Automazione della sicurezza WiFi aziendale: Guida alla distribuzione dei certificati SCEP

Benvenuti a questo briefing tecnico. Sono qui per guidarvi attraverso la nostra ultima guida: Automazione della sicurezza WiFi aziendale, con un focus specifico sulla distribuzione dei certificati SCEP. Se gestite reti per hotel, catene di negozi o spazi pubblici, sapete già che affidarsi a chiavi pre-condivise o a semplici Captive Portal per l'accesso del personale rappresenta una massiccia vulnerabilità di sicurezza. Oggi parliamo del gold standard: l'autenticazione 802.1X tramite EAP-TLS. Esaminiamo l'architettura. La sfida principale con EAP-TLS non è il protocollo in sé, ma la logistica per far arrivare certificati client univoci su migliaia di dispositivi, che si tratti di laptop Windows, iPad o tablet per i punti vendita. È qui che entrano in gioco le piattaforme di Mobile Device Management, o MDM, come Microsoft Intune o Jamf. Ma come si distribuiscono questi certificati in modo sicuro? In genere si hanno due opzioni: PKCS o SCEP. Vorrei essere assolutamente chiaro su questo punto: per l'autenticazione WiFi, la scelta migliore è SCEP. Si tratta del Simple Certificate Enrollment Protocol. Ecco perché è importante. Con SCEP, l'MDM indica al dispositivo endpoint di generare localmente la propria chiave privata. Tale chiave rimane protetta nell'hardware sicuro del dispositivo. Non viaggia mai sulla rete. Il dispositivo invia semplicemente una Certificate Signing Request alla vostra Autorità di Certificazione tramite un gateway, solitamente un server NDES. A differenza di PKCS, in cui l'Autorità di Certificazione genera la chiave privata centralmente e la invia al dispositivo tramite la rete. Sebbene PKCS abbia una sua utilità, ad esempio per la crittografia delle e-mail in cui è richiesto il deposito delle chiavi, la trasmissione delle chiavi private sulla rete è un rischio che non è necessario correre per l'autenticazione di rete. Mantenete le chiavi sul dispositivo. Utilizzate SCEP. Ora parliamo dell'implementazione. Se c'è una cosa da ricordare da questo briefing, è questa regola empirica: La fiducia prima dell'autenticazione. Non si può semplicemente inviare un profilo WiFi e aspettarsi che funzioni. C'è una sequenza di distribuzione rigorosa in tre passaggi da seguire. Fase uno: distribuire il certificato Trusted Root. Prima che un dispositivo possa richiedere un certificato client o considerare attendibile il server RADIUS, deve considerare attendibile l'Autorità di Certificazione emittente. Inviate prima questo profilo. Fase due: configurare e inviare il profilo del certificato SCEP. Questo indica al dispositivo come comunicare con il gateway SCEP, quale formato utilizzare per il subject name e a cosa serve effettivamente il certificato, in questo caso l'autenticazione client. È necessario collegare questo profilo al Trusted Root distribuito nella fase uno. Fase tre: distribuire il profilo WiFi 802.1X. Qui si collega il tutto. Si specifica l'SSID, si seleziona WPA3-Enterprise, si imposta il tipo di EAP su EAP-TLS e lo si indirizza al certificato SCEP per l'autenticazione client. Ecco un errore comune che vediamo continuamente. Un cliente ci chiama e dice: "I certificati sono sul dispositivo, ma il profilo WiFi mostra un errore in Intune". Quasi sempre si tratta di una mancata corrispondenza nel targeting dei gruppi. Se si assegna il profilo SCEP a un gruppo 'Utenti', ma si assegna il profilo WiFi a un gruppo 'Dispositivi', l'MDM non può risolvere la dipendenza. Abbinate esattamente i vostri target in tutti e tre i profili. Consideriamo uno scenario reale. Immaginate un hotel di 200 camere. Hanno 150 dispositivi iOS gestiti per il servizio di pulizia. Attualmente utilizzano una rete standard con password e il personale continua a condividere la password con gli ospiti. È un incubo. Migrando a WPA2-Enterprise con EAP-TLS tramite SCEP, il Direttore IT elimina completamente la password. I dispositivi iOS si autenticano silenziosamente in background utilizzando i loro certificati. Ma cosa succede se un addetto alle pulizie smarrisce un dispositivo o lascia l'azienda? Disabilitare il suo account Active Directory non è sufficiente, perché il certificato su quel dispositivo è ancora crittograficamente valido. Questo ci porta a un controllo di sicurezza fondamentale: un controllo rigoroso della CRL. È necessario configurare il server RADIUS per controllare la Certificate Revocation List. Se un dispositivo viene smarrito, si revoca il certificato presso la CA. Il server RADIUS rileva la revoca sulla CRL e blocca immediatamente l'accesso alla rete. Senza un controllo rigoroso della CRL, la vostra postura di sicurezza è incompleta. Per concludere, il passaggio alla distribuzione automatizzata dei certificati SCEP offre un ROI enorme. Noterete una riduzione dal 70 all'80 percento dei ticket di assistenza relativi al WiFi, perché gli utenti non rimarranno bloccati o non digiteranno le password in modo errato. Cosa ancora più importante, eliminerete il rischio di furto delle credenziali, garantendo la conformità a framework come PCI DSS e GDPR. Automatizzare la sicurezza del WiFi aziendale non significa solo bloccare gli accessi; significa rendere il percorso sicuro il più semplice possibile per i vostri utenti. Grazie per l'ascolto e non dimenticate di consultare la guida scritta completa per tutti i dettagli di configurazione passo dopo passo.