Pular para o conteúdo principal
Português (Brasil)

Autenticação Baseada em Certificado para Dispositivos Corporativos (EAP-TLS)

Este guia de referência técnica autoritativo aborda a arquitetura, implantação e as melhores práticas operacionais de autenticação baseada em certificado EAP-TLS para dispositivos corporativos. Desenvolvido para arquitetos de TI e líderes de operações de locais físicos, ele fornece um roteiro prático para eliminar os riscos de credenciais baseadas em senha e alcançar um controle de acesso à rede 802.1X robusto em ambientes empresariais de múltiplos locais.

Por Iain JewittPublicado Atualizado
📖 13 min de leitura3,617 palavras3 exemplos práticos3 questões práticas8 definições principais

Video overview

Ouça este guia

Ver transcrição do podcast
Autenticação Baseada em Certificado para Dispositivos Corporativos - EAP-TLS Um Briefing Técnico da Purple | Aproximadamente 10 Minutos --- INTRODUÇÃO E CONTEXTO - aproximadamente 1 minuto Boas-vindas à série de Briefings Técnicos da Purple. Eu sou o seu anfitrião, e hoje vamos direto a uma das decisões mais importantes que uma equipe de TI gerenciando uma rede corporativa multi-site enfrentará em 2025 e 2026: se deve migrar a autenticação de WiFi dos funcionários de métodos baseados em senha para autenticação baseada em certificado usando EAP-TLS. Se você é gerente de TI, arquiteto de rede ou CTO em um grupo de hotéis, rede de varejo, estádio ou organização do setor público, este briefing é para você. Vamos abordar o que o EAP-TLS realmente é nos bastidores, como implantá-lo sem interromper suas operações, onde ele se encaixa em sua postura de conformidade e os resultados reais que você deve esperar. Sem teoria acadêmica - apenas a orientação prática de que você precisa para tomar uma decisão neste trimestre. Vamos começar. --- MERGULHO TÉCNICO PROFUNDO - aproximadamente 5 minutos Então, o que é EAP-TLS? EAP significa Extensible Authentication Protocol, e TLS significa Transport Layer Security - o mesmo protocolo criptográfico que protege o tráfego HTTPS em toda a web. O EAP-TLS é definido sob o IEEE 802.1X, o padrão de controle de acesso à rede baseado em porta, e é amplamente considerado o método de autenticação sem fio mais forte disponível hoje. A diferença fundamental entre o EAP-TLS e qualquer outra coisa que você possa estar executando - PEAP-MSCHAPv2, EAP-TTLS ou uma chave pré-compartilhada - é que ele realiza autenticação mútua baseada em certificado. Tanto o dispositivo cliente quanto o servidor RADIUS apresentam certificados digitais X.509 durante o handshake TLS. Nenhuma das partes pode se passar pela outra. Não há nenhuma senha envolvida na troca. Deixe-me orientar você sobre o que realmente acontece quando um laptop gerenciado se conecta ao seu SSID corporativo usando EAP-TLS. Etapa um: o dispositivo se associa ao ponto de acesso e a troca 802.1X começa. O ponto de acesso - atuando como o autenticador - passa quadros EAP entre o dispositivo e o seu servidor RADIUS. O servidor RADIUS envia seu certificado de servidor para o cliente. O cliente valida esse certificado em relação à Autoridade Certificadora confiável que ele já conhece - normalmente sua PKI interna ou uma CA hospedada na nuvem. Etapa dois: o cliente envia seu próprio certificado - o certificado de dispositivo provisionado por seu MDM ou Diretiva de Grupo - para o servidor RADIUS. O servidor RADIUS valida esse certificado em relação à mesma CA. Se ambos os certificados forem válidos, não expirados e não revogados, o túnel TLS é estabelecido e o servidor RADIUS envia uma mensagem Access-Accept de volta através do ponto de acesso. O dispositivo está na rede. Toda a troca leva menos de um segundo. Agora, os componentes de infraestrutura críticos que você precisa ter implementados. Primeiro, uma Public Key Infrastructure - sua PKI. Esta é a Autoridade Certificadora (CA) que emite e gerencia certificados. Para a maioria das implantações corporativas, trata-se do Microsoft Active Directory Certificate Services, uma CA local ou uma PKI hospedada na nuvem, como EJBCA, Smallstep ou um serviço gerenciado. Segundo, um servidor RADIUS - FreeRADIUS, Cisco ISE, Aruba ClearPass ou um serviço RADIUS em nuvem. Terceiro, uma plataforma de MDM ou gerenciamento de endpoints - Intune, Jamf, Workspace ONE - para enviar certificados de dispositivos para a sua frota gerenciada. E quarto, sua infraestrutura sem fio - pontos de acesso configurados para WPA2-Enterprise ou WPA3-Enterprise com 802.1X. A decisão de arquitetura mais importante é onde o seu servidor RADIUS reside. O RADIUS local oferece controle total, mas adiciona custos de infraestrutura. O RADIUS em nuvem - cada vez mais a opção preferida para organizações com várias filiais - elimina a necessidade de gerenciar servidores RADIUS em cada local e se integra diretamente com seu provedor de identidade na nuvem. Se você quiser se aprofundar nesse padrão de implantação específico, a Purple tem um guia detalhado sobre a implementação de 802.1X com RADIUS em nuvem que cobre as etapas de configuração de ponta a ponta. Agora vamos falar sobre o lado da PKI, porque é aqui que a maioria das implantações funciona ou trava. Sua CA é a raiz de confiança para todo o sistema. Cada certificado de dispositivo emitido por essa CA é confiável para o seu servidor RADIUS. Cada certificado de servidor RADIUS emitido por essa CA é confiável para seus dispositivos. Se um dispositivo for desativado, você revoga o certificado dele - via CRL ou OCSP - e ele perde o acesso à rede imediatamente. Sem necessidade de redefinir senhas. Sem chamados para o suporte. O dispositivo é simplesmente excluído. O gerenciamento do ciclo de vida dos certificados é a disciplina operacional que define o sucesso de uma implantação EAP-TLS. Os certificados têm datas de expiração - normalmente de um a dois anos para certificados de dispositivos. Se o seu MDM não estiver renovando-os automaticamente antes da expiração, você receberá chamadas de usuários que, de repente, não conseguem se conectar. O registro automático via protocolos SCEP ou EST, integrado ao seu MDM, é indispensável para qualquer frota com mais de cinquenta dispositivos. No lado da infraestrutura sem fio, o EAP-TLS funciona com qualquer fornecedor de ponto de acesso que suporte WPA2-Enterprise ou WPA3-Enterprise - Cisco, Aruba, Ruckus, Meraki, Ubiquiti, entre outros. A configuração do ponto de acesso é relativamente simples: aponte o AP para o seu servidor RADIUS, configure o segredo compartilhado, ative o 802.1X no SSID. A complexidade está quase inteiramente nas camadas de PKI e MDM, não na camada de rádio. - RECOMENDAÇÕES DE IMPLANTAÇÃO E ARMADILHAS - aproximadamente 2 minutos Deixe-me dar a sequência prática de implantação que funciona no dia a dia.Comece com a sua PKI. Se você não tiver uma, estabeleça uma hierarquia de duas camadas - uma CA raiz offline e uma CA emissora online. Mantenha a CA raiz offline. Emita o certificado do seu servidor RADIUS a partir da CA emissora. Emita os certificados dos dispositivos via auto-registro através do seu MDM. Antes de mexer na produção, faça um piloto com um pequeno grupo - vinte a trinta dispositivos - em um SSID de teste. Valide toda a cadeia de certificados, teste a revogação de certificados e confirme se o seu processo de renovação de MDM funciona de ponta a ponta. Só depois disso faça a implementação para toda a frota. Os três erros que vejo com mais frequência em implantações corporativas. Primeiro: configuração incorreta da âncora de confiança do certificado. Se os seus dispositivos não confiarem explicitamente no certificado do seu servidor RADIUS - porque a cadeia da CA não foi enviada para o repositório de confiança do dispositivo - o handshake TLS falhará silenciosamente. O usuário verá "impossível conectar" sem nenhum erro útil. Sempre valide a cadeia de confiança de ambas as direções antes de entrar em operação. Segundo: desvio de escopo de BYOD. O EAP-TLS é projetado para dispositivos gerenciados de propriedade da empresa. Se você tentar estendê-lo para dispositivos pessoais, enfrentará imediatamente o problema de como fornecer certificados para dispositivos que você não controla. A resposta é: não faça isso. Use um SSID separado com um método de autenticação diferente - talvez PEAP ou um Captive Portal - para dispositivos pessoais. Mantenha seu SSID EAP-TLS estritamente para a frota gerenciada. Terceiro: expiração de certificados em escala. Em uma implantação de quinhentos ou mil dispositivos, se a renovação automática de certificados não estiver funcionando corretamente, você enfrentará uma onda de falhas de autenticação quando os certificados expirarem simultaneamente. Teste seu fluxo de trabalho de renovação sob carga antes de atingir a escala de produção. Para organizações com vários locais - grupos hoteleiros, redes de varejo, operadores de estádios - o modelo de RADIUS na nuvem é altamente recomendado. Ele elimina a infraestrutura de RADIUS por local, centraliza o gerenciamento de políticas e se integra à sua pilha de identidade na nuvem existente. Combine-o com uma PKI hospedada na nuvem e toda a sua infraestrutura de autenticação se tornará operacionalmente gerenciável a partir de uma única tela. - - - PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto Algumas perguntas que ouço regularmente de equipes de TI. "O EAP-TLS pode funcionar com WPA3?" Sim. O WPA3-Enterprise com modo de segurança de 192 bits na verdade exige autenticação baseada em certificado, tornando o EAP-TLS a escolha natural. "Precisamos substituir nossos pontos de acesso?" Quase certamente não. Qualquer AP adquirido nos últimos cinco anos suportará WPA2-Enterprise com 802.1X. Verifique a versão do seu firmware e provavelmente você estará pronto para começar. "E quanto aos dispositivos IoT que não suportam certificados?" Esses dispositivos devem estar em uma VLAN separada com a segmentação de rede apropriada. O EAP-TLS é para a sua frota de dispositivos gerenciados. IoT é um problema separado."Como isso afeta nossa postura de conformidade com o PCI-DSS?" Positivamente. O Requisito 8 do PCI-DSS exige autenticação forte para acesso a ambientes de dados de portadores de cartão. A autenticação baseada em certificado atende a esse requisito de forma mais robusta do que as senhas. Seu auditor QSA agradecerá. "Qual é o cronograma de implantação típico?" Para uma implantação do zero com uma nova PKI em nuvem e integração MDM, estime de oito a doze semanas. Se você já possui o Active Directory Certificate Services e o Intune, poderá entrar em produção em três a quatro semanas. - RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto Deixe-me resumir tudo isso. O EAP-TLS é o padrão de ouro para autenticação de WiFi corporativo. Ele elimina totalmente o risco de credenciais baseadas em senha, fornece autenticação mútua entre o dispositivo e a rede e oferece uma identidade de dispositivo criptograficamente aplicada. O esforço operacional é real - você precisa de uma PKI, um MDM e uma infraestrutura RADIUS - mas para qualquer organização que gerencia mais de cinquenta dispositivos corporativos em vários locais, os benefícios de segurança e conformidade superam significativamente o investimento. Seus próximos passos imediatos: audite seu método de autenticação atual e identifique se você está executando PEAP ou uma chave pré-compartilhada. Avalie sua cobertura de MDM - se você não tiver o registro completo de MDM de sua frota de dispositivos, esse é o pré-requisito a ser abordado primeiro. Em seguida, avalie suas opções de PKI - os serviços de PKI hospedados na nuvem reduziram drasticamente a barreira de entrada. E se você quiser ver como a plataforma da Purple se integra à sua infraestrutura 802.1X para gerenciar tanto o WiFi de seus funcionários quanto o seu WiFi de convidados a partir de uma única plataforma, entre em contato com nossa equipe de soluções. Obrigado por ouvir. Nos vemos no próximo briefing.

Parte da nossa série principal: Guia de Segurança de WiFi Corporativo →

Technical IT Advisor & Calculator• IEEE 802.1X EAP-TLS Reference

Corporate EAP-TLS certificate authentication architect and ROI planner

Model enterprise certificate-based WiFi access control, size MDM SCEP distribution protocols, diagnose 802.1X handshake failure modes, and calculate annual helpdesk ticket savings from eliminating password resets.

Select an enterprise architecture preset:

Multi-platform corporate fleet (Windows, macOS, iOS, Android) automated via MDM SCEP integration, Cloud PKI, and global Cloud RADIUS with real-time OCSP revocation checking.

Encompasses laptops, corporate smartphones, tablets, and managed handheld scanners.
Determines cryptographic key storage boundary and private key export protections.
Automates certificate delivery and rotation through your MDM/UEM solution.
Issues X.509 client authentication certificates and publishes revocation lists.
Authenticates EAP-TLS handshakes and applies RFC 2868 Dynamic VLAN steering.
Validates that lost or decommissioned device certificates are rejected in real time.
Cryptographic Readiness
99%
Zero Trust cryptographic AAA
Annual IT Helpdesk Hours Saved
5,750 hrs
Zero password reset & expiration tickets
Annual Operational Value
$373,750
Based on $65/hr fully burdened IT rate
Peak Authentication Surge
3 QPS
Morning arrival burst capacity required

Architecture evaluation and cryptographic boundary

  • Key isolation: Hardware-backed multi-OS cryptographic keystores. Private keys are generated on-chip and marked non-exportable, preventing credential leakage even if an endpoint is compromised.
  • Shared-secret attack surface removed: 94%. Brute-force credential stuffing, password spray and evil-twin passphrase harvesting all stop working. A stolen enrolled device and an exportable private key remain, which is why this is not 100%.
  • Revocation overhead: 24 ms added to the handshake while certificate status is checked.
  • Server identity validation: All client profiles must match the SAN dNSName attribute radius.purple.ai against the trusted enterprise Root CA.
Next architectural step
Eliminate password risks with Cloud RADIUS and certificate automation
Explore enterprise WiFi security guide
Useful? Link to this tool

Autenticação Baseada em Certificado para Dispositivos Corporativos (EAP-TLS)

Resumo Executivo

No ambiente de rede corporativo moderno, a autenticação sem fio baseada em senha é um dos caminhos mais vulneráveis para roubo de credenciais, ataques do tipo man-in-the-middle e acesso não autorizado à rede. Protocolos legados como PEAP-MSCHAPv2, embora historicamente populares devido à sua baixa barreira de entrada, dependem de credenciais de usuário que são facilmente interceptadas por meio de pontos de acesso falsos ou comprometidas por engenharia social. Para gerentes de TI, arquitetos de rede e CTOs que gerenciam propriedades de alto tráfego e múltiplos locais - hotéis, redes de varejo, estádios e escritórios do setor público - proteger a rede "WiFi corporativo" é uma prioridade crítica para os negócios que afeta diretamente a continuidade das atividades, a confiança na marca e a conformidade regulatória.

Este guia apresenta o modelo técnico para migrar dispositivos corporativos para o EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), o protocolo criptográfico padrão do setor para autenticação mútua baseada em certificado sob o padrão IEEE 802.1X. Ao substituir senhas de usuário falíveis por certificados digitais X.509 vinculados criptograficamente, o EAP-TLS elimina totalmente a superfície de ataque baseada em credenciais. A implementação do EAP-TLS garante que apenas dispositivos verificados e gerenciados corporativamente possam se associar a redes internas, simplificando a conformidade com padrões rigorosos como PCI-DSS e GDPR, ao mesmo tempo que reduz drasticamente os chamados de suporte relacionados a expiração e redefinições de senhas.

Embora os benefícios de segurança do EAP-TLS sejam absolutos, uma implantação bem-sucedida exige uma abordagem estruturada para a Infraestrutura de Chaves Públicas (PKI), integração com Gerenciamento de Dispositivos Móveis (MDM) e automação do ciclo de vida dos certificados. Este documento fornece a orientação técnica prática e os padrões arquitetônicos necessários para implantar, dimensionar e manter uma infraestrutura EAP-TLS robusta em ambientes corporativos complexos e de múltiplos locais.

Detalhamento Técnico

Fundamentos Criptográficos e Autenticação Mútua

Em sua essência, o EAP-TLS aplica o handshake Transport Layer Security (TLS) ao controle de acesso à rede sob a estrutura do Extensible Authentication Protocol (EAP), conforme definido na RFC 5216 [1]. Ao contrário dos métodos EAP baseados em senha (como PEAP ou EAP-TTLS), que estabelecem um túnel para proteger uma troca de credenciais legada, o EAP-TLS usa TLS para realizar autenticação criptográfica mútua.

Durante o handshake EAP-TLS, tanto o cliente (conhecido como o suplicante na terminologia 802.1X) quanto o servidor RADIUS (o servidor de autenticação) devem apresentar certificados digitais X.509 válidos. O fluxo de autenticação ocorre da seguinte forma:

  1. Autenticação do servidor: O servidor RADIUS apresenta seu certificado de servidor ao cliente. O cliente valida este certificado em relação ao seu armazenamento de confiança local, confirmando que ele está assinado por uma Autoridade Certificadora (CA) raiz confiável, não expirou e corresponde à identidade do servidor esperada (Common Name/Subject Alternative Name).
  2. Autenticação do cliente: Assim que a identidade do servidor é verificada, o cliente apresenta seu certificado de dispositivo exclusivo ao servidor RADIUS. O servidor valida este certificado em relação ao seu armazenamento de confiança, confirmando sua assinatura, período de validade e status de revogação.
  3. Derivação de chaves: Depois que ambas as partes concluem a verificação mútua, elas derivam criptograficamente uma Pairwise Master Key (PMK) e uma Group Temporal Key (GTK) exclusivas. Essas chaves são usadas para criptografar o tráfego sem fio pelo ar via WPA2-Enterprise ou WPA3-Enterprise, garantindo que cada sessão use chaves de criptografia exclusivas e não reutilizáveis.

Como a autenticação depende inteiramente de criptografia assimétrica (RSA ou criptografia de curva elíptica), nenhuma senha, hash ou segredo compartilhado é transmitido pelo ar ou armazenado no servidor de autenticação. Este design torna a rede completamente imune a ataques de força bruta offline, ataques de dicionário e roubo de credenciais por meio de pontos de acesso maliciosos.

Autenticação Baseada em Certificado para Dispositivos Corporativos (EAP-TLS) - architecture overview

Componentes Arquiteturais

Uma implantação EAP-TLS de nível de produção compreende quatro pilares de infraestrutura essenciais, cada um desempenhando um papel distinto dentro da cadeia de confiança:

Pilar Componente Função Técnica Opções de Nível Corporativo
PKI Autoridade Certificadora (CA) Emite, assina e gerencia o ciclo de vida dos certificados digitais X.509 para servidores e dispositivos. Active Directory Certificate Services (AD CS), Cloud PKI (Sectigo, EZCA, Smallstep), EJBCA
RADIUS Servidor de Autenticação Finaliza o handshake EAP-TLS, valida certificados e toma decisões de permissão/negação de admissão 802.1X. Cisco ISE, Aruba ClearPass, FreeRADIUS, Cloud RADIUS (JoinNow, Foxpass)
MDM Gerenciamento de Endpoints Implanta automaticamente perfis de confiança de CA raiz e aciona o registro de certificados SCEP/EST nos dispositivos. Microsoft Intune, Jamf Pro, Ivanti Neurons (MobileIron), VMware Workspace ONE
WLAN Infraestrutura de Rede Atua como o autenticador 802.1X, retransmitindo pacotes EAP entre o cliente e o RADIUS via RADIUS-over-UDP/TCP. Cisco Catalyst, Aruba AP, Ruckus Wireless, Mist Systems, Meraki AP
Identidade Provedor de Identidade (IdP) Mantém a única fonte de verdade para contas de usuários e dispositivos, consultada pelo RADIUS durante a avaliação de políticas. Microsoft Entra ID, Okta, Active Directory, Google Workspace

Comparação de Métodos EAP

Para entender por que o EAP-TLS é o padrão obrigatório para dispositivos de propriedade corporativa, vale a pena compará-lo com os outros métodos EAP comumente encontrados em ambientes corporativos:

Autenticação Baseada em Certificado para Dispositivos Corporativos (EAP-TLS) - comparison chart

Como ilustra a tabela acima, o EAP-TLS é o único método que alcança uma postura de segurança alta, eliminando totalmente o risco baseado em senhas. Métodos como PEAP-MSCHAPv2 continuam altamente suscetíveis a ataques de roubo de credenciais usando conjuntos de ferramentas básicos como Hostapd-WPE, tornando-os inadequados para proteger recursos corporativos confidenciais no cenário de ameaças moderno.

Guia de Implementação

A implantação do EAP-TLS em uma rede corporativa de várias filiais exige uma execução sistemática nas camadas de PKI, MDM, RADIUS e infraestrutura sem fio. As etapas a seguir descrevem um modelo de implantação testado em produção e independente de fornecedor.

Etapa 1: Estabelecer a Infraestrutura de Chaves Públicas (PKI)

A PKI é a base criptográfica do EAP-TLS. Para a segurança corporativa, uma arquitetura de CA de duas camadas é fortemente recomendada:

  1. Root CA Offline: Uma Autoridade Certificadora offline altamente protegida, usada exclusivamente para assinar os certificados das CAs emissoras. A chave privada da Root CA deve ser protegida por um Módulo de Segurança de Hardware (HSM) ou por controles rigorosos de acesso físico.
  2. Issuing CA Online: Uma Autoridade Certificadora ativa e online integrada à sua rede e plataforma MDM, usada para emitir certificados para servidores RADIUS e dispositivos clientes.

Configuração do certificado do servidor RADIUS:

  • Emita um certificado de servidor para o seu servidor RADIUS a partir da Issuing CA.
  • Certifique-se de que o certificado inclua o OID de Uso de Chave Estendido (EKU) de Autenticação de Servidor (1.3.6.1.5.5.7.3.1).
  • Configure o Subject Alternative Name (SAN) para corresponder ao nome de domínio totalmente qualificado (FQDN) do servidor RADIUS.

Etapa 2: Automatizar o Registro de Certificados de Clientes via MDM

A instalação manual de certificados não é escalonável e apresenta sérios riscos de segurança. As implantações corporativas devem usar uma plataforma MDM para automatizar o provisionamento de certificados por meio do Simple Certificate Enrolment Protocol (SCEP) ou Enrolment over Secure Transport (EST).

+-------------+         1. SCEP Profile Push         +------------+
|             | -----------------------------------> |            |
|     MDM     |                                      |   Client   |
|  (Intune/   | <----------------------------------- |   Device   |
|    Jamf)    |    3. SCEP Challenge Validation      |            |
+-------------+                                      +------------+
       ^                                                   |
       | 2. Challenge Get                                  | 4. SCEP Request
       v                                                   v
+-------------+                                      +------------+
|  SCEP/EST   | <----------------------------------- |  Issuing   |
|   Gateway   |       5. Emissão de Certificado      |     CA     |
+-------------+                                      +------------+

Sequência de implantação do perfil MDM:

  1. Perfil Root CA: Implante um perfil de certificado confiável contendo os certificados públicos da Root CA e da Issuing CA no repositório de Autoridades de Certificação raiz confiáveis do dispositivo. Isso garante que o dispositivo confie no certificado do servidor RADIUS.
  2. Perfil SCEP/EST: Configure um perfil de certificado SCEP apontando para o gateway SCEP da sua Issuing CA. Configure o perfil com:
    • Formato do nome do assunto: CN={{DevicePhysicalIds:AADDeviceId}} ou CN={{UserPrincipalName}}, para vincular o certificado a uma identidade exclusiva de dispositivo ou usuário.
    • Uso Estendido de Chave (EKU): Deve incluir Autenticação do Cliente (1.3.6.1.5.5.7.3.2).
    • Uso da chave: Assinatura digital, criptografia de chave.
    • Tamanho da chave: Mínimo RSA de 2048 bits ou ECC SECP256R1.
  3. Perfil WiFi: Implante um perfil de rede sem fio configurado para WPA3-Enterprise (com fallback para WPA2-Enterprise) contendo:
    • Tipo de EAP: EAP-TLS.
    • Certificado de servidor confiável: Especifique explicitamente o FQDN do seu servidor RADIUS e selecione o perfil Root CA implantado na Etapa 1 como a âncora de confiança. Isso evita que os dispositivos se conectem a um servidor RADIUS malicioso.
    • Método de autenticação: Use o certificado registrado por meio do perfil SCEP.

Etapa 3: Configurar o Mecanismo de Política RADIUS

O seu servidor RADIUS (por exemplo, Cisco ISE, Aruba ClearPass ou Cloud RADIUS) deve ser configurado para processar solicitações de autenticação 802.1X recebidas dos pontos de acesso.

  1. Configuração do repositório de confiança: Importe os certificados públicos da Root CA e da Issuing CA para o repositório de certificados confiáveis do servidor RADIUS. Habilite a validação de certificados para autenticação de clientes.
  2. Mapeamento de origem de identidade: Configure a política RADIUS para mapear a identidade extraída do Assunto ou SAN do certificado do cliente (por exemplo, o UPN ou ID do dispositivo Azure AD) para o seu provedor de identidade (como Microsoft Entra ID ou Okta). Isso permite que o servidor RADIUS verifique se a conta do usuário ou do dispositivo ainda está ativa no diretório antes de conceder acesso à rede.
  3. Regras de autorização: Crie políticas de autorização detalhadas com base em atributos de certificado e associações a grupos de diretório. Por exemplo:
    • Regra 1: Se Certificate:Issuer for igual a Corporate Issuing CA e EntraID:DeviceStatus for igual a Compliant, atribua a VLAN 10 (rede de dados corporativos) e aplique uma ACL baseada em função de alta prioridade.
    • Regra 2: Se Certificate:Issuer for igual a Corporate Issuing CA e EntraID:UserGroup for igual a Finance, atribua a VLAN 20 (rede segmentada de finanças).

Etapa 4: Configurar a Infraestrutura de Wireless LAN (WLAN)

Configure seus controladores wireless ou access points gerenciados em nuvem (por exemplo, Cisco Catalyst, Aruba ou Meraki) para impor a autenticação 802.1X no SSID corporativo.

  1. Defina os servidores RADIUS: Adicione os endereços IP do seu servidor RADIUS e configure um segredo compartilhado forte e exclusivo para cada AP ou controlador wireless.
  2. Habilite o WPA3-Enterprise: Configure o SSID corporativo para usar WPA3-Enterprise. O WPA3 oferece proteção robusta contra ataques de dicionário offline e exige Protected Management Frames (PMF), protegendo o tráfego de controle pelo ar. Ofereça o WPA2-Enterprise como um modo de transição apenas onde existam clientes corporativos legados.
  3. Configuração de 802.1X/EAP: Defina o tipo de autenticação como 802.1X. Habilite a atribuição dinâmica de VLAN se o seu servidor RADIUS estiver configurado para retornar atributos de VLAN no pacote Access-Accept.

Tem dúvidas sobre a sua configuração específica?

A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.

Melhores Práticas

Para garantir estabilidade operacional, alta disponibilidade e segurança robusta, as implantações de EAP-TLS de classe empresarial devem aderir às seguintes melhores práticas padrão do setor:

1. Verificação de Revogação de Certificados

A validação em tempo real da validade do certificado é inegociável. Se um notebook corporativo for perdido ou roubado, seu acesso à rede deve ser encerrado imediatamente. Configure seu servidor RADIUS para impor uma verificação de revogação rigorosa usando:

  • Online Certificate Status Protocol (OCSP): Altamente recomendado para validação em tempo real e de baixa latência de certificados individuais.
  • Certificate Revocation Lists (CRLs): Configure um cache local da CRL no servidor RADIUS com atualizações frequentes (por exemplo, a cada 2 a 4 horas) para evitar interrupções de autenticação se a CA ficar offline.
  • Política de segurança contra falhas: Defina o comportamento do RADIUS quando os servidores de revogação estiverem inacessíveis. Para ambientes de alta segurança, o padrão deve ser "negar acesso" (hard-fail). Para a continuidade dos negócios em redes distribuídas de varejo ou hotelaria, uma política de "soft-fail" pode ser aplicada para restringir temporariamente o acesso a uma VLAN em quarentena.

2. Validação Rigorosa de Confiança do Lado do Cliente

Para mitigar ataques man-in-the-middle (MitM) - nos quais um invasor cria um access point invasor personificando o SSID corporativo - os dispositivos clientes devem ser rigorosamente configurados para validar a identidade do servidor RADIUS. Isso é imposto por meio do perfil wireless do MDM:

  • Desabilitar solicitações ao usuário: Garanta que a opção de "solicitar ao usuário para confiar em novos servidores ou autoridades de certificação" esteja desabilitada. Se ocorrer uma divergência de certificado do servidor, o dispositivo deve se desconectar silenciosamente em vez de permitir que o usuário ignore o aviso.
  • Correspondência explícita de domínio: Restrinja os servidores confiáveis a FQDNs específicos (por exemplo, radius01.purple.ai ou radius02.purple.ai).

3. Segmentação de Rede e Controle de Acesso Baseado em Função (RBAC)

Uma autenticação 802.1X bem-sucedida não deve conceder acesso lateral irrestrito à rede corporativa. Implemente a segmentação de rede na borda do wireless:

  • Use atributos RADIUS (por exemplo, Tunnel-Private-Group-ID para VLANs ou Filter-Id para ACLs) para atribuir dinamicamente clientes a segmentos de rede isolados com base em sua função (por exemplo, executivo, engenharia, RH, finanças).
  • Associe isso a uma solução moderna de Controle de Acesso à Rede (NAC) para monitorar continuamente a conformidade do dispositivo. Se um dispositivo ativo deixar de estar em conformidade no seu MDM (por exemplo, firewall desativado ou malware detectado), o MDM deve acionar a revogação do certificado ou notificar o NAC para reatribuir dinamicamente o dispositivo a uma VLAN de quarentena. Para uma visão abrangente dos principais sistemas de controle, consulte o nosso guia: 10 Melhores Soluções de Controle de Acesso à Rede (NAC) para 2026.

4. Alta Disponibilidade e Redundância Geográfica

Para operações de locais com múltiplos sites, uma interrupção do RADIUS significa que os dispositivos da equipe param de funcionar instantaneamente. Garanta que sua arquitetura seja totalmente redundante:

  • Implante pelo menos dois servidores RADIUS por região atrás de um balanceador de carga de nível empresarial ou configure-os como alvos primário e secundário no controlador sem fio.
  • Para implantações globais (por exemplo, redes de hotéis internacionais ou marcas de varejo), aproveite uma arquitetura Cloud RADIUS com pontos de presença (PoPs) geograficamente distribuídos para garantir handshakes de baixa latência e sobrevivência local. Este padrão é explorado detalhadamente em nosso guia técnico Como Implementar Autenticação 802.1X com Cloud RADIUS.

Resolução de Problemas e Mitigação de Riscos

A implantação do EAP-TLS elimina problemas relacionados a senhas, mas introduz dependências criptográficas e de infraestrutura. Compreender os modos de falha comuns e estabelecer um protocolo estruturado de resolução de problemas para as equipes operacionais é essencial.

Modos de Falha Comuns e Fluxos de Resolução

1. Falha de Handshake: "CA Desconhecida" ou "Certificado Não Confiável"

  • Sintoma: O dispositivo cliente tenta se conectar, mas desconecta imediatamente durante o handshake TLS. Os logs do RADIUS mostram TLS Alert: Alert Certificate Unknown.
  • Causa raiz: O cliente não confia na Autoridade Certificadora (CA) que assinou o certificado do servidor RADIUS ou o servidor RADIUS não confia na CA que assinou o certificado do cliente.
  • Resolução: Verifique se os certificados públicos da CA Raiz e da CA Emissora estão instalados corretamente no repositório confiável do cliente via MDM. Verifique se o repositório de confiança do servidor RADIUS contém o certificado da CA Emissora do cliente e se a cadeia de certificados do próprio certificado do servidor RADIUS está completa.

2. Falha de Inscrição SCEP

  • Sintoma: Um novo dispositivo corporativo não consegue se conectar ao WiFi porque não possui um certificado de cliente. Os logs do MDM mostram erros de inscrição SCEP.
  • Causa raiz: O gateway SCEP está inacessível, a senha de desafio SCEP expirou ou o servidor NDES (Network Device Enrollment Service) está com recursos esgotados.
  • Resolução: Verifique a conectividade de rede entre o cliente, o MDM e o gateway SCEP. Reinicie o application pool do NDES IIS e verifique se o serviço de validação de desafio SCEP está operando corretamente. Garanta que a conta de serviço do MDM possui as permissões apropriadas na CA.

3. Timeouts Silenciosos de Handshake

  • Sintoma: O cliente tenta se autenticar, mas a conexão expira por timeout. O log RADIUS não mostra nenhum registro da tentativa ou mostra um handshake parcialmente interrompido.
  • Causa raiz: Fragmentação de IP. A troca EAP-TLS envolve grandes payloads de certificados, fazendo com que os pacotes EAP excedam o MTU padrão de 1500 bytes. Se um switch ou roteador intermediário descartar os pacotes fragmentados, o handshake sofre timeout.
  • Resolução: Configure o atributo Framed-MTU no servidor RADIUS e nos controladores wireless. Definir o Framed-MTU como 1344 ou 1300 força o servidor RADIUS a fragmentar as mensagens EAP em pacotes menores que atravessam a rede de forma limpa, sem fragmentação na camada IP.

Protocolo de Diagnóstico Estruturado

Ao solucionar problemas de autenticação, os engenheiros de rede devem seguir este protocolo de diagnóstico sequencial:

+-------------------------------------------------------------+
| Passo 1: Verificar associação física/wireless no Access Point |
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Passo 2: Verificar a sessão EAP-TLS ativa nos logs em tempo real do RADIUS |
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Passo 3: Inspecionar detalhes do handshake TLS e OIDs EKU do certificado |
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Passo 4: Validar a acessibilidade e status de latência do CRL/OCSP |
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Passo 5: Verificar status do diretório de endpoints no Provedor de Identidade |
+-------------------------------------------------------------+

ROI e Impacto nos Negócios

A transição para o EAP-TLS representa uma mudança técnica significativa, mas o seu retorno sobre o investimento (ROI) é rápido e mensurável em dimensões operacionais, financeiras e de segurança.

1. Eliminação de Riscos Baseados em Credenciais

Redes baseadas em senhas são inerentemente vulneráveis ao compartilhamento de credenciais, ataques de força bruta e engenharia social. Em setores com alta rotatividade de pessoal, como Hospitality e Retail, gerenciar a segurança de senhas é um pesadelo operacional. Quando um funcionário sai, alterar uma senha WPA2 compartilhada em centenas de dispositivos é praticamente impossível, criando uma ameaça interna persistente. O EAP-TLS vincula o acesso à rede ao dispositivo físico. Quando um funcionário se desliga ou um dispositivo é desativado, o certificado é revogado no MDM, encerrando instantaneamente o acesso à rede em todos os locais físicos sem afetar nenhum outro dispositivo.

2. Redução de Custos Operacionais

De acordo com dados do setor, até 30% dos chamados de suporte de TI estão relacionados a redefinições de senha, bloqueios e problemas de conectividade sem fio causados pela expiração de credenciais. O EAP-TLS opera inteiramente em segundo plano. Uma vez provisionado via MDM, a conectividade é automática, silenciosa e permanente. Fluxos de trabalho automatizados de renovação de certificados garantem que os dispositivos permaneçam conectados sem a intervenção do usuário, eliminando milhares de horas de produtividade perdida e reduzindo drasticamente a sobrecarga do suporte de TI. Para ambientes de grande escala, como hubs de Healthcare ou Transport, essa eficiência operacional se traduz diretamente em centenas de milhares de libras em economia anual de custos de suporte.

3. Conformidade e Alinhamento Regulatório

Para locais que lidam com dados confidenciais, o controle robusto de acesso à rede é um mandato legal. O EAP-TLS atende diretamente e acelera a conformidade com as principais estruturas regulatórias:

  • PCI DSS 4.0 (Requisito 8): Exige autenticação criptográfica forte e verificação de credencial exclusiva para todos os componentes do sistema que acessam o ambiente de dados do portador do cartão. O EAP-TLS fornece uma identidade de dispositivo exclusiva e criptograficamente vinculada que atende totalmente a esse requisito para redes corporativas em ambientes de varejo e hotelaria.
  • GDPR: Exige que as organizações implementem medidas técnicas e organizacionais adequadas para garantir um nível de segurança apropriado ao risco. A autenticação TLS mútua fornece o mais alto nível de proteção contra acesso não autorizado a sistemas corporativos que contêm dados pessoais.
  • ISO/IEC 27001 (Controle A.8): Exige controle de acesso estrito e autenticação segura. O EAP-TLS fornece um registro preciso e criptograficamente auditável de qual dispositivo físico acessou a rede, em que momento e a partir de qual ponto de acesso.

Matriz de Valor Comercial

Para justificar a transição para a liderança executiva, os diretores de TI podem aproveitar a seguinte matriz de valor comercial:

Direcionador de Negócios Antes do EAP-TLS (Senhas/PEAP) Depois do EAP-TLS (Certificados) Impacto Financeiro e Operacional
Segurança de Credenciais Risco extremamente alto de colheita de credenciais, compartilhamento e ataques de força bruta. Criptograficamente seguro. Zero risco de roubo de credenciais pelo ar. Redução do risco de violação de dados (o custo médio de violação excede £3,4 milhões).
Sobrecarga de Onboarding Inserção manual de credenciais, treinamento de usuários, solução frequente de problemas de conectividade. Provisionamento em segundo plano sem toque via MDM. Conectividade instantânea. Redução de 90% nos chamados de onboarding relacionados a WiFi.
Offboarding/Revogação Exige alteração de chaves compartilhadas ou desativação manual de contas em múltiplos sistemas. Revogação instantânea de certificado com um clique via MDM/RADIUS. Eliminação imediata de vetores de ameaças internas e acesso de dispositivos não autorizados.
Auditorias de Conformidade Difícil comprovar a identidade exata do dispositivo; os logs dependem de credenciais de usuário falíveis. Trilha de auditoria criptograficamente verificável vinculando dispositivos físicos às sessões. Auditorias de conformidade simplificadas para PCI-DSS, GDPR e SOC 2.
Carga de Trabalho do Help-Desk Alto volume de chamados para redefinição de senhas, expiração de credenciais e estados de bloqueio. Quase zero chamados. Os certificados são renovados de forma silenciosa e automática em segundo plano. Realocação da equipe de TI para iniciativas estratégicas de alto valor.

Ao estruturar a migração para EAP-TLS em torno da mitigação de riscos, eficiência operacional e conformidade, os líderes de TI podem apresentar um caso de negócios convincente que alinha a segurança da rede diretamente com os objetivos financeiros e estratégicos corporativos.

Referências

Definições principais

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. Um protocolo de autenticação de rede definido por RFC que usa criptografia mútua baseada em certificados para proteger conexões sob o IEEE 802.1X.

O padrão ouro absoluto para segurança de rede sem fio corporativa, eliminando senhas por completo.

Suplicante

O cliente de software executado em um dispositivo de endpoint (como um notebook, tablet ou smartphone) que inicia uma solicitação de autenticação 802.1X e negocia o handshake EAP.

O suplicante deve ser configurado via MDM para apresentar o certificado de cliente correto e confiar no servidor RADIUS.

Autenticador

O dispositivo de rede (geralmente um Access Point sem fio ou Switch cabeado) que controla o acesso físico à rede. Ele transmite pacotes EAP entre o Suplicante e o servidor RADIUS, mas não processa as credenciais em si.

O AP age como um guardião, mantendo a porta bloqueada até que o servidor RADIUS retorne um Access-Accept.

RADIUS

Remote Authentication Dial-In User Service. Um protocolo de rede que fornece gerenciamento centralizado de Autenticação, Autorização e Contabilidade (AAA) para usuários e dispositivos que se conectam a uma rede.

O servidor RADIUS finaliza o handshake EAP-TLS, valida os certificados e instrui o AP a conceder ou negar o acesso.

PKI

Public Key Infrastructure. Uma estrutura de funções, políticas, hardware, software e procedimentos necessários para criar, gerenciar, distribuir, usar, armazenar e revogar certificados digitais e gerenciar a criptografia de chave pública.

A PKI atua como a raiz de confiança; sua Autoridade Certificadora assina as credenciais que comprovam a identidade na rede.

SCEP

Simple Certificate Enrolment Protocol. Um protocolo baseado em IP que automatiza a proteção e o provisionamento de certificados digitais para dispositivos de rede, geralmente gerenciado por meio de uma plataforma MDM.

O SCEP é crítico para escalar o EAP-TLS, permitindo que os dispositivos registrem e renovem certificados silenciosamente, sem a intervenção da TI.

OCSP

Online Certificate Status Protocol. Um protocolo de internet usado por dispositivos de rede para obter o status de revogação de um certificado digital X.509 em tempo real, servindo como uma alternativa às CRLs.

Servidores RADIUS usam OCSP para verificar instantaneamente se um certificado de cliente apresentado foi revogado devido à perda do dispositivo ou demissão de funcionário.

WPA3-Enterprise

O padrão de segurança mais recente da WiFi Alliance para redes corporativas. Ele exige Protected Management Frames (PMF) e oferece um modo de segurança de 192 bits que se alinha à criptografia Suite B da NSA.

A combinação do WPA3-Enterprise com EAP-TLS oferece a postura de segurança sem fio mais robusta disponível comercialmente.

Exemplos práticos

Uma marca de hotéis de luxo com 45 propriedades globalmente deseja proteger seus dispositivos corporativos de back-of-house (laptops da recepção, tablets de governança e smartphones de gerentes) em um SSID dedicado. Atualmente, eles usam uma única chave pré-compartilhada (PSK) em todas as propriedades, que já vazou várias vezes. Eles possuem o Microsoft Entra ID e o Microsoft Intune para gerenciamento de dispositivos, mas não têm Active Directory local ou PKI.

Implante uma arquitetura EAP-TLS nativa da nuvem usando o Microsoft Intune e uma PKI hospedada na nuvem integrada ao Cloud RADIUS.

  1. Configuração da PKI: Crie uma PKI hospedada na nuvem (como SCEPman ou EZCA) integrada diretamente ao Microsoft Entra ID. Gere um certificado de CA emissora.
  2. Configuração do Intune:
    • Crie um Perfil de Certificado Confiável no Intune e envie o certificado público da CA emissora na nuvem. Atribua este perfil a 'Todos os Dispositivos' (Windows, iOS, Android).
    • Configure um Perfil de Certificado SCEP no Intune apontando para a URL SCEP da PKI na nuvem. Defina o Formato do Nome do Assunto como CN={{AADDeviceId}} e o Nome Alternativo do Assunto como UPN. Adicione o OID EKU de 'Autenticação do Cliente' (1.3.6.1.5.5.7.3.2).
    • Crie um Perfil de WiFi no Intune. Defina o SSID como 'Purple-Staff', o tipo de segurança como WPA3-Enterprise e o tipo de EAP como EAP-TLS. Selecione o Perfil de Certificado Confiável como a âncora raiz e especifique os FQDNs dos servidores Cloud RADIUS. Vincule o perfil de certificado SCEP como a credencial do cliente.
  3. Integração RADIUS: Configure o serviço Cloud RADIUS (por exemplo, JoinNow ou Foxpass) para confiar na CA emissora na nuvem. Configure a política RADIUS para validar os certificados de cliente em relação ao Entra ID, verificando se o dispositivo está marcado como 'Em conformidade' no Intune antes de retornar um pacote Access-Accept.
  4. Configuração do Controlador Wireless: No controlador wireless centralizado (ou painel na nuvem como Meraki/Aruba Central), configure o SSID 'Purple-Staff' para apontar para os endereços IP do Cloud RADIUS usando 802.1X. Ative o WPA3-Enterprise com o modo de transição WPA2-Enterprise.
Comentário do examinador: Esta abordagem nativa da nuvem é altamente recomendada para operadores de múltiplos locais, como redes de hotéis. Ao evitar o Active Directory local e o AD CS legado, a marca de hotéis elimina a sobrecarga de infraestrutura local e evita a complexidade operacional de gerenciar VPNs ou servidores locais em cada propriedade. A utilização de perfis SCEP do Microsoft Intune garante que os tablets de governança e os laptops da recepção sejam provisionados automaticamente com certificados exclusivos e não exportáveis. Integrar o servidor RADIUS ao status de conformidade de dispositivos do Entra ID fornece uma postura de segurança dinâmica: se o tablet de um gerente for marcado como 'não conforme' devido a uma atualização de segurança ausente, o RADIUS nega imediatamente o acesso à rede, protegendo o ambiente de back-of-house contra movimentação lateral de ameaças.

Uma organização do setor público que gerencia 12 escritórios municipais locais deseja fazer a transição de 1.500 laptops corporativos Windows de PEAP-MSCHAPv2 para EAP-TLS. Atualmente, eles possuem um ambiente local de Active Directory Domain Services (AD DS) com Active Directory Certificate Services (AD CS) atuando como sua CA corporativa. Os laptops são ingressados no domínio e gerenciados por meio de Objetos de Diretiva de Grupo (GPOs).

Aproveite a infraestrutura existente de AD CS e Active Directory para implantar EAP-TLS via auto-enrolment de Diretiva de Grupo.

  1. Configuração da CA: Na CA de Emissão do AD CS, duplique o modelo de certificado padrão 'Workstation Authentication'. Nomeie o novo modelo como 'Corporate Wireless Authentication'. Na guia Segurança, conceda permissões de Leitura, Inscrição e Auto-inscrição para 'Domain Computers'. Certifique-se de que o modelo contém o EKU 'Client Authentication'.
  2. Configuração de Diretiva de Grupo (GPO):
    • Crie uma nova GPO chamada 'Wireless Certificate Auto-Enrollment'. Navegue até Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Public Key Policies. Abra 'Certificate Services Client - Auto-Enrollment', defina como 'Enabled' e marque 'Renew expired certificates, update pending certificates, and remove revoked certificates'.
    • Na mesma GPO, navegue até Wireless Network (802.11) Policies. Crie uma nova política de rede sem fio. Configure o nome do SSID, defina a segurança como WPA3-Enterprise, selecione EAP-TLS e marque explicitamente o certificado AD CS Root CA na lista de certificados confiáveis. Especifique o FQDN dos servidores RADIUS locais (por exemplo, Cisco ISE).
  3. Política RADIUS (Cisco ISE): Importe o certificado AD CS Root CA para o repositório de Certificados Confiáveis do Cisco ISE. Configure uma Política de Autenticação para aceitar EAP-TLS. Configure uma Política de Autorização que verifique se o computador que está se conectando pertence ao grupo do Active Directory 'Domain Computers' e, em caso afirmativo, atribua-o dinamicamente à VLAN corporativa segura.
Comentário do examinador: Isso representa um padrão clássico de implantação empresarial local. Ao aproveitar o AD CS e a Diretiva de Grupo, a organização obtém 100% de automação na inscrição de certificados sem a necessidade de adquirir software de terceiros adicional. A principal vantagem arquitetônica é a integração estreita com o Active Directory Domain Services: quando um notebook é excluído do AD (por exemplo, quando desativado), sua conta de computador torna-se inativa e o Cisco ISE rejeitará automaticamente seu handshake EAP-TLS, mesmo que o certificado físico no dispositivo ainda não tenha expirado. O principal risco operacional é a latência de replicação da GPO nos 12 escritórios; as equipes de rede devem garantir que a auto-inscrição de certificados seja concluída com êxito em conexões cabeadas antes de migrar o SSID sem fio para o modo exclusivo EAP-TLS.

Uma empresa que opera um grande centro de exposições e convenções deseja proteger sua rede corporativa usada por leitores portáteis da equipe de eventos, terminais de ingressos e equipamentos de produção de mídia. O local apresenta alta interferência de RF durante os eventos e exige tempos de roaming inferiores a um segundo para os funcionários que se deslocam por uma área de 50.000 metros quadrados. Eles utilizam uma controladora física Ruckus SmartZone e servidores FreeRADIUS locais.

Implante EAP-TLS localmente com FreeRADIUS, otimizado para Transição Rápida (802.11r) e mitigação de fragmentação de pacotes.

  1. PKI e Geração de Certificados: Use uma CA local para emitir certificados. Como os terminais de ingressos e scanners podem rodar sistemas operacionais especializados (Android Enterprise, Linux customizado), gere certificados de cliente usando chaves ECC SECP256R1 para reduzir o tamanho do payload do certificado, o que acelera o handshake criptográfico.
  2. Ajuste do FreeRADIUS:
    • Em eap.conf, defina fragment_size = 1024. Isso força o FreeRADIUS a fragmentar payloads de certificados grandes em pacotes EAP menores do que o MTU padrão da rede, evitando quedas de pacotes em links WAN ou canais sem fio congestionados.
    • Certifique-se de que cache = yes está configurado na seção TLS para habilitar a retomada de sessão TLS. Isso permite que clientes em roaming se autentiquem novamente usando um handshake reduzido (sem reenviar certificados completos), diminuindo os tempos de roaming para menos de 50 milissegundos.
  3. Ajuste do Controlador Sem Fio (SmartZone):
    • Configure o SSID da equipe com WPA3-Enterprise e habilite o 802.11r (Fast BSS Transition). Configure o roaming Over-the-Air (OTA).
    • Mapeie o SSID para os servidores FreeRADIUS primário e secundário.
    • Defina o timeout do RADIUS no controlador para 5 segundos com 3 tentativas para lidar com eventuais perdas de pacotes de RF sem derrubar as sessões dos clientes.
Comentário do examinador: Ambientes de locais de alta densidade apresentam desafios únicos de camada física para o 802.1X. O principal modo de falha nesses ambientes não é criptográfico, mas sim a perda de pacotes devido ao congestionamento de RF e à fragmentação de IP. Ao ajustar o `fragment_size` no FreeRADIUS para 1024, eliminamos falhas silenciosas de autenticação causadas por switches intermediários que descartam pacotes UDP fragmentados. A implementação da Transição Rápida 802.11r combinada com a Retomada de Sessão TLS é crítica; ela permite que um scanner de ingressos faça roaming de forma integrada entre APs no piso de exposição sem realizar um handshake mútuo EAP-TLS completo todas as vezes, mantendo a conectividade contínua com o banco de dados e evitando gargalos de fila na entrada do local.

Questões práticas

Q1. Uma rede de varejo com 300 lojas deseja implementar EAP-TLS para seus scanners de inventário corporativo. Durante o piloto, eles descobrem que, enquanto os laptops autenticam em menos de um segundo, alguns scanners manuais mais antigos levam até 10 segundos para autenticar ou falham completamente em links de WAN remotos que conectam as lojas ao servidor RADIUS central. Qual é a causa técnica mais provável desse problema e como ele deve ser resolvido?

Dica: Considere o tamanho do payload do certificado e o impacto da latência de WAN e da fragmentação de pacotes no tráfego RADIUS baseado em UDP.

Ver resposta modelo

O problema técnico é causado pela fragmentação de pacotes EAP combinada com a perda de pacotes e latência da WAN. Os handshakes EAP-TLS envolvem a transmissão de cadeias de certificados X.509 completas, que frequentemente excedem a MTU padrão da rede (1500 bytes). Quando esses payloads são enviados via RADIUS baseado em UDP, eles precisam ser fragmentados. Se os roteadores WAN intermediários descartarem um único fragmento, todo o handshake EAP falha, precisando expirar o tempo limite e reiniciar, o que é altamente perceptível em links remotos de alta latência.

Para resolver esse problema, a equipe de rede deve:

  1. Ajustar o Framed-MTU: Configurar o atributo Framed-MTU no servidor RADIUS e no controlador sem fio para um valor menor (como 1300 ou 1200). Isso força o servidor RADIUS a fragmentar as mensagens EAP na camada de aplicação em pacotes menores que podem atravessar a WAN sem fragmentação na camada IP.
  2. Otimizar o Tamanho do Certificado: Emitir novamente os certificados de cliente para os scanners usando Criptografia de Curva Elíptica (ECC) com chaves SECP256R1 em vez de RSA 2048. Os certificados ECC são significativamente menores (aprox. 300 bytes contra 2048 bytes do RSA), reduzindo o número de fragmentos necessários para o handshake.
  3. Habilitar o TLS Session Resumption: Configurar o FreeRADIUS/RADIUS para armazenar em cache as sessões TLS. Quando um scanner realiza roaming ou reconecta, ele pode realizar um handshake abreviado que não exige a transmissão da cadeia de certificados completa, reduzindo o tempo de autenticação para menos de 100 milissegundos.

Q2. Um administrador de segurança de TI configura um SSID EAP-TLS via MDM. Ele envia o certificado do cliente e o perfil de rede sem fio para todos os laptops corporativos. No entanto, durante os testes, ele percebe que os laptops ainda se conectam ocasionalmente a um ponto de acesso invasor que transmite o mesmo nome de SSID, e uma solicitação é exibida perguntando ao usuário se ele confia em um novo certificado de servidor. Qual erro de configuração foi cometido no perfil do MDM e qual é o risco de segurança?

Dica: Analise as configurações de verificação de confiança dentro da configuração do perfil sem fio do MDM.

Ver resposta modelo

O erro de configuração é que o perfil sem fio implantado via MDM não possui a Validação Estrita de Confiança do Servidor (Strict Server Trust Validation) ativada. Especificamente, o administrador falhou em especificar explicitamente os FQDNs dos servidores RADIUS confiáveis e não desativou a opção de "Solicitar ao usuário para confiar em novos servidores".

O risco de segurança é um ataque Man-in-the-Middle (MitM) / Rogue AP. Se um invasor configurar um ponto de acesso malicioso transmitindo o mesmo SSID corporativo e apresentando um certificado autoassinado, o dispositivo cliente tentará se autenticar. Como a validação estrita não é aplicada, o sistema operacional solicita que o usuário confie no novo certificado. Se um funcionário não técnico clicar em "Confiar" ou "Conectar assim mesmo", o Rogue AP poderá estabelecer uma conexão. Embora o EAP-TLS evite que o invasor roube a senha do usuário (pois nenhuma é enviada), o invasor agora pode interceptar o tráfego de rede não criptografado, realizar spoofing de DNS ou executar exploits locais no endpoint.

Q3. A operadora de um estádio implantou EAP-TLS para 200 terminais móveis de PDV (Ponto de Venda) da equipe usados durante as partidas. No dia do jogo, quando 50.000 torcedores entraram no estádio, os terminais de PDV apresentaram quedas frequentes de autenticação e desconexões, impactando severamente as vendas nas concessões. Os logs do RADIUS mostraram altas taxas de erros de "Handshake Timeout" e "Max Retries Exceeded", mas a utilização de CPU e memória nos servidores RADIUS permaneceu abaixo de 15%. Quais fatores das camadas física e lógica causaram essa falha e como a arquitetura deve ser otimizada?

Dica: Considere o impacto do congestionamento extremo de RF nos handshakes criptográficos e o papel dos protocolos de otimização de roaming.

Ver resposta modelo

Esta falha é um caso clássico de congestionamento de RF levando a timeouts no handshake criptográfico. O EAP-TLS exige múltiplos frames de ida e volta (normalmente de 4 a 6 viagens de ida e volta) para concluir o handshake mútuo de TLS. Em um ambiente de estádio com 50.000 dispositivos clientes ativos, as bandas de 2,4GHz e 5GHz sofrem severas colisões de pacotes e altas taxas de retransmissão. Como o EAP-TLS gera muito tráfego pelo ar, a perda de um pacote em qualquer um dos frames do handshake força a máquina de estados do EAP a expirar por timeout e reiniciar todo o handshake, gerando uma cascata de falhas.

Para otimizar a arquitetura e resolver o problema, o operador deve implementar as seguintes otimizações físicas e lógicas:

  1. Ativar Roaming Rápido (802.11r): Configure o 802.11r (Fast BSS Transition) no SSID dos PDVs. Isso permite que os terminais negociem as chaves de roaming antes de se moverem para um novo AP, reduzindo a troca de pacotes pelo ar durante os roams.
  2. Implementar a Retomada de Sessão TLS (TLS Session Resumption): Garanta que o servidor RADIUS tenha o cache de sessão TLS ativado. Quando um terminal se reconecta ou faz roaming, ele pode realizar um handshake abreviado (exigindo apenas 1 a 2 viagens de ida e volta e nenhuma transmissão de certificado), reduzindo significativamente o consumo de tempo de transmissão aérea e a exposição à perda de pacotes por RF.
  3. Sintonização de RF Dedicada: Mova os terminais de PDV exclusivamente para as bandas de 5GHz ou 6GHz. Desative a frequência de 2,4GHz no SSID dos PDVs. Implemente um planejamento de canais rigoroso, reduza a largura do canal para 20MHz para maximizar os canais não sobrepostos disponíveis e configure taxas de dados básicas mínimas (por exemplo, desativando taxas abaixo de 12Mbps ou 24Mbps) para eliminar o overhead de frames de gerenciamento das ondas de rádio.

Perguntas frequentes

What is certificate-based authentication (EAP-TLS) for corporate devices?

EAP-TLS (RFC 5216) is the industry standard for enterprise 802.1X wireless security. It replaces shared passwords with mutual cryptographic authentication: the client device verifies the RADIUS server certificate against a trusted Root CA, and the RADIUS server verifies the client X.509 certificate before granting network access.

How does EAP-TLS eliminate password-related security risks on enterprise WiFi?

By utilizing asymmetric public-key cryptography and hardware-backed key storage (TPM 2.0 or Apple Secure Enclave), EAP-TLS makes private keys non-exportable. This neutralizes brute-force dictionary attacks, credential stuffing, evil twin rogue AP harvesting, and phishing. Organizations also eliminate employee password expiration disruptions and helpdesk reset tickets entirely.

How do IT administrators automate client certificate deployment across corporate fleets?

Organizations automate certificate lifecycle management by pairing Mobile Device Management (MDM) solutions - such as Microsoft Intune, Jamf Pro, or VMware Workspace ONE - with SCEP (RFC 8894) or EST (RFC 7030). The MDM delivers an enterprise WiFi configuration and instructs the device to generate a private key on-chip and request a signed certificate from the enterprise PKI without end-user intervention.

What is the difference between SCEP and EST for enterprise certificate enrollment?

SCEP is the established protocol supported across enterprise MDMs and operating systems; it relies on HTTP with PKCS#7 envelope encryption and shared challenge passwords. EST is the TLS-native successor providing direct TLS client authentication, ECC curve support, and server-side key generation, making it popular in high-security and IoT environments.

How does certificate revocation checking (OCSP and CRL) work during 802.1X authentication?

During the EAP-TLS handshake, the RADIUS server verifies whether the presented client certificate has been revoked. With CRLs, the RADIUS server periodically downloads a signed list of revoked certificate serial numbers. With OCSP (RFC 6960), the RADIUS server queries an OCSP responder in real time to confirm certificate validity before returning a RADIUS Access-Accept.

How does Purple Cloud RADIUS simplify enterprise EAP-TLS deployment?

Purple Cloud RADIUS eliminates on-premises FreeRADIUS, Microsoft NPS, and Cisco ISE hardware infrastructure. It delivers high-availability multi-region 802.1X authentication, integrates directly with leading cloud PKIs and MDM providers, validates client certificates in milliseconds, and enforces dynamic VLAN steering and role-based network segmentation at cloud scale.

Fontes

  1. https://datatracker.ietf.org/doc/html/rfc5216
  2. https://standards.ieee.org/ieee/802.1X/7343/
  3. https://www.wi-fi.org/discover-wi-fi/security
  4. https://www.pcisecuritystandards.org/
  5. https://gdpr-info.eu/

Continue a ler esta série

Gerenciando a segurança de BYOD (Bring Your Own Device) em redes de funcionários

Um guia de referência técnico e autoritativo para gerentes de TI corporativos e arquitetos de rede sobre como proteger o acesso Bring Your Own Device (BYOD) em redes de funcionários. Este guia descreve a arquitetura de rede exata, os protocolos de autenticação e os fluxos de integração de MDM necessários para mitigar vazamentos de dados e manter a conformidade regulatória em locais de grande movimentação.

Ler o guia →

Mitigando Rogue Access Points em Redes Corporativas

Este guia de referência técnica detalha a arquitetura, implantação e procedimentos operacionais para mitigar rogue access points em redes corporativas usando Wireless Intrusion Prevention Systems (WIPS) e Wireless Intrusion Detection Systems (WIDS). Ele fornece estruturas práticas para administradores de segurança de TI detectarem, classificarem e neutralizarem APs não autorizados em ambientes físicos complexos, incluindo hotelaria, varejo, saúde e setores públicos. O guia abrange classificação de ameaças, mecanismos de contenção automatizados, implicações de conformidade (PCI-DSS, GDPR, HIPAA) e resultados de negócios mensuráveis.

Ler o guia →

Políticas de BYOD Seguras para Redes WiFi de Funcionários

Este guia de autoridade fornece aos líderes de TI uma estrutura neutra em relação a fornecedores para a integração segura de dispositivos pessoais de funcionários. Ele detalha as decisões críticas de arquitetura - incluindo segmentação de rede, autenticação EAP-TLS e integração com MDM - necessárias para dar suporte ao BYOD sem comprometer a infraestrutura corporativa principal.

Ler o guia →

Tem dúvidas sobre a sua configuração específica?

A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.