SCEP

So funktioniert es

Der Ablauf ist kurz. Das MDM schiebt eine SCEP-Payload auf das Gerät: die URL des SCEP-Servers, ein Challenge-Passwort und die Felder, die das Zertifikat tragen soll (Seriennummer, Benutzername, Abteilung). Das Gerät erzeugt lokal ein Schlüsselpaar, baut einen Signierungsantrag und schickt ihn mit der Challenge an den SCEP-Server. Der Server prüft die Challenge, leitet den Antrag an die CA weiter und liefert das signierte Zertifikat zurück. Der private Schlüssel verlässt das Gerät nie.

SCEP entstand Ende der 1990er bei Cisco und wurde erst im September 2020 als RFC 8894 formalisiert. Es ist bewusst einfach: HTTP-Transport, PKCS#7-Umschläge, Challenge über ein gemeinsames Geheimnis. Diese Einfachheit ist der Grund, warum jedes MDM und die meisten Unternehmens-CAs (Microsoft NDES, EJBCA, DigiCert, Smallstep) es unterstützen.

Die größte Schwäche ist das Challenge-Passwort. Ist es statisch und wird bekannt, kann jeder ein Zertifikat anfordern. MDM-Systeme erzeugen deshalb pro Gerät eine einmalige Challenge oder nutzen eine dynamische Challenge der CA.

Warum es für eine Flotte wichtig ist

Passwörter skalieren auf Mobilgeräten nicht. Ein Nutzer, der das WLAN-Passwort auf drei Geräten eintippt, es alle 90 Tage ändert und dem neuen Praktikanten weitergibt: So werden Unternehmensnetze offen. Ein Zertifikat pro Gerät ersetzt das alles. Das Gerät meldet sich per 802.1X EAP-TLS an, der RADIUS-Server prüft das Zertifikat, und niemand tippt etwas.

Dasselbe Zertifikat kann den VPN-Client authentifizieren, S/MIME-Mails signieren und das Gerät gegenüber internen Webanwendungen ausweisen. Widerrufen Sie es, verliert das Gerät alles auf einmal. Genau das wollen Sie, wenn ein Telefon verloren geht.

Zertifikate laufen zudem ab, meist nach ein oder zwei Jahren. Ohne automatisiertes Enrollment-Protokoll bedeutet jede Verlängerung ein Helpdesk-Ticket pro Gerät. Mit SCEP erneuert das MDM vor Ablauf, und der Nutzer merkt nichts. Das BSI empfiehlt für Endgerätezertifikate kurze Laufzeiten, was nur mit dieser Art Automatisierung tragbar ist.

So handhabt es Appaloosa

Appaloosa verteilt SCEP-Profile auf iOS, iPadOS, macOS und Android als Teil eines Konfigurationsprofils, zusammen mit der WLAN- oder VPN-Payload, die das erhaltene Zertifikat nutzt. Sie geben Ihren SCEP-Server, die Subject-Vorlage und die Schlüssellänge an (mindestens RSA 2048 Bit, ECC wo die CA es erlaubt), und jedes Gerät bekommt bei der Einschreibung automatisch sein eigenes Zertifikat.

Die Konsole zeigt, welche Geräte ein gültiges Zertifikat besitzen und wann es abläuft. Die Verlängerung wird damit zu einer geplanten Aufgabe in Ihrem Mobile Device Management statt zur Überraschung an einem Montagmorgen, wenn 200 Geräte aus dem WLAN fallen.