深入理解 Cisco SUDI：網路存取控制中以硬體為基礎的裝置識別

深入瞭解 Cisco SUDI：網路存取控制中基於硬體的裝置身分識別 Purple 技術簡報 - 完整播客腳本 (約 10 分鐘) --- 段落 1：引言與背景 (約 1 分鐘) 您好，歡迎收看 Purple 技術簡報。在接下來的十分鐘裡，我將帶您瞭解 Cisco SUDI - 安全唯一裝置識別碼 (Secure Unique Device Identifier) - 它究竟是什麼、它如何融入您的網路存取控制架構，以及如果您正在大規模運行 Cisco 基礎設施，您需要對此採取什麼行動。 本簡報專為場所（飯店、零售物業、體育場館、會議中心等）的網路架構師、IT 經理和 CTO 所設計 - 只要您在這些場所運行企業級 WiFi，並需要確保網路上的硬體與其宣稱的完全一致。 讓我們從 SUDI 解決的問題開始。在任何大型場所網路中，您都有數十或數百個無線基地台、交換器和控制器。您的安全性基礎取決於一個問題：您如何得知這些裝置中的每一個都是正版、未經修改的 Cisco 產品 - 而不是仿冒品、受損的單元，或是在運輸過程中被篡改的裝置？這就是 SUDI 所填補的空白。 --- 段落 2：技術深度解析 (約 5 分鐘) SUDI 代表 Secure Unique Device Identifier（安全唯一裝置識別碼）。它是一個 X.509 版本 3 憑證 - 與 HTTPS 和 TLS 中使用的憑證格式相同 - 但它不是核發給個人或伺服器，而是在製造過程中核發給特定的硬體。它包含裝置的產品識別碼和序號，並植根於 Cisco 自己的公開金鑰基礎建設中。 這就是 SUDI 與您自己安裝的軟體憑證不同的地方。SUDI 憑證及其關聯的金鑰對儲存在一個稱為信賴錨點模組 (Trust Anchor module，簡稱 TAm) 的防篡改晶片內。私鑰是在該晶片內產生的，且永遠不會離開該晶片。您無法匯出它，也無法複製它。如果有人實體篡改晶片，金鑰就會被銷毀。這就是硬體的信任根源。 SUDI 是 Cisco 對 IEEE 802.1AR 標準的實作 - 該標準是安全裝置識別碼 (Secure Device Identifiers，即 DevIDs) 的業界標準。在 802.1AR 規範下，製造商安裝的憑證稱為初始裝置識別碼 (Initial Device Identifier，即 IDevID)。Cisco 的 SUDI 正是如此 - 一個由 Cisco 在出廠時安裝的 IDevID。您可以使用本地有效裝置識別碼 (Locally Significant Device Identifier，即 LDevID) 來補充它，這是您自己的 PKI 為本地授權原則所核發的。現在，這要如何與網路存取控制整合？最常見的整合點是 IEEE 802.1X - 以連接埠為基礎的網路存取控制標準。當 Cisco 存取點或交換器上線時，它可以使用 EAP-TLS（可延伸驗證通訊協定搭配傳輸層安全性）向 RADIUS 伺服器（通常是 Cisco ISE，即 Identity Services Engine）出示其 SUDI 憑證。RADIUS 伺服器會比對 Cisco 的公開憑證授權單位來驗證該憑證，確認裝置為真，然後套用相應的網路原則。 這比 MAC 位址規避（大多數網路對基礎架構裝置使用的備用方案）要強大得多。MAC 位址在不到一分鐘內就能被偽造。而防篡改晶片中與硬體繫結的憑證，在不物理破壞裝置的情況下是無法偽造的。 在場域環境中，這之所以重要有三個原因。第一，它消除了偽冒存取點加入您網路的風險。偽造或未經授權的裝置根本無法出示有效的 SUDI。第二，它實現了自動化的零接觸部署（Zero Touch Provisioning） - 新裝置運送到您的場域、通電、出示其 SUDI，您的管理系統會在推送設定之前，對照您的庫存進行驗證。無需人工干預。第三，它為您提供可透過密碼學驗證的稽核軌跡。每個向您網路進行驗證的裝置，都是使用證明其為特定、具名 Cisco 產品的憑證來進行驗證的。 讓我更詳細地談談安全信任錨（Trust Anchor）模組，因為它是其他所有功能賴以建立的基礎。TAm 是一顆 Cisco 專有晶片，提供三種功能：用於 SUDI 和金鑰的非揮發性安全儲存、包括隨機數產生的密碼學服務，以及硬體指紋識別。最後一點值得注意 - Cisco 在製造時會對裝置的金鑰硬體元件進行指紋識別，並將該指紋儲存在 TAm 中。當裝置開機時，它會比對偵測到的硬體指紋與儲存的指紋。如果不匹配，裝置就不會開機。這可以偵測運送過程中的硬體篡改 - 對於硬體在安裝前可能會經過多人之手的大型場域部署來說，這是一個切實存在的問題。 您需要注意一個運作上的問題：2019 年 5 月之前發行的 SUDI 憑證將於製造日期起算十年或 2029 年 5 月 14 日過期，以先到者為準。Cisco 已透過名為 SUDI-2099 的新一代憑證解決了此問題，該憑證有效期至 2099 年 12 月。如果您運行的 Catalyst 9000 系列硬體是在 2019 年之前製造的，您現在需要檢查您的 SUDI 到期日。在 IOS-XE 上的指令為 show crypto pki certificate。尋找 CISCO_IDEVID_SUDI 信任點並檢查結束日期。如果您使用的是 Catalyst 9200，請升級至 IOS-XE 17.12.2 或更新版本，以確保您使用的是正確的 2099 憑證。 - - - 區段 3：實作建議與陷阱（約 2 分鐘） 讓我為您說明實際的部署情況。如果您要在場域環境中部署基於 SUDI 的驗證，以下是行之有效的實作順序。 首先從您的 RADIUS 基礎架構開始。如果您已經在使用 Cisco 生態系統，Cisco ISE 是最自然的首選，但任何支援 EAP-TLS 且能針對外部 CA 進行驗證的 RADIUS 伺服器都適用。您需要將 Cisco 的根 CA 和 ACT2 SUDI CA 憑證匯入您的 RADIUS 信任存放區。這些憑證皆可在 Cisco 的 PKI 入口網站公開取得。 接著，配置您的 802.1X 原則，要求基礎架構裝置必須進行基於憑證的驗證。請將此原則與您的終端使用者驗證原則分開 - 員工和訪客的驗證流程不同，在 ISE 中應放在不同的原則集上。 對於新部署，請啟用 Zero Touch Provisioning。您的網路管理系統 - Cisco DNA Centre 或 Catalyst Centre - 可以在發送配置之前使用 SUDI 驗證裝置身分。這消除了手動暫存程序，並將每台裝置的配置時間從數小時縮短至數分鐘。 現在，來談談常見的陷阱。我最常看到的是在同一個連接埠上將 SUDI 驗證與 MAC 位址旁路（MAB）混用。如果在 SUDI 失敗時退回到 MAB，您就破壞了安全性模型。請定義明確的原則：支援 SUDI 的裝置必須透過 SUDI 進行驗證，就這麼簡單。不支援 SUDI 的裝置則移至隔離 VLAN 等候手動審查。 第二個陷阱是憑證過期。現在就為您整個場域中的 SUDI 到期日設定監控。不要等到服務中斷才發現您的無線基地台已無法進行驗證。Purple 的平台與 Cisco Meraki 及其他硬體廠商整合，可在單一儀表板中呈現裝置健康狀態訊號 - 包括驗證狀態 - 這讓此類主動式監控在大規模應用中變得非常實用。 第三個陷阱是範圍蔓延（scope creep）。SUDI 驗證的是硬體裝置。它並非驗證透過該裝置連接的使用者。您仍然需要為訪客、員工和居民提供獨立的身分識別層。這正是 Purple 等平台發揮作用的地方 - 我們處理人類身分識別層、同意書確認、訪客流量的 VLAN 分配以及分析，而 SUDI 則處理底層的基礎架構層。 - 區段 4：快速問答（約 1 分鐘） 讓我快速解答三個我常被問到的問題。 SUDI 是否會取代我現有的 PKI？不會。SUDI 是製造商安裝的 IDevID。它證明該裝置是正版的 Cisco 硬體。您的企業 PKI 則為其他所有內容核發 LDevID 和使用者憑證。它們是並行運作的。 我可以在非 Cisco 硬體上使用 SUDI 嗎？不行。SUDI 是 Cisco 專有的。HPE Aruba 有一個稱為 IAP 佈署憑證的等效機制。Ruckus 和 Juniper Mist 也有其專屬的裝置身分識別機制。底層標準 - IEEE 802.1AR - 是不限廠商的，但每個製造商的實作方式不同。 當 SUDI 憑證過期時會發生什麼事？依賴 SUDI 進行驗證的服務 - 包括 HTTPS、使用憑證驗證的 SSH、Zero Touch Provisioning - 將會失敗。裝置本身雖能繼續運作，但已無法透過加密方式證明其身分。這就是為什麼 SUDI - 2099 轉移如此關鍵。 --- 第 5 區段：總結與後續步驟（約 1 分鐘） 總結來說：Cisco SUDI 為您提供無法被偽造、複製或匯出的硬體根源裝置身分。它是值得信賴的基礎設施層之基石。結合 IEEE 802.1X 與設定完善的 RADIUS 策略，它能消除未知裝置的風險，並實現大規模的自動化配置。 您現階段的三個立即行動：第一，使用 show crypto pki certificate 稽核您 Cisco 設備的 SUDI 到期日。第二，將 Cisco 的根 CA 匯入您的 RADIUS 信任存放區，並為基礎設施裝置設定 EAP-TLS 策略。第三，將您的基礎設施驗證策略與終端使用者驗證策略分開 - 它們的用途不同，應獨立管理。 如果您想深入了解 Purple 如何與 Cisco Meraki 及其他硬體廠商整合，為訪客、員工和居民提供基於身分的網路區段劃分，請造訪 purple.ai 或閱讀本集下方連結的相關指南。 感謝您的收聽。我們在下一期簡報中再見。 --- 腳本結束