La guida Enterprise a SCEP: implementare il Simple Certificate Enrollment Protocol per la sicurezza automatizzata del WiFi aziendale

Buongiorno. Se gestite un'infrastruttura WiFi per un gruppo alberghiero, un patrimonio retail, uno stadio o un campus universitario, questo briefing fa al caso vostro. Parleremo di SCEP - Simple Certificate Enrollment Protocol - e in particolare di come risolve uno dei problemi più persistenti nel WiFi aziendale: l'installazione automatica dei certificati su migliaia di dispositivi, senza che il vostro helpdesk venga sommerso di ticket. [short pause] Inquadriamo la situazione. Avete deciso - giustamente - che le chiavi pre-condivise non sono più accettabili per il WiFi del personale. Una singola password compromessa espone l'intero segmento di rete. Siete passati, o state passando, all'autenticazione 802.1X. Si tratta dello standard IEEE che richiede a ogni dispositivo di dimostrare la propria identità prima di ottenere l'accesso alla rete. La variante più sicura di 802.1X è EAP-TLS - Extensible Authentication Protocol con Transport Layer Security - che utilizza certificati digitali anziché password. I certificati sono crittograficamente univoci per dispositivo, non possono essere condivisi e possono essere revocati istantaneamente in caso di smarrimento del dispositivo o di dimissioni di un dipendente. [short pause] Fin qui tutto bene. Il problema è la distribuzione. Come fare a installare un certificato univoco su ogni laptop, ogni telefono, ogni tablet della vostra azienda - tra Windows, iOS, Android, macOS - senza che un tecnico debba toccare fisicamente ogni dispositivo? Questo è esattamente ciò che risolve SCEP. [medium pause] SCEP è stato formalizzato dall'Internet Engineering Task Force nella RFC 8894 nel 2020, sebbene sia in uso negli ambienti aziendali fin dai primi anni 2000. Si tratta di un protocollo che consente a un dispositivo gestito di richiedere il proprio certificato direttamente alla vostra Certificate Authority, utilizzando un URL preconfigurato e una password di verifica. L'aspetto cruciale per la sicurezza: la chiave privata viene generata sul dispositivo stesso, memorizzata nell'enclave sicura del dispositivo - ovvero il chip TPM sui dispositivi Windows o la Secure Enclave sull'hardware Apple - e non viaggia mai sulla rete. Il dispositivo genera una Certificate Signing Request, la invia al gateway SCEP, il gateway convalida la verifica, inoltra la richiesta alla vostra Certificate Authority, la CA la firma e il certificato firmato torna al dispositivo. L'intero processo è invisibile all'utente finale. [short pause] Ora, in un ambiente Microsoft, il gateway SCEP è tipicamente NDES - Network Device Enrollment Service - un ruolo di Windows Server che funge da intermediario tra la vostra piattaforma MDM e la vostra CA. Microsoft Intune distribuisce il profilo SCEP ai dispositivi gestiti, comunicando loro l'URL NDES e la password di verifica. I dispositivi fanno il resto in modo automatico. [medium pause] Lasciate che vi mostri come si presenta una distribuzione reale. Prendiamo un gruppo alberghiero con 150 proprietà - pensate alla scala di Premier Inn. Hanno un mix di laptop Windows per il personale della reception, dispositivi iOS per i supervisori delle pulizie e tablet Android per il punto vendita del ristorante. Prima di SCEP, utilizzavano WPA2-Personal con una password condivisa ruotata trimestralmente. Ogni rotazione generava un'ondata di chiamate all'helpdesk. Con SCEP e Intune, distribuiscono tre profili in sequenza. Primo, il profilo del certificato radice attendibile - questo indica a ogni dispositivo di considerare attendibile l'autorità di certificazione aziendale. Secondo, il profilo del certificato SCEP - questo istruisce i dispositivi a richiedere e riscuotere il proprio certificato client univoco. Terzo, il profilo WiFi - questo configura l'SSID, imposta il tipo di sicurezza su WPA2-Enterprise o WPA3-Enterprise e punta al certificato SCEP per l'autenticazione. Distribuendo questi tre profili allo stesso gruppo di dispositivi in Intune, ogni dispositivo gestito si connette automaticamente all'SSID aziendale, con un certificato univoco e senza richiedere alcuna interazione da parte dell'utente. [short pause] Il server RADIUS - in genere Microsoft NPS o un servizio cloud RADIUS - riceve la richiesta di autenticazione EAP-TLS, convalida il certificato rispetto alla CA, controlla l'elenco di revoca dei certificati e concede o nega l'accesso. Se un dipendente viene licenziato, si revoca il suo certificato nella CA. Il suo dispositivo perde l'accesso WiFi al successivo ciclo di autenticazione. Nessun ripristino della password richiesto. Nessuna attesa per una rotazione trimestrale. [medium pause] Ora, spesso mi viene chiesta la differenza tra SCEP e PKCS - Public Key Cryptography Standards. Entrambi funzionano con Intune. La differenza fondamentale risiede nel punto in cui viene generata la chiave privata. Con SCEP, viene generata sul dispositivo. Con PKCS, la CA genera entrambe le chiavi a livello centrale e invia la chiave privata al dispositivo. Ciò significa che la chiave privata viaggia attraverso la rete, il che introduce un rischio teorico di intercettazione. Il PKCS ha una sua collocazione - è più adatto per la crittografia delle e-mail S/MIME in cui il deposito delle chiavi è importante. Per l'autenticazione WiFi, SCEP è la scelta giusta. Sempre. [short pause] Lasciate che vi presenti un secondo scenario - una rete di negozi al dettaglio. Immaginate un rivenditore di moda con 200 negozi nel Regno Unito, ognuno dei quali utilizza punti di accesso Cisco Meraki. I loro sistemi di punto vendita sono basati su Windows, gestiti tramite Intune. Hanno bisogno della conformità PCI-DSS, il che significa segmentazione della rete e autenticazione forte per qualsiasi dispositivo che gestisce i dati dei titolari di carta. L'EAP-TLS basato su SCEP garantisce loro l'autenticazione a livello di dispositivo sull'SSID del personale, con l'assegnazione della VLAN guidata dalla policy RADIUS. I terminali POS finiscono automaticamente sulla VLAN inclusa nell'ambito PCI. Il WiFi per gli ospiti - gestito separatamente tramite una piattaforma come Purple - funziona su un SSID completamente isolato con il proprio flusso di autenticazione. Le due reti non si toccano mai. Gli auditor sono soddisfatti. Il team di sicurezza dorme sonni più tranquilli. [medium pause] Bene, parliamo delle insidie, perché ce ne sono alcune che mettono in difficoltà i team. [short pause] La causa di errore più comune riguarda la mancata corrispondenza del targeting di gruppo in Intune. Il tuo profilo Trusted Root, il tuo profilo SCEP e il tuo profilo WiFi devono essere tutti indirizzati allo stesso gruppo Azure AD. Se il profilo SCEP è indirizzato a un gruppo Utenti e il profilo WiFi a un gruppo Dispositivi, Intune non riesce a risolvere la dipendenza e il profilo WiFi mostrerà un errore. Verifica prima di tutto le tue assegnazioni - è quasi sempre lì il problema. [short pause] Secondo errore comune: la disponibilità del server NDES. Il tuo server NDES deve essere raggiungibile da internet affinché i dispositivi remoti possano registrarsi prima di arrivare in sede. Il modo sicuro per farlo è tramite Azure AD Application Proxy, che ti offre l'accesso remoto senza dover aprire porte in ingresso nel firewall. Non esporre NDES direttamente su internet. [short pause] Terzo: la disponibilità della CRL. Il tuo server RADIUS controlla la Certificate Revocation List ogni volta che un dispositivo esegue l'autenticazione. Se il CRL Distribution Point non è raggiungibile - forse un server è offline o una regola del firewall è cambiata - l'autenticazione fallisce per tutti. Rendi i tuoi endpoint CRL altamente disponibili e testali regolarmente. [short pause] Quarto: i permessi dei modelli di certificato. Se l'account di servizio del tuo connettore NDES non ha i permessi di Lettura e Registrazione sul modello di certificato, i dispositivi riceveranno errori HTTP 403 quando proveranno a ritirare il proprio certificato. Si tratta di una semplice correzione di permessi, ma è facile da dimenticare durante la configurazione iniziale. [medium pause] Ora passiamo a una serie di domande rapide. [short pause] SCEP può funzionare con MDM non Microsoft? Sì - Jamf per le flotte di dispositivi Apple, VMware Workspace ONE e la maggior parte delle piattaforme MDM aziendali supportano i profili SCEP. Il protocollo è indipendente dal fornitore. [short pause] SCEP funziona con le PKI in cloud? Sì. La PKI in cloud di Microsoft in Intune Suite elimina completamente la necessità di un server NDES on-premises. Anche i provider di PKI in cloud di terze parti come SecureW2 e Keyfactor offrono endpoint SCEP in cloud. [short pause] E per quanto riguarda WPA3-Enterprise? WPA3-Enterprise utilizza lo stesso stack di autenticazione 802.1X ed EAP-TLS. I certificati emessi tramite SCEP funzionano in modo identico. L'aggiornamento riguarda il livello del protocollo wireless, non il livello del certificato. [short pause] Quanto dura la validità dei certificati? In genere un anno, sebbene sia possibile configurare periodi di validità più brevi. Intune gestisce il rinnovo automatico prima della scadenza, così gli utenti non subiranno mai interruzioni. [medium pause] Per riassumere. SCEP automatizza la distribuzione dei certificati su scala, eliminando il carico di lavoro manuale associato all'implementazione delle PKI su ampie flotte di dispositivi. La chiave privata rimane sul dispositivo - questo è il pilastro della sicurezza di EAP-TLS. Distribuisci in sequenza: prima il Trusted Root, secondo il profilo SCEP, terzo il profilo WiFi, tutti indirizzati allo stesso gruppo. Pubblica il tuo endpoint NDES in modo sicuro tramite Application Proxy. Mantieni i tuoi endpoint CRL altamente disponibili. E se stai partendo da zero, valuta una PKI in cloud per rimuovere completamente la dipendenza da un server NDES on-premises. [short pause] Per il WiFi per gli ospiti - la rete separata rivolta ai visitatori - l'autenticazione basata su certificati non è il modello corretto. Gli ospiti non dispongono di dispositivi gestiti. È qui che una piattaforma come Purple gestisce il flusso di autenticazione: Captive Portal, login social, acquisizione e-mail o verifica SMS, il tutto alimentando un livello di dati di prima parte che il vostro team di marketing può effettivamente utilizzare. I due approcci si completano a vicenda: SCEP per il parco dispositivi aziendali gestito, Purple per la rete ospiti. Entrambi in esecuzione sul medesimo hardware, nettamente segmentati tramite VLAN. [short pause] Questo è il vostro briefing sulla configurazione del WiFi aziendale tramite SCEP. La guida scritta completa, con diagrammi di architettura, configurazione passo dopo passo di Intune ed esempi pratici, è disponibile sul sito web di Purple. Grazie per l'ascolto.