SAML-Authentifizierung für Staff WiFi
Dieser Leitfaden bietet einen tiefen technischen Einblick in die Nutzung von SAML 2.0 für die WiFi-Authentifizierung von Mitarbeitern auf Enterprise-Niveau und deckt die Protokollarchitektur, die Integration von Identity Providern sowie Best Practices für die Bereitstellung ab. Er bietet IT-Leitern und Netzwerkarchitekten praktische Anleitungen zur Anbindung von Azure AD oder Okta an die intelligente Plattform von Purple WiFi, um unsichere Pre-Shared Keys durch eine robuste, identitätsgesteuerte Zugriffskontrolle zu ersetzen. Das Ergebnis ist eine messbare Verbesserung des Sicherheitsniveaus, der Compliance-Bereitschaft und der betrieblichen Effizienz in Hotels, Einzelhandelsketten, Stadien und Veranstaltungsorten des öffentlichen Sektors.
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Executive Summary
Für Betreiber von Großobjekten – Hotelketten, Einzelhandelsimperien, große Veranstaltungsräume und Einrichtungen des öffentlichen Sektors – ist die Absicherung des drahtlosen Mitarbeiternetzwerks eine kritische Komponente der Risikominderung und der betrieblichen Effizienz. Herkömmliche Pre-Shared Key (PSK)-Netzwerke weisen erhebliche Sicherheitslücken und einen hohen administrativen Aufwand auf: Ein einziger kompromittierter Berechtigungsnachweis gefährdet das gesamte Netzwerk, und die Zugriffsverwaltung erfordert bei jedem Mitarbeiterwechsel manuelle Eingriffe. Dieser Leitfaden beschreibt einen besseren Ansatz: die Implementierung einer auf Security Assertion Markup Language (SAML) 2.0 basierenden Authentifizierung für das Mitarbeiter-WiFi. Durch die Integration Ihres bestehenden Identity Providers (IdP) – wie Microsoft Azure Active Directory oder Okta – mit der intelligenten Plattform von Purple WiFi ersetzen Sie unsichere, gemeinsam genutzte Passwörter durch eine robuste, identitätsgesteuerte Zugriffskontrolle. Dieses Bereitstellungsmodell hebt Ihr Sicherheitsniveau im Einklang mit den PCI DSS- und GDPR-Anforderungen an und vereinfacht das Lifecycle-Management der Benutzer drastisch. Mitarbeiter authentifizieren sich mit ihren primären Unternehmensdaten, was Single Sign-On (SSO) ermöglicht und sicherstellt, dass Zugriffsrechte bei Beendigung des Arbeitsverhältnisses automatisch entzogen werden. Für den CTO bedeutet dies eine messbare Reduzierung von IT-Support-Tickets, eine verbesserte Compliance und eine stärkere, besser verteidigungsfähige Netzwerkarchitektur.
Technical Deep-Dive
SAML ist ein offener Standard für den Austausch von Authentifizierungs- und Autorisierungsdaten zwischen Parteien – insbesondere zwischen einem Identity Provider (IdP) und einem Service Provider (SP). In diesem Kontext ist der IdP Ihr zentrales Benutzerverzeichnis (Azure AD, Okta, Ping Identity oder ADFS), und die Purple-Plattform fungiert als SP, der den Zugriff auf das physische WiFi-Netzwerk vermittelt.
Der SAML 2.0 Authentifizierungs-Flow
Der Prozess ermöglicht eine sichere, browserbasierte Authentifizierung für WiFi-Benutzer, ohne dass eine clientseitige Softwareinstallation erforderlich ist. Wenn sich ein Mitarbeiter mit der dafür vorgesehenen Mitarbeiter-SSID verbindet, wird sein Gerät zu einem Captive Portal weitergeleitet. Anstelle eines einfachen Passwortfeldes initiiert dieses Portal einen mehrstufigen kryptografischen Handshake mit dem IdP, um die Identität des Benutzers zu überprüfen.
Der Ablauf erfolgt in fünf diskreten Schritten. Erstens verbindet der Benutzer sein Gerät – Laptop, Tablet oder Mobiltelefon – mit der SSID des Mitarbeiter-WiFi, und die Purple-Plattform zeigt ein Captive Portal an. Zweitens generiert Purple (in der Rolle des SP) eine SAML-Authentifizierungsanfrage (AuthnRequest), ein XML-Dokument, das Informationen über den SP und die gewünschten Authentifizierungsparameter enthält. Der Browser des Benutzers wird mit dieser eingebetteten Anfrage an die SSO-URL des IdP weitergeleitet. Drittens gelangt der Benutzer auf die vertraute Anmeldeseite des IdP – seinen Microsoft 365- oder Okta-Bildschirm – und gibt seine Unternehmens-Anmeldedaten ein. Der IdP setzt hier seine gesamte Palette an Sicherheitsrichtlinien durch, einschließlich Multi-Faktor-Authentifizierung (MFA), Geräte-Vertrauensprüfungen und Regeln für bedingten Zugriff. Viertens generiert der IdP nach erfolgreicher Authentifizierung eine SAML-Antwort, die eine digital signierte Assertion enthält. Diese Assertion ist mit dem privaten Schlüssel des IdP signiert und enthält wichtige Informationen über den authentifizierten Benutzer, einschließlich Benutzername, E-Mail und Gruppenmitgliedschaften. Der Browser des Benutzers wird mit dieser signierten Antwort zurück zur Assertion Consumer Service (ACS)-URL von Purple weitergeleitet. Fünftens empfängt Purple die SAML-Antwort, verifiziert die digitale Signatur mithilfe des vorkonfigurierten öffentlichen Zertifikats des IdP, analysiert die Assertion zur Bestätigung der Autorisierung und weist den Netzwerk-Controller an, dem Gerät vollen Netzwerkzugriff zu gewähren.
Relevante Standards und Protokolle
SAML 2.0 ist das grundlegende Protokoll, das die XML-basierten Nachrichten für Assertions, Protokolle, Bindungen und Profile definiert. IEEE 802.1X bietet einen ergänzenden portbasierten Netzwerkzugriffskontrollstandard; der Captive Portal-SAML-Ansatz bietet jedoch eine universelle Gerätekompatibilität, ohne dass eine komplexe Supplicant-Konfiguration auf jedem Endgerät erforderlich ist, was ihn ideal für BYOD-Umgebungen macht. WPA3-Enterprise bietet in Kombination mit SAML eine tiefgestaffelte Verteidigung (Defence-in-Depth): WPA3 verschlüsselt den Datenverkehr über die Luft, während SAML die Identitätsprüfung auf der Anwendungsebene übernimmt. Die PCI DSS-Anforderung 8 schreibt die Identifizierung und Authentifizierung des Zugriffs auf Systemkomponenten vor – eine Anforderung, die durch diese Architektur direkt erfüllt wird.
Implementierungsleitfaden
Die Bereitstellung der SAML-Authentifizierung für Ihr Mitarbeiter-WiFi erfordert die Einrichtung einer kryptografischen Vertrauensbeziehung zwischen Ihrem IdP und der Purple-Plattform. Die folgenden Schritte sind herstellerneutral, obwohl sich die spezifischen UI-Elemente je nach IdP unterscheiden.
Checkliste vor der Bereitstellung
Bevor Sie mit der Konfiguration beginnen, vergewissern Sie sich, dass Sie einen SAML 2.0-konformen IdP (Azure AD, Okta, Ping Identity, ADFS) verwenden. Stellen Sie sicher, dass Sie sowohl im Portal Ihres IdP als auch auf der Purple-Plattform über Administratorrechte verfügen. Definieren Sie Ihre Benutzergruppen — zum Beispiel „All-Staff“, „IT-Admins“, „Store-Managers“ —, da diese die rollenbasierten Zugriffsrichtlinien steuern. Überprüfen Sie, ob Ihre WiFi-Hardware (Access Points und Controller) die Weiterleitung zum Captive Portal unterstützt.
Schritt 1 — Konfiguration der Anwendung in Ihrem IdP
Erstellen Sie in Ihrem IdP eine neue SAML-basierte Anwendung für Purple. Navigieren Sie in Azure AD zu „Enterprise Applications“ oder in Okta zu „Applications“ und wählen Sie eine benutzerdefinierte SAML-App aus. Sie müssen Ihrem IdP zwei Werte aus der Purple-Plattform bereitstellen: die Assertion Consumer Service (ACS) URL und die Entity ID. Purple stellt diese im Bereich für die Authentifizierungseinrichtung zur Verfügung. Im Gegenzug generiert Ihr IdP eigene Metadaten — in der Regel eine XML-Datei oder eine URL —, die die SSO-URL des IdP, die Entity ID und das X.509-Signaturzertifikat enthalten. Bewahren Sie diese für den nächsten Schritt auf.
Schritt 2 — Konfiguration der Claims
Dies ist der operativ wichtigste Konfigurationsschritt. Sie müssen den IdP so konfigurieren, dass er bestimmte Benutzerattribute in der SAML-Assertion sendet. Purple erfordert eine eindeutige, persistente Kennung für jeden Benutzer als NameID-Claim. Best Practice ist die Verwendung eines unveränderlichen Attributs wie user.objectid in Azure AD oder user.id in Okta, anstelle einer veränderlichen E-Mail-Adresse. Konfigurieren Sie außerdem Group Claims, um die Gruppenmitgliedschaften des Benutzers zu übermitteln. Dies ermöglicht dynamische, rollenbasierte Zugriffsrichtlinien innerhalb von Purple ohne Konfiguration pro Benutzer.
Schritt 3 — Konfiguration der Authentifizierungsmethode in Purple
Navigieren Sie im Purple-Portal zum Bereich für die Authentifizierungsverwaltung und wählen Sie SAML 2.0 als Methodentyp aus. Geben Sie die in Schritt 1 erhaltene SSO-URL, Entity ID und das X.509-Zertifikat des IdP ein. Ordnen Sie die Attributnamen aus der Claims-Konfiguration Ihres IdP den entsprechenden Feldern in Purple zu. Weisen Sie schließlich diese Authentifizierungsmethode Ihrem Captive Portal-Ablauf für Mitarbeiter zu, um den Flow für Benutzer zu aktivieren, die sich mit der Mitarbeiter-SSID verbinden.
Schritt 4 — Testen und schrittweise Einführung
Weisen Sie die neue SAML-Anwendung einer kleinen Pilotgruppe zu — idealerweise dem IT-Team — und validieren Sie den End-to-End-Ablauf auf verschiedenen Gerätetypen (Windows, macOS, iOS, Android). Überwachen Sie die SAML-Anmeldeprotokolle in Ihrem IdP und die Authentifizierungsprotokolle in Purple, um eventuelle Fehler zu diagnostizieren. Nach erfolgreicher Validierung erweitern Sie die Benutzerzuweisung in Ihrem IdP schrittweise auf alle relevanten Mitarbeitergruppen. Kommunizieren Sie die Änderung klar an die Mitarbeiter und betonen Sie, dass sie ab sofort ihre standardmäßigen Unternehmens-Anmeldedaten verwenden.
Best Practices
Erzwingen Sie MFA für alle WiFi-Authentifizierungen. Dies ist die effektivste Einzelmaßnahme gegen den Diebstahl von Anmeldedaten und sollte für jede Enterprise-Bereitstellung als nicht verhandelbar angesehen werden. Nutzen Sie die Conditional-Access-Funktionen Ihres IdP, um den Netzwerkzugriff basierend auf dem Compliance-Status des Geräts, dem geografischen Standort oder dem Risikowert einzuschränken. Konfigurieren Sie kurze Sitzungs-Timeouts in Purple, um eine regelmäßige erneute Authentifizierung zu erzwingen. Dies stellt sicher, dass Zugriffsrechte regelmäßig mit dem IdP abgeglichen werden, und minimiert das Risiko durch verlorene oder gestohlene Geräte. Halten Sie sich an das Prinzip der Attributminimierung: Nehmen Sie in die SAML-Assertion nur die Attribute auf, die für Zugriffsentscheidungen erforderlich sind, ganz im Sinne des Datenminimierungsprinzips gemäß GDPR Artikel 5. Für unternehmenseigene Geräte sollten Sie eine Kombination aus dem SAML Captive Portal mit WPA3-Enterprise und 802.1X für eine Defence-in-Depth-Strategie in Betracht ziehen; der SAML-Ansatz eignet sich am besten für BYOD oder nicht verwaltete Endpunkte.
Fehlerbehebung & Risikominimierung
Die häufigste und folgenschwerste Fehlerquelle ist der Ablauf von Zertifikaten. Das X.509-Signaturzertifikat des IdP hat eine feste Gültigkeitsdauer, in der Regel ein bis drei Jahre. Nach Ablauf kann Purple die SAML-Assertions nicht mehr validieren, was zu einem vollständigen Ausfall der Authentifizierung führt. Risikominimierung: Richten Sie redundante Kalendererinnerungen 90, 60 und 30 Tage vor dem Ablaufdatum ein und dokumentieren Sie den Erneuerungsprozess explizit.
Uhrzeit-Abweichungen (Clock Skew) sind die zweithäufigste Ursache für Authentifizierungsfehler. SAML-Assertions enthalten ein Gültigkeitsfenster. Wenn die Uhren des IdP und der Purple-Plattform um mehr als ein paar Minuten voneinander abweichen, werden die Assertions als abgelaufen oder noch nicht gültig abgelehnt. Stellen Sie sicher, dass beide Systeme mit einer zuverlässigen NTP-Quelle synchronisiert sind.
Eine fehlerhafte ACS-URL bei der Ersteinrichtung ist ein häufiger Konfigurationsfehler. Bereits ein Tippfehler bei einem einzelnen Zeichen führt dazu, dass der IdP die signierte Assertion an einen nicht existierenden Endpunkt sendet. Kopieren Sie die ACS-URL immer direkt aus der Purple-Plattform, anstatt sie manuell einzutippen.
Deaktivieren Sie schließlich den IdP-initiierten Login für diese Anwendung. Der Netzwerkzugriff sollte immer nur vom SP (dem WiFi-Verbindungsereignis) initiiert werden. Das Zulassen von IdP-initiierten Flows öffnet Tür und Tor für bestimmte SAML-basierte Injection-Angriffe und stellt in diesem Bereitstellungsmodell ein unnötiges Sicherheitsrisiko dar.
ROI & Business Impact
Das Business Case für die SAML-basierte Mitarbeiter-WiFi-Authentifizierung ist für alle Arten von Veranstaltungsorten überzeugend. Durch den Wegfall gemeinsam genutzter Passwörter erübrigen sich regelmäßige, störende Passwortänderungen und die damit verbundenen Helpdesk-Tickets. Unternehmen berichten in der Regel von einer Reduzierung der WiFi-bezogenen IT-Supportanfragen um mehr als 50 % nach der Bereitstellung. Die Automatisierung des Benutzer-Lebenszyklus ist der bedeutendste betriebliche Gewinn: Wenn ein Mitarbeiter das Unternehmen verlässt und sein IdP-Konto deaktiviert wird, wird sein WiFi-Zugang sofort und automatisch entzogen. Dies schließt eine Sicherheitslücke, die PSK-basierte Netzwerke auf unbestimmte Zeit offen lassen. Aus Compliance-Sicht bietet SAML ein prüfbares Zugriffsprotokoll auf individueller Ebene, das die PCI DSS-Anforderung 8 und die GDPR-Rechenschaftspflichten direkt unterstützt. Das nahtlose SSO-Erlebnis – ein einziger Satz von Anmeldedaten für E-Mail, Anwendungen und WiFi – verringert Reibungsverluste für die Mitarbeiter und steigert die Produktivität, insbesondere für operative Teams, die sich im Laufe des Tages zwischen verschiedenen Bereichen eines Veranstaltungsorts bewegen.
Referenzen
[1] OASIS Security Services (SAML) TC. "SAML V2.0 Executive Overview." April 2008. https://www.oasis-open.org/committees/download.php/27819/sstc-saml-exec-overview-2.0-cd-01.pdf
[2] General Data Protection Regulation (GDPR). Artikel 5, Grundsätze für die Verarbeitung personenbezogener Daten. https://gdpr-info.eu/art-5-gdpr/
[3] PCI Security Standards Council. "PCI DSS v4.0 Requirement 8: Identify Users and Authenticate Access to System Components." 2022. https://www.pcisecuritystandards.org/
Schlüsseldefinitionen
SAML-Assertion
Ein vom Identity Provider digital signiertes XML-Dokument, das die Identität eines Benutzers bestätigt und zusätzliche Attribute über ihn bereitstellt. Es ist der kryptografische „digitale Reisepass“, dem der Service Provider vertraut, um eine Zugriffsentscheidung zu treffen.
Bei der Behebung von Authentifizierungsfehlern überprüfen IT-Teams die SAML-Assertion, um sicherzustellen, dass der IdP die korrekten Benutzerattribute sendet und die digitale Signatur gültig ist. Sie ist das zentrale Beweisstück bei jeder Authentifizierungstransaktion.
Identity Provider (IdP)
Das System, das Benutzeridentitäten verwaltet und diese authentifiziert. Es ist die autoritative Quelle der Wahrheit für Benutzeridentitäten innerhalb einer Organisation.
In einer Unternehmensumgebung ist dies das zentrale Benutzerverzeichnis — Azure AD, Okta, Ping Identity oder ADFS. Hier fügen IT-Teams alle Mitarbeiterkonten hinzu, entfernen sie, verwalten sie und setzen Sicherheitsrichtlinien wie MFA durch.
Service Provider (SP)
Die Anwendung oder der Dienst, die/der eine Authentifizierung erfordert, bevor Zugriff gewährt wird. Sie/Er vertraut dem Identity Provider bei der Durchführung der Authentifizierung und verlässt sich auf die SAML-Assertion als Nachweis.
Für die SAML-WiFi-Authentifizierung ist die Purple-Plattform der Service Provider. Sie nutzt die SAML-Assertion des IdP, um eine Entscheidung über die Netzwerkzugriffskontrolle für das verbindende Gerät zu treffen.
Assertion Consumer Service (ACS) URL
Ein spezifischer Endpunkt auf dem Service Provider, der dafür ausgelegt ist, SAML-Assertions vom Identity Provider nach einer erfolgreichen Authentifizierung zu empfangen und zu verarbeiten.
Dies ist einer der kritischsten Konfigurationsparameter. Wenn die ACS-URL in den IdP-Einstellungen falsch eingegeben wird, weiß der IdP nach dem Login nicht, wohin er den Benutzer leiten soll, und die Authentifizierung schlägt mit einem Weiterleitungsfehler fehl.
Entity ID
Eine global eindeutige Kennung für einen Identity Provider oder Service Provider innerhalb des SAML-Protokolls. Sie fungiert als eindeutiger Name, um sicherzustellen, dass jede Partei mit dem richtigen Gegenüber kommuniziert.
Die Entity ID ist in der Regel als URL formatiert, muss aber nicht auf eine echte Webseite verweisen. Sie funktioniert wie eine eindeutige Kennung in einem Verzeichnis und verhindert, dass ein SP versehentlich Assertions verarbeitet, die für einen anderen bestimmt sind.
SAML-Metadaten
Ein XML-Dokument, das alle erforderlichen Konfigurationsinformationen über eine SAML-Partei enthält — einschließlich ihrer Entity ID, Endpunkt-URLs (wie der ACS-URL) und des öffentlichen X.509-Signaturzertifikats.
Der Austausch von Metadateien ist die zuverlässigste Methode zur Einrichtung einer SAML-Vertrauensstellung. Anstatt einzelne Werte manuell zu kopieren, können Administratoren die Metadaten-XML der anderen Partei hochladen, um die Konfiguration automatisch auszufüllen, was das Risiko von Übertragungsfehlern verringert.
Claim
Eine Information über einen Benutzer — ein Attribut —, die vom Identity Provider in die SAML-Assertion aufgenommen wird. Typische Claims sind Benutzername, E-Mail-Adresse, Abteilung und Gruppenmitgliedschaften.
IT-Teams konfigurieren Claims im IdP, um zu steuern, welche Informationen der SP erhält. Das Senden von Gruppenmitgliedschafts-Claims an Purple ermöglicht rollenbasierte Zugriffsrichtlinien und eine dynamische VLAN-Zuweisung basierend auf der Arbeitsfunktion eines Benutzers.
Single Sign-On (SSO)
Ein Authentifizierungsverfahren, das es einem Benutzer ermöglicht, sich einmal mit einem einzigen Satz von Anmeldedaten zu authentifizieren und Zugriff auf mehrere unabhängige Systeme und Anwendungen zu erhalten, ohne die Anmeldedaten für jedes System erneut eingeben zu müssen.
SAML ist ein wesentlicher technischer Wegbereiter für SSO. Durch die Verwendung von SAML für die WiFi-Authentifizierung nutzen Mitarbeiter für den Internetzugang dieselben Unternehmens-Logins wie für E-Mail, HR-Systeme und andere Anwendungen — eine nahtlose Erfahrung, die Reibungsverluste reduziert und separate WiFi-Passwörter überflüssig macht.
X.509-Zertifikat
Ein Standard für digitale Zertifikate, der zur Überprüfung der Identität einer Partei und zum Signieren oder Verschlüsseln von Daten verwendet wird. Bei SAML verwendet der IdP seinen privaten Schlüssel zum Signieren von Assertions, und der SP verwendet das öffentliche X.509-Zertifikat des IdP, um diese Signaturen zu überprüfen.
Dieses Zertifikat ist die Grundlage des Vertrauens in einer SAML-Bereitstellung. Sein Ablauf ist die häufigste Ursache für vollständige Authentifizierungsausfälle und muss proaktiv verwaltet werden.
Ausgearbeitete Beispiele
Eine globale Hotelkette mit 300 Standorten muss ihren unsicheren, einheitlichen PSK für das Mitarbeiter-WiFi ersetzen. Die Kette nutzt Microsoft 365 und Azure AD als Plattform für die Unternehmensidentität. Sie benötigt eine Lösung, die zentral verwaltet werden kann, den Mitarbeitern eine nahtlose Benutzererfahrung bietet und den Zugriff sofort entzieht, wenn ein Mitarbeiter das Unternehmen verlässt.
Das IT-Team erstellt eine neue Enterprise-Anwendung in Azure AD für die Purple-Plattform. Sie konfigurieren die Anwendung mit der Entity-ID und der ACS-URL aus ihrer Purple-Instanz. Entscheidend ist, dass sie die Claims so konfigurieren, dass die Gruppenmitgliedschaft des Benutzers übertragen wird – zum Beispiel 'Hotel-Staff' und 'IT-Admin' – und user.objectid als eindeutige NameID verwenden, um einen stabilen, unveränderlichen Identifikator zu gewährleisten. In Purple erstellen sie eine neue SAML-Authentifizierungsmethode und laden die Azure AD-Metadaten-XML hoch, um die Vertrauensstellung einzurichten. Anschließend erstellen sie zwei Zugriffsrichtlinien: eine für 'Hotel-Staff', die Zugriff auf das allgemeine Mitarbeiter-Netzwerk-VLAN gewährt, und eine zweite für 'IT-Admin', die privilegierten Zugriff auf das Management-VLAN gewährt. Diese Konfiguration ist an eine einzige 'Staff'-SSID gebunden, die über die zentrale Netzwerkmanagement-Plattform der Kette an allen 300 Standorten ausgestrahlt wird. Einem neuen Mitarbeiter in jedem beliebigen Hotel wird automatisch die richtige Stufe des WiFi-Zugriffs gewährt, sobald sein Benutzerkonto der entsprechenden Gruppe in Azure AD hinzugefügt wird – es ist kein lokaler IT-Eingriff erforderlich. Wenn ein Mitarbeiter das Unternehmen verlässt, entzieht das Deaktivieren seines Azure AD-Kontos sofort und gleichzeitig seinen WiFi-Zugriff an allen 300 Standorten.
Ein großes Konferenzzentrum veranstaltet mehrere Events von Drittanbietern gleichzeitig. Sie müssen sicheres WiFi für Event-Mitarbeiter verschiedener Organisationen bereitstellen, die jeweils ihre eigenen Identitätssysteme nutzen. Sie können keine Zugangsdaten an externe Mitarbeiter vergeben und müssen sicherstellen, dass Mitarbeiter eines Events nicht auf die Netzwerkressourcen eines anderen zugreifen können.
Das IT-Team des Konferenzzentrums nutzt die Unterstützung von Purple für mehrere SAML-Identity-Provider. Für jeden größeren Event-Veranstalter konfigurieren sie eine separate SAML-Vertrauensstellung innerhalb der Purple-Plattform. Veranstalter A (der Okta nutzt) und Veranstalter B (der Google Workspace nutzt) werden als separate IdPs eingerichtet. Das Captive Portal ist so konfiguriert, dass es einen Schritt zur Organisationsauswahl anzeigt und die Benutzer zur Authentifizierung an ihren jeweiligen IdP weiterleitet. Mithilfe der von jedem IdP übermittelten Gruppen-Claims ordnet Purple die Benutzer event-spezifischen VLANs zu, wodurch eine vollständige Trennung des Netzwerkverkehrs zwischen den Events gewährleistet wird. Der Zugriff für die Mitarbeiter des jeweiligen Veranstalters läuft am Ende des Events automatisch ab, basierend auf vordefinierten Journey-Regeln, die in Purple konfiguriert sind, sodass kein manuelles Deprovisionieren erforderlich ist.
Übungsfragen
Q1. Ihr CFO hat berichtet, dass das persönliche Gerät eines ehemaligen Mitarbeiters zwei Wochen nach dessen Ausscheiden immer noch mit dem WiFi-Netzwerk für Mitarbeiter verbunden war. Ihr aktuelles System verwendet einen einzigen WPA2-PSK, der vierteljährlich gewechselt wird. Wie würde ein SAML-basierter Ansatz dieses spezifische Risiko mindern, und welche zusätzlichen Kontrollen würden Sie empfehlen?
Hinweis: Berücksichtigen Sie den Lebenszyklus der Benutzer, die Quelle der Authentifizierungsautorität und die Rolle von Sitzungs-Timeouts.
Musterlösung anzeigen
Ein SAML-basierter Ansatz verknüpft den WiFi-Zugang direkt mit dem aktiven Status des Mitarbeiters im zentralen Identity Provider. Sobald das Konto des Mitarbeiters im Rahmen des standardmäßigen Offboarding-Prozesses deaktiviert oder gelöscht wird, wird seine Berechtigung zur Authentifizierung bei allen in SAML integrierten Diensten – einschließlich des WiFi – sofort und automatisch entzogen. Der IdP stellt für diesen Benutzer keine gültige SAML-Assertion mehr aus, was bedeutet, dass er sich nicht erneut authentifizieren kann. Um das spezifische Szenario eines bereits verbundenen Geräts zu adressieren, konfigurieren Sie kurze Sitzungs-Timeouts in Purple (z. B. 8-stündige Sitzungen, die auf einen Arbeitstag abgestimmt sind). Wenn die Sitzung abläuft, muss sich das Gerät erneut authentifizieren; das deaktivierte IdP-Konto wird dies verhindern. Dies beseitigt die Sicherheitslücke, die mit langlebigen, gemeinsam genutzten Geheimnissen wie einem PSK einhergeht, bei denen ein bereits verbundenes Gerät unbegrenzt online bleibt.
Q2. Ein Stadion implementiert eine SAML-Authentifizierung für seine 500 Mitarbeiter an Veranstaltungstagen. Es soll sichergestellt werden, dass Kassierer, die Point-of-Sale-Terminals nutzen, nur auf das PCI-konforme Netzwerksegment zugreifen können, während das Betriebspersonal auf das allgemeine Unternehmensnetzwerk zugreifen kann. Wie würden Sie die SAML-Claims-Konfiguration und die Netzwerkrichtlinie gestalten, um diese Segmentierung zu erreichen?
Hinweis: Überlegen Sie, wie Rolleninformationen vom IdP über die SAML-Assertion an die Netzwerkinfrastruktur übergeben werden können und wie Purple auf diese Informationen reagieren kann.
Musterlösung anzeigen
Die Lösung besteht in der Verwendung von Gruppen-Claims und dynamischer VLAN-Zuweisung. Erstellen Sie im IdP (Azure AD oder Okta) zwei Sicherheitsgruppen: "POS-Staff" und "Ops-Staff". Konfigurieren Sie die SAML-Anwendung so, dass die Gruppenmitgliedschaft des Benutzers als Claim in der Assertion enthalten ist. Erstellen Sie in der Purple-Plattform zwei Benutzerzugriffsprofile, die diesen Gruppennamen zugeordnet sind. Konfigurieren Sie das Profil "POS-Staff" so, dass Benutzer dem PCI-konformen VLAN (z. B. VLAN 10) zugewiesen werden, und das Profil "Ops-Staff" so, dass Benutzer dem Unternehmens-VLAN (z. B. VLAN 20) zugewiesen werden. Wenn sich ein Benutzer authentifiziert, liest Purple den Gruppen-Claim aus der SAML-Assertion und weist den Netzwerk-Controller – über RADIUS-Attribute oder die API – an, das Gerät des Benutzers im entsprechenden VLAN zu platzieren. Der Netzwerkverkehr wird dann auf Infrastrukturebene getrennt, sodass POS-Terminals nur das Zahlungsverarbeitungsnetzwerk erreichen können, unabhängig davon, wo sie sich im Stadion verbinden.
Q3. Sie planen die Einführung der SAML-WiFi-Authentifizierung für eine Einzelhandelskette mit 1.000 Filialen. Die Filialleiter sind technisch nicht versiert. Was ist das wichtigste betriebliche Risiko, das proaktiv gemanagt werden muss, und wie sieht Ihr Kommunikations- und Notfallplan aus?
Hinweis: Was ist die eine Komponente in der SAML-Vertrauensstellung, die ein festes Ablaufdatum hat und deren Ausfall einen gleichzeitigen Ausfall in allen 1.000 Filialen verursachen würde?
Musterlösung anzeigen
Das kritischste betriebliche Risiko ist der Ablauf des SAML-Signaturzertifikats des IdP. Wenn es abläuft, verlieren alle 1.000 Filialen gleichzeitig den WiFi-Zugang für ihre Mitarbeiter, da Purple keine SAML-Assertions mehr validieren kann. Der Minderungsplan besteht aus zwei Komponenten. Technisch: Richten Sie mehrere, redundante Kalendererinnerungen für das Ablaufdatum des Zertifikats für das gesamte IT-Team ein, beginnend 90 Tage im Voraus. Dokumentieren Sie die schrittweise Anleitung zur Erstellung eines neuen Zertifikats im IdP und dessen Aktualisierung in der Purple-Plattform. Stellen Sie sicher, dass mindestens zwei Teammitglieder in diesem Verfahren geschult sind. Versuchen Sie, die Erneuerung mindestens 30 Tage vor dem Ablauf abzuschließen, um Tests zu ermöglichen. Zur Kommunikation: Informieren Sie den Leiter des Einzelhandelsbetriebs proaktiv über das geplante Wartungsfenster für die Zertifikatsverlängerung. Es ist nicht erforderlich, die einzelnen Filialleiter über eine geplante Verlängerung zu informieren, da das Ziel eine Umstellung ohne Ausfallzeiten ist. Im Falle eines ungeplanten Ausfalls sollte der Kommunikationsplan vorsehen, den Betriebsleiter unverzüglich über das Problem zu informieren und eine realistische Zeitspanne bis zur Behebung zu nennen. Eine temporäre Ausweichlösung – wie ein zeitlich begrenzter PSK für kritische Abläufe – sollte im Business-Continuity-Plan dokumentiert werden.
Weiterlesen in dieser Reihe
Per-Device PSK nach Anbieter: iPSK, DPSK, MPSK und PPSK im Vergleich (und WPA3-Unterstützung)
Ein umfassender Vergleich von Per-Device-PSK-Implementierungen bei Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Extreme, Fortinet und Ubiquiti UniFi. Erfahren Sie, wie sich WPA3-SAE auf Per-Device-Key-Strategien auswirkt und wann Übergangsmodi im Vergleich zum Wechsel zu 802.1X eingesetzt werden sollten.
Captive Portal Authentifizierungsmethoden im Vergleich
Dieser maßgebliche technische Leitfaden bewertet die architektonischen, betrieblichen und Compliance-bezogenen Vor- und Nachteile von fünf zentralen Captive Portal Authentifizierungsmethoden. Er bietet Netzwerkarchitekten, IT-Leitern und Marketingmanagern die quantitativen Daten und Entscheidungsrahmen, die erforderlich sind, um die Reibung beim Onboarding von Gästen mit den Anforderungen an die Datenerfassung in Unternehmensstandorten abzuwägen.
Was ist MAC-Adressen-Authentifizierung? Wann man sie einsetzt und wann man sie vermeidet
Dieser maßgebliche technische Leitfaden behandelt die MAC-Adressen-Authentifizierung in Enterprise-WiFi-Umgebungen – wie die RADIUS-basierte MAC-Authentifizierung auf Layer 2 funktioniert, ihre inhärenten Sicherheitsrisiken (einschließlich MAC-Spoofing und den Auswirkungen der MAC-Randomisierung auf Betriebssystemebene) und die genauen betrieblichen Kontexte, in denen sie ein legitimes Tool zur Verwaltung von IoT- und Headless-Geräten bleibt. Er bietet praxisnahe Bereitstellungsrichtlinien für IT-Manager und Netzwerkarchitekten in den Bereichen Hotellerie, Einzelhandel, Gesundheitswesen und im öffentlichen Sektor, ergänzt durch praxisnahe Fallbeispiele, Entscheidungsmatrizen und Integrationskontexte für die Guest-WiFi- und Analytics-Plattform von Purple.