Automatizando a Segurança de WiFi Corporativo: O Guia de Implantação de Certificados SCEP
Este guia técnico explica como automatizar a segurança de WiFi corporativo usando a implantação de certificados SCEP. Ele fornece um modelo arquitetônico detalhado e etapas de implementação para implantar a autenticação 802.1X EAP-TLS em redes corporativas e de visitantes.
Ouça este guia
Ver transcrição do podcast
Resumo Executivo
Para estabelecimentos corporativos nos setores de hotelaria, varejo e público, depender de chaves pré-compartilhadas ou de Captive Portals básicos para acesso à rede introduz graves vulnerabilidades de segurança. A arquitetura de rede moderna exige autenticação 802.1X usando EAP-TLS, garantindo que cada dispositivo seja verificado criptograficamente antes de acessar a rede. O desafio para gerentes de TI e arquitetos de rede é implantar certificados de cliente exclusivos em milhares de dispositivos Windows, iOS e Android de forma eficiente.
Este guia fornece um modelo arquitetônico definitivo e uma estratégia de implementação passo a passo para a implantação automatizada de certificados WiFi usando o Simple Certificate Enrollment Protocol (SCEP). Ao integrar sua plataforma de Mobile Device Management (MDM) com um gateway SCEP e uma Autoridade Certificadora (CA), você pode enviar certificados raiz e de cliente confiáveis silenciosamente para endpoints gerenciados. Exploramos as diferenças críticas entre SCEP e PKCS, detalhamos a sequência exata de implantação necessária para o sucesso e descrevemos estratégias de mitigação de risco do mundo real para garantir que suas redes WiFi permaneçam seguras e eficientes.
Ouça o briefing em podcast complementar:
Análise Técnica Detalhada: Arquitetura SCEP e EAP-TLS
Ao projetar sua estratégia de implantação de certificados WiFi corporativos, a principal decisão arquitetônica é como entregar os certificados de forma segura. O padrão do setor para esse processo é o SCEP. O SCEP automatiza o processo de registro de certificados, permitindo que os dispositivos solicitem certificados com segurança de uma Autoridade Certificadora usando um protocolo padronizado.
A Vantagem do SCEP sobre o PKCS
Embora plataformas como o Microsoft Intune suportem tanto o SCEP quanto o Public Key Cryptography Standards (PKCS), eles operam de maneira fundamentalmente diferente. Em um fluxo de trabalho SCEP, o serviço MDM instrui o endpoint a gerar seu próprio par de chaves privada e pública. O dispositivo então cria uma Solicitação de Assinatura de Certificado (CSR) e a envia por meio de um servidor Network Device Enrollment Service (NDES) para sua CA. A CA assina a solicitação e retorna o certificado público para o dispositivo.
A vantagem crítica de segurança do SCEP é que a chave privada nunca sai do dispositivo. Ela é gerada localmente e armazenada no enclave seguro do dispositivo. Isso torna o SCEP a abordagem fortemente recomendada para a autenticação 802.1X. Por outro lado, com o PKCS, a CA gera ambas as chaves de forma centralizada e as transmite pela rede. O PKCS é mais adequado para casos de uso que exigem custódia de chaves, como criptografia de e-mail S/MIME, em vez de autenticação de rede.
Autenticação 802.1X e EAP-TLS
O padrão IEEE 802.1X fornece uma estrutura para o gerenciamento centralizado de acesso à rede. Ele define como passar pacotes do Extensible Authentication Protocol (EAP) sobre redes locais (EAPoL) para autenticação entre o cliente, o ponto de acesso e o servidor de autenticação (geralmente um servidor RADIUS).
O EAP-TLS é o protocolo de autenticação mais seguro para redes 802.1X. Ele exige autenticação mútua: o cliente verifica o certificado do servidor RADIUS e o servidor RADIUS verifica o certificado do cliente. Esse processo rigoroso de validação garante que apenas usuários autenticados e autorizados em dispositivos registrados tenham acesso concedido, protegendo a rede contra ameaças como ataques de Evil Twin.
Guia de Implementação: A Sequência de Implantação
A configuração bem-sucedida da implantação automatizada de certificados para 802.1X exige a adesão estrita a uma sequência específica. As dependências de perfil determinam que a confiança deve ser estabelecida antes que a autenticação possa ser configurada. Isso se aplica quer você use o Microsoft Intune, o Jamf ou outra plataforma MDM.
Etapa 1: Implantar o Certificado Raiz Confiável
Antes que qualquer dispositivo possa solicitar um certificado de cliente ou confiar no seu servidor RADIUS, ele deve confiar na Autoridade Certificadora emissora.
- Exporte o certificado da sua CA Raiz e quaisquer certificados de CA Intermediária.
- Na sua plataforma MDM, crie um perfil de certificado confiável.
- Faça o upload dos arquivos de certificado e implante esse perfil nos seus grupos de dispositivos de destino.
Etapa 2: Configurar o Perfil de Certificado SCEP
Assim que a confiança for estabelecida, configure o perfil SCEP para instruir os dispositivos sobre como obter seu certificado de cliente.
- Crie um novo perfil de configuração de certificado SCEP.
- Configure o formato do nome do assunto (subject name). Para autenticação baseada em usuário, use o User Principal Name. Para autenticação de dispositivo, use o ID do dispositivo.
- Defina o uso da chave (key usage) para assinatura digital e criptografia de chave (key encipherment).
- Especifique Autenticação de Cliente (Client Authentication) para uso estendido de chave (extended key usage).
- Vincule este perfil ao perfil de certificado de Raiz Confiável criado na Etapa 1.
- Forneça a URL externa do seu gateway SCEP ou servidor NDES.
Etapa 3: Implantar o Perfil de WiFi 802.1X
A etapa final é enviar a configuração de WiFi que vincula os certificados ao SSID da rede.
- Crie um perfil de configuração de WiFi.
- Insira o SSID exatamente como transmitido pelos seus pontos de acesso.
- Selecione WPA2-Enterprise ou WPA3-Enterprise como o tipo de segurança.
- Defina o tipo de EAP como EAP-TLS.
- Selecione o perfil de certificado SCEP criado na Etapa 2 para autenticação de cliente.
- Especifique o certificado de Raiz Confiável para validação do servidor para garantir que o dispositivo se conecte apenas ao seu servidor RADIUS legítimo.
Melhores Práticas para Ambientes Corporativos
Ao implementar a implantação de certificados SCEP, siga estas melhores práticas neutras em relação a fornecedores para garantir conformidade e confiabilidade.
Proteja o Gateway SCEP
O gateway SCEP ou servidor NDES deve estar acessível a partir da internet para permitir que dispositivos remotos provisionem certificados antes de chegarem ao local. No entanto, expor um servidor interno diretamente à internet é um risco de segurança significativo. Publique a URL usando um proxy de aplicativo. Isso fornece acesso remoto seguro sem abrir portas de firewall de entrada e permite aplicar políticas de acesso condicional ao fluxo de registro.
Imponha a Verificação Estrita de CRL
A implantação de certificados é apenas metade da equação de segurança; a revogação é igualmente crítica. Se um funcionário for desligado, desativar sua conta de diretório pode não revogar imediatamente seu acesso WiFi se o certificado do cliente continuar válido. Configure seu servidor RADIUS para impor uma verificação estrita de Lista de Revogação de Certificados (CRL). Certifique-se de que seus pontos de distribuição de CRL estejam altamente disponíveis; se o servidor RADIUS não conseguir alcançar a CRL, a autenticação falhará, causando uma interrupção generalizada.
Integração de Hardware
Certifique-se de que sua infraestrutura de rede suporte os protocolos necessários. A Purple se integra perfeitamente com hardwares Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Configure esses sistemas para encaminhar solicitações de autenticação para sua infraestrutura RADIUS centralizada.
Solução de Problemas e Mitigação de Riscos
Mesmo com um planejamento meticuloso, a implantação de certificados pode encontrar problemas. Aqui estão os modos de falha comuns e as estratégias de mitigação.
Falhas de Dependência
Um problema comum ocorre quando o dispositivo recebe os certificados Trusted Root e SCEP, mas o perfil de WiFi falha ao ser aplicado. Isso quase sempre é causado por uma incompatibilidade no direcionamento de grupo dentro do MDM. Se o perfil SCEP for atribuído a um grupo de usuários, mas o perfil de WiFi for atribuído a um grupo de dispositivos, o MDM não conseguirá resolver a dependência. Audite suas atribuições e garanta que todos os perfis relacionados sejam implantados exatamente no mesmo grupo de diretório.
Erros de Registro
Se os dispositivos falharem ao recuperar o certificado SCEP e os logs do gateway mostrarem erros HTTP 403, a conta de serviço pode não ter as permissões necessárias no modelo de certificado, ou a filtragem de URL no seu firewall pode estar bloqueando os parâmetros específicos de query string usados pelo SCEP. Verifique se a conta do conector tem permissões de leitura e registro no modelo de CA e verifique os logs do firewall para garantir que as URLs do SCEP não estejam bloqueadas.
ROI e Impacto nos Negócios
A transição para a implantação automatizada de certificados 802.1X oferece retornos mensuráveis em segurança e operações.
O WiFi baseado em senha gera um volume significativo de chamados de suporte devido a expirações de senha, bloqueios e erros de digitação. A autenticação baseada em certificado é invisível para o usuário, reduzindo normalmente o volume de helpdesk relacionado ao WiFi em 70% a 80%.
Além disso, o EAP-TLS elimina o risco de coleta de credenciais e ataques Man-in-the-Middle. Isso é fundamental para a conformidade com frameworks como PCI DSS e GDPR. Para uma operação de varejo de várias unidades ou uma grande rede de hotéis, a automatização desse processo garante uma experiência de provisionamento unificada e zero-touch desde o primeiro dia, reduzindo significativamente a sobrecarga operacional enquanto protege o perímetro da rede.
Definições principais
SCEP
Simple Certificate Enrollment Protocol. Um protocolo que automatiza o processo de solicitação e instalação de certificados digitais em dispositivos, onde a chave privada é gerada localmente.
O método recomendado para implantar certificados de autenticação WiFi em escala por meio de plataformas MDM.
PKCS
Public Key Cryptography Standards. Um método de implantação no qual a Autoridade Certificadora gera as chaves pública e privada e as transmite para o endpoint.
Frequentemente usado para criptografia de e-mail S/MIME, mas menos ideal para WiFi devido à transmissão da chave privada pela rede.
802.1X
Um padrão IEEE para controle de acesso à rede baseado em porta que fornece um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN.
A linha de base obrigatória para a segurança de WiFi corporativo, substituindo chaves pré-compartilhadas vulneráveis.
EAP-TLS
Extensible Authentication Protocol - Transport Layer Security. Um protocolo de autenticação que exige que tanto o cliente quanto o servidor apresentem certificados digitais válidos.
Considerado o método de autenticação mais seguro para redes 802.1X, eliminando vulnerabilidades baseadas em senha.
NDES
Network Device Enrollment Service. Uma função de servidor que atua como um gateway, permitindo que dispositivos sem credenciais de domínio obtenham certificados via SCEP.
Um componente de infraestrutura obrigatório ao implementar a implantação de certificados SCEP com o Microsoft Intune.
RADIUS
Remote Authentication Dial-In User Service. Um protocolo de rede que fornece gerenciamento centralizado de autenticação, autorização e tarifação (accounting).
O servidor que valida os certificados de cliente em relação ao diretório e concede acesso à rede.
CRL
Lista de Revogação de Certificados. Uma lista publicada pela Autoridade Certificadora contendo os números de série dos certificados que foram revogados.
Os servidores RADIUS devem verificar a CRL para garantir que um certificado apresentado ainda seja válido e não tenha sido comprometido.
CSR
Solicitação de Assinatura de Certificado. Um bloco de texto codificado fornecido a uma Autoridade Certificadora ao solicitar um certificado SSL/TLS.
Gerado pelo dispositivo durante o processo de registro SCEP para solicitar um certificado assinado.
Exemplos práticos
Um hotel de 200 quartos precisa implantar um WiFi seguro para funcionários em 150 dispositivos iOS gerenciados, usados pelas equipes de governança e manutenção. Atualmente, eles usam uma rede WPA2-PSK, mas a equipe continua compartilhando a senha com os hóspedes. Como o Diretor de TI deve implementar uma solução segura e automatizada?
O Diretor de TI deve migrar o WiFi dos funcionários para WPA2-Enterprise usando autenticação 802.1X EAP-TLS. Ele deve configurar seu MDM (por exemplo, Jamf) para enviar um payload SCEP para os dispositivos iOS. A sequência de implantação é: 1) Enviar o certificado da CA Raiz para que os dispositivos confiem na rede. 2) Enviar o perfil SCEP, instruindo os dispositivos a solicitar um certificado de cliente da CA por meio do gateway SCEP. 3) Enviar o perfil de WiFi configurado para WPA2-Enterprise e EAP-TLS, vinculando-o ao certificado SCEP. Os pontos de acesso de rede (por exemplo, HPE Aruba) são configurados para autenticar os clientes em um servidor RADIUS central. Quando os funcionários chegam, seus dispositivos se autenticam automaticamente usando o certificado, sem a necessidade de senha.
Uma rede de varejo está implantando novos tablets de ponto de venda (PDV) em 50 locais. Para cumprir os requisitos do PCI DSS, os tablets devem se conectar a uma rede sem fio segura. O arquiteto de rede planeja usar o Microsoft Intune para a implantação. Quais escolhas arquitetônicas garantem conformidade e segurança?
Para atender aos requisitos do PCI DSS de criptografia e autenticação fortes, o arquiteto deve implantar o 802.1X EAP-TLS. Usando o Microsoft Intune, ele deve selecionar SCEP em vez de PKCS para a implantação de certificados. Isso garante que a chave privada seja gerada no TPM do tablet de PDV e nunca seja transmitida pela rede. Ele deve configurar um servidor NDES publicado de forma segura por meio do Proxy de Aplicativo do Azure AD. Por fim, deve configurar o servidor RADIUS para impor uma verificação rigorosa de CRL, garantindo que, se um tablet de PDV for comprometido, seu certificado possa ser revogado e o acesso à rede bloqueado imediatamente.
Questões práticas
Q1. Você está implantando uma nova rede WiFi 802.1X para um campus corporativo usando o Microsoft Intune. Você configurou o perfil de Raiz Confiável, o perfil SCEP e o perfil de WiFi. No entanto, durante os testes, os dispositivos recebem os certificados, mas o perfil de WiFi aparece como 'Erro' no console do Intune. Qual é a causa mais provável?
Dica: Considere como o MDM resolve as dependências entre os perfis.
Ver resposta modelo
A causa mais provável é uma incompatibilidade no direcionamento de grupos. O Intune exige que os perfis dependentes sejam atribuídos exatamente ao mesmo grupo do Azure AD. Se o perfil SCEP for atribuído a um grupo de Usuários e o perfil de WiFi for atribuído a um grupo de Dispositivos, o Intune não conseguirá resolver a dependência, resultando em um erro.
Q2. Uma organização de varejo deseja automatizar a implantação de certificados para os tablets dos gerentes de loja. Eles estão debatendo entre usar SCEP ou PKCS. A segurança é a principal preocupação deles, especificamente a proteção das chaves privadas. Qual protocolo eles devem escolher e por quê?
Dica: Pense em onde a chave privada é gerada em cada protocolo.
Ver resposta modelo
Eles devem escolher o SCEP. Em um fluxo de trabalho SCEP, a chave privada é gerada localmente no tablet e armazenada em seu enclave seguro; ela nunca sai do dispositivo. Com o PKCS, a Autoridade Certificadora gera a chave privada e a transmite pela rede para o dispositivo, o que introduz uma vulnerabilidade de segurança potencial.
Q3. Um funcionário sai da empresa e sua conta do Active Directory é desativada. No entanto, a equipe de TI percebe que o dispositivo do funcionário ainda está conectado à rede WiFi corporativa. A rede usa autenticação EAP-TLS. Qual configuração está faltando no servidor RADIUS?
Dica: Desativar uma conta não invalida automaticamente um certificado emitido anteriormente.
Ver resposta modelo
O servidor RADIUS não possui a verificação rigorosa da Lista de Revogação de Certificados (CRL). Mesmo que a conta do diretório esteja desativada, o certificado do cliente permanece criptograficamente válido até expirar ou ser explicitamente revogado. O servidor RADIUS deve ser configurado para verificar a CRL para garantir que o acesso à rede seja negado aos certificados revogados.
Continue a ler esta série
Como Configurar o SCEP para Registro Automatizado de Certificados de WiFi Corporativo
Este guia explica como configurar o SCEP (Simple Certificate Enrollment Protocol) para o registro automatizado de certificados de WiFi corporativo, cobrindo toda a arquitetura, desde PKI e NDES até a implantação de perfis MDM e validação RADIUS. Destina-se a gerentes de TI, arquitetos de rede e CTOs de hotéis, redes de varejo, estádios, centros de convenções e organizações do setor público que precisam ir além das chaves pré-compartilhadas e implementar a autenticação 802.1X EAP-TLS escalável e baseada em identidade. A plataforma de sobreposição em nuvem da Purple, independente de hardware, integra-se diretamente a essa arquitetura, fornecendo a camada de WiFi para convidados e BYOD que opera em conjunto com a rede de funcionários autenticada por certificado.
O Guia Corporativo para SCEP: Implantando o Simple Certificate Enrollment Protocol para Segurança Automatizada de WiFi em Campus
Este guia de referência técnica fornece um modelo arquitetônico definitivo e uma estratégia de implementação passo a passo para a implantação de certificados WiFi corporativos usando SCEP. Ele aborda as diferenças críticas entre SCEP e PKCS, a sequência exata de implantação necessária para o sucesso e estratégias reais de mitigação de riscos para líderes de TI.
Como implementar SCEP para registro automatizado de certificados WiFi
Este guia explica como implementar o SCEP (Simple Certificate Enrollment Protocol) para registro automatizado de certificados WiFi em locais corporativos. Ele abrange o projeto arquitetônico completo - desde o design de PKI e integração com MDM até a sequência obrigatória de implantação em três etapas - e mostra aos gerentes de TI e arquitetos de rede como eliminar credenciais compartilhadas, automatizar o gerenciamento do ciclo de vida dos certificados e atender aos requisitos do PCI DSS e GDPR em escala.