Implementierung von SCEP für sicheres BYOD und 802.1X WiFi an Hochschulen

Willkommen beim Purple Technical Briefing. Ich bin Ihr Gastgeber, und heute befassen wir uns ausführlich mit einem Thema, das in der IT von Hochschuleinrichtungen ständig zur Sprache kommt: wie man SCEP - das Simple Certificate Enrolment Protocol - implementiert, um sicheres BYOD und 802.1X WiFi auf dem Campus bereitzustellen. Wenn Sie derzeit ein Universitäts- oder College-Netzwerk verwalten, haben Sie wahrscheinlich mit einem bekannten Spannungsverhältnis zu tun. Auf der einen Seite bringen Studierende, Lehrkräfte und Mitarbeitende Hunderte oder Tausende von persönlichen Geräten mit. Auf der anderen Seite steht eine Sicherheitsstruktur, die institutionellen, regulatorischen und zunehmend auch Cyberversicherungs-Anforderungen entsprechen muss. Passwortbasiertes WiFi und offene Captive Portale reichen einfach nicht mehr aus. Sprechen wir also darüber, was funktioniert. Zuerst wollen wir die Ausgangslage betrachten. 802.1X ist der IEEE-Standard für portbasierte Netzwerkzugriffskontrolle. Es gibt ihn seit 2001, aber er ist heute aktueller denn je. Der Grundgedanke ist, dass ein Gerät, bevor es in Ihr Netzwerk gelangt, nachweisen muss, wer es ist - nicht nur durch Vorlegen eines Passworts, das jeder teilen könnte, sondern durch Vorlegen einer überprüfbaren Anmeldeinformation. In einem kabelgebundenen Kontext findet diese Überprüfung der Anmeldedaten am Switch-Port statt. Bei WiFi geschieht dies am Access Point, vermittelt durch einen RADIUS-Server. Diese Anmeldeinformation selbst kann nun verschiedene Formen annehmen. Sie können einen Benutzernamen und ein Passwort über PEAP - das Protected Extensible Authentication Protocol - verwenden. Oder Sie nutzen ein digitales Zertifikat über EAP-TLS - Extensible Authentication Protocol mit Transport Layer Security. EAP-TLS ist der Goldstandard. Es ist gegenseitig - das Netzwerk authentifiziert sich gegenüber dem Gerät und das Gerät authentifiziert sich gegenüber dem Netzwerk. Diese gegenseitige Authentifizierung ist das, was Rogue Access Points blockiert. Der Laptop eines Studierenden verbindet sich schlichtweg nicht mit einem gefälschten Netzwerk, das nicht über das richtige Zertifikat verfügt. Wo kommt also SCEP ins Spiel? SCEP - Simple Certificate Enrolment Protocol - ist der Mechanismus, mit dem Geräte diese digitalen Zertifikate automatisch anfordern und erhalten. Ohne SCEP müssten Sie Zertifikate manuell für jedes Gerät erstellen und verteilen. An einer Universität mit zehntausend Studierenden und dreitausend Mitarbeitenden ist das kein praktikables Verfahren. SCEP automatisiert den gesamten Prozess. Und so sieht der Ablauf aus. Ein Gerät verbindet sich mit einem Bereitstellungsnetzwerk - manchmal auch Onboarding-SSID genannt. Es kontaktiert Ihren SCEP-Server, der normalerweise in Ihre Zertifizierungsstelle - Ihre CA - integriert ist. Das Gerät sendet eine Zertifikatsignierungsanforderung (Certificate Signing Request). Der SCEP-Server validiert die Anforderung, oft durch Abgleich der Anmeldedaten des Benutzers mit Ihrem Verzeichnis - Microsoft Entra ID oder Google Workspace. Nach der Validierung stellt die CA ein signiertes Zertifikat aus und das Gerät installiert es. Von diesem Zeitpunkt an verwendet das Gerät dieses Zertifikat, um sich automatisch an Ihrer mit 802.1X gesicherten SSID zu authentifizieren. Kein Portal, keine Passwortabfrage, kein IT-Ticket. Lassen Sie uns die Architektur etwas detaillierter betrachten. In einer typischen Bereitstellung im Hochschulbereich müssen Sie an drei Netzwerksegmente denken. Erstens Ihr Onboarding-Netzwerk - hier landen nicht registrierte Geräte. Es hat Internetzugang, ist aber von Ihren internen Ressourcen isoliert. Zweitens Ihre durch 802.1X gesicherte SSID - hier stellen registrierte Geräte eine Verbindung her, mit vollem Zugriff auf die Ressourcen, die ihrer Rolle entsprechen. Drittens Ihre Management-Infrastruktur - Ihr RADIUS-Server, Ihre CA, Ihr SCEP-Server und Ihre Verzeichnisintegration. Der RADIUS-Server ist der Verkehrsregler. Wenn ein Gerät versucht, sich mit Ihrer 802.1X SSID zu verbinden, sendet der Access Point eine Authentifizierungsanfrage an RADIUS. RADIUS validiert das Zertifikat anhand der Zertifikatssperrliste der CA, prüft den Status des Benutzers in Ihrem Verzeichnis und gewährt oder verweigert den Zugriff. Es kann das Gerät auch basierend auf der Rolle einem VLAN zuweisen - Studierende kommen in ein Segment, Lehrkräfte in ein anderes, Verwaltungspersonal in ein drittes. Das ist Identity-Based Networking in der Praxis. Eine der am häufigsten gestellten Fragen lautet: Mit welcher Hardware funktioniert das? Die gute Nachricht ist, dass 802.1X ein Standard ist. Er funktioniert also mit jedem Access Point, der WPA2 oder WPA3 Enterprise unterstützt. In der Praxis sollten Sie die spezifische Implementierung Ihres Herstellers überprüfen. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi - alle diese unterstützen den Standard. Die Konfigurationsschritte unterscheiden sich je nach Hersteller, aber das zugrunde liegende Protokoll ist dasselbe. Lassen Sie mich Ihnen zeigen, wie eine reale Implementierung aussieht. Ich verwende ein zusammengesetztes Beispiel basierend auf einer mittelgroßen Universität in Großbritannien - rund fünfzehntausend Studierende, drei Standorte, ein Mix aus Aruba und Meraki Infrastruktur. Das Projekt begann mit einem Netzwerk-Audit. Die bestehende Einrichtung war eine Mischung aus offenen SSIDs und einem Captive Portal für den Zugang von Studierenden. Das IT-Team ertrank in Passwort-Reset-Tickets - etwa vierzig pro Woche. Die Randomisierung von MAC-Adressen unter iOS und Android hatte ihre Analysen komplett unbrauchbar gemacht, sodass sie keine verlässlichen Daten über Netzwerknutzungsmuster hatten. Die erste Phase war die Bereitstellung der PKI-Infrastruktur. Sie bauten eine zweistufige CA auf - eine Offline-Root-CA und eine Online-Ausstellungs-CA. Der SCEP-Server wurde in die ausstellende CA integriert und zur Identitätsprüfung mit Microsoft Entra ID verbunden. Die Zertifikatslaufzeit wurde auf ein Jahr festgelegt, wobei die automatische Erneuerung nach dreißig Tagen ausgelöst wurde. Die zweite Phase war die Konfiguration der 802.1X SSID. Sie erstellten eine dedizierte SSID mit WPA3-Enterprise, leiteten sie an ihre RADIUS-Server weiter und konfigurierten Regeln für die VLAN-Zuweisung. Studierende erhielten ein VLAN, Mitarbeitende ein anderes und IoT-Geräte ein drittes. Die dritte Phase betraf den Onboarding-Prozess. Sie nutzten eine Network Access Control-Lösung, um nicht registrierte Geräte auf ein Self-Service-Portal umzuleiten. Studierende authentifizierten sich mit ihren Universitäts-Zugangsdaten, der SCEP-Ablauf lief im Hintergrund und das Zertifikat wurde installiert. Unter iOS war hierfür ein Konfigurationsprofil erforderlich. Unter Android verlief der Prozess etwas anders, war jedoch gleichermaßen automatisiert. Das Ergebnis? Die Tickets für Passwortrücksetzungen sanken im ersten Monat um über neunzig Prozent. Die Netzwerksichtbarkeit verbesserte sich drastisch, da sich zertifikatsbasierte Identitäten nicht wie MAC-Adressen ändern. Und das Sicherheitsteam hatte endlich ein zuverlässiges Audit-Protokoll für jedes Gerät im Netzwerk. Lassen Sie uns nun darüber sprechen, wo sich Purple in diesem Bild einfügt. Das Produkt SecurePass von Purple basiert genau auf dieser Architektur. SecurePass stellt digital signierte WiFi-Profile mittels WPA2 und WPA3-Enterprise mit gegenseitiger 802.1X-Authentifizierung aus. Der Registrierungsprozess dauert weniger als dreißig Sekunden. Sobald ein Gerät über ein Profil verfügt, verbindet es sich automatisch - kein Portal, kein Passwort, keine Reibungspunkte. Was SecurePass besonders für den Hochschulbereich relevant macht, ist die Kombination aus Sicherheit und Analysen. Da es sich bei den Authentifizierungsdaten um ein stabiles Zertifikat und nicht um eine rotierende MAC-Adresse handelt, erhalten Sie präzise Daten über wiederkehrende Besuche, Verweilzeiten und die Besuchshäufigkeit. Diese Daten fließen direkt in die Analyseplattform von Purple ein und bieten Ihnen echte Einblicke in die Nutzung Ihres Campus-Netzwerks. SecurePass lässt sich zudem für Bereitstellungen bei Mitarbeitern mit Microsoft Entra ID und Google Workspace integrieren. Das bedeutet, dass beim Ausscheiden eines Mitarbeiters aus der Universität dessen Zugriff automatisch widerrufen wird. Kein manueller Aufwand, keine vergessenen Konten, keine Sicherheitslücken. Das ist der automatisierte Joiners-Movers-Leavers-Workflow von Ende zu Ende. Für die RADIUS-Infrastruktur betreibt Purple Cloud-RADIUS-Server - primäre und sekundäre -, sodass Sie diese Infrastruktur nicht selbst verwalten müssen. Die Liste der unterstützten Hardware umfasst unter anderem Cisco Meraki, Cisco Catalyst, HPE Aruba, Ubiquiti UniFi, Ruckus, Juniper Mist und Fortinet. Ausführliche Details finden Sie in den SecurePass-FAQs auf der Support-Website von Purple. Lassen Sie mich Ihnen die Fallstricke bei der Implementierung nennen, auf die Sie achten sollten. Das sind die Punkte, die Teams bei realen Implementierungen oft vor Probleme stellen. Erstens: Zertifikatswiderruf. Sie benötigen eine funktionierende CRL - Certificate Revocation List - oder einen OCSP-Responder. Wenn Ihr RADIUS-Server den Widerrufsstatus nicht prüfen kann, blockieren Sie entweder alle Verbindungen oder akzeptieren alle Verbindungen. Beides ist inakzeptabel. Testen Sie Ihre Widerrufs-Infrastruktur, bevor Sie live gehen. Zweitens: Gerätekompatibilität. Die meisten modernen iOS-, Android-, macOS- und Windows-Geräte unterstützen EAP-TLS nativ. Ältere Geräte, IoT-Endpunkte und einige Altsysteme tun dies jedoch nicht. Sie benötigen einen Plan für diese Geräte - sei es eine separate SSID mit einer anderen Authentifizierung oder ein verwalteter Ausnahmeprozess. Drittens: Zertifikatslebensdauer und -erneuerung. Wenn Zertifikate ablaufen und der Erneuerungsprozess fehlschlägt, verlieren die Benutzer den Zugriff. Richten Sie Ihr Erneuersungsfenster großzügig ein - dreißig Tage vor Ablauf sind ein angemessenes Minimum. Überwachen Sie den Ablauf von Zertifikaten zentral und warnen Sie, bevor es zu einem Problem wird. Viertens: das Onboarding-Erlebnis. Der technische Ablauf kann perfekt sein, aber wenn Studenten den Registrierungsprozess als verwirrend empfinden, werden sie ihn nicht abschließen. Investieren Sie in eine klare Beschilderung, ein einfaches Self-Service-Portal und eine kurze Anleitung. Die von SecurePass beworbene dreißigsekündige Registrierung ist erreichbar, aber nur, wenn die UX stimmt. Fünftens: RADIUS-Server-Resilienz. Ihre 802.1X-Infrastruktur liegt nun auf dem kritischen Pfad für den Netzwerkzugriff. Wenn Ihr RADIUS-Server ausfällt, kann sich niemand verbinden. Sie benötigen primäre und sekundäre RADIUS-Server, idealerweise in verschiedenen Verfügbarkeitszonen, mit automatischem Failover. Kommen wir nun zu unserer schnellen Fragerunde. Das sind die Fragen, die mir am häufigsten gestellt werden. Kann SCEP mit einer cloudbasierten CA funktionieren? Ja. Microsofts NDES - Network Device Enrolment Service - und mehrere Cloud-CA-Drittanbieter unterstützen SCEP über HTTPS. Sie benötigen keine lokale Infrastruktur. Funktioniert 802.1X mit Passpoint und OpenRoaming? Ja. Passpoint - auch bekannt als Hotspot 2.0 - nutzt 802.1X als Authentifizierungsebene. OpenRoaming erweitert dies auf einen globalen Verbund vertrauenswürdiger Netzwerke. Ein über SecurePass registrierter Student verbindet sich automatisch an jedem der über achtzigtausend OpenRoaming-Standorte weltweit. Das betrifft Flughäfen, Hotels, Verkehrsknotenpunkte - und das alles ohne zusätzliche Maßnahmen. Wie sieht es mit dem Gastzugang aus? 802.1X und SCEP sind für verwaltete Geräte und bekannte Identitäten gedacht. Für echte Gäste benötigen Sie weiterhin einen separaten Gastzugangsmechanismus. Die beiden Systeme laufen parallel; sie stehen nicht im Konflikt zueinander. Ist WPA3-Enterprise zwingend erforderlich? Nein, WPA2-Enterprise mit 802.1X ist nach wie vor weit verbreitet und für die meisten Anwendungsfälle absolut sicher. WPA3-Enterprise bietet eine stärkere Verschlüsselung. Wenn Ihre Hardware dies unterstützt, aktivieren Sie es. Wenn nicht, ist WPA2-Enterprise eine solide Ausgangsbasis. Zum Abschluss sind hier die fünf Kernpunkte, die Sie aus diesem Briefing mitnehmen sollten. Erstens: 802.1X mit zertifikatsbasierter Authentifizierung ist die richtige Sicherheitsarchitektur für BYOD im Hochschulbereich. Passwörter und Portale sind für die Bedrohungslage, in der Sie sich heute bewegen, nicht mehr ausreichend. Zweitens: SCEP macht die zertifikatsbasierte Authentifizierung erst skalierbar. Ohne eine automatisierte Registrierung können Sie Zertifikate nicht in dem für eine Universität erforderlichen Umfang bereitstellen. Drittens: Die gegenseitige Authentifizierung ist das wichtigste Sicherheitsmerkmal. Sie schützt Ihre Studenten ebenso vor gefälschten Access Points wie sie Ihr Netzwerk vor unbefugten Geräten schützt. Viertens: Die Verzeichnisintegration - mit Microsoft Entra ID oder Google Workspace - sorgt dafür, dass die Workflows für neue, wechselnde und ausscheidende Nutzer automatisch ablaufen. Implementieren Sie 802.1X nicht ohne sie. Fünftens: Das Onboarding-Erlebnis entscheidet über die Akzeptanz. Die Technologie kann perfekt sein, aber wenn der Registrierungsprozess holprig ist, werden Sie mehr Zeit für Support-Tickets aufwenden, als Sie einsparen. Wenn Sie tiefer einsteigen möchten, finden Sie auf der Purple Support-Website eine detaillierte SecurePass Dokumentation zu RADIUS-Konfiguration, Hardware-Kompatibilität und dem Registrierungsablauf. Die Links finden Sie in den Shownotes. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.