Le rôle de SCEP et du NAC dans l'infrastructure MDM moderne
Ce guide propose une analyse technique complète de la manière dont SCEP et le NAC s'intègrent aux plateformes MDM pour offrir un accès réseau sécurisé et sans contact à l'échelle de l'entreprise. Il couvre l'ensemble de l'architecture, de la délivrance des certificats à l'application de la norme 802.1X, avec des scénarios de déploiement réels issus de l'hôtellerie et du commerce de détail. Conçu pour les responsables informatiques des grands sites qui doivent éliminer les vulnérabilités liées aux mots de passe, automatiser le provisionnement des appareils et répondre aux exigences de conformité dès ce trimestre.
Écouter ce guide
Voir la transcription du podcast
Résumé exécutif
Pour les sites d'entreprise — des stades de 80 000 places aux chaînes de vente au détail multi-sites — la sécurisation de la périphérie du réseau a dépassé de manière décisive les clés pré-partagées et la gestion manuelle des identifiants. La prolifération des terminaux d'entreprise, des appareils BYOD et de l'infrastructure IoT exige une architecture zero-trust qui évolue sans surcharger le support informatique.
Ce guide détaille l'architecture technique de l'intégration du protocole SCEP (Simple Certificate Enrollment Protocol) et du contrôle d'accès au réseau (NAC) avec l'infrastructure de gestion des appareils mobiles (MDM). En s'appuyant sur SCEP pour automatiser la distribution des certificats X.509 et sur le NAC pour appliquer l'authentification IEEE 802.1X EAP-TLS, les organisations peuvent réaliser un provisionnement sans contact, éliminer les vecteurs de vol d'identifiants et appliquer un accès réseau dynamique basé sur la posture de sécurité. Alors que l'accès public est géré via des solutions de Guest WiFi dédiées, cette architecture sécurise les opérations critiques d'arrière-guichet qui assurent le fonctionnement du site. Le résultat est une réduction mesurable des coûts informatiques, une meilleure conformité avec le PCI DSS et le GDPR, et une périphérie de réseau qui applique activement les principes du zero-trust.
Analyse technique approfondie
L'architecture à trois niveaux
La sécurité réseau moderne repose sur l'identité cryptographique plutôt que sur la connaissance de l'utilisateur. La pile SCEP-NAC-MDM fonctionne sur trois niveaux principaux :
| Niveau | Composant | Fonction |
|---|---|---|
| Gestion des appareils | MDM / UEM | Autorité centrale pour la configuration, la conformité et le cycle de vie des appareils |
| Identité & Émission | PKI / SCEP / CA | Génère, émet et gère les certificats numériques |
| Application de l'accès | NAC / RADIUS | Évalue les certificats et la posture de l'appareil avant d'accorder l'accès au réseau |
Ces niveaux ne sont pas séquentiels — ils fonctionnent dans une boucle de rétroaction continue. Le MDM informe le NAC de l'état de conformité en temps réel, et le NAC peut déclencher des flux de remédiation MDM lorsqu'un appareil échoue aux contrôles de posture.
Comment SCEP automatise la PKI à grande échelle
Le déploiement manuel de certificats est opérationnellement impossible à grande échelle. Un parc de 500 appareils nécessiterait qu'un administrateur informatique génère, signe et installe des certificats X.509 individuels sur chaque appareil — un processus qui prend plusieurs minutes par appareil et introduit un risque important d'erreur humaine. SCEP élimine complètement cela.
Lorsqu'un appareil s'enregistre dans le MDM, celui-ci pousse un profil de configuration contenant une charge utile SCEP. Cette charge utile demande à l'appareil de générer localement une paire de clés — de manière critique, la clé privée ne quitte jamais l'appareil — et de soumettre une demande de signature de certificat (CSR) au serveur SCEP. Le serveur SCEP, généralement le service d'enregistrement de certificats de réseau (NDES) de Microsoft ou un équivalent basé sur le cloud, valide la demande auprès du MDM pour confirmer que l'appareil est autorisé. Il transmet ensuite la CSR à l'autorité de certification (CA), qui émet le certificat X.509 signé. Le certificat est renvoyé à l'appareil et installé dans son enclave sécurisée ou dans le magasin de clés du système.
Tout ce processus se déroule de manière invisible, par liaison radio (over-the-air), avec zéro interaction de l'utilisateur. Pour un déploiement de 1 000 appareils, l'ensemble du parc de certificats peut être provisionné dans les heures qui suivent la fin de l'enregistrement MDM.
NAC et 802.1X EAP-TLS : La couche d'application
Une fois que l'appareil détient un certificat valide, il tente de se connecter au SSID de l'entreprise ou à un port filaire en utilisant la norme IEEE 802.1X. Le point d'accès ou le commutateur agit comme authentificateur, transmettant la demande au serveur RADIUS régi par le moteur de politique NAC. La méthode EAP la plus sécurisée est EAP-TLS, qui impose une authentification mutuelle — le client et le serveur RADIUS doivent tous deux présenter des certificats valides, empêchant ainsi les attaques de type "man-in-the-middle" via des points d'accès malveillants.
Le NAC effectue plusieurs vérifications critiques en séquence :
- Validation cryptographique : Le certificat est-il mathématiquement valide et signé par une CA racine de confiance ?
- Vérification de révocation : Le certificat figure-t-il sur une liste de révocation de certificats (CRL) ou est-il signalé via le protocole d'état de certificat en ligne (OCSP) ?
- Évaluation de la posture : En interrogeant le MDM via API, le NAC demande : L'appareil est-il conforme ? Le système d'exploitation est-il au niveau de correctif requis ? Le chiffrement du disque est-il activé ?
Si toutes les vérifications réussissent, le NAC envoie un message RADIUS Access-Accept, généralement accompagné d'attributs spécifiques au fournisseur (VSA) qui attribuent dynamiquement l'appareil à un VLAN spécifique ou appliquent une liste de contrôle d'accès (ACL). Un appareil non conforme est placé dans un VLAN de remédiation avec un accès limité — généralement juste assez pour déclencher un flux de travail de remédiation géré par le MDM.
Segmentation du réseau invité
Dans tout environnement d'établissement, l'infrastructure d'entreprise doit être strictement isolée des réseaux ouverts au public. Les plateformes de Guest WiFi fonctionnent sur des SSIDs et des VLANs entièrement distincts, sans aucun chemin de routage vers les ressources de l'entreprise. L'architecture SCEP-NAC régit la couche entreprise ; la couche invités est régie par l'authentification par Captive Portal et les flux de capture de données. Pour les établissements déployant WiFi Analytics , cette segmentation est un prérequis — les données analytiques transitent par le réseau invités, tandis que les données opérationnelles transitent par le réseau d'entreprise authentifié par certificat. Pour plus de contexte sur l'architecture de radiofréquence sous-jacente qui soutient ces deux réseaux, consultez Wi-Fi Frequencies: A Guide to Wi-Fi Frequencies in 2026 .
Guide d'implémentation
Le déploiement de cette architecture nécessite un séquençage minutieux afin d'éviter de bloquer les utilisateurs légitimes pendant la transition.
Étape 1 : Préparation de la PKI et du SCEP
Établissez une PKI interne robuste ou exploitez un service de PKI managée (mPKI) basé sur le cloud. Déployez et sécurisez le serveur SCEP — si vous utilisez Microsoft NDES, assurez-vous qu'il fonctionne sur un serveur dédié, et non co-hébergé avec l'autorité de certification (CA). Configurez le serveur SCEP pour utiliser des mots de passe de défi dynamiques, générés par appareil par le MDM, plutôt qu'un secret partagé statique. Cela empêche les demandes de certificats non autorisées si l'URL SCEP est découverte.
Étape 2 : Configuration du MDM
Créez la charge utile SCEP dans votre plateforme MDM. Définissez soigneusement les champs du nom alternatif du sujet (SAN) — le SAN doit contenir des identifiants uniques (tels que le numéro de série de l'appareil ou l'UPN de l'utilisateur) que le NAC utilisera pour les décisions de politique. Poussez d'abord le profil vers un groupe de test d'appareils de l'équipe informatique et validez l'ensemble du flux d'enrôlement avant un déploiement plus large.
Étape 3 : Configuration du NAC et de RADIUS
Configurez votre NAC pour faire confiance à la CA racine qui a émis les certificats clients. Installez un certificat de serveur sur le serveur RADIUS pour l'authentification mutuelle EAP-TLS. Définissez des politiques d'accès basées sur les attributs des certificats et le statut de conformité du MDM. Implémentez des règles d'attribution dynamique de VLAN : les appareils d'entreprise conformes vers le VLAN d'entreprise, les appareils non conformes vers le VLAN de remédiation, et les appareils IoT vers un VLAN dédié et restreint à Internet.
Étape 4 : Intégration de l'infrastructure réseau
Configurez les commutateurs et les points d'accès sans fil pour le 802.1X. Pour les environnements de Retail disposant de terminaux de point de vente existants ou les établissements de Hospitality équipés de contrôleurs de chambre intelligents, implémentez le contournement d'authentification MAC (MAB) comme solution de secours pour les appareils qui ne peuvent pas participer à l'EAP-TLS. Limitez le MAB à des ports de commutateur spécifiques et assurez-vous que la base de données d'adresses MAC est étroitement contrôlée. Pour les environnements de Healthcare et de Transport , les règles d'évaluation de la posture doivent être configurées pour répondre aux exigences de conformité spécifiques au secteur.
Étape 5 : Déploiement parallèle et transition
Ne procédez jamais à une transition immédiate. Diffusez le nouveau SSID 802.1X en parallèle avec le réseau existant. Poussez le nouveau profil WiFi via MDM. Surveillez l'adoption et résolvez les échecs d'enrôlement. Une fois que plus de 95 % des appareils sont authentifiés avec succès sur le nouveau SSID, décommissionnez l'ancien réseau.
Bonnes pratiques
Exigez l'EAP-TLS. N'acceptez jamais l'EAP-PEAP ou l'EAP-TTLS comme méthode d'authentification principale pour les appareils de l'entreprise. Ces méthodes reposent sur des identifiants nom d'utilisateur/mot de passe au sein d'un tunnel TLS, qui restent vulnérables au vol d'identifiants. L'EAP-TLS élimine entièrement cette surface d'attaque.
Mettez en œuvre la révocation en temps réel. Les téléchargements planifiés de CRL créent une fenêtre d'exposition. Configurez le NAC pour effectuer des vérifications OCSP en temps réel. Lorsqu'un appareil est signalé comme perdu ou volé, révoquez le certificat dans l'AC et l'appareil perd l'accès au réseau lors de la tentative d'authentification suivante — ou immédiatement si le changement d'autorisation (CoA) est implémenté.
Définissez des périodes de validité de certificat raisonnables. Une période de validité d'un an avec un renouvellement SCEP automatisé déclenché à 30 jours de l'échéance est la norme de l'industrie. Des périodes plus longues augmentent la fenêtre d'exposition si un certificat est compromis ; des périodes plus courtes augmentent le risque d'échecs de renouvellement entraînant des pannes.
Segmentez l'IoT de manière agressive. Les appareils IoT ne doivent jamais partager un VLAN avec les terminaux de l'entreprise. Utilisez le NAC pour appliquer des ACL strictes sur le VLAN IoT, en autorisant uniquement les protocoles et destinations spécifiques requis par chaque type d'appareil. Pour les sites déployant des services de localisation, consultez Indoor WiFi Positioning Systems: How They Work and How to Deploy Them pour comprendre comment l'infrastructure de positionnement s'intègre dans l'architecture réseau globale.
Alignez-vous sur le WPA3. Lorsque le matériel le permet, configurez le SSID de l'entreprise pour utiliser le WPA3-Enterprise, qui impose les trames de gestion protégées (PMF) et offre des protections cryptographiques plus fortes que le WPA2. Consultez SD-WAN vs MPLS: The 2026 Enterprise Network Guide pour voir comment cela s'intègre dans le schéma global de connectivité de l'entreprise.
Dépannage et atténuation des risques
| Mode de défaillance | Cause racine | Atténuation |
|---|---|---|
| Les appareils échouent à l'EAP-TLS après le renouvellement du certificat | Le renouvellement SCEP a échoué silencieusement | Surveillez les journaux du serveur SCEP ; configurez des alertes pour les soumissions de CSR échouées |
| Le décalage d'horloge entraîne l'échec de la validation du certificat | Mauvaise configuration NTP | Imposez la synchronisation NTP sur tous les terminaux et infrastructures |
| Les appareils IoT ne peuvent pas s'authentifier | Pas de suppliant 802.1X | Implémentez le MAB avec un contrôle strict des adresses MAC et un VLAN isolé |
| Verrouillage massif des appareils après la migration de l'AC | L'ancienne AC racine n'est pas approuvée par le NAC | Échelonnez les migrations d'AC ; ajoutez la nouvelle AC racine au magasin de confiance du NAC avant de révoquer l'ancienne |
| Un appareil révoqué conserve l'accès au réseau | Révocation par CRL uniquement avec un long intervalle de téléchargement | Implémentez l'OCSP et le CoA pour une révocation en temps réel |
Pour les appareils IoT basés sur le BLE spécifiquement, l'architecture d'authentification diffère des terminaux connectés en WiFi. Consultez Le BLE (Bluetooth Low Energy) expliqué pour l'entreprise pour connaître les considérations de sécurité spécifiques applicables à l'infrastructure Bluetooth Low Energy.
ROI et impact commercial
L'analyse de rentabilisation de l'intégration SCEP-NAC-MDM est simple lorsqu'elle est mesurée par rapport au coût des alternatives.
| Métrique | Avant implémentation | Après implémentation |
|---|---|---|
| Tickets d'assistance informatique (accès réseau) | Élevé — réinitialisations de mots de passe, rotations de clés | Proche de zéro — cycle de vie des certificats automatisé |
| Temps moyen pour révoquer un appareil compromis | Heures (processus manuel) | Secondes (OCSP + CoA) |
| Conformité du contrôle d'accès PCI DSS | Manuelle, exigeante en audits | Automatisée, appliquée en continu |
| Temps d'intégration du BYOD | 15 à 30 minutes par appareil | Moins de 5 minutes, aucune intervention informatique |
Pour un parc de 500 appareils, l'élimination de la gestion manuelle des certificats et des tickets d'assistance liés aux mots de passe permet généralement de réduire de 25 à 35 % les frais généraux de support informatique liés au réseau. La valeur de l'atténuation des risques — éviter une seule faille liée aux identifiants — dépasse généralement le coût total de l'implémentation. Pour les organisations du secteur public et de la santé soumises au GDPR, la capacité à démontrer un contrôle d'accès automatisé et auditable constitue un atout de conformité majeur.
Définitions clés
SCEP (Simple Certificate Enrollment Protocol)
Un protocole qui automatise l'émission et la révocation de certificats numériques sur les appareils sans intervention de l'utilisateur, agissant comme la couche de communication entre la plateforme MDM et l'Autorité de Certification.
Utilisé par les plateformes MDM pour déployer de manière transparente des certificats X.509 sur des milliers de terminaux à grande échelle. Les équipes informatiques rencontrent le SCEP lors de la configuration des profils MDM pour l'authentification WiFi 802.1X.
NAC (Network Access Control)
Une solution de sécurité qui applique des politiques aux appareils cherchant à accéder à l'infrastructure réseau, en évaluant les identifiants d'authentification, la validité du certificat et l'état de conformité de l'appareil avant d'accorder l'accès.
Agit comme le gardien à la périphérie du réseau. Les équipes informatiques configurent les politiques NAC pour définir quels appareils accèdent à quels VLAN en fonction des attributs de leur certificat et de leur statut de conformité MDM.
MDM (Mobile Device Management)
Logiciel utilisé par les services informatiques pour surveiller, gérer et sécuriser les terminaux des employés sur plusieurs systèmes d'exploitation, servant de source unique de vérité pour l'identité et la conformité des appareils.
L'initiateur du processus d'enrôlement SCEP et la source des données de posture interrogées par le NAC. Sans intégration MDM, le NAC ne peut pas effectuer de contrôle d'accès basé sur la posture.
IEEE 802.1X
Une norme IEEE pour le contrôle d'accès réseau basé sur les ports qui fournit un mécanisme d'authentification aux appareils souhaitant se connecter à un réseau LAN ou WLAN, nécessitant une authentification réussie avant l'ouverture du port.
Le protocole sous-jacent qui oblige les appareils à s'authentifier avant que le commutateur ou le point d'accès ne laisse passer le trafic. Configuré à la fois sur l'infrastructure réseau et sur le suppliant 802.1X de l'appareil.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
La norme EAP la plus sécurisée, exigeant une authentification mutuelle où l'appareil client et le serveur RADIUS doivent tous deux présenter des certificats numériques valides, éliminant ainsi les attaques basées sur les identifiants de mot de passe.
La référence absolue en matière de sécurité sans fil d'entreprise. Les architectes informatiques devraient imposer l'EAP-TLS au détriment de PEAP ou TTLS partout où une infrastructure de certificats d'appareils est en place.
CSR (Certificate Signing Request)
Un bloc de texte encodé généré par un appareil contenant sa clé publique et ses informations d'identité, soumis à l'Autorité de Certification pour demander un certificat X.509 signé.
Généré automatiquement par l'appareil lors du processus d'enrôlement SCEP. La clé privée correspondant au CSR ne quitte jamais l'appareil, garantissant que le certificat ne peut pas être dupliqué.
MAB (MAC Authentication Bypass)
Une méthode d'authentification de secours où le réseau utilise l'adresse MAC matérielle de l'appareil comme identifiant, utilisée pour les appareils qui ne disposent pas de la capacité de suppliant 802.1X.
Utilisé pour les appareils IoT hérités tels que les imprimantes, les capteurs et les contrôleurs de salle intelligents qui ne peuvent pas participer à l'EAP-TLS. Doit toujours entraîner l'attribution à un VLAN hautement restreint.
OCSP (Online Certificate Status Protocol)
Un protocole Internet utilisé pour obtenir le statut de révocation d'un certificat numérique X.509 en temps réel, offrant une alternative au téléchargement et à l'analyse des listes de révocation de certificats (CRL).
Crucial pour les systèmes NAC qui doivent bloquer immédiatement l'accès au réseau lorsqu'un appareil est compromis ou signalé comme volé. L'OCSP fournit un statut en temps réel ; les téléchargements de CRL créent un délai de latence pour la révocation.
CoA (Change of Authorization)
Une extension RADIUS (RFC 5176) qui permet au NAC de modifier ou de résilier dynamiquement une session réseau active sans attendre l'expiration de la session ou la réauthentification de l'appareil.
Utilisé pour déconnecter immédiatement un appareil lorsque son certificat est révoqué ou que son statut de conformité MDM change. Essentiel pour l'application du zero-trust en temps réel.
Exemples concrets
Un complexe hôtelier de luxe de 500 chambres doit sécuriser son réseau opérationnel d'arrière-guichet. Le personnel utilise des tablettes partagées pour la gestion du ménage, et la direction utilise des ordinateurs portables d'entreprise. Le réseau WPA2-PSK actuel a subi plusieurs fuites de clé prépartagée, entraînant deux incidents de sécurité au cours de l'année écoulée. Comment l'équipe informatique doit-elle assurer la transition vers une authentification par certificat sans perturber les opérations ?
Phase 1 — Préparation (Semaines 1–2) : Déployez une solution RADIUS/NAC basée sur le cloud et intégrez-la au MDM existant. Configurez un profil SCEP dans le MDM pour pousser des certificats basés sur les appareils vers toutes les tablettes et ordinateurs portables. Utilisez des certificats basés sur l'appareil (liés au numéro de série de l'appareil) plutôt que des certificats basés sur l'utilisateur, afin que les tablettes partagées s'authentifient automatiquement, quel que soit le membre du personnel qui les utilise. Phase 2 — Déploiement parallèle (Semaines 3–4) : Diffusez un nouveau SSID masqué configuré pour le 802.1X EAP-TLS. Poussez le nouveau profil WiFi via le MDM vers tous les appareils enregistrés. Surveillez le tableau de bord du NAC pour vérifier les authentifications réussies. Phase 3 — Transition (Semaine 5) : Une fois que plus de 95 % des appareils sont connectés au nouveau SSID, désactivez l'ancien réseau WPA2-PSK. Révoquez l'ancienne PSK de toute la documentation et de tous les points d'accès.
Une chaîne nationale de vente au détail déploie 3 000 nouveaux terminaux de point de vente dans 150 magasins. L'équipe de sécurité exige une segmentation stricte du réseau PCI DSS et un accès zero-trust. Le calendrier de déploiement est de 8 semaines. Comment SCEP et le NAC facilitent-ils cela à grande échelle sans nécessiter de personnel informatique dans chaque magasin ?
Pré-déploiement : Le fournisseur de terminaux de point de vente pré-enregistre les 3 000 appareils dans le MDM du détaillant à l'aide du programme d'enregistrement zero-touch du fournisseur. Le MDM est configuré avec un profil SCEP qui se déclenchera automatiquement au premier démarrage. Déploiement : Lorsqu'un terminal de point de vente est mis sous tension en magasin, il se connecte à un SSID d'intégration temporaire (Internet uniquement, pas d'accès à l'entreprise). Le profil MDM est poussé, la charge utile SCEP se déclenche, et l'appareil demande et reçoit son certificat X.509 de l'autorité de certification (CA). Le MDM pousse ensuite le profil WiFi de l'entreprise. Accès réseau : Lorsque le point de vente se connecte au port du commutateur du magasin, le commutateur lance le 802.1X. Le NAC valide le certificat, interroge le MDM pour confirmer que le point de vente est conforme (chiffrement activé, agent MDM actif, aucun jailbreak détecté) et attribue dynamiquement le port du commutateur au VLAN PCI-DSS. Le point de vente est désormais opérationnel. Aucun personnel informatique n'a été requis dans le magasin.
Questions d'entraînement
Q1. Votre organisation migre de WPA2-Enterprise avec PEAP-MSCHAPv2 vers EAP-TLS. Pendant la phase pilote, les ordinateurs portables Windows et les iPhones se connectent avec succès, mais 200 scanners de codes-barres d'entrepôt ne parviennent pas à s'authentifier. Les scanners prennent en charge le 802.1X mais ne peuvent pas traiter la charge utile SCEP du MDM — ils fonctionnent sous un système d'exploitation embarqué propriétaire sans prise en charge d'agent MDM. Quelle est la solution d'architecture la plus sécurisée qui maintient la segmentation du réseau sans nécessiter le remplacement des scanners ?
Conseil : Envisagez d'autres mécanismes de distribution de certificats qui ne nécessitent pas d'agent MDM, ainsi que les contrôles de segmentation réseau qui devraient s'appliquer aux appareils ne pouvant pas participer à une évaluation complète de la posture.
Voir la réponse type
Puisque les scanners prennent en charge le 802.1X mais pas le SCEP ni l'enrôlement MDM, l'approche la plus sécurisée consiste à provisionner manuellement les certificats d'appareil à l'aide d'un modèle de certificat dédié avec un profil d'utilisation de clé restreint. Les certificats sont installés une seule fois lors d'une fenêtre de maintenance. Le NAC est configuré pour accepter ces certificats mais affecte les scanners à un VLAN d'opérations d'entrepôt dédié avec des ACL strictes — et non au VLAN d'entreprise complet — car l'évaluation de la posture n'est pas possible. Alternativement, si le provisionnement manuel des certificats est impossible à gérer à grande échelle, configurez le MAB comme solution de repli spécifiquement pour les OUI MAC du matériel des scanners, le NAC les affectant au même VLAN restreint. Documentez cela comme une exception connue dans votre registre des risques et planifiez le remplacement des scanners lors du prochain cycle de renouvellement du matériel.
Q2. Un responsable de la sécurité réseau constate que lorsqu'un employé signale le vol d'un ordinateur portable, le MDM envoie une commande d'effacement à distance, mais l'appareil reste connecté au WiFi de l'entreprise pendant une durée allant jusqu'à 12 heures — le délai d'expiration actuel de la session RADIUS. Pendant cette fenêtre, l'appareil pourrait être utilisé pour exfiltrer des données. Comment l'architecture doit-elle être modifiée pour interrompre l'accès au réseau immédiatement après le signalement du vol d'un appareil ?
Conseil : Le NAC doit être informé instantanément du changement de statut plutôt que d'attendre le prochain cycle d'authentification. Considérez à la fois le mécanisme de terminaison de session et le mécanisme de prévention de ré-authentification.
Voir la réponse type
Mettez en œuvre deux contrôles complémentaires. Tout d'abord, configurez le MDM pour envoyer un webhook au NAC dès qu'un appareil est marqué comme perdu ou volé. Le NAC envoie ensuite un message RADIUS Change of Authorization (CoA) Disconnect-Request au point d'accès ou au port de commutateur spécifique, mettant fin immédiatement à la session active. Deuxièmement, révoquez le certificat de l'appareil dans la CA et assurez-vous que le NAC est configuré pour une vérification OCSP en temps réel plutôt que pour une révocation basée sur la CRL. Cela signifie que même si l'appareil se reconnecte avant que la CoA ne soit traitée, l'authentification EAP-TLS échouera lors de la vérification OCSP. Les deux contrôles combinés réduisent la fenêtre d'exposition de 12 heures à moins de 60 secondes.
Q3. Lors d'un audit de sécurité du réseau d'un grand centre de conférences, il est découvert que le serveur SCEP est exposé sur l'internet public en utilisant un mot de passe de défi statique pour permettre l'enrôlement d'appareils à distance. L'auditeur signale cela comme une vulnérabilité critique. Comment le processus d'enrôlement SCEP devrait-il être réarchitecturé pour maintenir la capacité d'enrôlement à distance tout en éliminant le risque lié au mot de passe statique ?
Conseil : Le serveur SCEP doit disposer d'un moyen de vérifier que l'appareil demandant un certificat est bien autorisé par le MDM, sans s'appuyer sur un secret partagé qui pourrait être extrait d'un appareil ou intercepté.
Voir la réponse type
Remplacez le mot de passe de défi statique par des mots de passe de défi à usage unique dynamiques et par appareil, générés par le MDM. Le flux de travail devient : (1) Le MDM génère un mot de passe de défi unique et limité dans le temps pour chaque appareil lors de l'enrôlement. (2) Le MDM inclut ce défi dans la charge utile SCEP envoyée à l'appareil. (3) L'appareil inclut le défi dans sa CSR. (4) Le serveur SCEP valide le défi auprès du MDM via une API avant de transmettre la CSR à la CA. (5) Le défi est invalidé immédiatement après utilisation. Cela garantit que seuls les appareils gérés par le MDM peuvent obtenir un certificat avec succès, et que même si l'URL SCEP est découverte, un attaquant ne peut pas générer de certificats valides sans un défi à usage unique valide. De plus, limitez le serveur SCEP au protocole HTTPS uniquement et mettez en œuvre une liste d'autorisation d'adresses IP pour les IP de sortie du MDM lorsque cela est possible.
Continuer la lecture de cette série
Gestion du WiFi pour les clients d'hôtels : Intégration du PMS, des portails et des normes de marque
Ce guide technique détaille comment concevoir des réseaux WiFi hôteliers de classe entreprise, en se concentrant sur la segmentation VLAN, l'intégration PMS pour la gestion automatisée des sessions et l'optimisation du Captive Portal pour une collecte de données conforme au GDPR.
Comment configurer un WiFi invité : Guide de configuration d'entreprise sécurisé
Ce guide de référence fournit aux responsables informatiques et aux architectes réseau un plan d'action définitif pour déployer un WiFi invité d'entreprise sécurisé. Il couvre l'architecture essentielle, la migration vers le WPA3, la segmentation VLAN et l'intégration de Captive Portal pour protéger les systèmes internes tout en collectant des données de première partie conformes.
Gestion de la bande passante pour le WiFi du personnel : lissage, QoS et réduction du trafic
Ce guide détaille les méthodes pratiques pour gérer la bande passante du WiFi du personnel dans les établissements d'entreprise. Il aborde le lissage du trafic, l'implémentation de la QoS et la manière dont le déploiement de Purple Shield réduit la charge réseau sans nécessiter de mise à niveau des infrastructures.