Como Implementar SCEP para Integração Segura de BYOD e Redes no Ensino Superior

Fale em inglês britânico com um tom claro, confiante e autoritário. É um consultor sénior de segurança de rede a dar um briefing a diretores de TI e CTOs numa universidade. O seu discurso é compassado, direto e ocasionalmente seco. Faça pausas naturais entre as secções. O ritmo é constante e profissional, sem pressas: Bem-vindos a este briefing técnico da Purple. Vou orientar-vos através de tudo o que precisam de saber sobre a implementação de SCEP - o Simple Certificate Enrolment Protocol - para BYOD seguro e registo de rede no ensino superior. Se é um diretor de TI ou arquiteto de rede numa universidade, e ainda depende de palavras-passe partilhadas ou de Captive Portals para autenticar dispositivos de estudantes na WiFi do campus, este briefing é para si. [medium pause] Comecemos pelo problema. A maioria das universidades de hoje está a correr o que eu chamaria de modelo de confiança à primeira utilização. Um estudante chega, liga-se ao SSID do campus, introduz as suas credenciais universitárias e está na rede. Simples. Familiar. E, francamente, uma responsabilidade de segurança significativa. As palavras-passe são partilhadas. As credenciais são alvo de phishing. Uma única conta comprometida pode colocar milhares de dispositivos na sua rede que não deveriam estar lá. E quando lidamos com obrigações do GDPR, dados de investigação e sistemas de pagamento na mesma infraestrutura, esse não é um risco que se possa correr. [medium pause] O SCEP resolve isto na camada de identidade do dispositivo. Em vez de perguntar "quem é você?" através de uma palavra-passe, pergunta "o que é você?" através de um certificado criptográfico. O SCEP - formalmente definido no RFC 8894 pelo IETF - é um protocolo que automatiza a emissão, entrega e renovação de certificados digitais X.509 para dispositivos geridos e não geridos. Tem sido a espinha dorsal da PKI empresarial há mais de duas décadas, e é suportado nativamente por todas as principais plataformas MDM: Microsoft Intune, JAMF Pro e VMware Workspace ONE. Eis como funciona o fluxo de registo na prática. Quando o dispositivo de um estudante se liga ao seu SSID de integração, o agente MDM nesse dispositivo gera um par de chaves e cria um Certificate Signing Request - um CSR. Esse pedido vai para o seu gateway SCEP, que valida uma palavra-passe de desafio única. O gateway reencaminha o CSR para a sua Autoridade de Certificação, que o assina e devolve um certificado X.509 exclusivo ao dispositivo. A partir desse momento, o dispositivo utiliza esse certificado para se autenticar via 802.1X EAP-TLS - o método de autenticação sem fios mais seguro definido na norma IEEE 802.1X. Sem palavras-passe. Sem segredos partilhados. Apenas prova criptográfica da identidade do dispositivo. [medium pause] Agora, o EAP-TLS - Extensible Authentication Protocol com Transport Layer Security - merece um momento da sua atenção. Requer autenticação mútua: o dispositivo prova a sua identidade ao servidor RADIUS e o servidor RADIUS prova a sua identidade ao dispositivo. Isto elimina os ataques man-in-the-middle na camada de autenticação. Compare isso com o PEAP-MSCHAPv2, que ainda é amplamente implementado e possui vulnerabilidades conhecidas para a recolha de credenciais. Se está a executar PEAP atualmente, a migração para o EAP-TLS via SCEP é uma atualização de segurança significativa, e não incremental. [medium pause] Deixe-me dar-lhe uma arquitetura concreta. Está a executar três SSIDs. O primeiro é o seu SSID seguro para estudantes - chamemos-lhe UniSecure - na VLAN 10. Este é autenticado por certificado através de 802.1X EAP-TLS. Apenas os dispositivos com um certificado válido emitido pela sua CA podem aderir. O segundo é o seu SSID para funcionários na VLAN 20, onde os dispositivos geridos recebem certificados automaticamente através do Intune ou JAMF durante o registo do dispositivo. O terceiro é o seu WiFi de convidados na VLAN 30 - um Captive Portal para visitantes, completamente isolado da sua rede académica. O seu servidor RADIUS - seja o Microsoft NPS, Cisco ISE ou HPE Aruba ClearPass - situa-se entre os pontos de acesso e a sua Autoridade de Certificação, aplicando políticas em cada tentativa de autenticação. [medium pause] Para o hardware, esta arquitetura funciona perfeitamente em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi. O gateway SCEP pode ser o seu servidor Microsoft NDES existente, um serviço SCEP na nuvem ou uma plataforma PKI dedicada. Se já utiliza o Microsoft Entra ID - anteriormente Azure Active Directory - a integração com o Certificate Connector do Intune é simples e está bem documentada. [medium pause] Agora deixe-me orientá-lo por dois cenários do mundo real. O primeiro é uma grande universidade com 30.000 estudantes espalhados por um campus principal e quatro instalações satélite. O seu desafio: os estudantes chegam em setembro com uma mistura de portáteis Windows, MacBooks, iPhones e dispositivos Android. Anteriormente, executavam PEAP com credenciais universitárias. A partilha de credenciais era endémica. Migraram para SCEP com Intune para dispositivos geridos de funcionários e um portal de integração self-service para BYOD de estudantes. Os estudantes visitam uma página web, autenticam-se com o início de sessão único da universidade e o portal envia um perfil SCEP para o seu dispositivo. O dispositivo regista-se, recebe um certificado e liga-se ao SSID seguro automaticamente. Os pedidos de suporte de TI relacionados com a autenticação WiFi caíram 60% no primeiro período. A autenticação baseada em certificados também lhes proporcionou um registo de auditoria limpo para a conformidade com o GDPR - puderam demonstrar exatamente qual o dispositivo que acedeu a que segmento de rede em qualquer momento. [medium pause] O segundo cenário é um colégio de ensino secundário que utiliza uma mistura de Chromebooks pertencentes aos alunos e dispositivos Windows partilhados em laboratórios de informática. Utilizaram o JAMF para dispositivos macOS e a gestão de certificados do Google Workspace para Chromebooks. Os perfis SCEP foram enviados através de cada MDM durante a inscrição do dispositivo. Os dispositivos de laboratório partilhados receberam certificados de máquina em vez de certificados de utilizador, pelo que a autenticação foi baseada no dispositivo em vez de estar associada a um início de sessão individual. Isto significava que os alunos podiam sentar-se em qualquer máquina do laboratório e ligar-se sem passos de autenticação adicionais. O colégio também segmentou os dispositivos IoT - projetores, impressoras, quadros interativos - numa VLAN separada sem encaminhamento de Internet, reduzindo significativamente a sua superfície de ataque. [medium pause] Falemos sobre as armadilhas de implementação, porque existem algumas que apanham as equipas de surpresa. A primeira é a gestão da palavra-passe de desafio. No SCEP puro, a palavra-passe de desafio é um segredo partilhado. Se for estática e duradoura, é uma vulnerabilidade. Utilize o seu MDM para gerar palavras-passe de desafio de utilização única por inscrição de dispositivo. O Intune faz isto automaticamente através do seu Certificate Connector. Se estiver a executar um servidor SCEP autónomo, implemente janelas de expiração curtas - 15 minutos é um valor padrão razoável. A segunda armadilha é a gestão do ciclo de vida dos certificados. Os certificados expiram. Se não tiver uma renovação automática configurada, terá alunos impossibilitados de se ligarem ao WiFi na manhã de um exame. Configure a renovação para ser acionada a 80% do período de validade do certificado. A maioria dos MDMs trata disto automaticamente, mas verifique a sua configuração antes de entrar em produção. A terceira armadilha é o descontrolo do âmbito BYOD. Nem todos os dispositivos pessoais que um aluno possui devem estar na sua VLAN académica. Defina claramente a sua política de inscrição: quais os tipos de dispositivos elegíveis, quais os controlos de conformidade necessários - versão do OS, bloqueio de ecrã, encriptação - e o que acontece quando um dispositivo falha a conformidade. As políticas de acesso condicional do seu MDM aplicam isto automaticamente após serem configuradas. [medium pause] Uma secção rápida de perguntas e respostas para as dúvidas que recebo com mais frequência. O SCEP funciona com dispositivos pessoais não geridos? Sim, através de um portal de integração self-service que envia um perfil SCEP leve. O dispositivo não precisa de estar totalmente inscrito no MDM. O SCEP substitui o eduroam? Não - o eduroam utiliza 802.1X com federação RADIUS, e o SCEP é o mecanismo que fornece os certificados que esses dispositivos utilizam para se autenticarem no eduroam. São complementares. O SCEP está em conformidade com o GDPR? A autenticação baseada em certificados gera um registo de auditoria limpo e atribuível - identidade do dispositivo, carimbo de data/hora, atribuição de VLAN - o que apoia as suas obrigações do Artigo 32 do GDPR em matéria de medidas técnicas de segurança adequadas. O WPA3 altera alguma coisa? O WPA3-Enterprise com o modo de 192 bits exige EAP-TLS, que requer certificados. O SCEP é o mecanismo de entrega natural. Adotar o WPA3 e o SCEP em conjunto é a direção arquitetural correta. [medium pause] Em resumo. O SCEP automatiza a distribuição de certificados para dispositivos de estudantes e funcionários, permitindo a autenticação 802.1X EAP-TLS no WiFi do seu campus. Elimina palavras-passe partilhadas, reduz o risco de phishing de credenciais e fornece uma pista de auditoria criptograficamente atribuível. A arquitetura é agnóstica em termos de hardware - funciona em Cisco Meraki, HPE Aruba, Ruckus e Juniper Mist. Integra-se com Microsoft Entra ID, Okta e Google Workspace. E escala desde uma escola de ensino pós-secundário de campus único até uma universidade multi-site do Russell Group. Se está a avaliar a postura de segurança do WiFi do seu campus este ano, o SCEP com EAP-TLS é o padrão em cuja direção deve construir. A plataforma da Purple integra-se com esta arquitetura na camada de WiFi de convidados e analítica, fornecendo-lhe dados primários sobre o comportamento dos visitantes sem comprometer a segurança da sua rede académica. Obrigado por ouvir. Se quiser aprofundar qualquer um destes tópicos, o guia técnico completo está disponível em purple.ai.