Le rôle de SCEP et du NAC dans l'infrastructure MDM moderne
Ce guide fournit une analyse technique complète de la manière dont SCEP et le NAC s'intègrent aux plateformes MDM pour offrir un accès réseau sécurisé et sans intervention à l'échelle de l'entreprise. Il couvre l'architecture complète, de la délivrance des certificats à l'application de la norme 802.1X, avec des scénarios de mise en œuvre réels issus de l'hôtellerie et du commerce de détail. Conçu pour les responsables informatiques des grands établissements qui doivent éliminer les vulnérabilités liées aux mots de passe, automatiser le provisionnement des appareils et répondre aux exigences de conformité ce trimestre.
Écouter ce guide
Voir la transcription du podcast
Résumé exécutif
Pour les espaces d'entreprise - des stades de 80 000 places aux chaînes de vente au détail multi-sites - la sécurisation de la périphérie du réseau a dépassé de manière décisive le cadre des clés pré-partagées et de la gestion manuelle des identifiants. La prolifération des terminaux d'entreprise, des appareils BYOD et des infrastructures IoT exige une architecture zero-trust qui s'adapte sans surcharger le centre de services informatiques.
Ce guide détaille l'architecture technique permettant d'intégrer le protocole SCEP (Simple Certificate Enrolment Protocol) et le contrôle d'accès au réseau (NAC) avec l'infrastructure MDM (Mobile Device Management). En exploitant SCEP pour automatiser la distribution des certificats X.509, et le NAC pour appliquer l'authentification IEEE 802.1X EAP-TLS, les organisations peuvent réaliser un provisionnement zero-touch, éliminer les voies de vol d'identifiants et appliquer un accès réseau dynamique basé sur la posture de l'appareil. Alors que l'accès public est géré via une solution de Guest WiFi dédiée, cette architecture sécurise les opérations critiques d'arrière-guichet qui permettent au site de fonctionner. Le résultat est une réduction spectaculaire des frais généraux informatiques, une conformité renforcée avec PCI-DSS et GDPR, et des principes zero-trust appliqués de manière proactive à la périphérie du réseau.
Analyse technique approfondie
L'architecture à trois niveaux
La sécurité réseau moderne repose sur l'identité cryptographique plutôt que sur la connaissance de l'utilisateur. La pile SCEP-NAC-MDM fonctionne sur trois niveaux principaux :
| Niveau | Composants | Fonction |
|---|---|---|
| Gestion des appareils | MDM / UEM | Autorité centrale pour la configuration, la conformité et le cycle de vie des appareils |
| Identité et émission | PKI / SCEP / CA | Génère, émet et gère les certificats numériques |
| Application des accès | NAC / RADIUS | Évalue les certificats et la posture de l'appareil avant d'accorder l'accès au réseau |
Ces niveaux ne sont pas séquentiels - ils fonctionnent dans une boucle de rétroaction continue. Le MDM informe le NAC de l'état de conformité en temps réel, tandis que le NAC peut déclencher des flux de remédiation MDM lorsqu'un appareil échoue à un contrôle de posture.
Comment SCEP automatise la PKI à grande échelle
Le déploiement manuel de certificats est impossible à grande échelle sur le plan opérationnel. Un parc de 500 appareils nécessiterait qu'un administrateur informatique génère, signe et installe un certificat X.509 individuel sur chaque appareil - un processus prenant plusieurs minutes par appareil et introduisant un risque important d'erreur humaine. SCEP élimine complètement cette contrainte.
Lorsqu'un appareil s'enregistre dans le MDM, celui-ci pousse un profil de configuration contenant une charge utile SCEP. La charge utile demande à l'appareil de générer localement une paire de clés - point crucial, la clé privée ne quitte jamais l'appareil - et de soumettre une demande de signature de certificat (CSR) au serveur SCEP. Le serveur SCEP (généralement le service d'enregistrement de l'appareil réseau (NDES) de Microsoft ou un équivalent basé sur le cloud) valide la demande auprès du MDM pour confirmer que l'appareil est autorisé. Il transmet ensuite la CSR à l'autorité de certification (CA), qui émet le certificat X.509 signé. Le certificat est renvoyé à l'appareil et installé dans son enclave sécurisée ou son keystore système.
L'ensemble du processus se déroule silencieusement, à distance, sans aucune interaction de l'utilisateur. Pour un déploiement de 1 000 appareils, l'ensemble du parc de certificats peut être provisionné dans les heures qui suivent la finalisation de l'enregistrement MDM.
NAC et 802.1X EAP-TLS : la couche d'application
Une fois qu'un appareil détient un certificat valide, il tente de se connecter au SSID de l'entreprise ou à un port filaire en utilisant la norme IEEE 802.1X. Le point d'accès ou le commutateur agit comme authentificateur, transmettant la demande à un serveur RADIUS régi par le moteur de politique NAC. La méthode EAP la plus sécurisée est EAP-TLS, qui requiert une authentification mutuelle - le client et le serveur RADIUS doivent tous deux présenter des certificats valides, empêchant ainsi les attaques de type "man-in-the-middle" via des points d'accès frauduleux. Le NAC effectue plusieurs vérifications critiques dans l'ordre suivant :
- Validation cryptographique : Le certificat est-il mathématiquement valide et signé par une CA racine de confiance ?
- Vérification de la révocation : Le certificat figure-t-il sur une liste de révocation de certificats (CRL) ou est-il signalé via le protocole d'état de certificat en ligne (OCSP) ?
- Évaluation de la posture : En interrogeant le MDM via API, le NAC demande : L'appareil est-il conforme ? Le système d'exploitation est-il au niveau de correctif requis ? Le chiffrement du disque est-il activé ?
Si toutes les vérifications réussissent, le NAC envoie un message RADIUS Access-Accept, contenant généralement des attributs spécifiques au fournisseur (VSA) qui attribuent dynamiquement l'appareil à un VLAN spécifique ou appliquent des listes de contrôle d'accès (ACL). Les appareils non conformes sont placés dans un VLAN de remédiation avec des autorisations limitées - généralement juste assez pour déclencher les flux de travail de remédiation pilotés par le MDM.
Ségrégation du réseau invité
Dans n'importe quel environnement de site, l'infrastructure d'entreprise doit être strictement isolée des réseaux publics. La plateforme Guest WiFi fonctionne entièrement sur des SSID et VLANs séparés, sans chemin de routage vers les ressources de l'entreprise. L'architecture SCEP-NAC régit le niveau de l'entreprise ; le niveau des invités est contrôlé par l'authentification par Captive Portal et les flux de capture de données. Pour les sites déployant WiFi Analytics , cette ségrégation est un prérequis - les données analytiques transitent par le réseau invité, tandis que les données opérationnelles transitent par le réseau d'entreprise authentifié par certificat. Pour plus d'informations sur l'architecture RF sous-jacente qui prend en charge les deux réseaux, consultez Wi-Fi Frequencies: A 2026 Guide to Wi-Fi Frequencies .
-
Guide d'implémentation
Le déploiement de cette architecture nécessite un séquençage minutieux pour éviter de bloquer les utilisateurs légitimes pendant la transition.
Étape 1 : Préparation PKI et SCEP
Établissez une PKI interne robuste ou exploitez un service de PKI managée (mPKI) basé sur le cloud. Déployez et sécurisez le serveur SCEP - si vous utilisez Microsoft NDES, assurez-vous qu'il s'exécute sur un serveur dédié plutôt que d'être colocalisé avec l'autorité de certification (CA). Configurez le serveur SCEP pour utiliser des mots de passe de défi dynamiques générés par appareil par le MDM, plutôt qu'un secret partagé statique. Cela empêche les demandes de certificats non autorisées si l'URL SCEP est découverte.
Étape 2 : Configuration MDM
Créez la charge utile SCEP dans votre plateforme MDM. Définissez soigneusement les champs du nom alternatif du sujet (SAN) - le SAN doit contenir des identifiants uniques (tels que le numéro de série de l'appareil ou l'UPN de l'utilisateur) que le NAC utilisera pour les décisions de politique. Transmettez d'abord le profil à un groupe pilote d'appareils de l'équipe informatique, puis validez l'ensemble du flux d'enrôlement avant tout déploiement plus large.
Étape 3 : Configuration NAC et RADIUS
Configurez votre NAC pour qu'il fasse confiance à la CA racine qui a émis les certificats clients. Installez un certificat de serveur sur le serveur RADIUS pour l'authentification mutuelle EAP-TLS. Définissez des politiques d'accès basées sur les attributs de certificat et le statut de conformité MDM. Implémentez des règles d'attribution dynamique de VLAN : les appareils d'entreprise conformes vers le VLAN d'entreprise, les appareils non conformes vers le VLAN de remédiation, et les appareils IoT vers un VLAN dédié et restreint à Internet.
Étape 4 : Intégration de l'infrastructure réseau
Configurez les commutateurs et les points d'accès sans fil pour l'802.1X. Pour les scénarios avec du matériel de point de vente hérité dans les environnements de retail , ou des contrôleurs de chambre intelligents dans les établissements de hospitality , implémentez le contournement d'authentification MAC (MAB) comme solution de repli pour les appareils qui ne peuvent pas participer à l'EAP-TLS. Limitez le MAB à des ports de commutateur spécifiques et assurez-vous que la base de données d'adresses MAC est étroitement contrôlée. Pour les environnements de healthcare et de transport , configurez des règles d'évaluation de la posture afin de satisfaire aux exigences de conformité spécifiques au secteur.
Étape 5 : Déploiement parallèle et basculement
Ne basculez jamais immédiatement. Diffusez le nouveau SSID 802.1X en parallèle avec le réseau existant. Déployez le nouveau profil WiFi via le MDM. Surveillez l'adoption et résolvez les échecs d'enrôlement. Une fois que plus de 95 % des appareils s'authentifient avec succès sur le nouveau SSID, décommissonnez l'ancien réseau.
Bonnes Pratiques
Exigez EAP-TLS. N'acceptez jamais PEAP ou EAP-TTLS comme méthode d'authentification principale pour les appareils d'entreprise. Ces méthodes reposent sur des identifiants utilisateur/mot de passe à l'intérieur d'un tunnel TLS et restent vulnérables au vol d'identifiants. EAP-TLS élimine entièrement cette surface d'attaque.
Mettez en œuvre la révocation en temps réel. Les téléchargements programmés de CRL créent des fenêtres d'exposition. Configurez le contrôle d'accès réseau (NAC) pour effectuer des vérifications OCSP en temps réel. Lorsqu'un appareil est signalé comme perdu ou volé, révoquez le certificat au niveau de l'autorité de certification (CA) et l'appareil perdra l'accès au réseau lors de sa prochaine tentative d'authentification - ou immédiatement, si le changement d'autorisation (CoA) est configuré.
Définissez des périodes de validité de certificat raisonnables. Une période de validité d'un an, avec un renouvellement SCEP automatique déclenché 30 jours avant l'expiration, est la norme de l'industrie. Une validité plus longue augmente la fenêtre d'exposition en cas de compromission d'un certificat ; une validité plus courte augmente le risque d'échecs de renouvellement entraînant des interruptions de service.
Isolez les objets connectés (IoT) de manière stricte. Les appareils IoT ne doivent jamais partager un VLAN avec les terminaux de l'entreprise. Utilisez le NAC pour appliquer des ACL strictes sur le VLAN IoT, en autorisant uniquement les protocoles et destinations spécifiques requis par chaque classe d'appareils. Pour les sites déployant des services de localisation, consultez Indoor WiFi Positioning Systems: How They Work and How to Deploy Them pour découvrir comment l'infrastructure de positionnement s'intègre dans l'architecture réseau globale.
Alignez-vous sur WPA3. Lorsque le matériel le permet, configurez les SSIDs d'entreprise pour utiliser WPA3-Enterprise, qui impose les trames de gestion protégées (PMF) et offre une protection cryptographique plus forte que WPA2. Pour plus de détails sur l'intégration de cette solution dans le paysage plus large de la connectivité d'entreprise, consultez SD-WAN vs MPLS: A 2026 Guide to Enterprise Networking .
Dépannage et Atténuation des Risques
| Mode de défaillance | Cause racine | Atténuation |
|---|---|---|
| Échec de l'EAP-TLS sur les appareils après le renouvellement du certificat | Échec silencieux du renouvellement SCEP | Surveillez les journaux du serveur SCEP ; configurez des alertes pour les soumissions de CSR échouées |
| Échec de la validation du certificat en raison d'un décalage horaire | Mauvaise configuration NTP | Imposez la synchronisation NTP sur tous les terminaux et l'infrastructure |
| Les appareils IoT ne peuvent pas s'authentifier | Pas de suppliant 802.1X | Mettez en œuvre le MAB avec des contrôles d'adresse MAC stricts et un VLAN isolé |
| Verrouillage massif des appareils après la migration de la CA | CA racine existante non approuvée par le NAC | Échelonnez les migrations de CA ; ajoutez la nouvelle CA racine au magasin de confiance du NAC avant de révoquer l'ancienne |
| Les appareils révoqués conservent l'accès au réseau | Révocation par CRL uniquement avec de longs intervalles de téléchargement | Mettez en œuvre l'OCSP et le CoA pour une révocation en temps réel |
Pour les terminaux IoT spécifiques basés sur le BLE, l'architecture d'authentification diffère de celle des terminaux connectés en WiFi. Consultez BLE Low Energy Explained for the Enterprise pour connaître les considérations de sécurité spécifiques qui s'appliquent à l'infrastructure Bluetooth Low Energy.
-
ROI et impact commercial
L'analyse de rentabilisation de l'intégration SCEP - NAC - MDM est évidente lorsqu'elle est mesurée par rapport au coût des solutions alternatives.
| Métrique | Avant implémentation | Après implémentation |
|---|---|---|
| Tickets d'assistance informatique (accès réseau) | Élevé - réinitialisations de mots de passe, rotations de clés | Proche de zéro - cycle de vie des certificats automatisé |
| Temps moyen de révocation d'un appareil compromis | Heures (processus manuel) | Secondes (OCSP + CoA) |
| Conformité du contrôle d'accès PCI-DSS | Manuelle, nécessitant de nombreux audits | Automatisée, appliquée en continu |
| Temps d'intégration du BYOD | 15 à 30 minutes par appareil | Moins de 5 minutes sans aucune intervention informatique |
Pour un parc de 500 appareils, l'élimination de la gestion manuelle des certificats et des tickets d'assistance liés aux mots de passe réduit généralement les frais généraux de support informatique liés au réseau de 25 à 35 %. La valeur de l'atténuation des risques - en évitant une seule faille liée aux identifiants - dépasse couramment l'intégralité du coût de l'implémentation. Pour les organisations du secteur public et de la santé soumises au GDPR, la capacité de démontrer un contrôle d'accès automatisé et vérifiable constitue un atout de conformité majeur.
Définitions clés
SCEP (Simple Certificate Enrollment Protocol)
Un protocole qui automatise l'émission et la révocation de certificats numériques sur les appareils sans intervention de l'utilisateur, agissant comme la couche de communication entre la plateforme MDM et l'Autorité de Certification.
Utilisé par les plateformes MDM pour déployer de manière transparente des certificats X.509 sur des milliers de terminaux à grande échelle. Les équipes informatiques rencontrent SCEP lors de la configuration des profils MDM pour l'authentification WiFi 802.1X.
NAC (Network Access Control)
Une solution de sécurité qui applique des politiques sur les appareils cherchant à accéder à l'infrastructure réseau, évaluant les identifiants d'authentification, la validité du certificat et l'état de conformité de l'appareil avant d'accorder l'accès.
Agit comme le gardien à la périphérie du réseau. Les équipes informatiques configurent les politiques NAC pour définir quels appareils accèdent à quels VLANs en fonction des attributs de leur certificat et de leur état de conformité MDM.
MDM (Mobile Device Management)
Logiciel utilisé par les services informatiques pour surveiller, gérer et sécuriser les terminaux des collaborateurs sur plusieurs systèmes d'exploitation, servant de source unique de vérité pour l'identité et la conformité des appareils.
L'initiateur du processus d'enregistrement SCEP et la source des données de conformité interrogées par le NAC. Sans intégration MDM, le NAC ne peut pas effectuer de contrôle d'accès basé sur la conformité de l'appareil.
IEEE 802.1X
Une norme IEEE pour le contrôle d'accès réseau basé sur les ports, qui fournit un mécanisme d'authentification aux appareils souhaitant se connecter à un réseau local ou un réseau local WiFi, exigeant une authentification réussie avant l'ouverture du port.
Le protocole sous-jacent qui oblige les appareils à s'authentifier avant que le commutateur ou le point d'accès n'autorise le passage du trafic. Configuré à la fois sur l'infrastructure réseau et sur le suppliant 802.1X de l'appareil.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
La norme EAP la plus sécurisée, exigeant une authentification mutuelle où le terminal client et le serveur RADIUS doivent tous deux présenter des certificats numériques valides, éliminant ainsi les attaques sur les identifiants basés sur des mots de passe.
La référence absolue en matière de sécurité sans fil d'entreprise. Les architectes informatiques devraient imposer EAP-TLS plutôt que PEAP ou TTLS partout où une infrastructure de certificats d'appareils est en place.
CSR (Certificate Signing Request)
Un bloc de texte codé généré par un appareil contenant sa clé publique et les détails de son identité, soumis à l'Autorité de Certification pour demander un certificat X.509 signé.
Généré automatiquement par l'appareil pendant le processus d'enregistrement SCEP. La clé privée correspondant au CSR ne quitte jamais l'appareil, garantissant ainsi que le certificat ne peut pas être dupliqué.
MAB (MAC Authentication Bypass)
Une méthode d'authentification de secours où le réseau utilise l'adresse MAC matérielle de l'appareil comme identifiant, utilisée pour les appareils dépourvus de la fonctionnalité de suppliant 802.1X.
Utilisé pour les anciens appareils IoT tels que les imprimantes, les capteurs et les contrôleurs de salles intelligentes qui ne peuvent pas participer à EAP-TLS. Devrait toujours entraîner l'attribution à un VLAN hautement restreint.
OCSP (Online Certificate Status Protocol)
Un protocole internet utilisé pour obtenir le statut de révocation d'un certificat numérique X.509 en temps réel, offrant une alternative au téléchargement et à l'analyse des listes de révocation de certificats.
Indispensable pour les systèmes NAC qui doivent bloquer immédiatement l'accès au réseau lorsqu'un appareil est compromis ou signalé comme volé. L'OCSP fournit un statut en temps réel; les téléchargements de listes de révocation créent un délai de latence avant la prise en compte de la révocation.
CoA (Change of Authorization)
Une extension RADIUS (RFC 5176) qui permet au NAC de modifier ou de mettre fin de manière dynamique à une session réseau active sans attendre que la session expire ou que l'appareil se réauthentifie.
Utilisé pour déconnecter immédiatement un appareil lorsque son certificat est révoqué ou que son statut de conformité MDM change. Essentiel pour l'application du zero-trust en temps réel.
Exemples concrets
Un complexe hôtelier de luxe de 500 chambres doit sécuriser son réseau opérationnel d'arrière-guichet. Le personnel utilise des tablettes partagées pour la gestion du ménage, et la direction utilise des ordinateurs portables d'entreprise. Le réseau WPA2-PSK actuel a subi plusieurs fuites de clé prépartagée, ce qui a entraîné deux incidents de sécurité au cours de l'année écoulée. Comment l'équipe informatique doit-elle passer à une authentification basée sur les certificats sans perturber les opérations ?
Phase 1 - Préparation (Semaines 1 et 2) : Déployer une solution RADIUS/NAC basée sur le cloud et l'intégrer au MDM existant. Configurer un profil SCEP dans le MDM pour déployer des certificats basés sur les appareils sur toutes les tablettes et ordinateurs portables. Utiliser des certificats basés sur l'appareil (liés au numéro de série de l'appareil) plutôt que des certificats basés sur l'utilisateur, afin que les tablettes partagées s'authentifient automatiquement quel que soit le membre du personnel qui les utilise. Phase 2 - Déploiement parallèle (Semaines 3 et 4) : Diffuser un nouvel SSID masqué configuré pour le protocole 802.1X EAP-TLS. Déployer le nouveau profil WiFi via le MDM sur tous les appareils enregistrés. Surveiller le tableau de bord du NAC pour vérifier la réussite des authentifications. Phase 3 - Transition (Semaine 5) : Une fois que plus de 95 % des appareils sont connectés au nouvel SSID, démanteler l'ancien réseau WPA2-PSK. Révoquer l'ancienne clé PSK de tous les documents et points d'accès.
Une chaîne nationale de magasins de détail déploie 3 000 nouveaux terminaux de point de vente dans 150 magasins. L'équipe de sécurité exige une segmentation stricte du réseau PCI DSS et un accès zéro-trust. Le calendrier de déploiement est de 8 semaines. Comment SCEP et le NAC facilitent-ils cette tâche à grande échelle sans nécessiter de personnel informatique dans chaque magasin ?
Pré-déploiement : Le fournisseur des terminaux de point de vente pré-enregistre les 3 000 appareils dans le MDM du détaillant en utilisant le programme d'enregistrement sans intervention du fournisseur. Le MDM est configuré avec un profil SCEP qui se déclenche automatiquement au premier démarrage. Déploiement : Lorsqu'un terminal de point de vente est mis sous tension dans le magasin, il se connecte à un SSID d'intégration temporaire (accès internet uniquement, pas d'accès à l'entreprise). Le profil MDM est envoyé, la charge utile SCEP se déclenche, et l'appareil demande et reçoit son certificat X.509 de l'autorité de certification. Le MDM déploie ensuite le profil WiFi de l'entreprise. Accès réseau : Lorsque le point de vente se connecte au port du commutateur du magasin, le commutateur initie le protocole 802.1X. Le NAC valide le certificat, interroge le MDM pour confirmer que le point de vente est conforme (chiffrement activé, agent MDM actif, aucun débridage détecté) et attribue dynamiquement le port du commutateur au VLAN PCI-DSS. Le point de vente est désormais opérationnel. Aucun personnel informatique n'a été requis dans le magasin.
Questions d'entraînement
Q1. Votre entreprise migre de WPA2-Enterprise avec PEAP-MSCHAPv2 vers EAP-TLS. Pendant la phase pilote, les ordinateurs portables Windows et les iPhones se connectent avec succès, mais 200 scanners de codes-barres d'entrepôt ne parviennent pas à s'authentifier. Les scanners prennent en charge le 802.1X mais ne peuvent pas traiter la charge utile SCEP du MDM - ils fonctionnent sous un système d'exploitation embarqué propriétaire sans support d'agent MDM. Quelle est la solution d'architecture la plus sécurisée qui maintient la segmentation du réseau sans nécessiter le remplacement des scanners ?
Conseil : Envisagez des mécanismes alternatifs de distribution de certificats qui ne nécessitent pas d'agent MDM, et quels contrôles de segmentation réseau devraient s'appliquer aux appareils qui ne peuvent pas participer à une évaluation complète de leur posture.
Voir la réponse type
Puisque les scanners prennent en charge le 802.1X mais pas le SCEP ni l'enrôlement MDM, l'approche la plus sécurisée consiste à provisionner manuellement les certificats d'appareil à l'aide d'un modèle de certificat dédié doté d'un profil d'utilisation de clé restreint. Les certificats sont installés une fois lors d'une fenêtre de maintenance. Le NAC est configuré pour accepter ces certificats mais attribuer les scanners à un VLAN d'opérations d'entrepôt dédié avec des ACL strictes - et non au VLAN d'entreprise complet - car l'évaluation de la posture n'est pas possible. Alternativement, si le provisionnement manuel des certificats n'est pas viable à grande échelle, configurez le MAB comme solution de secours spécifiquement pour les OUI MAC du matériel du scanner, le NAC les affectant au même VLAN restreint. Documentez cela comme une exception connue dans votre registre des risques et planifiez le remplacement des scanners lors du prochain cycle de renouvellement du matériel.
Q2. Un responsable de la sécurité réseau remarque que lorsqu'un employé signale le vol d'un ordinateur portable, le MDM envoie une commande d'effacement à distance, mais l'appareil reste connecté au WiFi de l'entreprise jusqu'à 12 heures - le délai d'expiration actuel de la session RADIUS. Pendant cette fenêtre, l'appareil pourrait être utilisé pour exfiltrer des données. Comment modifier l'architecture pour interrompre immédiatement l'accès au réseau dès qu'un appareil est signalé comme volé ?
Conseil : Le NAC doit être informé instantanément du changement de statut plutôt que d'attendre le prochain cycle d'authentification. Envisagez à la fois le mécanisme de fin de session et le mécanisme de prévention de la réauthentification.
Voir la réponse type
Mettez en œuvre deux contrôles complémentaires. Tout d'abord, configurez le MDM pour envoyer un webhook au NAC immédiatement après qu'un appareil a été marqué comme perdu ou volé. Le NAC envoie ensuite un message RADIUS Change of Authorization (CoA) Disconnect-Request au point d'accès ou au port de commutateur spécifique, mettant fin immédiatement à la session active. Deuxièmement, révoquez le certificat de l'appareil dans la CA et assurez-vous que le NAC est configuré pour une vérification OCSP en temps réel plutôt que pour une révocation basée sur la CRL. Cela signifie que même si l'appareil se reconnecte avant que la CoA ne soit traitée, l'authentification EAP-TLS échouera lors de la vérification OCSP. Les deux contrôles combinés réduisent la fenêtre d'exposition de 12 heures à moins de 60 secondes.
Q3. Lors d'un audit de sécurité du réseau d'un grand centre de conférence, il est découvert que le serveur SCEP est exposé à l'internet public en utilisant un mot de passe de défi statique pour permettre l'enrôlement d'appareils à distance. L'auditeur signale cela comme une vulnérabilité critique. Comment le processus d'enrôlement SCEP doit-il être réarchitecturé pour maintenir la capacité d'enrôlement à distance tout en éliminant le risque lié au mot de passe statique ?
Conseil : Le serveur SCEP doit disposer d'un moyen de vérifier que l'appareil demandant un certificat est réellement autorisé par le MDM, sans s'appuyer sur un secret partagé qui pourrait être extrait d'un appareil ou intercepté.
Voir la réponse type
Remplacez le mot de passe de test statique par des mots de passe de test uniques et dynamiques par appareil, générés par le MDM. Le flux de travail devient : (1) Le MDM génère un mot de passe de test unique et limité dans le temps pour chaque appareil lors de l'enregistrement. (2) Le MDM inclut ce test dans la charge utile SCEP transmise à l'appareil. (3) L'appareil inclut le test dans sa CSR. (4) Le serveur SCEP valide le test auprès du MDM via API avant de transmettre la CSR à l'AC. (5) Le test est invalidé immédiatement après utilisation. Cela garantit que seuls les appareils gérés par le MDM peuvent obtenir un certificat avec succès, et que même si l'URL SCEP est découverte, un attaquant ne peut pas générer de certificats valides sans un test unique valide. De plus, limitez le serveur SCEP au protocole HTTPS uniquement et implémentez une liste d'autorisation d'adresses IP pour les adresses IP de sortie du MDM dans la mesure du possible.
Continuer la lecture de cette série
Staff WiFi vs. Guest WiFi : meilleures pratiques pour la segmentation des réseaux d'entreprise
Un guide technique complet destiné aux leaders de l'informatique sur la segmentation des réseaux WiFi pour le personnel et les invités. Il couvre l'architecture VLAN, l'authentification 802.1X, les politiques de pare-feu et l'impact commercial d'une conception de réseau sécurisée.
Solutions WiFi pour appartements : un guide complet pour les entreprises
Ce guide couvre l'architecture, le déploiement et l'analyse de rentabilité des solutions WiFi pour appartements dans l'immobilier locatif géré (Build to Rent) et les résidences collectives. Il explique comment la technologie iPSK (Identity Pre-Shared Key) crée des bulles de réseau sécurisées et isolées pour chaque résident tout en prenant en charge les appareils intelligents et l'IoT. Les promoteurs immobiliers, les propriétaires et les opérateurs de BTR y trouveront des conseils de déploiement pratiques, des données sur le ROI et des scénarios de mise en œuvre concrets.
Cox business managed WiFi : un guide complet pour les entreprises
Ce guide détaille comment les promoteurs immobiliers et les opérateurs BTR peuvent déployer des réseaux évolutifs et sécurisés grâce à Cox Business managed WiFi. Il couvre l'architecture réseau, le déploiement de matériel indépendant du fournisseur, et l'impact commercial de la transition d'une connectivité complexe vers une infrastructure fiable.