PPSK WiFi: comparando recursos e modelos de implantação

Boas-vindas ao Purple Technical Briefing. Hoje vamos falar sobre PPSK WiFi - Private Pre-Shared Key - o que é, como se compara com as alternativas e onde realmente faz sentido implantá-lo. [medium pause] Vamos começar com o problema que ele resolve. Em uma rede tradicional WPA2 Personal, todos os dispositivos na rede compartilham a mesma senha. Isso é ótimo para uma casa. Mas é um risco de segurança para um empreendimento Build to Rent de 200 unidades, um bloco de acomodação estudantil ou um hotel com 300 quartos. Quando um morador se muda, ou você altera a senha de todo mundo - desconectando a smart TV, o termostato e o console de todos os outros moradores no processo - ou você deixa o antigo morador com acesso. Nenhuma das opções é aceitável. [short pause] O PPSK resolve isso fornecendo a cada morador, a cada apartamento ou a cada grupo de dispositivos sua própria chave de WiFi exclusiva. Todos se conectam ao mesmo SSID - o mesmo nome de rede - mas cada chave mapeia para uma VLAN separada. O apartamento 12 está na VLAN 10. O apartamento 13 está na VLAN 20. Os dispositivos de IoT estão na VLAN 99. O ponto de acesso gerencia o mapeamento de chave para VLAN automaticamente. Sem necessidade de servidor RADIUS. Sem infraestrutura de certificados. Sem suplicante 802.1X no dispositivo. [medium pause] Agora vamos falar sobre a terminologia, pois ela varia de acordo com o fabricante e isso causa uma real confusão no mercado. A Aruba chama de PPSK - Private Pre-Shared Key. A Cisco Meraki chama de iPSK - Identity PSK, ou Personal Private Network. A Juniper Mist usa ePSK. A Extreme Networks, que originalmente desenvolveu o conceito sob a marca Aerohive, chama de Private PSK. A Ubiquiti UniFi chama simplesmente de PPSK. A Cambium também usa ePSK. O mecanismo subjacente é idêntico em todas elas: um único SSID, múltiplas chaves exclusivas, cada chave vinculada a uma VLAN ou a um grupo de políticas. [short pause] Tecnicamente, eis o que acontece na camada de associação. Quando um dispositivo se conecta, ele apresenta sua chave pré-compartilhada durante o handshake de quatro vias do WPA2. O ponto de acesso - ou o controlador de nuvem por trás dele - busca essa chave no repositório PPSK, identifica a qual VLAN ela se mapeia e marca o tráfego do dispositivo de forma correspondente a partir daquele momento. O dispositivo enxerga uma conexão WiFi normal. Ele não tem ideia de que foi colocado em um segmento isolado. Seu Chromecast funciona. Seu alto-falante inteligente emparelha. Seu console obtém o tipo de NAT correto. Tudo se comporta como uma rede doméstica - porque, sob a perspectiva do dispositivo, realmente é. [medium pause] Esta é a principal distinção em relação ao 802.1X, que é o padrão corporativo para redes de funcionários e ambientes empresariais. O 802.1X exige um servidor RADIUS, um provedor de identidade - como Microsoft Entra ID, Okta ou Google Workspace - e um suplicante em cada dispositivo. Esse suplicante é o componente de software que lida com a troca de autenticação EAP. Todo notebook gerenciado, todo telefone corporativo tem um. A geladeira inteligente do seu morador não tem. O controlador de climatização do seu edifício não tem. Seus sensores de IoT não têm. O PPSK funciona com todos eles porque opera na camada WPA Personal, não na camada WPA Enterprise. [short pause] Dito isso, o PPSK não é um substituto para o 802.1X em ambientes corporativos. É uma ferramenta diferente para um problema diferente. Se você gerencia uma rede corporativa onde a responsabilidade individual importa - onde você precisa saber se uma pessoa específica se autenticou em um momento específico, e precisa revogar o acesso dela no momento em que ela sai da organização - o 802.1X é a resposta certa. Se você gerencia uma rede residencial onde precisa de isolamento por residência, suporte a IoT e simplicidade operacional em escala, o PPSK é a resposta certa. [medium pause] Vamos examinar os modelos de implantação. Existem três padrões principais em produção hoje. [short pause] O primeiro é o modelo cloud-controller, que é o mais comum para novas implantações. Seus pontos de acesso - sejam Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet - conectam-se a uma plataforma de gerenciamento em nuvem. O armazenamento de chaves PPSK reside na controladora em nuvem. Quando você provisiona um novo residente, cria uma chave no portal, atribui-a a uma VLAN, e a controladora envia a política para todos os pontos de acesso no edifício. O residente recebe a chave dele - via e-mail, SMS ou um código QR em um pacote de boas-vindas - e se conecta. Quando ele se muda, você exclui a chave. Os dispositivos dele param de se conectar. Ninguém mais é afetado. [short pause] O segundo modelo é o PPSK com um backend RADIUS local. Algumas implantações corporativas usam um servidor RADIUS para armazenar e validar credenciais PPSK, o que oferece registros centralizados, trilhas de auditoria e integração com sua plataforma de gerenciamento de identidade. Isso adiciona sobrecarga de infraestrutura, mas oferece a responsabilidade do 802.1X com a compatibilidade de dispositivos do PPSK. É o modelo certo para ambientes mistos - por exemplo, um espaço de coworking onde você tem tanto dispositivos corporativos gerenciados quanto equipamentos de IoT de propriedade dos membros. [short pause] O terceiro modelo é híbrido: PPSK para residentes e IoT, 802.1X para funcionários e sistemas de gerenciamento. Esta é a arquitetura que a Purple recomenda para implantações de Build to Rent e unidades multifamiliares. Os residentes usam PPSK. Sistemas de gerenciamento predial, CFTV e controle de acesso recebem sua própria VLAN de IoT com PPSK. Os dispositivos da equipe de gestão da propriedade usam 802.1X integrado ao Microsoft Entra ID ou Okta. Três modelos de autenticação distintos, três VLANs distintas, uma única infraestrutura física. Agora vamos entrar na implementação. Se você está implantando PPSK para um empreendimento Build to Rent ou uma propriedade de unidades multifamiliares, aqui está a sequência que funciona. [short pause] Comece com seu design lógico antes de tocar no hardware. Mapeie o número de residentes, as categorias de dispositivos IoT e quaisquer sistemas de funcionários ou gerenciamento. Atribua as VLANs. Uma implantação típica de BTR se parece com isso: VLAN 10 até o limite que o número de unidades exigir para os residentes, uma VLAN por apartamento ou uma VLAN por andar, dependendo da densidade. VLAN 99 para IoT. VLAN 100 para gerenciamento predial. VLAN 200 para WiFi de visitantes nas áreas comuns. [short pause] Em seguida, documente seu esquema de endereçamento IP. Em um edifício de 200 unidades, você terá de 3.000 a 5.000 dispositivos na rede a qualquer momento. Esse é o número de 15 a 25 dispositivos por residência indicado pela pesquisa da British Property Federation. Seus escopos de DHCP precisam acomodar isso. Use endereçamento privado RFC 1918 com tamanhos de sub-rede suficientes por VLAN. Uma barra 24 fornece 254 endereços utilizáveis. Uma barra 23 fornece 510. Dimensione adequadamente. [medium pause] Sobre a seleção de hardware: o PPSK é suportado em todas as principais plataformas de ponto de acesso empresarial. A Cisco Meraki o chama de iPSK e o gerencia por meio do painel Meraki com políticas de chaves por SSID. A HPE Aruba o implementa nativamente no ArubaOS e no Aruba Central. A Ruckus o suporta por meio do SmartZone e da plataforma Ruckus Cloud. A Juniper Mist usa ePSK com gerenciamento de RF orientado por IA. A Ubiquiti UniFi possui PPSK desde 2023, embora note que atualmente é apenas WPA2 e não funcionará na banda de 6 gigahertz. A Cambium e a Extreme oferecem suporte por meio de suas respectivas plataformas de nuvem. [short pause] Uma limitação crítica a ser destacada: a implementação do PPSK da UniFi é apenas WPA2. Se você estiver especificando pontos de acesso WiFi 6E e quiser usar a banda de 6 gigahertz para clientes PPSK, precisará de uma plataforma que suporte WPA3-SAE com PPSK, ou precisará restringir os clientes PPSK às bandas de 2,4 e 5 gigahertz. Aruba, Ruckus e Meraki suportam PPSK em configurações WPA3. [medium pause] Agora vamos falar sobre as armadilhas. Estes são os modos de falha que vejo repetidamente em implantações de produção. [short pause] O primeiro é a proliferação de SSIDs. Cada SSID que você transmite consome tempo de transmissão para quadros de beacon. Em um edifício residencial denso, se você estiver transmitindo seis ou oito SSIDs por ponto de acesso, estará degradando o desempenho de todos. Mantenha no máximo quatro SSIDs por rádio. Use PPSK para atender a vários segmentos de residentes a partir de um único SSID, em vez de criar um SSID separado por apartamento ou por andar. [short pause] A segunda armadilha é a configuração insuficiente das portas de tronco. Você projeta um esquema de VLAN limpo, implanta os pontos de acesso e, em seguida, o tráfego cai silenciosamente porque alguém esqueceu de permitir as VLANs relevantes em um link de tronco entre o switch de distribuição e a camada de acesso. Valide cada porta de tronco durante o comissionamento. Documente. Teste com um dispositivo em cada VLAN antes da mudança dos residentes. [short pause] A terceira armadilha é a distribuição de chaves. Gerar chaves é fácil. Entregá-las aos moradores de uma forma que seja segura e operacionalmente gerenciável é o mais difícil. Um código QR no pacote de boas-vindas funciona bem para o dia da mudança. Um portal do residente onde eles possam recuperar suas chaves e adicionar novos dispositivos é melhor para as operações diárias. Desenvolva o fluxo de trabalho de distribuição de chaves antes de implantar, não depois. [short pause] A quarta armadilha, específica para IoT, é colocar dispositivos domésticos inteligentes no segmento PPSK do residente sem pensar nas implicações. Um dispositivo IoT comprometido na VLAN de um residente pode potencialmente atacar outros dispositivos nessa mesma VLAN. Para categorias de IoT de alto risco, considere uma VLAN de IoT separada com filtragem de saída, mesmo que isso signifique que os residentes precisem configurar seus aplicativos de casa inteligente para usar uma rede diferente. [medium pause] Vamos analisar dois cenários do mundo real. [short pause] Cenário um: um empreendimento Build to Rent de 180 unidades no centro da cidade. A operadora queria que o WiFi estivesse incluído no aluguel como uma comodidade, com ativação no dia da mudança e suporte completo para casa inteligente. Eles implantaram pontos de acesso HPE Aruba gerenciados pelo Aruba Central. Cada apartamento recebe uma chave PPSK exclusiva gerada no momento da assinatura do contrato. A chave é enviada por e-mail ao residente com um código QR. Eles o escaneiam, todos os seus dispositivos se conectam e seu Chromecast, alto-falante inteligente e console funcionam imediatamente. Quando um residente se muda, o gerente da propriedade exclui a chave no portal. O novo residente recebe uma chave nova na mudança. Zero drama de rotação de senhas. A operadora relata uma redução de 30% nos chamados de suporte relacionados a WiFi em comparação com a implantação anterior de senha compartilhada. [short pause] Cenário dois: um bloco de acomodação estudantil de 400 leitos construído especificamente para esse fim. O desafio aqui é a semana de mudança do grupo, com centenas de estudantes chegando simultaneamente, todos tentando conectar dezenas de dispositivos ao mesmo tempo. A operadora usou pontos de acesso Ruckus com SmartZone, implantando PPSK com uma chave por quarto. As chaves foram pré-geradas e incluídas no pacote de boas-vindas enviado antes da chegada. Os estudantes escanearam o código QR ao chegar e foram conectados em segundos. A rede lidou com o pico de mudanças sem degradação porque o tráfego de cada estudante estava isolado em seu próprio segmento de VLAN. [medium pause] Agora, um bate-papo rápido sobre as perguntas que surgem com mais frequência. [short pause] Quantas chaves PPSK um único ponto de acesso pode suportar? A maioria das plataformas empresariais suporta milhares de chaves por SSID. O Cisco Meraki suporta até 5.000 entradas iPSK por rede. A Aruba suporta escala semelhante. O Ubiquiti UniFi suporta até 1.000 entradas PPSK por rede. Para um edifício de 200 unidades, você está bem dentro dos limites em qualquer plataforma. [short pause] O PPSK funciona com WPA3? Sim, na maioria das plataformas empresariais. O WPA3-SAE oferece proteção mais forte contra ataques de dicionário offline em comparação com o WPA2-PSK, portanto, implantar PPSK no WPA3 onde seus dispositivos clientes o suportam é a abordagem correta. A exceção é o UniFi, que atualmente é apenas WPA2 para PPSK. [short pause] Posso integrar o PPSK com o meu sistema de gestão de propriedades? Sim, através da API do fornecedor. O Aruba Central, Meraki, Ruckus e Mist expõem APIs REST para gerenciamento de chaves PPSK. Você pode automatizar a criação e revogação de chaves como parte do seu fluxo de trabalho de gerenciamento de locação. [short pause] Qual é a diferença de segurança entre PPSK e 802.1X? A diferença fundamental é que o PPSK é um modelo de segredo compartilhado. A chave é uma string de caracteres que pode ser compartilhada ou interceptada. O 802.1X com EAP-TLS usa certificados digitais, que não podem ser compartilhados da mesma forma e oferecem autenticação mútua. Para ambientes residenciais onde o modelo de ameaça é principalmente o isolamento entre residentes, o PPSK oferece segurança adequada. Para redes corporativas de funcionários, o 802.1X é a escolha correta. [medium pause] Para resumir tudo: o PPSK WiFi é o modelo de autenticação correto para implantações residenciais multi-inquilino, ambientes com alto volume de IoT e qualquer cenário onde você precise de isolamento por usuário ou por residência sem a sobrecarga de infraestrutura do 802.1X. Ele funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Ele se integra com sistemas de gestão de propriedades via API. E resolve os três principais problemas operacionais que redes com senhas compartilhadas não conseguem: desocupação de imóveis sem afetar os outros, suporte a dispositivos de smart home e responsabilidade individual por residente. [short pause] O modelo de decisão é simples. Se os seus dispositivos suportam 802.1X e você possui infraestrutura RADIUS, use 802.1X para funcionários e dispositivos gerenciados. Se você gerencia uma propriedade residencial multi-inquilino, use PPSK. Se você possui dispositivos IoT que não suportam 802.1X, use PPSK com uma VLAN de IoT dedicada. Se precisar de WiFi para visitantes em áreas comuns, use uma PSK padrão ou rede aberta com um Captive Portal por cima. [short pause] Para os próximos passos: revise o diagrama de visão geral da arquitetura no guia, que mostra toda a pilha de implantação do PPSK, do uplink do provedor ao dispositivo do residente. Use o fluxograma de decisão para mapear seu ambiente específico para o modelo de autenticação correto. E se você estiver planejando uma implantação de BTR ou MDU e quiser entender como a plataforma de Multi-Tenant WiFi da Purple opera sobre o seu hardware existente para fornecer a gestão de chaves, o portal do residente e a camada de analytics, o link está no guia. [medium pause] Isso é tudo para o resumo de hoje. Obrigado por ouvir. Deixe-me aprofundar no modelo de segurança, pois é aqui que vejo a maior confusão no mercado. [short pause] O PPSK opera na camada WPA Personal. Cada chave é um segredo pré-compartilhado. A garantia de segurança que o PPSK oferece é o isolamento entre residentes - o dispositivo A na chave A não pode se comunicar com o dispositivo B na chave B, mesmo quando associados ao mesmo ponto de acesso físico. Esse isolamento é aplicado na camada de VLAN, não na camada de criptografia. A criptografia entre cada dispositivo e o ponto de acesso usa a mesma suíte de cifras WPA2 ou WPA3, independentemente de qual chave PPSK o dispositivo usou para se autenticar. [short pause] O que o PPSK não oferece é a autenticação mútua que o 802.1X fornece. Em uma implantação 802.1X com EAP-TLS, o cliente se autentica na rede e a rede se autentica no cliente. Ambos os lados apresentam certificados. Isso evita ataques de pontos de acesso falsos. Com o PPSK, o cliente não tem como verificar se está conectado à rede legítima em vez de um AP falso transmitindo o mesmo SSID. Para um edifício residencial onde o modelo de ameaça é focado principalmente em isolar os moradores uns dos outros, essa é uma compensação aceitável. Para um ambiente corporativo que lida com dados confidenciais, não é. [medium pause] Agora vamos falar sobre o caminho de atualização do WPA3. O WPA3-SAE, que significa Autenticação Simultânea de Iguais, substitui o handshake de quatro vias do WPA2 por um protocolo de troca de chaves mais seguro chamado Dragonfly. A melhoria crítica para implantações PPSK é o sigilo de encaminhamento: mesmo que um invasor capture o tráfego WiFi e posteriormente obtenha a chave pré-compartilhada, ele não poderá descriptografar o tráfego capturado. O WPA2-PSK não oferece sigilo de encaminhamento. O WPA3-SAE oferece. Se você está implantando um novo hardware hoje, especifique o suporte ao WPA3-SAE e ative-o para o seu SSID PPSK. Os clientes que não suportam WPA3 voltarão para o WPA2 no modo de transição, para que você não precise forçar uma transição abrupta. [short pause] A perspectiva do GDPR merece ser abordada diretamente. Em uma implantação residencial multi-tenant, você está processando dados pessoais - especificamente, a associação entre uma chave WiFi e um morador identificado. Essa associação é um dado pessoal de acordo com o UK GDPR e o GDPR da UE. Você precisa de uma base legal para processá-la. Em um contexto de BTR, a base legal é normalmente a execução de um contrato - o contrato de locação - ou interesses legítimos. Você precisa de um aviso de privacidade que cubra o processamento de dados WiFi. Você precisa de uma política de retenção de dados para os logs de conexão. E você precisa ser capaz de responder às solicitações de acesso do titular, o que significa que sua plataforma de gerenciamento PPSK precisa ser capaz de exportar todos os dados associados à chave de um morador específico. [short pause] A plataforma Multi-Tenant WiFi do Purple é desenvolvida com isso em mente. Os dados são armazenados em uma infraestrutura certificada ISO 27001. Estamos em conformidade com o GDPR e a CCPA. A residência dos dados é selecionável - Reino Unido, UE ou EUA - para que você possa cumprir suas obrigações regulatórias, independentemente de onde suas propriedades estejam localizadas. E nossa plataforma fornece a trilha de auditoria e os recursos de exportação de dados necessários para a conformidade. Deixe-me abordar a questão do ROI, porque isso surge em toda conversa de aquisição de BTR. [short pause] A pesquisa da British Property Federation mostra de forma consistente que a qualidade do WiFi está entre os cinco principais fatores de conveniência nas decisões de locação no setor de Build to Rent. Operadores que incluem WiFi gerenciado como uma comodidade relatam prêmios de aluguel de quinze a trinta libras por unidade por mês em comparação com propriedades equivalentes sem conectividade inclusa. Em um edifício de 200 unidades, isso representa entre trinta e seis mil e setenta e duas mil libras por ano em receita de aluguel adicional. Diante de um custo típico de implantação de PPSK - hardware amortizado em cinco anos mais uma licença de sobreposição de software - o período de retorno é geralmente inferior a 18 meses. [short pause] A economia operacional é igualmente significativa. Uma rede de senha compartilhada em um edifício de 200 unidades gera um volume previsível de chamados de suporte: residentes que não conseguem conectar seu Chromecast, residentes cujas caixas de som inteligentes não pareiam, residentes cujos consoles mostram tipo de NAT estrito. Esses chamados custam tempo e dinheiro para serem resolvidos. Uma rede PPSK implantada corretamente elimina a maioria deles. Um operador com quem trabalhamos relatou uma redução de 30% nos contatos de suporte relacionados a WiFi nos primeiros seis meses após a migração de uma senha compartilhada para uma implantação de PPSK. [short pause] Os períodos de vacância são a outra alavanca. Um edifício onde o WiFi está ativo e funcionando no dia da mudança reduz o atrito para os novos moradores. Um edifício onde o novo morador precisa esperar pelo agendamento de um técnico de banda larga - normalmente de sete a quatorze dias no Reino Unido - cria uma primeira impressão negativa que afeta a retenção. O PPSK com ativação no dia da mudança elimina totalmente esse atrito. [medium pause] Mais uma área a cobrir: a aplicação em coworking e uso misto. O PPSK não é apenas para residências. Também é o modelo ideal para espaços de coworking onde se deseja isolamento por membro ou por empresa sem a sobrecarga do 802.1X. Um operador de coworking com 200 membros pode fornecer a cada membro sua própria chave PPSK, mapeá-la para uma VLAN dedicada e garantir que os dispositivos do membro A fiquem invisíveis para o membro B. Quando a assinatura expira, a chave é revogada. Quando um novo membro entra, uma nova chave é gerada. A experiência do membro é idêntica à de uma rede doméstica. [short pause] Para o coworking, o modelo híbrido funciona excepcionalmente bem. Os membros recebem PPSK. Os visitantes dos membros - clientes que participam de reuniões, por exemplo - recebem um SSID de WiFi para convidados separado com um Captive Portal. A equipe do edifício utiliza 802.1X integrado ao provedor de identidade do operador. Três modelos de autenticação, uma infraestrutura física, separação clara entre todos os três grupos de usuários. [medium pause] Isso cobre o panorama geral. PPSK WiFi é uma tecnologia madura e bem suportada que resolve um problema específico e importante: isolamento por usuário ou por residência em ambientes multi-tenant, sem a sobrecarga de infraestrutura do 802.1X. É agnóstico em relação ao hardware, impulsionado por API e implementável hoje mesmo nos pontos de acesso que você já possui. Os critérios de decisão são claros. Os padrões de implantação são comprovados. E o caso de negócios, particularmente em Build to Rent e alojamentos estudantis projetados especificamente, é amplamente evidenciado.