O Papel do SCEP e do NAC na Infraestrutura de MDM Moderna
Este guia fornece uma análise técnica detalhada de como o SCEP e o NAC se integram com as plataformas MDM para fornecer acesso seguro à rede e sem toque à escala empresarial. Abrange toda a arquitetura, desde a emissão de certificados até à aplicação de 802.1X, com cenários de implementação reais em hotelaria e retalho. Projetado para líderes de TI em grandes locais que necessitam de eliminar vulnerabilidades de passwords, automatizar o aprovisionamento de dispositivos e cumprir requisitos de conformidade neste trimestre.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: Guia de Segurança de WiFi Empresarial →
Resumo Executivo
Para espaços empresariais - desde estádios com capacidade para 80.000 pessoas a cadeias de retalho multi-site - a segurança do limite da rede passou decisivamente para lá das chaves pré-partilhadas e da gestão manual de credenciais. A proliferação de dispositivos corporativos, dispositivos BYOD e infraestrutura IoT exige uma arquitetura zero-trust que seja dimensionável sem sobrecarregar o suporte técnico de TI.
Este guia detalha a arquitetura técnica para integrar o Simple Certificate Enrolment Protocol (SCEP) e o Network Access Control (NAC) com a infraestrutura de Mobile Device Management (MDM). Ao tirar partido do SCEP para automatizar a distribuição de certificados X.509, e do NAC para impor a autenticação IEEE 802.1X EAP-TLS, as organizações podem alcançar o provisionamento zero-touch, eliminar vias de roubo de credenciais e impor o acesso dinâmico à rede com base na postura do dispositivo. Enquanto o acesso público é gerido através de uma solução dedicada de Guest WiFi , esta arquitetura protege as operações críticas de back-of-house que mantêm o espaço a funcionar. O resultado é uma redução drástica nos custos indiretos de TI, uma maior conformidade com as normas PCI-DSS e GDPR, e princípios zero-trust aplicados de forma proativa no limite da rede.
Análise Técnica Detalhada
A Arquitetura de Três Camadas
A segurança de rede moderna baseia-se na identidade criptográfica em vez do conhecimento do utilizador. A pilha SCEP-NAC-MDM opera em três camadas principais:
| Camada | Componentes | Função |
|---|---|---|
| Gestão de dispositivos | MDM / UEM | Autoridade central para configuração, conformidade e ciclo de vida de dispositivos |
| Identidade e emissão | PKI / SCEP / CA | Gera, emite e gere certificados digitais |
| Aplicação de acesso | NAC / RADIUS | Avalia os certificados e a postura do dispositivo antes de conceder acesso à rede |
Estas camadas não são sequenciais - operam num ciclo de feedback contínuo. O MDM informa o NAC sobre o estado de conformidade em tempo real, enquanto o NAC pode acionar fluxos de trabalho de remediação do MDM quando um dispositivo falha numa verificação de postura.
Como o SCEP Automatiza a PKI à Escala
A implementação manual de certificados é operacionalmente impossível à escala. Uma infraestrutura de 500 dispositivos exigiria que um administrador de TI gerasse, assinasse e instalasse um certificado X.509 individual em cada dispositivo - um processo que demora vários minutos por dispositivo e introduz um risco significativo de erro humano. O SCEP elimina isto por completo.
Quando um dispositivo se regista no MDM, o MDM envia um perfil de configuração que contém uma carga de dados SCEP. A carga de dados instrui o dispositivo a gerar um par de chaves localmente - crucialmente, a chave privada nunca sai do dispositivo - e a submeter um Pedido de Assinatura de Certificado (CSR) ao servidor SCEP. O servidor SCEP (normalmente o Network Device Enrolment Service (NDES) da Microsoft ou um equivalente baseado na nuvem) valida o pedido junto do MDM para confirmar que o dispositivo está autorizado. Em seguida, encaminha o CSR para a Autoridade de Certificação (CA), que emite o certificado X.509 assinado. O certificado é devolvido ao dispositivo e instalado no seu enclave seguro ou no keystore do sistema.
Todo o processo ocorre de forma silenciosa, através da rede, sem qualquer interação do utilizador. Para uma implementação de 1.000 dispositivos, todo o parque de certificados pode ser aprovisionado poucas horas após a conclusão do registo no MDM.
NAC e 802.1X EAP-TLS: A Camada de Aplicação
Assim que um dispositivo possui um certificado válido, tenta ligar-se ao SSID corporativo ou à porta com fios utilizando o IEEE 802.1X. O ponto de acesso ou switch atua como o autenticador, encaminhando o pedido para um servidor RADIUS governado pelo motor de políticas NAC. O método EAP mais seguro é o EAP-TLS, que requer autenticação mútua - tanto o cliente como o servidor RADIUS devem apresentar certificados válidos, prevenindo ataques de man-in-the-middle através de pontos de acesso fraudulentos. O NAC realiza várias verificações críticas em sequência:
- Validação criptográfica: O certificado é matematicamente válido e assinado por uma CA raiz fidedigna?
- Verificação de revogação: O certificado está listado numa Lista de Revogação de Certificados (CRL) ou sinalizado através do Online Certificate Status Protocol (OCSP)?
- Avaliação de postura: Consultando o MDM via API, o NAC pergunta: O dispositivo está em conformidade? O sistema operativo está no nível de atualização exigido? A encriptação de disco está ativa?
Se todas as verificações passarem, o NAC envia uma mensagem RADIUS Access-Accept, transportando normalmente atributos específicos do fornecedor (VSAs) que atribuem dinamicamente o dispositivo a uma VLAN específica ou aplicam listas de controlo de acesso (ACLs). Os dispositivos não conformes são colocados numa VLAN de remediação com permissões limitadas - normalmente o suficiente apenas para acionar fluxos de trabalho de remediação geridos pelo MDM.
```of_scep_and_nac_in_modern_mdm_infrastructure_podcast.mp3" preload="none">
Segregação da Rede de Convidados
Em qualquer ambiente de espaço físico, a infraestrutura corporativa deve ser estritamente segregada das redes voltadas para o público. A plataforma Guest WiFi opera inteiramente em SSIDs e VLANs separadas, sem rota de encaminhamento para os recursos corporativos. A arquitetura SCEP-NAC governa o nível corporativo; o nível de convidados é controlado pela autenticação de Captive Portal e fluxos de trabalho de recolha de dados. Para espaços que implementam WiFi Analytics , esta segregação é um pré-requisito - os dados de analítica fluem através da rede de convidados, enquanto os dados operacionais fluem através da rede corporativa autenticada por certificado. Para mais informações sobre a arquitetura de RF subjacente que suporta ambas as redes, consulte Wi-Fi Frequencies: A 2026 Guide to Wi-Fi Frequencies .
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.
Guia de Implementação
A implementação desta arquitetura requer um sequenciamento cuidadoso para evitar bloquear utilizadores legítimos durante a transição.
Passo 1: Preparação de PKI e SCEP
Estabeleça uma PKI interna robusta ou aproveite um serviço de PKI gerida na nuvem (mPKI). Implemente e proteja o servidor SCEP - se utilizar o Microsoft NDES, garanta que este seja executado num servidor dedicado em vez de partilhar a localização com a CA. Configure o servidor SCEP para utilizar palavras-passe de desafio dinâmicas geradas por dispositivo pelo MDM, em vez de um segredo partilhado estático. Isto evita pedidos de certificado não autorizados caso o URL do SCEP seja descoberto.
Passo 2: Configuração do MDM
Crie o payload SCEP na sua plataforma MDM. Defina os campos de Subject Alternative Name (SAN) com cuidado - o SAN deve conter identificadores exclusivos (como o número de série do dispositivo ou o UPN do utilizador) que o NAC utilizará para decisões de política. Envie o perfil primeiro para um grupo piloto de dispositivos da equipa de TI e valide todo o fluxo de registo antes de qualquer implementação mais ampla.
Passo 3: Configuração de NAC e RADIUS
Configure o seu NAC para confiar na CA raiz que emitiu os certificados de cliente. Instale um certificado de servidor no servidor RADIUS para autenticação mútua EAP-TLS. Defina políticas de acesso com base nos atributos do certificado e no estado de conformidade do MDM. Implemente regras de atribuição dinâmica de VLAN: dispositivos corporativos em conformidade para a VLAN corporativa, dispositivos não conformes para a VLAN de remediação e dispositivos IoT para uma VLAN dedicada com restrição de internet.
Passo 4: Integração da Infraestrutura de Rede
Configure os switches e pontos de acesso sem fios para 802.1X. Para cenários com hardware de ponto de venda antigo em ambientes de retail , ou controladores de quartos inteligentes em espaços de hospitality , implemente o MAC Authentication Bypass (MAB) como alternativa para dispositivos que não podem participar no EAP-TLS. Restrinja o MAB a portas de switch específicas e garanta que a base de dados de endereços MAC seja rigorosamente controlada. Para ambientes de healthcare e transport , configure regras de avaliação de postura para cumprir os requisitos de conformidade específicos do setor.
Passo 5: Implementação em Paralelo e Migração
Nunca faça a transição de imediato. Transmita o novo SSID 802.1X em paralelo com a rede existente. Envie o novo perfil de WiFi através do MDM. Monitorize a adoção e resolva falhas de registo. Quando mais de 95% dos dispositivos estiverem a autenticar-se com sucesso no novo SSID, desative a rede antiga.
-
Melhores Práticas
Exija EAP-TLS. Nunca aceite PEAP ou EAP-TTLS como o método de autenticação principal para dispositivos corporativos. Estes métodos dependem de credenciais de utilizador/palavra-passe dentro de um túnel TLS e permanecem vulneráveis à recolha de credenciais. O EAP-TLS elimina totalmente essa superfície de ataque.
Implemente a revogação em tempo real. As transferências programadas de CRL criam janelas de exposição. Configure o NAC para realizar verificações OCSP em tempo real. Quando um dispositivo for reportado como perdido ou roubado, revogue o certificado na CA e o dispositivo perderá o acesso à rede na próxima tentativa de autenticação - ou imediatamente, se o Change of Authorisation (CoA) estiver implementado.
Defina períodos de validade de certificado sensatos. Um período de validade de um ano, com renovação automatizada SCEP acionada 30 dias antes da expiração, é o padrão do setor. Uma validade mais longa aumenta a janela de exposição se um certificado for comprometido; uma validade mais curta aumenta o risco de falhas na renovação que causem interrupções.
Segregue agressivamente a IoT. Os dispositivos IoT nunca devem partilhar uma VLAN com os endpoints corporativos. Utilize o NAC para impor ACLs estritas na VLAN de IoT, permitindo apenas os protocolos e destinos específicos que cada classe de dispositivo requer. Para locais que implementam serviços de localização, consulte Indoor WiFi Positioning Systems: How They Work and How to Deploy Them para saber como a infraestrutura de posicionamento se integra com a arquitetura de rede mais ampla.
Alinhe com o WPA3. Onde o hardware o permitir, configure os SSIDs corporativos para utilizarem WPA3-Enterprise, que exige Protected Management Frames (PMF) e oferece uma proteção criptográfica mais forte do que o WPA2. Para mais detalhes sobre como isto se enquadra no cenário mais amplo de conectividade empresarial, consulte SD-WAN vs MPLS: A 2026 Guide to Enterprise Networking .
-
Resolução de Problemas e Mitigação de Riscos
| Modo de falha | Causa raiz | Mitigação |
|---|---|---|
| Os dispositivos falham o EAP-TLS após a renovação do certificado | A renovação do SCEP está a falhar silenciosamente | Monitorize os registos do servidor SCEP; configure alertas para submissões de CSR com falha |
| A validação do certificado falha devido a desvios temporais | Desconfiguração do NTP | Imponha a sincronização do NTP em todos os endpoints e infraestrutura |
| Os dispositivos IoT não se conseguem autenticar | Sem suplicante 802.1X | Implemente MAB com controlos estritos de endereços MAC e uma VLAN isolada |
| Bloqueio em massa de dispositivos após a migração da CA | A CA raiz antiga não é fidedigna para o NAC | Faseie as migrações da CA; adicione a nova CA raiz ao repositório de fidedignidade do NAC antes de revogar a antiga |
Para dispositivos IoT específicos baseados em BLE, a arquitetura de autenticação difere dos endpoints ligados por WiFi. Consulte BLE Low Energy Explicado para Empresas para obter as considerações de segurança específicas aplicáveis à infraestrutura Bluetooth Low Energy.
ROI e Impacto Empresarial
O caso de negócio para a integração SCEP-NAC-MDM é claro quando comparado com o custo das alternativas.
| Métrica | Antes da implementação | Após a implementação |
|---|---|---|
| Pedidos de suporte de TI (acesso à rede) | Alto - reposições de palavras-passe, rotações de chaves | Quase zero - ciclo de vida do certificado automatizado |
| Tempo médio para revogar um dispositivo comprometido | Horas (processo manual) | Segundos (OCSP + CoA) |
| Conformidade de controlo de acesso PCI-DSS | Manual, focada em auditorias | Automatizada, continuamente aplicada |
| Integração de BYOD | 15 a 30 minutos por dispositivo | Menos de 5 minutos com zero intervenção de TI |
Para um parque de 500 dispositivos, a eliminação da gestão manual de certificados e dos pedidos de suporte relacionados com palavras-passe reduz normalmente os custos administrativos de suporte de TI relacionados com a rede em 25 a 35%. O valor da mitigação de riscos - evitar uma única violação baseada em credenciais - excede habitualmente todo o custo de implementação. Para organizações do setor público e da saúde sujeitas ao GDPR, a capacidade de demonstrar um controlo de acesso automatizado e auditável é um ativo de conformidade significativo.
Definições Principais
SCEP (Simple Certificate Enrollment Protocol)
Um protocolo que automatiza a emissão e revogação de certificados digitais para dispositivos sem intervenção do utilizador, funcionando como a camada de comunicação entre a plataforma MDM e a Autoridade de Certificação.
Utilizado por plataformas MDM para implementar de forma integrada certificados X.509 em milhares de pontos de extremidade em escala. As equipas de TI deparam-se com o SCEP ao configurar perfis MDM para autenticação WiFi 802.1X.
NAC (Network Access Control)
Uma solução de segurança que aplica políticas em dispositivos que procuram aceder à infraestrutura de rede, avaliando as credenciais de autenticação, a validade do certificado e a postura de conformidade do dispositivo antes de conceder o acesso.
Atua como o guardião na periferia da rede. As equipas de TI configuram políticas NAC para definir quais os dispositivos que obtêm acesso a quais VLANs com base nos seus atributos de certificado e estado de conformidade do MDM.
MDM (Mobile Device Management)
Software utilizado pelos departamentos de TI para monitorizar, gerir e proteger os pontos de extremidade dos colaboradores em vários sistemas operativos, servindo como a fonte central de verdade para a identidade e conformidade do dispositivo.
O iniciador do processo de registo SCEP e a fonte de dados de postura consultados pelo NAC. Sem a integração do MDM, o NAC não pode realizar o controlo de acesso baseado na postura.
IEEE 802.1X
Uma norma IEEE para controlo de acesso à rede baseado em portas que fornece um mecanismo de autenticação para dispositivos que desejam ligar-se a uma LAN ou WLAN, exigindo uma autenticação bem-sucedida antes de a porta ser aberta.
O protocolo subjacente que obriga os dispositivos a autenticarem-se antes que o switch ou ponto de acesso permita a passagem de qualquer tráfego. Configurado tanto na infraestrutura de rede como no suplicante 802.1X do dispositivo.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
O padrão EAP mais seguro, que exige autenticação mútua onde tanto o dispositivo cliente como o servidor RADIUS devem apresentar certificados digitais válidos, eliminando ataques a credenciais baseados em palavra-passe.
O padrão de excelência para a segurança sem fios empresarial. Os arquitetos de TI devem exigir o EAP-TLS em detrimento do PEAP ou TTLS sempre que existir uma infraestrutura de certificados de dispositivos instalada.
CSR (Certificate Signing Request)
Um bloco de texto codificado gerado por um dispositivo que contém a sua chave pública e detalhes de identidade, enviado à Autoridade de Certificação para solicitar um certificado X.509 assinado.
Gerado automaticamente pelo dispositivo durante o processo de registo SCEP. A chave privada correspondente ao CSR nunca sai do dispositivo, garantindo que o certificado não pode ser duplicado.
MAB (MAC Authentication Bypass)
Um método de autenticação de contingência em que a rede utiliza o endereço MAC de hardware do dispositivo como a sua credencial, utilizado para dispositivos que não têm capacidade de suplicante 802.1X.
Utilizado para dispositivos IoT legados, tais como impressoras, sensores e controladores de salas inteligentes que não podem participar no EAP-TLS. Deve resultar sempre na atribuição a uma VLAN altamente restrita.
OCSP (Online Certificate Status Protocol)
Um protocolo de internet utilizado para obter o estado de revogação de um certificado digital X.509 em tempo real, fornecendo uma alternativa à transferência e análise de Listas de Revogação de Certificados.
Crítico para sistemas NAC que necessitam de bloquear imediatamente o acesso à rede quando um dispositivo é comprometido ou reportado como roubado. O OCSP fornece o estado em tempo real; as transferências de CRL criam uma janela de revogação.
CoA (Change of Authorization)
Uma extensão RADIUS (RFC 5176) que permite ao NAC modificar ou terminar dinamicamente uma sessão de rede ativa sem esperar que a sessão expire ou que o dispositivo se volte a autenticar.
Utilizado para desligar imediatamente um dispositivo quando o seu certificado é revogado ou o seu estado de conformidade de MDM se altera. Essencial para a aplicação de zero-trust em tempo real.
Exemplos Práticos
Um resort de luxo com 500 quartos necessita de proteger a sua rede de operações internas. O pessoal utiliza tablets partilhados para a gestão do serviço de limpeza e a gerência utiliza computadores portáteis corporativos. A atual rede WPA2-PSK teve a chave pré-partilhada divulgada várias vezes, resultando em dois incidentes de segurança no ano passado. Como deve a equipa de TI transitar para a autenticação baseada em certificados sem interromper as operações?
Fase 1 - Preparação (Semanas 1 e 2): Implementar uma solução de RADIUS/NAC baseada na nuvem e integrá-la com o MDM existente. Configurar um perfil SCEP no MDM para enviar certificados baseados em dispositivos para todos os tablets e portáteis. Utilizar certificados baseados no dispositivo (associados ao número de série do dispositivo) em vez de certificados baseados no utilizador, para que os tablets partilhados se autentiquem automaticamente, independentemente do funcionário que os esteja a utilizar. Fase 2 - Implementação em Paralelo (Semanas 3 e 4): Transmitir um novo SSID oculto configurado para 802.1X EAP-TLS. Enviar o novo perfil de WiFi via MDM para todos os dispositivos registados. Monitorizar o painel do NAC para autenticações bem-sucedidas. Fase 3 - Transição (Semana 5): Assim que mais de 95% dos dispositivos estiverem ligados ao novo SSID, desativar a rede WPA2-PSK antiga. Revogar a PSK antiga de toda a documentação e pontos de acesso.
Uma cadeia de retalho nacional está a implementar 3000 novos terminais de Ponto de Venda em 150 lojas. A equipa de segurança exige uma segmentação de rede PCI DSS rigorosa e acesso zero-trust. O prazo de implementação é de 8 semanas. Como é que o SCEP e o NAC facilitam isto à escala sem exigir pessoal de TI em cada loja?
Pré-implementação: O fornecedor de POS regista previamente todos os 3000 dispositivos no MDM do retalhista utilizando o programa de registo zero-touch do fornecedor. O MDM é configurado com um perfil SCEP que será ativado automaticamente no primeiro arranque. Implementação: Quando um terminal POS é ligado na loja, liga-se a um SSID temporário de integração (apenas internet, sem acesso corporativo). O perfil MDM é enviado, o payload SCEP é ativado e o dispositivo solicita e recebe o seu certificado X.509 da CA. O MDM envia então o perfil de WiFi corporativo. Acesso à Rede: Quando o POS se liga à porta do comutador da loja, o comutador inicia o 802.1X. O NAC valida o certificado, consulta o MDM para confirmar que o POS está em conformidade (encriptação ativada, agente MDM ativo, sem jailbreak detetado) e atribui dinamicamente a porta do comutador à VLAN PCI-DSS. O POS está agora operacional. Não foi necessária a presença de pessoal de TI na loja.
Perguntas de Prática
Q1. A sua organização está a migrar de WPA2-Enterprise com PEAP-MSCHAPv2 para EAP-TLS. Durante o piloto, os portáteis Windows e os iPhones ligam-se com sucesso, mas 200 leitores de códigos de barras do armazém falham a autenticação. Os leitores suportam 802.1X mas não conseguem processar o payload SCEP do MDM - correm um SO integrado proprietário sem suporte para agente de MDM. Qual é a solução arquitetural mais segura que mantém a segmentação de rede sem exigir a substituição dos leitores?
Dica: Considere mecanismos alternativos de distribuição de certificados que não exijam um agente de MDM, e quais os controlos de segmentação de rede que se devem aplicar a dispositivos que não podem participar numa avaliação de postura completa.
Ver resposta modelo
Uma vez que os leitores suportam 802.1X mas não o registo em SCEP ou MDM, a abordagem mais segura é aprovisionar manualmente os certificados dos dispositivos utilizando um modelo de certificado dedicado com um perfil de utilização de chave restrito. Os certificados são instalados uma única vez durante uma janela de manutenção. O NAC é configurado para aceitar estes certificados, mas atribui os leitores a uma VLAN dedicada às operações do armazém com ACLs estritas - e não à VLAN corporativa completa - porque não é possível realizar a avaliação de postura. Alternativamente, se o aprovisionamento manual de certificados for operacionalmente inviável à escala, configure o MAB como alternativa especificamente para as OUIs MAC do hardware do leitor, com o NAC a atribuí-los à mesma VLAN restrita. Documente isto como uma exceção conhecida no seu registo de riscos e agende a substituição dos leitores no próximo ciclo de atualização de hardware.
Q2. Um gestor de segurança de rede nota que, quando um colaborador comunica o roubo de um portátil, o MDM envia um comando de eliminação remota de dados, mas o dispositivo permanece ligado ao WiFi corporativo até 12 horas - o tempo limite atual da sessão RADIUS. Durante esta janela, o dispositivo poderia ser utilizado para exfiltrar dados. Como deve a arquitetura ser modificada para terminar o acesso à rede imediatamente após um dispositivo ser comunicado como roubado?
Dica: O NAC precisa de ser informado da alteração de estado instantaneamente, em vez de esperar pelo próximo ciclo de autenticação. Considere tanto o mecanismo de terminação de sessão como o mecanismo de prevenção de nova autenticação.
Ver resposta modelo
Implemente dois controlos complementares. Primeiro, configure o MDM para enviar um webhook para o NAC imediatamente após um dispositivo ser marcado como perdido ou roubado. O NAC envia então uma mensagem de RADIUS Change of Authorization (CoA) Disconnect-Request para o ponto de acesso ou porta de switch específica, terminando a sessão ativa de imediato. Segundo, revogue o certificado do dispositivo na CA e certifique-se de que o NAC está configurado para verificação OCSP em tempo real, em vez de revogação baseada em CRL. Isto significa que, mesmo que o dispositivo se volte a ligar antes de o CoA ser processado, a autenticação EAP-TLS irá falhar na verificação OCSP. Ambos os controlos em conjunto reduzem a janela de exposição de 12 horas para menos de 60 segundos.
Q3. Durante uma auditoria de segurança à rede de um grande centro de congressos, descobre-se que o servidor SCEP está exposto à internet pública utilizando uma palavra-passe de desafio estática para permitir o registo remoto de dispositivos. O auditor assinala isto como uma vulnerabilidade crítica. Como deve o processo de registo SCEP ser reestruturado para manter a capacidade de registo remoto eliminando, ao mesmo tempo, o risco da palavra-passe estática?
Dica: O servidor SCEP necessita de uma forma de verificar se o dispositivo que solicita um certificado está efetivamente autorizado pelo MDM, sem depender de um segredo partilhado que possa ser extraído de um dispositivo ou intercetado.
Ver resposta modelo
Substitua a palavra-passe de desafio estática por palavras-passe de desafio únicas e dinâmicas por dispositivo geradas pelo MDM. O fluxo de trabalho passa a ser: (1) O MDM gera uma palavra-passe de desafio única e com limite de tempo para cada dispositivo durante a inscrição. (2) O MDM inclui este desafio no payload SCEP enviado para o dispositivo. (3) O dispositivo inclui o desafio no seu CSR. (4) O servidor SCEP valida o desafio com o MDM via API antes de encaminhar o CSR para a CA. (5) O desafio é invalidado imediatamente após a utilização. Isto garante que apenas os dispositivos geridos pelo MDM conseguem obter um certificado com sucesso e que, mesmo que o URL do SCEP seja descoberto, um atacante não consegue gerar certificados válidos sem um desafio único válido. Adicionalmente, restrinja o servidor SCEP apenas a HTTPS e implemente uma lista de permissões de IP para os IPs de saída do MDM, sempre que possível.
Continue a ler esta série
PPSK WiFi: comparando funcionalidades e modelos de implementação
Este guia de referência técnica compara a arquitetura WiFi Private Pre-Shared Key (PPSK) com as implementações tradicionais 802.1X e PSK padrão. Fornece aos arquitetos de rede e gestores de TI estratégias de implementação independentes de fornecedor para ambientes multi-inquilino residenciais, IoT e BTR.
How to Reduce the Number of WiFi SSIDs Using Per-Device PSK (iPSK, DPSK, MPSK)
Este guia de referência técnica autoritário explica como as equipas de TI podem eliminar a degradação de desempenho do WiFi causada pelo overhead de beacon de SSID, fundindo múltiplas redes dedicadas num único SSID utilizando PSK por dispositivo (xPSK). Abrange o panorama de fornecedores incluindo Cisco iPSK, HPE Aruba MPSK, Ruckus DPSK, Juniper Mist PPSK e Ubiquiti UniFi PPSK, com orientações práticas de implementação em atribuição dinâmica de VLAN, onboarding de IoT e conformidade com PCI DSS. Os operadores de espaços em hotelaria, retalho, estádios e organizações do setor público encontrarão orientações de arquitetura acionáveis e exemplos práticos do mundo real.
Como Implementar NAC Pós-Admissão para Monitorização Contínua de Confiança
Este guia fornece um modelo técnico de referência para a implementação de Controlo de Acesso à Rede (NAC) Pós-Admissão com Monitorização Contínua de Confiança em ambientes empresariais, incluindo hotelaria, retalho, saúde e setor público. Detalha a transição arquitetónica de verificações estáticas pré-admissão para uma aplicação dinâmica e consciente da sessão utilizando RADIUS CoA, definição de perfis de comportamento e integração de telemetria. Os arquitetos de TI e as equipas de operações de rede encontrarão orientações de implementação práticas, casos de estudo reais, notas de alinhamento de conformidade e estruturas de ROI mensuráveis.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.