El papel de SCEP y NAC en la infraestructura MDM moderna
Esta guía ofrece un desglose técnico detallado de cómo SCEP y NAC se integran con las plataformas MDM para ofrecer un acceso a la red seguro y sin intervención (zero-touch) a escala empresarial. Cubre toda la arquitectura, desde la emisión de certificados hasta la aplicación de 802.1X, con escenarios de implementación reales en los sectores de la hostelería y el comercio minorista. Diseñado para responsables de TI de grandes recintos que necesitan eliminar las vulnerabilidades de las contraseñas, automatizar el aprovisionamiento de dispositivos y cumplir con los requisitos de conformidad este trimestre.
Escuchar esta guía
Ver transcripción del podcast
Resumen Ejecutivo
Para los recintos empresariales —desde estadios con capacidad para 80.000 espectadores hasta cadenas de retail con múltiples sedes— la seguridad en el extremo de la red ha ido decididamente más allá de las claves precompartidas y la gestión manual de credenciales. La proliferación de terminales corporativos, dispositivos BYOD y la infraestructura IoT exige una arquitectura zero-trust que escale sin sobrecargar al servicio de soporte de TI.
Esta guía detalla la arquitectura técnica de la integración del Protocolo de Inscripción de Certificados Simple (SCEP) y el Control de Acceso a la Red (NAC) con la infraestructura de Gestión de Dispositivos Móviles (MDM). Al aprovechar SCEP para automatizar la distribución de certificados X.509 y NAC para aplicar la autenticación IEEE 802.1X EAP-TLS, las organizaciones pueden lograr un aprovisionamiento sin intervención (zero-touch), eliminar los vectores de robo de credenciales y aplicar un acceso a la red dinámico basado en el estado de seguridad del dispositivo. Mientras que el acceso de cara al público se gestiona a través de soluciones dedicadas de Guest WiFi , esta arquitectura protege las operaciones críticas internas que mantienen el recinto en funcionamiento. El resultado es una reducción medible de los costes indirectos de TI, una postura de cumplimiento más sólida bajo PCI DSS y GDPR, y un extremo de red que aplica activamente los principios de zero-trust.
Análisis Técnico Detallado
La Arquitectura de Tres Capas
La seguridad de red moderna se basa en la identidad criptográfica en lugar del conocimiento del usuario. La pila SCEP-NAC-MDM opera a través de tres capas principales:
| Capa | Componente | Función |
|---|---|---|
| Gestión de Dispositivos | MDM / UEM | Autoridad central para la configuración, el cumplimiento y el ciclo de vida de los dispositivos |
| Identidad y Emisión | PKI / SCEP / CA | Genera, emite y gestiona certificados digitales |
| Aplicación del Acceso | NAC / RADIUS | Evalúa los certificados y el estado del dispositivo antes de conceder el acceso a la red |
Estas capas no son secuenciales: operan en un bucle de retroalimentación continuo. El MDM informa al NAC sobre el estado de cumplimiento en tiempo real, y el NAC puede activar flujos de trabajo de remediación en el MDM cuando un dispositivo no supera las comprobaciones de estado.
Cómo SCEP Automatiza la PKI a Escala
Implementar certificados manualmente es operativamente imposible a gran escala. Un parque de 500 dispositivos requeriría que un administrador de TI generara, firmara e instalara certificados X.509 individuales en cada dispositivo, un proceso que lleva minutos por dispositivo e introduce un riesgo significativo de error humano. SCEP elimina esto por completo.
Cuando un dispositivo se registra en el MDM, este envía un perfil de configuración que contiene un payload SCEP. Este payload indica al dispositivo que genere un par de claves localmente (lo cual es fundamental, ya que la clave privada nunca sale del dispositivo) y que envíe una Solicitud de Firma de Certificado (CSR) al servidor SCEP. El servidor SCEP, que suele ser el Servicio de Registro de Dispositivos de Red (NDES) de Microsoft o un equivalente en la nube, valida la solicitud con el MDM para confirmar que el dispositivo está autorizado. A continuación, reenvía la CSR a la Entidad Certificadora (CA), que emite el certificado X.509 firmado. El certificado se devuelve al dispositivo y se instala en su enclave seguro o en el almacén de claves del sistema.
Todo este proceso se realiza de forma silenciosa, de manera inalámbrica y sin ninguna interacción por parte del usuario. Para un despliegue de 1.000 dispositivos, todo el parque de certificados puede aprovisionarse a las pocas horas de completarse el registro en el MDM.
NAC y 802.1X EAP-TLS: La capa de ejecución
Una vez que el dispositivo dispone de un certificado válido, intenta conectarse al SSID corporativo o al puerto cableado mediante IEEE 802.1X. El punto de acceso o switch actúa como autenticador, reenviando la solicitud al servidor RADIUS regulado por el motor de políticas del NAC. El método EAP más seguro es EAP-TLS, que exige una autenticación mutua: tanto el cliente como el servidor RADIUS deben presentar certificados válidos, lo que evita ataques de intermediario (man-in-the-middle) a través de puntos de acceso no autorizados.
El NAC realiza varias comprobaciones críticas en secuencia:
- Validación criptográfica: ¿Es el certificado matemáticamente válido y está firmado por una CA raíz de confianza?
- Comprobación de revocación: ¿Figura el certificado en una Lista de Revocación de Certificados (CRL) o está marcado mediante el Protocolo de Estado de Certificados en Línea (OCSP)?
- Evaluación de la postura: Al consultar al MDM a través de la API, el NAC pregunta: ¿Cumple el dispositivo con las normativas? ¿Está el sistema operativo en el nivel de parche requerido? ¿Está activado el cifrado de disco?
Si se superan todas las comprobaciones, el NAC envía un mensaje RADIUS Access-Accept, normalmente acompañado de Atributos Específicos del Proveedor (VSA) que asignan dinámicamente el dispositivo a una VLAN específica o aplican una Lista de Control de Acceso (ACL). Un dispositivo que no cumpla los requisitos se desvía a una VLAN de remediación con acceso limitado, normalmente el justo para activar un flujo de trabajo de remediación gestionado por el MDM.
Segmentación de la red de invitados
En cualquier entorno de establecimiento, la infraestructura corporativa debe estar estrictamente aislada de las redes orientadas al público. Las plataformas de Guest WiFi funcionan en SSIDs y VLANs totalmente independientes, sin ruta de enrutamiento hacia los recursos corporativos. La arquitectura SCEP-NAC rige la capa corporativa; la capa de invitados se rige por la autenticación de Captive Portal y los flujos de trabajo de captura de datos. Para los establecimientos que despliegan WiFi Analytics , esta segmentación es un requisito previo: los datos analíticos fluyen a través de la red de invitados, mientras que los datos operativos fluyen a través de la red corporativa autenticada mediante certificados. Para obtener más contexto sobre la arquitectura de radiofrecuencia subyacente que sustenta ambas redes, consulte Wi-Fi Frequencies: A Guide to Wi-Fi Frequencies in 2026 .
Guía de implementación
El despliegue de esta arquitectura requiere una secuenciación cuidadosa para evitar bloquear a los usuarios legítimos durante la transición.
Paso 1: Preparación de PKI y SCEP
Establezca una PKI interna sólida o aproveche un servicio de PKI gestionada (mPKI) basado en la nube. Despliegue y refuerce el servidor SCEP; si utiliza Microsoft NDES, asegúrese de que se ejecuta en un servidor dedicado, no alojado conjuntamente con la CA. Configure el servidor SCEP para utilizar contraseñas de desafío dinámicas, generadas por dispositivo por el MDM, en lugar de un secreto compartido estático. Esto evita solicitudes de certificados no autorizadas si se descubre la URL de SCEP.
Paso 2: Configuración de MDM
Cree la carga útil de SCEP en su plataforma MDM. Defina cuidadosamente los campos del Nombre Alternativo del Sujeto (SAN); el SAN debe contener identificadores únicos (como el número de serie del dispositivo o el UPN del usuario) que el NAC utilizará para las decisiones de políticas. Envíe el perfil a un grupo de prueba de dispositivos del equipo de TI primero y valide todo el flujo de inscripción antes de un despliegue más amplio.
Paso 3: Configuración de NAC y RADIUS
Configure su NAC para confiar en la CA raíz que emitió los certificados de cliente. Instale un certificado de servidor en el servidor RADIUS para la autenticación mutua EAP-TLS. Defina políticas de acceso basadas en los atributos del certificado y el estado de cumplimiento del MDM. Implemente reglas de asignación dinámica de VLAN: dispositivos corporativos conformes a la VLAN corporativa, dispositivos no conformes a la VLAN de remediación y dispositivos IoT a una VLAN dedicada y con acceso restringido a Internet.
Paso 4: Integración de la infraestructura de red
Configure los switches y los puntos de acceso inalámbricos para 802.1X. Para entornos de Retail con hardware de punto de venta heredado o establecimientos de Hospitality con controladores de habitaciones inteligentes, implemente la omisión de autenticación MAC (MAB) como alternativa para los dispositivos que no puedan participar en EAP-TLS. Restrinja MAB a puertos de switch específicos y asegúrese de que la base de datos de direcciones MAC esté estrictamente controlada. Para entornos de Healthcare y Transport , las reglas de evaluación de postura deben configurarse para cumplir con los requisitos de cumplimiento específicos del sector.
Paso 5: Despliegue en paralelo y transición
Nunca realice la transición de forma inmediata. Difunda el nuevo SSID 802.1X en paralelo con la red existente. Distribuya el nuevo perfil de WiFi a través de MDM. Supervise la adopción y resuelva los fallos de registro. Una vez que más del 95 % de los dispositivos se hayan autenticado correctamente en el nuevo SSID, retire la red heredada.
Buenas prácticas
Exija EAP-TLS. Nunca acepte EAP-PEAP o EAP-TTLS como método de autenticación principal para los dispositivos corporativos. Estos métodos dependen de credenciales de usuario/contraseña dentro de un túnel TLS, que siguen siendo vulnerables a la obtención de credenciales. EAP-TLS elimina por completo esta superficie de ataque.
Implemente la revocación en tiempo real. Las descargas programadas de CRL crean una ventana de exposición. Configure el NAC para realizar comprobaciones OCSP en tiempo real. Cuando se notifique la pérdida o el robo de un dispositivo, revoque el certificado en la CA y el dispositivo perderá el acceso a la red en el siguiente intento de autenticación, o de inmediato si se ha implementado el Cambio de Autorización (CoA).
Establezca periodos de validez de certificados razonables. El estándar del sector es un periodo de validez de un año con renovación automática de SCEP activada a los 30 días. Los periodos más largos aumentan la ventana de exposición si un certificado se ve comprometido; los periodos más cortos aumentan el riesgo de que los fallos de renovación provoquen interrupciones del servicio.
Segmente el IoT de forma estricta. Los dispositivos IoT nunca deben compartir una VLAN con los endpoints corporativos. Utilice el NAC para aplicar ACL estrictas en la VLAN de IoT, permitiendo únicamente los protocolos y destinos específicos que requiere cada tipo de dispositivo. Para los establecimientos que desplieguen servicios de localización, consulte Sistemas de posicionamiento WiFi en interiores: cómo funcionan y cómo desplegarlos para comprender cómo se integra la infraestructura de posicionamiento con la arquitectura de red general.
Alinéese con WPA3. Siempre que el hardware lo admita, configure el SSID corporativo para utilizar WPA3-Enterprise, que exige tramas de gestión protegidas (PMF) y proporciona protecciones criptográficas más sólidas que WPA2. Consulte SD-WAN vs MPLS: Guía de red empresarial 2026 para ver cómo encaja esto en el panorama general de la conectividad empresarial.
Resolución de problemas y mitigación de riesgos
| Modo de fallo | Causa raíz | Mitigación |
|---|---|---|
| Los dispositivos fallan en EAP-TLS tras la renovación del certificado | La renovación de SCEP falló de forma silenciosa | Supervise los registros del servidor SCEP; configure alertas para envíos de CSR fallidos |
| El desfase horario provoca el fallo de validación del certificado | Configuración incorrecta de NTP | Imponga la sincronización NTP en todos los endpoints e infraestructura |
| Los dispositivos IoT no pueden autenticarse | No hay suplicante 802.1X | Implemente MAB con un control estricto de direcciones MAC y VLAN aislada |
| Bloqueo masivo de dispositivos tras la migración de la CA | El NAC no confía en la CA raíz antigua | Planifique las migraciones de CA por fases; añada la nueva CA raíz al almacén de confianza del NAC antes de revocar la antigua |
| El dispositivo revocado mantiene el acceso a la red | Revocación solo por CRL con un intervalo de descarga largo | Implemente OCSP y CoA para la revocación en tiempo real |
| Para los dispositivos IoT basados en BLE específicamente, la arquitectura de autenticación difiere de la de los puntos de conexión conectados a WiFi. Revise BLE Low Energy Explained for Enterprise para conocer las consideraciones de seguridad específicas aplicables a la infraestructura de Bluetooth Low Energy. |
ROI e impacto empresarial
El caso de negocio para la integración de SCEP-NAC-MDM es sencillo cuando se compara con el coste de las alternativas.
| Métrica | Antes de la implementación | Después de la implementación |
|---|---|---|
| Tickets de soporte de TI (acceso a la red) | Alto: restablecimiento de contraseñas, rotación de claves | Casi cero: ciclo de vida de certificados automatizado |
| Tiempo medio para revocar un dispositivo comprometido | Horas (proceso manual) | Segundos (OCSP + CoA) |
| Cumplimiento del control de acceso PCI DSS | Manual, requiere auditorías intensivas | Automatizado, aplicado continuamente |
| Tiempo de incorporación de BYOD | 15–30 minutos por dispositivo | Menos de 5 minutos, sin intervención de TI |
Para un parque de 500 dispositivos, eliminar la gestión manual de certificados y los tickets de soporte relacionados con contraseñas suele ofrecer una reducción del 25–35 % en los costes indirectos de soporte de TI relacionados con la red. El valor de la mitigación de riesgos (evitar una única brecha basada en credenciales) suele superar todo el coste de implementación. Para las organizaciones del sector público y de la salud sujetas al GDPR, la capacidad de demostrar un control de acceso automatizado y auditable es un activo de cumplimiento normativo muy significativo.
Definiciones clave
SCEP (Simple Certificate Enrollment Protocol)
Un protocolo que automatiza la emisión y revocación de certificados digitales en los dispositivos sin intervención del usuario, actuando como la capa de comunicación entre la plataforma MDM y la Autoridad de Certificación.
Utilizado por las plataformas MDM para implementar de forma fluida certificados X.509 en miles de terminales a escala. Los equipos de TI se encuentran con SCEP al configurar perfiles MDM para la autenticación WiFi 802.1X.
NAC (Network Access Control)
Una solución de seguridad que aplica políticas a los dispositivos que intentan acceder a la infraestructura de red, evaluando las credenciales de autenticación, la validez del certificado y el estado de cumplimiento del dispositivo antes de conceder el acceso.
Actúa como el guardián en el extremo de la red. Los equipos de TI configuran las políticas de NAC para definir qué dispositivos obtienen acceso a qué VLAN en función de sus atributos de certificado y del estado de cumplimiento de MDM.
MDM (Mobile Device Management)
Software utilizado por los departamentos de TI para supervisar, gestionar y proteger los terminales de los empleados en múltiples sistemas operativos, sirviendo como la fuente central de información para la identidad y el cumplimiento de los dispositivos.
El iniciador del proceso de inscripción SCEP y la fuente de los datos de estado consultados por el NAC. Sin la integración con MDM, el NAC no puede realizar el control de acceso basado en el estado del dispositivo.
IEEE 802.1X
Un estándar IEEE para el control de acceso a la red basado en puertos que proporciona un mecanismo de autenticación a los dispositivos que desean conectarse a una LAN o WLAN, requiriendo una autenticación correcta antes de que se abra el puerto.
El protocolo subyacente que obliga a los dispositivos a autenticarse antes de que el conmutador o el punto de acceso permitan el paso de cualquier tráfico. Se configura tanto en la infraestructura de red como en el suplicante 802.1X del dispositivo.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
El estándar EAP más seguro, que requiere autenticación mutua donde tanto el dispositivo cliente como el servidor RADIUS deben presentar certificados digitales válidos, eliminando los ataques a credenciales basados en contraseñas.
El estándar de oro para la seguridad inalámbrica empresarial. Los arquitectos de TI deben exigir EAP-TLS sobre PEAP o TTLS siempre que se disponga de una infraestructura de certificados de dispositivo.
CSR (Certificate Signing Request)
Un bloque de texto codificado generado por un dispositivo que contiene su clave pública y detalles de identidad, enviado a la Autoridad de Certificación para solicitar un certificado X.509 firmado.
Generado automáticamente por el dispositivo durante el proceso de inscripción SCEP. La clave privada correspondiente al CSR nunca sale del dispositivo, lo que garantiza que el certificado no se pueda duplicar.
MAB (MAC Authentication Bypass)
Un método de autenticación de respaldo en el que la red utiliza la dirección MAC de hardware del dispositivo como su credencial, utilizado para dispositivos que carecen de la capacidad de suplicante 802.1X.
Utilizado para dispositivos IoT heredados, como impresoras, sensores y controladores de salas inteligentes que no pueden participar en EAP-TLS. Siempre debe dar como resultado la asignación a una VLAN altamente restringida.
OCSP (Online Certificate Status Protocol)
Un protocolo de internet utilizado para obtener el estado de revocación de un certificado digital X.509 en tiempo real, proporcionando una alternativa a la descarga y análisis de las Listas de Revocación de Certificados.
Crítico para los sistemas NAC que necesitan bloquear inmediatamente el acceso a la red cuando un dispositivo está comprometido o se denuncia su robo. OCSP proporciona el estado en tiempo real; las descargas de CRL crean una ventana de revocación.
CoA (Change of Authorization)
Una extensión de RADIUS (RFC 5176) que permite al NAC modificar o finalizar dinámicamente una sesión de red activa sin esperar a que la sesión expire o a que el dispositivo se vuelva a autenticar.
Utilizado para desconectar inmediatamente un dispositivo cuando se revoca su certificado o cambia su estado de cumplimiento de MDM. Esencial para la aplicación de zero-trust en tiempo real.
Ejemplos prácticos
Un complejo turístico de lujo de 500 habitaciones necesita proteger su red de operaciones internas. El personal utiliza tabletas compartidas para la gestión del servicio de limpieza y la dirección utiliza portátiles corporativos. La red WPA2-PSK actual ha sufrido filtraciones de la clave precompartida en múltiples ocasiones, lo que ha provocado dos incidentes de seguridad en el último año. ¿Cómo debería el equipo de TI realizar la transición a la autenticación basada en certificados sin interrumpir las operaciones?
Fase 1 — Preparación (Semanas 1–2): Desplegar una solución RADIUS/NAC basada en la nube e integrarla con el MDM existente. Configurar un perfil SCEP en el MDM para enviar certificados basados en dispositivos a todas las tabletas y portátiles. Utilizar certificados basados en dispositivos (vinculados al número de serie del dispositivo) en lugar de certificados basados en usuarios, de modo que las tabletas compartidas se autentiquen automáticamente independientemente de qué miembro del personal las esté utilizando. Fase 2 — Despliegue en paralelo (Semanas 3–4): Emitir un nuevo SSID oculto configurado para 802.1X EAP-TLS. Enviar el nuevo perfil de WiFi a través de MDM a todos los dispositivos registrados. Supervisar el panel de control del NAC para verificar las autenticaciones correctas. Fase 3 — Transición (Semana 5): Una vez que más del 95 % de los dispositivos estén conectados al nuevo SSID, retirar la red WPA2-PSK heredada. Revocar la antigua PSK de toda la documentación y de los puntos de acceso.
Una cadena minorista nacional está desplegando 3000 nuevos terminales de punto de venta en 150 tiendas. El equipo de seguridad exige una segmentación estricta de la red según la norma PCI DSS y un acceso de confianza cero. El plazo de despliegue es de 8 semanas. ¿Cómo facilitan SCEP y NAC esto a escala sin requerir personal de TI en cada tienda?
Predespliegue: El proveedor de los terminales de punto de venta registra previamente los 3000 dispositivos en el MDM del minorista mediante el programa de registro zero-touch del proveedor. El MDM se configura con un perfil SCEP que se ejecutará automáticamente al iniciarse por primera vez. Despliegue: Cuando se enciende un terminal de punto de venta en la tienda, se conecta a un SSID de incorporación temporal (solo internet, sin acceso corporativo). Se envía el perfil de MDM, se ejecuta la carga útil de SCEP y el dispositivo solicita y recibe su certificado X.509 de la CA. A continuación, el MDM envía el perfil de WiFi corporativo. Acceso a la red: Cuando el punto de venta se conecta al puerto del conmutador de la tienda, el conmutador inicia 802.1X. El NAC valida el certificado, consulta al MDM para confirmar que el punto de venta cumple con las normativas (cifrado habilitado, agente MDM activo, sin detección de jailbreak) y asigna dinámicamente el puerto del conmutador a la VLAN de PCI-DSS. El punto de venta ya está operativo. No se ha requerido personal de TI en la tienda.
Preguntas de práctica
Q1. Su organización está migrando de WPA2-Enterprise con PEAP-MSCHAPv2 a EAP-TLS. Durante el piloto, los portátiles Windows y los iPhones se conectan correctamente, pero 200 escáneres de códigos de barras de almacén no logran autenticarse. Los escáneres son compatibles con 802.1X pero no pueden procesar la carga útil SCEP del MDM: ejecutan un sistema operativo integrado propietario sin soporte para agentes MDM. ¿Cuál es la solución arquitectónica más segura que mantiene la segmentación de red sin requerir la sustitución de los escáneres?
Sugerencia: Considere mecanismos alternativos de entrega de certificados que no requieran un agente MDM, y qué controles de segmentación de red deberían aplicarse a los dispositivos que no pueden participar en una evaluación de postura completa.
Ver respuesta modelo
Dado que los escáneres admiten 802.1X pero no SCEP ni el registro en el MDM, el enfoque más seguro es aprovisionar manualmente los certificados de dispositivo utilizando una plantilla de certificado dedicada con un perfil de uso de clave restringido. Los certificados se instalan una sola vez durante una ventana de mantenimiento. El NAC se configura para aceptar estos certificados pero asigna los escáneres a una VLAN de operaciones de almacén dedicada con ACL estrictas (no a la VLAN corporativa completa), ya que no es posible realizar una evaluación de postura. Alternativamente, si el aprovisionamiento manual de certificados no es escalable operativamente, configure MAB como alternativa específicamente para las OUI de MAC del hardware del escáner, con el NAC asignándolos a la misma VLAN restringida. Documente esto como una excepción conocida en su registro de riesgos y programe el reemplazo de los escáneres en el próximo ciclo de renovación de hardware.
Q2. Un responsable de seguridad de red observa que cuando un empleado denuncia el robo de un portátil, el MDM envía un comando de borrado remoto, pero el dispositivo permanece conectado al WiFi corporativo hasta 12 horas (el tiempo de espera de sesión RADIUS actual). Durante esta ventana, el dispositivo podría utilizarse para exfiltrar datos. ¿Cómo debería modificarse la arquitectura para rescindir el acceso a la red inmediatamente después de que se denuncie el robo de un dispositivo?
Sugerencia: El NAC debe ser informado del cambio de estado de forma instantánea en lugar de esperar al siguiente ciclo de autenticación. Considere tanto el mecanismo de terminación de sesión como el mecanismo de prevención de reautenticación.
Ver respuesta modelo
Implemente dos controles complementarios. En primer lugar, configure el MDM para que envíe un webhook al NAC inmediatamente después de que un dispositivo se marque como perdido o robado. A continuación, el NAC envía un mensaje RADIUS Change of Authorization (CoA) Disconnect-Request al punto de acceso o puerto de switch específico, finalizando la sesión activa de inmediato. En segundo lugar, revoque el certificado del dispositivo en la CA y asegúrese de que el NAC esté configurado para la comprobación OCSP en tiempo real en lugar de la revocación basada en CRL. Esto significa que incluso si el dispositivo se vuelve a conectar antes de que se procese el CoA, la autenticación EAP-TLS fallará en la comprobación OCSP. Ambos controles juntos reducen la ventana de exposición de 12 horas a menos de 60 segundos.
Q3. Durante una auditoría de seguridad de la red de un gran centro de conferencias, se descubre que el servidor SCEP está expuesto a la internet pública utilizando una contraseña de desafío estática para permitir el registro remoto de dispositivos. El auditor señala esto como una vulnerabilidad crítica. ¿Cómo debería rediseñarse el proceso de registro SCEP para mantener la capacidad de registro remoto eliminando al mismo tiempo el riesgo de la contraseña estática?
Sugerencia: El servidor SCEP necesita una forma de verificar que el dispositivo que solicita un certificado está realmente autorizado por el MDM, sin depender de un secreto compartido que podría extraerse de un dispositivo o interceptarse.
Ver respuesta modelo
Reemplace la contraseña de desafío estática por contraseñas de desafío de un solo uso dinámicas y por dispositivo generadas por el MDM. El flujo de trabajo pasa a ser: (1) El MDM genera una contraseña de desafío única y de tiempo limitado para cada dispositivo durante el registro. (2) El MDM incluye este desafío en la carga útil SCEP enviada al dispositivo. (3) El dispositivo incluye el desafío en su CSR. (4) El servidor SCEP valida el desafío contra el MDM a través de la API antes de reenviar el CSR a la CA. (5) El desafío se invalida inmediatamente después de su uso. Esto garantiza que solo los dispositivos gestionados por el MDM puedan obtener correctamente un certificado y que, incluso si se descubre la URL de SCEP, un atacante no pueda generar certificados válidos sin un desafío de un solo uso válido. Además, restrinja el servidor SCEP solo a HTTPS e implemente listas de IP permitidas para las IP de salida del MDM siempre que sea posible.
Continúe leyendo esta serie
Hotel Guest WiFi Management: Integrating PMS, Portals, and Brand Standards
Esta guía técnica detalla cómo diseñar redes WiFi de hotel de nivel empresarial, centrándose en la segmentación de VLAN, la integración de PMS para la gestión automatizada de sesiones y la optimización del Captive Portal para la captura de datos de conformidad con el GDPR.
Cómo configurar un WiFi de invitados: Guía de configuración empresarial segura
Esta guía de referencia ofrece a los líderes de TI y arquitectos de red un plan definitivo para implementar un WiFi de invitados empresarial seguro. Cubre la arquitectura esencial, la migración a WPA3, la segmentación de VLAN y la integración de Captive Portal para proteger los sistemas internos al tiempo que se recopilan datos de primera mano conformes a la normativa.
Gestión del ancho de banda para WiFi de empleados: modelado, QoS y reducción de tráfico
Esta guía detalla métodos prácticos para gestionar el ancho de banda para WiFi de empleados en entornos empresariales. Cubre el modelado de tráfico, la implementación de QoS y cómo el despliegue de Purple Shield reduce la carga de la red sin necesidad de actualizar la infraestructura.