Implementazione di SCEP per WiFi 802.1X e BYOD Sicuro nell'Istruzione Superiore

Benvenuti al Purple Technical Briefing. Sono la vostra voce narrante e oggi approfondiremo un argomento che emerge costantemente nell'IT dell'istruzione superiore: come implementare SCEP - ovvero il Simple Certificate Enrolment Protocol - per fornire WiFi BYOD e 802.1X sicuro all'interno del campus. Se vi trovate a gestire la rete di un'università o di un college in questo momento, vi starete probabilmente confrontando con una tensione familiare. Da un lato, ci sono studenti, docenti e personale che portano centinaia o migliaia di dispositivi personali. Dall'altro, avete una postura di sicurezza che deve soddisfare i requisiti istituzionali, normativi e, sempre più spesso, di assicurazione informatica. Le reti WiFi basate su password e i Captive Portal aperti non sono semplicemente più sufficienti. Parliamo quindi di ciò che lo è davvero. Innanzitutto, definiamo lo scenario. L'802.1X è lo standard IEEE per il controllo dell'accesso alla rete basato su porta. Esiste dal 2001, ma oggi è più rilevante che mai. L'idea centrale è che, prima che qualsiasi dispositivo acceda alla rete, debba dimostrare chi è - non limitandosi a presentare una password che chiunque potrebbe condividere, ma presentando una credenziale verificabile. In un contesto cablato, questo controllo delle credenziali avviene sulla porta dello switch. Nel WiFi, avviene sull'access point, mediato da un server RADIUS. Ora, la credenziale stessa può assumere diverse forme. È possibile utilizzare un nome utente e una password tramite PEAP - ovvero Protected Extensible Authentication Protocol. Oppure si può utilizzare un certificato digitale tramite EAP-TLS - Extensible Authentication Protocol con Transport Layer Security. EAP-TLS rappresenta il gold standard. È bidirezionale - la rete autentica il dispositivo e il dispositivo autentica la rete. Questa autenticazione reciproca è ciò che blocca gli access point canaglia. Il laptop di uno studente semplicemente non si connetterà a una rete contraffatta che non possiede il certificato corretto. Quindi, dove entra in gioco SCEP? SCEP - Simple Certificate Enrolment Protocol - è il meccanismo attraverso il quale i dispositivi richiedono e ricevono tali certificati digitali in modo automatico. Senza SCEP, dovreste generare e distribuire manualmente i certificati a ogni singolo dispositivo. In un'università con diecimila studenti e tremila dipendenti, questa non è un'operazione fattibile. SCEP automatizza l'intero processo. Ecco come funziona il flusso. Un dispositivo si connette a una rete di provisioning - a volte chiamata SSID di onboarding. Contatta il vostro server SCEP, che è tipicamente integrato con la vostra Certificate Authority - la vostra CA. Il dispositivo invia una Certificate Signing Request. Il server SCEP convalida la richiesta, spesso verificando le credenziali dell'utente rispetto alla vostra directory - Microsoft Entra ID o Google Workspace. Una volta convalidata, la CA emette un certificato firmato e il dispositivo lo installa. Da quel momento in poi, il dispositivo utilizza tale certificato per autenticarsi automaticamente sul vostro SSID protetto da 802.1X. Nessun portale, nessuna richiesta di password, nessun ticket IT.Parliamo dell'architettura in modo un po' più dettagliato. In una tipica implementazione per l'istruzione superiore, dovrai considerare tre segmenti di rete. In primo luogo, la rete di onboarding - è qui che arrivano i dispositivi non registrati. Ha accesso a Internet ma è isolata dalle risorse interne. In secondo luogo, il tuo SSID protetto da 802.1X - è qui che si connettono i dispositivi registrati, con pieno accesso alle risorse appropriate in base al loro ruolo. In terzo luogo, l'infrastruttura di gestione - il server RADIUS, la CA, il server SCEP e l'integrazione con la directory. Il server RADIUS agisce come un vigile urbano. Quando un dispositivo tenta di connettersi al tuo SSID 802.1X, l'access point invia una richiesta di autenticazione a RADIUS. RADIUS convalida il certificato confrontandolo con l'elenco di revoca dei certificati della CA, verifica lo stato dell'utente nella directory e concede o nega l'accesso. Può anche assegnare il dispositivo a una VLAN in base al ruolo - gli studenti vanno su un segmento, i docenti su un altro, il personale amministrativo su un terzo. Questa è l'Identity-Based Networking all'atto pratico. Ora, una delle domande più comuni che ricevo è: con quale hardware funziona? La buona notizia è che 802.1X è uno standard, quindi funziona con qualsiasi access point che supporti WPA2 o WPA3 Enterprise. In pratica, ti consigliamo di verificare l'implementazione specifica del tuo fornitore. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi - tutti questi supportano lo standard. I passaggi di configurazione variano a seconda del fornitore, ma il protocollo sottostante è lo stesso. Lascia che ti illustri l'aspetto di un'implementazione reale. Userò un esempio composito basato su un'università britannica di medie dimensioni - circa quindicimila studenti, tre campus, un mix di infrastrutture Aruba e Meraki. Il progetto è iniziato con un audit di rete. La configurazione esistente era un mix di SSID aperti e un Captive Portal per l'accesso degli studenti. Il team IT era sommerso da ticket di reimpostazione delle password - circa quaranta a settimana. La randomizzazione degli indirizzi MAC su iOS e Android aveva completamente compromesso i loro sistemi di analisi, quindi non avevano dati affidabili sui modelli di utilizzo della rete. La prima fase è stata l'implementazione dell'infrastruttura PKI. Hanno configurato una CA a due livelli - una CA radice offline e una CA di emissione online. Il server SCEP è stato integrato con la CA di emissione e connesso a Microsoft Entra ID per la convalida dell'identità. La durata del certificato è stata impostata a un anno, con rinnovo automatico attivato alla scadenza dei trenta giorni. La seconda fase è stata la configurazione dell'SSID 802.1X. Hanno creato un SSID dedicato con WPA3-Enterprise, lo hanno indirizzato ai loro server RADIUS e hanno configurato le regole di assegnazione VLAN. Gli studenti hanno ottenuto una VLAN, il personale un'altra e i dispositivi IoT una terza.La terza fase ha riguardato l'esperienza di onboarding. È stata utilizzata una soluzione di controllo dell'accesso alla rete per reindirizzare i dispositivi non registrati a un portale self-service. Gli studenti si autenticavano con le proprie credenziali universitarie, il flusso SCEP veniva eseguito in background e il certificato veniva installato. Su iOS, questo richiedeva un profilo di configurazione. Su Android, il processo era leggermente diverso ma altrettanto automatizzato. Il risultato? I ticket per la reimpostazione delle password sono diminuiti di oltre il novanta percento nel primo mese. La visibilità della rete è migliorata notevolmente perché le identità basate su certificati non ruotano come gli indirizzi MAC. E il team di sicurezza ha finalmente ottenuto un audit trail affidabile per ogni dispositivo sulla rete. Ora parliamo di come Purple si inserisce in questo scenario. Il prodotto SecurePass di Purple è basato esattamente su questa architettura. SecurePass emette profili WiFi firmati digitalmente utilizzando WPA2 e WPA3-Enterprise con autenticazione reciproca 802.1X. Il processo di registrazione richiede meno di trenta secondi. Una volta che un dispositivo ha un profilo, si connette automaticamente - senza portale, senza password, senza attriti. Ciò che rende SecurePass particolarmente rilevante per l'istruzione superiore è la combinazione di sicurezza e analisi. Poiché la credenziale di autenticazione è un certificato stabile anziché un indirizzo MAC rotante, si ottengono dati accurati sulle visite di ritorno, sui tempi di permanenza e sulla frequenza delle visite. Questi dati vengono inseriti direttamente nella piattaforma di analisi di Purple, offrendo una visibilità reale su come viene utilizzata la rete del campus. SecurePass si integra anche con Microsoft Entra ID e Google Workspace per le implementazioni del personale. Ciò significa che quando un membro del personale lascia l'università, il suo accesso viene revocato automaticamente. Nessun processo manuale, nessun account dimenticato, nessuna lacuna di sicurezza. Questo è il flusso di lavoro di assunzione, trasferimento e dimissione automatizzato end-to-end. Per l'infrastruttura RADIUS, Purple gestisce server cloud RADIUS - primari e secondari - in modo da non dover gestire personalmente tale infrastruttura. L'elenco dell'hardware supportato include Cisco Meraki, Cisco Catalyst, HPE Aruba, Ubiquiti UniFi, Ruckus, Juniper Mist e Fortinet, tra gli altri. Tutti i dettagli sono disponibili nelle FAQ di SecurePass sul sito di supporto Purple. Permettetemi di indicarvi le insidie dell'implementazione a cui prestare attenzione. Queste sono le cose che mettono in difficoltà i team nelle distribuzioni reali. Primo: la revoca dei certificati. È necessario un CRL - Certificate Revocation List - funzionante o un risponditore OCSP. Se il server RADIUS non può verificare lo stato di revoca, si bloccano tutte le connessioni o si accettano tutte le connessioni. Nessuna delle due opzioni è accettabile. Testate l'infrastruttura di revoca prima di andare online. Secondo: compatibilità dei dispositivi. La maggior parte dei dispositivi moderni iOS, Android, macOS e Windows supporta nativamente EAP-TLS. Tuttavia, i dispositivi più vecchi, i dispositivi IoT e alcuni sistemi legacy non lo fanno. È necessario un piano per questi dispositivi - che si tratti di un SSID separato con un'autenticazione diversa o di un processo di gestione delle eccezioni. Terzo: durata e rinnovo dei certificati. Se i certificati scadono e il processo di rinnovo fallisce, gli utenti perdono l'accesso. Imposta la finestra di rinnovo in modo generoso - trenta giorni prima della scadenza è un minimo ragionevole. Monitora la scadenza dei certificati a livello centrale e invia avvisi prima che diventi un problema. Quarto: l'esperienza di onboarding. Il flusso tecnico può essere perfetto, ma se gli studenti trovano confuso il processo di registrazione, non lo completeranno. Investi in una segnaletica chiara, in un portale self-service semplice e in una breve guida di aiuto. La registrazione in trenta secondi pubblicizzata da SecurePass è realizzabile, ma solo se l'esperienza utente è quella giusta. Quinto: resilienza del server RADIUS. La tua infrastruttura 802.1X è ora un percorso critico per l'accesso alla rete. Se il tuo server RADIUS si arresta, nessuno si connette. Hai bisogno di server RADIUS primari e secondari, idealmente in diverse zone di disponibilità, con failover automatico. Ora passiamo alle nostre domande e risposte rapide. Queste sono le domande che ricevo più spesso. Lo SCEP può funzionare con una CA basata su cloud? Sì. NDES di Microsoft - Network Device Enrolment Service - e diversi provider CA cloud di terze parti supportano SCEP tramite HTTPS. Non hai bisogno di infrastruttura on-premises. L'802.1X funziona con Passpoint e OpenRoaming? Sì. Passpoint - noto anche come Hotspot 2.0 - utilizza 802.1X come livello di autenticazione. OpenRoaming estende questo concetto a una federazione globale di reti affidabili. Uno studente registrato tramite SecurePass si connetterà automaticamente in una qualsiasi delle oltre ottantamila sedi OpenRoaming in tutto il mondo. Parliamo di aeroporti, hotel, snodi di trasporto - il tutto senza alcuna azione aggiuntiva. E per quanto riguarda l'accesso ospiti? L'802.1X e lo SCEP sono destinati a dispositivi gestiti e identità note. Per i veri ospiti, è comunque necessario un meccanismo di accesso ospiti separato. I due sistemi funzionano in parallelo; non sono in conflitto. WPA3-Enterprise è obbligatorio? No, WPA2-Enterprise con 802.1X è ancora ampiamente distribuito e perfettamente sicuro per la maggior parte dei casi d'uso. WPA3-Enterprise aggiunge una crittografia più forte. Se il tuo hardware lo supporta, abilitalo. In caso contrario, WPA2-Enterprise rappresenta una solida base. Per concludere, ecco i cinque punti fondamentali che vorrei che portassi via da questo briefing. Uno: l'802.1X con autenticazione basata su certificati è l'architettura di sicurezza corretta per il BYOD nell'istruzione superiore. Le password e i portali non sono adeguati per l'ambiente di minacce in cui operi oggi. Due: lo SCEP è ciò che rende scalabile l'autenticazione basata su certificati. Senza la registrazione automatizzata, non puoi distribuire certificati su una scala richiesta da un'università. Tre: la mutua autenticazione è la proprietà di sicurezza chiave. Protegge i tuoi studenti dagli access point non autorizzati tanto quanto protegge la tua rete da dispositivi non autorizzati. Quattro: l'integrazione con la directory - con Microsoft Entra ID o Google Workspace - è ciò che rende automatico il flusso di lavoro per i nuovi assunti, i trasferimenti e le dimissioni. Non distribuire l'802.1X senza di essa. Cinque: l'esperienza di onboarding determina l'adozione. La tecnologia può essere perfetta, ma se il processo di registrazione è macchinoso, passerai più tempo a gestire i ticket di supporto che a risparmiare tempo. Se desideri approfondire, il sito di supporto Purple contiene la documentazione dettagliata di SecurePass che copre la configurazione RADIUS, la compatibilità hardware e il flusso di registrazione. I link si trovano nelle note dell'episodio. Grazie per l'ascolto. Ci vediamo al prossimo briefing.