Pular para o conteúdo principal
Português (Brasil)

Automatizando a Segurança de WiFi Corporativo: O Guia de Implantação de Certificados SCEP

Este guia técnico explica como automatizar a segurança de WiFi corporativo usando a implantação de certificados SCEP. Ele fornece um modelo arquitetônico detalhado e etapas de implementação para implantar a autenticação 802.1X EAP-TLS em redes corporativas e de visitantes.

📖 5 min de leitura📝 1,248 palavras🔧 2 exemplos práticos❓ 3 questões práticas📚 8 definições principais

Ouça este guia

Ver transcrição do podcast
Bem-vindo a este briefing técnico. Estou aqui para guiar você pelo nosso guia mais recente: Automatizando a Segurança de WiFi Corporativo, focando especificamente na Implantação de Certificados SCEP. Se você gerencia redes para hotéis, redes de varejo ou locais públicos, já sabe que depender de chaves pré-compartilhadas ou de Captive Portals simples para o acesso da equipe é uma enorme vulnerabilidade de segurança. Hoje, estamos falando sobre o padrão ouro: autenticação 802.1X usando EAP-TLS. Vamos mergulhar na arquitetura. O principal desafio com o EAP-TLS não é o protocolo em si; é a logística de colocar certificados de cliente exclusivos em milhares de dispositivos — sejam eles laptops Windows, iPads ou tablets de ponto de venda. É aqui que entram as plataformas de Mobile Device Management, ou MDM, como o Microsoft Intune ou o Jamf. Mas como você entrega esses certificados de forma segura? Geralmente, você tem duas opções: PKCS ou SCEP. Deixe-me ser absolutamente claro sobre isso: para autenticação WiFi, você quer o SCEP. Esse é o Simple Certificate Enrollment Protocol. Aqui está o porquê disso ser importante. Com o SCEP, o MDM instrui o dispositivo endpoint a gerar sua própria chave privada localmente. Essa chave permanece bloqueada no hardware seguro do dispositivo. Ela nunca viaja pela rede. O dispositivo apenas envia uma Solicitação de Assinatura de Certificado para sua Autoridade Certificadora por meio de um gateway, geralmente um servidor NDES. Compare isso com o PKCS, onde a Autoridade Certificadora gera a chave privada centralmente e a envia pela rede para o dispositivo. Embora o PKCS tenha seu espaço — por exemplo, para criptografia de e-mail onde você precisa de custódia de chaves —, transmitir chaves privadas pela rede é um risco que você simplesmente não precisa correr para a autenticação de rede. Mantenha as chaves no dispositivo. Use o SCEP. Agora, vamos falar sobre a implementação. Se você puder guardar apenas uma coisa deste briefing, guarde esta regra prática: Confiança antes da Autenticação. Você não pode simplesmente enviar um perfil de WiFi e esperar que ele funcione. Há uma sequência estrita de implantação em três etapas que você deve seguir. Etapa um: Implantar o Certificado Raiz Confiável. Antes que um dispositivo possa solicitar um certificado de cliente ou confiar no seu servidor RADIUS, ele precisa confiar na Autoridade Certificadora emissora. Envie este perfil primeiro. Etapa dois: Configurar e enviar o Perfil de Certificado SCEP. Isso diz ao dispositivo como falar com o gateway SCEP, qual formato usar para o seu nome de assunto (subject name) e para que serve realmente o certificado — neste caso, Autenticação de Cliente. Você deve vincular este perfil à Raiz Confiável que implantou na etapa um. Etapa três: Implantar o Perfil de WiFi 802.1X. É aqui que você une tudo. Você especifica o SSID, seleciona WPA3-Enterprise, define o tipo de EAP como EAP-TLS e o aponta para o certificado SCEP para autenticação de cliente. Aqui está um grande erro que vemos o tempo todo. Um cliente nos liga e diz: "Os certificados estão no dispositivo, mas o perfil de WiFi mostra um erro no Intune." Quase todas as vezes, trata-se de uma incompatibilidade de direcionamento de grupo. Se você atribuir o perfil SCEP a um grupo de 'Usuários', mas atribuir o perfil de WiFi a um grupo de 'Dispositivos', o MDM não conseguirá resolver a dependência. Alinhe seus alvos exatamente em todos os três perfis. Vamos olhar para um cenário do mundo real. Imagine um hotel de 200 quartos. Eles têm 150 dispositivos iOS gerenciados para a governança. Atualmente, eles usam uma rede de senha padrão e a equipe continua compartilhando a senha com os hóspedes. É um pesadelo. Ao migrar para WPA2-Enterprise com EAP-TLS via SCEP, o Diretor de TI elimina a senha por completo. Os dispositivos iOS se autenticam silenciosamente em segundo plano usando seus certificados. Mas o que acontece se um funcionário da governança perder um dispositivo ou sair da empresa? Desativar sua conta do Active Directory não é suficiente, porque o certificado nesse dispositivo ainda é criptograficamente válido. Isso nos leva a um controle de segurança crítico: verificação rigorosa de CRL. Você deve configurar seu servidor RADIUS para verificar a Lista de Revogação de Certificados. Se um dispositivo sumir, você revoga o certificado na CA. O servidor RADIUS vê a revogação na CRL e bloqueia imediatamente o acesso à rede. Sem uma verificação rigorosa de CRL, sua postura de segurança estará incompleta. Para encerrar, a transição para a implantação automatizada de certificados SCEP oferece um ROI massivo. Você verá uma redução de 70 a 80 por cento nos chamados de suporte relacionados a WiFi porque os usuários não estão sendo bloqueados ou digitando senhas incorretamente. Mais importante ainda, você elimina o risco de coleta de credenciais (credential harvesting), garantindo que atenda a estruturas de conformidade como PCI DSS e GDPR. Automatizar a segurança de WiFi corporativo não se trata apenas de bloquear as coisas; trata-se de tornar o caminho seguro o caminho mais fácil para seus usuários. Obrigado por ouvir e não deixe de conferir o guia escrito completo para obter os detalhes de configuração passo a passo.

header_image.png

执行摘要

对于酒店、零售和公共部门的企事业单位而言，依靠预共享密钥或基础 Captive Portal 进行网络访问会引入严重的安全漏洞。现代网络架构要求使用 EAP-TLS 进行 802.1X 认证，以确保每个设备在访问网络之前都经过密码学验证。对于 IT 经理和网络架构师来说，挑战在于如何高效地向数千台 Windows、iOS 和 Android 设备部署唯一的客户端证书。

本指南为使用简单证书注册协议 (SCEP) 进行自动化 WiFi 证书部署提供了权威的架构蓝图和分步实施策略。通过将您的移动设备管理 (MDM) 平台与 SCEP 网关和证书颁发机构 (CA) 集成，您可以将受信任的根证书和客户端证书静默推送到受管终端。我们将探讨 SCEP 与 PKCS 之间的关键区别，详细介绍成功部署所需的精确步骤顺序，并概述实际的风险缓解策略，以确保您的 WiFi 网络保持安全和高效。

收听配套播客简报：

技术深度解析：SCEP 架构与 EAP-TLS

在设计企业 WiFi 证书部署策略时，核心架构决策是如何安全地交付证书。该过程的行业标准是 SCEP。SCEP 自动执行证书注册过程，允许设备使用标准化协议安全地向证书颁发机构请求证书。

SCEP 相比 PKCS 的优势

虽然 Microsoft Intune 等平台同时支持 SCEP 和公钥加密标准 (PKCS)，但它们的运行机制根本不同。在 SCEP 工作流中，MDM 服务指示终端生成自己的私钥和公钥对。然后，设备创建证书签名请求 (CSR)，并通过网络设备注册服务 (NDES) 服务器将其发送到您的 CA。CA 对请求进行签名并将公钥证书返回给设备。

SCEP 的关键安全优势在于私钥永远不会离开设备。它在本地生成并存储在设备的安全隔离区中。这使得 SCEP 成为 802.1X 认证的强烈推荐方法。相反，使用 PKCS 时，CA 会集中生成两个密钥并通过网络传输。PKCS 更适合需要密钥托管的用例（例如 S/MIME 邮件加密），而不是网络认证。

scep_vs_pkcs_comparison.png

802.1X 与 EAP-TLS 认证

IEEE 802.1X 标准为集中式网络访问管理提供了框架。它定义了如何在局域网 (EAPoL) 上传输可扩展身份验证协议 (EAP) 数据包，以便在客户端、接入点和认证服务器（通常是 RADIUS 服务器）之间进行认证。

EAP-TLS 是 802.1X 网络中最安全的认证协议。它需要双向认证：客户端验证 RADIUS 服务器的证书，RADIUS 服务器验证客户端的证书。这种严格的验证过程确保只有已注册设备上经过身份验证和授权的用户才能获得访问权限，从而保护网络免受双面恶魔 (Evil Twin) 攻击等威胁。

实施指南：部署顺序

成功配置 802.1X 的自动化证书部署需要严格遵守特定顺序。配置文件依赖关系决定了在配置认证之前必须先建立信任。无论您使用 Microsoft Intune、Jamf 还是其他 MDM 平台，这都适用。

步骤 1：部署受信任的根证书

在任何设备可以请求客户端证书或信任您的 RADIUS 服务器之前，它必须信任颁发证书的证书颁发机构。

  1. 导出您的根 CA 证书和任何中间 CA 证书。
  2. 在您的 MDM 平台中，创建一个受信任的证书配置文件。
  3. 上传证书文件并将此配置文件部署到您的目标设备组。

步骤 2：配置 SCEP 证书配置文件

建立信任后，配置 SCEP 配置文件以指示设备如何获取其客户端证书。

  1. 创建一个新的 SCEP 证书配置配置文件。
  2. 配置使用者名称格式。对于用户驱动的认证，使用用户主体名称 (UPN)。对于设备认证，使用设备 ID。
  3. 将密钥用法设置为数字签名和密钥加密。
  4. 为增强型密钥用法指定客户端认证。
  5. 将此配置文件链接到步骤 1 中创建的受信任根证书配置文件。
  6. 提供您的 SCEP 网关或 NDES 服务器的外部 URL。

步骤 3：部署 802.1X WiFi 配置文件

最后一步是推送将证书与网络 SSID 绑定的 WiFi 配置。

  1. 创建一个 WiFi 配置配置文件。
  2. 输入与您的接入点广播完全一致的 SSID。
  3. 选择 WPA2-Enterprise 或 WPA3-Enterprise 作为安全类型。
  4. 将 EAP 类型设置为 EAP-TLS。
  5. 选择步骤 2 中创建的 SCEP 证书配置文件进行客户端认证。
  6. 指定用于服务器验证的受信任根证书，以确保设备仅连接到您合法的 RADIUS 服务器。

scep_architecture_overview.png

企业环境最佳实践

在实施 SCEP 证书部署时，请遵循以下与厂商无关的最佳实践，以确保合规性和可靠性。

保护 SCEP 网关安全

SCEP 网关或 NDES 服务器必须能够从互联网访问，以便远程设备在到达现场之前能够配置证书。然而，将内部服务器直接暴露给互联网会带来重大的安全风险。请使用应用代理发布该 URL。这可以在不打开入站防火墙端口的情况下提供安全的远程访问，并允许您对注册流程应用条件访问策略。

强制执行严格的 CRL 检查

证书部署只是安全方程式的一半，吊销同样至关重要。如果员工离职，禁用其目录帐户可能无法立即撤销其 WiFi 访问权限（如果其客户端证书仍然有效）。请配置您的 RADIUS 服务器以强制执行严格的证书吊销列表 (CRL) 检查。确保您的 CRL 分发点高度可用；如果 RADIUS 服务器无法访问 CRL，身份验证将失败，从而导致大范围的服务中断。

硬件集成

确保您的网络基础设施支持所需的协议。Purple 与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 硬件无缝集成。配置这些系统以将身份验证请求转发到您的集中式 RADIUS 基础设施。

故障排除与风险缓解

即使经过精心规划，证书部署也可能会遇到问题。以下是常见的失败模式和缓解策略。

依赖关系失败

一个常见问题是设备接收到了受信任的根证书和 SCEP 证书，但 WiFi 配置文件应用失败。这几乎总是由于 MDM 内的组目标不匹配引起的。如果 SCEP 配置文件分配给用户组，而 WiFi 配置文件分配给设备组，则 MDM 无法解析该依赖关系。请审核您的分配，并确保所有相关配置文件都部署到完全相同的目录组。

注册错误

如果设备无法检索 SCEP 证书且网关日志显示 HTTP 403 错误，则服务帐户可能在证书模板上缺乏必要的权限，或者防火墙上的 URL 过滤阻止了 SCEP 使用的特定查询字符串参数。请验证连接器帐户在 CA 模板上是否具有读取和注册权限，并检查防火墙日志以确保 SCEP URL 未被阻止。

投资回报率与业务影响

过渡到自动化的 802.1X 证书部署可在安全和运营方面带来可衡量的回报。

基于密码的 WiFi 由于密码过期、锁定和拼写错误，会产生大量的支持工单。基于证书的身份验证对用户是无感的，通常可减少 70% 至 80% 与 WiFi 相关的服务台工单量。

此外，EAP-TLS 消除了凭据窃取和中间人攻击的风险。这对于符合 PCI DSS 和 GDPR 等框架至关重要。对于多分支机构的零售业务或大型连锁酒店，自动化此流程可确保从第一天起就获得统一、零接触的配置体验，在保障网络边界安全的同时，显著降低运营开销。

Definições principais

SCEP

Simple Certificate Enrollment Protocol. Um protocolo que automatiza o processo de solicitação e instalação de certificados digitais em dispositivos, onde a chave privada é gerada localmente.

O método recomendado para implantar certificados de autenticação WiFi em escala por meio de plataformas MDM.

PKCS

Public Key Cryptography Standards. Um método de implantação no qual a Autoridade Certificadora gera as chaves pública e privada e as transmite para o endpoint.

Frequentemente usado para criptografia de e-mail S/MIME, mas menos ideal para WiFi devido à transmissão da chave privada pela rede.

802.1X

Um padrão IEEE para controle de acesso à rede baseado em porta que fornece um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN.

A linha de base obrigatória para a segurança de WiFi corporativo, substituindo chaves pré-compartilhadas vulneráveis.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. Um protocolo de autenticação que exige que tanto o cliente quanto o servidor apresentem certificados digitais válidos.

Considerado o método de autenticação mais seguro para redes 802.1X, eliminando vulnerabilidades baseadas em senha.

NDES

Network Device Enrollment Service. Uma função de servidor que atua como um gateway, permitindo que dispositivos sem credenciais de domínio obtenham certificados via SCEP.

Um componente de infraestrutura obrigatório ao implementar a implantação de certificados SCEP com o Microsoft Intune.

RADIUS

Remote Authentication Dial-In User Service. Um protocolo de rede que fornece gerenciamento centralizado de autenticação, autorização e tarifação (accounting).

O servidor que valida os certificados de cliente em relação ao diretório e concede acesso à rede.

CRL

Lista de Revogação de Certificados. Uma lista publicada pela Autoridade Certificadora contendo os números de série dos certificados que foram revogados.

Os servidores RADIUS devem verificar a CRL para garantir que um certificado apresentado ainda seja válido e não tenha sido comprometido.

CSR

Solicitação de Assinatura de Certificado. Um bloco de texto codificado fornecido a uma Autoridade Certificadora ao solicitar um certificado SSL/TLS.

Gerado pelo dispositivo durante o processo de registro SCEP para solicitar um certificado assinado.

Exemplos práticos

Um hotel de 200 quartos precisa implantar um WiFi seguro para funcionários em 150 dispositivos iOS gerenciados, usados pelas equipes de governança e manutenção. Atualmente, eles usam uma rede WPA2-PSK, mas a equipe continua compartilhando a senha com os hóspedes. Como o Diretor de TI deve implementar uma solução segura e automatizada?

O Diretor de TI deve migrar o WiFi dos funcionários para WPA2-Enterprise usando autenticação 802.1X EAP-TLS. Ele deve configurar seu MDM (por exemplo, Jamf) para enviar um payload SCEP para os dispositivos iOS. A sequência de implantação é: 1) Enviar o certificado da CA Raiz para que os dispositivos confiem na rede. 2) Enviar o perfil SCEP, instruindo os dispositivos a solicitar um certificado de cliente da CA por meio do gateway SCEP. 3) Enviar o perfil de WiFi configurado para WPA2-Enterprise e EAP-TLS, vinculando-o ao certificado SCEP. Os pontos de acesso de rede (por exemplo, HPE Aruba) são configurados para autenticar os clientes em um servidor RADIUS central. Quando os funcionários chegam, seus dispositivos se autenticam automaticamente usando o certificado, sem a necessidade de senha.

Comentário do examinador: Essa abordagem elimina totalmente a vulnerabilidade de senha compartilhada. Ao usar SCEP e EAP-TLS, o hotel garante que apenas dispositivos gerenciados e autorizados possam acessar o WiFi dos funcionários. As chaves privadas permanecem seguras nos dispositivos iOS e, se um dispositivo for perdido ou um funcionário sair, o certificado poderá ser revogado centralmente por meio da CRL, encerrando imediatamente o acesso à rede.

Uma rede de varejo está implantando novos tablets de ponto de venda (PDV) em 50 locais. Para cumprir os requisitos do PCI DSS, os tablets devem se conectar a uma rede sem fio segura. O arquiteto de rede planeja usar o Microsoft Intune para a implantação. Quais escolhas arquitetônicas garantem conformidade e segurança?

Para atender aos requisitos do PCI DSS de criptografia e autenticação fortes, o arquiteto deve implantar o 802.1X EAP-TLS. Usando o Microsoft Intune, ele deve selecionar SCEP em vez de PKCS para a implantação de certificados. Isso garante que a chave privada seja gerada no TPM do tablet de PDV e nunca seja transmitida pela rede. Ele deve configurar um servidor NDES publicado de forma segura por meio do Proxy de Aplicativo do Azure AD. Por fim, deve configurar o servidor RADIUS para impor uma verificação rigorosa de CRL, garantindo que, se um tablet de PDV for comprometido, seu certificado possa ser revogado e o acesso à rede bloqueado imediatamente.

Comentário do examinador: Escolher SCEP em vez de PKCS é a decisão crítica aqui para a conformidade com o PCI DSS, pois evita a transmissão da chave privada. A publicação do servidor NDES por meio de um proxy de aplicativo protege a infraestrutura de registro. A verificação rigorosa de CRL é obrigatória; sem ela, um certificado revogado ainda poderia permitir que um dispositivo comprometido acessasse a rede de pagamento.

Questões práticas

Q1. Você está implantando uma nova rede WiFi 802.1X para um campus corporativo usando o Microsoft Intune. Você configurou o perfil de Raiz Confiável, o perfil SCEP e o perfil de WiFi. No entanto, durante os testes, os dispositivos recebem os certificados, mas o perfil de WiFi aparece como 'Erro' no console do Intune. Qual é a causa mais provável?

Dica: Considere como o MDM resolve as dependências entre os perfis.

Ver resposta modelo

A causa mais provável é uma incompatibilidade no direcionamento de grupos. O Intune exige que os perfis dependentes sejam atribuídos exatamente ao mesmo grupo do Azure AD. Se o perfil SCEP for atribuído a um grupo de Usuários e o perfil de WiFi for atribuído a um grupo de Dispositivos, o Intune não conseguirá resolver a dependência, resultando em um erro.

Q2. Uma organização de varejo deseja automatizar a implantação de certificados para os tablets dos gerentes de loja. Eles estão debatendo entre usar SCEP ou PKCS. A segurança é a principal preocupação deles, especificamente a proteção das chaves privadas. Qual protocolo eles devem escolher e por quê?

Dica: Pense em onde a chave privada é gerada em cada protocolo.

Ver resposta modelo

Eles devem escolher o SCEP. Em um fluxo de trabalho SCEP, a chave privada é gerada localmente no tablet e armazenada em seu enclave seguro; ela nunca sai do dispositivo. Com o PKCS, a Autoridade Certificadora gera a chave privada e a transmite pela rede para o dispositivo, o que introduz uma vulnerabilidade de segurança potencial.

Q3. Um funcionário sai da empresa e sua conta do Active Directory é desativada. No entanto, a equipe de TI percebe que o dispositivo do funcionário ainda está conectado à rede WiFi corporativa. A rede usa autenticação EAP-TLS. Qual configuração está faltando no servidor RADIUS?

Dica: Desativar uma conta não invalida automaticamente um certificado emitido anteriormente.

Ver resposta modelo

O servidor RADIUS não possui a verificação rigorosa da Lista de Revogação de Certificados (CRL). Mesmo que a conta do diretório esteja desativada, o certificado do cliente permanece criptograficamente válido até expirar ou ser explicitamente revogado. O servidor RADIUS deve ser configurado para verificar a CRL para garantir que o acesso à rede seja negado aos certificados revogados.

Continue a ler esta série

Como Segregar com Segurança Redes WiFi de Funcionários e Convidados

Este guia técnico de autoridade fornece aos líderes de TI estratégias acionáveis para segregar com segurança redes WiFi de funcionários, convidados e IoT usando VLANs e 802.1X. Detalha como proteger a infraestrutura corporativa, manter a conformidade com o PCI-DSS e aproveitar captive portals para capturar dados primários.

Ler o guia →

Best DNS filtering: a comprehensive guide for businesses

Este guia de referência técnica explica como o DNS filtering empresarial protege redes públicas bloqueando domínios maliciosos na camada de resolução - antes mesmo que uma conexão seja estabelecida. Ele fornece a diretores de TI, arquitetos de rede e equipes de operações de locais a arquitetura de implantação, configuração de firewall e contexto de conformidade que precisam para proteger o Guest WiFi em ambientes de hospitalidade, varejo e setor público. O Purple Shield bloqueia malware, botnets e conteúdo inadequado no nível de DNS em mais de 80.000 locais ativos.

Ler o guia →

Entendendo o Cisco SUDI: Identidade Ancorada em Hardware no Controle de Acesso a Redes Seguras

Este guia explica como o Cisco SUDI fornece uma identidade criptograficamente segura e ancorada em hardware para a infraestrutura de rede corporativa. Saiba como substituir endereços MAC clonáveis por certificados 802.1AR imutáveis para proteger o controle de acesso à rede do seu local.

Ler o guia →