Sophos Mobile: gestire Wi-Fi e certificati per Windows

In breve: Per un dispositivo Windows già gestito in Sophos Mobile, creare una policy pilota dedicata in Policies > Windows, aggiungere le configurazioni Wi-Fi e, se necessarie, Root certificate, Client Certificate o SCEP, salvarla e assegnarla a un solo dispositivo di test. Prima, mantenere un accesso indipendente dalla nuova rete Wi-Fi e la connessione funzionante precedente. Poi verificare sul dispositivo sia la connessione sia l’accesso a Sophos Mobile. Il salvataggio della policy non dimostra ancora che il dispositivo abbia acquisito il nuovo profilo.

Questa procedura riguarda Sophos Mobile MDM per computer Windows già registrati, non l’agente Sophos Endpoint, la configurazione VPN di Sophos Firewall o il client Sophos Connect. Le pagine relative alle policy Windows documentano le configurazioni, ma non dimostrano il supporto di ogni build ed edizione di Windows. Prima di un’assegnazione in produzione, verificare separatamente, per il dispositivo specifico, l’edizione e la build di Windows, lo stato del supporto Microsoft (inclusa un’eventuale idoneità ESU necessaria), la modalità di registrazione in Sophos Mobile e la compatibilità Sophos attuale. Il supporto per Windows 10 non è garantito qui. Non sono stati eseguiti test sul tenant o sul dispositivo.

Prima di intervenire

Verificare che il dispositivo specifico sia già registrato in Sophos Mobile, che Policies > Windows e le configurazioni necessarie siano disponibili nel proprio tenant e che la persona responsabile abbia autorizzato l’assegnazione. La registrazione è una procedura distinta; la presenza di un agente Endpoint non la sostituisce.
Concordare SSID, autenticazione, catena di attendibilità esistente e identità utente o dispositivo necessaria con i responsabili Wi-Fi/PKI. Un profilo di test WPA2-Personal non sostituisce 802.1X con certificati. La schermata manuale Wi-Fi documenta solo WPA (Personal) e WPA2 (Personal). Per altre connessioni esistenti, Sophos descrive l’importazione di un profilo XML precedentemente esportato da Windows; l’idoneità della rete Wi-Fi specifica va verificata sul dispositivo pilota.
Predisporre per il test un secondo percorso di rete funzionante, per esempio una connessione cablata autorizzata, e l’accesso locale. Se il Wi-Fi è l’unico percorso di gestione, non rimuovere prima il profilo precedente o la CA precedente. Concordare un secondo accesso e individuare un responsabile del ripristino.
In Restrictions, non attivare Forbid manual configuration per questo test: secondo Sophos, quando viene applicata elimina i profili Wi-Fi esistenti configurati dagli utenti e quelli di Wi-Fi Sense. Inoltre, l’intera configurazione Restrictions non è applicabile a Windows Pro. Anche Disable VPN settings blocca soltanto le impostazioni di Windows: non configura una VPN.
Per i certificati, far approvare la CA emittente, la validità, il Target store desiderato e la modalità consentita di archiviazione della chiave. Un certificato radice è un’ancora di attendibilità, non un certificato client. Attivare Key is exportable solo se esiste una necessità motivata; una chiave privata e un file Wi-Fi esportato non devono finire in ticket, chat o archivi pubblici.

Configurare la policy e il Wi-Fi sul dispositivo pilota

In Sophos Mobile, aprire Policies > Windows > Create, scegliere un tipo di policy Windows e, in Edit policy, inserire un nome che identifichi chiaramente il test pilota e una descrizione. Aggiungere i componenti necessari con Add configuration e modificare ciascuno selezionandone il nome.
Per una rete di test semplice, scegliere Wi-Fi > Configure manually. Esempio: sostituire SSID PILOT-WLAN con l’SSID effettivo, impostare Security type su WPA (Personal) o WPA2 (Personal) in base alla configurazione reale e inserire la password corretta. Usare Hidden network solo per una rete effettivamente nascosta; Connect automatically solo se si desidera la connessione automatica. L’esempio non costituisce una valutazione della sicurezza dell’architettura Wi-Fi di produzione.
In alternativa, se si vuole riutilizzare una connessione Windows esistente: su un computer Windows autorizzato, dove la rete compare in Known networks, aprire il prompt dei comandi come amministratore. Verificare il nome del profilo con netsh wlan show profiles ed esportarlo con netsh wlan export profile "<SSID>" key=clear folder=<Destination> in una cartella predisposta con accesso limitato. Sostituire <SSID> con il nome del profilo visualizzato e <Destination> con la cartella di destinazione. Il file XML generato contiene la password Wi-Fi in chiaro. Caricare il file XML in Wi-Fi > Create from existing connection > Wi-Fi profile e, dopo il caricamento, eliminare in modo sicuro il file esportato localmente; non copiare né l’output né il file in un ticket. Non eseguire key=clear su computer condivisi o non protetti.
Salvare con Save in Edit policy. In Policies > Windows, selezionare il triangolo blu accanto alla voce pilota e Assign; in Select devices selezionare esclusivamente il dispositivo di test identificato e scegliere Finish. Non usare per errore Select device groups per un gruppo di produzione: secondo Sophos, per le policy Windows non viene proposta una schermata Schedule task successiva.
Sul dispositivo pilota, mantenendo l’accesso indipendente, verificare la connessione Wi-Fi disponibile e l’accesso a una risorsa interna effettivamente necessaria; accertarsi poi che il dispositivo continui a comunicare con Sophos Mobile. Se la configurazione non ha effetto, controllare prima il dispositivo destinatario, l’assegnazione della policy, il successivo contatto del dispositivo, l’SSID/il tipo di protezione e lo stato della connessione Wi-Fi preesistente. Non mascherare un problema con riassegnazioni in massa.

Certificati: distinguere attendibilità, identità e SCEP

Per una connessione 802.1X o un’altra connessione che dipende dai certificati, l’esempio WPA-Personal precedente non basta. L’importazione di un profilo XML Wi-Fi Enterprise insieme a un certificato client o SCEP non è una procedura 802.1X pronta all’uso documentata da Sophos: resta da verificare se importazione, selezione del certificato, autenticazione e ordine di applicazione funzionino nella specifica combinazione di Windows, modalità di registrazione, PKI e Wi-Fi. I seguenti componenti per i certificati vanno quindi provati su un singolo dispositivo, insieme ai responsabili Wi-Fi/PKI e disponendo di un accesso di rete indipendente:

Root certificate: Prima del caricamento, confrontare il file della CA X.509 approvato (PEM o DER) con l’approvazione PKI indipendentemente da quanto mostrato da Sophos: identità del file/impronta digitale, Subject, Issuer, validità e catena di certificati prevista. Caricarlo in Edit policy > Add configuration > Root certificate > Upload a file. Secondo Sophos, Certificate name mostra l’Issuer Distinguished Name (DN) del certificato caricato, non un’identità verificata del certificato CA; questo campo da solo non dimostra che l’ancora di attendibilità sia quella corretta. Selezionare Apply e poi Save. Sophos consente più configurazioni Root certificate; un certificato della stessa policy può essere successivamente selezionato come Root certificate nella relativa configurazione SCEP. Distribuire soltanto l’ancora di attendibilità prevista, non un certificato scaricato arbitrariamente.
Client Certificate: Per un certificato client già emesso, File accetta PEM o PKCS #12. Dopo il caricamento, Certificate name mostra il valore Subject. Target store > User si riferisce all’utente registrato in Sophos Mobile; Device rende il certificato disponibile a tutti gli utenti del computer. Key location > Software archivia la chiave privata in un archivio software; TPM or software usa invece un TPM, se disponibile, altrimenti un archivio software. TPM non installa il certificato se il TPM manca o è disattivato nel BIOS. Windows Hello for Business richiede un contenitore appropriato (Container name). La scelta dell’archivio e di Key is exportable deve rispettare i requisiti di sicurezza della PKI, non limitarsi a consentire il caricamento. Nel test pilota verificare dove viene effettivamente archiviato il certificato e l’autenticazione prevista.
SCEP: Invece di caricare un’identità esistente, il client richiede un certificato alla CA. Per l’integrazione con una CA Windows abilitata a SCEP documentata da Sophos, Sophos Fusion deve poter raggiungere tramite HTTP(S) entrambi i percorsi distinti: <YOUR-SCEP-SERVER>/CertSrv/MSCEP (URL del server SCEP) e <YOUR-SCEP-SERVER>/CertSrv/MSCEP_ADMIN (URL della challenge); verificare singolarmente con il team PKI le regole del firewall e le credenziali autorizzate. Per un server SCEP Windows 2003, Sophos indica invece /CertSrv/MSCEP anche come URL della challenge; non estendere questa eccezione ad altri server. In Setup > Sophos setup > SCEP questi URL sono configurati globalmente; secondo Sophos, Save verifica solo la connessione al server SCEP, non l’emissione o il rinnovo del certificato sul dispositivo. La configurazione globale è una modifica PKI distinta; non presumere che questi percorsi per CA Windows siano validi per altre implementazioni SCEP. Nella policy Windows aggiungere prima il certificato CA come Root certificate, poi SCEP: definire URL, Subject come nome X.500 valido, se necessario Subject Alternative Name, Challenge, Root certificate, Retries, Retry delay, Key size compatibile con la CA e Certificate usage. I segnaposto documentati %_SCEPPROXYURL_% e %_CACHALLENGE_% fanno riferimento ai valori configurati globalmente. CN=%_USERNAME_% è solo un esempio di sintassi per un’identità utente, non un Subject del dispositivo valido in generale. Al momento di creare la policy, definire SCEP renewal interval e verificare sul dispositivo pilota, insieme alla CA, l’effettiva emissione e il rinnovo. Senza una connessione alla CA confermata e un’associazione univoca dell’identità, non assegnare la policy in produzione.

Il successo non si riduce a «policy assegnata»: sul dispositivo pilota deve comparire il certificato corretto, con identità e validità adeguate, nel contesto utente o dispositivo previsto; la connessione prevista deve autenticarsi e il contatto con Sophos Mobile deve rimanere attivo. Se SCEP fallisce, verificare prima con il team PKI la raggiungibilità della CA, le autorizzazioni per la challenge, Subject/SAN, l’attendibilità della CA, i parametri della chiave e lo stato del dispositivo; non disattivare la verifica dei certificati né la validazione del server per far risultare positivo il test.

Preparare un percorso di ripristino con accesso indipendente

In caso di errore, lasciare per quanto possibile intatte la connessione funzionante precedente e la CA precedente; non è garantito un ripristino senza interruzioni. Usando l’accesso indipendente verificato in precedenza, controllare prima sul dispositivo interessato il nome della policy effettivamente assegnata e la connessione locale. Correggere la policy pilota oppure assegnare in modo mirato una policy Windows funzionante predisposta in precedenza allo stesso singolo dispositivo; sostituire la configurazione di test solo dopo un nuovo contatto e dopo aver verificato che il Wi-Fi funzioni. Sophos non documenta per le policy Windows una funzione Uninstall policy specifica per dispositivo: questa azione si applica solo alle policy Android, Knox e iOS. Secondo la documentazione, Unassign agisce su tutti i dispositivi di una policy e quindi non è un percorso di ripristino sicuro per un singolo dispositivo. Le modifiche ad altre policy si sincronizzano automaticamente al successivo contatto del dispositivo; senza contatto non si può affermare che il ripristino sia riuscito. Prima di una modifica in produzione, sul dispositivo Windows esattamente registrato devono essere osservate e approvate la sincronizzazione della policy, l’effettiva autenticazione Wi-Fi e la procedura di ripristino locale con il secondo accesso assicurato.

Se il dispositivo è già offline, non revocare centralmente la CA, le credenziali SCEP o i vecchi profili Wi-Fi e non modificare una policy di gruppo sulla base di supposizioni. Ripristinare prima la raggiungibilità locale tramite il secondo percorso concordato e rilevare lo stato attuale; poi ricontrollare l’assegnazione pilota e la validità dei certificati. Se e quando i certificati o i profili rimasti sul client vengano rimossi a seguito di un cambio di policy non è documentato qui come automatismo garantito e va verificato nella specifica modalità Windows/Sophos Mobile in uso.

Limite relativo alle VPN: L’elenco Sophos attuale delle configurazioni delle policy Windows comprende Wi-Fi, certificati radice/client e SCEP, ma non un payload VPN Windows autonomo. L’opzione Disable VPN settings in Restrictions blocca le impostazioni e non distribuisce una VPN. Per una connessione VPN occorre pianificare separatamente client, protocollo del tunnel, gateway e autenticazione; l’installazione di un certificato non crea di per sé un tunnel VPN. Le istruzioni esistenti per il provisioning di Sophos Connect su Windows riguardano il percorso separato del client firewall/VPN.