如何配置 SCEP 以实现安全的企业 WiFi 和 BYOD 资源配置

欢迎收听来自 Purple 的技术简报。我是今天的主持人，今天我们将深入探讨 SCEP 的配置，以实现安全的企业 WiFi 和 BYOD 接入。 对于在酒店、零售和公共领域运营的 IT 经理、网络架构师和 CTO 而言，管理网络访问是安全与运营效率之间持续的平衡过程。您每天要处理数百甚至数千台连接到网络的设备，包括员工智能手机、承包商笔记本电脑和 POS 终端平板。旧的处理方式已经无法满足现在的需求。 依靠预共享密钥（PSK）来提供员工和 BYOD WiFi 服务是极易被利用的安全漏洞。共享密码一旦泄露，任何人都可以访问您的网络。而 MAC 认证旁路（MAB）也并不好。现代智能手机默认使用随机 MAC 地址，这会彻底破坏 MAB，而且 MAC 地址在几秒钟内就可以被伪造。 现代网络架构需要使用 EAP-TLS 的 802.1X 认证。这确保了每台设备在接触网络之前都经过了密码学验证。但挑战在于：如何在不使您的服务台过载的情况下，将唯一的客户端证书分发给数千台未管理的设备？答案就是简单证书注册协议（SCEP）。 让我们从架构开始。SCEP 是企业设备注册的行业标准，定义在 RFC 8894 中。它自 1999 年以来就已存在，最初由 VeriSign 创建，并且经受住了时间的考验，因为它优雅地解决了一个极其棘手的难题。 在 SCEP 工作流中，设备在本地生成自己的私钥和公钥对。它创建一个证书签名请求（CSR），并通过网络设备注册服务（NDES）将其发送到您的证书颁发机构（CA）。CA 验证该请求并将签名后的公钥证书返回给设备。 这里关键的安全优势在于，私钥永远不会离开设备。它在本地生成并存储在设备的硬件安全区域中。在 Windows 笔记本电脑上，那是受信任的平台模块（TPM）。在 iPhone 上，它是 Secure Enclave。私钥永远不会通过网络传输。这就是 SCEP 远远优于网络认证替代方案（如 PKCS - CA 在集中端生成密钥对并将其传输到设备）的原因。 现在，让我们谈谈 BYOD。从运营的角度来看，这才是真正有趣的地方。您希望员工能够使用他们的个人设备访问内部工具，但您不想强制他们注册您的企业 MDM。这涉及隐私问题，并且会遭到员工的强烈抵制。 该解决方案是一个自助式引导配置门户。其工作原理如下：用户将个人设备连接到专用的资源分配 SSID。该网络是一个围墙花园（限制性网络），除了引导配置门户和您的身份提供商之外，限制访问所有其他内容。用户使用其企业凭据进行身份验证，通常是通过与 Microsoft Entra ID、Okta 或 Google Workspace 进行 SAML 集成。身份验证成功后，系统会通过 SCEP 生成一个唯一的、针对特定设备的客户端证书。配置描述文件将被推送到设备，其中包含该证书、根 CA 证书和网络设置。随后，设备使用 EAP-TLS 自动连接到安全的企业 SSID。 这对于用户来说是无缝的，对于企业来说是安全的。他们不需要了解任何关于证书或 802.1X 的知识。他们只需登录一次，即可实现连接。 现在，让我们详细了解一下具体实施。部署顺序至关重要，顺序错误是导致失败最常见的原因。 第一步：部署受信任的根证书。在任何设备可以请求客户端证书或信任您的 RADIUS 服务器之前，它必须信任颁发证书的证书颁发机构。将您的根 CA 证书导出为 .cer 文件，并将其部署到您的目标设备组。这一步是不可妥协的。没有它，整个链条都会失败。 第二步：配置 SCEP 证书描述文件。这会指示设备如何获取其客户端证书。您需要配置主题名称格式。对于用户驱动的身份验证，标准是 CN 等于 UserPrincipalName。对于设备身份验证，使用 CN 等于 Azure AD 设备 ID。将密钥用法设置为数字签名和密钥加密。在扩展密钥用法下，指定 OID 为 1.3.6.1.5.5.7.3.2 的客户端身份验证。将此描述文件链接到第一步中受信任的根证书描述文件。并提供您的 NDES 服务器的外部 URL。 第三步：部署 802.1X WiFi 描述文件。这会将证书与网络 SSID 绑定。输入与您的接入点广播完全相同的网络名称。将安全类型设置为 WPA2-Enterprise 或 WPA3-Enterprise。将 EAP 类型设置为 EAP-TLS。选择 SCEP 证书描述文件作为客户端身份验证证书。并指定受信任的根证书用于服务器验证。 这个顺序是整个简报中需要记住的最重要的事情。信任，然后是证书，最后是 WiFi。每次都要按这个顺序进行。 现在，让我向您介绍一些最佳实践，这些实践将在实际生产中为您减少大量的麻烦。 首先，通过 Azure AD Application Proxy 发布您的 NDES 服务器。NDES 服务器必须能够从互联网访问，以便远程设备在到达现场之前能够配置证书。但是，直接将内部服务器暴露给互联网是一个重大的安全风险。Application Proxy 为您提供安全的远程访问，而无需打开入站防火墙端口。 第二，为自携设备（BYOD）部署短期证书。与其签发有效期为三年的证书，不如签发有效期为 90 天的证书。证书过期时，用户必须通过引导式配置门户重新进行身份验证。这能自然而然地从网络中清除不活跃的设备。90 天内未使用的设备就会直接掉线，无需手动清理。 第三，这一点绝对至关重要：配置您的 RADIUS 服务器以执行严格的证书吊销列表（CRL）检查。当员工离职时，如果其客户端证书依然有效，禁用其 Active Directory 账户可能不会立即撤销其 WiFi 访问权限。您的 RADIUS 服务器必须在授予访问权限之前检查 CRL。确保您的 CRL 分发点具有高可用性。如果 RADIUS 服务器无法访问 CRL，所有人的身份验证都会失败，从而导致大面积的网络中断。 现在让我们来看看一些常见的故障模式以及如何避免它们。 最常见的问题是 WiFi 配置文件应用失败。设备接收到了受信任的根证书和 SCEP 证书，但在 MDM 控制台中，WiFi 配置文件显示为错误。十有八九这是由于组定位不匹配造成的。如果 SCEP 配置文件分配给了用户组，而 WiFi 配置文件分配给了设备组，则 MDM 无法解析此依赖关系。请审计您的分配情况，确保所有三个配置文件都定位到完全相同的组。 第二个常见问题是 NDES 403 Forbidden（禁止访问）错误。设备无法获取 SCEP 证书，且 NDES IIS 日志显示 HTTP 403 错误。这通常是因为连接器服务账户缺少对证书模板的必要权限，或者防火墙拦截了 SCEP 使用的特定查询字符串参数。请验证连接器账户在 CA 模板上是否拥有读取（Read）和注册（Enrol）权限。检查您的防火墙日志，确保未拦截包含 operation equals GetCACaps 参数的 URL。 让我为您提供两个真实场景，以说明这在实践中是如何运行的。 场景一：一家拥有 200 间客房的酒店，有 50 名客房服务人员使用个人智能手机访问排班应用程序。IT 经理希望避免进行完整的 MDM 注册，以尊重员工隐私。解决方案是提供一个与 Microsoft Entra ID 集成的自助服务门户。员工连接到配置 SSID，使用其 Entra ID 凭证登录，并下载 SCEP 配置文件。SCEP 服务器直接向该设备签发一个有效期为 30 天的客户端证书。设备使用 EAP-TLS 连接到员工 WiFi SSID。RADIUS 服务器将这些设备分配到仅允许访问排班应用程序的受限 VLAN。当员工离职时，其 Entra ID 账户将被禁用，RADIUS 服务器会立即拒绝其网络访问。 场景二：一家拥有 500 家门店的全国性零售连锁店为公司拥有的销售终端平板电脑部署安全 WiFi。网络架构师需要确保即使平板电脑被盗，也无法提取凭据。解决方案是 Microsoft Intune 通过 SCEP 部署证书。Intune 推送受信任的根证书，然后推送 SCEP 配置文件，指示平板电脑在其硬件安全飞地中生成自己的私钥。平板电脑向 NDES 服务器提交 CSR，接收客户端证书，并使用 EAP-TLS 连接到零售 POS SSID。由于私钥是在本地生成的且从未传输过，因此被盗平板电脑的凭据无法在其他地方使用。这满足了 PCI-DSS 合规性要求。 现在，让我们谈谈商业案例。过渡到 SCEP 802.1X 证书部署可在安全和运营方面带来可衡量的回报。 基于密码的 WiFi 会产生大量的帮助台工单。密码过期、锁定、拼写错误。基于证书的身份验证对用户是无感的。设备会自动连接。这通常可以将与 WiFi 相关的帮助台工作量减少 70%。这是运营成本的实质性降低。 EAP-TLS 消除了凭据收集和中间人攻击的风险。这对于零售环境中遵守 PCI-DSS 以及所有行业中遵守 GDPR 至关重要。数据泄露的成本远超部署适当 PKI 基础设施的成本。 对于已经运行 Purple 的访客 WiFi 和分析平台的组织，将安全入网扩展到员工 BYOD 设备可提供统一的网络管理策略。Purple 与硬件无关的云覆盖与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 集成，因此您不会被锁定在单一硬件厂商中。Purple 在 80,000 个活跃场所运营，并在 2024 年处理了 4.4 亿次登录，持有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证。 最后，让我快速总结一下您需要做出的关键决策。 您应该使用 SCEP 还是 PKCS？在 WiFi 身份验证中请使用 SCEP。私钥保留在设备上。仅在需要密钥托管的电子邮件加密中使用 PKCS。 证书的有效期应该是多长？BYOD 为 90 天。公司管理设备为一到两年。 在 MDM 中应该使用用户目标还是设备目标？对于需要在用户登录前连接的公司设备，请使用设备目标。对于证书应与个人绑定的 BYOD，请使用用户目标。 如何处理 Android 碎片化？尽可能使用 Passpoint（也称为 Hotspot 2.0）。它可以在不同的 Android 制造商之间提供一致的连接体验。 最后，最重要的一点是什么？在您的 RADIUS 服务器上进行 CRL 检查。如果没有它，已吊销的证书仍然可以授予网络访问权限。 以上就是今天简报的全部内容。如果您想深入了解其中任何主题，可以在 Purple 官方网站 purple.ai 上获取关于企业 WiFi 安全和 EAP-TLS 证书认证的 Purple 技术指南。感谢您的收听。