管理用於 EAP-TLS WiFi 驗證的數位憑證

Speak in British English with a confident, authoritative, and conversational tone - like a senior consultant briefing a client. Measured pace, clear diction, warm but direct. Occasional natural pauses for emphasis: 歡迎來到 Purple 技術簡報系列。今天我們要探討的是 EAP-TLS 憑證管理 - 特別是如何在大規模環境下運行基於憑證的 WiFi 驗證計劃，而不會讓它成為全職的營運負擔。 [medium pause] 如果您負責跨多個場點的企業或員工 WiFi - 無論是飯店集團、零售物業、大學校園，還是公共部門資產 - 本次簡報都非常適合您。我們將涵蓋憑證的完整生命週期：從設定您的 CA 階層、透過 SCEP 和 MDM 進行自動化部署，到更新和撤銷。我們也會談到哪些地方容易出錯，因為確實會出錯，以及如何避免最常見的陷阱。 [medium pause] 讓我們從基本原理開始。EAP-TLS - 也就是使用傳輸層安全性的可延伸驗證協定 - 是 802.1X WiFi 驗證的金級標準。與依賴使用者名稱和密碼的 PEAP 不同，EAP-TLS 使用基於憑證的雙向驗證。裝置使用用戶端憑證證明其身分。RADIUS 伺服器使用伺服器憑證證明其身分。雙方互相驗證。沒有密碼可被釣魚。沒有憑據可被竊取。這就是為什麼 PCI-DSS 4.0 和 NCSC 的零信任指南都指向針對員工網路採用基於憑證的驗證。 [medium pause] 現在，來看看架構。要讓 EAP-TLS 正常運作，您需要三樣東西。第一，公開金鑰基礎建設 - 您的 CA 階層。第二，將憑證部署到裝置上的機制 - 也就是 SCEP 或您的 MDM 平台。第三，信任您的 CA 並且能夠即時驗證用戶端憑證的 RADIUS 伺服器。 [medium pause] CA 階層是大多數組織在早期最容易遇到麻煩的地方。正確的模式是三層模型。頂層是根 CA - 這應該是離線的、實體隔離的，只有在簽署您的中繼 CA 憑證時才會上線。中繼 CA - 有時稱為發行 CA - 才是實際簽署日常憑證的 CA。它是上線的，但其私鑰受到妥善保護。在此之下，您會核發兩種憑證：用於您的 RADIUS 基礎建設的伺服器憑證，以及用於您的裝置和用戶的用戶端憑證。 [medium pause] 為什麼這很重要？因為如果您的根 CA 遭到入侵，您就必須從頭重建整個 PKI，並重新註冊每台裝置。保持其離線狀態可以消除這種風險。中繼 CA 可以在不影響根 CA 的情況下進行更換。這就是採用三層模型的營運韌性論點。 [medium pause] 讓我們來談談憑證有效期。這個行業最近發生了重大轉變。Apple、Google 和 Mozilla 都已開始強制縮短最長憑證壽命。對於 TLS 伺服器憑證，最長期限現在為 398 天。對於企業級 WiFi 中的用戶端憑證，您擁有更大的彈性 - 常見的期限是一到兩年 - 但目前的趨勢是走向更短的壽命和自動化更新，而非手動管理長期憑證。原因很簡單：較短的壽命可以限制憑證遭到破解時的暴露窗口。 [medium pause] 這帶領我們走向自動化。手動憑證管理無法擴充規模。如果您有 500 台裝置，您勉強還可以手動管理更新。但如果您在 50 個站點中擁有 5,000 台裝置，那就不可能了。您需要 SCEP（簡單憑證註冊通訊協定）或其現代繼任者 EST。SCEP 直接與 MDM 平台整合，包括 Microsoft Intune、Jamf Pro 和 VMware Workspace ONE。MDM 將 SCEP 設定描述檔推送到裝置。裝置會產生一對金鑰，向您的 SCEP 伺服器發送憑證簽署請求，並接收回簽署的憑證 - 整個過程完全不需要任何使用者互動。 [medium pause] 對於 Active Directory 環境中的 Windows 裝置，您有另一種選擇：透過 Active Directory 憑證服務進行群組原則導向的自動註冊。裝置向網域進行驗證，CA 自動發行憑證，且憑證會在過期前自動更新，無需任何手動介入。對於以 Windows 為主的資產，這是最無縫的途徑。 [medium pause] 現在來談談撤銷。這是企業最常投資不足的部分，但也是出問題時最關鍵的部分。如果裝置遺失、被盜或員工離職，您必須立即撤銷其憑證。有兩種機制：CRL（憑證撤銷清單）和 OCSP（線上憑證狀態協定）。 [medium pause] CRL 是較舊的機制。您的 CA 會在一個已知的 URL 發布已撤銷憑證序號的清單。RADIUS 伺服器會定期下載此清單並進行比對。CRL 的問題在於延遲 - 如果您的 CRL 有 24 小時的有效期，已撤銷的憑證在撤銷後仍可進行驗證長達 24 小時。 [medium pause] OCSP 則是即時的替代方案。RADIUS 伺服器會針對每次驗證嘗試向 OCSP 回應程式發送查詢，並取得即時的有效或撤銷回應。折衷之處在於，您的 OCSP 回應程式會成為關鍵依賴 - 如果它無法使用，您需要決定是要「預設放行」還是「預設阻擋」。對於高安全性的環境，「預設阻擋」是正確的答案。對於重視可用性的營運環境，您則可以設定短暫的 OCSP 寬限期。 [medium pause] 讓我給您兩個具體的情境，將這些概念具體化。 [medium pause] 第一個案例：一家擁有 150 家物業的飯店集團。他們原本在員工 WiFi 上運行 PEAP 並使用共享密碼。密碼每季輪換一次，這意味著每季都有兩週的時間窗口，員工會被鎖定在外或使用舊密碼。他們轉移到 EAP-TLS，並使用 Microsoft Intune 進行憑證部署。SCEP 設定檔被推送到所有 Windows 和 iOS 裝置。Active Directory Certificate Services 作為 CA。結果是：零密碼輪換事件，在到期前 30 天自動處理憑證更新，而且當員工離職時，在其帳戶於 Microsoft Entra ID 中被停用後的幾分鐘內，其憑證就在 MDM 中被撤銷。IT 團隊估計，他們每季在密碼重設和服務台工單上節省了約 40 個小時。 [medium pause] 第二個案例：一家在 200 家門市中擁有 3,000 台員工裝置的多據點零售連鎖店。這裡的挑戰是裝置的多樣性 - 混合了 Windows 筆記型電腦、Android 手持裝置和 iOS 裝置。他們使用 Jamf Pro 管理 Apple 裝置，並使用 Microsoft Intune 管理 Windows 和 Android，兩者都指向由 Microsoft ADCS 子 CA 支援的同一台 SCEP 伺服器。WiFi 基礎架構為 Cisco Meraki，RADIUS 驗證由與 Purple 整合的雲端託管 RADIUS 服務處理。關鍵的設計決策是核發有效期為 12 個月的憑證，並設定在到期前 60 天自動更新。這提供了一個寬裕的更新窗口，又不會產生營運開銷。 [medium pause] 現在，來談談陷阱。我經常看到以下四個陷阱。 [medium pause] 第一：不測試撤銷。企業建立其 PKI，部署憑證，但從未實際測試撤銷是否能進行端到端運作。請測試它。撤銷一張測試憑證，確認 RADIUS 伺服器在您預期的窗口內偵測到撤銷，並確認該裝置被拒絕存取。 [medium pause] 第二：到期懸崖。如果您同時核發所有具有相同有效期的憑證，它們將同時到期。請交錯您的核發時間，或至少交錯您的更新觸發條件。5,000 台裝置同時發生 10% 的更新失敗率，將是一起重大的事件。 [medium pause] 第三：在部署 EAP-TLS 之前，未將根 CA 憑證分發到所有裝置。如果裝置不信任您的根 CA，它將拒絕 RADIUS 伺服器的憑證，驗證將會失敗。這聽起來很顯而易見，但當企業擁有未註冊在 MDM 中的 BYOD 裝置或承包商筆記型電腦時，往往會因此出錯。 [medium pause] 第四：OCSP 回應器的可用性。如果您的 OCSP 回應器故障，且您的 RADIUS 伺服器被設定為在 OCSP 錯誤時拒絕連線，則您的整個 WiFi 網路將停止運作。請在您的 OCSP 基礎架構中建立備援，或設定一個帶有適當監控的短暫寬限期。 [medium pause] 好了，接下來是快速問答時間。 [medium pause] 我可以將公開 CA 用於 EAP-TLS 用戶端憑證嗎？技術上可以，但實際上不行。公開 CA 不會為任意裝置核發用戶端憑證。您需要擁有自己的 CA 來管理用戶端憑證。至於 RADIUS 伺服器憑證，使用公開 CA 即可，這能簡化信任發行機制。 [medium pause] 那 BYOD 呢？BYOD 是最棘手的情況。您無法透過 MDM 將憑證推送到非託管裝置。可行的方案包括使用網路存取控制入口網站，在使用者驗證後核發短期憑證，或者直接將 BYOD 保留在使用不同驗證方法的獨立 SSID 上。 [medium pause] 這與 WPA3 如何互動？WPA3-Enterprise 針對敏感環境強制執行 192 位元安全性模式，這需要特定的加密套件。EAP-TLS 與 WPA3-Enterprise 完全相容，且實際上是官方推薦的驗證方法。 [medium pause] 總結來說，EAP-TLS 憑證管理並不簡單，但如果您從一開始就規劃好正確的架構，它是完全可以管理的。包括三層式 CA 階層、透過 SCEP 或 MDM 自動註冊、具備自動更新功能的短期憑證壽命，以及透過 OCSP 進行即時撤銷。測試所有流程，尤其是撤銷機制。並將您的憑證生命週期與您的身分識別提供者 - Microsoft Entra ID、Okta 或 Google Workspace - 進行整合，以便在帳戶停用時自動觸發憑證撤銷。 [medium pause] 如果您正在執行與 Purple 連結的 RADIUS 伺服器，整合點將是您的 SCEP 伺服器 URL、您的 RADIUS 伺服器憑證，以及您的 CRL 或 OCSP 端點。Purple 的硬體中立架構意味著這適用於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 以及其他標準硬體清單 - 您不會被綁定在單一廠商的 PKI 工具中。 [medium pause] 後續步驟：稽核您目前的憑證清單。如果您不知道自己擁有多少張憑證、何時到期以及由誰核發，這就是首要解決的問題。從那裡開始，邁向完全自動化的路徑就非常明確了。感謝您的收聽。