Comment implémenter SCEP pour un BYOD sécurisé et l'enregistrement réseau dans l'enseignement supérieur

Parlez en anglais britannique avec un ton clair, confiant et autoritaire. Vous êtes un consultant senior en sécurité réseau qui présente un exposé devant une salle de directeurs informatiques et de directeurs techniques au sein d'une université. Votre débit est mesuré, direct et parfois sobre. Vous marquez des pauses naturelles entre les sections. Le rythme est régulier et professionnel, sans précipitation : Bienvenue à ce briefing technique de Purple. Je vais vous présenter tout ce que vous devez savoir sur la mise en œuvre de SCEP - le Simple Certificate Enrolment Protocol - pour un BYOD sécurisé et l'inscription au réseau dans l'enseignement supérieur. Si vous êtes directeur informatique ou architecte réseau dans une université, et que vous vous appuyez encore sur des mots de passe partagés ou des portails captifs pour authentifier les appareils des étudiants sur le WiFi de votre campus, ce briefing s'adresse à vous. [medium pause] Commençons par le problème. La plupart des universités fonctionnent aujourd'hui avec ce que j'appellerais un modèle de confiance à la première utilisation. Un étudiant arrive, se connecte au SSID du campus, saisit ses identifiants universitaires, et il est sur le réseau. Simple. Familier. Et, franchement, une faille de sécurité importante. Les mots de passe sont partagés. Les identifiants sont hameçonnés. Un seul compte compromis peut introduire sur votre réseau des milliers d'appareils qui n'ont rien à y faire. Et lorsque vous devez faire face aux obligations du GDPR, aux données de recherche et aux systèmes de paiement sur la même infrastructure, c'est un risque que vous ne pouvez pas vous permettre. [medium pause] SCEP résout ce problème au niveau de la couche d'identité de l'appareil. Plutôt que de demander "qui êtes-vous ?" via un mot de passe, il demande "qu'êtes-vous ?" via un certificat cryptographique. SCEP - formellement défini dans la RFC 8894 par l'IETF - est un protocole qui automatise la délivrance, la distribution et le renouvellement des certificats numériques X.509 pour les appareils gérés et non gérés. C'est l'épine dorsale des PKI d'entreprise depuis plus de deux décennies, et il est pris en charge nativement par toutes les grandes plateformes MDM : Microsoft Intune, JAMF Pro et VMware Workspace ONE. Voici comment fonctionne le flux d'inscription en pratique. Lorsqu'un appareil d'étudiant se connecte à votre SSID d'intégration, l'agent MDM de cet appareil génère une paire de clés et crée une demande de signature de certificat - un CSR. Cette demande est envoyée à votre passerelle SCEP, qui valide un mot de passe de défi à usage unique. La passerelle transmet le CSR à votre autorité de certification, qui le signe et renvoie un certificat X.509 unique à l'appareil. À partir de ce moment, l'appareil utilise ce certificat pour s'authentifier via 802.1X EAP-TLS - la méthode d'authentification sans fil la plus sécurisée définie dans la norme IEEE 802.1X. Pas de mots de passe. Pas de secrets partagés. Juste une preuve cryptographique de l'identité de l'appareil. [medium pause] À présent, EAP-TLS - Extensible Authentication Protocol avec Transport Layer Security - mérite que vous y accordiez un instant. Il requiert une authentification mutuelle : l'appareil prouve son identité au serveur RADIUS, et le serveur RADIUS prouve son identité à l'appareil. Cela élimine les attaques de l'homme du milieu au niveau de la couche d'authentification. Comparez cela à PEAP-MSCHAPv2, qui est encore largement déployé et présente des vulnérabilités connues en matière de collecte d'identifiants. Si vous utilisez PEAP aujourd'hui, migrer vers EAP-TLS via SCEP représente une amélioration de sécurité significative, et non incrémentielle. [medium pause] Laissez-moi vous présenter une architecture concrète. Vous exploitez trois SSIDs. Le premier est votre SSID étudiant sécurisé - appelons-le UniSecure - sur le VLAN 10. Celui-ci est authentifié par certificat via 802.1X EAP-TLS. Seuls les appareils dotés d'un certificat valide émis par votre autorité de certification (CA) peuvent s'y connecter. Le deuxième est votre SSID personnel sur le VLAN 20, où les appareils gérés reçoivent des certificats automatiquement via Intune ou JAMF lors de l'enregistrement de l'appareil. Le troisième est votre WiFi invité sur le VLAN 30 - un Captive Portal pour les visiteurs, complètement isolé de votre réseau universitaire. Votre serveur RADIUS - qu'il s'agisse de Microsoft NPS, Cisco ISE ou HPE Aruba ClearPass - se situe entre les points d'accès et votre autorité de certification, appliquant la politique de sécurité à chaque tentative d'authentification. [medium pause] Côté matériel, cette architecture fonctionne parfaitement sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi. La passerelle SCEP peut être votre serveur Microsoft NDES existant, un service SCEP cloud ou une plateforme PKI dédiée. Si vous utilisez déjà Microsoft Entra ID - anciennement Azure Active Directory - l'intégration avec le connecteur de certificat d'Intune est simple et bien documentée. [medium pause] Examinons maintenant deux scénarios réels. Le premier est une grande université comptant 30 000 étudiants répartis sur un campus principal et quatre sites satellites. Leur défi : les étudiants arrivent en septembre avec un mélange d'ordinateurs portables Windows, de MacBooks, d'iPhones et d'appareils Android. Auparavant, ils utilisaient PEAP avec les identifiants de l'université. Le partage d'identifiants était généralisé. Ils ont migré vers SCEP avec Intune pour les appareils gérés du personnel et ont mis en place un portail d'intégration en libre-service pour les appareils personnels (BYOD) des étudiants. Les étudiants se rendent sur une page web, s'authentifient avec leur identifiant unique universitaire, et le portail pousse un profil SCEP sur leur appareil. L'appareil s'enregistre, reçoit un certificat et se connecte automatiquement au SSID sécurisé. Les appels au support informatique liés à l'authentification WiFi ont chuté de 60 % dès le premier trimestre. L'authentification basée sur les certificats leur a également fourni une piste d'audit claire pour la conformité GDPR - ils pouvaient démontrer précisément quel appareil accédait à quel segment de réseau à tout moment donné. [medium pause] Le deuxième scénario est celui d'un collège d'enseignement supérieur utilisant un mélange de Chromebooks appartenant aux étudiants et d'appareils Windows partagés dans des laboratoires informatiques. Ils ont utilisé JAMF pour les appareils macOS et la gestion des certificats de Google Workspace pour les Chromebooks. Les profils SCEP ont été déployés via chaque MDM lors de l'enrôlement des appareils. Les appareils de laboratoire partagés ont reçu des certificats de machine plutôt que des certificats d'utilisateur, de sorte que l'authentification était basée sur l'appareil plutôt que liée à une connexion individuelle. Cela signifiait que les étudiants pouvaient s'asseoir à n'importe quelle machine de laboratoire et se connecter sans étapes d'authentification supplémentaires. Le collège a également segmenté les appareils IoT - projecteurs, imprimantes, tableaux blancs interactifs - sur un VLAN distinct sans routage Internet, réduisant ainsi considérablement leur surface d'attaque. [medium pause] Parlons des pièges de mise en œuvre, car il y en a quelques-uns qui piègent les équipes. Le premier est la gestion des mots de passe de défi. Dans le SCEP brut, le mot de passe de défi est un secret partagé. S'il est statique et à longue durée de vie, c'est une vulnérabilité. Utilisez votre MDM pour générer des mots de passe de défi à usage unique par enrôlement d'appareil. Intune fait cela automatiquement via son Certificate Connector. Si vous utilisez un serveur SCEP autonome, configurez des fenêtres d'expiration courtes - 15 minutes est un délai par défaut raisonnable. Le deuxième piège est la gestion du cycle de vie des certificats. Les certificats expirent. Si vous n'avez pas mis en place de renouvellement automatique, vous aurez des étudiants incapables de se connecter au WiFi le matin d'un examen. Configurez le renouvellement pour qu'il se déclenche à 80 % de la période de validité du certificat. La plupart des MDM gèrent cela automatiquement, mais vérifiez votre configuration avant de lancer la production. Le troisième piège est la dérive de la portée du BYOD. Tous les appareils personnels qu'un étudiant possède ne doivent pas se trouver sur votre VLAN académique. Définissez clairement votre politique d'enrôlement : quels types d'appareils sont éligibles, quelles vérifications de conformité sont requises - version du système d'exploitation, verrouillage de l'écran, chiffrement - et ce qui se passe lorsqu'un appareil n'est pas conforme. Les politiques d'accès conditionnel de votre MDM appliquent cela automatiquement une fois configurées. [medium pause] Une section rapide de questions-réponses pour les interrogations que je reçois le plus souvent. Le SCEP peut-il fonctionner avec des appareils personnels non gérés ? Oui, via un portail d'intégration en libre-service qui pousse un profil SCEP léger. L'appareil n'a pas besoin d'être entièrement enrôlé dans le MDM. Le SCEP remplace-t-il eduroam ? Non - eduroam utilise le 802.1X avec la fédération RADIUS, et le SCEP est le mécanisme qui délivre les certificats que ces appareils utilisent pour s'authentifier auprès d'eduroam. Ils sont complémentaires. Le SCEP est-il conforme au GDPR ? L'authentification par certificat génère un journal d'audit propre et attribuable - identité de l'appareil, horodatage, attribution de VLAN - ce qui soutient vos obligations au titre de l'article 32 du GDPR concernant les mesures de sécurité techniques appropriées. Le WPA3 change-t-il quelque chose ? Le WPA3-Enterprise avec le mode 192 bits impose l'EAP-TLS, qui nécessite des certificats. Le SCEP est le mécanisme de distribution naturel. Adopter ensemble le WPA3 et le SCEP est la bonne orientation architecturale. [medium pause] En résumé. SCEP automatise la distribution de certificats aux appareils des étudiants et du personnel, permettant l'authentification 802.1X EAP-TLS sur le WiFi de votre campus. Il élimine les mots de passe partagés, réduit les risques de phishing d'identifiants et vous offre une piste d'audit cryptographiquement attribuable. L'architecture est indépendante du matériel - elle fonctionne sur Cisco Meraki, HPE Aruba, Ruckus et Juniper Mist. Elle s'intègre à Microsoft Entra ID, Okta et Google Workspace. Et elle s'adapte aussi bien à un établissement d'enseignement supérieur sur un seul campus qu'à une université multi-sites du Russell Group. Si vous évaluez la posture de sécurité du WiFi de votre campus cette année, SCEP avec EAP-TLS est la norme vers laquelle vous devriez tendre. La plateforme de Purple s'intègre à cette architecture au niveau du WiFi invité et de la couche d'analyse, vous fournissant des données de première main sur le comportement des visiteurs sans compromettre la sécurité de votre réseau académique. Merci pour votre écoute. Si vous souhaitez approfondir l'un de ces sujets, le guide technique complet est disponible sur purple.ai.