La guía empresarial de SCEP: Despliegue de Simple Certificate Enrollment Protocol para la seguridad automatizada de WiFi en campus

Buenos días. Si gestiona la infraestructura WiFi en un grupo hotelero, una red de tiendas, un estadio o un campus universitario, esta sesión informativa es para usted. Vamos a hablar de SCEP (Simple Certificate Enrollment Protocol) y, específicamente, de cómo resuelve uno de los dolores de cabeza más persistentes en el WiFi empresarial: instalar certificados en miles de dispositivos de forma automática, sin que su servicio de soporte se ahogue en solicitudes. [short pause] Permítame ponerle en situación. Ha decidido, acertadamente, que las claves precompartidas ya no son aceptables para el WiFi del personal. Una sola contraseña comprometida expone todo su segmento de red. Ha migrado, o está migrando, a la autenticación 802.1X. Ese es el estándar IEEE que requiere que cada dispositivo demuestre su identidad antes de obtener acceso a la red. La variante más segura de 802.1X es EAP-TLS (Extensible Authentication Protocol con Transport Layer Security), que utiliza certificados digitales en lugar de contraseñas. Los certificados son criptográficamente únicos por dispositivo, no se pueden compartir y se pueden revocar instántaneamente si se pierde un dispositivo o un empleado se marcha. [short pause] Hasta ahí, todo bien. El problema es la distribución. ¿Cómo se consigue instalar un certificado único en cada portátil, cada teléfono, cada tableta de su propiedad (en Windows, iOS, Android, macOS) sin que un técnico tenga que tocar cada dispositivo? Eso es precisamente lo que resuelve SCEP. [medium pause] SCEP fue formalizado por el Internet Engineering Task Force en el RFC 8894 en 2020, aunque se utiliza en entornos empresariales desde principios de la década de 2000. Es un protocolo que permite a un dispositivo gestionado solicitar su propio certificado directamente a su Autoridad de Certificación, utilizando una URL preconfigurada y una contraseña de desafío. El punto de seguridad crítico aquí: la clave privada se genera en el propio dispositivo, se almacena en el enclave seguro del dispositivo (el chip TPM en dispositivos Windows o el Secure Enclave en el hardware de Apple) y nunca viaja por la red. El dispositivo genera una Solicitud de Firma de Certificado, la envía a la pasarela SCEP, la pasarela valida el desafío, reenvía la solicitud a su Autoridad de Certificación, la CA la firma y el certificado firmado vuelve al dispositivo. Todo el proceso es invisible para el usuario final. [short pause] Ahora bien, en un entorno de Microsoft, la pasarela SCEP suele ser NDES (Network Device Enrollment Service), un rol de Windows Server que actúa como intermediario entre su plataforma MDM y su CA. Microsoft Intune inserta el perfil SCEP en los dispositivos gestionados, indicándoles la URL de NDES y la contraseña de desafío. Los dispositivos hacen el resto automáticamente. [medium pause] Permítame guiarle a través de cómo es un despliegue real. Piense en un grupo hotelero con 150 propiedades, a escala de Premier Inn. Tienen una combinación de portátiles Windows para el personal de recepción, dispositivos iOS para los supervisores de limpieza y tabletas Android en el punto de venta del restaurante. Antes de SCEP, utilizaban WPA2-Personal con una contraseña compartida que se rotaba trimestralmente. Cada rotación generaba una oleada de llamadas al servicio de soporte. Con SCEP e Intune, despliegan tres perfiles en secuencia. Primero, el perfil de Certificado de Raíz de Confianza: este indica a cada dispositivo que confíe en la Autoridad de Certificación de la empresa. Segundo, el perfil de Certificado SCEP: este indica a los dispositivos que vayan a recoger su certificado de cliente único. Tercero, el perfil de WiFi: este configura el SSID, establece el tipo de seguridad en WPA2-Enterprise o WPA3-Enterprise y apunta al certificado SCEP para la autenticación. Despliegue esos tres perfiles en el mismo grupo de dispositivos en Intune, y cada dispositivo gestionado se conectará al SSID corporativo automáticamente, con un certificado único y sin necesidad de interacción por parte del usuario. [short pause] El servidor RADIUS (normalmente Microsoft NPS o un servicio RADIUS en la nube) recibe la solicitud de autenticación EAP-TLS, valida el certificado frente a la CA, comprueba la Lista de Revocación de Certificados y concede o deniega el acceso. Si se da de baja a un empleado, se revoca su certificado en la CA. Su dispositivo pierde el acceso a la WiFi en el siguiente ciclo de autenticación. Sin necesidad de restablecer contraseñas. Sin esperar a una rotación trimestral. [medium pause] Ahora, la gente suele preguntar sobre la diferencia entre SCEP y PKCS (Public Key Cryptography Standards). Ambos funcionan con Intune. La diferencia clave es dónde se genera la clave privada. Con SCEP, se genera en el dispositivo. Con PKCS, la CA genera ambas claves de forma centralizada y envía la clave privada al dispositivo. Eso significa que la clave privada viaja por la red, lo que introduce un riesgo teórico de interceptación. PKCS tiene su utilidad: se adapta mejor al cifrado de correo electrónico S/MIME, donde el depósito de claves es importante. Para la autenticación WiFi, SCEP es la opción correcta. Siempre. [short pause] Permítame plantearle un segundo escenario: una red de tiendas. Imagine un minorista de moda con 200 tiendas en todo el Reino Unido, cada una con puntos de acceso Cisco Meraki. Sus sistemas de punto de venta están basados en Windows y se gestionan a través de Intune. Necesitan la conformidad con PCI DSS, lo que significa segmentación de red y autenticación sólida para cualquier dispositivo que maneje datos de titulares de tarjetas. EAP-TLS basado en SCEP les proporciona autenticación a nivel de dispositivo en el SSID del personal, con una asignación de VLAN gestionada por la política RADIUS. Los terminales de punto de venta acceden automáticamente a la VLAN dentro del alcance de PCI. El WiFi para invitados, gestionado por separado a través de una plataforma como Purple, funciona en un SSID completamente aislado con su propio flujo de autenticación. Las dos redes nunca se tocan. Los auditores están contentos. El equipo de seguridad duerme mejor. [medium pause] Bien, hablemos de los errores comunes, porque hay algunos que suelen pillar desprevenidos a los equipos. [short pause] El modo de fallo más común son las discrepancias en la asignación de grupos en Intune. Su perfil de Raíz de Confianza, su perfil SCEP y su perfil de WiFi deben dirigirse todos al mismo grupo de Azure AD. Si el perfil SCEP se dirige a un grupo de Usuarios y el perfil de WiFi se dirige a un grupo de Dispositivos, Intune no puede resolver la dependencia y el perfil de WiFi se muestra como un error. Compruebe primero sus asignaciones; casi siempre es el culpable. [short pause] Segundo error común: la disponibilidad del servidor NDES. Su servidor NDES debe ser accesible desde internet para que los dispositivos remotos se registren antes de llegar a las instalaciones. La forma segura de hacerlo es a través de Azure AD Application Proxy, que le proporciona acceso remoto sin abrir puertos de entrada en el cortafuegos. No exponga NDES directamente a internet. [short pause] Tercero: la disponibilidad de la CRL. Su servidor RADIUS comprueba la Lista de Revocación de Certificados cada vez que un dispositivo se autentica. Si el punto de distribución de la CRL no está accesible (tal vez un servidor está caído o ha cambiado una regla del cortafuegos), la autenticación falla para todos. Haga que sus puntos finales de CRL sean altamente disponibles y pruébelos con regularidad. [short pause] Cuarto: los permisos de la plantilla de certificado. Si la cuenta de servicio del conector NDES no tiene permisos de Lectura e Inscripción (Read and Enroll) en la plantilla de certificado, los dispositivos reciben errores HTTP 403 cuando intentan recoger su certificado. Es una solución de permisos sencilla, pero es fácil pasarla por alto durante la configuración inicial. [medium pause] Y ahora, una ronda de preguntas rápidas. [short pause] ¿Puede SCEP funcionar con MDM que no sean de Microsoft? Sí, Jamf para flotas de dispositivos Apple, VMware Workspace ONE y la mayoría de las plataformas MDM empresariales admiten perfiles SCEP. El protocolo es independiente del proveedor. [short pause] ¿Funciona SCEP con PKI en la nube? Sí. La propia PKI en la nube de Microsoft en Intune Suite elimina por completo la necesidad de un servidor NDES local. Los proveedores de PKI en la nube de terceros como SecureW2 y Keyfactor también ofrecen puntos finales SCEP en la nube. [short pause] ¿Qué pasa con WPA3-Enterprise? WPA3-Enterprise utiliza la misma pila de autenticación 802.1X y EAP-TLS. Los certificados emitidos por SCEP funcionan de manera idéntica. La actualización se realiza en la capa del protocolo inalámbrico, no en la capa del certificado. [short pause] ¿Cuánto duran los certificados? Normalmente un año, aunque se pueden configurar periodos de validez más cortos. Intune gestiona la renovación automática antes del vencimiento, por lo que los usuarios nunca experimentan interrupciones. [medium pause] En resumen. SCEP automatiza la distribución de certificados a escala, eliminando la sobrecarga manual del despliegue de PKI en grandes flotas de dispositivos. La clave privada se queda en el dispositivo; esa es la base de seguridad de EAP-TLS. Despliegue en secuencia: primero la Raíz de Confianza, segundo el perfil SCEP, tercero el perfil de WiFi, todos dirigidos al mismo grupo. Publique su punto final NDES de forma segura a través de Application Proxy. Mantenga sus puntos finales de CRL altamente disponibles. Y si empieza de cero, evalúe la PKI en la nube para eliminar por completo la dependencia de NDES local. [short pause] Para el WiFi de invitados (la red independiente orientada a los visitantes), la autenticación basada en certificados no es el modelo adecuado. Los invitados no tienen dispositivos gestionados. Ahí es donde una plataforma como Purple gestiona el flujo de autenticación: Captive Portal, inicio de sesión social, captura de correo electrónico o verificación por SMS, todo ello alimentando una capa de datos de origen que su equipo de marketing realmente puede utilizar. Ambos enfoques se complementan: SCEP para su flota de personal gestionada, Purple para su red de invitados. Ambos funcionando en el mismo hardware, segmentados limpiamente por VLAN. [short pause] Esta ha sido su sesión informativa sobre la incorporación a WiFi empresarial con SCEP. La guía escrita completa, con diagramas de arquitectura, configuración paso a paso de Intune y ejemplos prácticos, está disponible en el sitio web de Purple. Gracias por escuchar.