O que é a autenticação 802.1X? Como funciona e por que ela é importante

O que é a autenticação 802.1X? Como funciona e por que ela é importante Um Informativo Técnico da Purple - aproximadamente 10 minutos --- INTRODUÇÃO E CONTEXTO - aproximadamente 1 minuto Boas-vindas à série de Informativos Técnicos da Purple. Sou o seu anfitrião e hoje vamos abordar um dos padrões mais importantes - e frequentemente mal compreendidos - em redes corporativas: a autenticação IEEE 802.1X. Se você é um gerente de TI, arquiteto de rede ou CTO responsável por uma implantação em vários locais - seja um grupo de hotéis, uma rede de varejo, um estádio ou um patrimônio do setor público - este é um padrão que você precisa entender profundamente. Não por ser academicamente interessante, mas porque acertar na sua implementação é a diferença entre uma rede que realmente protege a sua organização e uma que oferece uma falsa sensação de segurança. Nos próximos dez minutos, abordaremos o que o 802.1X realmente é, como o fluxo de autenticação funciona nos bastidores, onde ele se encaixa na sua arquitetura de segurança mais ampla, como implantá-lo sem as armadilhas comuns e como se apresenta o caso de negócios em termos reais. Vamos começar. --- MERGULHO TÉCNICO PROFUNDO - aproximadamente 5 minutos Então, o que é o 802.1X? Em sua essência, é um padrão IEEE para controle de acesso à rede baseado em porta. A palavra-chave aqui é baseado em porta. Antes que um dispositivo tenha qualquer acesso à rede - antes de poder enviar um único pacote para seus recursos internos - ele deve se autenticar. A porta de rede, seja física ou sem fio, permanece logicamente bloqueada até que a autenticação seja bem-sucedida. Isso é fundamentalmente diferente da forma como a maioria dos sistemas de WiFi residenciais funciona. Com uma configuração padrão WPA2-Personal, você tem uma chave pré-compartilhada - uma senha - e qualquer pessoa que conheça essa senha entra na rede. O problema é óbvio: essa senha acaba escrita em quadros brancos, compartilhada em canais do Slack e entregue a prestadores de serviços que saíram há seis meses. Não há responsabilidade individual, não há trilha de auditoria e revogar o acesso significa alterar a senha para todos. O 802.1X resolve tudo isso. O padrão define um modelo de três partes. Você tem o Supplicant - que é o dispositivo do usuário final, seja um notebook corporativo, um smartphone ou um sensor IoT. Você tem o Authenticator - normalmente o seu ponto de acesso WiFi ou switch gerenciado. E você tem o Authentication Server - quase sempre um servidor RADIUS, que significa Remote Authentication Dial-In User Service. Veja como funciona o fluxo. Quando um supplicant se conecta a uma porta de rede ou SSID sem fio, o autenticador coloca essa porta em um estado controlado - ele apenas permite a passagem de tráfego EAP. EAP significa Extensible Authentication Protocol, e é a estrutura que transporta a troca real de credenciais. O autenticador envia uma solicitação de identidade EAP ao supplicant. O supplicant responde com sua identidade. O autenticador, então, encaminha isso para o servidor RADIUS, que desafia o supplicant a provar sua identidade - isso pode ser feito por meio de um nome de usuário e senha, um certificado digital, um cartão inteligente ou uma combinação de fatores. Assim que o servidor RADIUS estiver satisfeito, ele envia uma mensagem Access-Accept de volta ao autenticador, que então abre a porta e permite o acesso total à rede. Se a autenticação falhar, a porta permanece bloqueada ou o dispositivo é colocado em uma VLAN de convidado restrita. Agora, a estrutura EAP é extensível por design - é isso que o E significa. Existem vários métodos EAP de uso comum. O EAP-TLS usa autenticação mútua baseada em certificado - tanto o cliente quanto o servidor apresentam certificados - e é considerado o padrão-ouro para segurança. O EAP-PEAP, que significa Protected EAP, envolve a autenticação interna em um túnel TLS, permitindo que credenciais de nome de usuário e senha sejam usadas com segurança. O EAP-TTLS é semelhante ao PEAP, mas mais flexível nos métodos de autenticação interna que suporta. Para a maioria das implantações corporativas, você escolherá entre EAP-TLS para ambientes de alta segurança e PEAP-MSCHAPv2 para ambientes onde a implantação de certificados é impraticável. Agora vamos falar sobre como isso se integra à sua infraestrutura existente. O servidor RADIUS não autentica usuários isoladamente - ele consulta um repositório de identidade de back-end. Na maioria dos ambientes corporativos, esse repositório é o Microsoft Active Directory ou um diretório LDAP. O servidor RADIUS recebe a credencial do autenticador, valida-a no Active Directory e retorna uma decisão de política. Essa decisão de política pode incluir mais do que apenas aceitar ou rejeitar - ela pode incluir atribuição de VLAN, políticas de largura de banda e valores de expiração de sessão. É aqui que a atribuição dinâmica de VLAN se torna poderosa. Você pode definir uma política que diz: se este usuário estiver no grupo Financeiro no Active Directory, atribua-o à VLAN 20. Se for um prestador de serviços, atribua-o à VLAN 50 com acesso apenas à internet. Se estiver em um dispositivo não gerenciado, coloque-o na VLAN de convidados. Tudo isso acontece automaticamente, no momento da conexão, sem qualquer intervenção manual. Para implantações wireless, o 802.1X é o mecanismo de autenticação que sustenta o WPA2-Enterprise e o WPA3-Enterprise. A camada de criptografia - a proteção real dos dados em trânsito - é controlada pelo handshake de 4 vias que ocorre após a autenticação 802.1X bem-sucedida, gerando chaves PMK e PTK exclusivas por sessão. Essa é uma distinção crítica em relação ao WPA2-Personal, onde todos os clientes compartilham o mesmo material de derivação de chave de criptografia. Em uma rede WPA2-Personal, um ator malicioso que capture o handshake de 4 vias e conheça a PSK pode descriptografar todo o tráfego nessa rede. Com o WPA2-Enterprise e o 802.1X, esse vetor de ataque é eliminado porque cada sessão usa material de chaveamento exclusivo. Sob a perspectiva de conformidade, isso é extremamente importante. O PCI DSS versão 4.0 exige controles de autenticação fortes para qualquer rede que trafegue dados de titulares de cartão. O GDPR exige medidas técnicas adequadas para proteger dados pessoais. Se você gerencia uma rede de varejo onde os terminais de ponto de venda compartilham um segmento com o WiFi de visitantes, você tem um problema sério - e o 802.1X com segmentação dinâmica de VLAN é parte fundamental da solução. - RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aproximadamente 2 minutos Certo, vamos falar sobre implantação. O erro mais comum que vejo é as organizações tratarem o 802.1X como uma escolha binária - ou você o implanta totalmente em tudo, ou não se dá ao trabalho. A realidade é que uma abordagem em fases é quase sempre mais prática e mais bem-sucedida. Comece com o seu SSID corporativo e seus dispositivos gerenciados. Implante um servidor RADIUS - o Microsoft NPS é gratuito e se integra nativamente com o Active Directory; o FreeRADIUS é a alternativa de código aberto para ambientes que não utilizam Windows. Configure sua infraestrutura wireless para usar WPA2-Enterprise ou WPA3-Enterprise no SSID corporativo. Envie a configuração do suplicante 802.1X para os dispositivos gerenciados via Diretiva de Grupo ou pela sua plataforma de MDM. Teste minuciosamente antes da transição. Para o WiFi de visitantes, a abordagem é diferente. Os visitantes não possuem credenciais corporativas, então você não usará o 802.1X no sentido tradicional. Em vez disso, plataformas como o Purple fornecem uma camada de Captive Portal que gerencia a identidade do visitante - login social, registro por e-mail, verificação por SMS - e depois direciona os visitantes autenticados para uma VLAN isolada com políticas adequadas de largura de banda e conteúdo. Isso oferece os benefícios de captura de dados e segmentação sem exigir que os visitantes tenham credenciais de diretório. Os pontos de atenção: o gerenciamento de certificados é o problema mais comum em implantações EAP-TLS. Você precisa de uma PKI - uma Infraestrutura de Chaves Públicas - para emitir e gerenciar certificados de cliente. Se você não tiver uma, a complexidade operacional do EAP-TLS pode ser significativa. O PEAP-MSCHAPv2 é mais fácil de implantar, mas exige atenção cuidadosa à validação do certificado do servidor no lado do cliente - se os clientes não estiverem configurados para validar o certificado do servidor RADIUS, você estará vulnerável a ataques de pontos de acesso falsos. A disponibilidade do servidor RADIUS é outra consideração crítica. Se o seu servidor RADIUS ficar inoperante, os usuários autenticados não conseguirão se conectar. Implante o RADIUS em uma configuração de alta disponibilidade - no mínimo, um servidor primário e outro secundário - e garanta que seus pontos de acesso estejam configurados para realizar o failover corretamente. Finalmente, dispositivos IoT. Muitos dispositivos IoT não oferecem suporte a suplicantes 802.1X. Para esses, o MAC Authentication Bypass - MAB - é a alternativa comum, onde o endereço MAC do dispositivo é usado como credencial. Isso é mais fraco do que o 802.1X adequado, portanto, isole os dispositivos autenticados por MAB em uma VLAN restrita e monitore-os de perto. --- PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto Deixe-me passar por algumas perguntas que recebo regularmente. "O 802.1X funciona com RADIUS baseado em nuvem?" Sim - serviços como Cisco ISE, Aruba ClearPass e ofertas nativas em nuvem de RADIUS-as-a-Service oferecem suporte ao 802.1X. A plataforma da Purple se integra a eles para autenticação unificada de convidados e funcionários. "Posso usar o 802.1X em uma rede cabeada, além da sem fio?" Absolutamente. O padrão foi originalmente projetado para portas Ethernet cabeadas e funciona de forma idêntica em switches gerenciados. "Qual é o impacto no desempenho?" Desprezível na prática. O handshake de autenticação adiciona alguns milissegundos no momento da conexão, mas tem impacto zero na taxa de transferência assim que a sessão é estabelecida. "O WPA3 substitui o 802.1X?" Não. O WPA3-Enterprise ainda usa o 802.1X para autenticação - ele melhora os mecanismos de criptografia e troca de chaves, mas a estrutura de autenticação permanece a mesma. --- RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto Para resumir: o 802.1X é o padrão IEEE para controle de acesso à rede baseado em porta. Ele fornece autenticação por usuário, atribuição dinâmica de políticas, uma trilha de auditoria completa e as chaves de criptografia por sessão que tornam o WPA2-Enterprise e o WPA3-Enterprise genuinamente seguros. É a escolha certa para qualquer rede corporativa, de hospitalidade, varejo ou setor público onde você precisa de responsabilidade individual e segurança em conformidade com as normas. Seus próximos passos imediatos: audite seu modelo atual de autenticação de rede. Se você está executando uma PSK compartilhada no seu SSID corporativo, essa é sua primeira prioridade de correção. Avalie sua infraestrutura RADIUS - se você não tiver uma, o Microsoft NPS ou o FreeRADIUS são bons pontos de partida. E se você estiver gerenciando WiFi de convidados junto com a infraestrutura corporativa, veja como plataformas como a Purple podem fornecer a camada de identidade de convidados que complementa sua implantação corporativa de 802.1X. Para mais detalhes sobre WPA2 versus WPA3 e como eles interagem com o 802.1X, consulte o guia de comparação da Purple com link nas notas do programa. Obrigado por ouvir. Nos vemos no próximo briefing.