O Guia Corporativo para SCEP: Implantando o Simple Certificate Enrollment Protocol para Segurança Automatizada de WiFi em Campus

Bom dia. Se você gerencia infraestrutura de WiFi em um grupo de hotéis, uma rede de varejo, um estádio ou um campus universitário, este briefing é para você. Vamos falar sobre SCEP - Simple Certificate Enrollment Protocol - e, especificamente, como ele resolve uma das dores de cabeça mais persistentes no WiFi corporativo: colocar certificados em milhares de dispositivos de forma automática, sem que seu suporte técnico fique sobrecarregado de chamados. [short pause] Deixe-me contextualizar. Você decidiu - corretamente - que chaves pré-compartilhadas não são mais aceitáveis para o WiFi da equipe. Uma única senha comprometida expõe todo o seu segmento de rede. Você migrou, ou está migrando, para a autenticação 802.1X. Esse é o padrão IEEE que exige que cada dispositivo comprove sua identidade antes de obter acesso à rede. A versão mais segura do 802.1X é o EAP-TLS - Extensible Authentication Protocol com Transport Layer Security - que utiliza certificados digitais em vez de senhas. Os certificados são criptograficamente exclusivos por dispositivo, não podem ser compartilhados e podem ser revogados instantaneamente se um dispositivo for perdido ou se um funcionário sair da empresa. [short pause] Até aí, tudo bem. O problema é a distribuição. Como você coloca um certificado exclusivo em cada notebook, cada celular, cada tablet em sua propriedade - em sistemas Windows, iOS, Android, macOS - sem que um técnico precise tocar em cada dispositivo? É exatamente isso que o SCEP resolve. [medium pause] O SCEP foi formalizado pela Internet Engineering Task Force na RFC 8894 em 2020, embora já seja utilizado em ambientes corporativos desde o início dos anos 2000. É um protocolo que permite que um dispositivo gerenciado solicite seu próprio certificado diretamente à sua Autoridade Certificadora, usando uma URL pré-configurada e uma senha de desafio. O ponto crítico de segurança aqui: a chave privada é gerada no próprio dispositivo, armazenada no enclave seguro do dispositivo - que é o chip TPM em dispositivos Windows, ou o Secure Enclave no hardware da Apple - e ela nunca trafega pela rede. O dispositivo gera uma Solicitação de Assinatura de Certificado, envia para o gateway SCEP, o gateway valida o desafio, encaminha a solicitação para a sua Autoridade Certificadora, a CA assina e o certificado assinado retorna para o dispositivo. Todo o processo é invisível para o usuário final. [short pause] Agora, em um ambiente Microsoft, o gateway SCEP é normalmente o NDES - Network Device Enrollment Service - uma função do Windows Server que atua como intermediária entre sua plataforma MDM e sua CA. O Microsoft Intune envia o perfil SCEP para os dispositivos gerenciados, informando a eles a URL do NDES e a senha de desafio. Os dispositivos fazem o resto automaticamente. [medium pause] Deixe-me orientar você sobre como é uma implantação real. Pense em um grupo hoteleiro com 150 propriedades — imagine a escala do Premier Inn. Eles têm uma mistura de laptops Windows para a equipe da recepção, dispositivos iOS para os supervisores de governança e tablets Android no ponto de venda do restaurante. Antes do SCEP, eles usavam WPA2-Personal com uma senha compartilhada rotacionada trimestralmente. Cada rotação gerava uma onda de chamadas para o suporte técnico. Com o SCEP e o Intune, eles implantam três perfis em sequência. Primeiro, o perfil de Certificado de Raiz Confiável — isso diz a cada dispositivo para confiar na Autoridade de Certificação da empresa. Segundo, o perfil de Certificado SCEP — isso instrui os dispositivos a buscarem seu certificado de cliente exclusivo. Terceiro, o perfil de WiFi — isso configura o SSID, define o tipo de segurança como WPA2-Enterprise ou WPA3-Enterprise e aponta para o certificado SCEP para autenticação. Implante esses três perfis no mesmo grupo de dispositivos no Intune, e cada dispositivo gerenciado se conectará ao SSID corporativo automaticamente, com um certificado exclusivo, sem necessidade de qualquer interação do usuário. [short pause] O servidor RADIUS — normalmente o Microsoft NPS ou um serviço de RADIUS em nuvem — recebe a solicitação de autenticação EAP-TLS, valida o certificado em relação à CA, verifica a Lista de Revogação de Certificados e concede ou nega o acesso. Se um funcionário for desligado, você revoga seu certificado na CA. O dispositivo dele perde o acesso ao WiFi no próximo ciclo de autenticação. Sem necessidade de redefinição de senha. Sem esperar por uma rotação trimestral. [medium pause] Agora, as pessoas costumam perguntar sobre a diferença entre SCEP e PKCS — Public Key Cryptography Standards. Ambos funcionam com o Intune. A principal diferença está em onde a chave privada é gerada. Com o SCEP, ela é gerada no dispositivo. Com o PKCS, a CA gera ambas as chaves de forma centralizada e envia a chave privada para o dispositivo. Isso significa que a chave privada trafega pela rede, o que introduz um risco teórico de interceptação. O PKCS tem seu espaço — é mais adequado para criptografia de e-mail S/MIME, onde a custódia de chaves é importante. Para autenticação WiFi, o SCEP é a escolha certa. Sempre. [short pause] Deixe-me apresentar um segundo cenário — uma rede de varejo. Imagine uma varejista de moda com 200 lojas em todo o Reino Unido, cada uma operando com pontos de acesso Cisco Meraki. Seus sistemas de ponto de venda são baseados em Windows, gerenciados por meio do Intune. Eles precisam de conformidade com o PCI DSS, o que significa segmentação de rede e autenticação forte para qualquer dispositivo que manipule dados de portadores de cartão. O EAP-TLS baseado em SCEP oferece autenticação em nível de dispositivo no SSID da equipe, com atribuição de VLAN orientada pela política do RADIUS. Os terminais de PDV entram na VLAN do escopo PCI automaticamente. O WiFi para convidados — gerenciado separadamente por meio de uma plataforma como a Purple — funciona em um SSID completamente isolado com seu próprio fluxo de autenticação. As duas redes nunca se tocam. Os auditores ficam satisfeitos. A equipe de segurança dorme melhor. [medium pause] Certo, vamos falar sobre as armadilhas, porque existem algumas que costumam pegar as equipes de surpresa. [short pause] O modo de falha mais comum são as incompatibilidades de direcionamento de grupo no Intune. Seu perfil de Raiz Confiável, seu perfil SCEP e seu perfil de WiFi devem todos ter como alvo o mesmo grupo do Azure AD. Se o perfil SCEP for direcionado a um grupo de Usuários e o perfil de WiFi for direcionado a um grupo de Dispositivos, o Intune não conseguirá resolver a dependência e o perfil de WiFi será exibido com erro. Verifique suas atribuições primeiro - quase sempre o problema está aí. [short pause] Segundo ponto crítico: disponibilidade do servidor NDES. Seu servidor NDES precisa estar acessível pela internet para que os dispositivos remotos se registrem antes de chegarem ao local físico. A maneira segura de fazer isso é por meio do Azure AD Application Proxy, que oferece acesso remoto sem abrir portas de entrada no firewall. Não exponha o NDES diretamente à internet. [short pause] Terceiro: disponibilidade da CRL. Seu servidor RADIUS verifica a Lista de Revogação de Certificados toda vez que um dispositivo se autentica. Se o Ponto de Distribuição da CRL estiver inacessível - talvez um servidor esteja fora do ar ou uma regra de firewall tenha mudado - a autenticação falhará para todos. Torne seus endpoints de CRL altamente disponíveis e teste-os regularmente. [short pause] Quarto: permissões de modelo de certificado. Se a conta de serviço do seu conector NDES não tiver permissões de Leitura e Inscrição (Read and Enroll) no modelo de certificado, os dispositivos receberão erros HTTP 403 quando tentarem coletar seu certificado. É uma correção simples de permissões, mas fácil de passar despercebida durante a configuração inicial. [medium pause] Agora, uma rodada de perguntas rápidas. [short pause] O SCEP funciona com MDMs que não são da Microsoft? Sim - o Jamf para frotas de dispositivos Apple, o VMware Workspace ONE e a maioria das plataformas de MDM corporativas oferecem suporte a perfis SCEP. O protocolo é neutro em relação ao fornecedor. [short pause] O SCEP funciona com PKI em nuvem? Sim. A própria PKI em nuvem da Microsoft no Intune Suite elimina totalmente a necessidade de um servidor NDES local. Provedores de PKI em nuvem de terceiros, como SecureW2 e Keyfactor, também oferecem endpoints SCEP em nuvem. [short pause] E quanto ao WPA3-Enterprise? O WPA3-Enterprise usa a mesma pilha de autenticação 802.1X e EAP-TLS. Os certificados emitidos por SCEP funcionam de maneira idêntica. A atualização ocorre na camada do protocolo sem fio, não na camada do certificado. [short pause] Qual é a validade dos certificados? Normalmente um ano, embora você possa configurar períodos de validade mais curtos. O Intune gerencia a renovação automática antes do vencimento, para que os usuários nunca sofram interrupções. [medium pause] Para resumir. O SCEP automatiza a distribuição de certificados em escala, eliminando o trabalho manual de implantação de PKI em grandes frotas de dispositivos. A chave privada permanece no dispositivo - essa é a base de segurança do EAP-TLS. Implante em sequência: primeiro a Raiz Confiável, segundo o perfil SCEP, terceiro o perfil de WiFi, todos direcionados ao mesmo grupo. Publique seu endpoint NDES de forma segura via Application Proxy. Mantenha seus endpoints de CRL altamente disponíveis. E se estiver começando do zero, avalie a PKI em nuvem para remover completamente a dependência do NDES local. [short pause] Para o WiFi de visitantes - a rede separada voltada para o público - a autenticação baseada em certificado não é o modelo correto. Os visitantes não possuem dispositivos gerenciados. É aí que uma plataforma como a Purple lida com o fluxo de autenticação: Captive Portal, login social, captura de e-mail ou verificação por SMS, tudo alimentando uma camada de dados primários (first-party data) que sua equipe de marketing pode realmente usar. As duas abordagens se complementam: SCEP para o parque de dispositivos gerenciados dos seus funcionários, Purple para a sua rede de visitantes. Ambos rodando no mesmo hardware, segmentados de forma limpa por VLAN. [short pause] Esse é o seu briefing sobre integração de WiFi corporativo com SCEP. O guia escrito completo, com diagramas de arquitetura, configuração passo a passo do Intune e exemplos práticos, está disponível no site da Purple. Obrigado por ouvir.