Le rôle de SCEP et NAC dans l'infrastructure MDM moderne
Ce guide fournit une analyse technique complète de la manière dont SCEP et NAC s'intègrent aux plateformes MDM pour offrir un accès réseau sécurisé et sans contact à l'échelle de l'entreprise. Il couvre l'architecture complète, de la délivrance des certificats à l'application de la norme 802.1X, avec des scénarios de mise en œuvre réels issus du secteur de l'hôtellerie et du commerce de détail. Conçu pour les responsables informatiques de grands sites qui doivent éliminer les vulnérabilités liées aux mots de passe, automatiser le provisionnement des appareils et satisfaire aux exigences de conformité ce trimestre.
Écouter ce guide
Voir la transcription du podcast
Résumé exécutif
Pour les sites d'entreprise - des stades de 80 000 places aux chaînes de vente au détail multi-sites - la sécurisation de la périphérie du réseau a dépassé de manière décisive les clés pré-partagées et la gestion manuelle des identifiants. La prolifération des terminaux d'entreprise, des appareils BYOD et des infrastructures IoT exige une architecture zero-trust qui évolue sans surcharger le service d'assistance informatique.
Ce guide détaille l'architecture technique pour l'intégration du protocole SCEP (Simple Certificate Enrolment Protocol) et du contrôle d'accès au réseau (NAC) avec l'infrastructure de gestion des appareils mobiles (MDM). En tirant parti de SCEP pour automatiser la distribution des certificats X.509, et du NAC pour appliquer l'authentification IEEE 802.1X EAP-TLS, les organisations peuvent réaliser un provisionnement zero-touch, éliminer les voies de vol d'identifiants et appliquer un accès réseau dynamique basé sur la posture de l'appareil. Alors que l'accès public est géré via une solution dédiée de Guest WiFi , cette architecture sécurise les opérations critiques de l'arrière-guichet qui assurent le fonctionnement du site. Le résultat est une réduction spectaculaire des frais généraux informatiques, une conformité renforcée sous PCI-DSS et GDPR, et des principes zero-trust appliqués de manière proactive à la périphérie du réseau.
Analyse technique approfondie
L'architecture à trois niveaux
La sécurité réseau moderne repose sur l'identité cryptographique plutôt que sur les connaissances de l'utilisateur. La pile SCEP-NAC-MDM fonctionne sur trois niveaux principaux :
| Niveau | Composants | Fonction |
|---|---|---|
| Gestion des appareils | MDM / UEM | Autorité centrale pour la configuration, la conformité et le cycle de vie des appareils |
| Identité et émission | PKI / SCEP / CA | Génère, émet et gère les certificats numériques |
| Application des accès | NAC / RADIUS | Évalue les certificats et la posture de l'appareil avant d'accorder l'accès au réseau |
Ces niveaux ne sont pas séquentiels - ils fonctionnent dans une boucle de rétroaction continue. Le MDM informe le NAC de l'état de conformité en temps réel, tandis que le NAC peut déclencher des flux de remédiation MDM lorsqu'un appareil échoue à un contrôle de posture.
Comment SCEP automatise la PKI à grande échelle
Le déploiement manuel de certificats est impossible sur le plan opérationnel à grande échelle. Un parc de 500 appareils nécessiterait qu'un administrateur informatique génère, signe et installe un certificat X.509 individuel sur chaque appareil - un processus prenant plusieurs minutes par appareil et introduisant un risque important d'erreur humaine. SCEP élimine complètement cela.
Lorsqu'un appareil s'enrôle dans le MDM, le MDM pousse un profil de configuration contenant une charge utile SCEP. La charge utile indique à l'appareil de générer localement une paire de clés - de manière cruciale, la clé privée ne quitte jamais l'appareil - et de soumettre une demande de signature de certificat (CSR) au serveur SCEP. Le serveur SCEP (généralement le service d'enregistrement d'appareils réseau (NDES) de Microsoft ou un équivalent basé sur le cloud) valide la demande auprès du MDM pour confirmer que l'appareil est autorisé. Il transmet ensuite la CSR à l'autorité de certification (CA), qui émet le certificat X.509 signé. Le certificat est renvoyé à l'appareil et installé dans son enclave sécurisée ou son magasin de clés système.
L'ensemble du processus se déroule de manière invisible, à distance, sans aucune interaction de l'utilisateur. Pour un déploiement de 1 000 appareils, l'ensemble du parc de certificats peut être provisionné dans les heures qui suivent la fin de l'enrôlement dans le MDM.
NAC et 802.1X EAP-TLS : la couche d'application
Une fois qu'un appareil détient un certificat valide, il tente de se connecter au SSID de l'entreprise ou au port filaire en utilisant la norme IEEE 802.1X. Le point d'accès ou le commutateur agit comme authentificateur, transmettant la demande à un serveur RADIUS régi par le moteur de politique du NAC. La méthode EAP la plus sécurisée est EAP-TLS, qui requiert une authentification mutuelle - le client et le serveur RADIUS doivent tous deux présenter des certificats valides, ce qui empêche les attaques de type homme du milieu via des points d'accès frauduleux. Le NAC effectue plusieurs vérifications critiques à la suite :
- Validation cryptographique : Le certificat est-il mathématiquement valide et signé par une CA racine de confiance ?
- Vérification de la révocation : Le certificat figure-t-il sur une liste de révocation de certificats (CRL) ou est-il signalé via le protocole d'état de certificat en ligne (OCSP) ?
- Évaluation de la posture : En interrogeant le MDM via API, le NAC demande : L'appareil est-il conforme ? Le système d'exploitation est-il au niveau de correctif requis ? Le chiffrement du disque est-il activé ?
Si toutes les vérifications réussissent, le NAC envoie un message RADIUS Access-Accept, contenant généralement des attributs spécifiques au fournisseur (VSA) qui attribuent dynamiquement l'appareil à un VLAN spécifique ou appliquent des listes de contrôle d'accès (ACL). Les appareils non conformes sont placés dans un VLAN de remédiation avec des autorisations limitées - généralement juste assez pour déclencher des flux de travail de remédiation gérés par le MDM.
Segmentation du réseau invité
Dans n'importe quel environnement de site, l'infrastructure d'entreprise doit être strictement isolée des réseaux publics. La plateforme Guest WiFi fonctionne entièrement sur des SSID et des VLAN distincts, sans chemin routé vers les ressources de l'entreprise. L'architecture SCEP-NAC régit le niveau de l'entreprise ; le niveau des invités est contrôlé par l'authentification par Captive Portal et les flux de capture de données. Pour les sites déployant WiFi Analytics , cette ségrégation est une condition préalable - les données analytiques transitent par le réseau d'invités, tandis que les données opérationnelles transitent par le réseau d'entreprise authentifié par certificat. Pour plus d'informations sur l'architecture RF sous-jacente qui prend en charge les deux réseaux, consultez le Guide des fréquences WiFi : Un guide 2026 des fréquences WiFi .
Guide d'implémentation
Le déploiement de cette architecture nécessite un séquençage minutieux pour éviter de bloquer les utilisateurs légitimes pendant la transition.
Étape 1 : Préparation de la PKI et du SCEP
Établissez une PKI interne robuste ou exploitez un service de PKI managée (mPKI) basé sur le cloud. Déployez et sécurisez le serveur SCEP - si vous utilisez Microsoft NDES, assurez-vous qu'il fonctionne sur un serveur dédié plutôt que d'être co-localisé avec l'autorité de certification. Configurez le serveur SCEP pour utiliser des mots de passe de défi dynamiques générés par appareil par le MDM, plutôt qu'un secret partagé statique. Cela empêche les demandes de certificat non autorisées si l'URL SCEP est découverte.
Étape 2 : Configuration du MDM
Créez la charge utile SCEP dans votre plateforme MDM. Définissez soigneusement les champs Subject Alternative Name (SAN) - le SAN doit contenir des identifiants uniques (tels que le numéro de série de l'appareil ou l'UPN de l'utilisateur) que le NAC utilisera pour les décisions de politique. Transmettez d'abord le profil à un groupe pilote d'appareils de l'équipe informatique, et validez l'ensemble du flux d'enrôlement avant tout déploiement plus large.
Étape 3 : Configuration du NAC et de RADIUS
Configurez votre NAC pour qu'il fasse confiance à l'autorité de certification racine qui a émis les certificats clients. Installez un certificat de serveur sur le serveur RADIUS pour l'authentification mutuelle EAP-TLS. Définissez des politiques d'accès basées sur les attributs de certificat et le statut de conformité MDM. Implémentez des règles d'attribution dynamique de VLAN : les appareils d'entreprise conformes vers le VLAN d'entreprise, les appareils non conformes vers le VLAN de remédiation, et les appareils IoT vers un VLAN dédié et restreint à Internet.
Étape 4 : Intégration de l'infrastructure réseau
Configurez les commutateurs et les points d'accès sans fil pour le 802.1X. Pour les scénarios avec du matériel de point de vente hérité dans les environnements de retail , ou des contrôleurs de chambre intelligents dans les sites de hospitality , implémentez le MAC Authentication Bypass (MAB) comme solution de repli pour les appareils qui ne peuvent pas participer à l'EAP-TLS. Restreignez le MAB à des ports de commutateur spécifiques et assurez-vous que la base de données d'adresses MAC est étroitement contrôlée. Pour les environnements de healthcare et de transport , configurez des règles d'évaluation de la posture pour répondre aux exigences de conformité spécifiques au secteur.
Étape 5 : Déploiement parallèle et transition
Ne basculez jamais immédiatement. Diffusez le nouveau SSID 802.1X en parallèle avec le réseau existant. Poussez le nouveau profil WiFi via le MDM. Surveillez l'adoption et résolvez les échecs d'enrôlement. Une fois que plus de 95 % des appareils s'authentifient avec succès sur le nouveau SSID, déclassez l'ancien réseau.
Bonnes Pratiques
Exigez l'EAP-TLS. N'acceptez jamais l'EAP-PEAP ou l'EAP-TTLS comme méthode d'authentification principale pour les appareils de l'entreprise. Ces méthodes reposent sur des identifiants nom d'utilisateur/mot de passe à l'intérieur d'un tunnel TLS et restent vulnérables au vol d'identifiants. L'EAP-TLS élimine entièrement cette surface d'attaque.
Mettez en œuvre la révocation en temps réel. Les téléchargements planifiés de CRL créent des fenêtres d'exposition. Configurez le NAC pour effectuer des vérifications OCSP en temps réel. Lorsqu'un appareil est signalé comme perdu ou volé, révoquez le certificat auprès de l'AC et l'appareil perd l'accès au réseau lors de sa prochaine tentative d'authentification - ou immédiatement, si le Change of Authorisation (CoA) est implémenté.
Définissez des périodes de validité de certificat raisonnables. Une période de validité d'un an, avec un renouvellement SCEP automatisé déclenché 30 jours avant l'expiration, est la norme de l'industrie. Une validité plus longue augmente la fenêtre d'exposition en cas de compromission d'un certificat ; une validité plus courte augmente le risque d'échecs de renouvellement entraînant des pannes.
Segmentez rigoureusement l'IoT. Les appareils IoT ne doivent jamais partager un VLAN avec les terminaux de l'entreprise. Utilisez le NAC pour appliquer des ACL strictes sur le VLAN IoT, en autorisant uniquement les protocoles et destinations spécifiques requis par chaque classe d'appareils. Pour les sites déployant des services de localisation, consultez Indoor WiFi Positioning Systems: How They Work and How to Deploy Them pour savoir comment l'infrastructure de positionnement s'intègre dans l'architecture réseau globale.
Alignez-vous sur le WPA3. Lorsque le matériel le prend en charge, configurez les SSID d'entreprise pour utiliser le WPA3-Enterprise, qui impose les Protected Management Frames (PMF) et offre une protection cryptographique plus forte que le WPA2. Pour plus de détails sur la façon dont cela s'intègre dans le paysage de la connectivité d'entreprise au sens large, consultez SD-WAN vs MPLS: A 2026 Guide to Enterprise Networking .
Dépannage et Atténuation des Risques
| Mode de défaillance | Cause racine | Atténuation |
|---|---|---|
| Les appareils échouent à l'EAP-TLS après le renouvellement du certificat | Échec silencieux du renouvellement SCEP | Surveillez les journaux du serveur SCEP ; configurez des alertes pour les soumissions de CSR échouées |
| La validation du certificat échoue en raison d'un décalage d'horloge | Mauvaise configuration NTP | Imposez la synchronisation NTP sur tous les terminaux et infrastructures |
| Les appareils IoT ne peuvent pas s'authentifier | Pas de suppliant 802.1X | Implémentez le MAB avec des contrôles stricts d'adresses MAC et un VLAN isolé |
| Verrouillage massif des appareils après la migration de l'AC | L'AC racine existante n'est pas approuvée par le NAC | Échelonnez les migrations d'AC ; ajoutez la nouvelle AC racine au magasin de confiance du NAC avant de révoquer l'ancienne |
| Les appareils révoqués conservent l'accès au réseau | Révocation par CRL uniquement avec de longs intervalles de téléchargement | Implémentez l'OCSP et le CoA pour une révocation en temps réel |
Pour les appareils IoT spécifiques basés sur BLE, l'architecture d'authentification diffère de celle des terminaux connectés en WiFi. Consultez Le BLE Low Energy expliqué pour l'entreprise pour connaître les considérations de sécurité spécifiques qui s'appliquent à l'infrastructure Bluetooth Low Energy.
ROI et impact commercial
L'analyse de rentabilité de l'intégration SCEP-NAC-MDM est simple lorsqu'elle est mesurée par rapport au coût des alternatives.
| Métrique | Avant implémentation | Après implémentation |
|---|---|---|
| Tickets du centre de services IT (accès réseau) | Élevé - réinitialisations de mots de passe, rotations de clés | Presque nul - cycle de vie des certificats automatisé |
| Temps moyen de révocation d'un appareil compromis | Heures (processus manuel) | Secondes (OCSP + CoA) |
| Conformité du contrôle d'accès PCI DSS | Manuel, lourd en audits | Automatisé, appliqué en continu |
| Temps d'intégration BYOD | 15 à 30 minutes par appareil | Moins de 5 minutes sans aucune intervention du service IT |
Pour un parc de 500 appareils, l'élimination de la gestion manuelle des certificats et des tickets de support liés aux mots de passe réduit généralement les frais généraux de support IT liés au réseau de 25 à 35 %. La valeur de l'atténuation des risques - éviter une seule faille de sécurité liée à des identifiants - dépasse régulièrement le coût total de mise en œuvre. Pour les organisations du secteur public et de la santé soumises au GDPR, la capacité à démontrer un contrôle d'accès automatisé et auditable constitue un atout de conformité majeur.
Définitions clés
SCEP (Simple Certificate Enrollment Protocol)
Un protocole qui automatise l'émission et la révocation de certificats numériques sur les appareils sans intervention de l'utilisateur, agissant comme couche de communication entre la plateforme MDM et l'Autorité de Certification.
Utilisé par les plateformes MDM pour déployer de manière transparente des certificats X.509 sur des milliers de terminaux à grande échelle. Les équipes informatiques rencontrent le protocole SCEP lors de la configuration des profils MDM pour l'authentification WiFi 802.1X.
NAC (Network Access Control)
Une solution de sécurité qui applique des politiques aux appareils cherchant à accéder à l'infrastructure réseau, en évaluant les identifiants d'authentification, la validité du certificat et l'état de conformité de l'appareil avant d'accorder l'accès.
Agit comme le gardien à la périphérie du réseau. Les équipes informatiques configurent les politiques NAC pour définir quels appareils accèdent à quels VLANs en fonction des attributs de leur certificat et de leur état de conformité MDM.
MDM (Mobile Device Management)
Logiciel utilisé par les services informatiques pour surveiller, gérer et sécuriser les terminaux des employés sur plusieurs systèmes d'exploitation, servant de source unique de vérité pour l'identité et la conformité des appareils.
L'initiateur du processus d'enrôlement SCEP et la source des données de conformité interrogées par le NAC. Sans intégration MDM, le NAC ne peut pas effectuer de contrôle d'accès basé sur la conformité.
IEEE 802.1X
Une norme IEEE pour le contrôle d'accès réseau basé sur les ports (NAC) qui fournit un mécanisme d'authentification aux appareils souhaitant se connecter à un LAN ou un WLAN, exigeant une authentification réussie avant l'ouverture du port.
Le protocole sous-jacent qui oblige les appareils à s'authentifier avant que le commutateur ou le point d'accès n'autorise le passage du trafic. Configuré à la fois sur l'infrastructure réseau et sur le suppliant 802.1X de l'appareil.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
La norme EAP la plus sécurisée, nécessitant une authentification mutuelle où le terminal client et le serveur RADIUS doivent tous deux présenter des certificats numériques valides, éliminant ainsi les attaques sur les identifiants basés sur des mots de passe.
La référence absolue en matière de sécurité sans fil pour les entreprises. Les architectes informatiques devraient imposer EAP-TLS plutôt que PEAP ou TTLS dès lors qu'une infrastructure de certificats d'appareils est en place.
CSR (Certificate Signing Request)
Un bloc de texte codé généré par un appareil contenant sa clé publique et ses informations d'identité, soumis à l'Autorité de Certification pour demander un certificat X.509 signé.
Généré automatiquement par l'appareil lors du processus d'enrôlement SCEP. La clé privée correspondant au CSR ne quitte jamais l'appareil, garantissant que le certificat ne peut pas être dupliqué.
MAB (MAC Authentication Bypass)
Une méthode d'authentification de secours où le réseau utilise l'adresse MAC matérielle de l'appareil comme identifiant, utilisée pour les appareils dépourvus de capacité de suppliant 802.1X.
Utilisé pour les anciens appareils IoT tels que les imprimantes, les capteurs et les contrôleurs de salles intelligentes qui ne peuvent pas participer à EAP-TLS. Doit toujours se traduire par une affectation à un VLAN hautement restreint.
OCSP (Online Certificate Status Protocol)
Un protocole Internet utilisé pour obtenir en temps réel le statut de révocation d'un certificat numérique X.509, offrant une alternative au téléchargement et à l'analyse des listes de révocation de certificats.
Critique pour les systèmes NAC qui doivent bloquer immédiatement l'accès au réseau lorsqu'un appareil est compromis ou signalé volé. L'OCSP fournit un statut en temps réel, contrairement aux téléchargements de listes CRL qui créent une fenêtre de vulnérabilité avant la révocation.
CoA (Change of Authorization)
Une extension RADIUS (RFC 5176) qui permet au NAC de modifier ou de terminer dynamiquement une session réseau active sans attendre l'expiration de la session ou la ré-authentification de l'appareil.
Utilisé pour déconnecter immédiatement un appareil lorsque son certificat est révoqué ou que son statut de conformité MDM change. Essentiel pour l'application du zero-trust en temps réel.
Exemples concrets
Un complexe hôtelier de luxe de 500 chambres doit sécuriser le réseau opérationnel de ses services internes. Le personnel utilise des tablettes partagées pour la gestion du ménage, et la direction utilise des ordinateurs portables d'entreprise. Le réseau WPA2-PSK actuel a subi plusieurs fuites de clé pré-partagée, entraînant deux incidents de sécurité au cours de l'année écoulée. Comment l'équipe informatique doit-elle passer à une authentification par certificat sans perturber les opérations ?
Phase 1 - Préparation (Semaines 1-2) : Déployez une solution RADIUS/NAC basée sur le cloud et intégrez-la au MDM existant. Configurez un profil SCEP dans le MDM pour envoyer des certificats basés sur les appareils à l'ensemble des tablettes et ordinateurs portables. Utilisez des certificats basés sur les appareils (liés au numéro de série de l'appareil) plutôt que des certificats basés sur l'utilisateur, afin que les tablettes partagées s'authentifient automatiquement, quel que soit le membre du personnel qui les utilise. Phase 2 - Déploiement parallèle (Semaines 3-4) : Diffusez un nouvel SSID masqué configuré pour 802.1X EAP-TLS. Transmettez le nouveau profil WiFi via le MDM à tous les appareils enregistrés. Surveillez le tableau de bord du NAC pour vérifier la réussite des authentifications. Phase 3 - Transition (Semaine 5) : Une fois que plus de 95 % des appareils sont connectés au nouvel SSID, désactivez l'ancien réseau WPA2-PSK. Supprimez l'ancienne PSK de toute la documentation et de tous les points d'accès.
Une chaîne nationale de vente au détail déploie 3 000 nouveaux terminaux de point de vente dans 150 magasins. L'équipe de sécurité impose une segmentation de réseau stricte PCI-DSS et un accès zero-trust. Le calendrier de déploiement est de 8 semaines. Comment SCEP et NAC facilitent-ils cela à grande échelle sans nécessiter de personnel informatique dans chaque magasin ?
Pré-déploiement : Le fournisseur des terminaux de point de vente pré-enregistre les 3 000 appareils dans le MDM du détaillant à l'aide du programme d'enregistrement sans contact du fournisseur. Le MDM est configuré avec un profil SCEP qui s'activera automatiquement lors du premier démarrage. Déploiement : Lorsqu'un terminal de point de vente est mis sous tension dans le magasin, il se connecte à un SSID temporaire d'intégration (internet uniquement, pas d'accès à l'entreprise). Le profil MDM est transmis, la charge utile SCEP s'active, et l'appareil demande et reçoit son certificat X.509 de l'autorité de certification. Le MDM transmet ensuite le profil WiFi de l'entreprise. Accès réseau : Lorsque le point de vente se connecte au port du commutateur du magasin, le commutateur lance l'authentification 802.1X. Le NAC valide le certificat, interroge le MDM pour confirmer que le point de vente est conforme (chiffrement activé, agent MDM actif, aucun jailbreak détecté) et attribue dynamiquement le port du commutateur au VLAN PCI-DSS. Le point de vente est maintenant opérationnel. Aucun personnel informatique n'a été requis dans le magasin.
Questions d'entraînement
Q1. Votre organisation migre de WPA2-Enterprise avec PEAP-MSCHAPv2 vers EAP-TLS. Pendant la phase pilote, les ordinateurs portables Windows et les iPhones se connectent avec succès, mais 200 scanners de codes-barres d'entrepôt échouent à s'authentifier. Les scanners prennent en charge le 802.1X mais ne peuvent pas traiter le payload SCEP du MDM - ils fonctionnent sous un système d'exploitation embarqué propriétaire sans support d'agent MDM. Quelle est la solution d'architecture la plus sécurisée qui maintient la segmentation du réseau sans nécessiter le remplacement des scanners ?
Conseil : Envisagez d'autres mécanismes de distribution de certificats qui ne nécessitent pas d'agent MDM, et quels contrôles de segmentation réseau devraient s'appliquer aux appareils qui ne peuvent pas participer à une évaluation complète de leur posture.
Voir la réponse type
Puisque les scanners prennent en charge le 802.1X mais pas le SCEP ou l'enrôlement MDM, l'approche la plus sécurisée consiste à provisionner manuellement les certificats d'appareil en utilisant un modèle de certificat dédié avec un profil d'utilisation de clé restreint. Les certificats sont installés une fois lors d'une fenêtre de maintenance. Le NAC est configuré pour accepter ces certificats mais assigner les scanners à un VLAN d'opérations d'entrepôt dédié avec des ACL strictes - et non au VLAN d'entreprise complet - car l'évaluation de la posture n'est pas possible. Alternativement, si le provisionnement manuel des certificats est impossible à gérer à grande échelle, configurez le MAB comme solution de secours spécifiquement pour les OUI MAC du matériel des scanners, le NAC les assignant à ce même VLAN restreint. Documentez cela comme une exception connue dans votre registre des risques et planifiez le remplacement des scanners lors du prochain cycle de renouvellement du matériel.
Q2. Un responsable de la sécurité réseau remarque que lorsqu'un employé signale le vol d'un ordinateur portable, le MDM envoie une commande d'effacement à distance, mais l'appareil reste connecté au WiFi de l'entreprise pendant une durée allant jusqu'à 12 heures - le délai d'expiration actuel de la session RADIUS. Pendant cette fenêtre, l'appareil pourrait être utilisé pour exfiltrer des données. Comment modifier l'architecture pour interrompre immédiatement l'accès au réseau dès qu'un appareil est signalé comme volé ?
Conseil : Le NAC doit être informé instantanément du changement de statut plutôt que d'attendre le prochain cycle d'authentification. Envisagez à la fois le mécanisme de terminaison de session et le mécanisme de prévention de ré-authentification.
Voir la réponse type
Mettez en œuvre deux contrôles complémentaires. Tout d'abord, configurez le MDM pour qu'il envoie un webhook au NAC dès qu'un appareil est marqué comme perdu ou volé. Le NAC envoie ensuite un message de déconnexion RADIUS Change of Authorization (CoA) (Disconnect-Request) au point d'accès ou au port de commutateur spécifique, mettant fin immédiatement à la session active. Deuxièmement, révoquez le certificat de l'appareil dans l'AC et assurez-vous que le NAC est configuré pour une vérification OCSP en temps réel plutôt qu'une révocation basée sur des CRL. Cela signifie que même si l'appareil se reconnecte avant que la CoA ne soit traitée, l'authentification EAP-TLS échouera lors de la vérification OCSP. Les deux contrôles combinés réduisent la fenêtre d'exposition de 12 heures à moins de 60 secondes.
Q3. Lors d'un audit de sécurité du réseau d'un grand centre de conférence, il est découvert que le serveur SCEP est exposé sur l'internet public en utilisant un mot de passe de défi statique pour permettre l'enrôlement des appareils à distance. L'auditeur signale cela comme une vulnérabilité critique. Comment l'architecture du processus d'enrôlement SCEP devrait-elle être repensée pour maintenir la possibilité d'enrôlement à distance tout en éliminant le risque lié au mot de passe statique ?
Conseil : Le serveur SCEP doit pouvoir vérifier que l'appareil demandant un certificat est réellement autorisé par le MDM, sans s'appuyer sur un secret partagé qui pourrait être extrait d'un appareil ou intercepté.
Voir la réponse type
Remplacez le mot de passe de test statique par des mots de passe de test uniques et dynamiques, générés par appareil par le MDM. Le flux de travail devient le suivant : (1) Le MDM génère un mot de passe de test unique et limité dans le temps pour chaque appareil lors de l'enrôlement. (2) Le MDM inclut ce test dans la charge utile SCEP poussée vers l'appareil. (3) L'appareil inclut le test dans sa CSR. (4) Le serveur SCEP valide le test auprès du MDM via API avant de transmettre la CSR à l'AC. (5) Le test est invalidé immédiatement après utilisation. Cela garantit que seuls les appareils gérés par le MDM peuvent obtenir un certificat avec succès, et que même si l'URL SCEP est découverte, un attaquant ne peut pas générer de certificats valides sans un test unique valide. De plus, limitez le serveur SCEP au protocole HTTPS uniquement et implémentez une liste d'autorisation d'adresses IP pour les adresses de sortie du MDM lorsque cela est possible.
Continuer la lecture de cette série
Staff WiFi vs. Guest WiFi : meilleures pratiques pour la segmentation des réseaux d'entreprise
Un guide technique complet destiné aux leaders de l'informatique sur la segmentation des réseaux WiFi pour le personnel et les invités. Il couvre l'architecture VLAN, l'authentification 802.1X, les politiques de pare-feu et l'impact commercial d'une conception de réseau sécurisée.
Solutions WiFi pour appartements : un guide complet pour les entreprises
Ce guide couvre l'architecture, le déploiement et l'analyse de rentabilité des solutions WiFi pour appartements dans l'immobilier locatif géré (Build to Rent) et les résidences collectives. Il explique comment la technologie iPSK (Identity Pre-Shared Key) crée des bulles de réseau sécurisées et isolées pour chaque résident tout en prenant en charge les appareils intelligents et l'IoT. Les promoteurs immobiliers, les propriétaires et les opérateurs de BTR y trouveront des conseils de déploiement pratiques, des données sur le ROI et des scénarios de mise en œuvre concrets.
Cox business managed WiFi : un guide complet pour les entreprises
Ce guide détaille comment les promoteurs immobiliers et les opérateurs BTR peuvent déployer des réseaux évolutifs et sécurisés grâce à Cox Business managed WiFi. Il couvre l'architecture réseau, le déploiement de matériel indépendant du fournisseur, et l'impact commercial de la transition d'une connectivité complexe vers une infrastructure fiable.