O papel do SCEP e NAC na infraestrutura moderna de MDM
Este guia oferece uma análise técnica detalhada de como o SCEP e o NAC se integram com as plataformas de MDM para fornecer acesso seguro à rede sem toque em escala corporativa. O material aborda a arquitetura completa, desde a emissão de certificados até a aplicação de 802.1X, com cenários reais de implementação nos setores de hotelaria e varejo. Projetado para líderes de TI em grandes locais de eventos que precisam eliminar vulnerabilidades de senha, automatizar o provisionamento de dispositivos e cumprir os requisitos de conformidade neste trimestre.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: Guia de Segurança de WiFi Corporativo →
Resumo Executivo
Para locais corporativos - de estádios com capacidade para 80.000 pessoas a redes de varejo com várias unidades - a segurança da borda da rede foi decisivamente além das chaves pré-compartilhadas e do gerenciamento manual de credenciais. A proliferação de endpoints corporativos, dispositivos BYOD e infraestrutura de IoT exige uma arquitetura zero-trust que escalone sem sobrecarregar a equipe de suporte de TI.
Este guia detalha a arquitetura técnica para integrar o Simple Certificate Enrolment Protocol (SCEP) e Network Access Control (NAC) com a infraestrutura de Mobile Device Management (MDM). Ao aproveitar o SCEP para automatizar a distribuição de certificados X.509 e o NAC para impor a autenticação IEEE 802.1X EAP-TLS, as organizações podem obter provisionamento sem toque (zero-touch), eliminar caminhos de roubo de credenciais e impor acesso dinâmico à rede com base na postura do dispositivo. Enquanto o acesso voltado ao público é gerenciado por meio de uma solução dedicada de Guest WiFi , esta arquitetura protege as operações críticas de bastidores que mantêm o local funcionando. O resultado é uma redução drástica nos custos operacionais de TI, maior conformidade com PCI-DSS e GDPR, e princípios zero-trust aplicados de forma proativa na borda da rede.
Detalhamento Técnico
A Arquitetura de Três Camadas
A segurança de rede moderna depende de identidade criptográfica em vez do conhecimento do usuário. A pilha SCEP-NAC-MDM opera em três camadas principais:
| Camada | Componentes | Função |
|---|---|---|
| Gerenciamento de dispositivos | MDM / UEM | Autoridade central para configuração, conformidade e ciclo de vida de dispositivos |
| Identidade e emissão | PKI / SCEP / CA | Gera, emite e gerencia certificados digitais |
| Aplicação de acesso | NAC / RADIUS | Avalia certificados e a postura do dispositivo antes de conceder acesso à rede |
Essas camadas não são sequenciais - elas operam em um ciclo contínuo de feedback. O MDM informa o NAC sobre o status de conformidade em tempo real, enquanto o NAC pode acionar fluxos de trabalho de remediação do MDM quando um dispositivo falha em uma verificação de postura.
Como o SCEP Automatiza a PKI em Escala
A implantação manual de certificados é operacionalmente impossível em escala. Um parque de 500 dispositivos exigiria que um administrador de TI gerasse, assinasse e instalasse um certificado X.509 individual em cada dispositivo - um processo que leva vários minutos por dispositivo e apresenta um risco significativo de erro humano. O SCEP elimina isso completamente.
Quando um dispositivo é registrado no MDM, o MDM envia um perfil de configuração contendo um payload SCEP. O payload instrui o dispositivo a gerar um par de chaves localmente - crucialmente, a chave privada nunca sai do dispositivo - e enviar uma Solicitação de Assinatura de Certificado (CSR) para o servidor SCEP. O servidor SCEP (geralmente o Serviço de Registro de Dispositivo de Rede (NDES) da Microsoft ou um equivalente baseado em nuvem) valida a solicitação junto ao MDM para confirmar se o dispositivo está autorizado. Em seguida, ele encaminha a CSR para a Autoridade Certificadora (CA), que emite o certificado X.509 assinado. O certificado é retornado ao dispositivo e instalado em seu enclave seguro ou keystore do sistema.
Todo o processo ocorre de forma silenciosa, por transmissão aérea (over the air), sem interação do usuário. Para uma implantação de 1.000 dispositivos, todo o parque de certificados pode ser provisionado poucas horas após a conclusão do registro no MDM.
NAC e 802.1X EAP-TLS: A Camada de Aplicação
Assim que um dispositivo possui um certificado válido, ele tenta se conectar ao SSID corporativo ou à porta cabeada usando o padrão IEEE 802.1X. O ponto de acesso ou switch atua como o autenticador, encaminhando a solicitação para um servidor RADIUS governado pelo mecanismo de política do NAC. O método EAP mais seguro é o EAP-TLS, que exige autenticação mútua - tanto o cliente quanto o servidor RADIUS devem apresentar certificados válidos, evitando ataques de man-in-the-middle por meio de pontos de acesso fraudulentos. O NAC realiza várias verificações críticas em sequência:
- Validação criptográfica: O certificado é matematicamente válido e assinado por uma CA raiz confiável?
- Verificação de revogação: O certificado está listado em uma Lista de Revogação de Certificados (CRL) ou sinalizado por meio do Protocolo de Status de Certificado Online (OCSP)?
- Avaliação de postura: Consultando o MDM via API, o NAC pergunta: O dispositivo está em conformidade? O sistema operacional está no nível de patch exigido? A criptografia de disco está ativada?
Se todas as verificações passarem, o NAC envia uma mensagem RADIUS Access-Accept, geralmente contendo atributos específicos do fornecedor (VSAs) que atribuem dinamicamente o dispositivo a uma VLAN específica ou aplicam listas de controle de acesso (ACLs). Os dispositivos não em conformidade são colocados em uma VLAN de correção com permissões limitadas - geralmente apenas o suficiente para acionar fluxos de trabalho de correção gerenciados pelo MDM.
```of_scep_and_nac_in_modern_mdm_infrastructure_podcast.mp3" preload="none">
Segregação de Rede de Visitantes
Em qualquer ambiente de estabelecimento, a infraestrutura corporativa deve ser estritamente segregada das redes voltadas para o público. A plataforma de Guest WiFi opera inteiramente em SSIDs e VLANs separadas, sem rota de encaminhamento para os recursos corporativos. A arquitetura SCEP-NAC governa a camada corporativa; a camada de visitantes é controlada pela autenticação de Captive Portal e fluxos de trabalho de captura de dados. Para estabelecimentos que implantam o WiFi Analytics , essa segregação é um pré-requisito - os dados de análise fluem pela rede de visitantes, enquanto os dados operacionais fluem pela rede corporativa autenticada por certificado. Para mais informações sobre a arquitetura de RF subjacente que suporta ambas as redes, consulte Wi-Fi Frequencies: A 2026 Guide to Wi-Fi Frequencies .
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.
Guia de Implementação
A implantação desta arquitetura exige um sequenciamento cuidadoso para evitar o bloqueio de usuários legítimos durante a transição.
Passo 1: Preparação de PKI e SCEP
Estabeleça uma PKI interna robusta ou utilize um serviço de PKI gerenciada em nuvem (mPKI). Implante e proteja o servidor SCEP - se estiver usando o Microsoft NDES, certifique-se de que ele seja executado em um servidor dedicado, em vez de compartilhado com a CA. Configure o servidor SCEP para usar senhas de desafio dinâmicas geradas por dispositivo pelo MDM, em vez de um segredo estático compartilhado. Isso evita solicitações de certificado não autorizadas caso a URL do SCEP seja descoberta.
Passo 2: Configuração do MDM
Crie o payload SCEP em sua plataforma MDM. Defina os campos de Subject Alternative Name (SAN) com cuidado - o SAN deve conter identificadores exclusivos (como o número de série do dispositivo ou o UPN do usuário) que o NAC usará para as decisões de política. Envie o perfil primeiro para um grupo piloto de dispositivos da equipe de TI e valide todo o fluxo de registro antes de qualquer implantação mais ampla.
Passo 3: Configuração do NAC e RADIUS
Configure seu NAC para confiar na CA raiz que emitiu os certificados de cliente. Instale um certificado de servidor no servidor RADIUS para autenticação mútua EAP-TLS. Defina políticas de acesso com base nos atributos do certificado e no status de conformidade do MDM. Implemente regras de atribuição dinâmica de VLAN: dispositivos corporativos em conformidade para a VLAN corporativa, dispositivos fora de conformidade para a VLAN de remediação e dispositivos IoT para uma VLAN dedicada e com restrição de internet.
Passo 4: Integração da Infraestrutura de Rede
Configure switches e pontos de acesso sem fio para 802.1X. Para cenários com hardware de ponto de venda legado em ambientes de varejo , ou controladores de quartos inteligentes em estabelecimentos de hotelaria , implemente o MAC Authentication Bypass (MAB) como alternativa para dispositivos que não podem participar do EAP-TLS. Restrinja o MAB a portas de switch específicas e garanta que o banco de dados de endereços MAC seja rigidamente controlado. Para ambientes de saúde e transporte , configure regras de avaliação de postura para atender aos requisitos de conformidade específicos do setor.
Passo 5: Implantação Paralela e Transição
Nunca faça a transição imediatamente. Transmita o novo SSID 802.1X em paralelo com a rede existente. Envie o novo perfil de WiFi via MDM. Monitore a adoção e resolva falhas de registro. Assim que mais de 95% dos dispositivos estiverem se autenticando com sucesso no novo SSID, desative a rede herdada.
Melhores Práticas
Exija EAP-TLS. Nunca aceite EAP-PEAP ou EAP-TTLS como o método de autenticação principal para dispositivos corporativos. Esses métodos dependem de credenciais de usuário/senha dentro de um túnel TLS e permanecem vulneráveis à captura de credenciais. O EAP-TLS elimina totalmente essa superfície de ataque.
Implemente a revogação em tempo real. Downloads agendados de CRL criam janelas de exposição. Configure o NAC para realizar verificações OCSP em tempo real. Quando um dispositivo for relatado como perdido ou roubado, revogue o certificado na CA e o dispositivo perderá o acesso à rede em sua próxima tentativa de autenticação - ou imediatamente, se a Mudança de Autorização (CoA) estiver implementada.
Defina períodos razoáveis de validade de certificados. Um período de validade de um ano, com renovação automatizada de SCEP acionada 30 dias antes do vencimento, é o padrão do setor. Uma validade mais longa aumenta a janela de exposição se um certificado for comprometido; uma validade mais curta aumenta o risco de falhas de renovação que causam interrupções.
Segregue o IoT de forma agressiva. Dispositivos IoT nunca devem compartilhar uma VLAN com endpoints corporativos. Use o NAC para aplicar ACLs rígidas na VLAN de IoT, permitindo apenas os protocolos e destinos específicos que cada classe de dispositivo exige. Para locais que implantam serviços de localização, consulte Sistemas de Posicionamento WiFi Interno: Como Funcionam e Como Implantá-los para ver como a infraestrutura de posicionamento se integra com a arquitetura de rede mais ampla.
Alinhe com o WPA3. Onde o hardware suportar, configure os SSIDs corporativos para usar WPA3-Enterprise, que exige Protected Management Frames (PMF) e oferece proteção criptográfica mais forte do que o WPA2. Para obter detalhes sobre como isso se encaixa no cenário mais amplo de conectividade empresarial, consulte SD-WAN vs MPLS: Um Guia de 2026 para Redes Corporativas .
Solução de Problemas e Mitigação de Riscos
| Modo de falha | Causa raiz | Mitigação |
|---|---|---|
| Dispositivos falham no EAP-TLS após a renovação do certificado | Renovação SCEP falhando silenciosamente | Monitore os logs do servidor SCEP; configure alertas para envios de CSR com falha |
| Validação de certificado falha devido a desvio de relógio | Desconfiguração de NTP | Force a sincronização de NTP em todos os endpoints e infraestrutura |
| Dispositivos IoT não conseguem autenticar | Sem suplicante 802.1X | Implemente MAB com controles rígidos de endereço MAC e uma VLAN isolada |
| Bloqueio em massa de dispositivos após migração de CA | CA raiz herdada não é confiável para o NAC | Faça a migração de CA em etapas; adicione a nova CA raiz ao armazenamento de confiança do NAC antes de revogar a antiga |
| Dispositivos revogados mantêm acesso à rede | Revogação apenas por CRL com longos intervalos de download | Implementar OCSP e CoA para revogação em tempo real |
Para dispositivos IoT específicos baseados em BLE, a arquitetura de autenticação difere dos endpoints conectados via WiFi. Consulte BLE Low Energy Explained for the Enterprise para obter as considerações de segurança específicas que se aplicam à infraestrutura Bluetooth Low Energy.
ROI e Impacto nos Negócios
O caso de negócios para a integração SCEP-NAC-MDM é claro quando comparado ao custo das alternativas.
| Métrica | Antes da implementação | Após a implementação |
|---|---|---|
| Chamados de suporte de TI (acesso à rede) | Alto - redefinições de senha, rotações de chave | Próximo de zero - ciclo de vida do certificado automatizado |
| Tempo médio para revogar um dispositivo comprometido | Horas (processo manual) | Segundos (OCSP + CoA) |
| Conformidade de controle de acesso PCI-DSS | Manual, exige auditoria intensa | Automatizada, aplicada continuamente |
| Tempo de integração de BYOD | 15-30 minutos por dispositivo | Menos de 5 minutos com zero envolvimento de TI |
Para uma infraestrutura de 500 dispositivos, a eliminação do gerenciamento manual de certificados e dos chamados de suporte relacionados a senhas geralmente reduz os custos operacionais de TI relacionados à rede de 25-35%. O valor da mitigação de riscos - evitar uma única violação baseada em credenciais - supera rotineiramente todo o custo de implementação. Para organizações do setor público e de saúde sujeitas ao GDPR, a capacidade de demonstrar um controle de acesso automatizado e auditável é um ativo de conformidade significativo.
Definições principais
SCEP (Simple Certificate Enrollment Protocol)
Um protocolo que automatiza a emissão e revogação de certificados digitais para dispositivos sem a intervenção do usuário, agindo como a camada de comunicação entre a plataforma MDM e a Autoridade Certificadora.
Utilizado por plataformas MDM para implantar certificados X.509 de forma contínua em milhares de endpoints em escala. As equipes de TI encontram o SCEP ao configurar perfis MDM para autenticação WiFi 802.1X.
NAC (Network Access Control)
Uma solução de segurança que aplica políticas em dispositivos que buscam acessar a infraestrutura de rede, avaliando credenciais de autenticação, validade de certificados e a postura de conformidade do dispositivo antes de conceder o acesso.
Atua como o guardião na borda da rede. As equipes de TI configuram políticas de NAC para definir quais dispositivos têm acesso a quais VLANs com base em seus atributos de certificado e status de conformidade do MDM.
MDM (Mobile Device Management)
Software utilizado pelos departamentos de TI para monitorar, gerenciar e proteger os endpoints dos funcionários em múltiplos sistemas operacionais, servindo como a fonte única de verdade para a identidade e conformidade do dispositivo.
O iniciador do processo de registro SCEP e a fonte de dados de postura consultados pelo NAC. Sem a integração com o MDM, o NAC não pode realizar o controle de acesso baseado em postura.
IEEE 802.1X
Um padrão IEEE para controle de acesso à rede baseado em porta que fornece um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN, exigindo autenticação bem-sucedida antes que a porta seja aberta.
O protocolo subjacente que força os dispositivos a se autenticarem antes que o switch ou ponto de acesso permita a passagem de qualquer tráfego. Configurado tanto na infraestrutura de rede quanto no suplicante 802.1X do dispositivo.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
O padrão EAP mais seguro, exigindo autenticação mútua onde tanto o dispositivo cliente quanto o servidor RADIUS devem apresentar certificados digitais válidos, eliminando ataques de credenciais baseados em senhas.
O padrão ouro para segurança sem fio corporativa. Os arquitetos de TI devem exigir o EAP-TLS em vez do PEAP ou TTLS onde quer que a infraestrutura de certificados de dispositivos esteja implementada.
CSR (Certificate Signing Request)
Um bloco de texto codificado gerado por um dispositivo contendo sua chave pública e detalhes de identidade, enviado à Autoridade Certificadora para solicitar um certificado X.509 assinado.
Gerado automaticamente pelo dispositivo durante o processo de registro SCEP. A chave privada correspondente ao CSR nunca sai do dispositivo, garantindo que o certificado não possa ser duplicado.
MAB (MAC Authentication Bypass)
Um método de autenticação alternativo onde a rede usa o endereço MAC de hardware do dispositivo como sua credencial, utilizado para dispositivos que não possuem capacidade de suplicante 802.1X.
Utilizado para dispositivos IoT legados, como impressoras, sensores e controladores de sala inteligentes que não podem participar do EAP-TLS. Deve sempre resultar na atribuição a uma VLAN altamente restrita.
OCSP (Online Certificate Status Protocol)
Um protocolo de internet usado para obter o status de revogação de um certificado digital X.509 em tempo real, fornecendo uma alternativa ao download e análise de Listas de Revogação de Certificados.
Crítico para sistemas NAC que precisam bloquear imediatamente o acesso à rede quando um dispositivo é comprometido ou relatado como roubado. O OCSP fornece status em tempo real; os downloads de CRL criam uma janela de revogação.
CoA (Change of Authorization)
Uma extensão RADIUS (RFC 5176) que permite ao NAC modificar ou encerrar dinamicamente uma sessão de rede ativa sem esperar que a sessão expire ou que o dispositivo se autentique novamente.
Usado para desconectar imediatamente um dispositivo quando seu certificado é revogado ou seu status de conformidade de MDM muda. Essencial para a aplicação de zero-trust em tempo real.
Exemplos práticos
Um resort de luxo com 500 quartos precisa proteger sua rede de operações internas. A equipe utiliza tablets compartilhados para o gerenciamento de governança, e a gerência usa notebooks corporativos. A rede WPA2-PSK atual teve sua chave pré-compartilhada vazada várias vezes, resultando em dois incidentes de segurança no último ano. Como a equipe de TI deve realizar a transição para a autenticação baseada em certificado sem interromper as operações?
Fase 1 - Preparação (Semanas 1 e 2): Implante uma solução NAC e RADIUS em nuvem e faça a integração com o MDM existente. Configure um perfil SCEP no MDM para enviar certificados baseados em dispositivo para todos os tablets e notebooks. Utilize certificados baseados em dispositivo (vinculados ao número de série do dispositivo) em vez de certificados baseados em usuário, para que os tablets compartilhados se autentiquem de forma automática, independentemente de qual funcionário os esteja usando. Fase 2 - Implantação Paralela (Semanas 3 e 4): Transmita um novo SSID oculto configurado para 802.1X EAP-TLS. Envie o novo perfil de WiFi via MDM para todos os dispositivos registrados. Monitore o painel do NAC para verificar se as autenticações foram bem-sucedidas. Fase 3 - Transição (Semana 5): Assim que mais de 95% dos dispositivos estiverem conectados ao novo SSID, desative a rede WPA2-PSK legada. Revogue a PSK antiga de toda a documentação e dos pontos de acesso.
Uma rede varejista nacional está implantando 3.000 novos terminais de ponto de venda em 150 lojas. A equipe de segurança exige uma segmentação rígida de rede em conformidade com o PCI-DSS e acesso zero-trust. O cronograma de implantação é de 8 semanas. Como o SCEP e o NAC facilitam esse processo em escala sem exigir a presença de equipe de TI em cada loja?
Pré-implantação: O fornecedor dos pontos de venda pré-registra todos os 3.000 dispositivos no MDM do varejista usando o programa de registro zero-touch do fornecedor. O MDM é configurado com um perfil SCEP que será acionado de forma automática na primeira inicialização. Implantação: Quando um terminal de ponto de venda é ligado na loja, ele se conecta a um SSID de integração temporário (somente internet, sem acesso corporativo). O perfil do MDM é enviado, a carga útil do SCEP é executada e o dispositivo solicita e recebe seu certificado X.509 da autoridade certificadora. O MDM, em seguida, envia o perfil de WiFi corporativo. Acesso à Rede: Quando o ponto de venda se conecta à porta do switch da loja, o switch inicia o 802.1X. O NAC valida o certificado, consulta o MDM para confirmar se o ponto de venda está em conformidade (criptografia ativada, agente de MDM ativo, nenhum jailbreak detectado) e atribui dinamicamente a porta do switch à VLAN do PCI-DSS. O ponto de venda agora está operacional. Nenhum profissional de TI foi necessário na loja.
Questões práticas
Q1. Sua organização está migrando de WPA2-Enterprise usando PEAP-MSCHAPv2 para EAP-TLS. Durante o piloto, laptops Windows e iPhones se conectam com sucesso, mas 200 leitores de código de barras de depósito falham na autenticação. Os leitores suportam 802.1X, mas não conseguem processar o payload SCEP do MDM - eles executam um OS proprietário incorporado sem suporte a agente de MDM. Qual é a solução de arquitetura mais segura que mantém a segmentação de rede sem exigir a substituição dos leitores?
Dica: Considere mecanismos alternativos de entrega de certificados que não exijam um agente de MDM, e quais controles de segmentação de rede devem ser aplicados a dispositivos que não podem participar de uma avaliação completa de postura.
Ver resposta modelo
Como os leitores suportam 802.1X, mas não SCEP ou registro de MDM, a abordagem mais segura é provisionar manualmente os certificados de dispositivo usando um modelo de certificado dedicado com um perfil de uso de chave restrito. Os certificados são instalados uma única vez durante uma janela de manutenção. O NAC é configurado para aceitar esses certificados, mas atribuir os leitores a uma VLAN dedicada de operações de depósito com ACLs estritas - não à VLAN corporativa completa - porque a avaliação de postura não é possível. Alternativamente, se o provisionamento manual de certificados for operacionalmente inviável em escala, configure o MAB como um fallback especificamente para os MAC OUIs do hardware do leitor, com o NAC atribuindo-os à mesma VLAN restrita. Registre isso como uma exceção conhecida em seu registro de riscos e agende a substituição dos leitores no próximo ciclo de atualização de hardware.
Q2. Um gerente de segurança de rede percebe que, quando um funcionário relata o roubo de um laptop, o MDM envia um comando de limpeza remota, mas o dispositivo permanece conectado ao WiFi corporativo por até 12 horas - o timeout atual da sessão RADIUS. Durante essa janela, o dispositivo poderia ser usado para exfiltrar dados. Como a arquitetura deve ser modificada para encerrar o acesso à rede imediatamente após um dispositivo ser relatado como roubado?
Dica: O NAC precisa ser informado sobre a mudança de status instantaneamente, em vez de esperar pelo próximo ciclo de autenticação. Considere tanto o mecanismo de encerramento de sessão quanto o mecanismo de prevenção de nova autenticação.
Ver resposta modelo
Implemente dois controles complementares. Primeiro, configure o MDM para enviar um webhook para o NAC imediatamente após um dispositivo ser marcado como perdido ou roubado. O NAC então envia uma mensagem RADIUS Change of Authorization (CoA) Disconnect-Request para o ponto de acesso ou porta de switch específica, encerrando a sessão ativa imediatamente. Segundo, revogue o certificado do dispositivo na CA e garanta que o NAC esteja configurado para verificação OCSP em tempo real em vez de revogação baseada em CRL. Isso significa que, mesmo que o dispositivo tente se reconectar antes que o CoA seja processado, a autenticação EAP-TLS falhará na verificação OCSP. Ambos os controles juntos reduzem a janela de exposição de 12 horas para menos de 60 segundos.
Q3. Durante uma auditoria de segurança da rede de um grande centro de convenções, descobre-se que o servidor SCEP está exposto à internet pública usando uma senha de desafio estática para permitir o registro remoto de dispositivos. O auditor sinaliza isso como uma vulnerabilidade crítica. Como o processo de registro SCEP deve ser rearquitetado para manter a capacidade de registro remoto enquanto elimina o risco da senha estática?
Dica: O servidor SCEP precisa de uma maneira de verificar se o dispositivo que solicita um certificado é realmente autorizado pelo MDM, sem depender de um segredo compartilhado que possa ser extraído de um dispositivo ou interceptado.
Ver resposta modelo
Substitua a senha de desafio estática por senhas de desafio de uso único dinâmicas e por dispositivo, geradas pelo MDM. O fluxo de trabalho torna-se: (1) O MDM gera uma senha de desafio exclusiva e com limite de tempo para cada dispositivo durante a inscrição. (2) O MDM inclui esse desafio no payload SCEP enviado ao dispositivo. (3) O dispositivo inclui o desafio em seu CSR. (4) O servidor SCEP valida o desafio junto ao MDM via API antes de encaminhar o CSR para a CA. (5) O desafio é invalidado imediatamente após o uso. Isso garante que apenas dispositivos gerenciados por MDM possam obter um certificado com sucesso e que, mesmo se a URL do SCEP for descoberta, um invasor não possa gerar certificados válidos sem um desafio de uso único válido. Adicionalmente, restrinja o servidor SCEP apenas para HTTPS e implemente a listagem de IPs permitidos para os IPs de saída do MDM, sempre que possível.
Continue a ler esta série
PPSK WiFi: comparando recursos e modelos de implantação
Este guia de referência técnica compara a arquitetura de WiFi Private Pre-Shared Key (PPSK) com as implantações tradicionais de 802.1X e PSK padrão. Ele fornece aos arquitetos de rede e gerentes de TI estratégias de implementação neutras em relação a fornecedores para ambientes residenciais multi-tenant, IoT e BTR.
How to Reduce the Number of WiFi SSIDs Using Per-Device PSK (iPSK, DPSK, MPSK)
Este guia de referência técnica definitivo explica como as equipes de TI podem eliminar a degradação de desempenho do WiFi causada pela sobrecarga de beacons de SSID, colapsando múltiplas redes dedicadas em um único SSID usando PSK por dispositivo (xPSK). O guia abrange o cenário de fornecedores entre Cisco iPSK, HPE Aruba MPSK, Ruckus DPSK, Juniper Mist PPSK e Ubiquiti UniFi PPSK, com orientações práticas de implementação em atribuição dinâmica de VLAN, integração de IoT e conformidade com PCI DSS. Operadores de locais em hospitalidade, varejo, estádios e organizações do setor público encontrarão orientações de arquitetura acionáveis e exemplos práticos do mundo real.
Como implementar NAC pós-admissão para monitoramento contínuo de confiança
Este guia fornece um modelo técnico de referência para implementar o Controle de Acesso à Rede (NAC) pós-admissão com monitoramento contínuo de confiança em ambientes corporativos, incluindo hotelaria, varejo, saúde e setor público. Ele detalha a mudança arquitetônica de verificações estáticas de pré-admissão para uma aplicação dinâmica e ciente de sessão usando RADIUS CoA, estabelecimento de perfil comportamental e integração de telemetria. Arquitetos de TI e equipes de operações de rede encontrarão orientações práticas de implantação, estudos de caso reais, notas de alinhamento de conformidade e frameworks de ROI mensuráveis.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.