在 NAC 环境中利用 OCSP 和 CRL 自动执行证书吊销

在 NAC 环境中通过 OCSP 和 CRL 自动执行证书吊销 Purple 技术简报 - 约 10 分钟 --- 介绍与背景 - 约 1 分钟 欢迎阅读 Purple 技术简报系列。我是您的主持人，今天我们将深入探讨自动证书吊销的机制 - 特别是在网络访问控制（NAC）环境中 OCSP 和 CRL 的工作原理，以及为什么正确处理这一点是企业 WiFi 部署中最容易被忽视的安全决策之一。 如果您正在运营一家酒店连锁、零售物业、体育场馆或拥有成百上千台联网设备的公共部门网络，证书生命周期管理绝非可有可无。它是能够在实时强制执行策略的网络，与默默容纳已吊销凭证（本应在数周前就被切断连接的设备）的网络之间的本质区别。 我们将介绍技术架构，演练两个真实的部署场景，最后以您的团队在进行生产环境部署之前应该提出的问题来结束。 让我们开始吧。 --- 技术深挖 - 约 5 分钟 首先，让我们明确我们要解决的问题。在任何基于 IEEE 802.1X 身份验证的网络中（这是企业 WiFi、有线 NAC 以及大多数现代访客访问架构的标准基石），设备使用凭证或证书进行身份验证。证书更为优选，因为它们不依赖共享密钥，是与设备绑定的，并且可以通过 SCEP 等协议与 MDM 平台无缝集成。但是证书是有生命周期的。它们会过期、会泄露，设备也会退役。当这些情况发生时，您需要一种机制来告知您的网络基础设施：该证书不再有效，停止信任它。 这种机制有两种形式：CRL（证书吊销列表）和 OCSP（在线证书状态协议）。 让我们从 CRL 开始。证书吊销列表正如其字面意思 - 它是由您的证书颁发机构（CA）发布的已签署列表，其中包含已吊销的每个证书序列号。您的 NAC 基础设施（通常是 FreeRADIUS、Cisco ISE 或 Aruba ClearPass 等 RADIUS 服务器）会定期从 CRL 分发点（通常只是一个 HTTP 或 LDAP 端点）下载此列表。RADIUS 服务器在本地缓存该列表，并在 EAP-TLS 握手期间将传入的证书序列号与该列表进行比对。 CRL 的运行优势在于简单性和离线抗破坏能力。下载列表后，即使您的 CA 无法访问，吊销检查也能正常工作。缺点是延迟。如果您在上午 9 点吊销了一个证书，而您的 CRL 刷新间隔是 24 小时，那么该设备在下一次计划下载之前仍然可以进行身份验证。在高安全性的环境（如医院、金融服务后台、政府网络）中，这个时间窗口是无法接受的。OCSP 解决了延迟问题。您的 RADIUS 服务器不再维护本地缓存列表，而是针对需要验证的每个证书，向 OCSP 响应程序（位于您的 CA 前端的一项服务）发送实时查询。响应程序会返回以下三个答案之一：Good（有效）、Revoked（已吊销）或 Unknown（未知）。整个交换过程是在 EAP-TLS 握手期间内联进行的，在配置良好的基础设施上通常用时不超过 100 毫秒。 OCSP 的权衡在于对可用性的依赖。如果您的 OCSP 响应程序宕机，或者由于网络分区导致您的 RADIUS 服务器无法访问它，您需要做出策略决策：是选择故障开放（允许继续进行身份验证），还是故障关闭（在可访问响应程序之前拒绝访问）？故障开放可维持正常运行时间，但会产生安全漏洞。故障关闭可保持安全态势，但在基础设施发生故障期间可能会将合法用户拒之门外。 还有第三个值得了解的选项：OCSP 装订（OCSP Stapling）。在这种模式下，证书持有者（即客户端设备）会定期从响应程序获取签名的 OCSP 响应，并将其附加到 TLS 握手中。RADIUS 服务器验证装订的响应，而不是自己进行 OCSP 查询。这减轻了 OCSP 响应程序的负载，消除了向外部服务泄露证书序列号的隐私顾虑，并提高了弹性。缺点是并非所有 EAP 请求方都支持装订，因此在依赖它之前，您需要验证客户端兼容性。 那么，这如何融入 NAC 架构中呢？您的 NAC 策略引擎 - 无论是 Cisco ISE、Aruba ClearPass、Juniper Mist，还是基于 FreeRADIUS 和 PacketFence 构建的开源堆栈 - 都介于请求方和网络之间。当设备尝试连接时，RADIUS 服务器接收 Access-Request，进行 EAP-TLS 协商，验证客户端证书链，通过 OCSP 或 CRL 检查吊销状态，然后发布带有 VLAN 分配的 Access-Accept，或者发布 Access-Reject。 自动化部分体现在两个层面。首先，在证书颁发层：您的 MDM 平台（Jamf、Intune、Workspace ONE）使用 SCEP 自动为托管设备配置证书。当设备注销登记或退役时，MDM 会触发对 CA 的吊销调用，CA 会更新 CRL 并通知 OCSP 响应程序。其次，在 NAC 执行层：您的 RADIUS 服务器配置为按定义的计划查询 OCSP 或刷新其 CRL 缓存，以确保吊销决定在无需人工干预的情况下传播到访问策略。这里的关键集成点是 CA 到 NAC 的通信管道。在一个设计良好的部署中，吊销是一个完全自动化的链条：MDM 停用设备，触发 CA 吊销，CA 更新 OCSP 响应程序并发布新的 CRL，RADIUS 服务器接收更改 - 无论是通过 OCSP 立即接收，还是在下一个 CRL 刷新窗口内接收 - 并在设备下次尝试身份验证时拒绝其访问。 --- 实施建议和常见陷阱 - 约 2 分钟 让我为您提供一些实用指导，以防止部署出现偏差。 第一：在选择机制之前，先定义您对吊销延迟的容忍度。如果您运行的是酒店宾客 WiFi 网络，其主要风险是已停用的员工设备，那么 4 小时的 CRL 刷新间隔可能没问题。如果您运行的是医疗保健网络，其中受损设备可能会访问患者数据，那么您会希望使用具有故障关闭（fail-closed）策略和高可用性响应程序集群的 OCSP。 第二：不要在生产环境中运行单个 OCSP 响应程序。至少部署两个，放在负载均衡器后面，并进行健康监控。导致故障关闭行为的 OCSP 响应程序故障所产生的支持工单，速度几乎比任何其他基础设施故障都要快。 第三：注意您的 CRL 大小。在大型部署中（我们指的是成千上万个证书），CRL 文件可能会增长到几兆字节。RADIUS 服务器每小时通过 WAN 链路下载一个 5MB 的 CRL，是一个迟早会发生的吞吐量问题。考虑使用增量 CRL（仅包含自上次完整 CRL 以来的更改），或在高容量环境中迁移到 OCSP。 第四：定期测试您的吊销管道。仅配置 OCSP 并假设其正常工作是不够的。自动化进行每月测试：颁发证书、吊销证书、尝试身份验证、验证拒绝。如果您的监控无法捕获发生故障的 OCSP 响应程序，那么您的吊销机制就只是摆设。 第五：将您的证书有效期与您的吊销策略对齐。短期证书（24 到 72 小时）可以缩短受损凭证的暴露窗口，并可以完全减少您对吊销基础设施的依赖。这是行业发展的方向，值得在新的部署中进行评估。 --- 快速问答 - 约 1 分钟 问：我可以同时使用 OCSP 和 CRL 吗？ 可以。大多数 RADIUS 实现都支持回退链：首先尝试 OCSP，如果响应程序无法访问，则回退到 CRL。这使您在正常情况下获得实时检查，并在发生故障时获得离线弹性。 问：Purple 的宾客 WiFi 平台是否与基于证书的 NAC 集成？ Purple 的平台在访客访问层运行，处理 Captive Portal 身份验证、数据捕获和分析。对于运行带有证书验证的 802.1X 的企业员工网络，Purple 会与底层网络基础设施 - 接入点、控制器和 RADIUS 服务器进行集成，而不是替换证书管理堆栈。访客和员工网络通常是隔离的，每个网络都采用适合的身份验证机制。 问题：合规角度的要求是什么？ PCI-DSS 4.0 要求对持卡人数据环境的访问必须使用强身份验证。GDPR 要求采取适当的技术措施来保护个人数据。基于证书的 802.1X 结合自动撤销可以同时满足这两个框架的要求 - 前提是您能够证明撤销是及时且经过测试的。您的审计追踪需要显示证书何时被撤销，以及该撤销何时传播到网络执行端。 --- 总结和后续步骤 - 约 1 分钟 综上所述：在 NAC 环境中自动执行证书撤销是一个三层结构的问题。您需要一个支持自动撤销触发器的 CA、一个高可用且大小合适的 OCSP 响应程序或 CRL 分发点，以及一个配置为将撤销状态作为其访问策略一部分来执行的 RADIUS 服务器。 在 OCSP 和 CRL 之间的选择并非二选一 - 这是一个风险承受能力的决策，应根据您环境的安全要求、网络拓扑和运营成熟度来做出。 如果您正在构建或审查 NAC 部署，并希望了解 Purple 的访客 WiFi 和分析平台如何融入更广泛的网络架构，节目简报中的链接将带您访问相关的技术指南。 感谢收听。我们下期简报再见。 --- 脚本结束