O Guia Empresarial do SCEP: Implementar o Simple Certificate Enrollment Protocol para Segurança Automatizada de WiFi em Campus

Bom dia. Se gere uma infraestrutura de WiFi num grupo hoteleiro, numa rede de retalho, num estádio ou num campus universitário, este briefing é para si. Vamos abordar o SCEP - Simple Certificate Enrollment Protocol - e, especificamente, como este resolve uma das dores de cabeça mais persistentes no WiFi empresarial: colocar certificados em milhares de dispositivos de forma automática, sem que o seu helpdesk fique afogado em pedidos de suporte. [short pause] Deixe-me enquadrar a situação. Decidiu - e bem - que as chaves pré-partilhadas já não são aceitáveis para o WiFi dos funcionários. Uma única palavra-passe comprometida expõe todo o seu segmento de rede. Já mudou, ou está a mudar, para a autenticação 802.1X. Essa é a norma IEEE que exige que cada dispositivo prove a sua identidade antes de obter acesso à rede. A variante mais segura do 802.1X é o EAP-TLS - Extensible Authentication Protocol com Transport Layer Security - que utiliza certificados digitais em vez de palavras-passe. Os certificados são criptograficamente exclusivos por dispositivo, não podem ser partilhados e podem ser revogados instantaneamente se um dispositivo for perdido ou se um funcionário sair. [short pause] Até aqui, tudo bem. O problema é a distribuição. Como colocar um certificado exclusivo em cada portátil, telemóvel ou tablet do seu parque informático - em Windows, iOS, Android, macOS - sem que um técnico tenha de tocar em cada dispositivo? É precisamente isso que o SCEP resolve. [medium pause] O SCEP foi formalizado pela Internet Engineering Task Force no RFC 8894 em 2020, embora já seja utilizado em ambientes empresariais desde o início dos anos 2000. É um protocolo que permite a um dispositivo gerido solicitar o seu próprio certificado diretamente à sua Autoridade de Certificação, utilizando um URL pré-configurado e uma palavra-passe de desafio. O ponto de segurança crítico aqui: a chave privada é gerada no próprio dispositivo, armazenada no enclave seguro do dispositivo - que é o chip TPM nos dispositivos Windows, ou o Secure Enclave no hardware Apple - e nunca viaja pela rede. O dispositivo gera um Pedido de Assinatura de Certificado, envia-o para o gateway SCEP, o gateway valida o desafio, encaminha o pedido para a sua Autoridade de Certificação, a CA assina-o e o certificado assinado regressa ao dispositivo. Todo o processo é invisível para o utilizador final. [short pause] Agora, num ambiente Microsoft, o gateway SCEP é normalmente o NDES - Network Device Enrollment Service - uma função do Windows Server que atua como intermediária entre a sua plataforma MDM e a sua CA. O Microsoft Intune envia o perfil SCEP para os dispositivos geridos, indicando-lhes o URL do NDES e a palavra-passe de desafio. Os dispositivos tratam do resto automaticamente. [medium pause] Deixe-me explicar como é uma implementação real. Pense num grupo hoteleiro com 150 propriedades - imagine à escala da Premier Inn. Têm uma mistura de portáteis Windows para o pessoal da receção, dispositivos iOS para os supervisores de limpeza e tablets Android no ponto de venda do restaurante. Antes do SCEP, utilizavam WPA2-Personal com uma palavra-passe partilhada rodada trimestralmente. Cada rotação gerava uma vaga de chamadas para o helpdesk. Com o SCEP e o Intune, implementam três perfis em sequência. Primeiro, o perfil de Certificado de Raiz Confiável - este diz a cada dispositivo para confiar na Autoridade de Certificação da empresa. Segundo, o perfil de Certificado SCEP - este instrui os dispositivos a recolherem o seu certificado de cliente exclusivo. Terceiro, o perfil de WiFi - este configura o SSID, define o tipo de segurança para WPA2-Enterprise ou WPA3-Enterprise e aponta para o certificado SCEP para autenticação. Implemente esses três perfis no mesmo grupo de dispositivos no Intune, e cada dispositivo gerido liga-se ao SSID corporativo automaticamente, com um certificado exclusivo, sem necessidade de qualquer interação do utilizador. [short pause] O servidor RADIUS - normalmente o Microsoft NPS ou um serviço RADIUS na nuvem - recebe o pedido de autenticação EAP-TLS, valida o certificado em relação à CA, verifica a Lista de Revogação de Certificados e concede ou nega o acesso. Se um funcionário for desligado, revoga o seu certificado na CA. O seu dispositivo perde o acesso ao WiFi no ciclo de autenticação seguinte. Sem necessidade de redefinir palavras-passe. Sem esperar por uma rotação trimestral. [medium pause] Agora, as pessoas perguntam frequentemente sobre a diferença entre SCEP e PKCS - Public Key Cryptography Standards. Ambos funcionam com o Intune. A principal diferença reside no local onde a chave privada é gerada. Com o SCEP, é gerada no dispositivo. Com o PKCS, a CA gera ambas as chaves de forma centralizada e envia a chave privada para o dispositivo. Isso significa que a chave privada viaja pela rede, o que introduz um risco teórico de interceção. O PKCS tem o seu lugar - é mais adequado para encriptação de e-mail S/MIME, onde a custódia de chaves (key escrow) é importante. Para autenticação WiFi, o SCEP é la escolha certa. Sempre. [short pause] Deixe-me dar-lhe um segundo cenário - uma rede de retalho. Imagine um retalhista de moda com 200 lojas em todo o Reino Unido, cada uma com pontos de acesso Cisco Meraki. Os seus sistemas de ponto de venda são baseados em Windows, geridos através do Intune. Necessitam de conformidade com o PCI DSS, o que significa segmentação de rede e autenticação forte para qualquer dispositivo que lide com dados de titulares de cartões. O EAP-TLS baseado em SCEP oferece-lhes autenticação ao nível do dispositivo no SSID dos funcionários, com a atribuição de VLAN gerida pela política RADIUS. Os terminais POS entram automaticamente na VLAN de âmbito PCI. O Guest WiFi - gerido separadamente através de uma plataforma como a Purple - funciona num SSID completamente isolado com o seu próprio fluxo de autenticação. As duas redes nunca se tocam. Os auditores ficam satisfeitos. A equipa de segurança dorme melhor. [medium pause] Muito bem, vamos falar sobre as armadilhas, porque existem algumas que costumam surpreender as equipas. [short pause] O modo de falha mais comum são as incompatibilidades de direcionamento de grupos no Intune. O seu perfil de Raiz Confiável, o seu perfil SCEP e o seu perfil de WiFi devem todos direcionar-se ao mesmo grupo do Azure AD. Se o perfil SCEP se direcionar a um grupo de Utilizadores e o perfil de WiFi a um grupo de Dispositivos, o Intune não conseguirá resolver a dependência e o perfil de WiFi apresentará um erro. Verifique primeiro as suas atribuições - é quase sempre aí que reside o problema. [short pause] Segunda armadilha: disponibilidade do servidor NDES. O seu servidor NDES precisa de estar acessível a partir da internet para que os dispositivos remotos se possam registar antes de chegarem ao local. A forma segura de o fazer é através do Azure AD Application Proxy, que lhe concede acesso remoto sem abrir portas de firewall de entrada. Não exponha o NDES diretamente à internet. [short pause] Terceira: disponibilidade da CRL. O seu servidor RADIUS verifica a Lista de Revogação de Certificados sempre que um dispositivo se autentica. Se o Ponto de Distribuição da CRL estiver inacessível - talvez um servidor esteja em baixo ou uma regra de firewall tenha mudado - a autenticação falha para todos. Torne os seus endpoints de CRL altamente disponíveis e teste-os regularmente. [short pause] Quarta: permissões do modelo de certificado. Se a conta de serviço do seu conector NDES não tiver permissões de Leitura e Inscrição (Read and Enroll) no modelo de certificado, os dispositivos recebem erros HTTP 403 quando tentam recolher o seu certificado. É uma correção simples de permissões, mas é fácil de esquecer durante a configuração inicial. [medium pause] Agora, uma ronda de perguntas rápidas. [short pause] O SCEP pode funcionar com MDMs que não sejam da Microsoft? Sim - o Jamf para frotas de dispositivos Apple, o VMware Workspace ONE e a maioria das plataformas MDM empresariais suportam perfis SCEP. O protocolo é neutro em termos de fornecedor. [short pause] O SCEP funciona com PKI na nuvem? Sim. A própria PKI na nuvem da Microsoft no Intune Suite elimina completamente a necessidade de um servidor NDES local. Fornecedores de PKI na nuvem de terceiros, como o SecureW2 e o Keyfactor, também oferecem endpoints SCEP na nuvem. [short pause] E quanto ao WPA3-Enterprise? O WPA3-Enterprise utiliza a mesma pilha de autenticação 802.1X e EAP-TLS. Os certificados emitidos por SCEP funcionam de forma idêntica. A atualização ocorre na camada do protocolo sem fios, não na camada do certificado. [short pause] Quanto tempo duram os certificados? Normalmente um ano, embora possa configurar períodos de validade mais curtos. O Intune trata da renovação automática antes da expiração, pelo que os utilizadores nunca sofrem interrupções. [medium pause] Em resumo. O SCEP automatiza a distribuição de certificados em escala, eliminando a sobrecarga manual da implementação de PKI em grandes frotas de dispositivos. A chave privada permanece no dispositivo - essa é a base de segurança do EAP-TLS. Implemente em sequência: primeiro a Raiz Confiável, segundo o perfil SCEP, terceiro o perfil de WiFi, todos direcionados ao mesmo grupo. Publique o seu endpoint NDES de forma segura através do Application Proxy. Mantenha os seus endpoints de CRL altamente disponíveis. E se estiver a começar do zero, avalie a PKI na nuvem para remover totalmente a dependência do NDES local. [short pause] Para o WiFi de convidados - a rede separada e voltada para os visitantes - a autenticação baseada em certificados não é o modelo adequado. Os convidados não possuem dispositivos geridos. É aí que uma plataforma como a Purple gere o fluxo de autenticação: Captive Portal, login social, recolha de e-mails ou verificação por SMS, tudo alimentando uma camada de dados primários (first-party data) que a sua equipa de marketing pode realmente utilizar. As duas abordagens complementam-se: SCEP para o seu parque de dispositivos geridos de funcionários, Purple para a sua rede de convidados. Ambas a funcionar no mesmo hardware, segmentadas de forma limpa por VLAN. [short pause] Este é o seu briefing sobre a integração de WiFi empresarial com SCEP. O guia escrito completo, com diagramas de arquitetura, configuração passo a passo do Intune e exemplos práticos, está disponível no website da Purple. Obrigado por nos ouvir.