Automatización de la seguridad WiFi empresarial: Guía de implementación de certificados SCEP
Esta guía técnica explica cómo automatizar la seguridad WiFi empresarial mediante la implementación de certificados SCEP. Proporciona un esquema arquitectónico detallado y los pasos de implementación para desplegar la autenticación 802.1X EAP-TLS en redes corporativas y de invitados.
Escucha esta guía
Ver transcripción del podcast
Resumen ejecutivo
Para las empresas de los sectores de hotelería, comercio minorista y sector público, depender de claves compartidas previamente o de un Captive Portal básico para el acceso a la red introduce graves vulnerabilidades de seguridad. La arquitectura de red moderna exige una autenticación 802.1X mediante EAP-TLS, lo que garantiza que cada dispositivo se verifique de forma criptográfica antes de acceder a la red. Para los administradores de TI y los arquitectos de redes, el desafío radica en implementar de manera eficiente certificados de cliente únicos en miles de dispositivos Windows, iOS y Android.
Esta guía proporciona el plano arquitectónico definitivo y la estrategia de implementación paso a paso para el despliegue automatizado de certificados WiFi mediante el Protocolo de Inscripción de Certificados Simple (SCEP). Al integrar su plataforma de gestión de dispositivos móviles (MDM) con una puerta de enlace SCEP y una Autoridad de Certificación (CA), puede enviar de forma silenciosa certificados raíz y de cliente de confianza a los endpoints gestionados. Exploramos las diferencias críticas entre SCEP y PKCS, detallamos la secuencia precisa de pasos necesarios para una implementación exitosa y describimos estrategias prácticas de mitigación de riesgos para mantener su red WiFi segura y de alto rendimiento.
Escuche el podcast informativo complementario:
Análisis técnico profundo: Arquitectura SCEP y EAP-TLS
Al diseñar una estrategia de despliegue de certificados WiFi empresariales, la decisión arquitectónica principal es cómo se entregan los certificados de forma segura. El estándar de la industria para este proceso es SCEP. SCEP automatiza el proceso de inscripción de certificados, lo que permite a los dispositivos solicitar certificados de forma segura a una Autoridad de Certificación mediante un protocolo estandarizado.
Las ventajas de SCEP sobre PKCS
Aunque las plataformas como Microsoft Intune son compatibles tanto con SCEP como con los Estándares de Criptografía de Clave Pública (PKCS), sus mecanismos de funcionamiento son fundamentalmente diferentes. En el flujo de trabajo de SCEP, el servicio MDM indica al endpoint que genere su propio par de claves privada y pública. Luego, el dispositivo crea una Solicitud de Firma de Certificado (CSR) y la envía a su CA a través de un servidor de Servicio de Inscripción de Dispositivos de Red (NDES). La CA firma la solicitud y devuelve el certificado de clave pública al dispositivo.
La principal ventaja de seguridad de SCEP es que la llave privada nunca sale del dispositivo. Se genera localmente y se almacena en el enclave seguro del dispositivo. Esto hace que SCEP sea el método altamente recomendado para la autenticación 802.1X. Por el contrario, con PKCS la CA genera ambas llaves de forma centralizada y las transmite a través de la red. PKCS se adapta mejor a los casos de uso que requieren el depósito de llaves (como el cifrado de correo electrónico S/MIME) en lugar de la autenticación de red.
Autenticación 802.1X y EAP-TLS
El estándar IEEE 802.1X proporciona el marco para la gestión centralizada del acceso a la red. Define cómo se transportan los paquetes del Protocolo de Autenticación Extensible (EAP) sobre la LAN (EAPoL) para permitir la autenticación entre el cliente, el punto de acceso y el servidor de autenticación - que típicamente es un servidor RADIUS.
EAP-TLS es el protocolo de autenticación más seguro para redes 802.1X. Requiere autenticación mutua: el cliente valida el certificado del servidor RADIUS y el servidor RADIUS valida el certificado del cliente. Este riguroso proceso de validación garantiza que sólo los usuarios autenticados y autorizados en los dispositivos registrados obtengan acceso, protegiendo la red contra amenazas como los ataques de Evil Twin.
Guía de implementación: La secuencia de despliegue
Configurar con éxito el despliegue automatizado de certificados para 802.1X requiere el cumplimiento estricto de una secuencia específica. Las dependencias de perfil dictan que se debe establecer la confianza antes de configurar la autenticación. Esto se aplica ya sea que esté utilizando Microsoft Intune, Jamf u otra plataforma MDM.
Paso 1: Desplegar el certificado raíz de confianza
Antes de que cualquier dispositivo pueda solicitar un certificado de cliente o confiar en su servidor RADIUS, debe confiar en la Autoridad de Certificación que emite los certificados.
- Exporte su certificado de CA raíz y cualquier certificado de CA intermedia.
- En su plataforma MDM, cree un perfil de certificado de confianza.
- Suba los archivos de certificado y despliegue este perfil en sus grupos de dispositivos objetivo.
Paso 2: Configurar el perfil de certificado SCEP
Con la confianza establecida, configure el perfil SCEP para indicar a los dispositivos cómo obtener sus certificados de cliente.
- Cree un nuevo perfil de configuración de certificado SCEP.
- Configure el formato del nombre del sujeto. Para la autenticación basada en el usuario, use el Nombre Principal de Usuario (UPN). Para la autenticación del dispositivo, use el ID del dispositivo.
- Establezca el uso de la llave para firma digital y cifrado de llave.
- Especifique la autenticación del cliente para el uso extendido de la llave.
- Vincule este perfil al perfil de certificado raíz de confianza creado en el Paso 1.
- Proporcione la URL externa de su gateway SCEP o servidor NDES.
Paso 3: Desplegar el perfil WiFi 802.1X
El paso final es enviar la configuración de WiFi que vincula el certificado al SSID de la red.
- Crea un perfil de configuración WiFi.
- Ingresa el SSID exactamente como lo transmiten tus puntos de acceso.
- Selecciona WPA2-Enterprise o WPA3-Enterprise como tipo de seguridad.
- Establece el tipo EAP en EAP-TLS.
- Selecciona el perfil de certificado SCEP creado en el Paso 2 para la autenticación del cliente.
- Especifica el certificado raíz de confianza para la validación del servidor, asegurando que los dispositivos solo se conecten a tu servidor RADIUS legítimo.
Mejores Prácticas para Entornos Empresariales
Al implementar el despliegue de certificados SCEP, sigue estas mejores prácticas independientes del proveedor para garantizar la conformidad y la confiabilidad.
Protege la Gateway SCEP
La gateway SCEP o el servidor NDES deben estar accesibles desde Internet para que los dispositivos remotos puedan aprovisionar certificados antes de llegar a las instalaciones. Sin embargo, exponer un servidor interno directamente a Internet presenta un riesgo de seguridad significativo. Publica la URL utilizando un proxy de aplicaciones. Esto proporciona un acceso remoto seguro sin abrir puertos de entrada en el firewall y te permite aplicar políticas de acceso condicional al flujo de inscripción.
Aplica una Verificación Estricta de CRL
El despliegue de certificados es solo la mitad de la ecuación de seguridad; la revocación es igualmente crítica. Si un empleado se va, deshabilitar su cuenta de directorio podría no revocar de inmediato su acceso WiFi si su certificado de cliente sigue siendo válido. Configura tu servidor RADIUS para aplicar una verificación estricta de la Lista de Revocación de Certificados (CRL). Asegúrate de que tus puntos de distribución de CRL tengan alta disponibilidad; si el servidor RADIUS no puede comunicarse con la CRL, la autenticación fallará, provocando una interrupción generalizada del servicio.
Integración de Hardware
Asegúrate de que tu infraestructura de red sea compatible con los protocolos requeridos. Purple se integra a la perfección con el hardware de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Configura estos sistemas para reenviar las solicitudes de autenticación a tu infraestructura RADIUS centralizada.
Resolución de Problemas y Mitigación de Riesgos
Incluso con una planificación cuidadosa, los despliegues de certificados pueden presentar problemas. A continuación se presentan los modos de falla comunes y las estrategias de mitigación.
Fallas de Dependencia
Un problema común es que un dispositivo recibe la raíz de confianza y los certificados SCEP, pero el perfil WiFi no se aplica. Esto casi siempre se debe a una asignación de grupos que no coincide dentro del MDM. Si el perfil SCEP se asigna a un grupo de usuarios mientras que el perfil WiFi se asigna a un grupo de dispositivos, el MDM no puede resolver la dependencia. Audita tus asignaciones y asegúrate de que todos los perfiles relacionados se desplieguen exactamente en los mismos grupos de directorio.
Errores de Inscripción
Si los dispositivos no logran recuperar los certificados SCEP y los registros de la puerta de enlace muestran errores HTTP 403, es posible que la cuenta de servicio no tenga los permisos necesarios en la plantilla de certificado, o que el filtrado de URL en el firewall esté bloqueando los parámetros de cadena de consulta específicos que utiliza SCEP. Verifique que la cuenta del conector tenga permisos de lectura y enrolamiento en la plantilla de CA, y revise los registros del firewall para asegurarse de que la URL de SCEP no esté bloqueada.
ROI e Impacto de Negocio
La transición a la implementación automatizada de certificados 802.1X ofrece retornos medibles tanto en seguridad como en operaciones.
El WiFi basado en contraseñas genera un gran volumen de tickets de soporte debido a vencimientos de contraseñas, bloqueos y errores de escritura. La autenticación basada en certificados es invisible para el usuario y, por lo general, reduce el volumen de tickets de soporte relacionados con WiFi entre un 70% y un 80%.
Además, EAP-TLS elimina el riesgo de robo de credenciales y ataques de intermediario. Esto es esencial para el cumplimiento de marcos normativos como PCI-DSS y GDPR. Para operaciones minoristas en múltiples sitios o grandes cadenas hoteleras, automatizar este proceso garantiza una experiencia de aprovisionamiento consistente y sin intervención desde el primer día, protegiendo el perímetro de la red al tiempo que reduce significativamente los costos operativos.
Definiciones clave
SCEP
Simple Certificate Enrolment Protocol. Un protocolo que automatiza el proceso de solicitud e instalación de certificados digitales en dispositivos, donde la clave privada se genera localmente.
El método recomendado para implementar certificados de autenticación WiFi a escala a través de plataformas MDM.
PKCS
Public Key Cryptography Standards. Un método de implementación en el que la Autoridad de Certificación genera tanto la clave pública como la privada y las transmite al dispositivo final.
A menudo se utiliza para el cifrado de correo electrónico S/MIME, pero es menos ideal para WiFi debido a la transmisión de la clave privada por la red.
802.1X
Un estándar IEEE para el control de acceso a redes basado en puertos que proporciona un mecanismo de autenticación a los dispositivos que desean conectarse a una LAN o WLAN.
La base obligatoria para la seguridad WiFi empresarial, que reemplaza las vulnerables claves precompartidas.
EAP-TLS
Extensible Authentication Protocol - Transport Layer Security. Un protocolo de autenticación que requiere que tanto el cliente como el servidor presenten certificados digitales válidos.
Considerado el método de autenticación más seguro para redes 802.1X, eliminando las vulnerabilidades basadas en contraseñas.
NDES
Network Device Enrolment Service. Un rol de servidor que actúa como puerta de enlace, lo que permite que los dispositivos sin credenciales de dominio obtengan certificados a través de SCEP.
Un componente de infraestructura necesario al implementar el despliegue de certificados SCEP con Microsoft Intune.
RADIUS
Remote Authentication Dial-In User Service. Un protocolo de red que proporciona administración centralizada de autenticación, autorización y contabilidad.
El servidor que valida los certificados de cliente contra el directorio y otorga acceso a la red.
CRL
Certificate Revocation List. Una lista publicada por la Autoridad de Certificación que contiene los números de serie de los certificados que han sido revocados.
Los servidores RADIUS deben verificar la CRL para garantizar que el certificado presentado siga siendo válido y no haya sido comprometido.
CSR
Certificate Signing Request. Un bloque de texto codificado que se entrega a una Autoridad de Certificación al solicitar un certificado SSL/TLS.
Generado por el dispositivo durante el proceso de inscripción SCEP para solicitar un certificado firmado.
Ejemplos resueltos
Un hotel de 200 habitaciones necesita implementar un WiFi seguro para el personal en 150 dispositivos iOS administrados que utilizan los equipos de limpieza y mantenimiento. Actualmente usan una red WPA2-PSK, pero el personal no deja de compartir la contraseña con los huéspedes. ¿Cómo debería el director de TI implementar una solución segura y automatizada?
El director de TI debe migrar el WiFi de personal a WPA2-Enterprise mediante la autenticación 802.1X EAP-TLS. Debe configurar su MDM (por ejemplo, Jamf) para enviar una carga útil de SCEP a los dispositivos iOS. La secuencia de implementación es: 1) Enviar el certificado de la CA raíz para que los dispositivos confíen en la red. 2) Enviar el perfil SCEP, que indica a los dispositivos que soliciten un certificado de cliente a la CA a través del gateway SCEP. 3) Enviar el perfil de WiFi configurado para WPA2-Enterprise y EAP-TLS, vinculándolo al certificado SCEP. Los puntos de acceso de red (por ejemplo, HPE Aruba) están configurados para autenticar a los clientes frente a un servidor RADIUS central. Cuando el personal llega, sus dispositivos se autentican automáticamente mediante el certificado, sin necesidad de contraseña.
Una cadena de tiendas de autoservicio está implementando nuevas tabletas de punto de venta (POS) en 50 sucursales. Para cumplir con los requisitos de PCI-DSS, las tabletas deben conectarse a una red inalámbrica segura. El arquitecto de redes planea usar Microsoft Intune para la implementación. ¿Qué decisiones arquitectónicas garantizan el cumplimiento y la seguridad?
Para cumplir con los requisitos de PCI-DSS sobre criptografía y autenticación robustas, el arquitecto debe implementar 802.1X EAP-TLS. Con Microsoft Intune, debe seleccionar SCEP sobre PKCS para la implementación de certificados. Esto garantiza que la clave privada se genere en el TPM de la tableta POS y nunca se transmita por la red. Debe configurar un servidor NDES publicado de forma segura a través de Azure AD Application Proxy. Finalmente, debe configurar el servidor RADIUS para exigir una verificación estricta de la CRL, asegurando que si una tableta POS se ve comprometida, su certificado se pueda revocar y el acceso a la red se bloquee de inmediato.
Preguntas de práctica
Q1. Está desplegando una nueva red WiFi 802.1X para un campus corporativo utilizando Microsoft Intune. Ha configurado el perfil de Raíz de Confianza, el perfil SCEP y el perfil de WiFi. Sin embargo, durante las pruebas, los dispositivos reciben los certificados pero el perfil de WiFi se muestra como 'Error' en la consola de Intune. ¿Cuál es la causa más probable?
Sugerencia: Considere cómo el MDM resuelve las dependencias entre perfiles.
Ver respuesta modelo
La causa más probable es una discrepancia en la asignación de grupos de destino. Intune requiere que los perfiles dependientes se asignen exactamente al mismo grupo de Azure AD. Si el perfil SCEP se asigna a un grupo de Usuarios y el perfil de WiFi se asigna a un grupo de Dispositivos, Intune no puede resolver la dependencia, lo que resulta en un error.
Q2. Una empresa de retail desea automatizar el despliegue de certificados para las tabletas de sus gerentes de tienda. Están debatiendo entre usar SCEP o PKCS. Su principal preocupación es la seguridad, específicamente la protección de las claves privadas. ¿Qué protocolo deberían elegir y por qué?
Sugerencia: Piense en dónde se genera la clave privada en cada protocolo.
Ver respuesta modelo
Deberían elegir SCEP. En un flujo de trabajo de SCEP, la clave privada se genera localmente en la tableta y se almacena en su enclave seguro; nunca sale del dispositivo. Con PKCS, la Autoridad de Certificación genera la clave privada y la transmite a través de la red al dispositivo, lo que introduce una vulnerabilidad potencial de seguridad.
Q3. Un empleado deja la empresa y su cuenta de Active Directory se deshabilita. Sin embargo, el equipo de TI nota que el dispositivo del empleado todavía está conectado a la red WiFi corporativa. La red utiliza autenticación EAP-TLS. ¿Qué configuración falta en el servidor RADIUS?
Sugerencia: Deshabilitar una cuenta no invalida automáticamente un certificado emitido previamente.
Ver respuesta modelo
Al servidor RADIUS le falta la verificación estricta de la Lista de Revocación de Certificados (CRL). Incluso si la cuenta del directorio está deshabilitada, el certificado de cliente sigue siendo criptográficamente válido hasta que expira o se revoca explícitamente. El servidor RADIUS debe estar configurado para verificar la CRL para garantizar que se niegue el acceso a la red a los certificados revocados.
Continúe leyendo esta serie
Cómo segregar de forma segura las redes WiFi del personal y de invitados
Esta guía técnica autorizada proporciona a los líderes de TI estrategias prácticas para segregar de forma segura las redes WiFi del personal, invitados e IoT mediante VLANs y 802.1X. Detalla cómo proteger la infraestructura empresarial, mantener el cumplimiento de PCI-DSS y aprovechar los Captive Portals para capturar datos de primera mano.
Best DNS filtering: a comprehensive guide for businesses
Esta guía de referencia técnica explica cómo el filtrado DNS empresarial protege las redes públicas al bloquear dominios maliciosos en la capa de resolución, antes de que se establezca una conexión. Ofrece a los directores de TI, arquitectos de red y equipos de operaciones de establecimientos la arquitectura de implementación, la configuración de firewall y el contexto de cumplimiento que necesitan para proteger el WiFi de invitados en entornos de hotelería, comercio minorista y sector público. Purple Shield bloquea malware, botnets y contenido inapropiado a nivel DNS en más de 80,000 establecimientos activos.
Comprensión de Cisco SUDI: Identidad anclada por hardware en el control de acceso seguro a la red
Esta guía explica cómo Cisco SUDI proporciona una identidad criptográficamente segura y anclada por hardware para la infraestructura de red empresarial. Aprenda cómo reemplazar las direcciones MAC vulnerables a la suplantación por certificados 802.1AR inmutables para proteger el control de acceso a la red de su recinto.