PPSK WiFi: comparando recursos e modelos de implantação

Bem-vindo ao Purple Technical Briefing. Hoje vamos falar sobre PPSK WiFi - Private Pre-Shared Key - o que é, como se compara às alternativas e onde realmente faz sentido implementá-lo. [medium pause] Vamos começar com o problema que ele resolve. Em uma rede WPA2 Personal tradicional, todos os dispositivos na rede compartilham a mesma senha. Isso funciona bem para uma residência. Mas é um risco para um empreendimento de aluguel residencial de 200 unidades, um bloco de acomodação estudantil ou um hotel com 300 quartos. Quando um morador se muda, ou você altera a senha de todos - desconectando a smart TV, o termostato e o console de todos os outros moradores no processo - ou você deixa o antigo morador com acesso. Nenhuma das opções é aceitável. [short pause] O PPSK resolve isso fornecendo a cada morador, a cada apartamento ou a cada grupo de dispositivos sua própria chave de WiFi exclusiva. Todos se conectam ao mesmo SSID - o mesmo nome de rede - mas cada chave mapeia para uma VLAN separada. O apartamento 12 fica na VLAN 10. O apartamento 13 na VLAN 20. Os dispositivos IoT na VLAN 99. O ponto de acesso lida com o mapeamento de chave para VLAN automaticamente. Sem necessidade de servidor RADIUS. Sem infraestrutura de certificados. Sem suplicante 802.1X no dispositivo. [medium pause] Agora vamos falar sobre a terminologia, pois ela varia de acordo com o fabricante e isso causa uma confusão real no mercado. A Aruba chama de PPSK - Private Pre-Shared Key. A Cisco Meraki chama de iPSK - Identity PSK, ou Personal Private Network. A Juniper Mist usa ePSK. A Extreme Networks, que originalmente desenvolveu o conceito sob a marca Aerohive, chama de Private PSK. A Ubiquiti UniFi simplesmente chama de PPSK. A Cambium também usa ePSK. O mecanismo subjacente é idêntico em todos eles: um SSID, múltiplas chaves exclusivas, cada chave vinculada a uma VLAN ou a um grupo de políticas. [short pause] Tecnicamente, eis o que acontece na camada de associação. Quando um dispositivo se conecta, ele apresenta sua chave pré-compartilhada durante o handshake de quatro vias do WPA2. O ponto de acesso - ou o controlador de nuvem por trás dele - busca essa chave no armazenamento PPSK, identifica a qual VLAN ela se mapeia e marca o tráfego do dispositivo de acordo a partir daquele momento. O dispositivo vê uma conexão WiFi normal. Ele não tem ideia de que foi colocado em um segmento isolado. Seu Chromecast funciona. Sua caixa de som inteligente emparelha. Seu console obtém o tipo de NAT correto. Tudo se comporta como uma rede doméstica - porque, do ponto de vista do dispositivo, ela é. [medium pause] Esta é a principal distinção do 802.1X, que é o padrão corporativo para redes de funcionários e ambientes empresariais. O 802.1X requer um servidor RADIUS, um provedor de identidade - como Microsoft Entra ID, Okta ou Google Workspace - e um suplicante em cada dispositivo. Esse suplicante é o componente de software que lida com a troca de autenticação EAP. Todo notebook gerenciado, todo telefone corporativo tem um. A geladeira inteligente do seu morador não tem. O controlador de HVAC do seu edifício não tem. Seus sensores de IoT não têm. O PPSK funciona com todos eles porque opera na camada WPA Personal, não na camada WPA Enterprise.[short pause] Dito isso, o PPSK não é um substituto para o 802.1X em ambientes corporativos. É uma ferramenta diferente para um problema diferente. Se você gerencia uma rede de funcionários onde a responsabilidade individual importa - onde você precisa saber que uma pessoa específica se autenticou em um momento específico, e precisa revogar o acesso dela no momento em que ela deixa a organização - o 802.1X é a resposta certa. Se você gerencia uma rede residencial onde precisa de isolamento por residência, suporte a IoT e simplicidade operacional em escala, o PPSK é a resposta certa. [medium pause] Vamos analisar os modelos de implantação. Existem três padrões principais em produção hoje. [short pause] O primeiro é o modelo de controlador em nuvem, que é o mais comum para novas implantações. Seus pontos de acesso - seja Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks ou Fortinet - conectam-se a uma plataforma de gerenciamento em nuvem. O armazenamento de chaves PPSK fica no controlador em nuvem. Quando você provisiona um novo morador, cria uma chave no portal, atribui-a a uma VLAN, e o controlador envia a política para cada ponto de acesso no edifício. O morador recebe sua chave - por e-mail, SMS ou um código QR em um pacote de boas-vindas - e se conecta. Quando ele se muda, você exclui a chave. Os dispositivos dele param de se conectar. Ninguém mais é afetado. [short pause] O segundo modelo é o PPSK com um backend RADIUS local. Algumas implantações corporativas usam um servidor RADIUS para armazenar e validar credenciais PPSK, o que oferece registro centralizado, trilhas de auditoria e integração com sua plataforma de gerenciamento de identidade. Isso adiciona uma sobrecarga de infraestrutura, mas oferece a responsabilidade do 802.1X com a compatibilidade de dispositivos do PPSK. É o modelo certo para ambientes mistos - por exemplo, um espaço de coworking onde você tem tanto dispositivos corporativos gerenciados quanto equipamentos de IoT de propriedade dos membros. [short pause] O terceiro modelo é o híbrido: PPSK para moradores e IoT, e 802.1X para funcionários e sistemas de gerenciamento. Esta é a arquitetura que a Purple recomenda para empreendimentos Build to Rent e implantações em unidades multifamiliares. Os moradores usam PPSK. Sistemas de gerenciamento Predial, CFTV e controle de acesso ganham sua própria VLAN de IoT com PPSK. Os dispositivos da equipe de administração predial usam 802.1X integrado ao Microsoft Entra ID ou Okta. Três modelos de autenticação distintos, três VLANs distintas, uma única infraestrutura física. Agora vamos entrar na implementação. Se você está implantando PPSK para um empreendimento Build to Rent ou uma propriedade de unidades multifamiliares, aqui está a sequência que funciona. [short pause] Comece pelo design lógico antes de tocar no hardware. Planeje a contagem de moradores, suas categorias de dispositivos IoT e quaisquer sistemas de funcionários ou de gerenciamento. Atribua as VLANs. Uma implantação típica de BTR se parece com isto: VLAN 10 até o limite que o número de unidades exigir para os moradores, sendo uma VLAN por apartamento ou uma VLAN por andar, dependendo da densidade. VLAN 99 para IoT. VLAN 100 para gerenciamento predial. VLAN 200 para WiFi de visitantes em áreas comuns. [short pause] Em seguida, documente seu esquema de endereçamento IP. Em um edifício de 200 unidades, você terá de 3.000 a 5.000 dispositivos na rede a qualquer momento. Esse é o número de 15 a 25 dispositivos por residência, de acordo com pesquisas da British Property Federation. Seus escopos DHCP precisam acomodar isso. Use o endereçamento privado RFC 1918 com tamanhos de sub-rede suficientes por VLAN. Uma barra 24 oferece 254 endereços utilizáveis. Uma barra 23 oferece 510. Dimensione de acordo. [medium pause] Sobre a seleção de hardware: o PPSK é compatível com todas as principais plataformas de pontos de acesso corporativos. A Cisco Meraki o chama de iPSK e o gerencia por meio do painel Meraki com políticas de chaves por SSID. A HPE Aruba o implementa nativamente no ArubaOS e no Aruba Central. A Ruckus oferece suporte por meio do SmartZone e da plataforma Ruckus Cloud. A Juniper Mist usa ePSK com gerenciamento de RF impulsionado por IA. A Ubiquiti UniFi possui PPSK desde 2023, embora observe-se que atualmente é apenas WPA2 e não funcionará na banda de 6 gigahertz. A Cambium e a Extreme oferecem suporte por meio de suas respectivas plataformas em nuvem. [short pause] Uma limitação crítica a ser destacada: a implementação de PPSK da UniFi é apenas WPA2. Se você estiver especificando pontos de acesso Wi-Fi 6E e quiser usar a banda de 6 gigahertz para clientes PPSK, precisará de uma plataforma que suporte WPA3-SAE com PPSK, ou precisará restringir os clientes PPSK às bandas de 2.4 e 5 gigahertz. Aruba, Ruckus e Meraki suportam PPSK em configurações WPA3. [medium pause] Agora vamos falar sobre as armadilhas. Estes são os modos de falha que vejo repetidamente em implantações de produção. [short pause] O primeiro é a proliferação de SSIDs. Cada SSID que você transmite consome tempo de transmissão para frames de beacon. Em um edifício residencial denso, se você estiver transmitindo seis ou oito SSIDs por ponto de acesso, estará degradando o desempenho de todos. Mantenha no máximo quatro SSIDs por rádio. Use PPSK para atender a múltiplos segmentos de residentes a partir de um único SSID, em vez de criar um SSID separado por apartamento ou por andar. [short pause] A segunda armadilha é a configuração insuficiente das portas de trunk. Você projeta um esquema de VLAN limpo, implanta os pontos de acesso e, em seguida, o tráfego cai silenciosamente porque alguém esqueceu de permitir as VLANs relevantes em um link de trunk entre o switch de distribuição e a camada de acesso. Valide cada porta de trunk durante o comissionamento. Documente. Teste com um dispositivo em cada VLAN antes de os residentes se mudarem. [short pause] A terceira armadilha é a distribuição de chaves. Gerar chaves é fácil. Entregá-las aos residentes de uma forma que seja segura e operacionalmente gerenciável é mais difícil. Um código QR no pacote de boas-vindas funciona bem para o dia da mudança. Um portal do residente onde eles possam recuperar sua chave e adicionar novos dispositivos é melhor para as operações diárias. Crie o fluxo de trabalho de distribuição de chaves antes de implantar, não depois. [short pause] O quarto erro, específico para IoT, é colocar dispositivos domésticos inteligentes no segmento PPSK do residente sem pensar nas implicações. Um dispositivo IoT comprometido na VLAN de um residente pode potencialmente atacar outros dispositivos nessa mesma VLAN. Para categorias de IoT de alto risco, considere uma VLAN de IoT separada com filtragem de saída, mesmo que isso signifique que os residentes precisem configurar seus aplicativos de casa inteligente para usar uma rede diferente. [medium pause] Vamos analisar dois cenários do mundo real. [short pause] Cenário um: um empreendimento Build to Rent de 180 unidades no centro de uma cidade. O operador queria WiFi incluído no aluguel como uma comodidade, com ativação no dia da mudança e suporte completo para casa inteligente. Eles implantaram pontos de acesso HPE Aruba gerenciados pelo Aruba Central. Cada apartamento recebe uma chave PPSK exclusiva gerada no momento da assinatura do contrato. A chave é enviada por e-mail ao residente com um código QR. Eles o escaneiam, todos os seus dispositivos se conectam e seu Chromecast, alto-falante inteligente e console funcionam imediatamente. Quando um residente se muda, o gerente da propriedade exclui a chave no portal. O novo residente recebe uma chave nova na mudança. Zero drama de rotação de senhas. O operador relata uma redução de 30% nos chamados de suporte relacionados a WiFi em comparação com a implantação anterior com senha compartilhada. [short pause] Cenário dois: um bloco de acomodação estudantil projetado para 400 leitos. O desafio aqui é a semana de mudança da coorte, com centenas de estudantes chegando simultaneamente, todos tentando conectar dezenas de dispositivos ao mesmo tempo. O operador usou pontos de acesso Ruckus com SmartZone, implantando PPSK com uma chave por quarto. As chaves foram pré-geradas e incluídas no pacote de boas-vindas enviado antes da chegada. Os estudantes escanearam o código QR na chegada e foram conectados em segundos. A rede lidou com o pico de mudanças sem degradação porque o tráfego de cada estudante estava isolado em seu próprio segmento de VLAN. [medium pause] Agora, uma rápida sessão de perguntas e respostas sobre as dúvidas que surgem com mais frequência. [short pause] Quantas chaves PPSK um único ponto de acesso pode suportar? A maioria das plataformas empresariais suporta milhares de chaves por SSID. O Cisco Meraki suporta até 5.000 entradas iPSK por rede. O Aruba suporta escala semelhante. O Ubiquiti UniFi suporta até 1.000 entradas PPSK por rede. Para um edifício de 200 unidades, você está bem dentro dos limites em qualquer plataforma. [short pause] O PPSK funciona com WPA3? Sim, na maioria das plataformas empresariais. O WPA3-SAE oferece proteção mais forte contra ataques de dicionário offline em comparação com o WPA2-PSK, portanto, implantar PPSK no WPA3 onde seus dispositivos clientes o suportam é a abordagem correta. A exceção é o UniFi, que atualmente é apenas WPA2 para PPSK. [short pause] Posso integrar o PPSK com o meu sistema de gestão de propriedades? Sim, através da API do fornecedor. O Aruba Central, Meraki, Ruckus e Mist expõem APIs REST para gerenciamento de chaves PPSK. Você pode automatizar a criação e revogação de chaves como parte do seu fluxo de trabalho de gestão de locação. [short pause] Qual é a diferença de segurança entre PPSK e 802.1X? A diferença fundamental é que o PPSK é um modelo de segredo compartilhado. A chave é uma sequência de caracteres que pode ser compartilhada ou interceptada. O 802.1X com EAP-TLS usa certificados digitais, que não podem ser compartilhados da mesma forma e fornecem autenticação mútua. Para ambientes residenciais onde o modelo de ameaça é principalmente o isolamento entre residentes, o PPSK oferece segurança adequada. Para redes corporativas de funcionários, o 802.1X é a escolha correta. [medium pause] Para resumir tudo isso: o PPSK WiFi é o modelo de autenticação correto para implantações residenciais multi-inquilino, ambientes com alta densidade de IoT e qualquer cenário em que você precise de isolamento por usuário ou por residência sem a sobrecarga de infraestrutura do 802.1X. Ele funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Ele se integra com sistemas de gestão de propriedades via API. E resolve os três principais problemas operacionais que as redes de senha compartilhada não conseguem: desocupação de imóvel sem interromper a conexão de todos, suporte a dispositivos de casa inteligente e responsabilidade individual por residente. [short pause] O modelo de decisão é simples. Se seus dispositivos suportam 802.1X e você tem infraestrutura RADIUS, use 802.1X para funcionários e dispositivos gerenciados. Se você gerencia uma propriedade residencial multi-inquilino, use PPSK. Se você tem dispositivos IoT que não suportam 802.1X, use PPSK com uma VLAN de IoT dedicada. Se você precisa de WiFi para visitantes em áreas comuns, use uma PSK padrão ou rede aberta com um Captive Portal adicional. [short pause] Para os próximos passos: revise o diagrama de visão geral da arquitetura no guia, que mostra toda a pilha de implantação PPSK, do uplink do provedor de internet ao dispositivo do residente. Use o fluxograma de decisão para mapear seu ambiente específico para o modelo de autenticação correto. E se você está planejando uma implantação de BTR ou MDU e quer entender como a plataforma Multi-Tenant WiFi da Purple opera sobre seu hardware existente para fornecer a camada de gerenciamento de chaves, portal do residente e analytics, o link está no guia. [medium pause] Por hoje é só. Obrigado por ouvir. Deixe-me aprofundar no modelo de segurança, porque é onde vejo a maior confusão no mercado. [short pause] O PPSK opera na camada WPA Personal. Cada chave é um segredo pré-compartilhado. A garantia de segurança que o PPSK oferece é o isolamento entre residentes - o dispositivo A na chave A não pode se comunicar com o dispositivo B na chave B, mesmo quando associados ao mesmo access point físico. Esse isolamento é aplicado na camada VLAN, não na camada de criptografia. A criptografia entre cada dispositivo e o access point usa o mesmo conjunto de cifras WPA2 ou WPA3, independentemente de qual chave PPSK o dispositivo usou para se autenticar. [short pause] O que o PPSK não oferece é a autenticação mútua que o 802.1X entrega. Em uma implantação 802.1X com EAP-TLS, o cliente se autentica na rede e a rede se autentica no cliente. Ambos os lados apresentam certificados. Isso evita ataques de pontos de acesso falsos. Com o PPSK, o cliente não tem como verificar se está conectado à rede legítima em vez de um AP falso transmitindo o mesmo SSID. Para um edifício residencial onde o modelo de ameaça visa principalmente isolar os moradores uns dos outros, essa é uma compensação aceitável. Para um ambiente corporativo que lida com dados confidenciais, não é. [medium pause] Agora vamos falar sobre o caminho de atualização do WPA3. O WPA3-SAE, que significa Simultaneous Authentication of Equals, substitui o handshake de quatro vias do WPA2 por um protocolo de troca de chaves mais seguro chamado Dragonfly. A melhoria crítica para implantações PPSK é o forward secrecy: mesmo que um invasor capture o tráfego WiFi e posteriormente obtenha a chave pré-compartilhada, ele não poderá descriptografar o tráfego capturado. O WPA2-PSK não oferece forward secrecy. O WPA3-SAE oferece. Se você está implantando um novo hardware hoje, especifique o suporte ao WPA3-SAE e ative-o para o seu SSID PPSK. Os clientes que não suportam o WPA3 voltarão para o WPA2 no modo de transição, para que você não precise forçar uma transição abrupta. [short pause] A perspectiva do GDPR merece ser abordada diretamente. Em uma implantação residencial multi-tenant, você está processando dados pessoais - especificamente, a associação entre uma chave WiFi e um morador identificado. Essa associação é um dado pessoal sob o UK GDPR e o EU GDPR. Você precisa de uma base legal para processá-lo. Em um contexto de BTR, a base legal é normalmente a execução de um contrato - o contrato de locação - ou interesses legítimos. Você precisa de um aviso de privacidade que cubra o processamento de dados de WiFi. Você precisa de uma política de retenção de dados para logs de conexão. E você precisa ser capaz de responder a solicitações de acesso do titular, o que significa que sua plataforma de gerenciamento PPSK precisa ser capaz de exportar todos os dados associados à chave de um morador específico. [short pause] A plataforma Multi-Tenant WiFi da Purple foi construída com isso em mente. Os dados são armazenados em uma infraestrutura certificada ISO 27001. Estamos em conformidade com o GDPR e a CCPA. A residência de dados é selecionável - Reino Unido, UE ou EUA - para que você possa cumprir suas obrigações regulatórias independentemente de onde suas propriedades estejam localizadas. E nossa plataforma oferece a trilha de auditoria e os recursos de exportação de dados de que você precisa para conformidade. Deixe-me abordar a questão do ROI, porque isso surge em toda conversa de aquisição de BTR. [short pause] A pesquisa da British Property Federation mostra consistentemente que a qualidade do WiFi é um dos cinco principais fatores de comodidade nas decisões de locação no setor de Build to Rent. Os operadores que incluem WiFi gerenciado como comodidade relatam prêmios de aluguel de quinze a trinta libras por unidade por mês em comparação com propriedades equivalentes sem conectividade inclusa. Em um edifício de 200 unidades, isso representa entre trinta e seis mil e setenta e duas mil libras por ano em receita de aluguel adicional. Em comparação com o custo típico de implantação de PPSK - hardware amortizado em cinco anos mais uma licença de sobreposição de software - o período de retorno é normalmente inferior a 18 meses. [short pause] A economia operacional é igualmente significativa. Uma rede de senha compartilhada em um edifício de 200 unidades gera um volume previsível de chamados de suporte: residentes que não conseguem conectar seu Chromecast, residentes cujo alto-falante inteligente não emparelha, residentes cujo console mostra tipo NAT estrito. Esses chamados custam tempo e dinheiro para serem resolvidos. Uma rede PPSK implantada corretamente elimina a maioria deles. Um operador com quem trabalhamos relatou uma redução de 30% nos contatos de suporte relacionados a WiFi nos primeiros seis meses após migrar de uma implantação de senha compartilhada para PPSK. [short pause] Os períodos de vacância são a outra alavanca. Um edifício onde o WiFi está ativo e funcionando no dia da mudança reduz o atrito para os novos residentes. Um edifício onde o novo residente precisa esperar pelo agendamento de um engenheiro de banda larga - normalmente de sete a quatorze dias no Reino Unido - cria uma primeira impressão negativa que afeta a retenção. O PPSK com ativação no dia da mudança elimina totalmente esse atrito. [medium pause] Mais uma área a cobrir: a aplicação em coworking e uso misto. O PPSK não é apenas para uso residencial. É também o modelo certo para espaços de coworking onde você deseja isolamento por membro ou por empresa sem a sobrecarga do 802.1X. Um operador de coworking com 200 membros pode dar a cada membro sua própria chave PPSK, mapeá-la para uma VLAN dedicada e garantir que os dispositivos do membro A fiquem invisíveis para o membro B. Quando uma assinatura expira, a chave é revogada. Quando um novo membro se associa, uma nova chave é gerada. A experiência do membro é idêntica à de uma rede doméstica. [short pause] Para coworking, o modelo híbrido funciona particularmente bem. Os membros recebem PPSK. Os visitantes dos membros - clientes que participam de reuniões, por exemplo - recebem um SSID de WiFi de visitante separado com um Captive Portal. A equipe do edifício recebe 802.1X integrado ao provedor de identidade do operador. Três modelos de autenticação, uma infraestrutura física, separação limpa entre todos os três grupos de usuários. [medium pause] Isso cobre o panorama completo. O PPSK WiFi é uma tecnologia madura e bem suportada que resolve um problema específico e importante: o isolamento por usuário ou por residência em ambientes multi-tenant, sem a sobrecarga de infraestrutura do 802.1X. Ele é agnóstico em relação ao hardware, orientado por API e pode ser implantado hoje mesmo nos pontos de acesso que você já possui. Os critérios de decisão são claros. Os padrões de implantação são comprovados. E o caso de negócios, particularmente em Build to Rent e acomodações estudantis sob medida, é amplamente comprovado.