管理用于 EAP-TLS WiFi 身份验证的数字证书

Speak in British English with a confident, authoritative, and conversational tone - like a senior consultant briefing a client. Measured pace, clear diction, warm but direct. Occasional natural pauses for emphasis: 欢迎收看 Purple 技术简报系列。今天我们将探讨 EAP-TLS 证书管理 - 具体而言，如何在不增加日常运维负担的前提下，大规模运行基于证书的 WiFi 认证方案。 [medium pause] 如果您负责管理跨多个场所的企事业或员工 WiFi - 无论是酒店集团、零售物业、大学校园还是公共部门物业 - 本期简报都将对您大有裨益。我们将涵盖完整的证书生命周期：从构建您的 CA 层级结构，到通过 SCEP 和 MDM 进行自动化部署，再到证书的更新与吊销。我们还会讨论哪些地方容易出错（因为确实容易出错），以及如何避免最常见的陷阱。 [medium pause] 让我们从基础知识开始。EAP-TLS - 即采用传输层安全协议的可扩展身份验证协议 - 是 802.1X WiFi 认证的黄金标准。与依赖用户名和密码的 PEAP 不同，EAP-TLS 使用基于证书的双向认证。设备通过客户端证书证明其身份，RADIUS 服务器则通过服务器证书证明其身份，双方互进行验证。没有密码可被网络钓鱼，也没有凭据可被窃取。这就是为什么 PCI-DSS 4.0 和 NCSC 的零信任指南都指向为员工网络采用基于证书的认证。 [medium pause] 现在来看看架构。要使 EAP-TLS 正常运行，您需要三样东西。第一，公钥基础设施 - 即您的 CA 层级结构。第二，将证书部署到设备上的机制 - 即 SCEP 或您的 MDM 平台。第三，一个信任您的 CA 并能够实时验证客户端证书的 RADIUS 服务器。 [medium pause] CA 层级结构是大多数组织在早期阶段容易遇到麻烦的地方。正确的模式是三级模型。最顶层是根 CA - 这应当是离线且物理隔离的，只有在需要签署中级 CA 证书时才上线。中级 CA - 有时被称为颁发 CA - 才是实际签署日常证书的机构。它是在线的，但其私钥受到严格保护。在此之下，您将颁发两类证书：用于 RADIUS 基础设施的服务器证书，以及用于设备和用户的客户端证书。 [medium pause] 为什么这很重要？因为如果您的根 CA 被攻破，您就必须从头开始重建整个 PKI，并重新注册每一台设备。保持其离线状态可以消除这种风险。中级 CA 可以在不触及根 CA 的情况下进行更换。这就是采用三级模型在业务连续性与抗风险能力上的论据。 [medium pause]让我们来谈谈证书的有效期。在这方面，整个行业发生了重大的转变。Apple、Google 和 Mozilla 都已开始强制缩短证书的最长寿命。对于 TLS 服务器证书，最长寿命现在为 398 天。对于企业级 WiFi 中的客户端证书，您拥有更大的灵活性 - 通常为一到两年 - 但趋势是向更短的寿命和自动化更新发展，而不是手动管理长期有效的证书。原因很简单：如果证书遭到泄露，较短的寿命可以限制暴露的时间窗口。 [medium pause] 这把我们引向了自动化。手动证书管理是无法扩展的。如果您有 500 台设备，您或许还可以勉强进行手动更新管理。但如果您在 50 个站点中拥有 5,000 台设备，这就行不通了。您需要 SCEP - 简单证书注册协议 - 或者其现代替代方案 EST。SCEP 与 MDM 平台直接集成，包括 Microsoft Intune、Jamf Pro 和 VMware Workspace ONE。MDM 将 SCEP 配置配置文件推送到设备。设备生成密钥对，向您的 SCEP 服务器发送证书签名请求，并接收签名的证书 - 这一切无需任何用户交互。 [medium pause] 对于 Active Directory 环境中的 Windows 设备，您有一个替代选择：通过 Active Directory 证书服务进行组策略驱动的自动注册。设备向域进行身份验证，CA 自动颁发证书，并且证书在到期前自动更新，无需任何手动干预。对于以 Windows 为主的资产，这是最无缝的途径。 [medium pause] 现在，谈谈吊销。这是组织最常投入不足的部分，也是在出现问题时最关键的部分。如果设备丢失、被盗或员工离职，您需要立即吊销其证书。有两种机制：CRL - 证书吊销列表 - 和 OCSP - 在线证书状态协议。 [medium pause] CRL 是较旧的机制。您的 CA 在已知 URL 发布已吊销证书序列号的列表。RADIUS 服务器定期下载此列表并进行对照检查。CRL 的问题在于延迟 - 如果您的 CRL 有 24 小时的有效期，那么已吊销的证书在吊销后最长仍可进行 24 小时的身份验证。 [medium pause] OCSP 是实时的替代方案。RADIUS 服务器为每次身份验证尝试向 OCSP 响应器发送查询，并获得实时的“有效”或“已吊销”响应。权衡在于您的 OCSP 响应器成为了一个关键的依赖项 - 如果它不可用，您需要决定是选择“故障放行”还是“故障锁定”。对于高安全性的环境，“故障锁定”是正确的选择。对于注重可用性的运行环境，您可以配置一个较短的 OCSP 宽限期。 [medium pause] 让我给您两个具体的场景，以便让这些内容更加切实可行。 [medium pause] 首先：一家拥有 150 家物业的酒店集团。他们此前运行 PEAP，并使用共享密码作为员工 WiFi。密码每季度轮换一次，这意味着每季度有两周的窗口期，员工会被锁定在外或使用旧密码。他们转向使用 Microsoft Intune 进行证书部署的 EAP-TLS。SCEP 配置文件被推送到所有 Windows 和 iOS 设备。Active Directory Certificate Services 作为 CA。结果：零密码轮换事件，证书在过期前 30 天自动处理更新，且当员工离职时，其证书在 Microsoft Entra ID 账户被禁用后几分钟内就会在 MDM 中被吊销。IT 团队估计，他们每季度在密码重置和技术支持工单上节省了大约 40 个小时。 [medium pause] 第二：一家在 200 家门店拥有 3,000 台员工设备的跨区域零售连锁店。这里的挑战在于设备的多样性 - 混合了 Windows 笔记本电脑、Android 手持设备和 iOS 设备。他们使用 Jamf Pro 管理 Apple 设备，使用 Microsoft Intune 管理 Windows 和 Android 设备，两者都指向同一个由 Microsoft ADCS Intermediate CA 支持的 SCEP 服务器。WiFi 基础设施为 Cisco Meraki，RADIUS 身份验证由与 Purple 集成的云托管 RADIUS 服务处理。核心设计决策是颁发有效期为 12 个月的证书，并配置在过期前 60 天自动更新。这提供了舒适的更新窗口，且不会产生运营开销。 [medium pause] 现在，来看看陷阱。我经常看到有四个陷阱。 [medium pause] 第一：不测试吊销。组织建立起自己的 PKI，部署了证书，却从未真正测试吊销是否能在端到端正常工作。测试它。吊销一个测试证书，确认 RADIUS 服务器在您预期的窗口期内捕获到该吊销，并确认该设备被拒绝访问。 [medium pause] 第二：到期悬崖。如果您在同一时间颁发所有证书且有效期相同，它们将在同一时间全部过期。请交错您的颁发时间，或者至少交错您的更新触发时间。在 5,000 台设备上同时出现 10% 的更新失败率是一次重大事件。 [medium pause] 第三：在部署 EAP-TLS 之前，没有将根 CA 证书分发到所有设备。如果设备不信任您的根 CA，它将拒绝 RADIUS 服务器的证书，身份验证将会失败。这听起来显而易见，但当组织拥有未在 MDM 中注册的 BYOD 设备或外包商笔记本电脑时，往往会因此中招。 [medium pause] 第四：OCSP 响应程序的可用性。如果您的 OCSP 响应程序宕机，且您的 RADIUS 服务器配置为在 OCSP 错误时关闭，您的整个 WiFi 资产将停止工作。为您的 OCSP 基础设施构建冗余，或配置带有适当监控的简短宽限期。 [medium pause] 好，下面是快速提问环节。 [medium pause] 我可以使用公共 CA 签发 EAP-TLS 客户端证书吗？技术上可以，但在实际操作中不行。公共 CA 不会为任意设备签发客户端证书。您需要拥有自己的 CA 来签发客户端证书。对于 RADIUS 服务器证书，使用公共 CA 是可以的，而且可以简化信任分发。 [medium pause] 那么 BYOD 呢？BYOD 是一个难点。您无法通过 MDM 将证书推送到未托管的设备。解决方案包括使用网络准入控制门户在用户身份验证后签发短期证书，或者直接将 BYOD 保留在使用不同身份验证方法的独立 SSID 上。 [medium pause] 这与 WPA3 如何交互？WPA3-Enterprise 强制要求在敏感环境中使用 192 位安全模式，这需要特定的密码套件。EAP-TLS 与 WPA3-Enterprise 完全兼容，实际上也是推荐的身份验证方法。 [medium pause] 总结一下。EAP-TLS 证书管理并不简单，但如果从一开始就规划好架构，它也是可控的。三级 CA 层级体系。通过 SCEP 或 MDM 实现自动注册。通过自动更新实现较短的证书有效期。通过 OCSP 进行实时吊销。测试所有内容，尤其是吊销流程。并将您的证书生命周期与您的身份源（Microsoft Entra ID、Okta 或 Google Workspace）集成，以便在停用帐户时自动触发证书吊销。 [medium pause] 如果您运行的是与 Purple 关联的 RADIUS 服务器，集成点就是您的 SCEP 服务器 URL、您的 RADIUS 服务器证书以及您的 CRL 或 OCSP 端点。Purple 独立于硬件的架构意味着这适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 以及其他标准硬件列表 - 您不会被锁定在单一厂商的 PKI 工具中。 [medium pause] 下一步：审计您当前的证书清单。如果您不知道自己有多少证书、它们何时过期以及由谁签发，这就是首先需要解决的问题。从那里开始，通往完全自动化的路径就非常清晰了。感谢收听。