部署 SCEP 以实现安全的网络安全高等教育 BYOD 和 WiFi 认证

欢迎收看 Purple 技术简报。我是主持人，今天我们将讨论高等教育 IT 领域中经常出现的一个话题：部署 SCEP 以实现安全的 BYOD 和 WiFi 身份验证。 如果您一直在校园网络中运行 PEAP-MSCHAPv2，那么本期简报将与您息息相关。如果您已经在计划迁移到基于证书的身份验证，我们将为您提供实现该目标的架构、防坑指南和实施步骤。 让我们从问题开始。大学在设计上就是开放的环境。学生们在九月份入学时，会携带两部、三部、有时甚至五部个人设备。他们希望立即、安全地连接网络，而无需联系服务台。大多数院校面临的现实是，在开学后的四十八小时内，服务台排队的工单就会达到两千张。这不是人员配备问题，而是架构问题。 根本原因几乎总是相同的：基于密码的 WiFi 身份验证。当您运行带有 PEAP 和 MSCHAPv2 的 WPA2-Enterprise 时，您是在要求学生在每台设备上手动配置 802.1X 设置。一个错误的设置，就会让他们容易受到中间人攻击。更糟糕的是，当大学每九十天强制重置一次密码时，校园内的每台设备都会同时失去 WiFi 访问权限。这是一场可以预测且可以避免的灾难。 解决方案是使用 EAP-TLS 进行基于证书的身份验证，而使其具备可扩展性的机制是 SCEP：简单证书注册协议。SCEP 虽然自 2000 年代初就已投入使用，但它是在 2020 年被 IETF 在 RFC 8894 中正式确立的。它实现了在设备上请求和安装 X.509 数字证书过程的自动化，无需针对每台设备进行任何手动 IT 干预。 以下是它的高层工作原理。您的 MDM 平台（无论是 Microsoft Intune 还是 Jamf）会向每台已注册的设备推送 SCEP 负载。该负载包含两样东西：SCEP 网关 URL 和共享质询密码。设备生成一个证书签名请求，并将其发送到 SCEP 网关，网关验证该质询密码并将请求转发给您的证书颁发机构。CA 对证书进行签名并将其返回给设备。从那时起，设备使用 EAP-TLS 向您的 WiFi 网络进行身份验证：证书向 RADIUS 服务器证明设备的身份，而 RADIUS 服务器的证书向设备证明网络的身份。双向身份验证，无需通过无线网络传输密码。 双向身份验证这一环至关重要。使用 PEAP 时，学生连接到广播您 SSID 的流氓接入点会很乐意交出他们的凭据。而使用 EAP-TLS，设备会在继续操作之前检查 RADIUS 服务器证书。如果不匹配受信任的 CA，连接就会静默失败。您刚刚消除了整类双面恶魔攻击（Evil Twin Attacks）。 现在让我们来讨论架构。面向大学的生产级 SCEP 部署包含六个核心组件。第一，您的身份提供商：Microsoft Entra ID、Okta 或 Google Workspace。第二，您的 MDM 平台：适用于 Windows 和 Android 的 Intune，以及适用于 macOS 和 iOS 的 Jamf。第三，您的证书颁发机构（CA）：本地 Microsoft Active Directory 证书服务或云 PKI。第四，您的 SCEP 网关：接收证书请求的 HTTP 端点。第五，用于身份验证的 RADIUS 服务器。第六，您的接入层：配置了 802.1X 的 Cisco Meraki、HPE Aruba、Ruckus 或 Juniper Mist 接入点。 信任链的运行机制如下。CA 颁发根证书。该根证书通过 MDM 分发到每台设备，从而建立信任。然后，CA 通过 SCEP 向设备颁发客户端证书。当设备连接时，它会向 RADIUS 服务器出示其客户端证书，而 RADIUS 服务器向设备出示其服务器证书。双方均针对受信任的根证书进行验证。访问的允许或拒绝基于证书的有效性，而不是密码。 让我为您介绍一下实施顺序。这是行之有效的步骤顺序。 步骤一：清理您的身份存储。确保您的 Active Directory 或 Entra ID 针对学生、教职员工和访客拥有明确定义的组。证书策略和 VLAN 分配将与这些组绑定。 步骤二：部署您的证书颁发机构。如果您使用的是 Microsoft ADCS，请建立双层体系结构：一个离线根 CA 和一个在线颁发 CA。根 CA 在初始设置后应进行物理隔离。 步骤三：配置您的 SCEP 网关。这是您的 MDM 将设备指向的 HTTP 端点。确保它可以从设备进行初始注册的网络段（通常是您的引导 SSID）进行访问。 步骤四：配置您的 RADIUS 服务器。将颁发 CA 证书导入为受信任的 CA。将 EAP-TLS 配置为您的身份验证方法。设置 VLAN 返回属性，以便 RADIUS 可以动态地将学生分配到正确的网络段。 步骤五：配置您的 MDM 配置文件。在 Intune 中，先创建“受信任的证书”配置文件，然后创建 SCEP 证书配置文件，最后创建引用该 SCEP 证书的 WiFi 配置文件。按此确切顺序进行部署。每一个都依赖于前一个的就绪。 步骤六：配置您的接入点。在 Cisco Meraki、HPE Aruba、Ruckus 或 Juniper Mist 上，将您的安全 SSID 配置为 WPA2-Enterprise 或 WPA3-Enterprise。将 RADIUS 超时设置为至少五秒，以适应高峰期注册期间的证书验证延迟。 现在，来看看陷阱。我曾多次看到这些问题导致部署受挫。 第一个是以错误的顺序部署 MDM 配置文件。如果 WiFi 配置文件在 SCEP 证书配置文件之前到达设备，则设备没有可用于身份验证的证书。连接失败，用户就会拨打服务台电话。 第二个误区是遗忘了 BYOD 设备。Intune 和 Jamf 负责管理您机构拥有的设备。但学生的个人设备并没有注册到您的 MDM 中。对于这些设备，您需要一个自助入网门户。学生使用其大学凭据通过单点登录进行身份验证，门户则使用 SCEP 自动部署证书。Purple 的平台将这一入网流程直接整合到 Captive Portal 体验中，使学生无需任何 IT 人员干预，即可在两分钟内完成注册。 第三个误区是高峰入网期间的 RADIUS 超时失败。请在 9 月份之前对您的 RADIUS 基础设施进行压力测试，而不是在高峰期进行。请在至少两个 RADIUS 节点之间实现负载均衡。 第四个误区是证书吊销。当学生离开，或者设备丢失或被盗时，您需要立即吊销该证书。确保您的 CA 发布了证书吊销列表（CRL），并且您的 RADIUS 服务器在每次身份验证时都会对其进行检查。 现在针对我们最常听到的问题进行快速问答。 SCEP 能在没有 MDM 的情况下工作吗？从技术上讲可以，但从实际操作上讲不行。如果没有 MDM 来推送 SCEP 负载和 WiFi 配置文件，您将不得不重新面对手动设备配置。 证书有效期应该是多长？对于学生设备，通常为一到两年。这个时间足够长，可以度过整个学年而无需面对重新激活的摩擦；同时又足够短，可以在证书泄露时限制暴露风险。 那些不支持 802.1X 的物联网设备该怎么办？使用 MAC 身份验证绕过（MAB）配合自助设备注册门户。学生注册其游戏机或智能电视的 MAC 地址，您的 NAC 系统就会将其放入正确的 VLAN 中。 这能与 eduroam 协同工作吗？可以。EAP-TLS 受到 eduroam 联盟的完全支持。由您的校园 CA 颁发的证书可以使学生在全球任何参与该项目的机构中通过 eduroam 进行身份验证。 最后，以下是决定 SCEP 部署成功的三个关键决策。 第一：首先选择您的 CA 架构。本地 ADCS 可让您拥有完全控制权。云 PKI 则可为您提供操作上的简便性。在这里做出错误的选择会浪费您数月的时间进行重新开发。 第二：从第一天起就实现 BYOD 自动入网。不要指望学生会手动配置他们的个人设备。他们不会的。在学期开始前建立好自助服务门户。 第三：在 9 月份之前，在负载下测试您的 RADIUS 容量。学期开学第一天的 RADIUS 宕机是完全可以避免的。 Purple 的平台对这三者均提供支持：云覆盖 PKI 集成、通过我们 Captive Portal 实现的自助 BYOD 入网，以及在 8 万个活跃场所进行了测试、可用性达 99.999% 的 RADIUS 基础设施。 感谢您参加 Purple 技术简报。如需进一步指导，请访问 purple.ai。