基於憑證的 WiFi 驗證：EAP-TLS 指南
Published
有人即將離職，您的團隊正在決定是否要再次變更員工的 WiFi 密碼。變更密碼意味著需要重新連接筆記型電腦、手機、櫃檯平板電腦，以及沒有人記得曾設定過的設備。如果不去管它，就意味著接受組織外部的人依然知道如何連線。
基於憑證的 WiFi 驗證提供更好的方式來識別受信任的裝置。但這也改變了您團隊所需執行的工作：您將需要管理信任鏈、憑證更新、撤銷，以及處理封存閒置數月之久的裝置，而非散播密碼。安全性提升是顯著的，但要可靠營運，單靠在無線設定檔中選擇 EAP-TLS 是不夠的。
目錄
- 憑證型WiFi驗證的意義
- 逐步瞭解 EAP-TLS 握手運作方式
- 憑證與共用密碼及 PEAP 之比較
- 透過 MDM 建立 CA 並佈署憑證
- 管理從核發到續約的憑證生命週期
- 在裝置遺失或人員離職時撤銷存取權限
- 裝置資格與例外狀況規劃
- 在推廣前確認您的憑證計畫
基於憑證的 WiFi 驗證代表的意義
基於憑證的 WiFi 驗證以個別數位憑證取代了共用的 WiFi 密碼，網路會在授予存取權限前檢查該憑證。這就像共用辦公室大門密碼與員工識別證的差別。使用密碼時，每個人只需證明自己知道同一個秘密；使用識別證時，安全櫃檯則能識別特定憑證，並能獨立將其註銷。
假設一部受管筆記型電腦需要存取員工網路。它的憑證會識別該裝置或其指定的使用者，而其受保護的私密金鑰則能證明它持有該憑證。憑證本身並非秘密密碼，僅複製公用憑證並無法取得對應的私密金鑰。
此圖表顯示個別憑證如何取代共用密碼。
元件適用的位置
底層架構為 IEEE 802.1X，最初是為有線以太網路開發，後來改編用於無線區域網路。Microsoft 的 IEEE 802.1X 驗證概觀中，詳細描述了此架構以及透過 RADIUS 進行集中驗證的角色。
無線基地台負責控制准入，而 RADIUS 服務則評估驗證要求。EAP-TLS 是透過該機制進行的憑證驗證方法。裝置和驗證伺服器在建立連線的金鑰材料之前，會先互相進行驗證。
保持以下組件互相獨立：
- 裝置憑證：用於識別端點或使用者，並與裝置持有的私鑰相配合。
- 驗證伺服器憑證：讓裝置能夠驗證其正在與經核可的驗證服務進行通訊。
- 憑證授權單位：簽發雙方均可透過明確信任的憑證鏈進行驗證的憑證。
裝置與伺服器不一定需要來自同一簽發機構的憑證。重點在於雙方都信任合適的簽發者，並套用正確的驗證政策。
實用原則： 請將憑證視為網路身分識別系統，而非複雜的密碼。
這種區別改變了您處理遺失筆記型電腦的方式。您可以撤銷該筆記型電腦的憑據，而不需要替換其他所有人設備上的憑據。然而，擁有有效憑證僅能確認身份，並不代表擁有無限的存取權限。您的存取權限策略仍需要決定該身份可以存取哪些資源。
EAP-TLS 握手協議逐步運作方式
連線涉及裝置的用戶端 (supplicant)、作為驗證器的無線基地台，以及驗證伺服器。用戶端是負責處理企業網路驗證的作業系統元件。
此簡化流程僅顯示主要交接步驟，而非每個協定訊息。
追蹤資料交換歷程及其潛在故障點
此交換過程所基礎的雙向身分驗證與金鑰衍生，均已定義於 EAP-TLS 規格（RFC 5216） 中。
裝置與無線基地台建立關聯。 開始進行企業驗證交換並提供身份識別。單憑建立關聯並不會授予正常的網路存取權限。不正確的無線安全性設定可能會完全阻止裝置進行憑證驗證。
無線基地台將 EAP 訊息轉發至 RADIUS。 它會傳送終端與驗證服務之間的交換資訊，而非由其本身發行裝置憑證。RADIUS 連線問題或未正確註冊的無線基地台可能會使交換在此中斷。
伺服器出示其憑證。 裝置會檢查憑證鏈、有效性及預期的伺服器身份。未受信任的發行者、不完整的憑證鏈或未預期的伺服器名稱，應會導致裝置拒絕連線。
裝置出示其用戶端憑證。 伺服器會驗證憑證、檢查適用的撤銷資訊並評估身份。缺少憑證或無法存取私密金鑰，在使用者端可能看起來像是一般連線失敗，即使伺服器記錄檔顯示的是特定原因。
TLS 交換建立共享金鑰材料。 終端必須證明持有其私密金鑰，而不僅僅是出示憑證檔案。即使兩個憑證在其他方面皆有效，不相容的密碼化設定仍可能阻止完成流程。
RADIUS 回傳驗證結果與原則屬性。 接受驗證可包含 VLAN 指派或其他支援授權屬性。驗證成功後若連線無法使用，可能表示存在 VLAN 或下游原則問題，而非憑證問題。
設定用戶端以驗證伺服器
在用戶端設定檔中，明確選擇 EAP-TLS、設定受信任的 CA 並指定預期的 RADIUS 伺服器名稱。請保持啟用伺服器憑證驗證。切勿讓使用者為了上網而繞過警告。
在與團隊討論此交換過程時，可搭配協定流程使用此影片。
每一次連線均取決於驗證時憑證是否存在、可否存取且是否有效。因此，疑難排解需要來自用戶端與 RADIUS 的證據，而不僅僅是顯示用戶端連線失敗的無線基地台儀表板。
憑證與共用密碼及 PEAP
的比較WiFi 驗證方式是否符合相同標準
| 方法 | 裝置上的憑證 | 撤銷範圍 | 可追溯性 | 設定工作量 |
|---|---|---|---|---|
| 共享 WPA2 或 WPA3-Personal 密碼短語 | 每位使用者皆知曉的單一密碼短語 | 會為所有人變更金鑰 | 共享憑證本身無可追溯性 | 低 |
| WPA2-Enterprise 搭配 PEAP-MSCHAPv2 | 每位使用者各自的帳號與密碼 | 停用單一帳號 | 按使用者劃分 | 中 |
| WPA2 或 WPA3-Enterprise 上的 EAP-TLS | 每台裝置獨立的用戶端憑證與私密金鑰 | 撤銷單一憑證 | 對應時可按裝置與使用者劃分 | 高，需要 PKI 與託管佈署 |
| WPA3-Enterprise 192 位元搭配 EAP-TLS | 符合設定檔密碼化要求的憑證 | 撤銷單一憑證 | 對應時可按裝置與使用者劃分 | 高，外加密碼相容性檢查 |
EAP-TLS 並非等同於 WPA3。 WiFi Alliance 認證記錄 在支援的企業驗證方法中標明了 EAP-TLS。憑證驗證是一種企業驗證選擇，而 WPA 設定檔同時也決定了無線安全性的規範與要求。
比較憑證實體，而非僅看名稱標籤
共用通行密語只能證明掌握了共同的秘密，無法確認是由哪位員工提供，即使網路設備仍可記錄連線詳細資料。員工離職會變得十分棘手，因為更換憑證意味著必須更新所有使用該密語的裝置。
PEAP-MSCHAPv2 改用個別的使用者名稱和密碼。它使用伺服器驗證的 TLS 通道來保護內部驗證交換，因此適當的伺服器驗證仍然非常重要。它能提供有用的個別使用者記錄，但密碼變更和帳號問題仍屬於無線網路支援的一部分。
使用 EAP-TLS 時，終端裝置在驗證期間會使用其憑證與金鑰，而非帳號密碼。只要資產清單能正確將憑證對應至終端裝置與擁有者，管理者就能擁有特定裝置的憑證來進行管理。
選擇您的團隊確實能夠營運其憑證生命週期的驗證方式，而非單純選擇控制器選單中標示最強大的選項。
將方法與受眾群體互相配對
在注重個人存取權撤銷與權責歸屬的受控員工存取情境中，共用密語並非良好的預設選項。即使是針對訪客和低風險設備，共用密碼也需要明確的分發與定期更換政策。
憑證非常適合受管控的筆記型電腦和手機，因為您可以透過現有的管理系統進行發放。較高保證等級的企業設定檔會增加相容性設定工作，但不會減少任何生命週期管理責任。PEAP 可以保留作為過渡時期的遷移選項（適用於存在個別帳號但憑證發放尚未就緒的情況），而不應成為無限期延後基於身分存取設計的藉口。
建立 CA 並透過 MDM 部署憑證
易於管理的部署始於權責明確的公鑰基礎設施 (PKI)。常見的階層架構會保持根憑證授權單位 (Root CA) 離線，並使用發行 CA 來進行日常憑證發行。託管式 PKI 服務可以實現這些角色，無需您的團隊在在地端維運每個元件。
簽發 CA 會簽署裝置與伺服器憑證。RADIUS 必須信任用戶端憑證鏈，而端點則必須信任相應的伺服器鏈。請勿假設安裝根憑證就會自動設定其餘的 WiFi 策略。
在簽發憑證前先選擇設定檔
裝置範本需要用戶端驗證用途、您策略可解析的裝置或使用者身分，以及受您續期與復原設計所規範的有效期限。
依安全性等級劃分的憑證設定檔
| 設定檔 | 金鑰與演算法 | 典型效期 | 適用情境 |
|---|---|---|---|
| 標準受控筆電或手機 | 全車隊支援的組織核准演算法 | 依續約與復原策略設定 | 採用 WPA2-Enterprise 的混合裝置車隊 |
| 更嚴格的受控裝置 | 經端點測試後核准的更強範本 | 依策略與續約能力設定 | 採用現行韌體的現代化車隊 |
| WPA3-Enterprise 192 位元 | ECDSA P-384 或 RSA 3072 以上 | 依策略與續約能力設定 | 經相容性測試後的更高安全保證場域 |
| 無介面 (Headless) 或舊型裝置 | 通常不支援 | 廠商支援的生命週期或例外到期日 | 例外管道 |
WiFi Alliance 部署指南 明確指出，WPA3-Enterprise 192 位元模式會將身份驗證限制為 EAP-TLS，並使用包含 P-384 橢圓曲線參數或至少 3072 位元 RSA/DH 模數大小的 AES-256-GCM 套件。因此，表中的更高安全保證設定檔必須對照所選的完整套件進行檢查，而非僅檢查憑證的金鑰標籤。
憑證範本、RADIUS 軟體、用戶端（supplicant）與密碼編譯提供者必須保持一致。支援一般 EAP-TLS 的端點在此更嚴格的設定檔下仍可能失敗。
同步部署信任關係、憑證與組態設定
使用 SCEP 時，管理設定檔會引導裝置產生金鑰對並請求憑證。憑證授權單位（CA）會對該請求進行數位簽署；裝置則將其私鑰保留在受保護的儲存空間中。請勿將相同的用戶端憑證與私鑰散佈給多台機器。
依控管順序部署相依項目：
- 先建立信任： 安裝所需的受信任 CA 憑證。
- 再交付憑據： 交付 SCEP 設定並確認順利簽發。
- 最後設定無線設定檔： 參照預期的用戶端憑據與伺服器驗證設定。
保持相依設定檔之間的群組目標設定一致。在標準化部署前，請使用 MDM WiFi 憑證設定檔比較表 來審視平台差異。此外，請提供一個不依賴該裝置仍試圖取得之憑證的註冊連線。
管理從簽發到續期的憑證生命週期
今天成功連線的筆記型電腦，在放在櫃子裡度過續約期後可能會連線失敗。無線基地台運作正常、密碼沒有變更，使用者也沒有做錯任何事，但終端裝置已不再擁有可接受的憑證。
NIST 的 EAP 需求指南 說明了憑證必須在驗證前完成佈署、在交換過程中可用且可被驗證（包括撤銷狀態）。這些需求使生命週期相依性成為網路可用性的一部份。
此時間軸有助於在初始部署之後指派負責人。
為每個階段提供營運控制措施
| 階段 | 控制措施 | 防範的失敗狀況 |
|---|---|---|
| 註冊 | 監控 MDM 註冊與設定檔派送 | 裝置從未收到註冊指令 |
| 簽發 | 驗證範本權限與請求結果 | 憑證中心 (CA) 拒絕請求或簽發無法使用的憑證 |
| 部署 | 確認安裝與受保護的私鑰存取權 | 憑證存在，但請求端 (supplicant) 無法使用 |
| 更新 | 提早啟動、監控完成情況並允許經過測試的重疊期 | 裝置已到期卻沒有替換憑證 |
| 到期 | 警示所有者並提供受限的復原管道 | 到期裝置無法進行復原 |
| 報廢 | 撤銷憑證並移除過期的資產清單條目 | 報廢設備仍保留受信任的身分 |
續期需要完成證明，而不僅僅是啟用自動化設定。請追蹤替代憑證是否已簽發、安裝並成功使用。在重疊期間，請確認請求方選擇了適當的憑據，而不是反覆選擇已廢棄的憑據。
針對未上線的裝置進行規劃
請根據實際的裝置行為來設定續期時間區間。季節性使用或作為備用的設備，其復原流程可能需要與每天回報狀態的筆記型電腦有所不同。切勿假設離線端點只要舊憑證仍列在 MDM 中就能順利續期。
維持一份資產清單，連結憑證序號、終端裝置識別碼、擁有者、簽發者、到期日與續約狀態。請包含簽發 CA 與驗證伺服器憑證，因為更換這些憑證可能會影響更廣泛的使用者群。
順利執行的續期工作，並不等於裝置能使用替換後的憑證完成驗證。
測試系統時間錯誤、作業系統重置以及 CA 鏈變更。重置可能會刪除私鑰；系統時間錯誤可能會使有效的憑證顯示為尚未生效；鏈變更可能會使端點失去所需的信任。
將涉及 MDM、PKI 和網路服務的失敗指派給指定的負責人。否則，各團隊可能會報告自己的系統很正常，但端點卻依然處於斷線狀態。EAP-TLS 會將停機風險轉變為資產盤點、自動化和依賴關係管理的問題。它並不會消除該風險。
在裝置遺失或人員離職時撤銷存取權限
離職者的目錄帳號已被停用，但其筆記型電腦仍持有未過期的憑證。該裝置能否重新連線，取決於您的授權整合與撤銷控制。停用帳號與撤銷憑證是不同的操作，除非您設定的工作流程有明確將兩者連結。
從營運的角度定義離職出清結果：新的驗證必須失敗、註冊程序不得發放替代憑證，且現有工作階段必須透過受支援的機制結束。完成的人資工單並不代表已達成上述任何結果。
瞭解狀態檢查項目
憑證廢止清單（CRL）會發布簽發者已撤回的憑證。線上憑證狀態協定（OCSP）則允許驗證者向回應者查詢憑證狀態。
驗證憑證的元件會套用相關的狀態檢查策略。針對用戶端憑證，這通常是驗證服務，而非基地台。若無法取得狀態資訊，故障關閉 (fail-closed) 策略可能會阻擋原本有效的裝置；而故障開放 (fail-open) 策略則可能會接受無法確認撤銷狀態的憑證。
請明確做出該選擇。在您的測試中應納入快取狀態資訊、發布延遲和回應者可用性，而非假設點擊「撤銷」就能立即改變每個身分驗證決策。
使用完整的裝置遺失處理程序
針對遺失的筆記型電腦，請協調各項處理行動，而不是將每項行動視為各別團隊的最後步驟：
- 識別並撤銷憑證。 將端點與其真實的憑證序號進行比對，並撤銷相關憑證。
- 防止重新核發。 停用裝置的註冊資格，並套用適當的 MDM 退役或移除程序。
- 終止作用中存取。 使用支援的會話中斷控制項，包括基礎架構支援時的 RADIUS 授權變更 (Change of Authorization)。
- 驗證結果。 確認會話已結束，且新的身份驗證嘗試已被拒絕。
單憑撤銷憑證並不一定能終止已建立的無線連線工作階段。在不支援中斷連線機制的設備上，該工作階段可能會持續運作，直到重新連線、重新驗證或達到另一個強制執行的工作階段邊界為止。請在事件處理程序中記錄此限制。
您的稽核記錄應包含：
- 憑證識別資訊： 裝置識別碼、憑證序號及關聯的擁有者。
- 決策事證： 撤銷原因、操作人員及執行時間。
- 執行事證： 會話終止時間及隨後的拒絕結果。
- 未完結暴露風險： 任何無法強制終止的會話，以及所採取的遏制行動。
排定廢止演練時程。除了例行營運測試外，在身分驗證政策變更後也應執行演練，以免在實際發生裝置遺失事件時，才首次嘗試驗證整個流程。
裝置適用性與例外情況規劃
裝置類型及其對 EAP-TLS
的適用性| 裝置類別 | EAP-TLS 適合度 | 常見替代方案 | 關鍵提問 |
|---|---|---|---|
| 受管筆記型電腦與手機 | 強 | 無需替代方案，使用 MDM 註冊 | MDM 註冊是否可靠？ |
| 企業平板電腦與 Kiosk 機台 | 透過 MDM 管理時良好 | 獨立使用 Kiosk 專用金鑰 SSID | 私鑰是否能存放於安全儲存區？ |
| 無介面 IoT 感測器 | 若無合適韌體則較差 | 在隔離的 VLAN 上使用單一裝置金鑰 | 韌體是否支援 802.1X？ |
| 會議室系統、視訊與會議設備 | 視廠商支援度而定 | 搭配單一裝置金鑰的專用 SSID | 廠商是否能安裝並更新憑證？ |
| 醫療裝置 | 通常有限 | 採用廠商認可方式的分段網路 | 裝置是否通過此方式的認證？ |
| 舊版作業系統端點 | 缺乏所需功能時不支援 | 具備時間限制例外條款的隔離 VLAN | 例外條款將於何時進行審查？ |
根本的限制在於每個EAP-TLS用戶端都需要自己的憑證，而不僅僅是信任伺服器。NIST 的無線網路指南 將這種用戶端憑證需求與僅限伺服器的憑證驗證做了區分。
因此，裝置需要具備正常運作的用戶端、適當的金鑰保護，以及受支援的憑證接收與更換方式。僅在規格表上標註「支援企業級 WiFi」並不足以證明具備這些功能。
測試完整的裝置生命週期
針對會議室系統，請要求廠商示範憑證安裝、續簽以及恢復原廠設定後的復原流程。僅支援憑證上傳的 Web 介面可能只解決了初始匯入問題，卻未解決後續維護問題。
針對醫療與營運設備，請維持廠商的支援需求。切勿單純因為同一製造商的其他產品支援某種身分驗證方法，就逕行變更正式環境裝置的身分驗證方法。
個人裝置需要獨立的資格判定。在要求使用者註冊之前，您的 BYOD 註冊設計 應先確立哪些管理或設定檔安裝是可以接受的。
縮小例外情況範圍並明確責任
無法使用憑證的裝置不應繼承受控員工筆記型電腦的存取權限。請為其替代憑證指定明確的擁有者，並限制網路僅能存取必要的目的位址。
記錄每個例外情況的以下資訊：
- 技術原因： 缺失的功能或廠商限制，並有組態檢查佐證。
- 補償控制項： 網路隔離、允許的服務，以及可單獨撤銷的替代方案。
- 審查日期： 排定續約、變更或移除例外的決策日期。
- 替代計畫： 能終止此例外的韌體升級、支援的就緒 (onboarding) 方法或硬體更換。
請避免將臨時隔離網路變成未識別設備的永久落腳處。沒有負責人或退出條件的例外情況，會變成未經記錄的存取策略。可防禦的做法並非不計代價地使用憑證，而是在實施強大的受控裝置驗證之餘，搭配經過深思熟慮且受限的替代方案。
在正式推廣前確認您的憑證計畫
成功的示範代表健康的筆記型電腦可以順利連線。而實用的試行計畫則能展示當註冊失敗、憑證過期、裝置撤回以及相依性不可用時會發生的狀況。請確認並核准整個營運模式，而不僅僅是第一次成功的交握。
在變更正式環境存取權之前，請先選擇試行站點並確認適用範圍內的裝置類別。請盤點基地台功能、 supplicant 行為與韌體版本。如果需要更高安全保證的設定檔，請針對具代表性的端點驗證選定的憑證範本、憑證鏈檢查以及延伸金鑰用途。
具體落實本週的就緒度審查
使用此檢核表找出未明確指定負責人的項目與未經測試的假設。
- 確認裝置支援度： 驗證範圍內的每部裝置皆能儲存並使用受保護的私鑰，而不僅僅是匯入憑證。
- 確認信任與更新： 為 CA 鏈、註冊服務、更新監控與復原路徑指派負責人。
- 測試強制執行： 演示接受、拒絕、撤銷以及支援的即時工作階段中斷。
- 核准例外情況： 為每個不受支援的類別提供受限的替代方案、明確的負責人與審查日期。
- 設定可執行的警示： 將即將到期與更新失敗事件路由至能夠解決問題的人員。
請使用可重複執行的 RADIUS 驗證測試程序，以便工程師收集具可比性的證據。記錄用戶端狀況、預期結果、實際結果以及相關的失敗代碼。
依可支援性評估試點計劃
在現有網路旁平行運作憑證路徑，並制定明確的回滾程序。包含遠端註冊、重建的終端裝置、離線備用機，以及資訊服務台支援的作業系統。請勿僅選擇最近剛佈署的筆記型電腦。
審查服務台工單時請一併比對身分驗證記錄。將憑證失敗與無線訊號涵蓋範圍、位址分配及 VLAN 問題區隔開來，避免團隊為了修復無關的故障而重新設計 PKI。
試行驗收應代表受管理的裝置通常能在無須使用者干預的情況下加入，失敗原因均已具名標示，且能展現存取權限的撤銷。請保留成功與拒絕嘗試的證據，並附帶足夠的身分上下文資訊以解釋該決策。
請在開始試行前設定好審查日期。本週內請確認站點、裝置類別、負責人與驗收標準，待團隊解決失敗案例並證明修復能力後再行擴充。擁有可靠的續期與撤銷機制的較小規模推廣，比起無人能有把握修復的廣泛部署，是更穩固的基礎。
Purple Access 可在您現有的基地台上，透過 MDM 發送的 EAP-TLS 為員工提供基於憑證的 WiFi，同時提供訪客與單一裝置的存取功能。請造訪 Purple Access 以規劃單一站點的試行計畫、驗證憑證與例外路徑，並在擴大部署前根據支援工單與稽核憑據評估結果。
