O Guia Empresarial para SCEP: Implementar o Simple Certificate Enrollment Protocol para Segurança Automatizada de WiFi em Campus

Bom dia. Se gere uma infraestrutura de WiFi num grupo hoteleiro, numa rede de retalho, num estádio ou num campus universitário, esta sessão informativa é para si. Vamos abordar o SCEP - Simple Certificate Enrollment Protocol - e, especificamente, como este resolve uma das maiores dores de cabeça nas redes WiFi empresariais: a instalação automática de certificados em milhares de dispositivos, sem que o seu suporte técnico fique inundado com pedidos de assistência. [short pause] Permita-me enquadrar a situação. Decidiu - e muito bem - que as chaves pré-partilhadas já não são aceitáveis para o WiFi dos funcionários. Uma única palavra-passe comprometida expõe todo o seu segmento de rede. Mudou, ou está a mudar, para a autenticação 802.1X. Esse é o padrão IEEE que exige que cada dispositivo prove a sua identidade antes de obter acesso à rede. A versão mais segura do 802.1X é o EAP-TLS - Extensible Authentication Protocol com Transport Layer Security - que utiliza certificados digitais em vez de palavras-passe. Os certificados são criptograficamente únicos por dispositivo, não podem ser partilhados e podem ser revogados instantaneamente se um dispositivo se perder ou se um funcionário sair da empresa. [short pause] Até aqui, tudo bem. O problema é a distribuição. Como instala um certificado único em cada portátil, em cada telemóvel, em cada tablet do seu património - em sistemas Windows, iOS, Android, macOS - sem que um técnico tenha de tocar em cada dispositivo? É precisamente isso que o SCEP resolve. [medium pause] O SCEP foi formalizado pelo Internet Engineering Task Force na RFC 8894 em 2020, embora já seja utilizado em ambientes empresariais desde o início dos anos 2000. É um protocolo que permite a um dispositivo gerido solicitar o seu próprio certificado diretamente à sua Autoridade de Certificação, utilizando um URL pré-configurado e uma palavra-passe de desafio. O ponto de segurança crítico aqui: a chave privada é gerada no próprio dispositivo, armazenada no enclave seguro do dispositivo - que é o chip TPM nos dispositivos Windows, ou o Secure Enclave no hardware Apple - e nunca viaja pela rede. O dispositivo gera um Certificate Signing Request, envia-o para o gateway SCEP, o gateway valida o desafio, encaminha o pedido para a sua Autoridade de Certificação, a CA assina-o e o certificado assinado regressa ao dispositivo. Todo o processo é invisível para o utilizador final. [short pause] Agora, num ambiente Microsoft, o gateway SCEP é normalmente o NDES - Network Device Enrollment Service - uma função do Windows Server que atua como intermediária entre a sua plataforma MDM e a sua CA. O Microsoft Intune envia o perfil SCEP para os dispositivos geridos, o que lhes indica o URL do NDES e a palavra-passe de desafio. Os dispositivos fazem o resto automaticamente. [medium pause] Deixe-me orientá-lo sobre o que é uma implementação real. Veja o caso de um grupo hoteleiro com 150 propriedades - pense na escala do Premier Inn. Eles têm uma mistura de computadores portáteis Windows para a equipa da receção, dispositivos iOS para os supervisores de limpeza e tablets Android no ponto de venda do restaurante. Antes do SCEP, utilizavam WPA2-Personal com uma palavra-passe partilhada que era rodada trimestralmente. Cada rotação gerava uma vaga de chamadas de suporte técnico. Com o SCEP e o Intune, eles implementam três perfis em sequência. Primeiro, o perfil de Certificado de Raiz Confiável - este indica a todos os dispositivos que devem confiar na Autoridade de Certificação da empresa. Segundo, o perfil de Certificado SCEP - este instrui os dispositivos a irem recolher o seu certificado de cliente único. Terceiro, o perfil de WiFi - este configura o SSID, define o tipo de segurança para WPA2-Enterprise ou WPA3-Enterprise e aponta para o certificado SCEP para autenticação. Ao implementar estes três perfis no mesmo grupo de dispositivos no Intune, todos os dispositivos geridos ligam-se ao SSID corporativo de forma automática, com um certificado único, sem necessidade de qualquer interação por parte do utilizador. [short pause] O servidor RADIUS - tipicamente o Microsoft NPS ou um serviço de RADIUS na nuvem - recebe o pedido de autenticação EAP-TLS, valida o certificado perante a CA, verifica a Lista de Revogação de Certificados e concede ou nega o acesso. Se um funcionário for despedido, revoga-se o seu certificado na CA. O seu dispositivo perde o acesso ao WiFi no próximo ciclo de autenticação. Não é necessária qualquer redefinição de palavra-passe. Não é preciso esperar por uma rotação trimestral. [medium pause] Agora, as pessoas perguntam frequentemente sobre a diferença entre o SCEP e o PKCS - Public Key Cryptography Standards. Ambos funcionam com o Intune. A principal diferença reside no local onde a chave privada é gerada. Com o SCEP, esta é gerada no próprio dispositivo. Com o PKCS, a CA gera ambas as chaves de forma centralizada e envia a chave privada para o dispositivo. Isto significa que a chave privada viaja pela rede, o que introduz um risco teórico de interceção. O PKCS tem o seu propósito - é mais adequado para encriptação de e-mail S/MIME, onde a custódia de chaves é importante. Para a autenticação WiFi, o SCEP é a escolha certa. Sempre. [short pause] Deixe-me apresentar-lhe um segundo cenário - uma rede de retalho. Imagine um retalhista de moda com 200 lojas em todo o Reino Unido, cada uma a funcionar com pontos de acesso Cisco Meraki. Os seus sistemas de ponto de venda são baseados em Windows, geridos através do Intune. Eles necessitam de conformidade PCI-DSS, o que significa segmentação de rede e autenticação forte para qualquer dispositivo que lide com dados de titulares de cartões. O EAP-TLS baseado em SCEP proporciona-lhes autenticação ao nível do dispositivo no SSID dos funcionários, com a atribuição de VLAN determinada pela política do RADIUS. Os terminais POS entram na VLAN abrangida pelo PCI de forma automática. O guest WiFi - gerido separadamente através de uma plataforma como a Purple - funciona num SSID completamente isolado com o seu próprio fluxo de autenticação. As duas redes nunca se tocam. Os auditores ficam satisfeitos. A equipa de segurança dorme melhor. [medium pause] Certo, vamos falar sobre as armadilhas, porque existem algumas que costumam surpreender as equipas. [short pause] O modo de falha mais comum são as incompatibilidades de segmentação de grupo no Intune. O seu perfil Trusted Root, o seu perfil SCEP e o seu perfil WiFi devem todos visar o mesmo grupo Azure AD. Se o perfil SCEP visar um grupo de Utilizadores e o perfil WiFi visar um grupo de Dispositivos, o Intune não consegue resolver a dependência e o perfil WiFi é apresentado como um erro. Verifique as suas atribuições primeiro - é quase sempre o culpado. [short pause] Segundo obstáculo: disponibilidade do servidor NDES. O seu servidor NDES precisa de estar acessível a partir da internet para que os dispositivos remotos se possam registar antes de chegarem ao local. A forma segura de o fazer é através do Azure AD Application Proxy, que lhe dá acesso remoto sem abrir portas de firewall de entrada. Não exponha o NDES diretamente à internet. [short pause] Terceiro: disponibilidade de CRL. O seu servidor RADIUS verifica a Lista de Revogação de Certificados sempre que um dispositivo se autentica. Se o Ponto de Distribuição CRL estiver inacessível - por exemplo, se um servidor estiver desligado ou se uma regra de firewall tiver sido alterada - a autenticação falha para todos. Torne os seus endpoints CRL altamente disponíveis e teste-os regularmente. [short pause] Quarto: permissões de modelo de certificado. Se a conta de serviço do seu conector NDES não tiver permissões de Leitura e Registo (Enroll) no modelo de certificado, os dispositivos recebem erros HTTP 403 quando tentam recolher o seu certificado. É uma correção de permissões simples, mas é fácil de passar despercebida durante a configuração inicial. [medium pause] Agora, uma ronda de perguntas rápidas. [short pause] O SCEP pode funcionar com MDMs que não sejam da Microsoft? Sim - o Jamf para frotas de dispositivos Apple, o VMware Workspace ONE e a maioria das plataformas MDM empresariais suportam perfis SCEP. O protocolo é neutro em relação ao fornecedor. [short pause] O SCEP funciona com PKI na nuvem? Sim. A própria PKI na nuvem da Microsoft no Intune Suite elimina completamente a necessidade de um servidor NDES local. Fornecedores de PKI na nuvem de terceiros, como a SecureW2 e a Keyfactor, também oferecem endpoints SCEP na nuvem. [short pause] E quanto ao WPA3-Enterprise? O WPA3-Enterprise utiliza a mesma pilha de autenticação 802.1X e EAP-TLS. Os certificados emitidos por SCEP funcionam de forma idêntica. A atualização é feita na camada do protocolo sem fios, não na camada do certificado. [short pause] Quanto tempo duram os certificados? Normalmente um ano, embora possa configurar períodos de validade mais curtos. O Intune trata da renovação automática antes da expiração, para que os utilizadores nunca sofram uma interrupção. [medium pause] Para resumir. O SCEP automatiza a distribuição de certificados em escala, eliminando a sobrecarga manual da implementação de PKI em grandes frotas de dispositivos. A chave privada permanece no dispositivo - essa é a base de segurança do EAP-TLS. Implemente em sequência: primeiro o Trusted Root, segundo o perfil SCEP, terceiro o perfil WiFi, todos visando o mesmo grupo. Publique o seu endpoint NDES de forma segura através do Application Proxy. Mantenha os seus endpoints CRL altamente disponíveis. E se estiver a começar do zero, avalie a PKI na nuvem para remover completamente a dependência do NDES local. [short pause] Para o WiFi de convidados - a rede separada e voltada para os visitantes - a autenticação baseada em certificados não é o modelo correto. Os convidados não possuem dispositivos geridos. É aí que uma plataforma como a Purple gere o fluxo de autenticação: captive portal, login social, recolha de e-mail ou verificação por SMS, tudo alimentando uma camada de dados primários que a sua equipa de marketing pode realmente utilizar. As duas abordagens complementam-se: SCEP para a sua frota gerida de colaboradores, Purple para a sua rede de convidados. Ambas a funcionar no mesmo hardware, devidamente segmentadas por VLAN. [short pause] Este é o seu briefing sobre o onboarding de WiFi empresarial com SCEP. O guia escrito completo, com diagramas de arquitetura, configuração passo a passo no Intune e exemplos práticos, está disponível no website da Purple. Obrigado por ouvir.