Comment configurer le WiFi Enterprise sur les appareils Android avec EAP-TLS

Android se connecte au WiFi d'entreprise WiFi EAP-TLS lorsque trois conditions sont remplies. L'appareil détient son propre certificat client. Il fait confiance à l'AC racine qui a signé votre certificat de serveur RADIUS. Son profil WPA2 ou WPA3-Enterprise utilise la méthode EAP TLS, avec un domaine correspondant à ce certificat de serveur. Déployez ces trois éléments depuis votre MDM pour configurer l'ensemble de votre flotte sans avoir à toucher un seul appareil.

Que fait réellement EAP-TLS sur un appareil Android ?

La norme IEEE 802.1X régit le contrôle d'accès réseau basé sur les ports. Sur le WiFi WiFi, le point d'accès ne transmet aucun trafic provenant d'un appareil tant qu'un serveur d'authentification ne l'a pas approuvé. Ce serveur est un serveur RADIUS, le service qui accepte ou rejette chaque demande de connexion. L'appareil Android est le demandeur d'accès (supplicant), le point d'accès est l'authentificateur et RADIUS est le serveur d'authentification.

EAP-TLS (Extensible Authentication Protocol avec Transport Layer Security, défini dans la norme RFC 5216) est la méthode permettant aux deux parties de prouver leur identité. Elle utilise des certificats X.509 et non des mots de passe. La vérification s'effectue dans les deux sens :

1. Le serveur RADIUS présente son certificat. Android vérifie qu'il est rattaché à une autorité de certification (AC) racine de confiance. Il vérifie également que le nom du certificat correspond au domaine figurant dans le profil WiFi WiFi.
2. L'appareil Android présente son propre certificat client. RADIUS vérifie que votre AC l'a bien délivré, qu'il est en cours de validité et qu'il n'a pas été révoqué.

Il n'existe aucun mot de passe, il n'y a donc rien à hameçonner, réutiliser ou réinitialiser. Le protocole PEAP (Protected EAP) avec MSCHAPv2 fonctionne différemment : il envoie un nom d'utilisateur et un mot de passe dans un tunnel TLS. Un mot de passe PEAP volé fonctionne sur n'importe quel appareil. La clé privée d'un certificat client reste sur l'appareil auquel elle a été délivrée.

Les comportements d'Android Android à prendre en compte

Quatre comportements d'Android Android influencent chaque déploiement :

• La validation du serveur est obligatoire. À partir d'Android Android 11, Google a supprimé l'option permettant d'ignorer la validation du certificat de serveur sur les réseaux d'entreprise. Chaque profil a besoin d'un certificat d'AC et d'un domaine, sinon l'appareil ne se connectera pas.
• L'usage étendu de la clé est essentiel. Le certificat du serveur RADIUS a besoin de l'usage étendu de clé (EKU) Authentification du serveur, OID 1.3.6.1.5.5.7.3.1. Délivrez les certificats clients avec l'option Authentification du client, OID 1.3.6.1.5.5.7.3.2.
• Les installations manuelles nécessitent le format PKCS#12. Android exige que le certificat client et la clé privée soient regroupés dans un seul fichier .p12 ou .pfx.
• Les adresses MAC sont aléatoires. Depuis Android Android 10, les appareils utilisent par défaut une adresse MAC aléatoire par réseau. Ne basez jamais l'identité ou la politique d'accès sur des adresses MAC.

Comparatif entre EAP-TLS et les alternatives

De quoi avez-vous besoin avant de configurer Android pour EAP-TLS ?

Mettez ces six éléments en place avant de toucher à un appareil. La plupart des déploiements échoués sont dus à l'un d'entre eux.

• Une infrastructure à clés publiques (PKI). Vous avez besoin d'une CA pour émettre des certificats clients. Si vous exploitez déjà une CA interne, telle que Microsoft Active Directory Certificate Services, elle peut émettre à la fois des certificats serveur et client.
• Un certificat de serveur RADIUS conçu pour Android. Il doit contenir un Subject Alternative Name (SAN) comportant un nom DNS. Il a également besoin de l'EKU Server Authentication et d'une chaîne remontant jusqu'à la racine que vous distribuerez. Configurez RADIUS pour envoyer la chaîne complète, intermédiaires inclus.
• RADIUS configuré pour EAP-TLS. Il doit faire confiance à la CA qui émet les certificats clients. Il doit également vérifier la révocation via une liste de révocation de certificats (CRL) ou OCSP (Online Certificate Status Protocol).
• Un SSID Enterprise sur vos points d'accès. Définissez WPA2-Enterprise ou WPA3-Enterprise et pointez vers RADIUS. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet prennent tous en charge 802.1X.
• Un MDM inscrit via Android Enterprise. La gestion des appareils mobiles (MDM) est le seul moyen pratique d'émettre et de renouveler des certificats au-delà d'un pilote. Connectez-le à votre CA avec SCEP, le protocole de demande de certificat défini dans la norme RFC 8894.
• Un plan de nommage et de VLAN. Décidez de l'identité qui figure dans chaque certificat client, comme un identifiant d'appareil ou un nom de connexion du personnel. Décidez ensuite de quel VLAN (LAN virtuel, un segment de réseau logiquement séparé) chaque groupe d'appareils fait partie.

Comment configurer EAP-TLS sur Android ?

Vous avez deux options. La configuration manuelle valide votre conception sur quelques appareils. Les profils déployés par MDM la transmettent à l'ensemble du parc.

Option 1 : configuration manuelle pour les pilotes et les petits groupes

Les chemins de menu diffèrent selon les versions d'Android et les fabricants, suivez donc les libellés de champs plutôt qu'un chemin fixe.

1. Transmettez les fichiers en toute sécurité. L'appareil a besoin du certificat de la CA racine et d'un fichier .p12 contenant son certificat client et sa clé privée. Envoyez le mot de passe du fichier .p12 par un canal séparé.
2. Installez les certificats. Ouvrez l'installeur de certificat dans les paramètres de sécurité de l'appareil. Installez la CA racine en tant que certificat WiFi, puis installez le fichier .p12 et saisissez son mot de passe.
3. Ajoutez le réseau. Dans les paramètres WiFi, ajoutez un réseau manuellement et saisissez le SSID exactement.
4. Choisissez la sécurité Enterprise. Sélectionnez l'option WPA2-Enterprise ou WPA3-Enterprise. Les libellés varient selon la version.
5. Définissez la méthode EAP sur TLS.
6. Définissez le certificat d'autorité de certification (CA). Sélectionnez la racine que vous avez installée. Si une CA publique a délivré votre certificat RADIUS, choisissez plutôt l'option des certificats système.
7. Définissez le statut du certificat en ligne. "Demander le statut du certificat" interroge le serveur RADIUS sur le statut OCSP de son propre certificat.
8. Définissez le domaine. Saisissez le nom DNS figurant dans le SAN du certificat RADIUS. C'est le champ sur lequel la plupart des équipes se trompent.
9. Sélectionnez le certificat client. Choisissez celui installé à partir du fichier .p12.
10. Définissez l'identité. Utilisez le nom figurant dans le certificat client, tel que l'ID de l'appareil, et jamais une adresse MAC.

La configuration manuelle engendre un coût caché. Chaque certificat expire, et chaque appareil nécessite ensuite à nouveau la même intervention manuelle.

Option 2 : Profils déployés par MDM via Android Enterprise

Android Enterprise est le framework de Google pour la gestion des appareils Android. Trois de ses modes nous intéressent ici :

• Entièrement géré convient aux téléphones et tablettes appartenant à l'entreprise.
• Profil professionnel isole les applications et certificats d'entreprise sur les appareils personnels.
• Dédié convient aux appareils à usage unique, bornes interactives et terminaux de point de vente.

L'ordre de configuration est le même dans Microsoft Intune, Workspace ONE et la plupart des autres plateformes MDM :

1. Connectez le MDM à votre CA. Installez le connecteur SCEP afin que le MDM puisse traiter les demandes de certificat.
2. Déployez un profil de certificat de confiance. Il transmet votre CA racine, et toutes les autorités intermédiaires, à chaque appareil.
3. Déployez un profil de certificat SCEP. L'appareil génère sa propre clé privée et demande un certificat client. Définissez le sujet ou le SAN à partir d'une variable d'appareil. Définissez également l'EKU d'authentification client, la période de validité et le seuil de renouvellement.
4. Déployez le profil WiFi. Définissez le SSID, la sécurité Enterprise et le type EAP TLS. Sélectionnez le profil SCEP comme certificat client. Pour la confiance envers le serveur, sélectionnez le profil de CA racine et saisissez le nom du serveur RADIUS figurant dans son SAN.
5. Attribuez d'abord à un groupe pilote. Consultez les journaux RADIUS pendant plusieurs jours avant d'élargir l'attribution.

Avec SCEP, la clé privée ne quitte jamais l'appareil. Le MDM renouvelle les certificats avant leur expiration, permettant aux appareils de rester connectés sans générer de ticket d'assistance. Pour les étapes détaillées écran par écran, suivez la documentation de votre fournisseur MDM.

Quelle méthode convient à votre parc ?

À quoi ressemble un déploiement Android EAP-TLS en pratique ?

Scénario concret : un hôtel de 200 chambres supprimant un mot de passe personnel partagé

Situation. Les équipes de ménage, de maintenance et de la réception partageaient 60 appareils Android. Tous se connectaient à un seul réseau WPA2-Personal dont le mot de passe n'avait pas changé depuis l'ouverture. Les anciens employés le connaissaient encore. Le modifier impliquait de reconfigurer 60 appareils à la main.

Ce qui a été fait. Le service informatique a inscrit les appareils en tant qu'appareils Android Enterprise entièrement gérés. L'MDM a déployé la CA racine, un certificat client SCEP valide pendant 12 mois et un profil WiFi EAP-TLS. RADIUS a placé chaque appareil accepté sur le VLAN d'exploitation. Les clients sont restés sur un réseau Guest WiFi séparé avec son propre Captive Portal, la page de connexion affichée avant l'accès à Internet.

Résultat. Le mot de passe partagé a été supprimé sur l'ensemble des 60 appareils. Un appareil manquant coûte désormais une seule révocation de certificat ; les 59 autres appareils restent inchangés. Le personnel n'a aucun mot de passe WiFi à oublier, ce qui stoppe définitivement les réinitialisations de mot de passe WiFi. En savoir plus sur ce secteur : Hotels.

Scénario concret : une chaîne de 150 magasins de détail entrant dans le périmètre PCI-DSS

Situation. Chaque magasin exploitait quatre terminaux de stock et deux tablettes POS sous Android : 900 appareils au total. Le WiFi des magasins acheminait le trafic de paiement, ce qui le plaçait dans le périmètre PCI-DSS. La exigence 4.2.1.2 de la norme PCI-DSS v4.0 exige une cryptographie forte pour l'authentification et la transmission sans fil. Une clé partagée renouvelée magasin par magasin était difficile à justifier.

Ce qui a été fait. Le service informatique a inscrit chaque appareil en tant qu'appareil Android Enterprise dédié. Le profil SCEP a inscrit le rôle de chaque appareil dans son certificat. RADIUS a associé ce champ et a renvoyé un VLAN en utilisant les attributs de tunnel définis dans la norme RFC 3580. Les tablettes POS ont rejoint le VLAN de paiement ; les terminaux portables ont rejoint le VLAN de stock. Les clients utilisaient un SSID Guest WiFi séparé, avec WiFi Analytics générant des rapports uniquement sur ce réseau.

Résultat. Les 900 appareils ont été inscrits sans qu'un employé en magasin n'ait à saisir d'identifiant. Le renouvellement des clés dans 150 magasins a pris fin. Chaque connexion apparaît désormais dans les journaux RADIUS associée au certificat d'un appareil nommé, ce qui fournit à l'auditeur des preuves par appareil. En savoir plus sur ce secteur : Retail.

Comment vérifier qu'Android s'authentifie bien avec EAP-TLS ?

Une icône de connexion indique seulement que l'appareil a rejoint un réseau. Vérifiez trois niveaux, puis prouvez que les contrôles bloquent les accès non autorisés.

• Sur l'appareil. Les détails du réseau indiquent le SSID connecté et une adresse IP provenant du VLAN attendu.
• Sur le serveur RADIUS. Le journal affiche un Access-Accept, le type EAP TLS et le sujet du certificat client présenté.
• Sur le contrôleur WiFi ou le tableau de bord. La fiche client indique 802.1X avec WPA2 ou WPA3-Enterprise, ainsi que le VLAN attribué par RADIUS.

Effectuez ensuite quatre tests négatifs sur un appareil pilote :

1. Révoquez son certificat, publiez la CRL et reconnectez-vous. Attendez-vous à un Access-Reject.
2. Modifiez le domaine du profil par un nom incorrect. Android doit refuser le serveur.
3. Installez un certificat client émis par une autre CA. Vous devez obtenir un Access-Reject.
4. Émettez un certificat à courte durée de vie. Confirmez que le MDM le renouvelle sans que l'appareil ne perde la connexion.

Si ces quatre étapes se déroulent comme prévu, votre architecture est validée.

Quels sont les problèmes fréquents avec Android EAP-TLS, et comment les résoudre ?

La plupart des échecs proviennent de la chaîne de certification ou du profil, et non de la partie radio.

Comment Purple s'intègre-t-il aux côtés d'EAP-TLS ?

EAP-TLS est le contrôle idéal pour les appareils que vous possédez et gérez. Votre établissement accueille également des personnes dont vous ne gérerez jamais les appareils.

• WiFi invités sur son propre SSID. Le Guest WiFi offre aux visiteurs, clients et passagers un Captive Portal personnalisé avec un consentement éclairé. Vous collectez ainsi des données de première partie conformes au GDPR. WiFi Analytics génère des rapports sur ce réseau, isolé du trafic EAP-TLS.
• WiFi personnel pour les appareils sans MDM. Les réseaux basés sur l'identité de Purple, incluant SecurePass et iPSK, attribuent à chaque utilisateur son propre identifiant. L'accès est relié à Microsoft Entra ID, Okta ou Google Workspace, permettant de gérer les arrivées, départs et changements de poste directement depuis votre annuaire.
• Les équipements matériels que vous possédez déjà. Purple est une superposition cloud indépendante des équipements matériels compatible avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Remplacer vos infrastructures existantes n'est pas nécessaire.

Cette séparation s'applique à tous les secteurs. Dans le secteur de la Santé, les appareils Android médicaux utilisent EAP-TLS tandis que les patients et visiteurs utilisent le Guest WiFi. Dans les Transports ferroviaires, les tablettes du personnel utilisent EAP-TLS et les passagers se connectent au Guest WiFi. Purple est déployé sur plus de 80 000 sites actifs dans plus de 90 pays (données Purple) et bénéficie des certifications ISO 27001 et Cyber Essentials.

Combien coûte EAP-TLS sur Android, et quel est le retour sur investissement ?

Ce que vous payez

• IGC. Une CA interne existante génère peu de coûts supplémentaires. Si vous n'en possédez pas, vous devez soit en construire une, soit vous abonner à une IGC cloud.
• Licences MDM. Si votre parc Android est déjà inscrit, ce coût est déjà réglé.
• RADIUS. Vous avez besoin de la prise en charge de EAP-TLS, de la vérification des révocations et d'un certificat de serveur correctement configuré.
• Temps d'ingénierie. Prévoyez un budget pour le pilote, la création du profil et un déploiement progressif.

Ce que vous y gagnez

• Une seule révocation au lieu d'une rotation à l'échelle du parc. Dans le cas d'un hôtel, la perte d'un combiné ne concerne qu'un seul appareil, et non 60.
• Aucune réinitialisation de mot de passe WiFi. Les certificats remplacent les mots de passe, ainsi cette catégorie de tickets disparaît.
• Résistance à la collecte d'identifiants. Un faux point d'accès ne gagne rien. Android rejette son certificat et il n'y a aucun mot de passe à capturer.
• Preuve de conformité. Les journaux RADIUS par appareil répondent à l'exigence 4.2.1.2 de la norme PCI DSS, à l'article 32 du GDPR et au contrôle d'accès ISO 27001.
• Une voie vers WPA3. Le mode 192 bits de WPA3-Enterprise, pris en charge à partir de Android 10, est articulé autour de EAP-TLS. Vos travaux sur les certificats restent valorisés.

La règle de décision est simple. Si vous gérez plus de quelques appareils Android via un MDM, faites de EAP-TLS votre choix par défaut. Placez les appareils non gérés du personnel sur des réseaux basés sur l'identité et les visiteurs sur le WiFi invité WiFi.

Foire aux questions

Est-ce que EAP-TLS fonctionne sur tous les appareils Android que nous sommes susceptibles de posséder ?

Oui. Tout appareil Android que vous êtes susceptible de gérer aujourd'hui prend en charge EAP-TLS sur WPA2-Enterprise, et Android 10 et ultérieur intègrent WPA3-Enterprise. Ce qui a changé, c'est la validation du serveur. À partir de Android 11, chaque profil d'entreprise nécessite un certificat CA et un domaine, de sorte que les anciens guides qui omettent la validation ne fonctionnent plus. Les libellés et les chemins d'accès au menu diffèrent également selon les fabricants, ce qui est une raison supplémentaire de déployer les profils depuis un MDM.

Avons-nous besoin d'un MDM pour déployer EAP-TLS sur Android ?

Non, mais vous en aurez besoin au-delà d'un projet pilote. La configuration manuelle fonctionne pour une poignée d'appareils. Chaque appareil nécessite cependant 10 étapes de configuration, une clé privée copiée et une intervention manuelle à chaque expiration. Un MDM inscrit via Android Enterprise génère des clés sur l'appareil et renouvelle automatiquement les certificats. Si vous possédez déjà une licence Microsoft Intune ou Workspace ONE pour Android, le coût supplémentaire réside essentiellement dans le temps de configuration.

Le personnel peut-il utiliser EAP-TLS sur des téléphones Android personnels ?

Oui, via un profil professionnel Android Enterprise, qui sépare les certificats et applications d'entreprise des données personnelles. Le MDM installe le certificat et le profil WiFi uniquement à l'intérieur du profil professionnel. Certains membres du personnel refuseront l'inscription sur leur téléphone personnel. Pour ces appareils, Purple Staff WiFi attribue à chaque personne son propre identifiant iPSK ou SecurePass, lié à votre fournisseur d'identité, sans aucune gestion d'appareil nécessaire.

Est-ce que EAP-TLS fonctionnera sur nos points d'accès existants ?

Oui. EAP-TLS est une méthode 802.1X, et Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet prennent tous en charge le 802.1X. Le point d'accès se contente de relayer l'échange. Les vérifications de certificat s'effectuent entre Android et votre serveur RADIUS. Vous configurez un SSID Enterprise pointant vers RADIUS et, si vous segmentez le trafic, vous activez les VLAN assignés par RADIUS.

Comment EAP-TLS se compare-t-il à PEAP-MSCHAPv2 pour Android ?

EAP-TLS est plus robuste car il n'y a aucun mot de passe à voler. PEAP-MSCHAPv2 envoie un nom d'utilisateur et un mot de passe dans un tunnel TLS, de sorte qu'un mot de passe hameçonné fonctionne depuis n'importe quel appareil. EAP-TLS nécessite un certificat dont la clé privée reste sur l'appareil émis. PEAP est plus rapide à déployer car il ne nécessite pas de PKI. De nombreuses entreprises utilisent PEAP pendant qu'elles créent l'infrastructure de certificats requise par EAP-TLS.

EAP-TLS aide-t-il à la conformité PCI-DSS et GDPR ?

Oui, il fournit des contrôles et des preuves pour les deux. La exigence 4.2.1.2 de la norme PCI-DSS v4.0 impose une cryptographie forte pour l'authentification sans fil lorsque les données des titulaires de cartes transitent. Les certificats par appareil enregistrés par RADIUS indiquent quel appareil s'est connecté et à quel moment. L'article 32 du GDPR exige une sécurité appropriée pour les données personnelles, ce que l'authentification mutuelle garantit. EAP-TLS ne vous rend pas conforme à lui seul ; la segmentation, la journalisation et les politiques s'appliquent toujours.

Comment migrer les appareils Android d'un mot de passe WiFi partagé vers EAP-TLS ?

Faites fonctionner les deux réseaux en parallèle, puis retirez l'ancien. Créez le SSID EAP-TLS et poussez la CA racine, le certificat SCEP et les profils WiFi vers un groupe pilote. Confirmez que les tests négatifs réussissent, puis élargissez l'attribution par étapes pendant que le réseau à clé partagée reste actif. Une fois que les journaux RADIUS montrent que le parc s'authentifie avec des certificats, supprimez l'ancien profil et éteignez le SSID à clé partagée.

Où se situe Purple si nos appareils d'entreprise utilisent EAP-TLS ?

Purple couvre toutes les connexions non gérées par EAP-TLS. Le WiFi invité accueille les visiteurs sur un SSID séparé avec un Captive Portal, des consentements explicites et WiFi Analytics. Le WiFi personnel utilise les Identity-Based Networks pour donner aux appareils non gérés des collaborateurs leurs propres identifiants. Purple fonctionne comme une superposition cloud sur les points d'accès que vous possédez déjà, sur plus de 80 000 sites actifs dans plus de 90 pays (données Purple).