Implementierung von SCEP für sicheres BYOD und 802.1X WiFi in der Hochschulbildung

Implementierung von SCEP für sicheres BYOD und 802.1X WiFi an Hochschulen Ein technisches Briefing von Purple - ca. 10 Minuten [EINFÜHRUNG UND KONTEXT - 1 Minute] Willkommen beim technischen Briefing von Purple. Ich werde Sie durch eines der häufigsten Probleme in der IT-Infrastruktur von Hochschulen führen: Wie man Tausende von Geräten von Studierenden und Mitarbeitenden in ein sicheres, zertifikatsbasiertes WiFi-Netzwerk einbindet, ohne dass Ihr Helpdesk in Tickets ertrinkt. Die kurze Antwort lautet SCEP: Simple Certificate Enrollment Protocol. Und wenn Sie es mit 802.1X und einem Cloud-RADIUS-Dienst kombinieren, erhalten Sie eine wirklich leistungsstarke Lösung - ein Netzwerk, in dem jedes Gerät seine Identität nachweist, bevor es Zugriff erhält, Zertifikate automatisch ausgestellt und erneuert werden und Ihr IT-Team nicht jedes Gerät manuell anfassen muss. Universitäten stehen hier unter echtem Druck. Jeden September kommen Zehntausende von Studierenden mit eigenen Laptops, Smartphones und Tablets an. Sie müssen diese schnell in ein sicheres Netzwerk integrieren. Und Sie müssen sicherstellen, dass der Zugriff sauber entzogen wird, wenn jemand die Universität verlässt oder ein Gerät verloren geht. SCEP ist der Mechanismus, mit dem all das in großem Maßstab funktioniert. Gehen wir ins technische Detail. [TECHNISCHE TIEFENANALYSE - 5 Minuten] Zuerst sollten wir klären, was SCEP eigentlich ist. Es ist ein Protokoll - ursprünglich von Cisco entwickelt - das den Prozess des Anforderns und Empfangens eines digitalen Zertifikats von einer Zertifizierungsstelle (Certificate Authority - CA) automatisiert. Vor SCEP bedeutete die Bereitstellung eines Zertifikats auf einem Gerät entweder einen manuellen Prozess mit einem USB-Stick und vielen Klicks oder eine komplexe webbasierte Registrierung, die die meisten Endnutzer überforderte. SCEP automatisiert diesen Handshake vollständig. Und so sieht der Ablauf in einem BYOD-Kontext an einer Hochschule aus. Ein Student kommt auf den Campus. Sein Gerät - sei es ein MacBook, ein Android-Smartphone oder ein Windows-Laptop - ist in Ihrer Mobile-Device-Management-Plattform (MDM) registriert. Das MDM überträgt ein Konfigurationsprofil auf das Gerät. Dieses Profil enthält die SCEP-URL, die auf Ihre Zertifizierungsstelle verweist, ein Challenge-Passwort zur Authentifizierung und die zu verwendende Zertifikatsvorlage. Das Gerät generiert lokal ein Schlüsselpaar - der private Schlüssel verlässt das Gerät nie - und sendet eine Zertifikatssignierungsanfrage über SCEP an die CA. Die CA validiert die Anfrage, stellt ein Zertifikat aus und sendet es an das Gerät zurück. Der gesamte Prozess dauert nur wenige Sekunden und erfordert über die erste MDM-Registrierung hinaus keine Interaktion durch den Nutzer. Warum ist das nun speziell für WiFi so wichtig? Weil 802.1X - der IEEE-Standard für portbasierte Netzwerkzugriffskontrolle - dieses Zertifikat als Authentifizierungsnachweis verwenden kann. Anstelle von Benutzernamen und Passwort präsentiert das Gerät sein Zertifikat dem RADIUS-Server. Der RADIUS-Server validiert das Zertifikat gegenüber Ihrer CA, bestätigt, dass das Gerät bekannt und vertrauenswürdig ist, und gewährt Zugriff. Das ist EAP-TLS - Extensible Authentication Protocol mit Transport Layer Security - und es ist der Goldstandard für die WiFi-Authentifizierung.Die Sicherheitsvorteile gegenüber passwortbasierten Ansätzen sind erheblich. Zertifikate können nicht per Phishing gestohlen werden. Ein Student kann sein Zertifikat nicht versehentlich an ein gefälschtes Netzwerk übergeben. Der private Schlüssel verlässt das Gerät nie. Selbst wenn ein Zertifikat abgefangen werden sollte, ist es ohne den zugehörigen privaten Schlüssel nutzlos. Und da das Zertifikat die Geräteidentität enthält, erhalten Sie eine granulare Transparenz darüber, welches Gerät sich zu einem bestimmten Zeitpunkt in Ihrem Netzwerk befindet. Sprechen wir nun über die benötigten Infrastrukturkomponenten. Sie benötigen eine Certificate Authority - dies kann Microsoft Active Directory Certificate Services sein, was die meisten Universitäten bereits nutzen, oder eine cloudbasierte CA. Sie benötigen einen NDES-Server - also den Network Device Enrollment Service - der als SCEP-Proxy zwischen Ihren Geräten und Ihrer CA fungiert. Sie benötigen einen RADIUS-Server für die 802.1X-Authentifizierung. Und Sie benötigen Access Points, die WPA2-Enterprise oder WPA3-Enterprise mit 802.1X unterstützen. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi und Fortinet unterstützen dies nativ. Für die RADIUS-Komponente nutzt SecurePass von Purple einen cloudnativen RADIUS-Dienst. Der primäre Server ist rad1-secure.purple.ai und der sekundäre rad2-secure.purple.ai, beide auf dem Standard-Authentifizierungsport 1812 und dem Accounting-Port 1813. Dadurch entfällt die Notwendigkeit, eine eigene lokale RADIUS-Infrastruktur zu betreiben - was in der Vergangenheit für IT-Teams an Universitäten eine erhebliche betriebliche Belastung darstellte. Die vollständigen Konfigurationsschritte finden Sie in der Support-Dokumentation von Purple unter support.purple.ai, die den genauen Einrichtungsprozess beschreibt. Eines sollte besonders hervorgehoben werden: SecurePass basiert auf dem Passpoint-Standard - auch bekannt als Hotspot 2.0. Das bedeutet, dass ein Student, der sich an Ihrer Universität registriert, nicht nur auf dem Campus sicheren Zugang erhält. Sein Gerät verbindet sich automatisch an jedem der weltweit über 80.000 OpenRoaming-fähigen Standorte - Flughäfen, Hotels, Bahnhöfe. Die zertifikatsbasierte Identität reist mit ihm. Das ist ein wirklich nützlicher Vorteil für Studenten, die auf Reisen sind. Die SSID-Konfiguration muss korrekt durchgeführt werden. SecurePass erfordert eine dedizierte SSID mit aktiviertem WPA2 oder WPA3-Enterprise und Hotspot 2.0. Sie sollten Ihre bestehende Captive Portal SSID nicht wiederverwenden. Die SSID muss ausgestrahlt werden - versteckte SSIDs verhindern die automatische Verbindung, die das gesamte System erst funktionsfähig macht. Für die Integration von Identity Providern synchronisiert sich SecurePass mit Microsoft Entra ID und Google Workspace. Dies ist entscheidend für den Prozess bei Neueintritten, internen Wechseln und Austritten. Wenn ein Student seinen Abschluss macht oder ein Mitarbeiter das Unternehmen verlässt, wird sein Konto in Entra ID deaktiviert und der Zugriff automatisch entzogen. Es ist kein manueller Widerruf von Zertifikaten erforderlich. Das ist die Art von Automatisierung, die Ihrem IT-Team echte Zeitersparnis bringt. [EMPFEHLUNGEN FÜR DIE IMPLEMENTIERUNG UND SEITENWEGE - 2 Minuten] Lassen Sie mich Ihnen die praktischen Empfehlungen geben, die ich jedem IT-Team einer Universität geben würde, das dieses Projekt in Angriff nimmt. Erstens: Beginnen Sie mit den Mitarbeitern vor den Studenten. Mitarbeitergeräte sind in der Regel verwaltet - Sie haben MDM-Abdeckung, kennen den Gerätebestand und die Benutzergruppe ist kleiner. Optimieren Sie den Prozess mit den Mitarbeitern, beheben Sie die Grenzfälle und skalieren Sie dann auf die Studenten. Zweitens: Planen Sie die Lebensdauer Ihrer Zertifikate sorgfältig. Eine einjährige Gültigkeit ist eine gängige Wahl, aber denken Sie an Ihren akademischen Kalender. Wenn Zertifikate im August ablaufen, haben Sie kurz vor Beginn des neuen akademischen Jahres eine Welle von Verlängerungen. Erwägen Sie, den Ablauf in die Mitte des Semesters zu legen, oder nutzen Sie die automatische Verlängerung über SCEP, um das Problem ganz zu vermeiden. Drittens: Testen Sie Ihre NDES-Konfiguration vor dem Live-Gang gründlich. NDES ist die Komponente, die am häufigsten Probleme verursacht. Das Challenge-Passwort muss für jede Registrierungsanfrage neu generiert werden - es hat ein kurzes Gültigkeitsfenster. Wenn Ihr MDM die SCEP-Anfrage nach dem Abrufen des Challenge-Passworts zu langsam generiert, schlägt die Registrierung fehl. Testen Sie dies mit einer Reihe von Gerätetypen und Betriebssystemversionen. Viertens: Vernachlässigen Sie nicht die Gerätekompatibilitätsmatrix. iOS, macOS, Android und Windows gehen alle etwas unterschiedlich mit SCEP um. iOS und macOS verfügen über eine integrierte native SCEP-Unterstützung und funktionieren reibungslos mit über MDM verteilten Profilen. Das Verhalten von Android variiert je nach Hersteller. Windows erfordert den NDES-Connector oder einen MDM-Agenten eines Drittanbieters. Dokumentieren Sie Ihre unterstützten Konfigurationen und kommunizieren Sie diese klar an die Studenten. Die häufigste Falle, die ich sehe, ist eine zu geringe Investition in die MDM-Ebene. SCEP ist nur so gut wie Ihre MDM-Abdeckung. Wenn Studenten Geräte haben, die nicht im MDM registriert sind, können sie das SCEP-Profil nicht empfangen. Sie benötigen einen klaren Onboarding-Prozess - idealerweise integriert in Ihren Arbeitsablauf zur Registrierung von Studenten - der die Geräte im MDM anmeldet, bevor sie auf dem Campus eintreffen. [SCHNELLE FRAGEN UND ANTWORTEN - 1 Minute] Einige kurze Fragen, die mir regelmäßig gestellt werden. Kann SCEP ohne ein MDM funktionieren? Technisch gesehen ja - Sie können SCEP-Profile manuell verteilen - aber bei der Größe einer Universität benötigen Sie ein MDM. Ohne dieses fallen Sie auf manuelle Prozesse zurück. Was passiert mit Geräten, die kein 802.1X unterstützen? Diese werden wie gewohnt über Ihr bestehendes Captive Portal geleitet. SecurePass ist eine Ergänzung - nicht unterstützte Geräte werden nicht blockiert. Funktioniert das für IoT-Geräte auf dem Campus? IoT-Geräte unterstützen in der Regel kein 802.1X. Segmentieren Sie diese in ein separates VLAN mit entsprechenden Firewall-Regeln. Versuchen Sie nicht, die Sensoren Ihres intelligenten Gebäudes im selben Netzwerk wie die Laptops der Studenten zu betreiben. Ist EAP-TLS die einzige Option? Nein. PEAP mit MSCHAPv2 ist eine gängige Alternative, die Benutzernamen und Passwörter anstelle von Zertifikaten verwendet. Aber EAP-TLS mit über SCEP ausgestellten Zertifikaten ist wesentlich sicherer und eliminiert den Aufwand für die Passwortverwaltung. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - 1 Minute] Zusammenfassend lässt sich sagen: SCEP automatisiert die Zertifikatsregistrierung in großem Stil. In Kombination mit 802.1X und EAP-TLS erhalten Sie ein Netzwerk, in dem jedes Gerät kryptografisch authentifiziert wird, Zertifikate ohne IT-Eingriffe ausgestellt und erneuert werden und der Zugriff beim Verlassen eines Benutzers automatisch widerrufen wird. Für eine Universität mit Tausenden von BYOD-Geräten ist das der Unterschied zwischen einem überschaubaren Netzwerk und einem Albtraum für den Helpdesk. Die Schlüsselkomponenten sind: eine Certificate Authority, ein NDES- oder SCEP-Proxyserver, ein Cloud-RADIUS-Dienst und Access Points, die WPA2- oder WPA3-Enterprise unterstützen. SecurePass von Purple bietet die Cloud-RADIUS-Ebene und die Passpoint-basierte Profilverteilung und lässt sich in Ihr bestehendes Microsoft Entra ID- oder Google Workspace-Verzeichnis integrieren. Ihre nächsten Schritte: Überprüfen Sie Ihre MDM-Abdeckung und identifizieren Sie Lücken, bewerten Sie Ihre CA-Infrastruktur und sprechen Sie mit Ihrem Netzwerkhardware-Anbieter über Passpoint-Unterstützung. Besuchen Sie dann support.purple.ai, um den SecurePass-Konfigurationsleitfaden und die Hardware-Kompatibilitätsliste einzusehen. Vielen Dank fürs Zuhören. Wenn Sie Fragen haben, steht Ihnen das Purple-Team unter purple.ai zur Verfügung.