O que é a Autenticação RADIUS e Como Ela Funciona?

### O que é a Autenticação RADIUS e Como Ela Funciona? — Purple Technical Briefing **[INTRO — 1 minuto]** Bem-vindo ao Purple Technical Briefing. Eu sou o seu anfitrião e, nos próximos dez minutos, vamos desmistificar uma das tecnologias mais críticas para a segurança de redes corporativas: a autenticação RADIUS. Se você é um gerente de TI, arquiteto de rede ou CTO responsável pelo WiFi em um grande local — um hotel, uma rede de varejo, um estádio ou um centro de convenções —, este briefing foi feito especificamente para você. Vamos direto ao ponto, explicaremos a arquitetura de forma clara e daremos os insights práticos que você precisa para tomar decisões informadas neste trimestre. Vamos começar com o panorama geral. Por que isso importa? Se você ainda opera o WiFi de visitantes ou funcionários com uma única senha compartilhada — uma Chave Pré-Compartilhada, ou PSK —, você está operando com um risco de segurança significativo e crescente. Essa senha é compartilhada, escrita em recibos, fotografada em quadros brancos e encaminhada por aplicativos de mensagens. Uma vez exposta, você perde a visibilidade de quem está na sua rede, a capacidade de revogar o acesso de um único usuário sem interromper todos os outros e o rastro de auditoria caso algo dê errado. Para organizações sujeitas ao PCI DSS, GDPR ou HIPAA, isso não é apenas um problema técnico. É uma responsabilidade de conformidade. O RADIUS é a solução em que o setor convergiu para resolver isso. Então, vamos entender exatamente o que ele é e como funciona. **[APROFUNDAMENTO TÉCNICO — 5 minutos]** RADIUS significa Remote Authentication Dial-In User Service. O nome é um artefato histórico dos primórdios da internet discada, mas o protocolo evoluiu significativamente e continua sendo a espinha dorsal do controle de acesso a redes corporativas hoje. Em sua essência, o RADIUS é um sistema centralizado baseado em servidor que gerencia o acesso à rede usando uma estrutura chamada AAA — Autenticação, Autorização e Contabilização (Accounting). Esses três pilares são a base de tudo o que discutiremos hoje. A Autenticação é o primeiro pilar: verificar quem a pessoa é. A Autorização é o segundo: determinar o que ela tem permissão para fazer. E a Contabilização é o terceiro: registrar o que ela realmente fez. Vamos explorar cada um deles. Autenticação. Quando um usuário tenta se conectar a uma rede WiFi protegida com WPA2-Enterprise ou WPA3-Enterprise, seu dispositivo — que chamamos de Suplicante (Supplicant) — envia uma solicitação de conexão para o ponto de acesso sem fio. O ponto de acesso, que chamamos de Autenticador, não toma a decisão de autenticação por si mesmo. Ele age como um retransmissor, encaminhando a solicitação para o servidor RADIUS. O servidor RADIUS então valida a identidade do usuário em relação a uma fonte de identidade configurada. Isso pode ser o Microsoft Active Directory, Azure Active Directory, Google Workspace, Okta ou um banco de dados de usuários local. A fonte de identidade é a única fonte de verdade para quem tem permissão para acessar sua rede. O servidor RADIUS pode validar a identidade de várias maneiras. As mais comuns em ambientes corporativos são os métodos baseados em credenciais, onde o usuário fornece um nome de usuário e senha, e os métodos baseados em certificado, onde o dispositivo do usuário apresenta um certificado digital. Falaremos sobre as implicações de segurança de cada um em breve. Autorização. Uma vez que o usuário é autenticado, o servidor RADIUS não apenas diz sim e se afasta. Ele também diz ao ponto de acesso exatamente o que fazer com este usuário. Ele envia de volta um conjunto de atributos — essencialmente instruções — que definem a experiência de rede do usuário. O mais importante deles é normalmente a atribuição de VLAN. O servidor RADIUS pode dizer: este usuário é um membro do grupo de funcionários corporativos, atribua-o à VLAN dez, que tem acesso a servidores de arquivos internos e impressoras. Ou: este usuário é um convidado, atribua-o à VLAN vinte, que tem apenas acesso à internet e está completamente isolada da rede corporativa. Essa atribuição dinâmica de VLAN é um dos recursos mais poderosos do RADIUS, e é o mecanismo que permite a segmentação de rede adequada. Contabilidade (Accounting). O terceiro pilar é frequentemente negligenciado, mas é extremamente importante para conformidade e operações. À medida que a sessão de um usuário avança, o servidor RADIUS registra informações importantes: o momento em que se conectaram, o momento em que se desconectaram, a duração total da sessão, a quantidade de dados transferidos e o endereço MAC de seu dispositivo. Isso cria uma trilha de auditoria detalhada para cada conexão em sua rede. Sob o PCI DSS 4.0, esse tipo de registro não é opcional — é um requisito rígido. E no caso de um incidente de segurança, esses logs são inestimáveis para a investigação forense. Agora, vamos falar sobre o padrão técnico que faz tudo isso funcionar: IEEE 802.1X. O 802.1X é o padrão que define o controle de acesso à rede baseado em porta. É o protocolo que permite a um ponto de acesso bloquear todo o tráfego de rede de um dispositivo até que o servidor RADIUS confirme que o dispositivo está autorizado. A comunicação entre o dispositivo do usuário e o ponto de acesso usa um protocolo chamado EAP — o Extensible Authentication Protocol. O EAP é essencialmente uma estrutura que suporta múltiplos métodos de autenticação. Os três métodos EAP mais comuns em WiFi corporativo são: PEAP, que significa Protected Extensible Authentication Protocol; EAP-TTLS; e EAP-TLS. O PEAP e o EAP-TTLS são métodos baseados em credenciais. Eles criam um túnel criptografado entre o dispositivo e o servidor RADIUS, e então o nome de usuário e a senha do usuário são verificados dentro desse túnel. Eles são relativamente fáceis de implantar e funcionam bem em ambientes onde você ainda não está pronto para uma infraestrutura de certificados completa. O EAP-TLS é o padrão ouro. Ele é baseado em certificados, o que significa que tanto o servidor quanto o dispositivo cliente apresentam certificados digitais para se autenticarem mutuamente. Não há nenhuma senha envolvida. Isso elimina completamente o risco de roubo de credenciais, ataques de phishing e ataques man-in-the-middle. Para dispositivos corporativos, o EAP-TLS é o método de autenticação que você deve buscar implementar. **[IMPLEMENTAÇÃO E ERROS COMUNS — 2 minutos]** Então, como você realmente implanta tudo isso? Deixe-me guiar você pelos passos principais. Primeiro, escolha seu servidor RADIUS. Você pode implantar um servidor local — o Network Policy Server da Microsoft é uma escolha comum em ambientes Windows — ou usar um serviço RADIUS baseado em nuvem. Plataformas de Cloud RADIUS, como a oferecida pela Purple, fornecem uma infraestrutura totalmente gerenciada e de alta disponibilidade, sem a sobrecarga operacional. Para organizações com várias filiais, a abordagem em nuvem é quase sempre a escolha certa. Segundo, integre sua fonte de identidade. Conecte seu servidor RADIUS ao diretório de identidade da sua organização. A maioria das plataformas modernas de Cloud RADIUS suporta integração direta com o Azure AD, Google Workspace e Okta. Terceiro, configure o hardware da sua rede. Crie um novo SSID configurado para WPA2-Enterprise ou WPA3-Enterprise e aponte-o para o seu servidor RADIUS. Você também configurará um segredo compartilhado — uma senha que criptografa a comunicação entre o ponto de acesso e o servidor RADIUS. Esse segredo compartilhado deve ser exatamente igual em ambos os lados. Uma divergência aqui é uma das causas mais comuns de falhas de autenticação durante a implantação inicial. Quarto, defina suas políticas de autorização. Mapeie grupos de usuários para políticas de rede — a equipe interna recebe acesso total na VLAN dez, os visitantes recebem acesso apenas à internet na VLAN vinte. Quinto, integre seus usuários. Para a equipe corporativa, implante perfis de WiFi por meio da sua plataforma MDM. Para visitantes, use um Captive Portal. A plataforma da Purple automatiza o fluxo de integração de visitantes, suportando logins de redes sociais, formulários de registro e códigos de voucher. **[PERGUNTAS E RESPOSTAS RÁPIDAS — 1 minuto]** Vamos fazer uma sessão rápida de perguntas e respostas sobre as dúvidas que ouvimos com mais frequência. Primeira: Qual é a diferença entre o RADIUS e um Captive Portal? Um Captive Portal é a página de login que os visitantes veem quando se conectam. Ele funciona em conjunto com o RADIUS. O portal é a interface do usuário; o RADIUS é o motor de back-end. Segunda: Posso usar o RADIUS para redes cabeadas? Com certeza. O padrão 802.1X se aplica igualmente a redes Ethernet cabeadas e redes sem fio. Terceira: O RADIUS é difícil de configurar? Ele tem fama de ser complexo, mas as plataformas modernas em nuvem mudaram isso drasticamente. Com um serviço gerenciado como o da Purple, você pode colocar uma implantação de RADIUS pronta para produção em funcionamento rapidamente. **[RESUMO E PRÓXIMOS PASSOS — 1 minuto]** Para resumir: o RADIUS é o protocolo centralizado que impulsiona a segurança de WiFi corporativo. Ele implementa a estrutura AAA para oferecer controle granular sobre quem pode acessar sua rede, o que eles podem fazer e uma trilha de auditoria completa de suas atividades. Para operadores de locais, hoteleiros, varejistas e organizações do setor público, a implantação do RADIUS é a etapa fundamental na construção de uma infraestrutura de WiFi segura, em conformidade e gerenciada profissionalmente. Seu próximo passo é claro: se você ainda está operando com chaves pré-compartilhadas, comece a planejar sua migração hoje mesmo. Revise seu hardware atual para verificar o suporte ao WPA3-Enterprise, avalie suas opções de integração de diretório de identidade e explore uma plataforma RADIUS em nuvem que possa escalar com sua organização. Isso é tudo o que temos tempo para este Purple Technical Briefing. Obrigado por ouvir. Para saber mais sobre como a Purple pode ajudar você a implantar um WiFi seguro e inteligente em seus locais, visite-nos em purple ponto ai. Até a próxima, mantenha-se seguro.