如何在 Android 裝置上使用 EAP-TLS 設定企業級 WiFi

如何使用 EAP-TLS 在 Android 裝置上設定企業級 WiFi Purple 技術簡報 — 全程約 10 分鐘 --- 簡介與背景說明 — 全程約 1 分鐘 歡迎來到 Purple 技術簡報系列。我是您的主持人，今天我們將深入探討在 Android 裝置上部署 802.1X EAP-TLS 驗證的具體步驟，無論您是管理飯店資產、零售連鎖店、體育場還是公共部門的園區，本指南都適用。 如果您負責管理需要驗證企業或 BYOD Android 裝置且不依賴共享密碼的網路，那麼本集內容非常適合您。EAP-TLS 是企業級 WiFi 安全性的黃金標準，它使用相互基於憑證的驗證，這意味著沒有憑證會被釣魚，不需要定期變更密碼，且能符合 PCI-DSS、ISO 27001 以及大多數公共部門安全框架的法規遵循要求。 在本簡報結束時，您將清楚了解 EAP-TLS 在 Android 上的運作原理、您的部署選項有哪些，以及導致部署失敗的三個最常見錯誤。讓我們開始吧。 --- 技術深度剖析 — 全程約 5 分鐘 我們從架構開始。802.1X 是規範基於連接埠之網路存取控制的 IEEE 標準。當 Android 裝置連線到企業級 WiFi 網路（配置為 WPA2 企業版或 WPA3 企業版）時，無線存取點會充當所謂的驗證器。它本身不做出驗證決定，而是將裝置與 RADIUS 伺服器（實際的驗證伺服器）之間的對話進行傳遞。 EAP-TLS - 即「可延伸驗證通訊協定傳輸層安全性」 - 是在該 802.1X 框架內運行的驗證方法。它與在 TLS 通道內使用使用者名稱和密碼的 PEAP 或 EAP-TTLS 不同，EAP-TLS 在雙邊都使用 X.509 憑證。RADIUS 伺服器會向裝置出示伺服器憑證，而裝置則會將用戶端憑證回傳給 RADIUS 伺服器。雙方相互驗證。這就是雙向驗證，也是使 EAP-TLS 成為目前最安全選項的原因。 現在，特別針對 Android 系統，有幾件事您需要了解。Android 11 及更高版本引入了更嚴格的憑證驗證要求。如果您部署在 Android 11 或更高版本（目前佔您裝置的絕大多數），除非 RADIUS 伺服器憑證受到明確信任，否則裝置將拒絕連線。您不能單純依賴系統信任存放區，您必須將根 CA 憑證推送至裝置，或者將 WiFi 設定檔配置為明確引用該憑證。讓我們來談談憑證鏈。在單一 Android 裝置可以透過 EAP-TLS 進行驗證之前，您需要先準備好三個元件。第一，憑證授權單位 - 可以是您的內部 PKI、Microsoft Active Directory 憑證服務，或是像透過 Intune 的 SCEP 等雲端 PKI。第二，發行給您 RADIUS 伺服器並由該 CA 簽署的伺服器憑證。第三，發行給每個裝置或使用者的唯一用戶端憑證，同樣由同一個 CA 簽署。裝置在 TLS 交握期間出示其用戶端憑證，而 RADIUS 伺服器會根據 CA 的憑證撤銷清單（CRL）或透過 OCSP（線上憑證狀態協定）對其進行驗證。 對於 Android，用戶端憑證和私鑰通常會封裝為 PKCS12 檔案 - 亦即 .P12 或 .PFX 檔案 - 其中包含憑證和加密的私鑰。在手動配置的裝置上，使用者需透過「設定」、「安全性」、「安裝憑證」來匯入此檔案。在 MDM 管理的裝置上，憑證會以靜默方式推送到裝置的管理金鑰庫中，無需使用者互動。 現在我們來談談 WiFi 設定檔本身。在 Android 上配置企業級 WiFi 連線時，您需要指定：SSID、安全性類型（WPA2企業級或WPA3企業級）、EAP 方法（即 TLS）、用於伺服器驗證的 CA 憑證、用於裝置驗證的用戶端憑證，以及識別字串（通常是裝置的通用名稱或使用者的 UPN）。在 Android 11 及以上版本中，您還需要指定網域尾碼比對或伺服器憑證主旨，以防止中間人攻擊。 對於 MDM 部署 - 這也是真正實現規模化的地方 - 您會將所有這些內容作為結構化的配置設定檔進行推送。在 Microsoft Intune 中，您建立一個 SCEP 憑證設定檔，該設定檔會自動在每部註冊的 Android 裝置上要求並安裝唯一的用戶端憑證。然後，您建立一個參照該憑證設定檔的 WiFi 配置設定檔。當裝置簽入時，它會同時收到憑證和 WiFi 設定檔，並自動連線到您的 802.1X 網路。無需使用者互動，也無需支援電話。如果您正在使用 Intune 進行此操作，我們關於如何使用 Microsoft Intune 將 WiFi 憑證推送到裝置的隨附指南將逐步說明具體的配置步驟 - 建議您在閱讀本簡報的同時也閱讀該指南。 對於 VMware Workspace ONE 和 Jamf Connect，其程序在架構上是完全相同的 - 先是 SCEP 或 PKCS 憑證設定檔，接著是參照該設定檔的 WiFi 設定檔。特定的使用者介面有所不同，但憑證鏈和 RADIUS 配置要求是相同的。 在 RADIUS 方面，有一點非常值得注意：如果您正在運行 FreeRADIUS、Microsoft NPS 或 Cisco ISE，請確保您的伺服器憑證包含正確的「延伸金鑰用法」（Extended Key Usage）屬性 - 尤其是「伺服器驗證」（Server Authentication），OID 為 1.3.6.1.5.5.7.3.1。Android 對此要求非常嚴格。即使憑證在 Windows 用戶端上運作正常，如果缺少 EKU 或配置錯誤，在 Android 上也可能會發生失敗。 --- 導入建議與常見陷阱 - 約需 2 分鐘 好，接下來我們來探討實際部署中常遇到的問題，因為這是大多數部署遭遇障礙的地方。 第一個也是最常見的失敗原因是憑證信任問題。如果無法驗證 RADIUS 伺服器的憑證鏈，Android 11 及以上版本將無法連線。解決方法很簡單：透過 MDM 將您的根 CA 憑證推送到裝置的使用者憑證存放區，並在 WiFi 設定檔的 CA 憑證欄位中明確引用它。不要將其保留為「不驗證」 - 這是一個安全性漏洞，而且在某些 Android 版本上無論如何都會失敗。 第二個陷阱是憑證過期。用戶端憑證通常有一到兩年的有效期。如果您沒有透過 SCEP 或 NDES 建立自動續期機制，有一天早上醒來您會發現有一半的裝置同時失去了 WiFi 連線。從第一天起，就必須將憑證自動續期納入您的 MDM 工作流程，而不要當作事後才考慮的補救措施。 第三個問題是 RADIUS 伺服器容量。由於需要進行完整的雙向憑證交換，EAP-TLS 交握在計算上比 PEAP 交握更消耗資源。在體育館或會議中心等有數千個同時驗證的場所，容量不足的 RADIUS 伺服器將成為瓶頸。請根據尖峰時段的同時驗證量（而非平均負載）來評估並規劃您的 RADIUS 基礎架構規模。 最後，在 Android 方面，請注意不同的製造商（Samsung、Google、Xiaomi 等）在 WiFi 配置 API 的實作上略有不同。在進行大規模推廣之前，請在您企業擁有的各個製造商代表性裝置上測試由 MDM 推送的設定檔。尤其是 Samsung 裝置，在歷史上一直需要明確設定身份（Identity）欄位，即使該欄位可以從憑證中推導出來也是如此。 --- 快速問答 - 約需 1 分鐘 以下是幾個我經常被問到的快速問題。 我可以在 BYOD 裝置上使用 EAP-TLS 嗎？可以，但這需要使用者在其個人裝置上安裝用戶端憑證。對於大規模的 BYOD 部署，請評估採用 PAP 的 EAP-TTLS 或 PEAP-MSCHAPv2 是否為更具實際效益的折衷方案，並將 EAP-TLS 保留給公司擁有的裝置。 EAP-TLS 是否適用於 WPA3-Enterprise？是的，而且 WPA3-Enterprise 的 192 位元模式實際上強制要求使用 EAP-TLS。如果您在高度安全的環境中部署 WPA3-Enterprise，EAP-TLS 是您唯一符合規範的選擇。 我應該針對哪個最低 Android 版本？Android 8（含）以上版本原生支援 EAP-TLS。針對 Android 11（含）以上版本，請強制執行明確的 CA 憑證驗證。針對 Android 13（含）以上版本，您可以利用改進的憑證管理 API 進行更精細的控制。 Purple 的平台可以與 EAP-TLS 網路整合嗎？Purple 的顧客 WiFi 和分析平台與您的 802.1X 企業網路在不同的 SSID 上運作。您的企業裝置透過安全 SSID 上的 EAP-TLS 進行驗證，而顧客裝置則使用顧客 SSID 上的 Purple Captive Portal。兩者共存於相同的存取點基礎架構上，並透過 VLAN 隔離提供安全性邊界。 - - 摘要與後續步驟 - 大約 1 分鐘 總結來說：Android 上的 EAP-TLS 是目前最安全的企業 WiFi 驗證方法，而且搭配現代 MDM 工具，完全可以在大規模部署中實行。需要做對的三件事是：配置正確且具備憑證自動更新功能的 PKI、在 Android 11（含）以上版本上明確信任 CA 憑證，以及針對尖峰負載調整大小的 RADIUS 基礎架構。 如果您是在企業與顧客流量混合的場域進行部署，Purple 的平台可在顧客網路上為您提供分析與互動層，而您的 EAP-TLS 基礎架構則可保護企業端。兩者相輔相成。 您的後續步驟：請檢視我們完整指南中的架構圖，完成 Intune 部署逐步說明，並在推廣到整個環境之前，先在一部分裝置上進行試點。從一個包含五十台裝置的受控群組開始，驗證憑證傳遞和 WiFi 連線，然後信心十足地進行規模擴展。 感謝收聽 Purple 技術簡報。您可以在 purple.ai 找到完整的書面指南、圖表和設定參考資料。我們下次見。