Il ruolo di SCEP e NAC nelle moderne infrastrutture MDM
Questa guida fornisce un'analisi tecnica completa di come SCEP e NAC si integrino con le piattaforme MDM per offrire un accesso alla rete sicuro e zero - touch su scala aziendale. Copre l'intera architettura, dall'emissione dei certificati fino all'applicazione dello standard 802.1X, con scenari di implementazione reali nei settori dell'ospitalità e del retail. Pensata per i responsabili IT di grandi strutture che hanno l'esigenza di eliminare le vulnerabilità legate alle password, automatizzare il provisioning dei dispositivi e soddisfare i requisiti di conformità in questo trimestre.
Video overview
Ascolta questa guida
Visualizza trascrizione del podcast
Parte della nostra serie principale: Enterprise WiFi Security Guide →
Executive Summary
Per le sedi aziendali - dagli stadi da 80.000 posti alle catene di vendita al dettaglio multi-sito - la messa in sicurezza del perimetro di rete ha superato decisamente le chiavi pre-condivise e la gestione manuale delle credenziali. La proliferazione di endpoint aziendali, dispositivi BYOD e infrastrutture IoT richiede un'architettura zero-trust che si adatti alle esigenze di scalabilità senza gravare sul service desk IT.
Questa guida illustra in dettaglio l'architettura tecnica per l'integrazione del protocollo SCEP (Simple Certificate Enrolment Protocol) e del controllo degli accessi di rete (NAC) con l'infrastruttura di gestione dei dispositivi mobili (MDM). Sfruttando SCEP per automatizzare la distribuzione dei certificati X.509 e NAC per imporre l'autenticazione IEEE 802.1X EAP-TLS, le organizzazioni possono ottenere un provisioning zero-touch, eliminare i percorsi di furto delle credenziali e imporre un accesso alla rete dinamico basato sulla postura del dispositivo. Mentre l'accesso pubblico viene gestito tramite una soluzione dedicata di Guest WiFi , questa architettura protegge le operazioni critiche di back-of-house che garantiscono il funzionamento della struttura. Il risultato è una drastica riduzione dei costi operativi IT, una maggiore conformità agli standard PCI-DSS e GDPR e l'applicazione proattiva dei principi zero-trust al perimetro di rete.
Approfondimento Tecnico
L'architettura a tre livelli
La moderna sicurezza di rete si basa sull'identità crittografica piuttosto che sulla conoscenza dell'utente. Lo stack SCEP-NAC-MDM opera su tre livelli principali:
| Livello | Componenti | Funzione |
|---|---|---|
| Gestione dei dispositivi | MDM / UEM | Autorità centrale per la configurazione, la conformità e il ciclo di vita dei dispositivi |
| Identità ed emissione | PKI / SCEP / CA | Genera, emette e gestisce i certificati digitali |
| Applicazione dell'accesso | NAC / RADIUS | Valuta i certificati e la postura dei dispositivi prima di concedere l'accesso alla rete |
Questi livelli non sono sequenziali - operano in un ciclo di feedback continuo. L'MDM informa il NAC sullo stato di conformità in tempo reale, mentre il NAC può attivare flussi di lavoro di remediation dell'MDM quando un dispositivo non supera una verifica di postura.
Come SCEP automatizza la PKI su larga scala
La distribuzione manuale dei certificati è operativamente impossibile su larga scala. Un parco di 500 dispositivi richiederebbe a un amministratore IT di generare, firmare e installare un singolo certificato X.509 su ogni dispositivo - un processo che richiede diversi minuti per dispositivo e che introduce un rischio significativo di errore umano. SCEP elimina completamente questo problema.
Quando un dispositivo si registra nel MDM, quest'ultimo invia un profilo di configurazione contenente un payload SCEP. Il payload indica al dispositivo di generare una coppia di chiavi localmente - un aspetto cruciale, poiché la chiave privata non lascia mai il dispositivo - e di inviare una Certificate Signing Request (CSR) al server SCEP. Il server SCEP (solitamente il Network Device Enrolment Service (NDES) di Microsoft o un equivalente basato sul cloud) convalida la richiesta confrontandola con il MDM per confermare che il dispositivo sia autorizzato. Successivamente, inoltra la CSR alla Certificate Authority (CA), che emette il certificato X.509 firmato. Il certificato viene restituito al dispositivo e installato nella sua enclave sicura o nel keystore di sistema.
L'intero processo avviene in background, via etere, senza alcuna interazione da parte dell'utente. Per una distribuzione di 1.000 dispositivi, l'intero parco certificati può essere configurato entro poche ore dal completamento della registrazione nel MDM.
NAC e 802.1X EAP-TLS: Lo Strato di Esecuzione delle Politiche
Una volta che un dispositivo possiede un certificato valido, tenta di connettersi al SSID aziendale o a una porta cablata utilizzando lo standard IEEE 802.1X. L'access point o lo switch funge da autenticatore, inoltrando la richiesta a un server RADIUS gestito dal motore delle politiche NAC. Il metodo EAP più sicuro è EAP-TLS, che richiede l'autenticazione reciproca - sia il client sia il server RADIUS devono presentare certificati validi, prevenendo attacchi man-in-the-middle tramite access point fraudolenti. Il NAC esegue diversi controlli critici in sequenza:
- Convalida crittografica: Il certificato è matematicamente valido e firmato da una CA radice attendibile?
- Verifica della revoca: Il certificato è inserito in una Certificate Revocation List (CRL) o segnalato tramite l'Online Certificate Status Protocol (OCSP)?
- Valutazione dello stato di sicurezza: Interrogando il MDM tramite API, il NAC verifica: Il dispositivo è conforme? Il sistema operativo è aggiornato al livello di patch richiesto? La crittografia del disco è abilitata?
Se tutti i controlli hanno esito positivo, il NAC invia un messaggio RADIUS Access-Accept, che solitamente trasporta attributi specifici del fornitore (VSA) per assegnare dinamicamente il dispositivo a una VLAN specifica o applicare liste di controllo degli accessi (ACL). I dispositivi non conformi vengono inseriti in una VLAN di remediation con permessi limitati - solitamente quanto basta per attivare flussi di lavoro di ripristino gestiti dal MDM.
Segregazione della rete guest
In qualsiasi ambiente fisico, l'infrastruttura aziendale deve essere rigorosamente segregata dalle reti rivolte al pubblico. La piattaforma Guest WiFi opera interamente su SSID e VLAN separati, senza percorsi instradati verso le risorse aziendali. L'architettura SCEP-NAC governa il livello aziendale; il livello guest è controllato dall'autenticazione tramite Captive Portal e dai flussi di lavoro per l'acquisizione dei dati. Per le sedi che distribuiscono WiFi Analytics , questa segregazione è un prerequisito - i dati analitici fluiscono attraverso la rete guest, mentre i dati operativi fluiscono attraverso la rete aziendale autenticata tramite certificato. Per ulteriori informazioni sull'architettura RF sottostante che supporta entrambe le reti, consultare la guida Frequenze WiFi: Una guida alle frequenze WiFi per il 2026 .
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.
Guida all'implementazione
La distribuzione di questa architettura richiede un'attenta sequenziazione per evitare di bloccare gli utenti legittimi durante la transizione.
Passaggio 1: Preparazione di PKI e SCEP
Stabilire una solida PKI interna o sfruttare un servizio di PKI gestita (mPKI) basato su cloud. Implementare e proteggere il server SCEP - se si utilizza Microsoft NDES, assicurarsi che venga eseguito su un server dedicato anziché in co-locazione con la CA. Configurare il server SCEP per l'utilizzo di password di verifica dinamiche generate per dispositivo dall'MDM, anziché un segreto condiviso statico. In questo modo si evitano richieste di certificato non autorizzate nel caso in cui l'URL SCEP venga scoperto.
Passaggio 2: Configurazione dell'MDM
Creare il payload SCEP nella piattaforma MDM. Definire attentamente i campi Subject Alternative Name (SAN) - il SAN deve contenere identificatori univoci (come il numero di serie del dispositivo o l'UPN dell'utente) che il NAC utilizzerà per le decisioni relative ai criteri. Distribuire il profilo prima a un gruppo pilota di dispositivi del team IT e convalidare l'intero flusso di registrazione prima di una diffusione più ampia.
Passaggio 3: Configurazione di NAC e RADIUS
Configurare il NAC in modo che consideri attendibile la CA radice che ha emesso i certificati client. Installare un certificato server sul server RADIUS per la mutua autenticazione EAP-TLS. Definire i criteri di accesso in base agli attributi del certificato e allo stato di conformità MDM. Implementare regole di assegnazione dinamica delle VLAN: dispositivi aziendali conformi sulla VLAN aziendale, dispositivi non conformi sulla VLAN di remediation e dispositivi IoT su una VLAN dedicata e con accesso limitato a Internet.
Passaggio 4: Integrazione dell'infrastruttura di rete
Configurare gli switch e gli access point wireless per 802.1X. Per gli scenari con hardware POS legacy negli ambienti retail , o per i sistemi di controllo delle camere smart nelle strutture del settore hospitality , implementare il MAC Authentication Bypass (MAB) come alternativa per i dispositivi che non possono partecipare a EAP-TLS. Limitare il MAB a porte di switch specifiche e assicurarsi che il database degli indirizzi MAC sia strettamente controllato. Per gli ambienti nei settori healthcare e transport , configurare le regole di valutazione della postura per soddisfare i requisiti di conformità specifici del settore.
Passaggio 5: Rollout parallelo e cutover
Non effettuare mai il cutover immediatamente. Trasmetti il nuovo SSID 802.1X in parallelo con la rete esistente. Distribuisci il nuovo profilo WiFi tramite l'MDM. Monitora l'adozione e risolvi gli errori di registrazione. Quando più del 95% dei dispositivi si autentica con successo sul nuovo SSID, disattiva la rete legacy.
Best Practice
Imponi EAP-TLS. Non accettare mai EAP-PEAP o EAP-TTLS come metodo di autenticazione principale per i dispositivi aziendali. Questi metodi si basano su credenziali nome utente/password all'interno di un tunnel TLS e rimangono vulnerabili alla raccolta di credenziali. EAP-TLS elimina completamente questa superficie di attacco.
Implementa la revoca in tempo reale. I download programmati delle CRL creano finestre di esposizione. Configura il NAC per eseguire controlli OCSP in tempo reale. Quando un dispositivo viene segnalato come smarrito o rubato, revoca il certificato presso la CA e il dispositivo perderà l'accesso alla rete al successivo tentativo di autenticazione - o immediatamente, se è implementato il Change of Authorisation (CoA).
Imposta periodi di validità dei certificati ragionevoli. Un periodo di validità di un anno, con rinnovo SCEP automatico attivato 30 giorni prima della scadenza, rappresenta lo standard del settore. Una validità più lunga aumenta la finestra di esposizione in caso di compromissione del certificato; una validità più breve aumenta il rischio che i fallimenti di rinnovo causino interruzioni del servizio.
Segrega rigorosamente l'IoT. I dispositivi IoT non dovrebbero mai condividere una VLAN con gli endpoint aziendali. Utilizza il NAC per imporre ACL rigide sulla VLAN IoT, consentendo solo i protocolli e le destinazioni specifici richiesti da ciascuna classe di dispositivi. Per le strutture che implementano servizi di localizzazione, consulta Indoor WiFi Positioning Systems: How They Work and How to Deploy Them per scoprire come l'infrastruttura di posizionamento si integra con l'architettura di rete più ampia.
Allineati con WPA3. Laddove l'hardware lo supporti, configura gli SSID aziendali per utilizzare WPA3-Enterprise, che impone i Protected Management Frames (PMF) e fornisce una protezione crittografica più forte rispetto a WPA2. Per dettagli su come questo si inserisce nel panorama più ampio della connettività aziendale, consulta SD-WAN vs MPLS: A 2026 Guide to Enterprise Networking .
Risoluzione dei problemi e mitigazione dei rischi
| Modalità di guasto | Causa principale | Mitigazione |
|---|---|---|
| I dispositivi falliscono l'autenticazione EAP-TLS dopo il rinnovo del certificato | Rinnovo SCEP non riuscito in modo invisibile | Monitora i log del server SCEP; imposta avvisi per gli invii CSR falliti |
| La validazione del certificato fallisce a causa del disallineamento dell'orologio | Configurazione errata di NTP | Imponi la sincronizzazione NTP su tutti gli endpoint e sull'infrastruttura |
| I dispositivi IoT non riescono ad autenticarsi | Assenza di supplicant 802.1X | Implementa MAB con controlli rigidi dell'indirizzo MAC e una VLAN isolata |
| Blocco di massa dei dispositivi dopo la migrazione della CA | Root CA legacy non attendibile dal NAC | Organizza le migrazioni della CA in più fasi; aggiungi la nuova root CA all'archivio attendibile del NAC prima di revocare quella vecchia |
Per specifici dispositivi IoT basati su BLE, l'architettura di autenticazione differisce dagli endpoint connessi tramite WiFi. Vedere BLE Low Energy Explained for the Enterprise per le considerazioni di sicurezza specifiche che si applicano all'infrastruttura Bluetooth Low Energy.
ROI e Impatto Aziendale
Il business case per l'integrazione SCEP-NAC-MDM è semplice se confrontato con il costo delle alternative.
| Metrica | Prima dell'implementazione | Dopo l'implementazione |
|---|---|---|
| Ticket del service desk IT (accesso alla rete) | Elevati - ripristino password, rotazione delle chiavi | Quasi zero - ciclo di vita dei certificati automatizzato |
| Tempo medio per revocare un dispositivo compromesso | Ore (processo manuale) | Secondi (OCSP + CoA) |
| Conformità al controllo degli accessi PCI-DSS | Manuale, ad alta intensità di audit | Automatizzata, applicata continuamente |
| Tempo di onboarding BYOD | 15 - 30 minuti per dispositivo | Meno di 5 minuti con zero intervento dell'IT |
Per una flotta di 500 dispositivi, l'eliminazione della gestione manuale dei certificati e dei ticket del service desk legati alle password riduce in genere i costi di supporto IT legati alla rete del 25 - 35%. Il valore di mitigazione del rischio - evitare una singola violazione basata sulle credenziali - supera regolarmente l'intero costo di implementazione. Per le organizzazioni del settore pubblico e sanitario vincolate dal GDPR, la capacità di dimostrare un controllo degli accessi automatizzato e verificabile rappresenta un importante vantaggio in termini di conformità.
Definizioni chiave
SCEP (Simple Certificate Enrollment Protocol)
Un protocollo che automatizza il rilascio e la revoca di certificati digitali ai dispositivi senza l'intervento dell'utente, fungendo da livello di comunicazione tra la piattaforma MDM e l'Autorità di Certificazione.
Utilizzato dalle piattaforme MDM per distribuire in modo trasparente certificati X.509 a migliaia di endpoint su scala. I team IT incontrano il protocollo SCEP durante la configurazione dei profili MDM per l'autenticazione WiFi 802.1X.
NAC (Network Access Control)
Una soluzione di sicurezza che applica policy sui dispositivi che cercano di accedere all'infrastruttura di rete, valutando le credenziali di autenticazione, la validità del certificato e lo stato di conformità del dispositivo prima di concedere l'accesso.
Agisce come custode al perimetro della rete. I team IT configurano le policy NAC per definire quali dispositivi ottengono l'accesso a quali VLAN in base ai loro attributi di certificato e allo stato di conformità MDM.
MDM (Mobile Device Management)
Software utilizzato dai dipartimenti IT per monitorare, gestire e proteggere gli endpoint dei dipendenti su molteplici sistemi operativi, fungendo da unica fonte di verità centrale per l'identità e la conformità dei dispositivi.
L'iniziatore del processo di registrazione SCEP e la fonte dei dati sullo stato di conformità interrogati dal NAC. Senza l'integrazione MDM, il NAC non può eseguire il controllo dell'accesso basato sullo stato del dispositivo.
IEEE 802.1X
Uno standard IEEE per il Network Access Control basato su porte che fornisce un meccanismo di autenticazione ai dispositivi che desiderano collegarsi a una LAN o WLAN, richiedendo un'autenticazione riuscita prima dell'apertura della porta.
Il protocollo sottostante che costringe i dispositivi ad autenticarsi prima che lo switch o l'access point consenta il passaggio di qualsiasi traffico. Configurato sia sull'infrastruttura di rete che sul supplicant 802.1X del dispositivo.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
Lo standard EAP più sicuro, che richiede un'autenticazione reciproca in cui sia il dispositivo client che il server RADIUS devono presentare certificati digitali validi, eliminando gli attacchi alle credenziali basati su password.
Il gold standard per la sicurezza wireless aziendale. Gli architetti IT dovrebbero imporre l'uso di EAP-TLS rispetto a PEAP o TTLS ovunque sia presente un'infrastruttura di certificati per i dispositivi.
CSR (Certificate Signing Request)
Un blocco di testo codificato generato da un dispositivo contenente la sua chiave pubblica e i dettagli identificativi, inviato all'Autorità di Certificazione per richiedere un certificato X.509 firmato.
Generata automaticamente dal dispositivo durante il processo di registrazione SCEP. La chiave privata corrispondente alla CSR non lascia mai il dispositivo, garantendo che il certificato non possa essere duplicato.
MAB (MAC Authentication Bypass)
Un metodo di autenticazione di fallback in cui la rete utilizza l'indirizzo MAC hardware del dispositivo come credenziale, utilizzato per i dispositivi privi della funzionalità di supplicant 802.1X.
Utilizzato per i dispositivi IoT legacy come stampanti, sensori e controller per smart room che non possono partecipare a EAP-TLS. Dovrebbe sempre tradursi nell'assegnazione a una VLAN altamente limitata.
OCSP (Online Certificate Status Protocol)
Un protocollo internet utilizzato per ottenere lo stato di revoca di un certificato digitale X.509 in tempo reale, fornendo un'alternativa al download e all'analisi delle Liste di Revoca dei Certificati.
Fondamentale per i sistemi NAC che devono bloccare immediatamente l'accesso alla rete quando un dispositivo è compromesso o segnalato come rubato. OCSP fornisce lo stato in tempo reale; i download delle CRL creano una finestra temporale di vulnerabilità prima della revoca.
CoA (Change of Authorization)
Un'estensione RADIUS (RFC 5176) che consente al NAC di modificare o terminare dinamicamente una sessione di rete attiva senza attendere la scadenza della sessione o la riautenticazione del dispositivo.
Utilizzato per disconnettere immediatamente un dispositivo quando il suo certificato viene revocato o il suo stato di conformità MDM cambia. Essenziale per l'applicazione del modello zero-trust in tempo reale.
Esempi pratici
Un resort di lusso da 500 camere ha la necessità di mettere in sicurezza la propria rete operativa per il personale di servizio. Lo staff utilizza tablet condivisi per la gestione delle pulizie, mentre la direzione utilizza laptop aziendali. L'attuale rete WPA2-PSK ha subìto diverse fughe della chiave precondivisa, causando due incidenti di sicurezza nell'ultimo anno. In che modo il team IT dovrebbe gestire la transizione all'autenticazione basata su certificati senza interrompere le attività?
Fase 1 - Preparazione (Settimane 1-2): Distribuire una soluzione RADIUS/NAC basata su cloud e integrarla con il MDM esistente. Configurare un profilo SCEP nel MDM per inviare certificati basati sul dispositivo a tutti i tablet e laptop. Utilizzare certificati basati sul dispositivo (collegati al numero di serie del dispositivo) anziché certificati basati sull'utente, in modo che i tablet condivisi si autentichino automaticamente indipendentemente dal membro dello staff che li sta utilizzando. Fase 2 - Distribuzione parallela (Settimane 3-4): Trasmettere un nuovo SSID nascosto configurato per 802.1X EAP-TLS. Inviare il nuovo profilo WiFi tramite MDM a tutti i dispositivi registrati. Monitorare la dashboard del NAC per verificare le autenticazioni riuscite. Fase 3 - Passaggio definitivo (Settimana 5): Una volta che oltre il 95% dei dispositivi è connesso al nuovo SSID, dismettere la rete legacy WPA2-PSK. Revocare la vecchia PSK da tutta la documentazione e dagli access point.
Una catena di vendita al dettaglio nazionale sta distribuendo 3.000 nuovi terminali Point of Sale in 150 negozi. Il team di sicurezza impone una rigorosa segmentazione della rete PCI-DSS e un accesso zero-trust. La tempistica di implementazione è di 8 settimane. In che modo SCEP e NAC facilitano questo processo su larga scala senza richiedere la presenza di personale IT in ogni negozio?
Pre-distribuzione: Il fornitore dei POS pre-registra tutti i 3.000 dispositivi nel MDM del rivenditore utilizzando il programma di registrazione zero-touch del fornitore stesso. Il MDM viene configurato con un profilo SCEP che si attiverà automaticamente al primo avvio. Distribuzione: Quando un terminale POS viene acceso in negozio, si connette a un SSID di onboarding temporaneo (solo internet, nessun accesso aziendale). Viene inviato il profilo MDM, si attiva il payload SCEP e il dispositivo richiede e riceve il suo certificato X.509 dalla CA. Successivamente, il MDM invia il profilo WiFi aziendale. Accesso alla rete: Quando il POS si connette alla porta dello switch del negozio, lo switch avvia la procedura 802.1X. Il NAC convalida il certificato, interroga il MDM per confermare che il POS sia conforme (crittografia abilitata, agente MDM attivo, nessun jailbreak rilevato) e assegna dinamicamente la porta dello switch alla VLAN PCI-DSS. Il POS è ora operativo. Non è stato richiesto l'intervento di alcun personale IT in negozio.
Domande di esercitazione
Q1. La tua organizzazione sta migrando da WPA2-Enterprise con PEAP-MSCHAPv2 a EAP-TLS. Durante il pilot, i laptop Windows e gli iPhone si connettono con successo, ma 200 scanner di codici a barre del magazzino non riescono a autenticarsi. Gli scanner supportano lo standard 802.1X ma non possono elaborare il payload SCEP inviato dal MDM - eseguono un sistema operativo proprietario integrato che non supporta alcun agente MDM. Qual è la soluzione architetturale più sicura che mantiene la segmentazione della rete senza richiedere la sostituzione degli scanner?
Suggerimento: Considera meccanismi alternativi di distribuzione dei certificati che non richiedono un agente MDM e quali controlli di segmentazione della rete dovrebbero essere applicati ai dispositivi che non possono partecipare a una valutazione completa della postura.
Visualizza risposta modello
Poiché gli scanner supportano lo standard 802.1X ma non SCEP o la registrazione MDM, l'approccio più sicuro consiste nel fornire manualmente i certificati del dispositivo utilizzando un modello di certificato dedicato con un profilo di utilizzo della chiave limitato. I certificati vengono installati una sola volta durante una finestra di manutenzione. Il NAC viene configurato per accettare questi certificati ma assegna gli scanner a una VLAN dedicata alle operazioni di magazzino con ACL restrittive - non alla VLAN aziendale completa - poiché la valutazione della postura non è possibile. In alternativa, se la fornitura manuale dei certificati non è scalabile a livello operativo, configura il MAB come fallback specificamente per gli OUI MAC dell'hardware dello scanner, con il NAC che li assegna alla stessa VLAN limitata. Registra questa eccezione nota nel tuo registro dei rischi e pianifica la sostituzione degli scanner nel prossimo ciclo di rinnovo dell'hardware.
Q2. Un responsabile della sicurezza di rete nota che quando un dipendente segnala il furto di un laptop, il MDM invia un comando di cancellazione remota, ma il dispositivo rimane connesso al WiFi aziendale per un massimo di 12 ore - l'attuale timeout della sessione RADIUS. Durante questa finestra temporale, il dispositivo potrebbe essere utilizzato per esfiltrare dati. Come dovrebbe essere modificata l'architettura per interrompere l'accesso alla rete immediatamente dopo la segnalazione del furto di un dispositivo?
Suggerimento: Il NAC deve essere informato del cambio di stato istantaneamente invece di attendere il ciclo di autenticazione successivo. Considera sia il meccanismo di terminazione della sessione sia il meccanismo di prevenzione della riautenticazione.
Visualizza risposta modello
Implementa due controlli complementari. Innanzitutto, configura il MDM per inviare un webhook al NAC immediatamente dopo che un dispositivo è stato contrassegnato come smarrito o rubato. Il NAC invia quindi un messaggio RADIUS Change of Authorization (CoA) Disconnect-Request all'access point specifico o alla porta dello switch, terminando immediatamente la sessione attiva. In secondo luogo, revoca il certificato del dispositivo nella CA e assicurati che il NAC sia configurato per il controllo OCSP in tempo reale anziché per la revoca basata su CRL. Ciò significa che anche se il dispositivo si riconnette prima che il CoA venga elaborato, l'autenticazione EAP-TLS fallirà al controllo OCSP. Entrambi i controlli combinati riducono la finestra di esposizione da 12 ore a meno di 60 secondi.
Q3. Durante un audit di sicurezza della rete di un grande centro congressi, si scopre che il server SCEP è esposto a internet pubblico utilizzando una password di verifica statica per consentire la registrazione remota dei dispositivi. L'auditor segnala questo aspetto come una vulnerabilità critica. Come dovrebbe essere riprogettato il processo di registrazione SCEP per mantenere la capacità di registrazione remota eliminando al contempo il rischio della password statica?
Suggerimento: Il server SCEP ha bisogno di un modo per verificare che il dispositivo che richiede un certificato sia effettivamente autorizzato dal MDM, senza fare affidamento su un segreto condiviso che potrebbe essere estratto da un dispositivo o intercettato.
Visualizza risposta modello
Sostituire la password di verifica statica con password di verifica monouso dinamiche per singolo dispositivo generate dal MDM. Il flusso di lavoro diventa: (1) Il MDM genera una password di verifica univoca e a tempo limitato per ciascun dispositivo durante la registrazione. (2) Il MDM include questa verifica nel payload SCEP inviato al dispositivo. (3) Il dispositivo include la verifica nella sua CSR. (4) Il server SCEP convalida la verifica confrontandola con il MDM tramite API prima di inoltrare la CSR alla CA. (5) La verifica viene invalidata immediatamente dopo l'uso. Ciò garantisce che solo i dispositivi gestiti dal MDM possano ottenere con successo un certificato e che, anche se l'URL SCEP viene scoperto, un utente malintenzionato non possa generare certificati validi senza una verifica monouso valida. Inoltre, limitare il server SCEP al solo protocollo HTTPS e implementare il white-listing degli IP per gli IP di uscita del MDM, laddove possibile.
Continua a leggere questa serie
PPSK WiFi: confronto tra funzionalità e modelli di implementazione
Questa guida di riferimento tecnico confronta l'architettura WiFi Private Pre-Shared Key (PPSK) con le distribuzioni tradizionali 802.1X e PSK standard. Fornisce ad architetti di rete e IT manager strategie di implementazione indipendenti dai vendor per ambienti residenziali multitenant, IoT e BTR.
How to Reduce the Number of WiFi SSIDs Using Per-Device PSK (iPSK, DPSK, MPSK)
This authoritative technical reference guide explains how IT teams can eliminate WiFi performance degradation caused by SSID beacon overhead by collapsing multiple purpose-built networks into a single SSID using per-device PSK (xPSK). It covers the vendor landscape across Cisco iPSK, HPE Aruba MPSK, Ruckus DPSK, Juniper Mist PPSK, and Ubiquiti UniFi PPSK, with practical implementation guidance on dynamic VLAN assignment, IoT onboarding, and PCI DSS compliance. Venue operators in hospitality, retail, stadiums, and public-sector organisations will find actionable architecture guidance and real-world worked examples.
Come implementare il NAC Post-Admission per il monitoraggio continuo della fiducia
Questa guida fornisce un piano tecnico autorevole per l'implementazione del Network Access Control (NAC) Post-Admission con monitoraggio continuo della fiducia in ambienti aziendali, inclusi hospitality, retail, sanità e settore pubblico. Dettaglia il passaggio architetturale dai controlli statici pre-admission a un'applicazione dinamica e sensibile alla sessione utilizzando RADIUS CoA, baselining comportamentale e integrazione della telemetria. Gli architetti IT e i team delle operazioni di rete troveranno linee guida pratiche per la distribuzione, casi di studio reali, note di conformità e framework ROI misurabili.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.