La guía empresarial de SCEP: cómo implementar el protocolo de inscripción de certificados simple para una seguridad automatizada de WiFi en campus

Buenos días. Si gestiona infraestructuras de WiFi en un grupo hotelero, una red de tiendas, un estadio o un campus universitario, esta sesión es para usted. Vamos a hablar de SCEP - Simple Certificate Enrollment Protocol - y, en concreto, de cómo resuelve uno de los problemas más persistentes en las redes WiFi empresariales: instalar certificados en miles de dispositivos de forma automática, sin que su departamento de soporte técnico se vea desbordado por las incidencias. [short pause] Permítame situarle. Ha decidido - acertadamente - que las claves precompartidas ya no son aceptables para el WiFi de los empleados. Una sola contraseña comprometida expone todo su segmento de red. Ha migrado, o está migrando, a la autenticación 802.1X. Este es el estándar IEEE que exige que cada dispositivo demuestre su identidad antes de obtener acceso a la red. La versión más segura de 802.1X es EAP-TLS - Extensible Authentication Protocol con Transport Layer Security -, que utiliza certificados digitales en lugar de contraseñas. Los certificados son criptográficamente únicos por dispositivo, no se pueden compartir y se pueden revocar al instante si se pierde un dispositivo o un empleado se marcha de la empresa. [short pause] Hasta aquí, todo bien. El problema es la distribución. ¿Cómo se instala un certificado único en cada portátil, cada teléfono y cada tableta de sus instalaciones - en sistemas Windows, iOS, Android y macOS - sin que un técnico tenga que manipular cada dispositivo? Eso es precisamente lo que resuelve SCEP. [medium pause] SCEP fue formalizado por el Internet Engineering Task Force en la norma RFC 8894 en 2020, aunque se utiliza en entornos empresariales desde principios de la década de 2000. Es un protocolo que permite a un dispositivo gestionado solicitar su propio certificado directamente a su autoridad de certificación, utilizando una URL preconfigurada y una contraseña de desafío. El punto crítico de seguridad aquí es que la clave privada se genera en el propio dispositivo, se almacena en el enclave seguro del dispositivo - que es el chip TPM en dispositivos Windows o el Secure Enclave en el hardware de Apple - y nunca viaja por la red. El dispositivo genera una solicitud de firma de certificado, la envía a la pasarela SCEP, la pasarela valida el desafío, reenvía la solicitud a su autoridad de certificación, esta la firma y el certificado firmado vuelve al dispositivo. Todo el proceso es invisible para el usuario final. [short pause] Ahora bien, en un entorno de Microsoft, la pasarela SCEP suele ser NDES - Network Device Enrollment Service -, un rol de Windows Server que actúa como intermediario entre su plataforma de MDM y su autoridad de certificación. Microsoft Intune envía el perfil SCEP a los dispositivos gestionados, indicándoles la URL de NDES y la contraseña de desafío. Los dispositivos hacen el resto automáticamente. [medium pause] Permítame guiarle a través de cómo es un despliegue real. Piense en un grupo hotelero con 150 establecimientos, al estilo de Premier Inn. Tienen una combinación de ordenadores portátiles Windows para el personal de recepción, dispositivos iOS para los supervisores de limpieza y tabletas Android en el punto de venta del restaurante. Antes de SCEP, utilizaban WPA2-Personal con una contraseña compartida que se cambiaba trimestralmente. Cada cambio generaba una avalancha de llamadas al servicio de asistencia. Con SCEP e Intune, despliegan tres perfiles en secuencia. Primero, el perfil de certificado de raíz de confianza: este indica a todos los dispositivos que confíen en la entidad de certificación de la empresa. Segundo, el perfil de certificado SCEP: este indica a los dispositivos que soliciten y obtengan su certificado de cliente único. Tercero, el perfil de WiFi: este configura el SSID, establece el tipo de seguridad en WPA2-Enterprise o WPA3-Enterprise y apunta al certificado SCEP para la autenticación. Despliegue esos tres perfiles en el mismo grupo de dispositivos en Intune y todos los dispositivos gestionados se conectarán al SSID corporativo automáticamente, con un certificado único y sin necesidad de interacción por parte del usuario. [short pause] El servidor RADIUS - que suele ser Microsoft NPS o un servicio RADIUS en la nube - recibe la solicitud de autenticación EAP-TLS, valida el certificado frente a la entidad de certificación, comprueba la lista de revocación de certificados y concede o deniega el acceso. Si se rescinde el contrato de un empleado, se revoca su certificado en la entidad de certificación. Su dispositivo pierde el acceso a la WiFi en el siguiente ciclo de autenticación. Sin necesidad de restablecer contraseñas. Sin esperar a la rotación trimestral. [medium pause] Ahora bien, la gente suele preguntar por la diferencia entre SCEP y PKCS (Public Key Cryptography Standards). Ambos funcionan con Intune. La diferencia clave radica en dónde se genera la clave privada. Con SCEP, se genera en el propio dispositivo. Con PKCS, la entidad de certificación genera ambas claves de forma centralizada y envía la clave privada al dispositivo. Esto significa que la clave privada viaja a través de la red, lo que introduce un riesgo teórico de interceptación. PKCS tiene su utilidad: es más adecuado para el cifrado de correo electrónico S/MIME, donde el depósito de claves es importante. Para la autenticación WiFi, SCEP es la opción correcta. Siempre. [short pause] Permítame plantearle un segundo escenario: una red de tiendas minoristas. Imagine una firma de moda con 200 tiendas en todo el Reino Unido, cada una con puntos de acceso Cisco Meraki. Sus sistemas de punto de venta están basados en Windows y se gestionan a través de Intune. Necesitan cumplir con la normativa PCI-DSS, lo que implica segmentación de red y una autenticación sólida para cualquier dispositivo que maneje datos de titulares de tarjetas. El protocolo EAP-TLS basado en SCEP les proporciona autenticación a nivel de dispositivo en el SSID del personal, con asignación de VLAN impulsada por la política de RADIUS. Los terminales de punto de venta acceden automáticamente a la VLAN del entorno de PCI. La WiFi de invitados - gestionada de forma independiente a través de una plataforma como Purple - funciona en un SSID completamente aislado con su propio flujo de autenticación. Las dos redes nunca entran en contacto. Los auditores están satisfechos. El equipo de seguridad duerme más tranquilo. [medium pause] Bien, hablemos de los errores comunes, porque hay algunos que suelen pillar desprevenidos a los equipos. [short pause] El modo de fallo más común son los desajustes en la asignación de grupos en Intune. Su perfil de Raíz de Confianza, su perfil SCEP y su perfil de WiFi deben tener como objetivo el mismo grupo de Azure AD. Si el perfil SCEP se dirige a un grupo de Usuarios y el perfil de WiFi se dirige a un grupo de Dispositivos, Intune no puede resolver la dependencia y el perfil de WiFi se muestra como un error. Compruebe primero sus asignaciones - casi siempre es el culpable. [short pause] Segundo error habitual: disponibilidad del servidor NDES. Su servidor NDES debe ser accesible desde Internet para que los dispositivos remotos se registren antes de llegar a las instalaciones. La forma segura de hacerlo es a través de Azure AD Application Proxy, que le proporciona acceso remoto sin abrir puertos de entrada en el cortafuegos. No exponga NDES directamente a Internet. [short pause] Tercero: disponibilidad de la CRL. Su servidor RADIUS comprueba la Lista de Revocación de Certificados cada vez que un dispositivo se autentica. Si el Punto de Distribución de la CRL no está accesible - tal vez un servidor esté caído o haya cambiado una regla de cortafuegos - la autenticación fallará para todos. Haga que sus puntos finales de CRL sean de alta disponibilidad y pruébelos con regularidad. [short pause] Cuarto: permisos de la plantilla de certificado. Si la cuenta de servicio del conector NDES no tiene permisos de Lectura e Inscripción en la plantilla de certificado, los dispositivos recibirán errores HTTP 403 cuando intenten recopilar su certificado. Es una solución de permisos sencilla, pero es fácil de pasar por alto durante la configuración inicial. [medium pause] Ahora, una ronda de preguntas rápidas. [short pause] ¿Puede SCEP funcionar con MDM que no sean de Microsoft? Sí - Jamf para flotas de dispositivos Apple, VMware Workspace ONE y la mayoría de las plataformas MDM empresariales son compatibles con los perfiles SCEP. El protocolo es independiente del proveedor. [short pause] ¿Funciona SCEP con PKI en la nube? Sí. La propia PKI en la nube de Microsoft en Intune Suite elimina por completo la necesidad de un servidor NDES local. Los proveedores de PKI en la nube de terceros como SecureW2 y Keyfactor también ofrecen puntos finales SCEP en la nube. [short pause] ¿Qué pasa con WPA3-Enterprise? WPA3-Enterprise utiliza la misma pila de autenticación 802.1X y EAP-TLS. Los certificados emitidos por SCEP funcionan de forma idéntica. La actualización se realiza en la capa del protocolo inalámbrico, no en la capa del certificado. [short pause] ¿Cuánto duran los certificados? Normalmente un año, aunque se pueden configurar periodos de validez más cortos. Intune gestiona la renovación automática antes de que caduquen, por lo que los usuarios nunca sufren interrupciones. [medium pause] Para resumir. SCEP automatiza la distribución de certificados a escala, eliminando los costes de gestión manual del despliegue de PKI en grandes flotas de dispositivos. La clave privada permanece en el dispositivo - esa es la base de seguridad de EAP-TLS. Realice el despliegue de forma secuencial: primero la Raíz de Confianza, segundo el perfil SCEP y tercero el perfil de WiFi, todos dirigidos al mismo grupo. Publique su punto final NDES de forma segura a través de Application Proxy. Mantenga sus puntos finales de CRL con alta disponibilidad. Y si empieza de cero, evalúe la PKI en la nube para eliminar por completo la dependencia de NDES local. [short pause] Para el WiFi de invitados (la red independiente dirigida a los visitantes), la autenticación basada en certificados no es el modelo adecuado. Los invitados no tienen dispositivos gestionados. Ahí es donde una plataforma como Purple gestiona el flujo de autenticación: Captive Portal, inicio de sesión con redes sociales, captura de correo electrónico o verificación por SMS, todo ello alimentando una capa de datos de origen que su equipo de marketing puede utilizar realmente. Ambos enfoques se complementan entre sí: SCEP para su flota de personal gestionado y Purple para su red de invitados. Ambos funcionando en el mismo hardware, segmentados limpiamente por VLAN. [short pause] Esto es todo en este resumen sobre el proceso de incorporación a WiFi corporativo mediante SCEP. La guía escrita completa, con diagramas de arquitectura, configuración paso a paso de Intune y ejemplos prácticos, está disponible en el sitio web de Purple. Gracias por escucharnos.