O Guia Corporativo de SCEP: Implantando o Simple Certificate Enrollment Protocol para Segurança Automatizada de WiFi de Campus

Bom dia. Se você gerencia infraestrutura de WiFi em um grupo de hotéis, redes de varejo, estádios ou campus universitários, este briefing é para você. Vamos falar sobre SCEP - Simple Certificate Enrollment Protocol - e especificamente sobre como ele resolve um dos maiores problemas recorrentes no WiFi corporativo: instalar certificados em milhares de dispositivos de forma automática, sem sobrecarregar sua equipe de suporte. [short pause] Para contextualizar: você decidiu - corretamente - que chaves pré-compartilhadas não são mais aceitáveis para o WiFi corporativo dos funcionários. Uma única senha comprometida expõe todo o segmento da sua rede. Você migrou, ou está migrando, para a autenticação 802.1X. Esse é o padrão IEEE que exige que cada dispositivo comprove sua identidade antes de obter acesso à rede. O modelo mais seguro de 802.1X é o EAP-TLS - Extensible Authentication Protocol com Transport Layer Security - que utiliza certificados digitais em vez de senhas. Os certificados são criptograficamente exclusivos por dispositivo, não podem ser compartilhados e podem ser revogados instantaneamente se um dispositivo for perdido ou se um funcionário se desligar da empresa. [short pause] Até aí, tudo bem. O problema é a distribuição. Como instalar um certificado exclusivo em cada laptop, celular ou tablet de sua propriedade - em sistemas Windows, iOS, Android, macOS - sem que um técnico precise mexer manualmente em cada dispositivo? É exatamente isso que o SCEP resolve. [medium pause] O SCEP foi formalizado pela Internet Engineering Task Force na RFC 8894 em 2020, embora já seja usado em ambientes corporativos desde o início dos anos 2000. Trata-se de um protocolo que permite que um dispositivo gerenciado solicite seu próprio certificado diretamente da sua Autoridade Certificadora, utilizando uma URL pré-configurada e uma senha de desafio. O ponto crítico de segurança aqui é: a chave privada é gerada no próprio dispositivo e armazenada na área segura do hardware - como o chip TPM em dispositivos Windows ou o Secure Enclave em aparelhos Apple - de modo que ela nunca trafega pela rede. O dispositivo gera uma Solicitação de Assinatura de Certificado, envia para o gateway SCEP, o gateway valida o desafio, encaminha a solicitação para a sua Autoridade Certificadora, ela assina e o certificado assinado retorna para o dispositivo. Todo o processo é invisível para o usuário final. [short pause] Em ambientes Microsoft, o gateway SCEP é geralmente o NDES - Network Device Enrollment Service - uma função do Windows Server que serve de intermediária entre sua plataforma de MDM e sua Autoridade Certificadora. O Microsoft Intune envia o perfil SCEP para os dispositivos gerenciados, informando a eles a URL do NDES e a senha de desafio. Os dispositivos fazem o resto de forma automática. [medium pause] Deixe-me orientar você sobre como é uma implantação real. Considere um grupo hoteleiro com 150 propriedades - pense na escala do Premier Inn. Eles têm uma mistura de laptops Windows para a equipe da recepção, dispositivos iOS para supervisores de governança e tablets Android no ponto de venda do restaurante. Antes do SCEP, eles utilizavam WPA2-Personal com uma senha compartilhada rotacionada trimestralmente. Cada rotação gerava uma onda de chamadas para o suporte técnico. Com o SCEP e o Intune, eles implantam três perfis em sequência. Primeiro, o perfil de Certificado de Raiz Confiável - isso diz a cada dispositivo para confiar na Autoridade de Certificação da empresa. Segundo, o perfil de Certificado SCEP - isso instrui os dispositivos a buscarem seu certificado de cliente exclusivo. Terceiro, o perfil de WiFi - isso configura o SSID, define o tipo de segurança para WPA2-Enterprise ou WPA3-Enterprise e aponta para o certificado SCEP para autenticação. Implante esses três perfis no mesmo grupo de dispositivos no Intune, e cada dispositivo gerenciado se conectará ao SSID corporativo automaticamente, com um certificado exclusivo, sem necessidade de interação do usuário. [short pause] O servidor RADIUS - normalmente o Microsoft NPS ou um serviço RADIUS em nuvem - recebe a solicitação de autenticação EAP-TLS, valida o certificado em relação à AC, verifica a Lista de Revogação de Certificados e concede ou nega o acesso. Se um funcionário for demitido, você revoga o certificado dele na AC. O dispositivo dele perde o acesso ao WiFi no próximo ciclo de autenticação. Nenhuma redefinição de senha é necessária. Sem espera por uma rotação trimestral. [medium pause] Agora, as pessoas costumam perguntar sobre a diferença entre SCEP e PKCS - Public Key Cryptography Standards. Ambos funcionam com o Intune. A principal diferença está em onde a chave privada é gerada. Com o SCEP, ela é gerada no próprio dispositivo. Com o PKCS, a AC gera ambas as chaves centralmente e envia a chave privada para o dispositivo. Isso significa que a chave privada trafega pela rede, o que introduz um risco teórico de interceptação. O PKCS tem o seu espaço - ele é mais adequado para criptografia de e-mail S/MIME, onde a custódia de chaves é importante. Para autenticação WiFi, o SCEP é a escolha certa. Sempre. [short pause] Deixe-me dar um segundo cenário - uma rede de varejo. Imagine um varejista de moda com 200 lojas em todo o Reino Unido, cada uma executando pontos de acesso Cisco Meraki. Seus sistemas de ponto de venda são baseados em Windows, gerenciados por meio do Intune. Eles precisam de conformidade com o PCI-DSS, o que significa segmentação de rede e autenticação forte para qualquer dispositivo que manipule dados de portadores de cartão. O EAP-TLS baseado em SCEP oferece autenticação em nível de dispositivo no SSID da equipe, com atribuição de VLAN conduzida pela política do RADIUS. Os terminais de PDV entram na VLAN de escopo PCI automaticamente. O WiFi para convidados - tratado separadamente por meio de uma plataforma como o Purple - funciona em um SSID completamente isolado com seu próprio fluxo de autenticação. As duas redes nunca se tocam. Os auditores ficam satisfeitos. A equipe de segurança dorme melhor. [medium pause] Certo, vamos falar sobre as armadilhas, porque existem algumas que costumam pegar as equipes de surpresa. [short pause] O modo de falha mais comum é a incompatibilidade de direcionamento de grupo no Intune. O seu perfil de Raiz Confiável, o seu perfil SCEP e o seu perfil WiFi devem todos direcionar para o mesmo grupo do Azure AD. Se o perfil SCEP direcionar para um grupo de Usuários e o perfil WiFi direcionar para um grupo de Dispositivos, o Intune não conseguirá resolver a dependência e o perfil WiFi apresentará um erro. Verifique suas atribuições primeiro - quase sempre o problema está aí. [short pause] Segundo erro comum: disponibilidade do servidor NDES. O seu servidor NDES precisa estar acessível pela internet para que os dispositivos remotos possam se registrar antes de chegarem ao local. A maneira segura de fazer isso é via Azure AD Application Proxy, que oferece acesso remoto sem a necessidade de abrir portas de entrada no firewall. Não exponha o NDES diretamente à internet. [short pause] Terceiro: disponibilidade da CRL. O seu servidor RADIUS verifica a Lista de Revogação de Certificados toda vez que um dispositivo se autentica. Se o Ponto de Distribuição da CRL estiver inacessível - talvez um servidor esteja fora do ar ou uma regra de firewall tenha mudado - a autenticação falhará para todos. Torne os seus endpoints de CRL altamente disponíveis e teste-os regularmente. [short pause] Quarto: permissões de modelo de certificado. Se a conta de serviço do seu conector NDES não tiver permissões de Leitura e Registro no modelo de certificado, os dispositivos receberão erros HTTP 403 ao tentar coletar o certificado. É uma correção simples de permissões, mas fácil de passar despercebida durante a configuração inicial. [medium pause] Agora, uma rodada de perguntas rápidas. [short pause] O SCEP funciona com MDMs que não sejam da Microsoft? Sim - o Jamf para frotas de dispositivos Apple, o VMware Workspace ONE e a maioria das plataformas MDM corporativas suportam perfis SCEP. O protocolo é neutro em relação ao fornecedor. [short pause] O SCEP funciona com PKI na nuvem? Sim. A própria PKI na nuvem da Microsoft no Intune Suite elimina completamente a necessidade de um servidor NDES local. Provedores de PKI na nuvem de terceiros, como SecureW2 e Keyfactor, também oferecem endpoints SCEP na nuvem. [short pause] E quanto ao WPA3-Enterprise? O WPA3-Enterprise utiliza a mesma pilha de autenticação 802.1X e EAP-TLS. Os certificados emitidos por SCEP funcionam de maneira idêntica. A atualização ocorre na camada de protocolo sem fio, não na camada de certificado. [short pause] Qual é o tempo de validade dos certificados? Geralmente um ano, embora você possa configurar períodos de validade mais curtos. O Intune gerencia a renovação automática antes do vencimento, para que os usuários nunca sofram interrupções. [medium pause] Para resumir. O SCEP automatiza a distribuição de certificados em escala, eliminando a sobrecarga de trabalho manual da implantação de PKI em grandes frotas de dispositivos. A chave privada permanece no dispositivo - essa é a base de segurança do EAP-TLS. Implante na sequência: primeiro a Raiz Confiável, segundo o perfil SCEP, terceiro o perfil WiFi, todos direcionados ao mesmo grupo. Publique o seu endpoint NDES de forma segura via Application Proxy. Mantenha os seus endpoints de CRL altamente disponíveis. E se estiver começando do zero, avalie uma PKI na nuvem para remover completamente a dependência do NDES local. [short pause] Para guest WiFi - a rede separada voltada para visitantes - a autenticação baseada em certificado não é o modelo correto. Os visitantes não possuem dispositivos gerenciados. É aí que uma plataforma como o Purple lida com o fluxo de autenticação: captive portal, login social, captura de e-mail ou verificação por SMS, tudo alimentando uma camada de dados proprietários que sua equipe de marketing pode realmente usar. As duas abordagens se complementam: SCEP para a frota de dispositivos gerenciados de seus funcionários, Purple para sua rede de convidados. Ambos funcionando no mesmo hardware, limpos e segmentados por VLAN. [short pause] Este é o seu resumo sobre a integração SCEP em enterprise WiFi. O guia escrito completo, com diagramas de arquitetura, configuração passo a passo do Intune e exemplos práticos, está disponível no site da Purple. Obrigado por ouvir.