Cisco SUDI verstehen: Hardware-basierte Geräteidentität in der Netzwerk-Zugriffskontrolle

Cisco SUDI verstehen: Hardware-basierte Geräteidentität in der Network Access Control Ein technisches Briefing von Purple - Vollständiges Podcast-Skript (ca. 10 Minuten) --- SEGMENT 1: EINFÜHRUNG UND KONTEXT (ca. 1 Minute) Hallo und herzlich willkommen zu einem technischen Briefing von Purple. Ich werde in den nächsten zehn Minuten mit Ihnen über Cisco SUDI sprechen - Secure Unique Device Identifier. Was es eigentlich ist, wie es sich in Ihre Network Access Control Architektur einfügt und was Sie tun müssen, wenn Sie eine Cisco Infrastruktur im großen Stil betreiben. Dies richtet sich an Netzwerkarchitekten, IT-Leiter und CTOs an Standorten - Hotels, Einzelhandel, Stadien, Konferenzzentren - überall dort, wo Sie Enterprise WiFi betreiben und sicher sein müssen, dass die Hardware in Ihrem Netzwerk genau das ist, was sie zu sein vorgibt. Beginnen wir mit dem Problem, das SUDI löst. In jedem großen Standortnetzwerk haben Sie Dutzende oder Hunderte von Access Points, Switches und Controllern. Die Frage, von der Ihre Sicherheitslage abhängt, lautet: Wie können Sie sicher sein, dass jedes dieser Geräte ein echtes, unmodifiziertes Cisco Produkt ist - und kein Plagiat, kein kompromittiertes Gerät oder ein Gerät, das beim Transport manipuliert wurde? Das ist die Lücke, die SUDI schließt. --- SEGMENT 2: TECHNISCHER DEEP-DIVE (ca. 5 Minuten) SUDI steht für Secure Unique Device Identifier. Es handelt sich um ein X.509-Zertifikat der Version 3 - dasselbe Zertifikatsformat, das auch bei HTTPS und TLS verwendet wird. Aber anstatt für eine Person oder einen Server wird es während der Herstellung für ein bestimmtes Hardwareteil ausgestellt. Es enthält die Produktidentifikations- und Seriennummer des Geräts und ist in Ciscos eigener Public-Key-Infrastruktur verankert. Und das unterscheidet SUDI von einem Softwarezertifikat, das Sie selbst installieren würden. Das SUDI-Zertifikat befindet sich zusammen mit dem dazugehörigen Schlüsselpaar in einem manipulationssicheren Chip, dem sogenannten Trust Anchor Module (TAm). Der private Schlüssel wird in diesem Chip generiert und verlässt ihn nie. Sie können ihn nicht exportieren. Sie können ihn nicht klonen. Wenn jemand den Chip physisch manipuliert, wird der Schlüssel zerstört. Das ist der hardwarebasierte Vertrauensanker. SUDI ist die Cisco Implementierung des IEEE 802.1AR-Standards - dem Branchenstandard für Secure Device Identifiers oder DevIDs. Unter 802.1AR wird der vom Hersteller installierte Berechtigungsnachweis als Initial Device Identifier oder IDevID bezeichnet. Das SUDI von Cisco ist genau das - ein IDevID, das Cisco im Werk installiert. Sie können es durch einen Locally Significant Device Identifier oder LDevID ergänzen, den Ihre eigene PKI für lokale Autorisierungsrichtlinien ausstellt. Wie lässt sich dies nun in die Netzwerk-Zugriffskontrolle integrieren? Der häufigste Integrationspunkt ist IEEE 802.1X - der portbasierte Standard für die Netzwerk-Zugriffskontrolle. Wenn ein Cisco Access Point oder Switch online geht, kann er sein SUDI-Zertifikat an einen RADIUS-Server - in der Regel Cisco ISE, Identity Services Engine - mithilfe von EAP-TLS übermitteln, was für Extensible Authentication Protocol mit Transport Layer Security steht. Der RADIUS-Server validiert das Zertifikat anhand der öffentlichen Zertifizierungsstelle von Cisco, bestätigt die Echtheit des Geräts und wendet dann die entsprechende Netzwerkrichtlinie an. Dies ist deutlich sicherer als der MAC-Address-Bypass, der von den meisten Netzwerken als Ausweichlösung für Infrastrukturgeräte genutzt wird. MAC-Adressen können in weniger als einer Minute gefälscht werden. Ein an die Hardware gebundenes Zertifikat in einem manipulationssicheren Chip kann nicht gefälscht werden, ohne das Gerät physisch zu zerstören. In einem Veranstaltungsort-Kontext ist dies aus drei Gründen wichtig. Erstens wird das Risiko minimiert, dass sich unbefugte Access Points in Ihr Netzwerk einschleusen. Ein gefälschtes oder nicht autorisiertes Gerät kann schlicht kein gültiges SUDI vorweisen. Zweitens ermöglicht es ein automatisiertes Zero Touch Provisioning - ein neues Gerät wird an Ihren Veranstaltungsort geliefert, eingeschaltet, präsentiert sein SUDI, und Ihr Managementsystem gleicht es mit Ihrem Inventar ab, bevor die Konfiguration übertragen wird. Ganz ohne manuelles Eingreifen. Drittens erhalten Sie ein kryptografisch überprüfbares Audit-Protokoll. Jedes Gerät, das sich an Ihrem Netzwerk authentifiziert hat, tat dies mit einem Zertifikat, das beweist, dass es sich um ein bestimmtes, namentlich genanntes Cisco Produkt handelt. Lassen Sie mich das Trust Anchor-Modul etwas genauer erläutern, da es das Fundament für alles Weitere bildet. Das TAm ist ein proprietärer Chip von Cisco, der drei Dinge bereitstellt: einen nicht flüchtigen, sicheren Speicher für die SUDI und Schlüssel, kryptografische Dienste einschließlich Zufallszahlengenerierung sowie Hardware-Fingerprinting. Letzteres ist besonders erwähnenswert - Cisco erfasst bei der Herstellung einen Fingerabdruck der kritischen Hardwarekomponenten eines Geräts und speichert diesen im TAm. Beim Booten des Geräts wird der festgestellte Hardware-Fingerabdruck mit dem gespeicherten abgeglichen. Stimmen sie nicht überein, bootet das Gerät nicht. Dadurch werden Hardware-Manipulationen während des Transports erkannt - ein echtes Problem bei großen Installationen an Veranstaltungsorten, bei denen die Hardware vor der Installation durch mehrere Hände gehen kann. Ein betrieblicher Aspekt, den Sie beachten müssen: Vor Mai 2019 ausgestellte SUDI-Zertifikate laufen entweder zehn Jahre nach dem Herstellungsdatum oder am 14. Mai 2029 ab, je nachdem, was zuerst eintritt. Cisco hat dies mit einer neuen Generation von Zertifikaten namens SUDI-2099 gelöst, die bis Dezember 2099 gültig sind. Wenn Sie Catalyst 9000-Hardware betreiben, die vor 2019 hergestellt wurde, sollten Sie Ihre SUDI-Ablaufdaten jetzt überprüfen. Der Befehl lautet „show crypto pki certificate“ auf IOS-XE. Suchen Sie nach dem Trustpoint CISCO_IDEVID_SUDI und prüfen Sie das Enddatum. Wenn Sie den Catalyst 9200 verwenden, aktualisieren Sie auf IOS-XE 17.12.2 oder neuer, um sicherzustellen, dass Sie das korrekte 2099-Zertifikat nutzen. - SEGMENT 3: IMPLEMENTIERUNGSEMPFEHLUNGEN UND FALLSTRICKE (ca. 2 Minuten) Lassen Sie mich Ihnen die praktische Implementierung aufzeigen. Wenn Sie eine SUDI-basierte Authentifizierung in einer Veranstaltungs- oder Standortumgebung bereitstellen, ist dies der Ablauf, der funktioniert. Beginnen Sie mit Ihrer RADIUS-Infrastruktur. Cisco ISE ist die naheliegende Wahl, wenn Sie bereits im Cisco-Ökosystem arbeiten, aber jeder RADIUS-Server, der EAP-TLS unterstützt und Zertifikate mit einer externen CA abgleichen kann, ist geeignet. Sie müssen die Root-CA von Cisco sowie die ACT2-SUDI-CA-Zertifikate in Ihren RADIUS-Trust-Store importieren. Diese sind über das PKI-Portal von Cisco öffentlich zugänglich. Konfigurieren Sie als Nächstes Ihre 802.1X-Richtlinie so, dass eine zertifikatsbasierte Authentifizierung für Infrastrukturgeräte erforderlich ist. Trennen Sie dies von Ihrer Richtlinie zur Endbenutzer-Authentifizierung - die Abläufe für Mitarbeiter- und Gäste-Authentifizierung sind unterschiedlich und sollten in ISE auf separaten Richtliniensätzen liegen. Aktivieren Sie bei neuen Bereitstellungen das Zero Touch Provisioning. Ihr Netzwerkmanagementsystem - Cisco DNA Centre oder Catalyst Centre - kann SUDI nutzen, um die Geräteidentität vor dem Pushen der Konfiguration zu überprüfen. Dadurch entfällt der manuelle Staging-Prozess und die Bereitstellungszeit verkürzt sich von Stunden auf wenige Minuten pro Gerät. Nun zu den Fallstricken. Der häufigste Fehler, den ich sehe, ist die Mischung aus SUDI-Authentifizierung und MAC-Address-Bypass (MAB) auf demselben Port. Wenn Sie bei einem SUDI-Fehlversuch auf MAB ausweichen, haben Sie das Sicherheitsmodell ausgehebelt. Definieren Sie eine klare Richtlinie: SUDI-fähige Geräte müssen sich über SUDI authentifizieren, Punkt. Nicht-SUDI-Geräte werden bis zur manuellen Überprüfung in ein Quarantäne-VLAN verschoben. Der zweite Fallstrick ist der Ablauf von Zertifikaten. Richten Sie jetzt eine Überwachung für die SUDI-Ablaufdaten in Ihrer gesamten Flotte ein. Warten Sie nicht auf einen Dienstausfall, um festzustellen, dass sich Ihre Access Points nicht mehr authentifizieren können. Die Plattform von Purple lässt sich in Cisco Meraki und andere Hardwarehersteller integrieren, um Statussignale der Geräte - einschließlich des Authentifizierungsstatus - in einem einzigen Dashboard anzuzeigen, was diese Art von proaktiver Überwachung in großem Maßstab praktikabel macht. Der dritte Fallstrick ist die schleichende Ausweitung des Projektumfangs. SUDI authentifiziert das Hardwaregerät. Es authentifiziert nicht den Benutzer, der sich über dieses Gerät verbindet. Sie benötigen weiterhin eine separate Identitätsebene für Gäste, Mitarbeiter und Bewohner. Genau hier setzt eine Plattform wie Purple an - wir übernehmen die Identitätsebene für Menschen, die Erfassung von Einwilligungen, die VLAN-Zuweisung für den Gast-Traffic sowie die Analysen, während SUDI darunter die Infrastrukturebene absichert. - - - SEGMENT 4: SCHNELLE FRAGEN UND ANTWORTEN (ca. 1 Minute) Lassen Sie uns drei Fragen durchgehen, die mir regelmäßig gestellt werden. Ersetzt SUDI meine bestehende PKI? Nein. SUDI ist eine vom Hersteller installierte IDevID. Sie beweist, dass es sich bei dem Gerät um echte Cisco-Hardware handelt. Ihre Unternehmens-PKI stellt LDevIDs und Benutzerzertifikate für alles andere aus. Sie arbeiten parallel. Kann ich SUDI auf Hardware verwenden, die nicht von Cisco stammt? Nein. SUDI ist Cisco-spezifisch. HPE Aruba hat ein Äquivalent namens IAP-Bereitstellungszertifikate. Ruckus und Juniper Mist haben ihre eigenen Mechanismen zur Geräteidentifikation. Der zugrunde liegende Standard - IEEE 802.1AR - ist herstellerneutral, aber jeder Hersteller implementiert ihn anders. Was passiert, wenn ein SUDI-Zertifikat abläuft? Dienste, die für die Authentifizierung auf SUDI angewiesen sind - HTTPS, SSH mit Zertifikatsauthentifizierung, Zero Touch Provisioning - schlagen fehl. Das Gerät selbst läuft zwar weiter, kann aber seine Identität nicht mehr kryptografisch nachweisen. Genau deshalb ist die SUDI-2099-Migration so wichtig. --- SEGMENT 5: ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE (ca. 1 Minute) Zusammenfassend lässt sich sagen: Cisco SUDI bietet Ihnen eine hardwarebasierte Geräteidentität, die nicht gefälscht, geklont oder exportiert werden kann. Sie ist das Fundament einer vertrauenswürdigen Infrastrukturschicht. In Kombination mit IEEE 802.1X und einer gut konfigurierten RADIUS-Richtlinie eliminiert sie das Risiko von Rogue-Geräten und ermöglicht eine automatisierte Bereitstellung in großem Maßstab. Ihre drei sofortigen Maßnahmen: Erstens, prüfen Sie Ihren Cisco-Bestand mithilfe von "show crypto pki certificate" auf SUDI-Ablaufdaten. Zweitens, importieren Sie die Root-CA von Cisco in Ihren RADIUS-Vertrauensspeicher und konfigurieren Sie EAP-TLS-Richtlinien für Infrastrukturgeräte. Drittens, trennen Sie Ihre Richtlinie für die Authentifizierung der Infrastruktur von der für Ihre Endbenutzer - diese dienen unterschiedlichen Zwecken und sollten unabhängig voneinander verwaltet werden. Wenn Sie tiefer einsteigen möchten, wie Purple mit Cisco Meraki und anderen Hardware-Herstellern integriert wird, um eine identitätsbasierte Netzwerksegmentierung für Gäste, Mitarbeiter und Bewohner bereitzustellen, besuchen Sie purple.ai oder lesen Sie die zugehörigen Leitfäden, die unter dieser Episode verlinkt sind. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing. --- ENDE DES SKRIPTS