gapped) werden. Schritt drei: Konfigurieren Sie Ihr SCEP-Gateway. Dies ist der HTTP-Endpunkt, auf den Ihr MDM die Geräte verweisen wird. Stellen Sie sicher, dass er aus dem Netzwerksegment erreichbar ist, in dem die Geräte die Erstregistrierung durchführen, typischerweise Ihre Onboarding-SSID. Schritt vier: Konfigurieren Sie Ihren RADIUS-Server. Importieren Sie das Zertifikat der ausstellenden CA als vertrauenswürdige CA. Konfigurieren EAP-TLS als Ihre Authentifizierungsmethode. Richten Sie VLAN-Rückgabeattribute ein, damit RADIUS Studierende dynamisch dem richtigen Netzwerksegment zuweisen kann. Schritt fünf: Konfigurieren Sie Ihre MDM-Profile. Erstellen Sie in Intune zuerst ein Trusted Certificate Profile, dann ein SCEP-Zertifikatsprofil und schließlich ein WiFi-Profil, das auf das SCEP-Zertifikat verweist. Stellen Sie diese in genau dieser Reihenfolge bereit. Jedes Profil hängt davon ab, dass das vorherige bereits vorhanden ist. Schritt sechs: Konfigurieren Sie Ihre Access Points. Konfigurieren Sie auf Cisco Meraki, HPE Aruba, Ruckus oder Juniper Mist Ihre sichere SSID für WPA2-Enterprise oder WPA3-Enterprise. Stellen Sie das RADIUS-Timeout auf mindestens fünf Sekunden ein, um die Latenz bei der Zertifikatsvalidierung während der Onboarding-Spitzenzeiten abzufangen. Nun zu den Fallstricken. Ich habe erlebt, wie diese Bereitstellungen immer wieder blockiert haben. Der erste ist die Bereitstellung von MDM-Profilen in der falschen Reihenfolge. Wenn das WiFi-Profil vor dem SCEP-Zertifikatsprofil auf dem Gerät eintrifft, hat das Gerät kein Zertifikat, mit dem es sich authentifizieren kann. Die Verbindung schlägt fehl, und der Benutzer ruft den Helpdesk an. Der zweite Fallstrick ist das Vergessen von BYOD-Geräten. Intune und Jamf verwalten Ihre geräteeigene Flotte der Institution. Aber die persönlichen Geräte der Studierenden sind nicht in Ihrem MDM registriert. Für diese benötigen Sie ein Self-Service-Onboarding-Portal. Der Student authentifiziert sich per Single Sign-On mit seinen Universitäts-Anmeldedaten, und das Portal nutzt SCEP, um das Zertifikat bereitzustellen. Die Plattform von Purple integriert diesen Onboarding-Ablauf direkt in das Captive Portal-Erlebnis, sodass Studierende die Registrierung in weniger als zwei Minuten ohne IT-Eingriff abschließen. Der dritte Fallstrick sind RADIUS-Timeout-Fehler während der Onboarding-Spitzenzeiten. Führen Sie Lasttests für Ihre RADIUS-Infrastruktur vor September durch, nicht erst im September. Implementieren Sie ein Load Balancing über mindestens zwei RADIUS-Knoten. Der vierte Fallstrick ist die Zertifikatssperrung. Wenn ein Student die Universität verlässt oder ein Gerät verloren geht oder gestohlen wird, müssen Sie das Zertifikat sofort sperren. Stellen Sie sicher, dass Ihre CA eine Zertifikatssperrliste veröffentlicht und Ihr RADIUS-Server diese bei jeder Authentifizierung überprüft. Nun zu einer schnellen Fragerunde mit den Fragen, die wir am häufigsten hören. Kann SCEP ohne ein MDM funktionieren? Technisch ja, aber praktisch nein. Ohne ein MDM, das die SCEP-Payload und das WiFi-Profil überträgt, sind Sie wieder bei der manuellen Gerätekonfiguration. Wie lange sollte die Gültigkeit eines Zertifikats sein? Für Geräte von Studierenden sind ein bis zwei Jahre Standard. Lang genug, um das akademische Jahr ohne Erneuerungsaufwand zu überstehen, kurz genug, um das Risiko bei einer Kompromittierung des Zertifikats zu begrenzen. Was ist mit IoT-Geräten, die kein 802.1X unterstützen? Nutzen Sie MAC Authentication Bypass mit einem Self-Service-Geräteregistrierungsportal. Studierende registrieren die MAC-Adresse ihrer Spielekonsole oder ihres Smart-TVs, und Ihr NAC-System weist sie dem richtigen VLAN zu. Funktioniert das mit Eduroam? Ja. EAP-TLS wird von der Eduroam-Federation vollständig unterstützt. Von Ihrer Campus-CA ausgestellte Zertifikate können Studierende bei Eduroam an jeder teilnehmenden Institution weltweit authentifizieren. Zum Abschluss sind hier die drei Entscheidungen, die eine erfolgreiche SCEP-Bereitstellung ausmachen. Erstens: Wählen Sie Ihre CA-Architektur vor allem anderen. Lokales ADCS gibt Ihnen die volle Kontrolle. Cloud-PKI bietet Ihnen betriebliche Einfachheit. Die falsche Wahl an dieser Stelle kostet Sie Monate an Nacharbeit. Zweitens: Automatisieren Sie das BYOD-Onboarding vom ersten Tag an. Gehen Sie nicht davon aus, dass Studierende ihre persönlichen Geräte manuell konfigurieren werden. Das werden sie nicht tun. Bauen Sie das Self-Service-Portal vor Semesterbeginn auf. Drittens: Testen Sie Ihre RADIUS-Kapazität unter Last vor September. Ein RADIUS-Ausfall am ersten Semestertag ist absolut vermeidbar. Die Plattform von Purple unterstützt alle drei Bereiche: Cloud-Overlay-PKI-Integration, Self-Service-BYOD-Onboarding über unser Captive Portal und eine RADIUS-Infrastruktur, die an achtzigtausend Live-Standorten mit einer Verfügbarkeit von neunundneunzig Komma neun neun neun Prozent getestet wurde. Vielen Dank, dass Sie am technischen Briefing von Purple teilgenommen haben. Weitere Informationen finden Sie auf purple.ai.