Sicheres BYOD WiFi: Passpoint-Zertifikats-Onboarding vs. xPSK (iPSK)

Bring Your Own Device (BYOD) Programme sind Standard in Unternehmensbüros, Gesundheitseinrichtungen und Hochschuleinrichtungen. Das Verbinden von nicht verwalteten Smartphones, Tablets und Laptops mit einem Unternehmensnetzwerk stellt jedoch eine grundlegende Sicherheitsherausforderung für Netzwerkadministratoren dar.

Herkömmliche WPA2/3-Personal Pre-Shared Keys (PSKs) verbreiten sich schnell unter den Mitarbeitern und machen Netzwerke anfällig für unbefugten Zugriff und Packet-Inspection. Umgekehrt erzeugt die traditionelle 802.1X EAP-TLS-Zertifikatsregistrierung oft ein hohes Volumen an Support-Anfragen, wenn sie auf persönlichen Geräten ohne Mobile Device Management (MDM) Agenten bereitgestellt wird.

Um BYOD-Geräte ohne zusätzlichen betrieblichen Aufwand zu sichern, wählen Netzwerk-Engineering-Teams zwischen zwei modernen Architekturmustern: Passpoint (Hotspot 2.0) Zertifikats-Onboarding und herstellerspezifisches xPSK (Identity PSK).

-

Das BYOD-Sicherheitsproblem

Standardmäßige WiFi-Authentifizierungsmodelle scheitern auf nicht verwalteten persönlichen Geräten aus drei Gründen:

1. Verlust von gemeinsam genutzten Schlüsseln: Ein einziges WPA2/3-Personal Passwort, das von Mitarbeitern gemeinsam genutzt wird, ist kompromittiert, sobald ein Mitarbeiter das Unternehmen verlässt oder es an einen Besucher weitergibt.
2. Fehlende Identitätszuordnung: Gemeinsam genutzte Schlüssel bieten keinen Audit-Trail, um den individuellen Netzwerkverkehr oder MAC-Adressen mit namentlich genannten Mitarbeiteridentitäten in Ihrem Identity Provider (Entra ID, Okta oder Google Workspace) zu verknüpfen.
3. Komplexität der Supplikanten: Die manuelle Konfiguration von 802.1X EAP-TLS oder PEAP erfordert, dass Benutzer Root-CA-Zertifikaten manuell vertrauen, EAP-Methoden auswählen und Domänennamen eingeben - was zu fehlgeschlagenen Verbindungen und Support-Tickets führt.

-

Ansatz 1: Passpoint & sicheres Mitarbeiter-Zertifikats-Onboarding

Passpoint (IEEE 802.11u / Hotspot 2.0) etabliert eine berührungslose, unternehmensgerechte 802.1X EAP-TLS-Sicherheit auf persönlichen Geräten, ohne dass eine manuelle Konfiguration des Supplikanten oder eine MDM-Registrierung erforderlich ist.

Wie Passpoint Onboarding funktioniert

1. Identitätsauthentifizierung: Der Mitarbeiter meldet sich über ein Web-Onboarding-Portal mit vorhandenen Single Sign-On (SSO) Anmeldedaten (Entra ID, Okta, Google Workspace oder SAML 2.0) an.
2. Profilgenerierung: Die Purple Plattform stellt ein eindeutiges, signiertes Netzwerkprofil bereit, das ein individuelles Client-Zertifikat und eine vertrauenswürdige RADIUS CA-Root enthält.
3. Berührungslos Bereitstellung: Unter iOS, Android, macOS und Windows 11 tippt der Benutzer einmal an, um das Profil oder die Konfigurationsdatei zu installieren.
4. Automatisierte Verbindung: Das Gerät erkennt und verbindet sich automatisch mit jedem Passpoint-fähigen Standortnetzwerk weltweit unter Verwendung von WPA3-Enterprise 802.1X EAP-TLS.

Hauptvorteile von Passpoint für BYOD

• Individuelle Identitätsbindung: Jedes Paket ist verschlüsselt und direkt mit dem Benutzerkonto des Mitarbeiters verknüpft.

• Sofortiger Widerruf: Wenn ein Mitarbeiter das Unternehmen verlässt, beendet der Widerruf seiner Identität in Entra ID oder Okta sofort sein Passpoint-Zertifikat an allen Standorten.

• Standortübergreifendes Roaming: Mitarbeiter verbinden sich automatisch über Zweigstellen und Remote-Standorte hinweg, ohne Anmeldedaten erneut eingeben zu müssen.

Ansatz 2: Hersteller-xPSK (Identity Pre-Shared Keys)

Für Umgebungen, in denen 802.1X EAP-TLS nicht machbar ist - wie bei älteren persönlichen Geräten oder bildschirmlosen BYOD-Geräten - bieten herstellerspezifische xPSK-Implementierungen individuelle Schlüsselsicherheit über Standard-WPA2/3-Personal-SSIDs.

Implementierungsvarianten der Hardware-Hersteller

Verschiedene Hersteller von Wireless-Hardware implementieren die einzigartige Pre-Shared-Key-Technologie unter verschiedenen Namen:

• Cisco / Meraki - iPSK (Identity PSK) / easyPSK: Ordnet individuelle Pre-Shared Keys bestimmten RADIUS-Benutzerprofilen zu, was eine VLAN-Zuweisung pro Benutzer und die Durchsetzung von Firewall-Richtlinien auf einer einzigen WPA2-Personal-SSID ermöglicht.
• Ruckus Wireless - DPSK (Dynamic PSK): Generiert eindeutige Passphrasen-Schlüssel pro Benutzer oder Gerät über Ruckus Cloud / SmartZone, die automatisch an MAC-Adressen gebunden werden.
• Extreme Networks - PPSK (Private PSK): Weist benutzerdefinierte Schlüssel pro Benutzer mit automatischen Ablaufdaten und individuellen Bandbreitenbegrenzungen zu.
• Fortinet / FortiAP - MPSK (Multiple PSK): Integriert sich mit FortiGate Wireless-Controllern, um eindeutige Schlüssel zuzuweisen, die an FortiAuthenticator oder externe RADIUS-Benutzerdatenbanken gebunden sind.
• HPE Aruba Networking - ePSK (Enhanced PSK): Kombiniert lokale Benutzerrollen und die Durchsetzung von ClearPass-Richtlinien mit gerätespezifischen PSK-Schlüsseln.
• Ubiquiti UniFi - PPSK (Private Pre-Shared Key): Weist bestimmten Ziel-VLANs auf einer einheitlichen SSID eindeutige Schlüssel zu.

Hauptvorteile von xPSK

• Universelle Geräteunterstützung: Funktioniert über Standard-WPA2/3-Personal und ist somit kompatibel mit Geräten, die keine 802.1X EAP-Supplikanten unterstützen.
• Isolierte Schlüssellöschung: Das Löschen des Schlüssels eines einzelnen Benutzers beeinträchtigt keine anderen Benutzer im Netzwerk.
• VLAN- & Richtlinien-Steuerung: Cloud RADIUS weist einzelne Benutzer oder Gerätetypen basierend auf ihrem eindeutigen Schlüssel isolierten VLANs zu.

---

Technischer Vergleich: Passpoint EAP-TLS vs. xPSK

Architektur-Merkmal	Passpoint (EAP-TLS)	Hersteller-xPSK (iPSK/DPSK/PPSK)
Authentifizierungsprotokoll	WPA2/WPA3-Enterprise (802.1X)	WPA2/WPA3-Personal (WPA-PSK)
Sicherheitsebene	Zertifikatsbasiertes EAP-TLS	Eindeutiger AES-Verschlüsselungsschlüssel pro Benutzer
Benutzer-Onboarding	Ein-Klick-Profil / App-Download	Self-Service-Portal oder SMS-Schlüsselbereitstellung
Geräteunterstützung	Smartphones, Tablets, Laptops	Alle WiFi-Geräte (einschließlich Legacy/IoT)
Abgleich des Identitätsanbieters	SCIM / SAML-Sperrung in Echtzeit	Cloud RADIUS / API-Schlüsselzuordnung
Multi-Site-Roaming	Automatisches, nahtloses Roaming	Erfordert synchronisiertes RADIUS-Backend

---

Architekturempfehlung für die Unternehmens-IT

Für eine optimale BYOD-Sicherheit und Benutzererfahrung implementieren IT-Teams in Unternehmen eine zweistufige Strategie:

1. Primäres BYOD für Mitarbeiter & Studenten: Implementieren Sie das Onboarding von Passpoint EAP-TLS-Zertifikaten über Purple Staff Secure für alle persönlichen Smartphones, Tablets und Laptops. Dies erzwingt eine Zero-Trust-802.1X-Sicherheit, die an Ihren Identitätsanbieter gebunden ist.
2. Spezialisierte & Legacy-Geräte: Nutzen Sie Cloud RADIUS xPSK (iPSK/PPSK) für persönliche Geräte, die keine Passpoint-Profile verarbeiten können. So wird sichergestellt, dass jedes Gerät einen individuellen Schlüssel und eine isolierte VLAN-Zuweisung erhält.