La guía empresarial de SCEP: Implementación de Simple Certificate Enrollment Protocol para la seguridad automatizada de WiFi en campus

Buenos días. Si administra infraestructura WiFi en un grupo hotelero, un complejo comercial, un estadio o un campus universitario, este informe es para usted. Vamos a hablar de SCEP - Simple Certificate Enrollment Protocol - y específicamente de cómo resuelve uno de los dolores de cabeza más persistentes en el WiFi empresarial: la instalación automática de certificados en miles de dispositivos, sin que su servicio de asistencia técnica se vea inundado de solicitudes. [short pause] Permítame contextualizar. Ha decidido - acertadamente - que las claves precompartidas ya no son aceptables para el WiFi del personal. Una sola contraseña comprometida expone todo el segmento de su red. Ha migrado, o está migrando, a la autenticación 802.1X. Ese es el estándar IEEE que requiere que cada dispositivo demuestre su identidad antes de obtener acceso a la red. La versión más segura de 802.1X es EAP-TLS - Extensible Authentication Protocol con Transport Layer Security - la cual utiliza certificados digitales en lugar de contraseñas. Los certificados son criptográficamente únicos por dispositivo, no se pueden compartir y pueden revocarse instantáneamente si un dispositivo se extravía o un empleado se va. [short pause] Hasta aquí todo bien. El problema es la distribución. ¿Cómo se instala un certificado único en cada laptop, cada teléfono, cada tablet de su propiedad - a través de Windows, iOS, Android, macOS - sin que un técnico tenga que intervenir en cada dispositivo? Eso es precisamente lo que resuelve SCEP. [medium pause] SCEP fue formalizado por el Internet Engineering Task Force en el RFC 8894 en 2020, aunque se ha utilizado en entornos empresariales desde principios de la década de 2000. Es un protocolo que permite a un dispositivo administrado solicitar su propio certificado directamente a su Certificate Authority, utilizando una URL preconfigurada y una contraseña de desafío. El punto de seguridad crítico aquí: la clave privada se genera en el propio dispositivo, se almacena en el enclave seguro del dispositivo - que es el chip TPM en dispositivos Windows, o el Secure Enclave en el hardware de Apple - y nunca viaja a través de la red. El dispositivo genera una Certificate Signing Request, la envía a la puerta de enlace de SCEP, la puerta de enlace valida el desafío, reenvía la solicitud a su Certificate Authority, la CA la firma y el certificado firmado regresa al dispositivo. Todo el proceso es invisible para el usuario final. [short pause] Ahora bien, en un entorno de Microsoft, la puerta de enlace de SCEP suele ser NDES - Network Device Enrollment Service - un rol de Windows Server que actúa como intermediario entre su plataforma MDM y su CA. Microsoft Intune inserta el perfil de SCEP en los dispositivos administrados, lo que les indica la URL de NDES y la contraseña de desafío. Los dispositivos hacen el resto de forma automática. [medium pause] Permítame mostrarle cómo se ve un despliegue real. Piense en un grupo hotelero con 150 propiedades, algo al nivel de Premier Inn. Tienen una combinación de laptops Windows para el personal de recepción, dispositivos iOS para los supervisores de limpieza y tabletas Android en el punto de venta del restaurante. Antes de SCEP, utilizaban WPA2-Personal con una contraseña compartida que se cambiaba cada trimestre. Cada rotación generaba una oleada de llamadas a soporte técnico. Con SCEP e Intune, despliegan tres perfiles en secuencia. Primero, el perfil de Certificado de Raíz de Confianza; esto le indica a cada dispositivo que confíe en la Autoridad de Certificación de la empresa. Segundo, el perfil de Certificado SCEP; esto instruye a los dispositivos a obtener su certificado de cliente único. Tercero, el perfil de WiFi; esto configura el SSID, establece el tipo de seguridad en WPA2-Enterprise o WPA3-Enterprise y apunta al certificado SCEP para la autenticación. Al desplegar esos tres perfiles al mismo grupo de dispositivos en Intune, cada dispositivo gestionado se conecta al SSID corporativo automáticamente, con un certificado único y sin requerir interacción alguna del usuario. [short pause] El servidor RADIUS - que suele ser Microsoft NPS o un servicio RADIUS en la nube - recibe la solicitud de autenticación EAP-TLS, valida el certificado frente a la CA, consulta la Lista de Revocación de Certificados y otorga o deniega el acceso. Si un empleado es despedido, usted revoca su certificado en la CA. Su dispositivo pierde el acceso a la WiFi en el siguiente ciclo de autenticación. Sin necesidad de restablecer contraseñas. Sin esperar a la rotación trimestral. [medium pause] Ahora, la gente suele preguntar sobre la diferencia entre SCEP y PKCS (Public Key Cryptography Standards). Ambos funcionan con Intune. La diferencia clave radica en dónde se genera la llave privada. Con SCEP, se genera en el dispositivo. Con PKCS, la CA genera ambas llaves de forma centralizada y envía la llave privada al dispositivo. Esto significa que la llave privada viaja a través de la red, lo que introduce un riesgo teórico de interceptación. PKCS tiene su utilidad; es más adecuado para el cifrado de correo electrónico S/MIME, donde el depósito de llaves es importante. Para la autenticación WiFi, SCEP es la opción correcta. Siempre. [short pause] Permítame presentarle un segundo escenario: una cadena de tiendas de retail. Imagine una marca de moda con 200 tiendas en todo el Reino Unido, cada una de ellas con puntos de acceso Cisco Meraki. Sus sistemas de punto de venta están basados en Windows y se gestionan a través de Intune. Necesitan cumplir con la norma PCI-DSS, lo que implica segmentación de red y autenticación sólida para cualquier dispositivo que maneje datos de tarjetahabientes. El protocolo EAP-TLS basado en SCEP les proporciona autenticación a nivel de dispositivo en el SSID del personal, con asignación de VLAN impulsada por la política de RADIUS. Las terminales de punto de venta se asignan automáticamente a la VLAN dentro del alcance de PCI. La WiFi de invitados - gestionada por separado a través de una plataforma como Purple - funciona en un SSID completamente aislado con su propio flujo de autenticación. Ambas redes nunca se tocan. Los auditores están contentos. El equipo de seguridad duerme mejor. [medium pause] Muy bien, hablemos de los errores comunes, porque hay algunos detalles que suelen tomar por sorpresa a los equipos. [short pause] El modo de falla más común son las discrepancias en el direccionamiento de grupos en Intune. Su perfil de raíz de confianza, su perfil SCEP y su perfil de WiFi deben dirigirse todos al mismo grupo de Azure AD. Si el perfil SCEP se dirige a un grupo de usuarios y el perfil de WiFi se dirige a un grupo de dispositivos, Intune no puede resolver la dependencia y el perfil de WiFi se muestra como un error. Verifique sus asignaciones primero - casi siempre es el culpable. [short pause] Segundo error común: disponibilidad del servidor NDES. Su servidor NDES debe ser accesible desde internet para que los dispositivos remotos se registren antes de llegar a las instalaciones. La forma segura de hacer esto es a través de Azure AD Application Proxy, que le brinda acceso remoto sin abrir puertos de firewall entrantes. No exponga NDES directamente a internet. [short pause] Tercero: disponibilidad de CRL. Su servidor RADIUS verifica la lista de revocación de certificados cada vez que un dispositivo se autentica. Si el punto de distribución de CRL no está accesible - tal vez un servidor está caído o cambió una regla de firewall - la autenticación falla para todos. Haga que sus endpoints de CRL sean de alta disponibilidad y pruébelos regularmente. [short pause] Cuarto: permisos de plantilla de certificado. Si la cuenta de servicio del conector NDES no tiene permisos de lectura y registro en la plantilla de certificado, los dispositivos reciben errores HTTP 403 cuando intentan recopilar su certificado. Es una solución de permisos simple, pero es fácil de pasar por alto durante la configuración inicial. [medium pause] Ahora para una ronda de preguntas rápidas. [short pause] ¿Puede SCEP funcionar con MDMs que no sean de Microsoft? Sí - Jamf para flotas de dispositivos Apple, VMware Workspace ONE y la mayoría de las plataformas MDM empresariales son compatibles con perfiles SCEP. El protocolo es independiente del proveedor. [short pause] ¿Funciona SCEP con PKI en la nube? Sí. La propia PKI en la nube de Microsoft en Intune Suite elimina por completo la necesidad de un servidor NDES local. Los proveedores externos de PKI en la nube como SecureW2 y Keyfactor también ofrecen endpoints SCEP en la nube. [short pause] ¿Qué pasa con WPA3-Enterprise? WPA3-Enterprise utiliza la misma pila de autenticación 802.1X y EAP-TLS. Los certificados emitidos por SCEP funcionan de manera idéntica. La actualización se realiza en la capa del protocolo inalámbrico, no en la capa del certificado. [short pause] ¿Cuánto tiempo duran los certificados? Normalmente un año, aunque puede configurar períodos de validez más cortos. Intune gestiona la renovación automática antes del vencimiento, por lo que los usuarios nunca experimentan una interrupción. [medium pause] Para resumir. SCEP automatiza la distribución de certificados a escala, eliminando la sobrecarga manual de la implementación de PKI en grandes flotas de dispositivos. La clave privada permanece en el dispositivo - esa es la base de seguridad de EAP-TLS. Implemente en secuencia: primero la raíz de confianza, segundo el perfil SCEP, tercero el perfil de WiFi, todos dirigidos al mismo grupo. Publique su endpoint de NDES de forma segura a través de Application Proxy. Mantenga sus endpoints de CRL con alta disponibilidad. Y si está comenzando desde cero, evalúe la PKI en la nube para eliminar por completo la dependencia de NDES local. [short pause] Para el WiFi de invitados (la red independiente orientada a los visitantes) la autenticación basada en certificados no es el modelo adecuado. Los invitados no tienen dispositivos gestionados. Ahí es donde una plataforma como Purple gestiona el flujo de autenticación: Captive Portal, inicio de sesión con redes sociales, captura de correo electrónico o verificación por SMS, todo ello alimentando una capa de datos propia que su equipo de marketing realmente puede utilizar. Ambos enfoques se complementan entre sí: SCEP para su parque de dispositivos gestionados del personal, Purple para su red de invitados. Ambos funcionan en el mismo hardware, segmentados limpiamente por VLAN. [short pause] Esto es todo por ahora sobre la incorporación de SCEP a su red WiFi empresarial. La guía escrita completa, con diagramas de arquitectura, configuración paso a paso de Intune y ejemplos prácticos, está disponible en el sitio web de Purple. Gracias por escuchar.