Glossar

Zertifikatsbasierte Authentifizierung

Bei zertifikatsbasierter Authentifizierung weist sich ein Gerät oder ein Nutzer mit einem digitalen Zertifikat und dem zugehörigen privaten Schlüssel aus, statt mit einem Passwort. Auf mobilen Geräten ist das der saubere Weg für WLAN, VPN und Zugriff auf interne Dienste, weil niemand etwas eintippen kann und damit auch nichts weitergeben kann.

So funktioniert es

Eine Zertifizierungsstelle stellt ein Zertifikat aus, das den Inhaber benennt und den öffentlichen Schlüssel enthält. Der private Schlüssel entsteht auf dem Gerät und verlässt es nicht: Auf iPhones liegt er in der Secure Enclave, auf Android im Hardware-Keystore oder im StrongBox-Element, auf Windows im TPM. Beim Anmelden signiert das Gerät eine Aufforderung, der Gegenüber prüft die Signatur gegen die Vertrauenskette.

Die Verteilung ist der Teil, der ohne MDM nicht funktioniert. Über SCEP oder über ACME, das Apple seit iOS 16 für Geräteattestierung unterstützt, beantragt das Gerät sein Zertifikat bei Ihrer Zertifizierungsstelle, und das MDM liefert die Konfiguration dafür: Profil, Vorlage, Gültigkeit, Verwendungszweck. Das Gegenstück in der Microsoft-Welt heißt PKCS-Zertifikat über einen Connector zur internen Zertifizierungsstelle.

Zwei Betriebsthemen entscheiden über Erfolg. Erstens die Erneuerung: Ein Zertifikat mit einem Jahr Laufzeit muss automatisch vor Ablauf ersetzt werden, sonst stehen an einem Dienstagmorgen 200 Geräte ohne WLAN. Richtige MDM-Profile erneuern ab etwa 80 Prozent der Laufzeit. Zweitens der Widerruf: Wenn ein Gerät ausscheidet, muss das Zertifikat auf die Sperrliste oder über OCSP als ungültig gemeldet werden, sonst funktioniert der Zugang weiter, obwohl das Gerät nicht mehr Ihnen gehört.

Warum es für eine Flotte wichtig ist

Ein geteiltes WLAN-Passwort für die Firmenflotte ist der Klassiker unter den ungelösten Risiken. Es steht nach drei Monaten in einer Notizen-App, in einem Chat und auf einem Zettel im Lager. Mit Zertifikaten und WPA2-Enterprise oder WPA3-Enterprise hat jedes Gerät seinen eigenen Nachweis, und der Ausschluss eines Geräts betrifft kein anderes.

Für Zero-Trust-Architekturen liefert das Gerätezertifikat den Besitznachweis, auf dem Zugriffsentscheidungen aufbauen. Kombiniert mit dem Konformitätsstatus aus dem MDM haben Sie zwei unabhängige Aussagen über das Gerät, und beide bekommt der Nutzer nicht durch Phishing her.

Aufwand ehrlich benannt: Sie brauchen eine funktionierende PKI, sei es eine eigene Zertifizierungsstelle oder ein Dienst wie SCEPman oder eine gehostete Variante. Wer noch keine hat, sollte diesen Aufbau als eigenes Projekt planen und nicht als Nebenprodukt des MDM-Rollouts.

So handhabt es Appaloosa

Appaloosa verteilt Zertifikate an registrierte iOS-, Android-, Windows- und macOS-Geräte, bindet sie an WLAN-, VPN- und Per-App-VPN-Profile, erneuert sie vor Ablauf und entzieht sie beim Ausscheiden eines Geräts zusammen mit den Arbeitsdaten. Zusammen mit der laufenden Konformitätsprüfung ergibt das das Gerätesignal, das auf der Seite Mobile Device Management beschrieben ist.

Entdecken

Die ganze Plattform

Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.

Appaloosa entdecken →

Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen

Häufige Fragen

Brauche ich eine eigene PKI?

Sie brauchen eine Zertifizierungsstelle, entweder eine eigene oder einen gehosteten Dienst. Für reine Geräteauthentifizierung an WLAN und VPN genügt oft eine schlanke, auf diesen Zweck beschränkte Lösung. Eine vollständige Unternehmens-PKI ist nur nötig, wenn Sie auch Signatur und Verschlüsselung von Dokumenten abdecken.

Was passiert, wenn ein Zertifikat abläuft?

Das Gerät verliert den Zugang zu allem, was daran hängt, meist WLAN und VPN gleichzeitig. Deshalb muss die automatische Erneuerung vor Ablauf im Profil konfiguriert und einmal im Pilotbetrieb nachgewiesen sein. Verlassen Sie sich nicht darauf, dass Nutzer eine Warnung melden.

Ist ein Gerätezertifikat ein Faktor für MFA?

Es ist ein Besitznachweis und wird von gängigen Identitätsanbietern als Bedingung oder als Faktor akzeptiert. Für administrative Konten sollten Sie trotzdem zusätzlich einen phishing-resistenten Nutzerfaktor wie FIDO2 verlangen, weil ein Gerätezertifikat nicht belegt, wer das Gerät gerade bedient.