Você está revisando uma alteração de WLAN no final da tarde de sexta-feira. O controlador oferece três configurações para quadros de gerenciamento protegidos: desabilitado, opcional e obrigatório, e cada dispositivo nesse SSID sentirá a escolha na manhã de segunda-feira. Se definir de forma muito flexível, desconexões forjadas ainda funcionarão. Se definir de forma muito rígida, impressoras, scanners e notebooks mais antigos no prédio não se conectarão. Este guia trata essa escolha pelo que ela realmente é: uma decisão de aplicação por SSID com um custo de compatibilidade que você pode planejar.
O que os Protected Management Frames Fazem
Em uma WLAN movimentada, um dispositivo pode perder a conexão sem que ninguém toque em sua senha ou quebre sua criptografia. A causa pode ser um frame de gerenciamento forjado, uma mensagem de rádio que instrui o dispositivo a se desconectar. Os Protected Management Frames (PMF) ajudam a evitar que esse tipo de mensagem seja aceito como legítimo.
A vulnerabilidade que o PMF foi criado para corrigir
Os quadros de gerenciamento transportam as instruções que estabelecem, mantêm e encerram uma conexão sem fio. Eles não transportam o e-mail, o prontuário do paciente ou a própria chamada de vídeo. Antes do PMF, um invasor ao alcance do rádio podia forjar uma mensagem de desautenticação ou desassociação. Um dispositivo que a recebesse poderia desconectar da rede, mesmo que seu tráfego criptografado de usuário não tivesse sido comprometido.
O PMF veio da emenda IEEE 802.11w, publicada em 2009, que abordou quadros de gerenciamento forjados, particularmente mensagens que desconectam usuários legítimos à força, conforme descrito na visão geral da Wi-Fi Alliance sobre Protected Management Frames. Ele adiciona verificações de integridade e autenticação de origem ao tráfego de controle protegido. O access point ou cliente pode verificar quem enviou uma mensagem protegida e rejeitar uma que falhe na verificação, em vez de agir cegamente sobre ela.
Frames de gerenciamento unicast protegidos também podem ser criptografados, mantendo as instruções individuais privadas e verificadas. O PMF cobre frames de desautenticação e desassociação, juntamente com frames de ação usados para medição de rádio, confirmação de bloco, Fast BSS Transition, gerenciamento de espectro e qualidade de serviço. Essas mensagens podem encerrar uma sessão, relatar condições de rádio, confirmar blocos de dados, suportar uma mudança para outro ponto de acesso ou gerenciar o tráfego de voz e vídeo.
O que o PMF não é
O PMF protege o tráfego de controle, não os dados do usuário. Ele funciona em conjunto com o WPA2 ou WPA3, em vez de substituir a autenticação, a criptografia ou a autorização. A Wi-Fi Alliance descreve o PMF como uma forma de ajudar a resistir a ataques de desconexão, honeypot e evil-twin. Ele não estabelece a identidade do usuário nem decide quem pode acessar a rede.
O PMF é um controle complementar. Sua autenticação decide quem tem permissão para entrar, sua criptografia protege os dados e o PMF protege as instruções que mantêm a sessão ativa.
O ponto de acesso e o cliente devem ambos suportar PMF, e a configuração se aplica separadamente a cada SSID criptografado. Isso torna a imposição uma decisão rede por rede, e não uma chave única para todo o local. As redes em modo de transição frequentemente permitem PMF sem exigi-lo, para que clientes mais antigos ainda possam se conectar. O custo é que os clientes incapazes de usar PMF não recebem sua proteção nesse SSID. Considere a variedade de clientes e os requisitos de roaming da rede antes de escolher a rigidez da imposição.
Escolhendo o Modo Desativado, Opcional ou Obrigatório
O PMF é executado em um dos três modos por WLAN, e esse modo decide quem permanece conectado e quem permanece exposto. Use esta tabela como consulta antes de alterar um perfil de produção.
| Modo | O que acontece | Impacto em dispositivos legados | Exposição a desautenticação forjada | Melhor usado para |
|---|---|---|---|---|
| Desativado | Sem proteção de quadros de gerenciamento | Conecta em qualquer lugar | Exposição total | Redes legadas isoladas prestes a serem desativadas |
| Opcional | PMF é usado apenas quando o cliente e a WLAN suportam | Dispositivos mais antigos continuam se conectando | Exposto para clientes sem PMF | SSIDs de transição WPA2 e WPA3 |
| Obrigatório | Associação apenas com clientes compatíveis com PMF | Dispositivos incompatíveis não conseguem se conectar | Protegido para todos os clientes associados | SSIDs exclusivos WPA3 e de alta garantia |
Desabilitado
Desativado (Disabled) não oferece proteção e nenhum custo de compatibilidade. Todos os clientes que podiam se conectar antes ainda podem se conectar, e todos os quadros de desautenticação forjados que funcionavam antes continuam funcionando. Mantenha essa configuração apenas para uma rede legada isolada que você tenha segmentado, documentado e estabelecido uma data para descontinuação. Se não houver uma data, o modo desativado se torna permanente aos poucos.
Opcional
No modo opcional, um cliente usa PMF apenas quando o WLAN e o cliente oferecem suporte, de modo que dispositivos mais antigos preservam a conectividade, mas as associações sem PMF permanecem expostas a ataques de frames de gerenciamento forjados. Esse é o compromisso real durante a transição. Seus smartphones e notebooks modernos obtêm proteção, seus dispositivos mais antigos continuam funcionando, e você não deve relatar o SSID como protegido sem qualificar a quais clientes isso se aplica.
Obrigatório
No modo obrigatório, a associação só é permitida quando o cliente negocia o PMF. Essa é a configuração correta para SSIDs exclusivos de WPA3 e ambientes de alta garantia no Reino Unido, mas dispositivos legados incompatíveis não conseguirão se conectar. Este não é um modo degradado. O dispositivo não se conectará com um nível de segurança mais baixo - ele permanecerá fora do SSID até que você corrija o driver, atualize o firmware ou o mova para outro lugar.
Dois pontos técnicos costumam surpreender os administradores. Primeiro, a orientação de configuração 802.11w da Cisco estabelece como pré-requisito que o PMF opcional ou obrigatório requer WPA com uma configuração adequada de autenticação e gerenciamento de chaves, com o elemento de informação RSN ativado juntamente com uma cifra AES. Se suas configurações de cifra ou RSN não estiverem alinhadas, o modo não funcionará como indicado no rótulo. Segundo, a documentação técnica da Xerox alerta que uma incompatibilidade entre as configurações da rede e do dispositivo pode causar falhas de comunicação, e observa que o WPA3 Personal e o WPA3 Enterprise comumente usam PMF como obrigatório, enquanto as configurações de transição podem mantê-lo como opcional.
Regra padrão: Obrigatório em SSIDs exclusivos WPA3 e de alta garantia, opcional em SSIDs mistos WPA2 e WPA3 durante a transição, desativado apenas em redes legadas isoladas com uma data de desativação definida.
Se você está ponderando isso em relação ao seu projeto de autenticação mais amplo, a escolha do modelo de autenticação corporativa acompanha o modo PMF, e vale a pena revisar suas opções de configuração de WPA Enterprise antes de definir qualquer uma das duas opções. Trate as duas decisões em conjunto para evitar a imposição do PMF em um SSID cujos clientes nunca foram avaliados para isso.
Por que o PMF é importante para roaming e ataques de desautenticação
Um frame de desautenticação forjado pode fazer com que um cliente próximo se desconecte de um ponto de acesso. O cliente tenta se reconectar, e frames forjados repetidos podem impedi-lo de se estabilizar. Os usuários enfrentam quedas aparentes e aleatórias no WiFi, enquanto o suporte técnico vê um problema de conexão sem uma falha de cobertura óbvia.
Como é a interrupção na operação
Um tablet de uso hospitalar pode perder a conexão enquanto um médico se desloca entre os leitos. Alunos podem perder o acesso durante uma aula. Em ambos os casos, a criptografia pode permanecer intacta e as senhas podem continuar privadas, mas o serviço ainda é interrompido. O PMF permite que uma estação ou ponto de acesso rejeite instruções forjadas ao verificar se as mensagens de gerenciamento protegidas são autênticas.
O roaming torna esses quadros importantes para mais do que apenas desconexões. À medida que um telefone se move entre pontos de acesso, quadros de ação do Fast BSS Transition ajudam a coordenar a transição. Se um invasor forjar ou interromper essas mensagens, uma chamada pode travar ou ser encerrada enquanto o usuário se desloca por um corredor. O PMF protege os quadros de ação relevantes, incluindo os usados para medição de rádio, confirmação de bloco, gerenciamento de espectro e operações de qualidade de serviço. O dispositivo receptor pode verificar as instruções de transição em vez de aceitá-las cegamente.
O perfil padrão e seus limites
A configuração do SSID é uma decisão por rede. Em um SSID usado para roaming, pondere a proteção que o PMF adiciona em relação à capacidade de todos os clientes se associarem e concluírem as transições com essa configuração. Isso também é importante para o Passpoint: o método de autenticação não elimina a necessidade de verificar a compatibilidade do PMF nos clientes que ingressarão na rede.
Para obter detalhes sobre o algoritmo, consulte as orientações de configuração de PMF 802.11w da Cisco. O limite prático é igualmente importante: a proteção de quadros de gerenciamento isoladamente não previne todos os ataques de desautenticação. Mantenha o monitoramento de rádio e a prevenção contra intrusões sem fio no projeto de segurança, e planeje o PMF em conjunto com autenticação e monitoramento em uma estratégia de segurança de WiFi corporativo.
O PMF protege o tráfego de gerenciamento no salto sem fio. Os dados dos visitantes também precisam de proteção ao trafegar além do ponto de acesso. TLS e IPsec para dados de visitantes explica os protocolos que ajudam a proteger esse tráfego.
Impactos de Compatibilidade por Classe de Dispositivo
A pergunta que seus usuários farão é mais simples que o padrão. Quais dispositivos vão parar de funcionar? A resposta começa onde o suporte ao PMF realmente reside. Ele é negociado entre o ponto de acesso e o driver de WiFi e supplicant do cliente, portanto, um ponto de acesso compatível com PMF por si só não garante nada. Um notebook com um driver antigo pode falhar em um SSID ao qual um telefone mais novo se conecta sem problemas.
| Classe de dispositivo | Suporte PMF típico | Risco se configurado como obrigatório | Configuração sugerida |
|---|---|---|---|
| Celulares e notebooks modernos com suporte a WPA3 | Geralmente suportado | Baixo | Obrigatório em SSIDs WPA3 |
| Notebooks e celulares WiFi 5 com drivers da era WPA2 | Frequentemente suportado, depende do driver | Médio | Opcional em SSIDs mistos, atualize os drivers |
| Sensores IoT e tomadas inteligentes mais antigos que usam apenas WPA2 | Frequentemente não suportado | Alto | SSID separado ou iPSK |
| Impressoras e scanners legados | Frequentemente não suportado | Alto | Conexão cabeada ou SSID legado dedicado |
| Scanners portáteis com firmware antigo | Depende do firmware | Médio a alto | Teste o firmware antes de impor a regra |
Trate essas linhas como padrões típicos, não como garantias. Confirme cada modelo na documentação do fabricante e no seu próprio inventário, pois dois dispositivos da mesma classe podem se comportar de maneira diferente após uma atualização de driver. A tabela mostra onde procurar primeiro. Os seus testes de associação dirão a verdade.
A regra de associação corporativa
Para redes 802.1X, a negociação é explícita. O órgão de redes de educação do Reino Unido, Jisc, afirma que o WPA3-Enterprise exige PMF no modo exclusivo WPA3-Enterprise, onde o ponto de acesso anuncia a capacidade Management Frame Protection Required e uma estação compatível deve negociar o PMF durante a associação, conforme estabelecido no guia do Jisc sobre WPA3, Wi-Fi 6E e eduroam. Se a estação não puder negociá-lo, a associação não prossegue.
Isso é especialmente relevante se você opera o eduroam ou outra rede baseada em certificados, porque o WPA3-Enterprise pode evoluir a partir do WPA2-Enterprise mantendo a autenticação baseada em certificados. Seus certificados podem estar perfeitos enquanto um suplicante antigo ainda falha no PMF. Valide tanto os pontos de acesso quanto os suplicantes dos clientes antes de impor a regra e, em seguida, monitore as falhas de associação e seu inventário de dispositivos legados após a alteração.
Fique atento ao sintoma clássico. Um dispositivo ainda se conecta perfeitamente ao SSID antigo, mas nunca se conecta ao novo, sem nenhum erro óbvio de senha ou certificado. Esse padrão indica uma incompatibilidade de capacidade, em vez de um problema de credenciais.
Se o dispositivo se conectar à rede antiga e recusar silenciosamente a nova, verifique a capacidade PMF antes de reemitir um único certificado.
Esse sinal é a sua deixa para inventariar o ambiente adequadamente antes de alterar qualquer outra coisa. Adivinhar nesta etapa apenas transfere a falha do seu grupo piloto para todo o edifício.
Como implantar o PMF obrigatório passo a passo
Siga estas etapas em ordem, pois cada uma protege a próxima. Ignorar o inventário para economizar um dia geralmente custa uma semana de chamados inexplicáveis mais tarde.
Faça um inventário de todos os dispositivos no SSID de destino. Registre o modelo, o sistema operacional, a versão do driver WiFi e o firmware de cada um, pois o suporte ao PMF geralmente depende do driver e não do selo do hardware. Sinalize tudo o que você não conseguir identificar, pois dispositivos desconhecidos são os que surpreendem no momento da aplicação.
Confirme os pré-requisitos do controlador. Verifique se a WLAN suporta PMF com uma cifra AES e se o elemento de informação RSN está ativado, já que os modos opcional e obrigatório dependem de ambos. Faça isso antes do piloto para testar o comportamento do cliente e não ficar buscando erros de perfil.
Crie um SSID piloto configurado como opcional. Faça a correspondência exata da autenticação dele com a da produção, para que a única variável em teste seja o PMF. Os usuários não devem notar nada ainda, e esse é o objetivo. Você está reunindo evidências, não anunciando uma mudança.
Mova um grupo de teste para o piloto por pelo menos uma semana de trabalho. Escolha notebooks e telefones corporativos que realmente façam roaming pelo edifício e, em seguida, registre diária e continuamente as falhas de associação e quedas de roaming. Um dispositivo que fica em uma única mesa a semana toda prova muito pouco sobre o comportamento do Fast BSS Transition.
Corrija, separe e depois imponha
Corrija o que for possível e separe o que não for. Aplique primeiro as atualizações de driver e firmware, reteste cada dispositivo e coloque equipamentos legados verdadeiramente insubstituíveis em um SSID segmentado separado com controles de rede mais rígidos. Não enfraqueça o SSID principal para acomodar apenas uma impressora.
Altere o SSID de produção para obrigatório. Aplique-o ao seu SSID WPA3 ou de alta garantia, mantenha os SSIDs mistos como opcional e verifique cada grupo de pontos de acesso em relação ao mesmo perfil. Um grupo deixado na configuração antiga cria a falha irritante em que um dispositivo funciona na recepção e falha no andar de cima.
Monitore por duas semanas após a aplicação. Acompanhe as falhas de associação e as quedas de roaming e compare-as com os logs do seu piloto. Se um grupo de dispositivos críticos falhar, faça o rollback alterando a configuração única de PMF em vez de recriar a WLAN.
Por que fazer uma alteração por vez importa: Quando o PMF é a única coisa que você alterou, a reversão é apenas uma configuração em um perfil. Altere a cifra, a autenticação e o PMF juntos e você nunca saberá qual deles desconectou os leitores de código de barras.
Mantenha o SSID piloto ativo após o go-live. Ele se tornará seu ambiente de testes para a próxima renovação de dispositivos, a próxima versão de firmware e o próximo SSID que você planeja migrar de opcional para obrigatório. Uma implantação que você pode repetir com tranquilidade vale muito mais do que uma alteração heroica de fim de semana na qual ninguém quer mexer novamente.
Solução de Problemas em Conexões Com Falhas Após Habilitar o PMF
A maioria das falhas após a ativação do PMF não é falha de segurança. São problemas de incompatibilidade: um cliente sem suporte a PMF, um perfil de WLAN que difere entre grupos de pontos de acesso, configurações de roaming divergentes ou uma atualização de firmware que alterou um padrão sem aviso prévio. Comece pelo sintoma visível.
| Sintoma | Causa provável | Solução |
|---|---|---|
| O dispositivo se recusa a se conectar a um SSID obrigatório | O cliente não possui suporte a PMF ou o driver está com a função desativada | Atualize o driver ou mova o dispositivo para um SSID opcional |
| O dispositivo se conecta em um ponto de acesso, mas não em outros | Configurações de PMF diferentes entre os perfis do controlador ou grupos de AP | Alinhe o perfil WLAN em todos os grupos de AP |
| Quedas repetidas durante o roaming | As configurações de transição rápida divergem entre o cliente e a WLAN | Verifique as configurações 802.11r e analise os logs de roaming do cliente |
| As falhas aparecem após uma atualização de firmware | A atualização do fabricante alterou o modo PMF padrão | Reverifique a configuração de segurança da WLAN após cada atualização |
Trabalhe nesta ordem de diagnóstico
Verifique o cliente primeiro. Confirme a capacidade PMF do dispositivo e a versão do driver em execução, não a versão implantada no último trimestre. Um único laptop que perdeu uma atualização pode gerar chamados que parecem uma falha de infraestrutura.
Em seguida, compare o perfil WLAN entre os grupos de controladoras. Exporte o perfil de segurança e verifique se o modo PMF, a cifra e a autenticação correspondem em todos os grupos de pontos de acesso que atendem a esse SSID. A divergência de perfil explica a maioria das falhas dependentes de localização, onde o mesmo dispositivo funciona em uma parte do edifício e falha em outra.
Revise os logs de roaming durante a transição que está falhando. Se o dispositivo se associa perfeitamente quando parado, mas cai ao se mover, verifique suas configurações de transição rápida 802.11r e as decisões de roaming do cliente no momento da falha. O PMF protege os quadros de transição, portanto, uma divergência aí se manifesta como um roaming que nunca se conclui.
Duas causas menos óbvias merecem atenção. Perfis do Passpoint provisionados com segurança de versões anteriores podem se conectar e depois cair, porque o perfil que o dispositivo possui não corresponde mais ao que a WLAN espera no momento. O suporte do controlador para a alteração de autorização via RADIUS também afeta a reautenticação, portanto, uma sessão que falha após uma alteração de política pode não ser uma falha de PMF.
Antes de qualquer alteração, mantenha uma exportação de configuração de antes de começar. Dessa forma, uma reversão se torna uma simples restauração em vez de uma tarde inteira reconstruindo configurações de memória. Você saberá que corrigiu o problema quando seu grupo piloto gerar um log de associação limpo por um dia útil inteiro, incluindo o pico da manhã, quando todos chegam, fazem roaming e entram em chamadas ao mesmo tempo. Não declare sucesso com base em um teste realizado em um domingo tranquilo.
Implantações com Passpoint, OpenRoaming e Purple
As configurações de PMF não existem de forma isolada. Elas moldam como visitantes e funcionários acessam a rede, especialmente onde a conexão deve ocorrer automaticamente sem um Captive Portal a cada acesso.
O Passpoint, também chamado de Hotspot 2.0 ou IEEE 802.11u, permite que os dispositivos descubram e se autentiquem em uma rede automaticamente usando consultas ANQP. Ele funciona sobre WPA2 ou WPA3-Enterprise, portanto, o modo PMF nessa WLAN molda diretamente o quão bem a proteção contra forjamento de quadros se estende a essas conexões contínuas. Um SSID Passpoint mantido como opcional protege apenas clientes compatíveis, exatamente como um SSID conectado manualmente faria. Se você está planejando essa jornada, revisar como a autenticação Passpoint e o roaming funcionam em conjunto com o seu perfil de segurança WLAN ajuda a identificar inconsistências antes que os convidados as percebam.
O OpenRoaming é baseado em perfis no estilo Passpoint, portanto, os dispositivos provisionados por meio dele herdam o mesmo caminho de segurança que qualquer outro cliente Passpoint. O perfil no dispositivo e a configuração de PMF na sua WLAN precisam coincidir. Quando isso não acontece, a falha parece um problema de roaming em vez de uma configuração de segurança, motivo pelo qual os testes de perfil pertencem ao seu piloto de PMF, e não depois dele.
Verificações antes de impor a aplicação em uma WLAN Passpoint
Antes de definir PMF como obrigatório em um WLAN Passpoint, confirme mais do que apenas a opção de PMF. A compatibilidade depende do suporte a RADIUS, alteração de autorização (CoA) e jardim murado no controlador do local, e uma falha em qualquer um deles interromperá a jornada do visitante, independentemente de quão correta seja sua escolha de PMF. Verifique as respostas ANQP, teste a reautenticação após uma alteração de política e percorra o local com um dispositivo provisionado para confirmar se o roaming se mantém entre os pontos de acesso.
A questão do hardware é mais simples do que muitos locais temem. Executamos o Purple como um overlay em nuvem nos access points que o local já possui, portanto, nenhuma substituição total é necessária, e a alteração do PMF ocorre no perfil WLAN da sua infraestrutura existente. Isso significa que seu piloto, sua reversão e sua aplicação acontecem em equipamentos que você já gerencia, enquanto a camada de autenticação fica acima dela.
Para dispositivos de funcionários, o mesmo princípio se aplica. O WiFi para funcionários realiza o onboarding de dispositivos de colaboradores com certificados EAP-TLS gerenciados, portanto não há senha compartilhada para alternar após uma alteração de segurança. Certificados e PMF resolvem problemas diferentes, identidade e integridade de quadros de gerenciamento, e se combinam perfeitamente em um SSID WPA3-Enterprise. Seja qual for a sua plataforma, confirme o modo PMF pretendido para cada SSID gerenciado com seu fornecedor antes de alterá-lo para obrigatório e registre a configuração acordada por SSID para que uma reconstrução futura de perfil não a desfaça silenciosamente.
Imponha o PMF em SSIDs de Alta Garantia Primeiro
O PMF é uma parte da segurança sem fio, não um substituto para o restante. Ele protege quadros de gerenciamento unicast e multicast especificados, mas não autentica usuários, não substitui a criptografia WPA2 ou WPA3, não detecta access points maliciosos nem transforma uma rede de visitantes aberta em uma rede corporativa criptografada. As diretrizes do Reino Unido identificam o WPA3 como o padrão preferencial para novas implantações sem fio e distinguem redes com senha pessoal de redes corporativas com base na autenticação individual. O modo Enterprise é particularmente relevante para organizações maiores e regulamentadas, conforme resumido no guia de negócios da Irlanda do Norte sobre Wi-Fi Protected Access.
As camadas que fecham as lacunas restantes
- Acesso baseado em certificado verifica a identidade do dispositivo e do usuário; o PMF não.
- Isolamento de rede entre SSIDs de convidados, funcionários e dispositivos limita o que um cliente comprometido ou antigo pode acessar.
- Detecção de APs não autorizados ajuda a identificar pontos de acesso evil-twin que o PMF não pode remover do ar.
- Monitoramento de incidentes de falhas de associação e picos de desautenticação ajuda a distinguir ataques de problemas de configuração.
Planeje o PMF por SSID, ponderando o requisito de segurança contra os dispositivos que precisam se conectar. O WPA3 está se tornando o padrão básico para dispositivos na banda de 6 GHz, tornando as verificações de compatibilidade e o planejamento de transição mais difíceis de adiar. Em redes de funcionários, Passpoint, xPSK, WiFi por Certificado e WiFi via MDM oferecem diferentes métodos de conexão, para que você possa alinhar a autenticação à classe do dispositivo em vez de forçar todos os clientes pelo mesmo caminho.
Defina o PMF obrigatório em WPA3-Enterprise e outros SSIDs de alta garantia assim que seu piloto for aprovado. Mantenha os SSIDs de modo misto como opcionais enquanto planeja a desativação de dispositivos legados e remova o tráfego de funcionários de qualquer SSID aberto. Registre os resultados de associação por tipo de dispositivo: isso fornece evidências de quais SSIDs podem mudar para obrigatório e onde os clientes mais antigos ainda impõem um custo de compatibilidade.
A Purple oferece certificados EAP-TLS gerenciados para o WiFi corporativo, evitando uma senha compartilhada que precisa de rotação. O WiFi para convidados e o acesso para funcionários funcionam em uma plataforma em nuvem sobre os pontos de acesso existentes do local. Para planejar uma implantação adaptada ao seu hardware e provedor de identidade, visite a Purple.
