企業 SCEP 指南：佈署簡單憑證登冊協定以實現自動化校園 WiFi 安全

大家早安。如果您正在管理飯店集團、零售物業、體育場館或大學校園的 WiFi 基礎架構，這份簡報非常適合您。我們將探討 SCEP - 簡單憑證註冊協定（Simple Certificate Enrollment Protocol），特別是它如何解決企業級 WiFi 中最令人頭疼的持續性難題之一：自動將憑證發送到數千部裝置上，而不會讓您的服務台被大量的支援工單淹沒。 [short pause] 讓我來為大家說明背景。您已經（正確地）決定了預先共用金鑰已不再適用於員工 WiFi。單一洩露的密碼就會暴露您整個網路區段。您已經轉向，或者正在轉向 802.1X 驗證。這是 IEEE 標準，要求每部裝置在獲得網路存取權限之前都必須證明其身分。802.1X 最安全的類型是 EAP-TLS - 可延伸驗證協定與傳輸層安全性（Extensible Authentication Protocol with Transport Layer Security），它使用數位憑證而不是密碼。憑證在每部裝置上都具有加密上的唯一性，無法共用，且如果裝置遺失或員工離職，可以立即撤銷。 [short pause] 到目前為止，一切都很順利。問題在於分發。您如何將唯一的憑證發送到您物業中涵蓋 Windows、iOS、Android、macOS 的每部筆記型電腦、每部手機、每部平板電腦，而不需要技術人員親自處理每部裝置？這正是 SCEP 所要解決的問題。 [medium pause] SCEP 雖然自 2000 年代初期就已在企業環境中使用，但直到 2020 年才由網際網路工程任務組在 RFC 8894 中正式確立。這是一種能讓託管裝置使用預先設定的 URL 和挑戰密碼，直接向您的憑證授權單位請求其自身憑證的協定。這裡關鍵的安全要點是：私鑰是在裝置本身上產生的，儲存在裝置的安全記憶體中 - 也就是 Windows 裝置上的 TPM 晶片，或是 Apple 硬體上的 Secure Enclave - 且它絕不會跨網路傳輸。裝置會產生一個憑證簽署請求，將其傳送到 SCEP 閘道，閘道驗證挑戰，並將請求轉發給您的憑證授權單位，CA 進行簽署，然後已簽署的憑證會回傳到裝置。整個過程對終端使用者來說是完全隱形的。 [short pause] 現在，在 Microsoft 環境中，SCEP 閘道通常是 NDES - 網路裝置註冊服務（Network Device Enrollment Service） - 這是一個 Windows Server 角色，充當您的 MDM 平台與您的 CA 之間的媒介。Microsoft Intune 會將 SCEP 設定檔推送至託管裝置，告知它們 NDES URL 與挑戰密碼。裝置會自動完成其餘的工作。 [medium pause] 讓我帶您了解實際部署的運作方式。以一家擁有 150 家飯店的飯店集團為例 - 想像一下 Premier Inn 的規模。他們混合使用 Windows 筆記型電腦給前台員工、iOS 裝置給房務主管，以及 Android 平板電腦給餐廳的 POS 系統。在採用 SCEP 之前，他們運行 WPA2-Personal，並搭配每季輪替一次的共享密碼。每次密碼輪替都會引發大量的客服諮詢。透過 SCEP 和 Intune，他們依序部署三個設定檔。第一，受信任的根憑證設定檔 - 這會指示所有裝置信任公司的憑證授權單位（CA）。第二，SCEP 憑證設定檔 - 這會指示裝置去獲取其專屬的用戶端憑證。第三，WiFi 設定檔 - 這會設定 SSID、將安全性類型設定為 WPA2-Enterprise 或 WPA3-Enterprise，並指向 SCEP 憑證進行驗證。將這三個設定檔部署到 Intune 中的同一個裝置群組，所有受管理的裝置就會自動連線到企業 SSID，並使用專屬的憑證，完全不需要使用者進行任何操作。 [short pause] RADIUS 伺服器 - 通常是 Microsoft NPS 或雲端 RADIUS 服務 - 接收 EAP-TLS 驗證請求，向 CA 驗證該憑證，檢查憑證撤銷清單（CRL），並允許或拒絕存取。如果員工離職，您只需在 CA 中撤銷他們的憑證即可。他們的裝置在下一個驗證週期就會失去 WiFi 存取權限。不需要重設密碼。也不需要等待每季的輪替。 [medium pause] 現在，人們經常詢問 SCEP 和 PKCS（公鑰加密標準）之間的區別。兩者都可以搭配 Intune 運作。關鍵區別在於私鑰的產生位置。使用 SCEP 時，私鑰是在裝置上產生的。而使用 PKCS 時，CA 會在中央產生這兩個金鑰，並將私鑰推送到裝置。這意味著私鑰會在網路中傳輸，從而帶來了理論上的攔截風險。PKCS 有其適用場景 - 它更適合需要進行金鑰託管的 S/MIME 電子郵件加密。對於 WiFi 驗證，SCEP 是正確的選擇。每一次都是如此。 [short pause] 讓我給您第二個情境 - 零售物業。想像一家在英國擁有 200 家門市的時尚零售商，每家門市都運行 Cisco Meraki 基地台。他們的 POS 系統是 Windows 系統，透過 Intune 進行管理。他們需要符合 PCI-DSS 合規性，這意味著對於任何處理持卡人資料的裝置，都需要進行網路分割和強效驗證。基於 SCEP 的 EAP-TLS 在員工 SSID 上為他們提供裝置層級的驗證，並由 RADIUS 策略驅動 VLAN 分配。POS 終端會自動進入 PCI 範圍內的 VLAN。而 Guest WiFi - 則透過像 Purple 這樣的平台單獨處理 - 在完全隔離的 SSID 上運行，並擁有自己的驗證流程。這兩個網路永遠不會接觸。稽核人員很滿意。安全團隊也睡得更安穩。 [medium pause] 好的，讓我們來談談一些陷阱，因為有幾個陷阱經常會讓團隊措手不及。 [short pause] 最常見的失敗模式是 Intune 中的群組定位不一致。您的信任的根憑證設定檔、您的 SCEP 設定檔以及您的 WiFi 設定檔都必須定位到同一個 Azure AD 群組。如果 SCEP 設定檔定位到使用者群組，而 WiFi 設定檔定位到裝置群組，Intune 就無法解析此相依性，且 WiFi 設定檔會顯示錯誤。請先檢查您的指派 - 這幾乎總是問題的根源。 [short pause] 第二個陷阱：NDES 伺服器可用性。您的 NDES 伺服器需要能從網際網路存取，以便遠端裝置在抵達現場之前進行註冊。最安全的方法是透過 Azure AD Application Proxy，這能提供您遠端存取權，而無需開啟入站防火牆連接埠。請勿將 NDES 直接暴露於網際網路。 [short pause] 第三：CRL 可用性。您的 RADIUS 伺服器在每次裝置驗證時都會檢查憑證撤銷清單。如果無法存取 CRL 發佈點 - 可能是伺服器宕機或防火牆規則已變更 - 所有人的驗證都會失敗。請讓您的 CRL 端點具備高可用性，並定期測試它們。 [short pause] 第四：憑證範本權限。如果您的 NDES 連接器服務帳戶在憑證範本上沒有「讀取」和「註冊」權限，裝置在嘗試收集其憑證時會遇到 HTTP 403 錯誤。這是一個簡單的權限修正，但在初始設定時很容易被遺漏。 [medium pause] 現在進入快速問答環節。 [short pause] SCEP 可以搭配非 Microsoft MDM 使用嗎？可以 - 適用於 Apple 裝置群的 Jamf、VMware Workspace ONE 以及大多數企業級 MDM 平台都支援 SCEP 設定檔。該協定是與廠商無關的。 [short pause] SCEP 可以搭配雲端 PKI 運作嗎？可以。Intune Suite 中 Microsoft 自家的雲端 PKI 完全消除了對本地 NDES 伺服器的需求。像 SecureW2 和 Keyfactor 這樣的第三方雲端 PKI 提供商也提供雲端 SCEP 端點。 [short pause] 那 WPA3-Enterprise 呢？WPA3-Enterprise 使用相同的 802.1X 和 EAP-TLS 驗證堆疊。SCEP 核發的憑證運作方式完全相同。升級是在無線協定層，而不是憑證層。 [short pause] 憑證的有效期有多長？通常是一年，不過您可以設定更短的有效期。Intune 會在到期前處理自動更新，因此使用者永遠不會遇到中斷。 [medium pause] 總結來說。SCEP 實現了大規模的憑證自動分發，消除了在大型裝置群中部署 PKI 的手動開銷。私鑰保留在裝置上 - 這就是 EAP-TLS 的安全基礎。請依序部署：先部署信任的根憑證，再部署 SCEP 設定檔，最後部署 WiFi 設定檔，且全部定位到同一個群組。透過 Application Proxy 安全地發佈您的 NDES 端點。保持您的 CRL 端點高可用性。如果您是從頭開始，請評估雲端 PKI，以完全消除對本地 NDES 的相依性。 [short pause] 對於客用 WiFi - 也就是獨立且面向訪客的網路 - 憑證型驗證並不是合適的模式。訪客並非使用受控裝置。這正是像 Purple 這樣的平台發揮作用的地方，它能處理整個驗證流程：包括 Captive Portal、社群媒體登入、收集電子郵件或簡訊驗證，並將所有資料匯入行銷團隊能實際運用的第一方數據層。這兩種方法相輔相成：針對受控員工裝置使用 SCEP，針對客用網路則使用 Purple。兩者皆執行於相同的硬體上，並透過 VLAN 進行乾淨的區隔。 [短暫停頓] 以上就是關於 SCEP 企業級 WiFi 上網註冊的簡報。完整的書面指南（包含架構圖、步驟詳細的 Intune 設定以及實際操作範例）已發布於 Purple 官方網站。感謝您的收聽。