Le guide de l'entreprise sur SCEP : Déployer Simple Certificate Enrollment Protocol pour une sécurité WiFi automatisée des campus

Bonjour. Si vous gérez une infrastructure WiFi pour un groupe hôtelier, un parc de points de vente, un stade ou un campus universitaire, cette présentation vous est destinée. Nous allons aborder SCEP - Simple Certificate Enrollment Protocol - et plus particulièrement la manière dont il résout l'un des problèmes les plus persistants du WiFi d'entreprise : l'installation automatique de certificats sur des milliers d'appareils, sans que votre centre de support ne soit submergé de tickets. [short pause] Permettez-moi de planter le décor. Vous avez décidé - à juste titre - que les clés pré-partagées ne sont plus acceptables pour le WiFi du personnel. Un seul mot de passe compromis expose l'ensemble de votre segment réseau. Vous êtes passé, ou vous êtes en train de passer, à l'authentification 802.1X. C'est la norme IEEE qui exige que chaque appareil prouve son identité avant d'obtenir un accès au réseau. La version la plus sécurisée de 802.1X est EAP-TLS - Extensible Authentication Protocol avec Transport Layer Security - qui utilise des certificats numériques plutôt que des mots de passe. Les certificats sont cryptographiquement uniques par appareil, ils ne peuvent pas être partagés et ils peuvent être révoqués instantanément si un appareil est perdu ou si un employé quitte l'entreprise. [short pause] Jusqu'ici, tout va bien. Le problème est la distribution. Comment installer un certificat unique sur chaque ordinateur portable, chaque téléphone, chaque tablette de votre parc - que ce soit sous Windows, iOS, Android ou macOS - sans qu'un technicien n'ait à manipuler chaque appareil ? C'est précisément ce que SCEP résout. [medium pause] Le protocole SCEP a été officialisé par l'Internet Engineering Task Force dans le RFC 8894 en 2020, bien qu'il soit utilisé dans les environnements d'entreprise depuis le début des années 2000. Il s'agit d'un protocole qui permet à un appareil géré de demander son propre certificat directement à votre autorité de certification, en utilisant une URL préconfigurée et un mot de passe de défi. Le point de sécurité critique ici : la clé privée est générée sur l'appareil lui-même, stockée dans l'enclave sécurisée de l'appareil - c'est-à-dire la puce TPM sur les appareils Windows, ou la Secure Enclave sur le matériel Apple - et elle ne transite jamais sur le réseau. L'appareil génère une demande de signature de certificat, l'envoie à la passerelle SCEP, la passerelle valide le défi, transmet la demande à votre autorité de certification, l'AC la signe et le certificat signé est renvoyé à l'appareil. Tout ce processus est invisible pour l'utilisateur final. [short pause] Désormais, dans un environnement Microsoft, la passerelle SCEP est généralement NDES - Network Device Enrollment Service - un rôle Windows Server qui sert d'intermédiaire entre votre plateforme MDM et votre AC. Microsoft Intune pousse le profil SCEP vers les appareils gérés, ce qui leur indique l'URL NDES et le mot de passe de défi. Les appareils font le reste automatiquement. [medium pause] Laissez-moi vous expliquer à quoi ressemble un déploiement réel. Prenons l'exemple d'un groupe hôtelier comptant 150 établissements - pensez à l'échelle de Premier Inn. Ils disposent d'un parc mixte composé d'ordinateurs portables Windows pour le personnel d'accueil, d'appareils iOS pour les superviseurs du service d'étage et de tablettes Android pour les points de vente du restaurant. Avant SCEP, ils utilisaient WPA2-Personal avec un mot de passe partagé renouvelé chaque trimestre. Chaque renouvellement générait une vague d'appels au support technique. Avec SCEP et Intune, ils déploient trois profils de manière séquentielle. Tout d'abord, le profil de certificat racine de confiance - il indique à chaque appareil de faire confiance à l'autorité de certification de l'entreprise. Deuxièmement, le profil de certificat SCEP - il ordonne aux appareils d'aller récupérer leur certificat client unique. Troisièmement, le profil WiFi - il configure l'SSID, définit le type de sécurité sur WPA2-Enterprise ou WPA3-Enterprise, et pointe vers le certificat SCEP pour l'authentification. Déployez ces trois profils sur le même groupe d'appareils dans Intune, et chaque appareil géré se connecte automatiquement à l'SSID de l'entreprise, avec un certificat unique, sans aucune interaction de l'utilisateur requise. [short pause] Le serveur RADIUS - généralement Microsoft NPS ou un service RADIUS dans le cloud - reçoit la demande d'authentification EAP-TLS, valide le certificat auprès de l'autorité de certification, vérifie la liste de révocation des certificats et accorde ou refuse l'accès. Si un employé quitte l'entreprise, vous révoquez son certificat dans l'autorité de certification. Son appareil perd l'accès au WiFi lors du cycle d'authentification suivant. Aucun changement de mot de passe n'est requis. Pas besoin d'attendre le renouvellement trimestriel. [medium pause] Maintenant, on nous interroge souvent sur la différence entre SCEP et PKCS - Public Key Cryptography Standards. Les deux fonctionnent avec Intune. La différence fondamentale réside dans l'endroit où la clé privée est générée. Avec SCEP, elle est générée directement sur l'appareil. Avec PKCS, l'autorité de certification génère les deux clés de manière centralisée et envoie la clé privée à l'appareil. Cela signifie que la clé privée transite sur le réseau, ce qui introduit un risque théorique d'interception. Le PKCS a sa place - il est mieux adapté au chiffrement des e-mails S/MIME pour lequel le séquestre des clés est important. Pour l'authentification WiFi, SCEP est le bon choix. À chaque fois. [short pause] Laissez-moi vous présenter un second scénario - un réseau de points de vente. Imaginez une marque de prêt-à-porter avec 200 magasins au Royaume-Uni, chacun équipé de points d'accès Cisco Meraki. Leurs systèmes de point de vente fonctionnent sous Windows et sont gérés via Intune. Ils ont besoin de la conformité PCI-DSS, ce qui implique une segmentation du réseau et une authentification forte pour tout appareil traitant les données des titulaires de cartes. L'EAP-TLS basé sur SCEP leur offre une authentification au niveau de l'appareil sur l'SSID du personnel, avec une attribution de VLAN dictée par la politique RADIUS. Les terminaux de point de vente se connectent automatiquement au VLAN dédié au périmètre PCI. Le WiFi invité - géré séparément via une plateforme comme Purple - fonctionne sur un SSID complètement isolé avec son propre flux d'authentification. Les deux réseaux ne se croisent jamais. Les auditeurs sont satisfaits. L'équipe de sécurité dort plus sereinement. [medium pause] Bien, parlons maintenant des pièges, car il y en a quelques-uns qui piègent souvent les équipes. [short pause] Le mode de défaillance le plus courant est l'incohérence du ciblage de groupe dans Intune. Votre profil de Racine de confiance, votre profil SCEP et votre profil WiFi doivent tous cibler le même groupe Microsoft Entra ID. Si le profil SCEP cible un groupe d'utilisateurs et que le profil WiFi cible un groupe d'appareils, Intune ne peut pas résoudre la dépendance et le profil WiFi s'affiche en erreur. Vérifiez vos affectations en premier - c'est presque toujours la cause du problème. [short pause] Deuxième piège : la disponibilité du serveur NDES. Votre serveur NDES doit être accessible depuis Internet pour que les appareils distants puissent s'enregistrer avant leur arrivée sur site. La méthode la plus sécurisée consiste à utiliser Azure AD Application Proxy, qui vous offre un accès à distance sans ouvrir de ports de pare-feu entrants. N'exposez pas directement NDES à Internet. [short pause] Troisième : la disponibilité de la CRL. Votre serveur RADIUS vérifie la liste de révocation des certificats à chaque fois qu'un appareil s'authentifie. Si le point de distribution de la CRL est inaccessible - par exemple si un serveur est en panne ou si une règle de pare-feu a changé - l'authentification échoue pour tout le monde. Rendez vos points de terminaison de CRL hautement disponibles et testez-les régulièrement. [short pause] Quatrième : les autorisations des modèles de certificat. Si le compte de service de votre connecteur NDES ne dispose pas des autorisations de lecture et d'inscription sur le modèle de certificat, les appareils reçoivent des erreurs HTTP 403 lorsqu'ils tentent de récupérer leur certificat. C'est une correction d'autorisations simple, mais elle est facile à oublier lors de la configuration initiale. [medium pause] Passons maintenant à une série de questions-réponses rapides. [short pause] Le protocole SCEP fonctionne-t-il avec des MDM non-Microsoft ? Oui - Jamf pour les parcs d'appareils Apple, VMware Workspace ONE et la plupart des plateformes MDM d'entreprise prennent en charge les profils SCEP. Le protocole est neutre vis-à-vis des éditeurs. [short pause] Le protocole SCEP fonctionne-t-il avec une PKI cloud ? Oui. La propre PKI cloud de Microsoft dans Intune Suite élimine complètement le besoin d'un serveur NDES sur site. Les fournisseurs de PKI cloud tiers comme SecureW2 et Keyfactor proposent également des points de terminaison SCEP cloud. [short pause] Qu'en est-il de WPA3-Enterprise ? WPA3-Enterprise utilise la même pile d'authentification 802.1X et EAP-TLS. Les certificats émis par SCEP fonctionnent de manière identique. La mise à niveau se situe au niveau du protocole sans fil, pas au niveau du certificat. [short pause] Quelle est la durée de validité des certificats ? Généralement un an, bien que vous puissiez configurer des périodes de validité plus courtes. Intune gère le renouvellement automatique avant l'expiration, de sorte que les utilisateurs ne subissent jamais d'interruption. [medium pause] En résumé. Le protocole SCEP automatise la distribution des certificats à grande échelle, éliminant ainsi la charge de travail manuelle liée au déploiement d'une PKI sur de grands parcs d'appareils. La clé privée reste sur l'appareil - c'est le fondement de la sécurité d'EAP-TLS. Déployez dans l'ordre : Racine de confiance en premier, profil SCEP en deuxième, profil WiFi en troisième, en ciblant tous le même groupe. Publiez votre point de terminaison NDES de manière sécurisée via Application Proxy. Maintenez vos points de terminaison de CRL hautement disponibles. Et si vous partez de zéro, évaluez une PKI cloud pour supprimer complètement la dépendance NDES sur site. [short pause] Pour le WiFi invité - le réseau distinct destiné aux visiteurs - l'authentification par certificat n'est pas le modèle approprié. Les invités n'ont pas d'appareils gérés. C'est là qu'une plateforme comme Purple gère le flux d'authentification : captive portal, connexion via les réseaux sociaux, collecte d'e-mails ou vérification par SMS, le tout alimentant une couche de données de première partie que votre équipe marketing peut réellement utiliser. Les deux approches se complètent : SCEP pour votre parc d'équipements gérés, Purple pour votre réseau invité. Les deux fonctionnent sur le même matériel, proprement segmentés par VLAN. [courte pause] Voilà pour votre briefing sur l'intégration WiFi d'entreprise SCEP. Le guide écrit complet, avec des schémas d'architecture, la configuration Intune étape par étape et des exemples concrets, est disponible sur le site web de Purple. Merci pour votre écoute.