Implementando SCEP para WiFi 802.1X e BYOD Seguro no Ensino Superior

Bem-vindo ao Purple Technical Briefing. Eu sou o seu anfitrião e hoje vamos nos aprofundar em um tema que surge constantemente no setor de TI do ensino superior: como implementar o SCEP - o Simple Certificate Enrolment Protocol - para fornecer WiFi 802.1X e BYOD seguro no campus. Se você gerencia uma rede universitária ou de faculdade hoje, provavelmente lida com uma tensão familiar. De um lado, há alunos, professores e funcionários trazendo centenas ou milhares de dispositivos pessoais. Do outro, há uma postura de segurança que precisa atender a requisitos institucionais, regulatórios e, cada vez mais, de seguros cibernéticos. WiFi baseado em senha e captive portals abertos simplesmente não são mais suficientes. Então, vamos falar sobre o que realmente funciona. Primeiro, vamos contextualizar. O 802.1X é o padrão IEEE para controle de acesso à rede baseado em porta. Ele existe desde 2001, mas é mais relevante hoje do que nunca. A ideia central é que, antes que qualquer dispositivo entre na sua rede, ele precisa provar quem é - não apenas apresentar uma senha que qualquer pessoa poderia compartilhar, mas apresentar uma credencial verificável. Em um contexto com fio, essa verificação de credencial ocorre na porta do switch. No WiFi, ocorre no ponto de acesso, mediada por um servidor RADIUS. Agora, a credencial em si pode assumir várias formas. Você pode usar um nome de usuário e senha via PEAP - que é o Protected Extensible Authentication Protocol. Ou você pode usar um certificado digital via EAP-TLS - Extensible Authentication Protocol com Transport Layer Security. O EAP-TLS é o padrão ouro. Ele é mútuo - a rede se autentica no dispositivo e o dispositivo se autentica na rede. Essa autenticação mútua é o que bloqueia pontos de acesso não autorizados. O laptop de um estudante simplesmente não se conectará a uma rede clonada que não possua o certificado correto. Então, onde entra o SCEP? O SCEP - Simple Certificate Enrolment Protocol - é o mecanismo pelo qual os dispositivos solicitam e recebem esses certificados digitais de forma automática. Sem o SCEP, você teria que gerar e distribuir certificados manualmente para cada dispositivo. Em uma universidade com dez mil alunos e três mil funcionários, essa não é uma operação viável. O SCEP automatiza todo o processo. Veja como funciona o fluxo. Um dispositivo se conecta a uma rede de provisionamento - às vezes chamada de SSID de onboarding. Ele entra em contato com o seu servidor SCEP, que normalmente é integrado à sua Autoridade Certificadora - a sua CA. O dispositivo envia uma Solicitação de Assinatura de Certificado. O servidor SCEP valida a solicitação, geralmente verificando as credenciais do usuário em seu diretório - Microsoft Entra ID ou Google Workspace. Uma vez validada, a CA emite um certificado assinado e o dispositivo o instala. A partir desse momento, o dispositivo usa esse certificado para se autenticar no seu SSID protegido por 802.1X de forma automática. Sem portal, sem solicitação de senha, sem chamado de TI. Vamos falar sobre a arquitetura com um pouco mais de detalhes. Em uma implantação típica de ensino superior, você terá três segmentos de rede para considerar. Primeiro, sua rede de integração - é aqui que os dispositivos não registrados chegam. Ela tem acesso à internet, mas está isolada de seus recursos internos. Segundo, seu SSID protegido por 802.1X - é aqui que os dispositivos registrados se conectam, com acesso total aos recursos apropriados para sua função. Terceiro, sua infraestrutura de gerenciamento - seu servidor RADIUS, sua CA, seu servidor SCEP e sua integração de diretório. O servidor RADIUS é o controlador de tráfego. Quando um dispositivo tenta se conectar ao seu SSID 802.1X, o ponto de acesso envia uma solicitação de autenticação para o RADIUS. O RADIUS valida o certificado em relação à lista de revogação de certificados da CA, verifica o status do usuário em seu diretório e concede ou nega o acesso. Ele também pode atribuir o dispositivo a uma VLAN com base na função - os alunos vão para um segmento, os professores para outro, a equipe administrativa para um terceiro. Isso é o Identity-Based Networking na prática. Agora, uma das perguntas mais comuns que recebo é: com qual hardware isso funciona? A boa notícia é que o 802.1X é um padrão, portanto, funciona com qualquer ponto de acesso que suporte WPA2 ou WPA3 Enterprise. Na prática, você vai querer verificar a implementação do seu fornecedor específico. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi - todos eles suportam o padrão. As etapas de configuração diferem de acordo com o fornecedor, mas o protocolo subjacente é o mesmo. Deixe-me orientar você sobre como é uma implantação real. Usarei um exemplo composto baseado em uma universidade de médio porte do Reino Unido - cerca de quinze mil alunos, três campi, uma mistura de infraestrutura Aruba e Meraki. O projeto começou com uma auditoria de rede. A configuração existente era uma mistura de SSIDs abertos e um Captive Portal para acesso dos alunos. A equipe de TI estava afogada em chamados de redefinição de senha - cerca de quarenta por semana. A randomização de endereços MAC no iOS e Android havia quebrado completamente seus sistemas de análise, de modo que eles não tinham dados confiáveis sobre os padrões de uso da rede. A primeira fase foi a implantação da infraestrutura PKI. Eles estruturaram uma CA de duas camadas - uma CA raiz offline e uma CA emissora online. O servidor SCEP foi integrado à CA emissora e conectado ao Microsoft Entra ID para validação de identidade. O tempo de vida do certificado foi definido para um ano, com a renovação automática acionada na marca de trinta dias. A segunda fase foi a configuração do SSID 802.1X. Eles criaram um SSID dedicado com WPA3-Enterprise, direcionaram-no para seus servidores RADIUS e configuraram regras de atribuição de VLAN. Os alunos receberam uma VLAN, os funcionários outra, e os dispositivos IoT uma terceira.A terceira fase foi a experiência de integração. Eles usaram uma solução de Network Access Control para redirecionar dispositivos não cadastrados para um portal de autoatendimento. Os alunos se autenticavam com suas credenciais universitárias, o fluxo SCEP era executado em segundo plano e o certificado era instalado. No iOS, isso exigia um perfil de configuração. No Android, o processo era um pouco diferente, mas igualmente automatizado. O resultado? Os chamados de redefinição de senha caíram mais de noventa por cento no primeiro mês. A visibilidade da rede melhorou drasticamente porque as identidades baseadas em certificados não mudam como os endereços MAC. E a equipe de segurança finalmente teve uma trilha de auditoria confiável para cada dispositivo na rede. Agora vamos falar sobre onde a Purple se encaixa nesse cenário. O produto SecurePass da Purple é construído exatamente sobre essa arquitetura. O SecurePass emite perfis de WiFi assinados digitalmente usando WPA2 e WPA3-Enterprise com autenticação mútua 802.1X. O processo de cadastro leva menos de trinta segundos. Uma vez que o dispositivo possui um perfil, ele se conecta automaticamente - sem portal, sem senha, sem atrito. O que torna o SecurePass particularmente relevante para o ensino superior é a combinação de segurança e análise de dados. Como a credencial de autenticação é um certificado estável em vez de um endereço MAC rotativo, você obtém dados precisos de visitas de retorno, tempos de permanência e frequência de visitas. Esses dados alimentam diretamente a plataforma de análise da Purple, oferecendo visibilidade real de como a rede do seu campus está sendo utilizada. O SecurePass também se integra com o Microsoft Entra ID e Google Workspace para implantações de funcionários. Isso significa que quando um membro da equipe deixa a universidade, seu acesso é revogado automaticamente. Sem processos manuais, sem contas esquecidas, sem lacunas de segurança. Esse é o fluxo de trabalho de admissão, movimentação e desligamento automatizado de ponta a ponta. Para a infraestrutura RADIUS, a Purple opera servidores RADIUS em nuvem - primário e secundário - para que você não precise gerenciar essa infraestrutura por conta própria. A lista de hardware compatível inclui Cisco Meraki, Cisco Catalyst, HPE Aruba, Ubiquiti UniFi, Ruckus, Juniper Mist e Fortinet, entre outros. Detalhes completos estão nas Perguntas Frequentes do SecurePass no site de suporte da Purple. Permita-me apontar as armadilhas de implementação para ficar atento. Essas são as questões que costumam prejudicar as equipes em implantações reais. Primeiro: revogação de certificados. Você precisa de uma CRL - Lista de Revogação de Certificados - funcional ou de um respondedor OCSP. Se o seu servidor RADIUS não puder verificar o status de revogação, ou você bloqueia todas as conexões ou aceita todas as conexões. Nenhuma das opções é aceitável. Teste sua infraestrutura de revogação antes de entrar em operação. Segundo: compatibilidade de dispositivos. A maioria dos dispositivos modernos iOS, Android, macOS e Windows oferece suporte nativo ao EAP-TLS. No entanto, dispositivos mais antigos, terminais IoT e alguns sistemas legados não oferecem. Você precisa de um plano para esses dispositivos - seja um SSID separado com uma autenticação diferente ou um processo de exceção gerenciado. Terceiro: tempo de vida e renovação do certificado. Se os certificados expirarem e o processo de renovação falhar, os usuários perderão o acesso. Defina sua janela de renovação de forma generosa - trinta dias antes da expiração é um mínimo razoável. Monitore a expiração de certificados de forma centralizada e envie alertas antes que isso se torne um problema. Quarto: a experiência de integração. O fluxo técnico pode ser perfeito, mas se os alunos acharem o processo de inscrição confuso, eles não o concluirão. Invista em sinalização clara, um portal de autoatendimento simples e um guia de ajuda rápido. A inscrição de trinta segundos que o SecurePass anuncia é viável, mas apenas se a experiência do usuário for adequada. Quinto: resiliência do servidor RADIUS. Sua infraestrutura 802.1X agora é o caminho crítico para o acesso à rede. Se o seu servidor RADIUS cair, ninguém se conecta. Você precisa de servidores RADIUS primários e secundários, de preferência em diferentes zonas de disponibilidade, com failover automático. Agora, vamos para as nossas perguntas e respostas rápidas. Estas são as perguntas que recebo com mais frequência. O SCEP pode funcionar com uma CA baseada em nuvem? Sim. O NDES da Microsoft - Network Device Enrolment Service - e vários provedores de CA em nuvem terceirizados suportam SCEP sobre HTTPS. Você não precisa de infraestrutura local. O 802.1X funciona com Passpoint e OpenRoaming? Sim. O Passpoint - também conhecido como Hotspot 2.0 - usa o 802.1X como sua camada de autenticação. O OpenRoaming estende isso para uma federação global de redes confiáveis. Um aluno inscrito via SecurePass se conectará automaticamente em qualquer um dos mais de oitenta mil locais OpenRoaming em todo o mundo. Isso inclui aeroportos, hotéis, centros de transporte - tudo sem nenhuma ação adicional. E quanto ao acesso de visitantes? O 802.1X e o SCEP são para dispositivos gerenciados e identidades conhecidas. Para visitantes reais, você ainda precisa de um mecanismo de acesso de visitante separado. Os dois sistemas funcionam em paralelo; eles não entram em conflito. O WPA3-Enterprise é obrigatório? Não, o WPA2-Enterprise com 802.1X ainda é amplamente implantado e perfeitamente seguro para a maioria dos casos de uso. O WPA3-Enterprise adiciona uma criptografia mais forte. Se o seu hardware for compatível, ative-o. Caso contrário, o WPA2-Enterprise é uma base sólida. Para encerrar, aqui estão as cinco coisas que eu gostaria que você levasse deste briefing. Um: o 802.1X com autenticação baseada em certificado é a arquitetura de segurança ideal para BYOD no ensino superior. Senhas e portais não são adequados para o ambiente de ameaças em que você opera hoje. Dois: o SCEP é o que torna a autenticação baseada em certificado escalável. Sem a inscrição automatizada, você não pode implantar certificados na escala que uma universidade exige. Três: a autenticação mútua é a principal propriedade de segurança. Ela protege seus alunos de pontos de acesso falsos tanto quanto protege sua rede de dispositivos não autorizados. Quatro: a integração de diretório - com Microsoft Entra ID ou Google Workspace - é o que torna o fluxo de trabalho de novos usuários, transferências e desligamentos automático. Não implante o 802.1X sem ela. Cinco: a experiência de integração determina a adoção. A tecnologia pode ser perfeita, mas se o processo de registro for instável, você passará mais tempo lidando com chamados de suporte do que economizando tempo. Se você quiser se aprofundar, o site de suporte da Purple possui documentação detalhada do SecurePass abrangendo configuração RADIUS, compatibilidade de hardware e o fluxo de registro. Os links estão nas notas do programa. Obrigado por ouvir. Vejo você no próximo briefing.