Para qualquer empresa, o WPA3-Enterprise e a autenticação baseada em certificados representam o padrão-ouro para a segurança do WiFi. Proteger a infraestrutura da sua rede sem fio exige a escolha do padrão de criptografia correto, a implementação de controle de acesso baseado em identidade e a eliminação de senhas compartilhadas.
As redes sem fio transmitem dados por ondas de rádio abertas, tornando a criptografia e a autenticação mútua essenciais. Sem os controles de segurança adequados, invasores podem capturar dados de pacotes, dispositivos não autorizados podem acessar servidores internos e cibercriminosos podem lançar ataques man-in-the-middle.
A evolução dos protocolos de segurança WiFi
Os padrões de segurança WiFi evoluíram continuamente para combater as ameaças cibernéticas em constante avanço. Compreender como os protocolos herdados falharam ajuda os líderes de TI a projetar arquiteturas sem fio modernas e de confiança zero.
Pense na segurança WiFi como a fechadura de uma porta. Ela evoluiu ao longo de duas décadas, passando de uma simples trava de banheiro para uma fechadura inteligente criptográfica moderna.
WEP: a trava quebrada
O Wired Equivalent Privacy (WEP) foi a primeira tentativa de segurança WiFi, introduzida em 1999 junto com o IEEE 802.11b. Seu objetivo era tornar uma rede sem fio tão privada quanto uma conexão ethernet cabeada. No entanto, o WEP dependia de pequenos Vetores de Inicialização (IVs) de 24 bits emparelhados com cifras de fluxo RC4, fazendo com que as chaves de criptografia se repetissem rapidamente.
Invasores rapidamente decifraram a chave de criptografia estática do WEP em poucos minutos usando softwares disponíveis gratuitamente. O WEP oferecia uma falsa sensação de segurança e hoje está completamente obsoleto. Implantar WEP hoje deixa o perímetro da sua rede totalmente desprotegido.
WPA e WPA2: a fechadura padrão
A WiFi Alliance introduziu o WiFi Protected Access (WPA) em 2003 como uma correção temporária para as falhas do WEP. O WPA introduziu o Temporal Key Integrity Protocol (TKIP), que gerava dinamicamente novas chaves de 128 bits para cada pacote de dados.
O WPA2 surgiu em 2004, estabelecendo o padrão de segurança por mais de uma década. Ele substituiu o TKIP pelo Advanced Encryption Standard (AES) operando em Counter Mode Cipher Block Chaining Message Authentication Code Protocol (CCMP). O AES continua sendo um padrão de criptografia aprovado pelo governo. Por anos, o WPA2-Personal serviu como uma fechadura confiável nas portas digitais.
No entanto, o WPA2 não estava imune a ataques. A vulnerabilidade Key Reinstallation Attack (KRACK) descoberta em 2017 revelou que o handshake de quatro vias do WPA2 poderia ser manipulado para descriptografar o tráfego sem fio. Essa vulnerabilidade destacou o risco de depender de uma única senha compartilhada em ambientes comerciais.
WPA3: a fechadura inteligente moderna
Lançado em 2018, o WPA3 aborda as fraquezas fundamentais do WPA2. Ele torna a segurança de redes sem fio mais forte e simples, tanto para configurações residenciais quanto para implantações comerciais em grande escala. O WPA3 substitui mecanismos vulneráveis de troca de chaves por handshakes criptográficos robustos.
WPA3: seu novo padrão mínimo de segurança
O WPA3 é o requisito básico para a segurança de WiFi empresarial. Ele corrige vulnerabilidades antigas e introduz proteções essenciais para dados corporativos, acesso de funcionários e tráfego de visitantes.
Defesas mais fortes contra ataques de senha
No WPA2-Personal, invasores podiam capturar o handshake de autenticação inicial de quatro vias entre um laptop e um ponto de acesso. O invasor poderia então levar esses dados capturados para o ambiente offline e executar ataques de dicionário, testando milhões de combinações de frases-senha por segundo sem interagir com a rede.
O WPA3 elimina essa vulnerabilidade usando a Autenticação Simultânea de Iguais (SAE), baseada na troca de chaves Dragonfly. O SAE impõe um mecanismo de prova de conhecimento zero durante a conexão. Mesmo que um invasor capture o tráfego do handshake, as chaves de sessão não podem ser calculadas offline. Isso torna os ataques de dicionário por força bruta ineficazes.
Protegendo redes WiFi públicas e abertas para visitantes
Historicamente, as redes públicas de WiFi para convidados operavam sem criptografia. Os dados transmitidos em redes abertas não eram criptografados, expondo os visitantes à interceptação de pacotes (packet sniffing) e a ataques man-in-the-middle.
O WPA3 resolve isso com o Enhanced Open, utilizando Opportunistic Wireless Encryption (OWE) com base na RFC 8110. O OWE estabelece automaticamente trocas de chaves Diffie-Hellman exclusivas e não autenticadas entre cada dispositivo cliente e o ponto de acesso. Os convidados obtêm criptografia de sessão individual sem a necessidade de uma senha complexa no momento da conexão.
Isso proporciona benefícios essenciais de privacidade em estabelecimentos comerciais:
- Cafés e Restaurantes: Descriptografa o tráfego dos clientes durante a navegação, pedidos móveis e engajamento social.
- Hotéis e Hospitalidade: Protege as credenciais dos hóspedes e as atividades de pagamento sem atrito. Combine com um Captive Portal personalizado para oferecer um onboarding seguro e integrado.
- Centros Comerciais e Varejo: Protege as conexões dos compradores enquanto permite que os operadores do local coletem dados proprietários em conformidade com as normas.
Protegendo sua rede contra interrupções nos quadros de gerenciamento
O WPA3 exige os Quadros de Gerenciamento Protegidos (PMF) sob a norma IEEE 802.11w. Os quadros de gerenciamento controlam as operações de rede, incluindo solicitações de associação, autenticação e desconexão. Em redes legadas não criptografadas, os invasores forjavam facilmente pacotes falsos de "desautenticação" para derrubar os dispositivos da rede.
O PMF assina criptograficamente os quadros de gerenciamento, bloqueando desconexões forjadas e falsificação de pontos de acesso não autorizados. Isso melhora o tempo de atividade da rede e estabiliza as conexões de WiFi.
Escolhendo entre segurança personal e enterprise
Ao configurar a infraestrutura sem fio, os gerentes de TI devem escolher entre os modos de segurança Personal e Enterprise. Essa escolha dita como as credenciais do usuário são gerenciadas e autenticadas.
Os limites de uma única senha compartilhada
Confiar em uma única Pre-Shared Key (PSK) em um ambiente comercial cria sérios problemas operacionais e de segurança:
- Vazamento de Credenciais: Uma vez que um funcionário ou prestador de serviços conhece a senha do WiFi da empresa, ele pode compartilhá-la com dispositivos não autorizados ou terceiros.
- Dores de Cabeça no Desligamento: Quando um funcionário deixa a organização, os administradores de TI precisam reconfigurar cada ponto de acesso e cada dispositivo corporativo para revogar o acesso. Na prática, as senhas compartilhadas raramente são alteradas, deixando ex-funcionários com acesso contínuo.
- Zero Responsabilidade: As redes PSK não conseguem atribuir a atividade de rede a usuários específicos, o que complica as auditorias forenses durante incidentes de segurança.
- Decodificação de Pacotes Compartilhados: Qualquer pessoa que conheça a PSK compartilhada pode capturar e descriptografar o tráfego sem fio de usuários adjacentes no mesmo segmento de rede.
WPA3-Enterprise e autenticação sem senha 802.1X
Para eliminar as vulnerabilidades de senhas compartilhadas, as redes corporativas implantam o WPA3-Enterprise com autenticação IEEE 802.1X. Em vez de depender de uma chave estática, o 802.1X valida cada usuário ou dispositivo em relação a um servidor RADIUS centralizado e a um provedor de identidade na nuvem.
O padrão-ouro para redes corporativas é o EAP-TLS (Extensible Authentication Protocol - Transport Layer Security). O EAP-TLS usa certificados digitais X.509 emitidos para laptops gerenciados e endpoints móveis. Os dispositivos se autenticam automaticamente em segundo plano, sem a necessidade de senhas de usuário.
Integrar a autenticação 802.1X com diretórios centrais, como o Microsoft Entra ID, Okta ou Google Workspace, oferece um controle de acesso simplificado: quando o acesso de um funcionário é revogado no seu provedor de identidade, seu acesso ao WiFi é encerrado instantaneamente em todos os locais.
Perguntas frequentes sobre protocolos de segurança WiFi
Respostas técnicas diretas a perguntas comuns sobre criptografia sem fio, autenticação 802.1X e atualizações para WPA3.
Qual é a principal diferença entre o WPA2-Personal e o WPA2-Enterprise?
O WPA2-Personal usa uma única chave pré-compartilhada (PSK) para todos os dispositivos conectados. O WPA3-Enterprise usa autenticação IEEE 802.1X para verificar cada usuário ou dispositivo individualmente em relação a um servidor RADIUS e diretório central (como o Microsoft Entra ID ou Okta), gerando chaves de criptografia exclusivas para cada sessão.
Como o WPA3 SAE impede ataques de dicionário offline?
O WPA3 com Simultaneous Authentication of Equals (SAE) usa um handshake criptográfico de conhecimento zero (Dragonfly) que exige interação ativa com o ponto de acesso para cada tentativa de adivinhação de senha. Os invasores não conseguem capturar um handshake passivo para tentar quebras de dicionário offline.
O que é Opportunistic Wireless Encryption (OWE) em WiFi para convidados?
O Opportunistic Wireless Encryption (OWE), também conhecido como Enhanced Open, criptografa o tráfego sem fio em redes de convidados abertas sem exigir que os usuários digitem uma senha. Ele oferece privacidade de sessão individual em locais públicos, como hotéis, cafés e lojas de varejo.
Por que o WEP está totalmente obsoleto e inseguro?
O WEP usa Vetores de Inicialização fracos de 24 bits e chaves de criptografia RC4 estáticas que se repetem com frequência sob tráfego de rede normal. As ferramentas modernas podem reconstruir a chave mestre WEP em minutos, coletando um pequeno número de pacotes de WiFi.
Como o 802.1X EAP-TLS elimina as senhas no WiFi de funcionários?
O EAP-TLS instala certificados digitais X.509 exclusivos em dispositivos corporativos. Ao conectar-se ao SSID corporativo, o dispositivo e o servidor RADIUS realizam uma verificação criptográfica mútua, concedendo acesso automaticamente, sem que a equipe precise inserir ou gerenciar senhas.
Proteja seus locais físicos com a plataforma WiFi da Purple
Seja implantando autenticação de funcionários por 802.1X sem senha, iPSK multi-tenant isolado por residente ou Captive Portals de WiFi para convidados personalizados com sua marca, a Purple transforma seus pontos de acesso existentes em um utilitário seguro e gerenciado em nuvem.
