Dynamic Pre-Shared Keys (DPSK) para segurança multi-inquilino

ROTEIRO DE PODCAST: "Dynamic Pre-Shared Keys (DPSK) para Segurança Multi-Tenant" Um Informativo Técnico da Purple WiFi Intelligence Duração aproximada: 10 minutos Voz: Inglês britânico, tom de consultor sênior - confiante, coloquial e autoritário. [INTRODUÇÃO E CONTEXTO - aproximadamente 1 minuto] Boas-vindas ao Podcast Purple WiFi Intelligence. Eu sou o seu apresentador e hoje vamos abordar um tema que se tornou uma das conversas mais frequentes que tenho com gerentes de TI e arquitetos de rede em hotéis, redes de varejo, estádios e centros de convenções. O assunto é Dynamic Pre-Shared Keys - DPSK. Se você atualmente utiliza uma única senha de WiFi compartilhada em um local multi-tenant, ou se está tentando entender se realmente precisa de toda a complexidade da autenticação enterprise 802.1X, este episódio vai lhe trazer uma resposta clara e prática. Vamos explicar o que o DPSK realmente é por trás dos panos, como ele se compara às alternativas, por que se tornou a arquitetura preferida dos operadores de locais públicos e como implantá-lo sem as armadilhas que costumam prejudicar a maioria das equipes. Também faremos uma rodada rápida de perguntas e respostas no final. Vamos começar. [IMERSÃO TÉCNICA - aproximadamente 5 minutos] Vamos começar com o problema que o DPSK resolve, porque entender o problema é metade da batalha. Em uma implantação padrão WPA2-Personal - o que a maioria das pessoas considera uma rede WiFi normal - cada dispositivo que se conecta àquele SSID usa a mesma chave pré-compartilhada. Uma senha, compartilhada por todos. Em um hotel de 300 quartos, isso significa que cada hóspede, cada funcionário, cada dispositivo IoT no prédio e cada prestador de serviços que já esteve no local está se autenticando com a mesma credencial. As implicações de segurança são significativas. Se um único hóspede compartilhar essa senha externamente, ou se ela acabar em um aplicativo de compartilhamento de WiFi, você perdeu o controle do perímetro da sua rede. E se você precisar revogar o acesso - por exemplo, quando um hóspede faz o checkout ou o contrato de um prestador de serviços termina - você precisa alterar a senha de todo mundo. Isso não é gerenciamento de rede, é um risco. No outro extremo, temos o 802.1X - o padrão IEEE para controle de acesso à rede baseado em porta. O 802.1X é excelente. Ele oferece autenticação por usuário, identidade baseada em certificados e aplicação de políticas granulares. No entanto, ele exige uma infraestrutura de servidor RADIUS, exige a configuração de um suplicante em cada dispositivo e, para um ambiente onde os hóspedes trazem notebooks pessoais, telefones, smart TVs, consoles de videogame e dongles de streaming - muitos dos quais possuem suporte limitado ou nulo ao suplicante 802.1X - a experiência de integração é realmente complicada. Você simplesmente não pode pedir a um hóspede de hotel que instale um certificado em seu dispositivo pessoal para que ele consiga se conectar ao WiFi. O DPSK se posiciona exatamente no meio dessas duas abordagens. Veja como ele funciona tecnicamente. Com DPSK, você ainda opera um SSID WPA2-Personal - portanto, do ponto de vista do dispositivo, ele está se conectando a uma rede WiFi padrão usando uma chave pré-compartilhada. Sem certificados, sem suplicante RADIUS, sem integração complexa. O convidado insere uma senha e já está conectado. Mas nos bastidores, o controlador sem fio ou a plataforma de gerenciamento em nuvem mantém um banco de dados de chaves pré-compartilhadas exclusivas - uma por quarto, uma por usuário, uma por grupo de dispositivos, independentemente de como você queira estruturar. Quando um dispositivo se conecta e apresenta sua chave, o controlador associa essa chave a um registro de identidade e aplica a política de rede correspondente - atribuição de VLAN, limites de largura de banda, listas de controle de acesso. A principal percepção aqui é que a exclusividade da credencial ocorre no nível do controlador, não no nível do dispositivo. O dispositivo não precisa saber que possui uma chave exclusiva. Ele apenas se conecta normalmente. Mas a sua rede sabe exatamente a quem esse dispositivo pertence e pode aplicar a política de acordo. Agora, a terminologia pode ser confusa aqui, porque diferentes fornecedores usam nomes diferentes para o mesmo conceito. A Cisco chama de iPSK - Identity PSK. A Aruba chama de MPSK - Multi-PSK. A Ruckus chama de DPSK - Dynamic PSK. O princípio subjacente é idêntico em todos os três. Os detalhes de implementação diferem um pouco, particularmente em relação a como os atributos RADIUS são estruturados, mas a arquitetura é a mesma. Do ponto de vista dos padrões, o DPSK opera dentro da estrutura WPA2-Personal, que é compatível com IEEE 802.11. Alguns fornecedores estão estendendo isso com recursos WPA3-SAE, o que adiciona sigilo de encaminhamento e resistência a ataques de dicionário offline. Se você estiver implantando uma nova infraestrutura, vale a pena especificar pontos de acesso compatíveis com WPA3 - eles preparam sua implantação de DPSK para o futuro e se alinham com a direção que o setor está seguindo. Deixe-me falar sobre o direcionamento de VLAN, porque é aqui que o DPSK realmente mostra seu valor em um ambiente multi-inquilino. Em um hotel, você normalmente deseja, no mínimo, quatro segmentos de rede: uma VLAN de convidado para dispositivos pessoais, uma VLAN de equipe para sistemas operacionais, uma VLAN de IoT para tecnologia de quarto inteligente, CFTV e sistemas de gerenciamento predial, e uma VLAN de PDV ou pagamento para qualquer infraestrutura de ponto de venda que precise estar em conformidade com o PCI-DSS. Com uma única PSK compartilhada, você não pode diferenciar entre esses grupos sem implantar vários SSIDs - o que cria congestionamento de radiofrequência e sobrecarga de gerenciamento. Com DPSK, um único SSID pode direcionar dinamicamente cada dispositivo conectado para a VLAN correta com base em qual chave ele apresentou. Limpo, escalável e operacionalmente simples. A capacidade de gerenciamento do ciclo de vida é igualmente importante. Quando um hóspede faz o check-out, você revoga sua DPSK. Seus dispositivos perdem o acesso. Nenhum outro hóspede é afetado. Sem alteração de senha, sem chamadas de suporte, sem interrupção. Para um hotel com 300 quartos e uma rotatividade diária de hóspedes, essa eficiência operacional se acumula significativamente ao longo do tempo - e pode ser totalmente automatizada por meio da integração com o seu Sistema de Gestão de Propriedade (PMS). Do ponto de vista de conformidade - e isso importa particularmente para GDPR, para PCI-DSS e para qualquer operador que lide com dados pessoais na rede - a DPSK oferece a trilha de auditoria que uma PSK compartilhada simplesmente não pode fornecer. Você pode atribuir a atividade de rede a uma credencial específica e, portanto, a um registro de hóspede ou dispositivo específico. Isso não é apenas uma boa prática; em alguns contextos regulatórios, é um requisito. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS - aproximadamente 2 minutos] Vamos falar sobre implantação. Algumas coisas que precisam ser feitas corretamente desde o início. Primeiro, geração e distribuição de chaves. Suas chaves DPSK precisam ser suficientemente longas e aleatórias - no mínimo 20 caracteres, idealmente 32. Gere-as programaticamente usando um gerador de números aleatórios criptograficamente seguro. O mecanismo de distribuição também importa. Em um hotel, imprimir a chave exclusiva no envelope do cartão de acesso do hóspede, entregá-la por email no check-in ou integrá-la ao seu PMS para enviá-la via SMS - todas essas são abordagens válidas. O importante é que a distribuição seja automatizada e vinculada ao fluxo de trabalho existente de gerenciamento de hóspedes. Segundo, suporte ao controlador. Nem todos os controladores sem fio implementam a DPSK da mesma forma. Cisco Meraki, Aruba Central, Ruckus SmartZone, Juniper Mist e Extreme Networks possuem implementações, mas os limites de escala, recursos de API e granularidade de direcionamento de VLAN variam. Antes de se comprometer com uma plataforma, valide o número máximo de chaves exclusivas suportadas por SSID. Algumas plataformas mais antigas limitam isso a algumas centenas, o que é inadequado para um local de grande porte. Terceiro - e esta é a armadilha mais comum que vejo - a randomização de endereços MAC. Os sistemas operacionais modernos, iOS 14 e posterior, Android 10 e posterior, Windows 11, todos usam a randomização de endereços MAC por padrão por motivos de privacidade. Se a sua implementação de DPSK depender de consultas de endereço MAC no repositório de identidade RADIUS, um dispositivo que apresente um endereço MAC randomizado não será encontrado e será rejeitado. A solução é configurar seu SSID para exigir que os clientes usem o endereço MAC permanente do dispositivo ou implementar um fluxo de trabalho de pré-registro. Isso precisa estar no seu plano de implantação desde o primeiro dia - é um problema solucionável, mas que pega as equipes de surpresa se não planejarem para isso. Quarto, resiliência do servidor RADIUS. Sua implantação de DPSK é tão confiável quanto sua infraestrutura RADIUS. Se o servidor RADIUS estiver indisponível, nenhum novo dispositivo poderá se autenticar. Planeje para redundância - servidores RADIUS primário e secundário, com configuração apropriada de failover em seu controlador sem fio. O erro a ser evitado acima de tudo: implantar DPSK sem um processo documentado de ciclo de vida das chaves. Chaves que nunca são revogadas se acumulam com o tempo e se tornam um risco de segurança. Crie o fluxo de trabalho de revogação antes de entrar em operação, não depois. [PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto] Certo, vamos para algumas perguntas rápidas. "O DPSK é o mesmo que iPSK e MPSK?" - Funcionalmente, sim. DPSK é a terminologia da Ruckus, iPSK é da Cisco, MPSK é da Aruba. Mesmo conceito, marcas de fabricantes diferentes. "O DPSK funciona com WPA3?" - Sim, com ressalvas. A maioria das controladoras modernas suporta DPSK em modo de transição WPA2 e WPA3. Para um ambiente WPA3 puro, verifique as orientações específicas de implementação do seu fabricante, pois o WPA3-SAE altera o mecanismo de handshake. "O DPSK pode funcionar sem um servidor RADIUS?" - Algumas plataformas de controladoras implementam o DPSK nativamente sem um servidor RADIUS separado, armazenando o banco de dados de chaves localmente. Isso simplifica a implantação, mas limita a escalabilidade e as opções de integração. "Qual é o número máximo de chaves exclusivas por SSID?" - Depende da controladora. Plataformas corporativas normalmente suportam milhares. O limite prático geralmente é o desempenho de consulta do seu provedor de identidade, não a controladora WiFi em si. "O DPSK é adequado para a conformidade com o PCI-DSS?" - O DPSK pode apoiar a conformidade com o PCI-DSS ao permitir o isolamento criptográfico de dispositivos de processamento de pagamentos em uma VLAN dedicada. No entanto, ele deve fazer parte de uma estrutura de conformidade mais ampla, e não ser tratado como uma solução de conformidade isolada. [RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto] Para resumir: o DPSK é a arquitetura certa para qualquer implantação em locais multi-tenant onde você precisa de responsabilidade por usuário ou por sala sem a complexidade de uma infraestrutura 802.1X completa. Ele oferece credenciais exclusivas por locatário, direcionamento dinâmico de VLAN, gerenciamento granular do ciclo de vida e uma trilha de auditoria pronta para conformidade - tudo com uma experiência de integração de dispositivos que é tão simples quanto digitar uma senha de WiFi. Se você estiver planejando uma nova implantação ou buscando atualizar uma rede PSK compartilhada existente, os próximos passos práticos são: auditar sua plataforma de controladora WiFi atual para suporte a DPSK, definir seu modelo de segmentação de VLAN com base nos tipos de locatários, mapear seu fluxo de trabalho de ciclo de vida das chaves, desde o provisionamento até a revogação, e planejar a randomização de endereços MAC desde o primeiro dia. A plataforma da Purple fornece a camada de orquestração que fica entre o seu provedor de identidade e sua infraestrutura WiFi para automatizar todo o ciclo de vida das chaves DPSK - desde o provisionamento no check-in até a revogação no check-out, com análises e relatórios completos por cima. Para saber mais sobre arquitetura WiFi multi-tenant e controle de acesso à rede, os links estão nas notas do programa. Obrigado por ouvir. Até a próxima.