Il ruolo di SCEP e NAC nelle moderne infrastrutture MDM
Questa guida offre un'analisi tecnica dettagliata di come SCEP e NAC si integrano con le piattaforme MDM per offrire un accesso alla rete sicuro e zero-touch su scala enterprise. Copre l'intera architettura, dall'emissione dei certificati fino all'applicazione dello standard 802.1X, con scenari di implementazione reali provenienti dal settore dell'ospitalità e del retail. Progettato per i leader IT di grandi strutture che hanno la necessità di eliminare le vulnerabilità legate alle password, automatizzare il provisioning dei dispositivi e soddisfare i requisiti di conformità in questo trimestre.
Ascolta questa guida
Visualizza trascrizione del podcast
📚 Parte della nostra serie principale: Enterprise WiFi Security Guide →
Executive Summary
Per le sedi aziendali - dagli stadi da 80.000 posti alle catene retail multisede - la sicurezza del perimetro di rete ha superato decisamente l'era delle chiavi pre-condivise e della gestione manuale delle credenziali. La proliferazione di endpoint aziendali, dispositivi BYOD e infrastrutture IoT richiede un'architettura zero-trust in grado di scalare senza sovraccaricare l'help desk IT.
Questa guida illustra in dettaglio l'architettura tecnica per l'integrazione di SCEP (Simple Certificate Enrolment Protocol) e del controllo degli accessi di rete (NAC) con l'infrastruttura MDM. Sfruttando SCEP per automatizzare la distribuzione dei certificati X.509 e il NAC per imporre l'autenticazione IEEE 802.1X EAP-TLS, le organizzazioni possono ottenere un provisioning completamente automatizzato, eliminare i vettori di furto delle credenziali e applicare un accesso alla rete dinamico basato sullo stato di conformità del dispositivo. Mentre l'accesso rivolto al pubblico viene gestito tramite una soluzione Guest WiFi dedicata, questa architettura protegge le operazioni critiche di back-of-house che garantiscono il funzionamento della sede. Il risultato è una drastica riduzione dei costi operativi IT, una maggiore conformità agli standard PCI-DSS e GDPR e l'applicazione proattiva dei principi zero-trust al perimetro della rete.
Analisi Tecnica Dettagliata
L'Architettura a Tre Livelli
La moderna sicurezza di rete si basa sull'identità crittografica piuttosto che sulla conoscenza dell'utente. Lo stack SCEP-NAC-MDM opera su tre livelli principali:
| Livello | Componenti | Funzione |
|---|---|---|
| Gestione dei dispositivi | MDM / UEM | Autorità centrale per la configurazione, la conformità e il ciclo di vita dei dispositivi |
| Identità ed emissione | PKI / SCEP / CA | Genera, emette e gestisce i certificati digitali |
| Applicazione degli accessi | NAC / RADIUS | Valuta i certificati e lo stato di conformità del dispositivo prima di consentire l'accesso alla rete |
Questi livelli non sono sequenziali - operano in un ciclo di feedback continuo. L'MDM comunica al NAC lo stato di conformità in tempo reale, mentre il NAC può attivare flussi di lavoro di ripristino dell'MDM quando un dispositivo non supera una verifica di conformità.
Come SCEP Automatizza la PKI su Larga Scala
La distribuzione manuale dei certificati è operativamente impossibile su larga scala. Un parco di 500 dispositivi richiederebbe a un amministratore IT di generare, firmare e installare un singolo certificato X.509 su ciascun dispositivo - un processo che richiede diversi minuti per dispositivo e introduce un rischio significativo di errore umano. SCEP elimina completamente questo problema.
Quando un dispositivo si registra nel MDM, quest'ultimo invia un profilo di configurazione contenente un payload SCEP. Il payload indica al dispositivo di generare una coppia di chiavi localmente - aspetto fondamentale, la chiave privata non lascia mai il dispositivo - e di inviare una Certificate Signing Request (CSR) al server SCEP. Il server SCEP (solitamente il Network Device Enrolment Service (NDES) di Microsoft o un equivalente basato su cloud) convalida la richiesta con il MDM per confermare che il dispositivo sia autorizzato. Successivamente, inoltra la CSR alla Certificate Authority (CA), che emette il certificato X.509 firmato. Il certificato viene restituito al dispositivo e installato nella sua enclave sicura o nel keystore di sistema.
L'intero processo avviene silenziosamente, via etere, senza alcuna interazione da parte dell'utente. Per una distribuzione di 1.000 dispositivi, l'intero parco certificati può essere configurato entro poche ore dal completamento della registrazione nel MDM.
NAC e 802.1X EAP-TLS: Lo Strato di Controllo
Una volta che un dispositivo possiede un certificato valido, tenta di connettersi al SSID aziendale o alla porta cablata utilizzando lo standard IEEE 802.1X. L'access point o lo switch funge da autenticatore, inoltrando la richiesta a un server RADIUS gestito dal motore di policy NAC. Il metodo EAP più sicuro è EAP-TLS, che richiede un'autenticazione reciproca - sia il client che il server RADIUS devono presentare certificati validi, prevenendo attacchi man-in-the-middle tramite access point fraudolenti. Il NAC esegue diversi controlli critici in sequenza:
- Convalida crittografica: Il certificato è matematicamente valido e firmato da una CA radice attendibile?
- Verifica della revoca: Il certificato è presente in una Certificate Revocation List (CRL) o segnalato tramite l'Online Certificate Status Protocol (OCSP)?
- Valutazione dello stato di sicurezza: Interrogando il MDM tramite API, il NAC verifica: Il dispositivo è conforme? Il sistema operativo è aggiornato con le patch richieste? La crittografia del disco è abilitata?
Se tutti i controlli hanno esito positivo, il NAC invia un messaggio di RADIUS Access-Accept, che solitamente contiene attributi specifici del fornitore (VSA) per assegnare dinamicamente il dispositivo a una VLAN specifica o applicare liste di controllo degli accessi (ACL). I dispositivi non conformi vengono inseriti in una VLAN di remediation con permessi limitati - in genere quanto basta per avviare i flussi di lavoro di ripristino gestiti dal MDM.
Segregazione della Rete Guest
In qualsiasi ambiente, l'infrastruttura aziendale deve essere rigorosamente segregata dalle reti rivolte al pubblico. La piattaforma Guest WiFi opera interamente su SSID e VLAN separati, senza percorsi instradati verso le risorse aziendali. L'architettura SCEP-NAC governa il livello aziendale; il livello guest è controllato dall'autenticazione tramite Captive Portal e dai flussi di lavoro di acquisizione dati. Per le sedi che implementano WiFi Analytics , questa segregazione è un prerequisito - i dati analitici fluiscono attraverso la rete guest, mentre i dati operativi fluiscono attraverso la rete aziendale autenticata tramite certificato. Per ulteriori informazioni sull'architettura RF sottostante che supporta entrambe le reti, consultare Wi-Fi Frequencies: A 2026 Guide to Wi-Fi Frequencies .
-
Guida all'implementazione
L'implementazione di questa architettura richiede una sequenza attenta per evitare di bloccare gli utenti legittimi durante la transizione.
Passaggio 1: Preparazione di PKI e SCEP
Stabilire una solida PKI interna o sfruttare un servizio PKI gestito basato su cloud (mPKI). Distribuire e proteggere il server SCEP - se si utilizza Microsoft NDES, assicurarsi che venga eseguito su un server dedicato anziché in co-locazione con la CA. Configurare il server SCEP per utilizzare password di verifica dinamiche generate per dispositivo dall'MDM, anziché un segreto statico condiviso. Ciò impedisce richieste di certificati non autorizzate qualora l'URL SCEP venga scoperto.
Passaggio 2: Configurazione dell'MDM
Creare il payload SCEP nella piattaforma MDM. Definire attentamente i campi Subject Alternative Name (SAN) - il SAN deve contenere identificatori univoci (come il numero di serie del dispositivo o l'UPN dell'utente) che il NAC utilizzerà per le decisioni relative ai criteri. Inviare prima il profilo a un gruppo pilota di dispositivi del team IT e convalidare l'intero flusso di registrazione prima di qualsiasi implementazione più ampia.
Passaggio 3: Configurazione di NAC e RADIUS
Configurare il NAC per considerare attendibile la CA radice che ha emesso i certificati client. Installare un certificato server sul server RADIUS per la mutua autenticazione EAP-TLS. Definire i criteri di accesso in base agli attributi del certificato e allo stato di conformità MDM. Implementare regole di assegnazione dinamica delle VLAN: dispositivi aziendali conformi alla VLAN aziendale, dispositivi non conformi alla VLAN di remediation e dispositivi IoT a una VLAN dedicata e con limitazioni di accesso a internet.
Passaggio 4: Integrazione dell'infrastruttura di rete
Configurare switch e access point wireless per 802.1X. Per scenari con hardware POS legacy in ambienti retail , o controller per camere smart in strutture ricettive del settore hospitality , implementare il MAC Authentication Bypass (MAB) come fallback per i dispositivi che non possono partecipare a EAP-TLS. Limitare il MAB a porte di switch specifiche e garantire che il database degli indirizzi MAC sia strettamente controllato. Per gli ambienti del settore healthcare e transport , configurare le regole di valutazione della postura per soddisfare i requisiti di conformità specifici del settore.
Passaggio 5: Rollout parallelo e transizione
Non effettuare mai un passaggio immediato. Trasmetti il nuovo SSID 802.1X in parallelo alla rete esistente. Distribuisci il nuovo profilo WiFi tramite l'MDM. Monitora l'adozione e risolvi gli errori di registrazione. Quando più del 95% dei dispositivi si autentica correttamente sul nuovo SSID, decommissiona la rete legacy.
Best Practice
Imponi EAP-TLS. Non accettare mai EAP-PEAP o EAP-TTLS come metodo di autenticazione principale per i dispositivi aziendali. Questi metodi si basano su credenziali nome utente/password all'interno di un tunnel TLS e rimangono vulnerabili alla raccolta delle credenziali. L'autenticazione EAP-TLS elimina completamente questa superficie di attacco.
Implementa la revoca in tempo reale. I download programmati delle CRL creano finestre di vulnerabilità. Configura il NAC per eseguire i controlli OCSP in tempo reale. Quando un dispositivo viene segnalato come smarrito o rubato, revoca il certificato presso la CA e il dispositivo perderà l'accesso alla rete al successivo tentativo di autenticazione - o immediatamente, se è implementato il Change of Authorisation (CoA).
Imposta periodi di validità dei certificati ragionevoli. Un periodo di validità di un anno, con rinnovo SCEP automatico attivato 30 giorni prima della scadenza, rappresenta lo standard del settore. Una validità più lunga aumenta la finestra di vulnerabilità in caso di compromissione del certificato; una validità più breve aumenta il rischio che errori di rinnovo causino interruzioni del servizio.
Segrega l'IoT in modo aggressivo. I dispositivi IoT non dovrebbero mai condividere una VLAN con gli endpoint aziendali. Utilizza il NAC per applicare ACL rigorose sulla VLAN IoT, consentendo solo i protocolli e le destinazioni specifici richiesti da ciascuna classe di dispositivi. Per le strutture che distribuiscono servizi di localizzazione, consulta la guida Indoor WiFi Positioning Systems: How They Work and How to Deploy Them per scoprire come l'infrastruttura di posizionamento si integra con l'architettura di rete più ampia.
Allineati con WPA3. Laddove l'hardware lo supporti, configura gli SSID aziendali per utilizzare WPA3-Enterprise, che impone i Protected Management Frames (PMF) e fornisce una protezione crittografica più forte rispetto a WPA2. Per dettagli su come questo si inserisce nel panorama più ampio della connettività aziendale, consulta l'articolo SD-WAN vs MPLS: A 2026 Guide to Enterprise Networking .
Risoluzione dei problemi e mitigazione dei rischi
| Modalità di guasto | Causa principale | Mitigazione |
|---|---|---|
| I dispositivi falliscono l'autenticazione EAP-TLS dopo il rinnovo del certificato | Il rinnovo SCEP fallisce in modo silenzioso | Monitora i log del server SCEP; imposta avvisi per gli invii CSR non riusciti |
| La convalida del certificato fallisce a causa del disallineamento dell'orologio | Configurazione NTP errata | Imponi la sincronizzazione NTP su tutti gli endpoint e sull'infrastruttura |
| I dispositivi IoT non possono autenticarsi | Nessun supplicant 802.1X | Implementa il MAB con controlli rigorosi degli indirizzi MAC e una VLAN isolata |
| Blocco di massa dei dispositivi dopo la migrazione della CA | CA radice legacy non considerata attendibile dal NAC | Organizza le migrazioni della CA per fasi; aggiungi la nuova CA radice nel trust store del NAC prima di revocare quella vecchia |
| I dispositivi revocati mantengono l'accesso alla rete | Revoca basata solo su CRL con lunghi intervalli di download | Implementa OCSP e CoA per la revoca in tempo reale |
Per i dispositivi IoT specifici basati su BLE, l'architettura di autenticazione differisce dai dispositivi finali connessi via WiFi. Vedere BLE Low Energy Explained for the Enterprise per le considerazioni di sicurezza specifiche che si applicano all'infrastruttura Bluetooth Low Energy.
ROI e Impatto Aziendale
Il business case per l'integrazione SCEP - NAC - MDM è evidente se misurato rispetto al costo delle alternative.
| Metrica | Prima dell'implementazione | Dopo l'implementazione |
|---|---|---|
| Ticket del service desk IT (accesso alla rete) | Elevato - reimpostazione password, rotazione delle chiavi | Pressoché zero - ciclo di vita dei certificati automatizzato |
| Tempo medio per revocare un dispositivo compromesso | Ore (processo manuale) | Secondi (OCSP + CoA) |
| Conformità al controllo degli accessi PCI-DSS | Manuale, ad alta intensità di audit | Automatizzata, applicata continuamente |
| Tempo di onboarding BYOD | 15 - 30 minuti per dispositivo | Meno di 5 minuti con zero intervento IT |
Per un parco dispositivi di 500 unità, l'eliminazione della gestione manuale dei certificati e dei ticket del service desk legati alle password riduce in genere i costi generali di supporto IT di rete del 25 - 35%. Il valore di mitigazione del rischio - evitare una singola violazione basata sulle credenziali - supera regolarmente l'intero costo di implementazione. Per le organizzazioni del settore pubblico e sanitario vincolate dal GDPR, la capacità di dimostrare un controllo degli accessi automatizzato e verificabile rappresenta un importante vantaggio in termini di conformità.
Definizioni chiave
SCEP (Simple Certificate Enrollment Protocol)
Un protocollo che automatizza il rilascio e la revoca di certificati digitali ai dispositivi senza l'intervento dell'utente, agendo come livello di comunicazione tra la piattaforma MDM e l'Autorità di Certificazione.
Utilizzato dalle piattaforme MDM per distribuire in modo fluido i certificati X.509 su migliaia di endpoint su scala. I team IT utilizzano SCEP durante la configurazione dei profili MDM per l'autenticazione WiFi 802.1X.
NAC (Network Access Control)
Una soluzione di sicurezza che applica policy sui dispositivi che cercano di accedere all'infrastruttura di rete, valutando le credenziali di autenticazione, la validità del certificato e lo stato di conformità del dispositivo prima di concedere l'accesso.
Agisce come custode al perimetro della rete. I team IT configurano i criteri NAC per definire quali dispositivi hanno accesso a quali VLAN in base ai loro attributi di certificato e allo stato di conformità MDM.
MDM (Mobile Device Management)
Software utilizzato dai dipartimenti IT per monitorare, gestire e proteggere gli endpoint dei dipendenti su più sistemi operativi, fungendo da unica fonte di verità per l'identità e la conformità dei dispositivi.
L'iniziatore del processo di registrazione SCEP e la fonte dei dati sullo stato del dispositivo interrogati dal NAC. Senza l'integrazione MDM, il NAC non può eseguire il controllo degli accessi basato sullo stato del dispositivo.
IEEE 802.1X
Uno standard IEEE per il controllo degli accessi alla rete basato su porte che fornisce un meccanismo di autenticazione ai dispositivi che desiderano collegarsi a una LAN o WLAN, richiedendo un'autenticazione riuscita prima dell'apertura della porta.
Il protocollo sottostante che costringe i dispositivi ad autenticarsi prima che lo switch o l'access point consentano il passaggio del traffico. Configurato sia sull'infrastruttura di rete che sul supplicant 802.1X del dispositivo.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
Lo standard EAP più sicuro, che richiede l'autenticazione reciproca in cui sia il dispositivo client sia il server RADIUS devono presentare certificati digitali validi, eliminando gli attacchi alle credenziali basati su password.
Il gold standard per la sicurezza wireless aziendale. Gli architetti IT dovrebbero imporre EAP-TLS rispetto a PEAP o TTLS ovunque sia presente un'infrastruttura per i certificati dei dispositivi.
CSR (Certificate Signing Request)
Un blocco di testo codificato generato da un dispositivo contenente la sua chiave pubblica e i dettagli identificativi, inviato all'Autorità di Certificazione per richiedere un certificato X.509 firmato.
Generato automaticamente dal dispositivo durante il processo di registrazione SCEP. La chiave privata corrispondente alla CSR non lascia mai il dispositivo, garantendo che il certificato non possa essere duplicato.
MAB (MAC Authentication Bypass)
Un metodo di autenticazione di riserva in cui la rete utilizza l'indirizzo MAC hardware del dispositivo come credenziale, utilizzato per i dispositivi che non dispongono della funzionalità supplicant 802.1X.
Utilizzato per i dispositivi IoT legacy come stampanti, sensori e controller per sale intelligenti che non possono partecipare a EAP-TLS. Dovrebbe sempre tradursi nell'assegnazione a una VLAN altamente limitata.
OCSP (Online Certificate Status Protocol)
Un protocollo internet utilizzato per ottenere lo stato di revoca di un certificato digitale X.509 in tempo reale, fornendo un'alternativa al download e all'analisi delle Certificate Revocation List.
Fondamentale per i sistemi NAC che devono bloccare immediatamente l'accesso alla rete quando un dispositivo viene compromesso o segnalato come rubato. OCSP fornisce lo stato in tempo reale; i download delle CRL creano una finestra temporale di vulnerabilità prima della revoca.
CoA (Change of Authorization)
Un'estensione RADIUS (RFC 5176) che consente al NAC di modificare o terminare dinamicamente una sessione di rete attiva senza attendere la scadenza della sessione o la riautenticazione del dispositivo.
Utilizzato per disconnettere immediatamente un dispositivo quando il suo certificato viene revocato o il suo stato di conformità MDM cambia. Essenziale per l'applicazione di policy zero-trust in tempo reale.
Esempi pratici
Un resort di lusso con 500 camere deve mettere in sicurezza la rete operativa del back-of-house. Il personale utilizza tablet condivisi per la gestione delle pulizie e la direzione utilizza laptop aziendali. L'attuale rete WPA2-PSK ha subito più volte la compromissione della chiave precondivisa, provocando due incidenti di sicurezza nell'ultimo anno. In che modo il team IT dovrebbe passare all'autenticazione basata su certificati senza interrompere le attività operative?
Fase 1 - Preparazione (Settimane 1-2): Distribuire una soluzione RADIUS/NAC basata su cloud e integrarla con il MDM esistente. Configurare un profilo SCEP nel MDM per inviare certificati basati su dispositivo a tutti i tablet e laptop. Utilizzare certificati basati su dispositivo (collegati al numero di serie del dispositivo) anziché certificati basati su utente, in modo che i tablet condivisi si autentichino automaticamente indipendentemente dal membro del personale che li sta utilizzando. Fase 2 - Distribuzione parallela (Settimane 3-4): Trasmettere un nuovo SSID nascosto configurato per 802.1X EAP-TLS. Inviare il nuovo profilo WiFi tramite MDM a tutti i dispositivi registrati. Monitorare la dashboard del NAC per verificare che le autenticazioni vadano a buon fine. Fase 3 - Transizione (Settimana 5): Una volta che oltre il 95% dei dispositivi è connesso al nuovo SSID, disattivare la rete legacy WPA2-PSK. Revocare la vecchia PSK da tutta la documentazione e dagli access point.
Una catena di vendita al dettaglio nazionale sta distribuendo 3.000 nuovi terminali Point of Sale in 150 negozi. Il team di sicurezza impone una rigorosa segmentazione della rete PCI-DSS e un accesso zero-trust. La tempistica di distribuzione è di 8 settimane. In che modo SCEP e NAC facilitano questo processo su larga scala senza richiedere la presenza di personale IT in ogni negozio?
Pre-distribuzione: Il fornitore dei POS registra preventivamente tutti i 3.000 dispositivi nel MDM del rivenditore utilizzando il programma di registrazione zero-touch del fornitore. Il MDM viene configurato con un profilo SCEP che si attiva automaticamente al primo avvio. Distribuzione: Quando un terminale POS viene acceso nel negozio, si connette a un SSID di onboarding temporaneo (solo internet, nessun accesso aziendale). Viene inviato il profilo MDM, il payload SCEP si attiva e il dispositivo richiede e riceve il suo certificato X.509 dalla CA. Il MDM invia quindi il profilo WiFi aziendale. Accesso alla rete: Quando il POS si connette alla porta dello switch del negozio, lo switch avvia l'autenticazione 802.1X. Il NAC convalida il certificato, interroga il MDM per confermare che il POS sia conforme (crittografia abilitata, agente MDM attivo, nessun jailbreak rilevato) e assegna dinamicamente la porta dello switch alla VLAN PCI-DSS. Il POS è ora operativo. Non è stata richiesta la presenza di alcun personale IT presso il negozio.
Domande di esercitazione
Q1. La tua organizzazione sta migrando da WPA2-Enterprise con PEAP-MSCHAPv2 a EAP-TLS. Durante la fase pilota, i laptop Windows e gli iPhone si connettono con successo, ma 200 scanner di codici a barre del magazzino non riescono a autenticarsi. Gli scanner supportano lo standard 802.1X ma non possono elaborare il payload SCEP inviato dall'MDM - utilizzano un sistema operativo integrato proprietario che non supporta alcun agente MDM. Qual è la soluzione architetturale più sicura che mantiene la segmentazione della rete senza richiedere la sostituzione degli scanner?
Suggerimento: Prendi in considerazione meccanismi alternativi di distribuzione dei certificati che non richiedono un agente MDM e quali controlli di segmentazione della rete dovrebbero essere applicati ai dispositivi che non possono partecipare a una valutazione completa dello stato di sicurezza.
Visualizza risposta modello
Poiché gli scanner supportano lo standard 802.1X ma non SCEP o la registrazione MDM, l'approccio più sicuro consiste nel fornire manualmente i certificati dei dispositivi utilizzando un modello di certificato dedicato con un profilo di utilizzo delle chiavi limitato. I certificati vengono installati una sola volta durante una finestra di manutenzione. Il NAC viene configurato per accettare questi certificati ma assegna gli scanner a una VLAN dedicata alle operazioni di magazzino con ACL rigorose - non alla VLAN aziendale completa - poiché non è possibile effettuare la valutazione dello stato di sicurezza. In alternativa, se la fornitura manuale dei certificati non è scalabile a livello operativo, configurare il MAB come fallback specificamente per le OUI MAC dell'hardware degli scanner, con il NAC che li assegna alla stessa VLAN limitata. Registrare questa situazione come eccezione nota nel registro dei rischi e pianificare la sostituzione degli scanner nel prossimo ciclo di rinnovo dell'hardware.
Q2. Un responsabile della sicurezza di rete nota che quando un dipendente segnala il furto di un laptop, l'MDM invia un comando di inizializzazione remota, ma il dispositivo rimane connesso alla rete WiFi aziendale fino a 12 ore - il timeout attuale della sessione RADIUS. Durante questa finestra temporale, il dispositivo potrebbe essere utilizzato per esfiltrare dati. Come dovrebbe essere modificata l'architettura per interrompere l'accesso alla rete immediatamente dopo la segnalazione del furto di un dispositivo?
Suggerimento: Il NAC deve essere informato del cambio di stato all'istante anziché attendere il ciclo di autenticazione successivo. Considera sia il meccanismo di interruzione della sessione sia il meccanismo di prevenzione della riautenticazione.
Visualizza risposta modello
Implementare due controlli complementari. Innanzitutto, configurare l'MDM per inviare un webhook al NAC non appena un dispositivo viene contrassegnato come smarrito o rubato. Il NAC invia quindi un messaggio RADIUS Change of Authorization (CoA) Disconnect-Request all'access point specifico o alla porta dello switch, interrompendo immediatamente la sessione attiva. In secondo luogo, revocare il certificato del dispositivo nella CA e assicurarsi che il NAC sia configurato per il controllo OCSP in tempo reale anziché per la revoca basata su CRL. Ciò significa che anche se il dispositivo tenta di riconnettersi prima che il CoA venga elaborato, l'autenticazione EAP-TLS fallirà al controllo OCSP. Entrambi i controlli combinati riducono la finestra di esposizione da 12 ore a meno di 60 secondi.
Q3. Durante un audit di sicurezza della rete di un grande centro congressi, si scopre che il server SCEP è esposto a internet pubblico utilizzando una password di verifica statica per consentire la registrazione remota dei dispositivi. L'auditor segnala questo elemento come una vulnerabilità critica. Come dovrebbe essere riprogettato il processo di registrazione SCEP per mantenere la capacità di registrazione remota eliminando al contempo il rischio legato alla password statica?
Suggerimento: Il server SCEP ha bisogno di un modo per verificare che il dispositivo che richiede un certificato sia effettivamente autorizzato dall'MDM, senza fare affidamento su un segreto condiviso che potrebbe essere estratto da un dispositivo o intercettato.
Visualizza risposta modello
Sostituire la password di verifica statica con password di verifica monouso dinamiche per singolo dispositivo, generate dall'MDM. Il flusso di lavoro diventa: (1) L'MDM genera una password di verifica unica e a tempo limitato per ciascun dispositivo durante la registrazione. (2) L'MDM include questa verifica nel payload SCEP inviato al dispositivo. (3) Il dispositivo include la verifica nel suo CSR. (4) Il server SCEP convalida la verifica con l'MDM tramite API prima di inoltrare il CSR alla CA. (5) La verifica viene invalidata immediatamente dopo l'uso. Questo garantisce che solo i dispositivi gestiti dall'MDM possano ottenere con successo un certificato e che, anche in caso di scoperta dell'URL SCEP, un utente malintenzionato non possa generare certificati validi senza una verifica monouso valida. Inoltre, limitare il server SCEP al solo protocollo HTTPS e implementare, dove possibile, l'allowlist degli IP per gli IP di uscita dell'MDM.
Continua a leggere questa serie
PPSK WPA3: confronto tra funzionalità e modelli di implementazione
Questa guida tecnica di riferimento confronta PPSK e WPA3-SAE, spiegando le loro differenze architetturali e i modelli di implementazione per ambienti multi-tenant. Fornisce indicazioni pratiche per IT manager e sviluppatori immobiliari su come ottenere reti WiFi sicure e isolate utilizzando le soluzioni basate sull'identità di Purple.
PPSK WiFi: confronto tra funzionalità e modelli di implementazione
Questa guida di riferimento tecnico confronta l'architettura WiFi Private Pre-Shared Key (PPSK) con le distribuzioni tradizionali 802.1X e PSK standard. Fornisce ad architetti di rete e IT manager strategie di implementazione indipendenti dai vendor per ambienti residenziali multitenant, IoT e BTR.
How to Reduce the Number of WiFi SSIDs Using Per-Device PSK (iPSK, DPSK, MPSK)
This authoritative technical reference guide explains how IT teams can eliminate WiFi performance degradation caused by SSID beacon overhead by collapsing multiple purpose-built networks into a single SSID using per-device PSK (xPSK). It covers the vendor landscape across Cisco iPSK, HPE Aruba MPSK, Ruckus DPSK, Juniper Mist PPSK, and Ubiquiti UniFi PPSK, with practical implementation guidance on dynamic VLAN assignment, IoT onboarding, and PCI DSS compliance. Venue operators in hospitality, retail, stadiums, and public-sector organisations will find actionable architecture guidance and real-world worked examples.