如何為安全企業 WiFi 與 BYOD 佈署設定 SCEP

歡迎收看 Purple 的技術簡報。我是今天的主持人，我們今天將深入探討 SCEP 的設定，以實現安全的企業級 WiFi 和 BYOD 佈署。 對於在餐旅、零售和公共部門營運的 IT 經理、網路架構師和 CTO 而言，管理網路存取是一場在安全性與營運效率之間不斷進行的平衡拉鋸。您每天都要處理數百、甚至數千台連接到您網路的裝置，包括員工智慧型手機、承包商筆記型電腦、銷售點平板電腦等。而過去處理這些問題的舊方法，現在已經完全不夠用了。 依賴預共用金鑰（PSK）來提供員工和 BYOD WiFi，是個隨時可能被利用的安全性漏洞。共用密碼一旦外洩，任何人都能存取您的網路。而 MAC 位址驗證略過（MAB）也沒有好到哪裡去。現代智慧型手機預設會使用隨機化 MAC 位址，這會徹底使 MAB 失效，而且 MAC 位址在幾秒鐘內就能被偽造。 現代網路架構需要使用 EAP-TLS 的 802.1X 驗證。這能確保每台裝置在接觸網路前都經過密碼編譯驗證。但挑戰來了：您要如何在不讓服務台工作量載的情況下，將唯一的用戶端憑證分發到數千台非託管裝置上？答案就是簡單憑證登冊協定，即 SCEP。 讓我們從架構開始。SCEP 是 RFC 8894 中定義的企業裝置登冊產業標準。它自 1999 年由 VeriSign 建立以來一直存在，並且禁得起時間的考驗，因為它優雅地解決了真正棘手的問題。 在 SCEP 工作流程中，裝置會在本地產生自己的私鑰和公鑰組。它會建立一個憑證簽署要求（CSR），並透過網路裝置登冊服務（NDES）傳送到您的憑證授權單位（CA）。CA 會驗證該要求，並將已簽署的公鑰憑證傳回給裝置。 這裡關鍵的安全性優勢在於，私鑰永遠不會離開裝置。它是在本地產生並儲存在裝置的金鑰安全記憶體硬體中。在 Windows 筆記型電腦上，那是信賴平台模組（TPM）。在 iPhone 上，則是安全隔離區（Secure Enclave）。私鑰永遠不會在網路上傳輸。這就是 SCEP 在網路驗證方面遠優於 PKCS 等替代方案的原因，因為在 PKCS 中，CA 是集中產生金鑰組並將其傳輸到裝置上。 現在，讓我們來談談 BYOD。從營運的角度來看，這是真正有趣的地方。您希望員工能夠使用他們的個人裝置來存取內部工具，但您不想強迫他們在您的企業 MDM 中登冊。這涉及隱私疑慮，且會遭到員工的強烈反對。 此解決方案是一個自助式註冊入口網頁。運作方式如下。使用者將其個人裝置連接到專用的設定 SSID。此網路是一個圍牆花園（walled garden），限制存取除了註冊入口網頁和您的身分識別提供者以外的所有內容。使用者使用其企業憑證進行驗證，通常是透過與 Microsoft Entra ID、Okta 或 Google Workspace 的 SAML 整合。驗證成功後，系統會透過 SCEP 產生一個唯一的、裝置專屬的用戶端憑證。組態設定檔會推送到裝置，其中包含該憑證、根 CA 憑證和網路設定。接著，裝置會使用 EAP-TLS 自動連接到安全的企業 SSID。 這對使用者來說是無縫的，對企業來說是安全的。他們不需要了解任何關於憑證或 802.1X 的知識。他們只需登入一次即可連線。 現在，讓我們詳細瞭解實作步驟。部署順序至關重要，順序錯誤是導致失敗最常見的原因。 步驟一：部署信任的根憑證。在任何裝置可以要求用戶端憑證或信任您的 RADIUS 伺服器之前，它必須信任發行憑證機構。將您的根 CA 憑證匯出為 .cer 檔案，並將其部署到您的目標裝置群組。此步驟不容妥協。沒有它，整個鏈結都會失敗。 步驟二：組態設定 SCEP 憑證設定檔。這會指示裝置如何取得其用戶端憑證。您需要組態設定主旨名稱格式。對於使用者驅動的驗證，標準是 CN 等於 UserPrincipalName。對於裝置驗證，請使用 CN 等於 Azure AD 裝置 ID。將金鑰用途設定為數位簽章和金鑰加密。在延伸金鑰用途下，指定 OID 為 1.3.6.1.5.5.7.3.2 的用戶端驗證。將此設定檔連結至步驟一中信任的根憑證設定檔。並提供 NDES 伺服器的外部 URL。 步驟三：部署 802.1X WiFi 設定檔。這會將憑證與網路 SSID 繫結。輸入與您的無線基地台廣播完全相同的網路名稱。將安全性類型設定為 WPA2-Enterprise 或 WPA3-Enterprise。將 EAP 類型設定為 EAP-TLS。選取 SCEP 憑證設定檔作為用戶端驗證憑證。並指定伺服器驗證的信任根憑證。 這個順序是整個簡報中最需要記住的關鍵。信任、憑證，然後 WiFi。每次都必須遵循這個順序。 現在，讓我帶您瞭解一些最佳實務，這些實務將為您在生產環境中省去大量的麻煩。 第一，透過 Azure AD Application Proxy 發行您的 NDES 伺服器。NDES 伺服器必須可以從網際網路存取，以便遠端裝置在抵達現場之前就能完成憑證佈署。但將內部伺服器直接暴露於網際網路上是一個重大的安全性風險。Application Proxy 可為您提供安全的遠端存取，而無需開啟連入的防火牆連接埠。 其次，為個人自攜設備（BYOD）實施短期憑證。不要核發有效期為三年的憑證，而是核發有效期為 90 天的憑證。當憑證過期時，使用者必須透過上線入口網頁重新進行驗證。這會自然地從網路中清除過期的設備。90 天內未使用的設備會直接斷開連接，無需進行手動清理。 第三，這也是絕對關鍵的一點，請設定您的 RADIUS 伺服器以執行嚴格的憑證撤銷清單（CRL）檢查。當員工離職時，如果其用戶端憑證仍然有效，停用其 Active Directory 帳戶可能無法立即撤銷其 WiFi 存取權限。您的 RADIUS 伺服器在授予存取權限之前必須檢查 CRL。請確保您的 CRL 發佈點具有高可用性。如果 RADIUS 伺服器無法連線到 CRL，所有人的驗證都將失敗，這將導致大規模的服務中斷。 現在，讓我們來看看一些常見的失敗模式以及如何避免它們。 最常見的問題是 WiFi 設定檔套用失敗。設備接收到了信任的根憑證和 SCEP 憑證，但 WiFi 設定檔在 MDM 主控台中顯示為錯誤。十之八九，這是群組目標鎖定不匹配所致。如果 SCEP 設定檔指派給「使用者群組」，而 WiFi 設定檔指派給「設備群組」，MDM 則無法解析此相依性。請審計您的指派設定，確保這三個設定檔鎖定完全相同的群組。 第二個常見問題是 NDES 403 Forbidden 錯誤。設備無法取得 SCEP 憑證，且 NDES IIS 記錄顯示 HTTP 403 錯誤。這通常是由於連接器服務帳戶在憑證範本上缺乏必要的權限，或者防火牆封鎖了 SCEP 所使用的特定查詢字串參數。請驗證連接器帳戶在 CA 範本上具有「讀取」與「登冊」權限。檢查您的防火牆記錄，確保包含 operation equals GetCACaps 參數的 URL 未被封鎖。 讓我提供兩個真實世界的案例，以說明這在實務中是如何運作的。 案例一：一家擁有 200 間客房的飯店，有 50 名房務清潔人員使用個人智慧型手機存取班表應用程式。IT 經理希望避免完整的 MDM 登冊以尊重員工隱私。解決方案是採用與 Microsoft Entra ID 整合的自助服務入口網頁。員工連線到佈署 SSID，使用其 Entra ID 認證登入，並下載 SCEP 設定檔。SCEP 伺服器直接向設備核發 30 天的用戶端憑證。設備使用 EAP-TLS 連線到員工 WiFi SSID。RADIUS 伺服器將這些設備指派給受限的 VLAN，僅允許存取班表應用程式。當員工離職時，其 Entra ID 帳戶會被停用，RADIUS 伺服器會立即拒絕其網路存取。 情境二：一家擁有 500 家門市的連鎖零售企業，正為公司自有的端點銷售（POS）平板電腦部署安全 WiFi。網路架構師需要確保即使平板電腦被盜，憑證也無法被竊取。解決方案是使用 Microsoft Intune 透過 SCEP 部署憑證。Intune 推送受信任的根憑證，隨後推送 SCEP 設定檔，指示平板電腦在硬體安全記憶體（Secure Enclave）中生成自己的私鑰。平板電腦向 NDES 伺服器提交 CSR，接收用戶端憑證，並使用 EAP-TLS 連接到零售 POS SSID。由於私鑰是在本地生成且從不傳輸，因此被盜平板電腦的憑證無法在其他地方使用。這符合 PCI DSS 合規性要求。 現在，讓我們談談商業案例。過渡到 SCEP 802.1X 憑證部署，在安全性和營運方面都能帶來顯著的投資報酬率。 基於密碼的 WiFi 會產生大量的技術支援工單。例如密碼過期、鎖定、輸入錯誤等。而基於憑證的驗證對使用者來說是無感的。裝置會自動連線。這通常可以減少 70% 與 WiFi 相關的技術支援工單量。這是營運成本的實質降低。 EAP-TLS 消除了解析憑證和中間人攻擊的風險。這對於零售環境中的 PCI DSS 以及所有行業的 GDPR 合規性至關重要。資料外洩的成本遠高於部署完善的 PKI 基礎設施的成本。 對於已經運行 Purple 的 Guest WiFi 和分析平台的組織來說，將安全上網引導延伸到員工的 BYOD 裝置，提供了一套統一的網路管理策略。Purple 的硬體獨立雲端平台可與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 整合，因此您不會被單一硬體廠商綁定。Purple 在全球 80,000 個即時場地營運，並在 2024 年處理了 4.4 億次登入，持有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 認證。 最後，我用快速問答來總結您需要做出的關鍵決策。 您應該使用 SCEP 還是 PKCS？WiFi 驗證請使用 SCEP。私鑰會保留在裝置上。只有在需要金鑰託管的電子郵件加密時，才使用 PKCS。 憑證效期應該設定多長？BYOD 裝置為 90 天。企業託管裝置為一到兩年。 您應該在 MDM 中使用使用者目標定位還是裝置目標定位？對於需要在使用者登入前連線的企業裝置，請使用裝置目標定位。對於需要將憑證與個人綁定的 BYOD 裝置，請使用使用者目標定位。 您如何處理 Android 碎片化問題？盡可能使用 Passpoint（也稱為 Hotspot 2.0）。它在不同的 Android 製造商之間提供了致的連線體驗。 最後，最重要且必須做對的一件事是什麼？在您的 RADIUS 伺服器上啟用 CRL（憑證撤銷清單）檢查。如果沒有它，已被撤銷的憑證仍可能獲得網路存取權限。 今天的簡報到此結束。如果您想深入瞭解其中任何主題，Purple 關於企業 WiFi 安全和 EAP-TLS 憑證驗證的技術指南已發佈在 Purple 官方網站 purple.ai。感謝您的收聽。