PKIaaS voor authenticatie van hybride werknemers

De hybride workforce heeft het authenticatieprobleem fundamenteel veranderd. Toen alle medewerkers nog vanuit een kantoor werkten op beheerde laptops die verbonden waren met een bedrijfsnetwerk, was een wachtwoordcontrole via Active Directory een redelijk authenticatiemechanisme: de netwerklocatie zorgde voor impliciet vertrouwen en de bedrijfsperimeter bepaalde wie überhaupt toegang had tot het authenticatiepunt. Dat model beschrijft niet langer hoe de meeste organisaties werken. Gebruikers authenticeren zich via breedbandinternet thuis, wifi in hotels, netwerken in cafés en mobiele verbindingen. De apparaten variëren van door het bedrijf beheerde laptops met volledige MDM-registratie tot persoonlijke telefoons die toegang hebben tot bedrijfsmail onder een BYOD-beleid. Netwerkperimeters zijn vervangen door identiteit als controlelaag.

In deze omgeving zijn wachtwoorden en OTP-tokens onvoldoende authenticatiemechanismen. Wachtwoorden zijn vatbaar voor phishing, kunnen hergebruikt worden voor verschillende services en zijn afhankelijk van de gebruiker die bij elke authenticatie de juiste inloggegevens invoert. Certificaten daarentegen niet. Een certificaat kan niet worden gephisht omdat de privésleutel het apparaat nooit verlaat. Een certificaat kan niet hergebruikt worden voor ongeautoriseerde services omdat elke authenticatie de eigendom van de privésleutel bewijst zonder deze te verzenden. Een certificaat authenticeert automatisch na registratie, zonder tussenkomst van de gebruiker, ongeacht de netwerklocatie van de gebruiker. PKI as a Service biedt de infrastructuur voor certificeringsinstanties die deze certificaten op grote schaal uitgeeft, beheert en intrekt, geïntegreerd met de MDM-platformen en identiteitsproviders waarmee IAM- en infrastructuurteams al werken.

Kort antwoord: Wat biedt PKIaaS voor authenticatie van hybride werkomgevingen?

PKIaaS biedt de beheerde CA-backend die certificaten uitgeeft voor alle authenticatiescenario's voor medewerkers: gebruikersauthenticatiecertificaten voor VPN en Wi-Fi 802.1X via EAP-TLS, apparaatauthenticatiecertificaten voor beheerde endpoints op bedrijfsnetwerksegmenten, S/MIME-certificaten voor ondertekende en versleutelde e-mail en smartcard-aanmeldcertificaten voor fysieke en logische toegang met hoge beveiliging. De MDM-platforms (Intune, Jamf, Workspace ONE) distribueren deze certificaten naar apparaten via SCEP- of WSTEP-registratie, zonder dat gebruikers handmatig iets hoeven te installeren. De CLM-laag bewaakt de vervaldatum van certificaten en automatiseert de verlenging, zodat certificaten geldig blijven voor alle apparaten zonder authenticatieproblemen als gevolg van certificaatproblemen.

Key Takeaways

• Certificaatgebaseerde authenticatie via EAP-TLS is het enige phishingbestendige authenticatiemechanisme dat werkt voor VPN, Wi-Fi 802.1X en netwerktoegangscontrole zonder dat bij elke authenticatie een wachtwoord of OTP-token nodig is. De privésleutel verlaat het apparaat nooit; authenticatie bewijst het bezit van de sleutel zonder een geheim te verzenden.
• PKIaaS integreert met Microsoft Intune, Jamf, VMware Workspace ONE, Ivanti en andere MDM-platformen via de SCEP- en WSTEP-inschrijvingsprotocollen, en distribueert automatisch certificaten naar Windows-, macOS-, iOS- en Android-apparaten als onderdeel van de apparaatinschrijving en de toewijzing van complianceprofielen.
• S/MIME-certificaten van een PKIaaS-CA bieden medewerkers de mogelijkheid om e-mails te ondertekenen en te versleutelen zonder tussenkomst van een openbare CA. De private PKIaaS-CA geeft S/MIME-certificaten uit met de Email Protection EKU en het e-mailadres van de gebruiker in het SAN, die vervolgens kunnen worden gedistribueerd via Intune, Jamf of Active Directory Certificate Services voor automatische inschrijving.
• Aanmeldcertificaten voor smartcards, uitgegeven door PKIaaS, vereisen ondersteuning voor Smart Card Logon EKU en PKINIT in de configuratie van de domeincontroller. Ze bieden de hoogste authenticatiegarantie voor systemen met bevoorrechte toegang en fysieke toegangscontrole, waarbij de privésleutel is opgeslagen in de cryptografische module van de smartcard.
• WSTEP (Windows enrollment via Web Services Trust protocol) en automatische inschrijving op basis van Active Directory stellen Windows-apparaten die lid zijn van een domein in staat om automatisch gebruikers- en apparaatcertificaten van de PKIaaS CA te ontvangen via Groepsbeleid, zonder tussenkomst van de gebruiker of de IT-helpdesk bij het distributieproces van de certificaten.

Waarom certificaten de juiste authenticatielaag zijn voor hybride werken

Het authenticatieprobleem voor hybride werkomgevingen kent twee dimensies die met alleen wachtwoorden niet opgelost kunnen worden. De eerste is phishingresistentie: wachtwoorden en TOTP-tokens kunnen worden onderschept door een goed ontworpen phishingpagina die de authenticatiestroom in realtime nabootst. Een certificaatgebaseerde authenticatie kan niet worden nagebootst, omdat het authenticatiebewijs cryptografisch is gekoppeld aan de specifieke service waarmee de client zich authenticeert. Het TLS-kanaal zorgt voor deze koppeling: de EAP-TLS-authenticatie van de client bevat het servercertificaat in de handshake, waardoor een man-in-the-middle-aanval met een ander servercertificaat de clientauthenticatie zal laten mislukken.

De tweede dimensie is stille, continue authenticatie. In een hybride werkomgeving waar gebruikers meerdere keren per dag wisselen tussen netwerkomgevingen (thuisnetwerk in de ochtend, VPN voor een vergadering, bedrijfs-wifi op locatie in de middag), zorgt een authenticatiemechanisme dat handmatige actie van de gebruiker vereist bij elke netwerkovergang voor wrijving en extra belasting voor de helpdesk wanneer gebruikers zich niet correct opnieuw kunnen authenticeren. Certificaatgebaseerde EAP-TLS-authenticatie is automatisch: het apparaat presenteert zijn certificaat aan de netwerkauthenticator zonder enige tussenkomst van de gebruiker, en de gebruiker krijgt transparant opnieuw toegang tot het netwerk. Dit is operationeel cruciaal voor grote hybride werkomgevingen waar het authenticatievolume en de verscheidenheid aan netwerkomgevingen handmatige authenticatie op grote schaal ongeschikt maken.

VPN-authenticatie met PKIaaS-certificaten

VPN blijft het belangrijkste mechanisme voor toegang op afstand voor de meeste hybride werkplekken binnen bedrijven, met name voor toegang tot on-premises systemen, ontwikkelomgevingen en interne services die niet toegankelijk zijn via het openbare internet. Certificaatgebaseerde VPN-authenticatie biedt aanzienlijke beveiligingsvoordelen ten opzichte van wachtwoordgebaseerde of OTP-gebaseerde VPN-authenticatie:

• VPN-certificaten voor gebruikers: De PKIaaS CA geeft een gebruikersauthenticatiecertificaat uit met de TLS Client Authentication EKU (OID 1.3.6.1.5.5.7.3.2) en de UPN (User Principal Name) van de gebruiker in het SAN URI- of UPN-veld. De VPN-gateway valideert het certificaat aan de hand van de vertrouwensketen van de PKIaaS CA en controleert de intrekking via OCSP. Als het certificaat geldig en niet ingetrokken is, wordt de gebruiker geauthenticeerd. De VPN-gateway kan de UPN ook koppelen aan het corresponderende Active Directory- of IdP-gebruikersaccount voor autorisatiebeslissingen.
• VPN-certificaten voor apparaten: Aparte authenticatiecertificaten voor apparaten met de FQDN of het serienummer van het apparaat in het SAN stellen de VPN-gateway in staat een apparaatstatuscontrole uit te voeren voordat gebruikersauthenticatie wordt toegestaan. Een beheerd apparaat met een geldig, in MDM geregistreerd apparaatcertificaat kan een apparaattunnel tot stand brengen; een persoonlijk apparaat zonder apparaatcertificaat kan dat niet. Dit maakt een Zero Trust VPN-architectuur mogelijk, waarbij zowel de gebruikers- als de apparaatidentiteit geldig moeten zijn voordat toegang wordt verleend.
• Geldigheid en intrekking van het certificaat: Wanneer een gebruiker de organisatie verlaat, trekt het IT-team het VPN-certificaat van de gebruiker in bij de PKIaaS CA. De intrekking wordt binnen enkele seconden doorgegeven aan de OCSP-responder. De volgende VPN-authenticatiepoging met het ingetrokken certificaat mislukt direct, zonder dat een wachtwoordreset, het deactiveren van het account in de VPN-gateway of enige handmatige aanpassing van de VPN-configuratie nodig is.

VPN-certificaatprofielen in PKIaaS specificeren doorgaans: een ECDSA P-256- of RSA-2048-sleutel, een geldigheidsduur van 1 jaar (of korter voor omgevingen met hoge beveiliging), een TLS Client Authentication EKU en een UPN SAN die wordt ingevuld vanuit het IdP-attribuut tijdens de registratie. Het MDM-platform levert het certificaat aan de certificaatopslag van het apparaat en configureert het VPN-clientprofiel om ernaar te verwijzen, zodat gebruikers niet handmatig een certificaat hoeven te selecteren bij het verbinden met de VPN.

Wi-Fi 802.1X-authenticatie met EAP-TLS

Authenticatie van bedrijfs-Wi-Fi via 802.1X met EAP-TLS is het op certificaten gebaseerde equivalent van de toegangscontrole tot bedrijfsnetwerken die voorheen vereiste dat gebruikers zich op een bekabeld bedrijfsnetwerk bevonden om toegang te krijgen tot interne resources. Met EAP-TLS presenteert een beheerd apparaat zijn certificaat aan de RADIUS-server van het draadloze toegangspunt; de RADIUS-server valideert de certificaatketen aan de hand van de PKIaaS CA, controleert op intrekking en geeft het toegangspunt een signaal om de verbinding toe te staan ​​of te weigeren.

De praktische voordelen ten opzichte van wachtwoordgebaseerde Wi-Fi-authenticatie (WPA2-PSK of PEAP-MSCHAPv2) zijn aanzienlijk:

• Geen gedeeld geheim om te beheren: WPA2-PSK vereist het distribueren van een vooraf gedeelde sleutel aan elke geautoriseerde gebruiker. Wanneer een gebruiker vertrekt of de sleutel wordt gecompromitteerd, moet de PSK worden geroteerd en opnieuw worden gedistribueerd aan alle geautoriseerde gebruikers. EAP-TLS heeft geen gedeeld geheim: elk apparaat heeft zijn eigen certificaat en het intrekken van een enkel certificaat verwijdert alleen de toegang van dat apparaat, zonder dat dit gevolgen heeft voor andere apparaten.
• Identiteit per apparaat: EAP-TLS voorziet de RADIUS-server van de specifieke certificaatidentiteit van het apparaat, en niet alleen van het bewijs dat het verbindende apparaat een gedeelde sleutel kent. De RADIUS-server kan netwerktoegangsbeleid afdwingen op apparaatniveau: beheerde apparaten toewijzen aan het bedrijfs-VLAN, BYOD-apparaten toewijzen aan een beperkt VLAN en de toegang weigeren aan apparaten waarvan de certificaten zijn ingetrokken.
• Automatische herverificatie: Wanneer een beheerd apparaat zich verplaatst tussen toegangspunten in hetzelfde 802.1X-beveiligde netwerk, wordt de EAP-TLS-herauthenticatie automatisch afgehandeld door de supplicant van het apparaat, zonder tussenkomst van de gebruiker. Gebruikers die zich door een campus of kantoorgebouw bewegen, krijgen nooit authenticatieprompts te zien wanneer ze zich tussen draadloze cellen verplaatsen.

Voor hybride werkomgevingen biedt 802.1X EAP-TLS-authenticatie op kantoorlocaties een naadloze, phishingbestendige netwerkauthenticatie wanneer gebruikers ter plaatse zijn, terwijl hetzelfde certificaat wordt gebruikt voor VPN-authenticatie wanneer ze op afstand werken. Eén enkel PKIaaS-certificaat voor gebruikers of apparaten is geschikt voor beide gebruiksscenario's, waarbij hetzelfde intrekkingsmechanisme zorgt voor onmiddellijke beëindiging van de toegang via beide netwerkkanalen.

S/MIME-certificaten voor de beveiliging van e-mail op de werkvloer

S/MIME (Secure/Multipurpose Internet Mail Extensions) gebruikt PKI-certificaten om twee e-mailbeveiligingsfuncties te bieden die geen enkel ander standaard e-mailbeveiligingsmechanisme samen kan bieden: digitale ondertekening (cryptografisch bewijs dat de e-mail afkomstig is van de opgegeven afzender en niet is gewijzigd) en end-to-end-versleuteling (versleuteling van de e-mailinhoud en bijlagen, zodat alleen de ontvanger met de bijbehorende privésleutel de e-mail kan decoderen).

PKIaaS geeft S/MIME-certificaten uit voor de beveiliging van e-mailverkeer binnen het bedrijf, met de Email Protection EKU (OID 1.3.6.1.5.5.7.3.4) en het e-mailadres van de gebruiker in het SAN RFC 822-naamveld. Het certificaat wordt uitgegeven door de private PKIaaS CA; de e-mailclient (Microsoft Outlook, Apple Mail of mobiele e-mailclients) vertrouwt het certificaat omdat het root-CA-certificaat van PKIaaS is geïnstalleerd in de vertrouwensarchief van de onderneming via Groepsbeleid, een MDM-profiel of het beheer van het vertrouwensarchief van het besturingssysteem.

Voor e-mailbeveiliging in een hybride werkomgeving biedt S/MIME de volgende mogelijkheden:

• E-mailondertekening voor vertrouwelijke communicatie met leidinggevenden: Ondertekende e-mails bieden ontvangers cryptografisch bewijs van de identiteit van de afzender en de integriteit van het bericht. Phishingaanvallen waarbij e-mailadressen van leidinggevenden worden vervalst, mislukken wanneer ontvangers getraind zijn om S/MIME-handtekeningen te controleren, omdat de aanvaller geen geldige handtekening kan genereren met de privésleutel van de leidinggevende.
• E-mailversleuteling voor gereguleerde gegevens: Organisaties in gereguleerde sectoren (gezondheidszorg, financiële dienstverlening, juridische sector, overheid) hebben vaak de verplichting om de vertrouwelijkheid van specifieke communicatiecategorieën te beschermen. S/MIME-encryptie zorgt ervoor dat e-mails met patiëntgegevens, financiële informatie of vertrouwelijke juridische communicatie van begin tot eind versleuteld zijn, van de e-mailclient van de afzender tot de e-mailclient van de ontvanger, en niet alleen tijdens de overdracht via de mailserver.
• Certificaatdetectie via Active Directory of LDAP: Om S/MIME-versleuteling te laten werken, moet de e-mailclient van de afzender beschikken over het S/MIME-certificaat (de publieke sleutel) van de ontvanger. In bedrijfsomgevingen worden S/MIME-certificaten gepubliceerd naar Active Directory of een LDAP-directory, zodat Outlook en andere zakelijke e-mailclients de certificaten van de ontvanger automatisch kunnen detecteren bij het opstellen van een versleuteld bericht. De CLM-integratie van de PKIaaS CA kan het publiceren van nieuw uitgegeven S/MIME-certificaten naar de directory automatiseren.

Smartcard-aanmeldingscertificaten voor bevoorrechte toegang

Aanmeldcertificaten op smartcards bieden de hoogste authenticatiegarantie die beschikbaar is voor aanmelding bij een Windows-domein en beheer van bevoorrechte toegang. De privésleutel van het certificaat wordt gegenereerd en opgeslagen in de cryptografische module van de smartcard en wordt nooit geëxporteerd. Windows Kerberos-authenticatie via PKINIT (Public Key Cryptography for Initial Authentication in Kerberos) gebruikt het smartcardcertificaat ter vervanging van de op wachtwoorden gebaseerde AS-REQ/AS-REP-uitwisseling: de domeincontroller verifieert de certificaatketen van de smartcard aan de hand van de PKIaaS CA en geeft een Kerberos-ticket uit op basis van de certificaatidentiteit.

Aanmeldcertificaten voor smartcards van PKIaaS vereisen een specifieke profielconfiguratie:

• Uitgebreid sleutelgebruik: Smartcard-aanmelding (OID 1.3.6.1.4.1.311.20.2.2) en clientauthenticatie (OID 1.3.6.1.5.5.7.3.2);
• Alternatieve naam voor onderwerp: De UPN moet overeenkomen met het Active Directory-account van de gebruiker in het UPN SAN-veld, wat vereist is zodat PKINIT het certificaat aan het juiste AD-account kan koppelen;
• Sleutelopslag: De privésleutel moet zich in de hardwaremodule van de smartcard bevinden; het certificaatprofiel moet specificeren dat de sleutel niet exporteerbaar is en hardwarematig moet worden ondersteund;
• Uitgevende CA-trust: Het PKIaaS-uitgevende CA-certificaat moet worden gepubliceerd in de Active Directory NTAuthCertificates-certificaatarchief, dat certificaten van die CA autoriseert voor aanmelding bij een Windows-domein. Deze configuratie wordt eenmaal uitgevoerd per PKIaaS-uitgevende CA die smartcard-aanmeldingscertificaten gaat uitgeven.
• Geldigheidsduur van het certificaat: Aanmeldcertificaten voor smartcards hebben doorgaans een geldigheidsduur van 1 tot 3 jaar, waarbij de verlenging vóór de vervaldatum wordt geactiveerd via de in PKIaaS geconfigureerde inschrijvingsprocedure.

In hybride werkomgevingen is inloggen met een smartcard het meest geschikt voor: beheerdersaccounts met beheerdersrechten die tweefactorauthenticatie vereisen, waarbij de fysieke smartcard (die u bezit) en de pincode (die u weet) worden gecombineerd; gedeelde werkstations in beveiligde omgevingen (verpleegposten in ziekenhuizen, terminals op productievloeren) waar meerdere gebruikers zich authenticeren met persoonlijke smartcards; en overheids- of defensieomgevingen waar authenticatie met een persoonlijke identiteitskaart (PIV) wettelijk verplicht is.

Microsoft Intune-integratie voor certificaatdistributie

Microsoft Intune is het meest gebruikte MDM-platform voor het beheer van apparaten in een hybride werkomgeving. PKIaaS integreert met Intune via twee inschrijvingsmechanismen, die elk geschikt zijn voor verschillende apparaatplatformen en inschrijvingsscenario's.

SCEP-gebaseerde certificaatinschrijving voor Intune

SCEP (Simple Certificate Enrollment Protocol) is het meest gebruikte protocol voor certificaatinschrijving voor mobiele en beheerde apparaten. Voor SCEP-integratie in Intune stelt de PKIaaS CA een SCEP-eindpunt beschikbaar. De Intune-beheerder maakt een SCEP-certificaatprofiel aan in Intune met de volgende gegevens: de URL van de SCEP-server (het PKIaaS SCEP-eindpunt), het vertrouwde root-CA-certificaat (de PKIaaS root-CA), de velden voor het certificaatonderwerp en SAN (ingevuld met Intune-apparaat- en gebruikerskenmerken met behulp van sjabloonvariabelen), de sleutelgrootte en het algoritme, en de geldigheidsperiode van het certificaat. Intune wijst het SCEP-profiel toe aan apparaatgroepen; ingeschreven apparaten vragen certificaten aan bij het PKIaaS SCEP-eindpunt als onderdeel van hun Intune-nalevingsprofielaanvraag, en het certificaat wordt zonder tussenkomst van de gebruiker in de certificaatopslag van het apparaat geïnstalleerd. SCEP-gebaseerde certificaatlevering in Intune ondersteunt de volgende platformen: Windows (machine- en gebruikerscertificaten), macOS, iOS en Android.

WSTEP en automatische Windows-inschrijving

WSTEP (Web Services Trust Enrollment Protocol) is het native Windows-protocol voor certificaatinschrijving dat wordt gebruikt door Active Directory Certificate Services en wordt ondersteund door PKIaaS voor de inschrijving van certificaten voor Windows-apparaten en -gebruikers. Voor Windows-apparaten die lid zijn van een domein in een Intune co-management- of Active Directory-omgeving, maakt automatische inschrijving op basis van WSTEP het mogelijk dat gebruikers- en apparaatcertificaten worden uitgegeven door de PKIaaS CA via automatische inschrijving via Windows Groepsbeleid, zonder dat het apparaat de Intune SCEP-flow hoeft te gebruiken. De PKIaaS-agent wordt geïnstalleerd op een Windows-server in het domein; Groepsbeleid configureert de automatische inschrijving om te verwijzen naar de uitgevende PKIaaS CA. Wanneer een Windows-apparaat dat lid is van een domein Groepsbeleid verwerkt, vraagt ​​het automatisch de certificaten aan die zijn gespecificeerd in de certificaatsjablonen die zijn geconfigureerd voor automatische inschrijving, en de PKIaaS CA geeft deze uit. Dit is de naadloze ervaring die de meeste Windows-beheerders verwachten van AD CS en is nu beschikbaar voor een PKIaaS CA zonder dat er een on-premises CA-infrastructuur hoeft te worden onderhouden.

Jamf-integratie voor Apple-apparaatcertificaten

Jamf is het meest gebruikte MDM-platform voor het beheren van Apple-apparaten (macOS, iOS, iPadOS). PKIaaS integreert met Jamf via SCEP, hetzelfde protocol dat wordt gebruikt voor Intune op Apple-platforms. De Jamf-beheerder maakt een PKI-integratie in Jamf Pro die verwijst naar het PKIaaS SCEP-eindpunt. Certificaatprofielen in Jamf specificeren het onderwerp en de SAN-sjabloon, het certificaattype (gebruiker of apparaat), het sleutelalgoritme en de sleutelgrootte, en de geldigheidsperiode. Jamf-bereikregels bepalen welke apparaten welke certificaatprofielen ontvangen.

Voor hybride teams met grote Apple-vloten biedt de PKIaaS-Jamf-integratie de volgende mogelijkheden:

• macOS Wi-Fi 802.1X EAP-TLS: Jamf levert een apparaat- of gebruikerscertificaat en een Wi-Fi-payload die EAP-TLS-authenticatie configureert met behulp van dat certificaat. MacBooks maken automatisch verbinding met het 802.1X Wi-Fi-netwerk van de onderneming zonder dat gebruikers om inloggegevens worden gevraagd.
• macOS VPN-certificaatverificatie: Jamf levert het gebruikerscertificaat en een VPN-payload die is geconfigureerd voor certificaatverificatie. De VPN-client raadpleegt het certificaat vanuit de sleutelbos zonder tussenkomst van de gebruiker;
• iOS- en iPadOS-apparaatcertificaten voor mobiele werknemers: Veldmedewerkers en mobiele werknemers met beheerde iPhones en iPads ontvangen via Jamf apparaatcertificaten waarmee ze toegang krijgen tot bedrijfsnetwerkbronnen en VPN;
• Automatische certificaatvernieuwing: Jamf controleert de vervaldatums van de certificaten die het beheert en kan SCEP-vernieuwingsverzoeken naar de PKIaaS CA versturen voordat het certificaat verloopt. Hierdoor blijft de geldigheid van de certificaten op alle Apple-apparaten gewaarborgd zonder handmatige tussenkomst van de helpdesk.

VMware Workspace ONE-integratie

VMware Workspace ONE (nu Omnissa Workspace ONE) wordt veelvuldig gebruikt in bedrijfsomgevingen met een mix van Windows-, macOS-, iOS-, Android- en ChromeOS-apparaten. PKIaaS integreert met Workspace ONE via SCEP en op PKI-profielen gebaseerde certificaatlevering, met hetzelfde inschrijvingsmodel als Intune en Jamf: het PKIaaS SCEP-eindpunt wordt in Workspace ONE geregistreerd als certificeringsinstantie en certificaatprofielen wijzen certificaten toe aan apparaatgroepen op basis van de slimme groepsregels van Workspace ONE.

Voor hybride werkomgevingen die op meerdere platforms werken, biedt de platformoverschrijdende MDM-functionaliteit van Workspace ONE in combinatie met PKIaaS-certificaatuitgifte een uniforme architectuur voor certificaatlevering: dezelfde PKIaaS-CA geeft certificaten uit voor Windows-laptops, macOS MacBooks, Android-telefoons en iOS-apparaten, die allemaal worden beheerd via Workspace ONE-profielen, met consistente certificaatprofielen en intrekking. De CLM-laag die is gekoppeld aan PKIaaS geeft het IAM-team inzicht in de certificaatstatus van alle apparaten op alle platforms in één overzicht.

Overwegingen met betrekking tot BYOD en onbeheerde apparaten

In hybride werkomgevingen wordt vaak een deel van de apparaten in persoonlijk bezit gebruikt volgens een BYOD-beleid (Bring Your Own Device). Certificaatgebaseerde authenticatie voor BYOD-apparaten vereist een ander registratiemodel dan voor apparaten die via MDM (Mobile Device Management) worden beheerd, omdat de MDM van de organisatie geen beheersbevoegdheid heeft over een apparaat in persoonlijk bezit en dus niet stilletjes een certificaat kan installeren via het MDM-profielmechanisme.

Voor BYOD-certificaatregistratie ondersteunt PKIaaS verschillende benaderingen, afhankelijk van wat het apparaat van de gebruiker ondersteunt:

• Door de gebruiker geïnitieerde SCEP-inschrijving via een registratieportaal: De gebruiker navigeert naar een door de organisatie aangeboden inschrijvingsportal, authenticeert zich met zijn IdP-gegevens (SSO of MFA) en de portal activeert een SCEP-inschrijvingsverzoek bij de PKIaaS-CA. Het certificaat wordt geïnstalleerd in de certificatenopslag van het persoonlijke apparaat van de gebruiker. De portal kan worden geïntegreerd met de IdP om MFA af te dwingen voordat certificaatinschrijving wordt toegestaan, zodat alleen geauthenticeerde gebruikers certificaten voor hun persoonlijke apparaten kunnen verkrijgen.
• Beperkte Workspace ONE- of Intune-inschrijving voor BYOD: Veel organisaties registreren BYOD-apparaten in een beperkt MDM-profiel dat alleen het werkprofiel (op Android) of alleen specifieke applicaties (op iOS) beheert, zonder volledig apparaatbeheer. In dit beperkte registratiemodel kan de MDM nog steeds certificaten leveren aan het werkprofiel of de beheerde app-sleutelbos, waardoor authenticatie op basis van certificaten voor bedrijfsbronnen mogelijk is zonder dat het persoonlijke apparaat volledig in het MDM hoeft te worden geregistreerd.
• BYOD-specifieke certificaatprofielen met beperkte toegang: De PKIaaS CA geeft BYOD-apparaatcertificaten uit via een aparte uitgevende CA of certificaatprofiel dat alleen wordt vertrouwd voor toegang tot BYOD-resources (een beperkt netwerk-VLAN, specifieke applicaties). Beheerde apparaatcertificaten van de MDM-inschrijvings-CA worden vertrouwd voor toegang tot bredere bedrijfsresources. Deze scheiding wordt afgedwongen op RADIUS- en applicatieniveau door te controleren welke uitgevende CA het authenticatiecertificaat heeft ondertekend.

Certificaatlevenscyclusbeheer voor personeelscertificaten

Certificaten voor medewerkers hebben andere vereisten voor levenscyclusbeheer dan TLS-servercertificaten. Een mislukte verlenging van een TLS-servercertificaat veroorzaakt een serviceonderbreking die voor alle gebruikers zichtbaar is. Een mislukte verlenging van een gebruikersauthenticatiecertificaat zorgt ervoor dat de VPN, wifi of e-mailondertekening van een individuele gebruiker niet meer werkt. De gebruiker meldt dit mogelijk niet direct en merkt het pas op wanneer de gebruiker zich buiten het kantoor bevindt en niet meer kan authenticeren.

Effectief CLM voor certificaten voor de beroepsbevolking vereist:

• Certificaatinventaris per gebruiker: Het CLM-platform beheert een inventaris die elk certificaat koppelt aan de gebruiker en het apparaat waarvoor het is uitgegeven, en niet alleen aan een generiek certificaattype. Wanneer een vervalwaarschuwing wordt geactiveerd, wordt deze doorgestuurd naar de manager van de gebruiker of de helpdesk met voldoende context om te bepalen welke gebruiker toegang heeft die in gevaar is.
• MDM-geactiveerde verlenging: Voor certificaten die via MDM worden gedistribueerd, moet de verlenging ook via het MDM-platform verlopen. Intune, Jamf en Workspace ONE ondersteunen elk SCEP-verlengingsverzoeken die door het MDM-platform worden geactiveerd voordat het certificaat verloopt. De PKIaaS CA verwerkt het verlengingsverzoek en het MDM levert het vernieuwde certificaat aan het apparaat zonder tussenkomst van de gebruiker.
• Integratie van nieuwe/verhuisde medewerkers: De certificaatlevenscyclus moet worden geïntegreerd met het in- en uitdiensttredingsproces van het HR-systeem. Wanneer een gebruiker in dienst treedt, moet de IAM-provisioningflow het aanvragen van VPN-, Wi-Fi- en S/MIME-certificaten bij PKIaaS via de MDM-inschrijving omvatten. Wanneer een gebruiker uit dienst treedt, moet de offboardingflow het intrekken van alle aan die gebruiker verstrekte certificaten omvatten. Intrekking door PKIaaS via de management-API of de CA-beheerdersinterface wordt binnen enkele seconden doorgegeven aan OCSP.
• Bevestiging van intrekking: Na het intrekken van de certificaten van een vertrokken gebruiker, moet het CLM-platform de intrekking bevestigen door de OCSP-status van elk ingetrokken certificaat te controleren en het tijdstempel van de bevestigde intrekking vast te leggen. Dit biedt het benodigde auditspoor om aan auditors en compliance-teams aan te tonen dat de toegang onmiddellijk na het vertrek van de gebruiker is beëindigd.

PKIaaS en Zero Trust Workforce Identity

De Zero Trust-architectuur vereist dat elk toegangsverzoek expliciet wordt geverifieerd en geautoriseerd, ongeacht de netwerklocatie. Certificaatgebaseerde authenticatie sluit naadloos aan bij de Zero Trust-principes, omdat het zorgt voor continue, cryptografische identiteitsverificatie zonder afhankelijk te zijn van vertrouwen in de netwerkperimeter.

• Identiteitsverificatie onafhankelijk van netwerklocatie: Een certificaat, uitgegeven door de PKIaaS CA van de organisatie, verifieert de identiteit van de gebruiker of het apparaat, ongeacht of het verzoek afkomstig is van het bedrijfsnetwerk, een thuiskantoor of een openbare wifi-verbinding. Het netwerk wordt niet vertrouwd; het certificaat wel.
• Tijdelijke toegangsbewijzen voor gevoelige gegevens: Bij Zero Trust-implementaties worden vaak kortstondige inloggegevens gebruikt voor gevoelige toegang om de kans op misbruik van inloggegevens te minimaliseren. PKIaaS ondersteunt het uitgeven van certificaten met een korte geldigheidsduur (24 tot 72 uur) voor tijdelijke sessies met bevoorrechte toegang. Het verlopen van het certificaat zorgt voor automatische beëindiging van de toegang zonder dat een expliciete intrekking vereist is.
• Handhaving van de apparaatpositie: Een PKIaaS-apparaatcertificaat kan alleen worden uitgegeven aan een apparaat dat het MDM-registratieproces succesvol heeft doorlopen. Een niet-beheerd apparaat kan via het MDM-registratieproces geen apparaatcertificaat verkrijgen van de PKIaaS-CA. RADIUS- en toegangscontrolesystemen die een geldig apparaatcertificaat vereisen voor netwerktoegang, dwingen daarom impliciet de status van beheerde apparaten af ​​zonder een aparte NAC-agent.
• Continue controle op intrekking: Zero Trust-toegangscontrolesystemen raadplegen OCSP voor de intrekkingsstatus van certificaten bij elk toegangsbeslissingsmoment, niet alleen bij de initiële authenticatie. PKIaaS OCSP-responders leveren realtime informatie over de intrekkingsstatus, zodat een ingetrokken certificaat bij de volgende toegangspoging niet werkt, zelfs als er eerder een sessie tot stand is gebracht.

Hoe encryptieconsultancy kan helpen

• PKI als een service: Encryptie Consulting's PKIaaS-aanbod Biedt de beheerde CA-infrastructuur voor alle soorten authenticatiecertificaten voor medewerkers: gebruikersauthenticatiecertificaten (TLS Client Auth EKU, UPN SAN) voor VPN en 802.1X, apparaatcertificaten voor beheerde netwerktoegang tot eindpunten, S/MIME-certificaten (Email Protection EKU, RFC 822 SAN) voor ondertekende en versleutelde e-mail en smartcard-aanmeldcertificaten (Smart Card Logon EKU, UPN SAN, NTAuthCertificates publishing) voor toegang met bevoorrechte toegang. Neem contact met ons op via Encryptie Consulting om de architectuur van uw personeelscertificaten te ontwerpen.
• CertSecure Manager: Encryptie Consulting's CertSecure Manager Biedt de CLM-zichtbaarheidslaag voor het beheer van de levenscyclus van certificaten voor medewerkers: certificaatinventaris per gebruiker, vervaldatumbewaking met op rollen gebaseerde waarschuwingsroutering, MDM-geïntegreerde verlengingsbevestiging, integratie met nieuwe/verplaatste medewerkers voor certificaatverstrekking en -intrekking, en OCSP-registratie van intrekkingsbevestigingen voor compliance-audit trails.
• PKI-services (MDM-integratie): Encryptie Consulting's PKI-diensten Dit omvat PKIaaS-integratie met Microsoft Intune (SCEP- en WSTEP-inschrijving), Jamf Pro (SCEP-gebaseerde levering van Apple-apparaatcertificaten) en VMware Workspace ONE (SCEP- en PKI-profielconfiguratie), inclusief het ontwerpen van certificaatprofielen voor elk gebruiksscenario, het oplossen van problemen met RADIUS en 802.1X SCEP, en het configureren van automatische inschrijving via Groepsbeleid voor Windows-domeinomgevingen.
• PKI-beoordelingsservice: Voor organisaties die een overstap overwegen van wachtwoordgebaseerde VPN- en Wi-Fi-authenticatie naar certificaatgebaseerde EAP-TLS, biedt Encryption Consulting de volgende oplossingen. PKI-beoordelingsservice Het evalueert de huidige authenticatiearchitectuur, identificeert de vereiste certificaattypen en -profielen, koppelt elk certificaattype aan het juiste MDM-inschrijvingsmechanisme en stelt een implementatieplan op voor het certificaatgebaseerde authenticatieprogramma.
• PQC-adviesdiensten: Authenticatiecertificaten voor medewerkers die gebruikmaken van ECDSA P-256- of RSA-2048-ondertekeningssleutels zijn onderworpen aan dezelfde NIST IR 8547-algoritme-uitfaseringstermijn als alle andere PKI-certificaten. Encryption Consulting's PQC Adviesdiensten Dit omvat de planning voor de migratie van certificaten voor medewerkers: vaststellen welke typen authenticatiecertificaten kunnen overstappen naar ML-DSA (FIPS 204) en welke het klassieke algoritme moeten blijven gebruiken in afwachting van bevestiging van de ondersteuning door de vertrouwende partij (RADIUS-server, smartcard-middleware, mobiel besturingssysteem).

Conclusie

Het authenticatieprobleem voor hybride werkomgevingen is in essentie een certificaatprobleem. Voor elke authenticatietoepassing die relevant is voor een gedistribueerde werkomgeving, zoals VPN-toegang vanuit huis, wifi-authenticatie op kantoor, versleutelde e-mail voor gereguleerde communicatie, bevoorrechte toegang met smartcardbeveiliging en beheerde apparaatidentiteit voor BYOD-governance, bestaat een op certificaten gebaseerde oplossing die beter bestand is tegen phishing, operationeel schaalbaarder is en beter traceerbaar dan de equivalente oplossing met wachtwoorden of OTP's.

PKIaaS maakt dit certificeringsprogramma operationeel haalbaar: een beheerde CA-backend die het juiste certificaattype voor elk gebruiksscenario uitgeeft, geïntegreerd met de MDM-platformen die certificaten naar apparaten distribueren, en bewaakt door de CLM-laag die ervoor zorgt dat certificaten geldig blijven en ze onmiddellijk intrekt wanneer dat niet meer nodig is. IAM- en infrastructuurteams die dit systeem ontwerpen en beheren, krijgen een authenticatielaag voor medewerkers die niet afhankelijk is van het onthouden van wachtwoorden door gebruikers, geen tussenkomst van de helpdesk vereist voor routinematige authenticatiegebeurtenissen en een auditspoor biedt van certificaatuitgifte tot intrekking dat wachtwoord- en OTP-systemen niet kunnen evenaren.

Als uw organisatie certificaatgebaseerde authenticatie overweegt voor VPN, wifi, e-mailbeveiliging of bevoorrechte toegang, neem dan contact op met Encryption Consulting.

Dit bericht wordt elke zes maanden herzien, en wel wanneer belangrijke MDM-platformen (Intune, Jamf, Workspace ONE) updates publiceren voor hun SCEP- of certificaatleveringsintegraties die van invloed zijn op de PKIaaS-inschrijvingsconfiguratie.

Veelgestelde Vragen / FAQ

Wat is authenticatie op basis van certificaten en hoe verschilt dit van authenticatie op basis van wachtwoorden?

Certificaatgebaseerde authenticatie bewijst de identiteit met behulp van een digitaal certificaat en de bijbehorende privésleutel. De privésleutel verlaat het apparaat nooit; authenticatie bewijst het bezit van de sleutel zonder een geheim te verzenden. Wachtwoorden vereisen het verzenden van een gedeeld geheim bij elke authenticatiepoging, waardoor ze kwetsbaar zijn voor phishing en onderschepping. Certificaten authenticeren stil en continu, zonder tussenkomst van de gebruiker na de eerste registratie, ongeacht de netwerklocatie van de gebruiker.

Hoe werkt EAP-TLS-certificaatverificatie voor VPN en Wi-Fi?

Bij EAP-TLS-authenticatie presenteert de client zijn certificaat aan een RADIUS-server (voor 802.1X Wi-Fi) of een VPN-gateway. De authenticatieserver verifieert de certificaatketen aan de hand van de vertrouwde PKIaaS-CA, controleert de intrekking via OCSP en verleent of weigert toegang. De client verifieert ook het certificaat van de server, wat zorgt voor wederzijdse authenticatie. Er wordt geen wachtwoord verzonden. PKIaaS levert de CA die clientcertificaten uitgeeft en de OCSP-responder die authenticatieservers raadplegen voor de intrekkingsstatus.

Welke certificaattypen geeft PKIaaS uit voor authenticatie van hybride werknemers?

PKIaaS geeft gebruikersauthenticatiecertificaten uit (TLS Client Auth EKU, UPN SAN) voor VPN en 802.1X, apparaatcertificaten (TLS Client Auth EKU, device FQDN SAN) voor beheerde netwerktoegang tot eindpunten, S/MIME-certificaten (Email Protection EKU, RFC 822 email SAN) voor ondertekende en versleutelde e-mail en smartcard-aanmeldingscertificaten (Smart Card Logon EKU plus Client Auth EKU, UPN SAN) voor bevoorrechte Windows-domeinaanmelding. Elk type heeft een afzonderlijk certificaatprofiel in PKIaaS met de bijbehorende beperkingen voor dat specifieke gebruiksscenario.

Hoe integreert PKIaaS met Microsoft Intune voor de distributie van certificaten?

PKIaaS integreert met Intune via SCEP (voor Windows, macOS, iOS en Android) en WSTEP (voor Windows-apparaten die via Active Directory-automatische inschrijving lid zijn van een domein). SCEP Intune-profielen verwijzen naar het PKIaaS SCEP-eindpunt en sjabloonvariabelen voor de velden 'Onderwerp' en 'SAN' van het certificaat. Ingeschreven apparaten vragen automatisch certificaten aan als onderdeel van de toepassing van het Intune-nalevingsprofiel, waarna het certificaat zonder tussenkomst van de gebruiker in het certificaatarchief van het apparaat wordt geïnstalleerd.

Wat is S/MIME en hoe ondersteunt PKIaaS dit voor de beveiliging van e-mail op de werkvloer?

S/MIME gebruikt certificaten voor digitale ondertekening van e-mails (waarmee de identiteit van de afzender en de integriteit van het bericht worden bewezen) en end-to-end-versleuteling (waarbij de inhoud van de e-mail wordt versleuteld, zodat alleen de ontvanger met de bijbehorende privésleutel deze kan decoderen). PKIaaS geeft S/MIME-certificaten uit met de Email Protection EKU en het e-mailadres van de gebruiker in het SAN RFC 822-veld. Certificaten worden via MDM-profielen of automatische inschrijving in Active Directory aan e-mailclients gedistribueerd. Voor versleuteling worden de S/MIME-certificaten van de ontvanger gepubliceerd in Active Directory of LDAP, zodat de e-mailclients van de afzenders deze automatisch kunnen vinden.