當員工離職時如何撤銷 WiFi 存取權限

歡迎來到 Purple 技術簡報。我是您的主持人，今天我們要探討企業員工離職流程中最常見的漏洞之一：當員工離職時，他們的 WiFi 存取權限實際上發生了什麼變化？ 這聽起來很簡單。有人繳回了識別證，人力資源部門關閉了他們的帳戶，然後事情就結束了。但如果您的網路仍在使用共用的 WPA2 密碼，那個人走出大門時依然知道密碼。除非您為所有人變更密碼，否則他們甚至可以在停車場重新連線。 這就是我們今天要解決的問題。我們將介紹三種可行的一人一密 WiFi 權限撤銷模式，逐步說明當日撤銷檢查清單，並解釋 ISO 27001 或 SOC 2 稽核員期望在您的記錄檔中看到什麼。讓我們開始吧。 第一部分：為什麼共用密碼不是合適的工具。 WPA2-Personal（標準的家用路由器設定）使用單一的預共用金鑰。網路上的每個人都知道相同的密碼。當一個人離職時，該密碼在他們的個人手機、筆記型電腦以及他們連線過的任何裝置上仍然有效。撤銷其存取權限的唯一方法是變更整個網路的密碼，並將其重新發送給所有剩餘的使用者和裝置。 在一家擁有 200 名員工的飯店中，這意味著要更新每個銷售點終端機、每台後勤辦公室電腦以及每位主管的手機。在一個擁有 50 家分店的零售連鎖店中，這意味著要在每個據點進行協調部署。營運成本很高、干擾是真實存在的，而且從離職員工的最後一天到完成密碼變更之間的空窗期，是一個真正的安全漏洞。 PCI DSS（付款卡產業標準）要求您在知道共用認證的員工離職時變更該認證。因此，如果您的收銀機與員工 WiFi 位於同一個網路，員工離職會觸發合規義務，而不僅僅是最佳實踐建議。 根本原因很簡單：共用密碼沒有綁定身分。網路無法區分現有員工和前員工。要解決這個問題，您需要每位使用者專屬的憑證。 第二部分：三種真正有效的模式。 模式一是使用基於 EAP-TLS 憑證驗證的 802.1X。這是企業 WiFi 安全的黃金標準。 在此模式中，每個使用者或裝置都持有由您的憑證機構（CA）核發的唯一數位憑證。當他們連線到 WiFi 時，RADIUS 伺服器會以加密方式驗證該憑證。憑證與身分綁定，而不是與密碼綁定。要撤銷存取權限，您只需在 CA 層級撤銷該憑證。 RADIUS 伺服器使用 OCSP（線上憑證狀態協定）即時檢查撤銷狀態。當您將憑證標記為已撤銷時，下次該裝置嘗試驗證時，RADIUS 伺服器會查詢 OCSP 回應程式，收到已撤銷的回應，並向存取點發送 Access-Reject。在下次驗證嘗試的幾秒鐘內，該裝置就會被踢出網路。 對於作用中的工作階段，您可以使用 RADIUS 授權變更（CoA）立即終止現有的工作階段。結合 OCSP 與 CoA，這意味著您可以在不到一分鐘內撤銷離職員工的 WiFi 存取權限，並在 RADIUS 記錄中保留完整的稽核軌跡。 EAP-TLS 面臨的挑戰是 PKI 的開銷。您需要一個憑證授權單位、一種向裝置發行憑證的機制（通常透過像 Microsoft Intune 這樣的 MDM），以及一個撤銷憑證的流程。對於擁有成熟 MDM 和身分識別基礎架構的組織來說，這是正確的解決方案。對於較小的團隊或擁有無法支援憑證驗證之 IoT 裝置的環境，您需要不同的方法。 模式二是 iPSK（身分識別預先共用金鑰）。Cisco 稱之為 iPSK，Ruckus 稱之為 DPSK，Aruba 稱之為 MPSK，但其概念是相同的：即使大家都連線到同一個 SSID，每個使用者或裝置都會獲得一個專屬的密碼。 RADIUS 伺服器會將每個專屬金鑰對應到特定的身分識別，並可選擇對應到特定的 VLAN。當您從 RADIUS 資料庫中刪除該金鑰時，該裝置便無法再進行驗證。離職員工的波及範圍僅限該特定人員。其他所有人的金鑰仍然有效。 iPSK 特別適合混合裝置類型的環境。無法支援 802.1X 憑證的 IoT 裝置、銷售點系統（POS）終端機和舊型硬體都可以使用 iPSK。它也比完整的 PKI 部署更容易維運，這使其成為需要單一使用者撤銷且不希望產生基礎架構開銷的中型市場組織的理想選擇。 iPSK 的撤銷時間通常是幾分鐘，而不是幾秒鐘。金鑰刪除會傳播到 RADIUS 伺服器，但作用中的工作階段可能會持續，直到裝置重新驗證或您發送 CoA 封包以強制斷線為止。 模式三是 SCIM 驅動的停用機制。SCIM 代表跨網域身分識別管理系統。這是一個在 RFC 7643 和 RFC 7644 中定義的開放標準，允許您的身分識別提供者即時將使用者生命週期事件推送至下游系統。 以下是其在實務中的運作方式。您的身分識別提供者（無論是 Microsoft Entra ID、Okta 還是 Google Workspace）是使用者帳戶的權威信任來源。當 HR 在身分識別提供者中停用離職員工的帳戶時，SCIM 會向每個已連線的系統（包括您的 WiFi 管理平台）發送請求。 Purple 透過 SCIM 連線至您的身分識別提供者。當您在 Entra ID、Okta 或 Google Workspace 中停用使用者的那一刻，Purple 就會收到 SCIM 事件，並在下一次驗證時撤銷其 WiFi 認證。該事件會記錄時間戳記、使用者身分和所採取的動作。該記錄項目正是 ISO 27001 稽核員需要查看的內容。 SCIM 並不會取代 802.1X 或 iPSK。它處於更高的層級。SCIM 負責處理身分生命週期；驗證協定則處理網路強制執行。SCIM 加上 802.1X 的組合，能為您提供具備完整稽核軌跡且無需任何手動步驟的自動化、即時撤銷機制。 第三部分：當天撤銷檢核表。 當離職員工的最後一天到來時，您的 IT 團隊應遵循以下步驟。 步驟一：在您的身分識別提供者中停用該帳戶。這是觸發所有後續流程的關鍵。在 Microsoft Entra ID 中，將帳戶設定為停用。在 Okta 中，將使用者取消啟用。在 Google Workspace 中，將帳戶暫停。 步驟二：如果您正在執行 SCIM，請驗證取消分配事件是否已觸發。檢查您的 SCIM 記錄或 WiFi 管理平台以尋找對應的事件。如果尚未部署 SCIM，請手動在您的憑證授權單位中撤銷憑證，或從 RADIUS 資料庫中刪除 iPSK 金鑰。 步驟三：傳送 RADIUS CoA 以終止任何活動中的 WiFi 工作階段。大多數企業級 RADIUS 伺服器以及像 Purple 這樣的平台，都可以在取消分配事件發生時自動執行此操作。如果您是手動執行，請使用 RADIUS 伺服器的 CoA 介面，依據 MAC 位址或工作階段 ID 來中斷該使用者裝置的連線。 步驟四：確認沒有殘留的活動中工作階段。檢查您的 WiFi 控制器儀表板。在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet 上，您應該要能透過使用者名稱或裝置進行搜尋，並確認活動中的關聯數為零。 步驟五：封存稽核記錄項目。匯出或標記相關使用者與日期的 RADIUS 驗證記錄、SCIM 事件記錄以及 CoA 記錄。將這些記錄儲存在您的 ITSM 或資訊安全事件管理平台中。ISO 27001 附錄 A 控制措施 A.9.2.6 要求您在所有員工及約聘人員離職時，移除或調整其存取權限。您的記錄就是最佳證明。 步驟六：如果您正在執行 WPA2 共享 PSK 且上述方法皆不適用，請輪替密碼。如果可能的話，請在離職員工最後一天之前，或在離職後立即協調所有場域及裝置的更新部署。 第四部分：稽核員的期望。 ISO 27001 和 SOC 2 都要求您證明在僱用關係結束時能立即移除存取權。特別針對 WiFi，稽核員會尋找四個項目。第一，一份明確包含網路存取的書面離職程序。第二，該程序已針對離職人員抽樣（通常是過去 12 個月中挑選 10 到 25 名個人）確實執行的證據。第三，顯示帳戶停用時間戳記與 WiFi 存取權撤銷時間戳記的記錄，兩者之間的時間差應清晰可見。第四，確認沒有任何前員工的帳戶顯示有作用中的 WiFi 工作階段。 如果您執行的是 WPA2 共用 PSK，您將無法為第三和第四項提供證據。因為沒有針對單一使用者的記錄。您最多隻能顯示密碼輪替日期，並主張該輪替是在離職人員的最後一天或之前完成。稽核人員對此的做法正變得越來越嚴格。 如果您執行的是結合 SCIM 的 802.1X，系統會自動記錄。Purple 會記錄每一次 SCIM 停用帳戶事件，並附帶 UTC 時間戳記、身分識別提供者來源、使用者的唯一識別碼以及產生的操作。這是一份乾淨、可供稽核的記錄。 第五節：實作陷阱及如何避免。 最常見的錯誤是假設在身分識別提供者中停用帳戶就足夠了。事實並非如此，除非您的 WiFi 平台已透過 SCIM 或類似的即時整合連線到該身分識別提供者。如果沒有該連線，WiFi 系統就無法得知該帳戶已被停用。 第二個陷阱是憑證快取。即使使用 OCSP，RADIUS 伺服器仍會在可設定的時間內（通常為 15 到 60 分鐘）快取正常的 回應。如果您撤銷了憑證，而 RADIUS 伺服器具有快取的正常回應，則該裝置可能會繼續進行驗證，直到快取過期為止。在高度安全性的環境中，請將您的 OCSP 快取 TTL 設定為 15 分鐘或更短。 第三個陷阱是忘記作用中的工作階段。撤銷認證可以防止新的驗證，但不會終止現有的 WiFi 工作階段。在撤銷認證後，請務必傳送 RADIUS CoA 以立即中斷裝置的連線。 第四個陷阱是 IoT 和共用裝置。註冊到離職人員身分識別的裝置可能是共用工作站或某個操作硬體。在撤銷之前，請確認該裝置是個人裝置而非共用裝置。如果是共用裝置，請在撤銷離職人員的認證之前，將其重新註冊至服務帳戶下。 第六節：快速問答。 問：撤銷基於憑證的 WiFi 存取權限有多快？ 搭配使用 OCSP 和 RADIUS CoA，從您在 CA 撤銷憑證的那一刻起，不彈指間即可在 60 秒內完成。OCSP 檢查會在下一次驗證嘗試時進行。CoA 會立即終止作用中的工作階段。 問：SCIM 是否適用於所有 WiFi 硬體？ SCIM 運作於身分識別管理層，而非硬體層。Purple 與硬體無關，可與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 搭配使用。SCIM 整合是與 Purple 進行，而非直接與存取點整合。 問：如果我們沒有 MDM 且無法佈署憑證該怎麼辦？ iPSK 就是您的答案。它為您提供針對單一使用者的撤銷功能，而不需要憑證基礎架構。Purple 可以管理 iPSK 金鑰並連線到您的身分識別提供者，以自動化生命週期。 摘要與後續步驟。 核心訊息是：如果您無法在不影響其他人的情況下撤銷某個人的 WiFi 存取權限，那麼您就面臨了共享憑證的問題。解決方案是採用單一使用者憑證，不論是透過 802.1X EAP-TLS 的憑證，還是透過 iPSK 的專屬金鑰，並結合 SCIM 驅動的停用功能，在人資部門採取行動的瞬間自動執行撤銷。 Purple 透過 SCIM 連接 Microsoft Entra ID、Okta 和 Google Workspace，在 80,000 個實際場域中運行，並記錄每一次停用事件以供稽核。如果您正在為 ISO 27001 或 SOC 2 做準備，或者只是想在離職漏洞引發資安事件之前將其修補，這就是您的起點。 如需憑證撤銷和 OCSP 的完整技術分析，請參閱我們的 WiFi 驗證之 OCSP 與憑證撤銷指南。如需更廣泛的入職 - 異動 - 離職自動化全景，請參閱我們的企業 WiFi 安全指南。 感謝您收聽 Purple 技術簡報。