Autenticação 802.1X explicada para redes corporativas

Autenticação 802.1X Explicada para Redes Corporativas. Um Informativo Técnico da Purple WiFi. Boas-vindas. Se você é responsável pela segurança de rede em uma organização com vários locais - seja um grupo hoteleiro, uma rede de varejo, um estádio ou órgãos do setor público - este informativo é para você. Nos próximos dez minutos, abordaremos tudo o que você precisa saber sobre a autenticação 802.1X: o que é, como funciona nos bastidores, como implantá-la corretamente e as armadilhas comuns que a maioria das organizações enfrenta. Vamos começar. Seção um: Contexto e por que isso importa agora. O cenário de ameaças para WiFi corporativo mudou drasticamente. Redes de chaves pré-compartilhadas - do tipo em que todos sabem a senha do WiFi - não são mais aceitáveis para redes de funcionários em ambientes regulamentados. Sob a versão 4.0 do PCI-DSS, que entrou em vigor integralmente em 2024, as organizações que lidam com dados de cartões de pagamento devem implementar controles de acesso fortes em qualquer rede que toque o ambiente de dados do titular do cartão. O GDPR impõe obrigações semelhantes a qualquer rede que transporte dados pessoais. E com o trabalho híbrido fazendo com que os funcionários se conectem a partir de dispositivos gerenciados e não gerenciados em dezenas de locais, o antigo modelo de perímetro simplesmente não se sustenta. O 802.1X é o padrão IEEE que resolve isso. Ele fornece controle de acesso à rede baseado em porta - o que significa que um dispositivo não pode ingressar na rede de forma alguma até que tenha sido autenticado em um repositório central de identidade. Não apenas uma senha compartilhada. Uma identidade real e verificada. Essa é a mudança fundamental. Seção dois: Análise técnica detalhada. Vamos examinar a arquitetura. O 802.1X define três funções. O suplicante (supplicant) - que é o dispositivo final, o laptop ou smartphone tentando se conectar. O autenticador (authenticator) - que é o ponto de acesso sem fio ou o switch de rede. E o servidor de autenticação (authentication server) - que em praticamente qualquer implantação corporativa é um servidor RADIUS. Veja como funciona o handshake. Quando um dispositivo tenta se conectar a um SSID protegido, o ponto de acesso coloca esse dispositivo em um estado não autenticado. Ele não consegue acessar a rede. O AP envia um quadro EAP Request Identity para o dispositivo. EAP significa Extensible Authentication Protocol - é a estrutura que transporta as credenciais reais. O dispositivo responde com sua identidade. O AP encaminha isso para o servidor RADIUS, encapsulado em um pacote RADIUS Access-Request. O servidor RADIUS desafia o dispositivo - o desafio específico depende de qual método EAP você está usando. O dispositivo responde com suas credenciais. O servidor RADIUS valida essas credenciais em seu repositório de identidades - Active Directory, LDAP ou um IdP em nuvem - e envia de volta um Access-Accept ou um Access-Reject. Se for um Accept, o AP abre a porta e o dispositivo obtém acesso à rede. Se for um Reject, o dispositivo permanece bloqueado. Toda a troca de mensagens ocorre em menos de um segundo.Agora, a seleção do método EAP é onde a maioria dos arquitetos gasta seu tempo. Você tem quatro opções principais. O EAP-TLS é o padrão ouro. Ele exige um certificado de cliente em cada dispositivo, o que significa que você precisa de uma infraestrutura PKI, mas oferece autenticação mútua - o servidor comprova sua identidade para o cliente, e o cliente comprova sua identidade para o servidor. Nenhuma credencial pode ser obtida por phishing porque não há senhas envolvidas. Esta é a escolha certa para frotas de dispositivos totalmente gerenciados. O PEAP - Protected EAP - é o método mais amplamente implantado na prática. Ele cria um túnel TLS usando apenas um certificado de servidor e, em seguida, passa as credenciais de nome de usuário e senha dentro desse túnel. É significativamente mais fácil de implantar do que o EAP-TLS porque você não precisa de certificados de cliente, e ele é compatível nativamente com todos os principais sistemas operacionais. A desvantagem é que ele depende de os usuários validarem o certificado do servidor, o que, na prática, eles geralmente não fazem. Uma implantação PEAP adequada exige o bloqueio da configuração do suplicante para que ele confie apenas no certificado do seu servidor RADIUS específico. O EAP-TTLS é semelhante ao PEAP, mas mais flexível no método de autenticação interna. Ele é particularmente útil em ambientes com dispositivos legados ou terminais que não sejam Windows. O EAP-FAST foi desenvolvido pela Cisco como uma alternativa mais rápida que usa Protected Access Credentials em vez de certificados, mas é menos comumente implantado em novas estruturas. O próprio servidor RADIUS merece atenção. As duas opções de código aberto dominantes são o FreeRADIUS, que alimenta uma proporção significativa de implantações corporativas globalmente, e o Microsoft NPS - Network Policy Server - que está incluído no Windows Server e se integra nativamente ao Active Directory. As opções comerciais incluem o Cisco ISE, Aruba ClearPass e Portnox Cloud, que oferece um modelo de RADIUS-as-a-Service nativo em nuvem que elimina totalmente a necessidade de infraestrutura de servidor local. A atribuição de VLAN é um dos recursos mais poderosos de uma implantação 802.1X configurada corretamente. O servidor RADIUS pode retornar atributos de VLAN na resposta Access-Accept, atribuindo dinamicamente o dispositivo autenticado ao segmento de rede apropriado. Um membro da equipe se autentica e entra na VLAN da equipe. Um contratado se autentica com credenciais diferentes e entra em uma VLAN restrita com acesso limitado. Um dispositivo que falha na validação de certificado é colocado em uma VLAN de quarentena. Isso é segmentação dinâmica e é um controle de segurança significativo. Seção três: Recomendações de implementação e os erros a serem evitados. Deixe-me apresentar a sequência de implantação que realmente funciona. Comece com uma auditoria de rede. Antes de tocar em uma única configuração, documente cada dispositivo que precisará de autenticação. Isso inclui impressoras, telefones IP, sistemas de gerenciamento predial, câmeras de CFTV - qualquer dispositivo que se conecte à rede. Esses dispositivos headless não possuem um supplicant e não podem realizar a autenticação 802.1X. Você precisará de uma estratégia para eles, normalmente o MAC Authentication Bypass com uma lista de permissões estrita de endereços MAC e posicionamento em uma VLAN isolada. Passo dois: estruture sua infraestrutura RADIUS. Para resiliência, você precisa de no mínimo um servidor RADIUS primário e um secundário. Configure seus pontos de acesso para realizar o failover automaticamente. Uma interrupção no RADIUS que bloqueie todos os funcionários da rede é um incidente de prioridade máxima (P1). Não permita que isso aconteça por ter implantado apenas um único servidor. Passo três: implante sua PKI se for utilizar EAP-TLS. Use o seu Active Directory Certificate Services existente ou um provedor de PKI em nuvem. O registro automático por meio de Política de Grupo torna a implantação de certificados de clientes gerenciável em escala. Passo quatro: configure suas políticas de rede. Defina suas políticas de autenticação no RADIUS - quais usuários ou grupos de dispositivos recebem quais atribuições de VLAN, o que acontece com autenticações com falha, como você lida com o tráfego de convidados versus funcionários. É aqui que você aplica o princípio do menor privilégio na camada de rede. Passo cinco: realize um projeto piloto antes do lançamento geral. Escolha um local, um andar, um SSID. Teste cada tipo de dispositivo. Teste cenários de falha. Teste o que acontece quando o servidor RADIUS fica inacessível. Só então faça a expansão. Agora, as armadilhas comuns. A mais frequente que vejo é a configuração incorreta de validação de certificado em implantações PEAP. Se a sua política de supplicant não exigir a validação do certificado do servidor, você estará vulnerável a ataques de pontos de acesso falsos, onde um invasor configura um ponto de acesso falso e coleta credenciais. Bloqueie seus perfis de supplicant por meio de Política de Grupo ou MDM. A segunda armadilha é ignorar dispositivos não-802.1X até o dia do lançamento. Dispositivos IoT, impressoras e sistemas legados vão interromper sua implantação se você não tiver planejado para eles. O MAC Authentication Bypass é seu aliado aqui, mas precisa ser configurado antes de você ativar o sistema. A terceira armadilha é a existência de pontos únicos de falha no RADIUS. Já vi organizações implantarem um único servidor NPS e descobrirem que toda a rede de funcionários cai durante uma reinicialização de atualização do Windows. Sempre implante uma infraestrutura RADIUS redundante. Seção quatro: Perguntas rápidas. O 802.1X pode funcionar ao lado de uma rede WiFi para convidados? Com certeza. O seu SSID de convidados funciona separadamente - normalmente usando uma abordagem de Captive Portal - enquanto o seu SSID de funcionários exige o 802.1X. Eles são SSIDs completamente independentes com VLANs separadas. A plataforma da Purple gerencia a parte de convidados, com ferramentas de analytics e engajamento integradas, enquanto a sua infraestrutura 802.1X protege a parte dos funcionários. O 802.1X substitui uma VPN? Não. O 802.1X controla a admissão na rede - quem pode se conectar à rede. Uma VPN criptografa o tráfego em trânsito e estende a rede corporativa sobre conexões não confiáveis. Elas servem a propósitos diferentes e são frequentemente usadas em conjunto. Qual é o impacto no desempenho do roaming? Com o 802.1X, cada vez que um dispositivo faz roaming entre pontos de acesso, ele precisa se autenticar novamente. Para a maioria das implantações corporativas, isso é imperceptível. O cache PMK e o OKC - Opportunistic Key Caching - reduzem significativamente a sobrecarga de autenticação. Para ambientes de alta densidade, como estádios ou centros de conferências, vale a pena configurar isso explicitamente. O WPA3-Enterprise substitui o 802.1X? Não - o WPA3-Enterprise usa o 802.1X para autenticação. O WPA3 melhora a camada de criptografia, especificamente exigindo o modo de segurança de 192 bits para as implantações mais confidenciais. O 802.1X é a estrutura de autenticação subjacente. Seção cinco: Resumo e próximos passos. Aqui está o que você deve levar deste briefing. O 802.1X é o único mecanismo de autenticação de nível corporativo para WiFi corporativo. Chaves pré-compartilhadas não são aceitáveis para ambientes regulamentados. Escolha seu método EAP com base na sua frota de dispositivos - EAP-TLS se você tiver dispositivos gerenciados e uma PKI, PEAP se precisar de maior compatibilidade. Planeje para dispositivos não 802.1X antes de implantar, não depois. Implante uma infraestrutura RADIUS redundante - um único servidor é um ponto único de falha. Use a atribuição dinâmica de VLAN para impor a segmentação de rede no momento da autenticação. E faça testes piloto detalhados antes de implementar em toda a sua infraestrutura. Se você está estruturando uma implantação em vários locais e precisa pensar na arquitetura, a equipe técnica da Purple trabalha diariamente com arquitetos de rede nos setores de hotelaria, varejo e setor público. A combinação de WiFi seguro para funcionários via 802.1X e WiFi inteligente para convidados através da plataforma da Purple oferece a você uma estratégia de rede segmentada e completa que atende tanto às suas obrigações de segurança quanto aos seus requisitos de experiência do cliente. Encerramos este briefing por aqui. Obrigado por ouvir.