Como implementar a autenticação 802.1X com Cloud RADIUS

Como implementar a autenticação 802.1X com Cloud RADIUS Um Informativo Técnico da Purple WiFi --- INTRODUÇÃO E CONTEXTO (aprox. 1 minuto) --- Bem-vindo ao Informativo Técnico da Purple WiFi. Sou o seu anfitrião e hoje vamos detalhar a autenticação 802.1X com Cloud RADIUS - o que é, por que ela é importante agora e como realmente implantá-la em uma infraestrutura multi-site. Se você gerencia a infraestrutura de WiFi para um grupo de hotéis, uma rede de varejo, um estádio ou uma organização do setor público, este é um daqueles tópicos que sempre surgem - e por um bom motivo. O cenário de ameaças mudou. As redes PSK compartilhadas são cada vez mais vistas como um risco de conformidade, e não apenas uma inconveniência de segurança. Reguladores, auditores e seguradoras de riscos cibernéticos estão fazendo perguntas mais difíceis sobre o controle de acesso à rede. E a boa notícia é que o RADIUS fornecido na nuvem tornou o 802.1X genuinamente implantável em escala, sem a sobrecarga de infraestrutura local que antes o tornava impraticável para redes distribuídas. Então, vamos começar. --- MERGULHO TÉCNICO PROFUNDO (aprox. 5 minutos) --- Primeiro, vamos garantir que estamos todos trabalhando com a mesma definição. O IEEE 802.1X é um padrão de controle de acesso à rede baseado em porta. Ele define uma estrutura de autenticação que fica na Camada 2 do modelo OSI - ou seja, ele opera antes que um dispositivo receba qualquer conectividade IP. Essa é a principal diferença da autenticação na camada de aplicação. Com o 802.1X, um dispositivo não pode entrar na rede até ser positivamente autenticado. O protocolo possui três componentes. O solicitante (supplicant) - que é o dispositivo final, seja um laptop, um smartphone ou um terminal de ponto de venda. O autenticador - normalmente seu ponto de acesso WiFi ou seu switch gerenciado. E o servidor de autenticação - que em implantações modernas é o seu serviço de cloud RADIUS. O fluxo funciona assim: Um dispositivo tenta se associar a um ponto de acesso. O ponto de acesso não concede acesso total à rede imediatamente. Em vez disso, ele abre uma porta controlada e inicia uma troca EAP - que é o Extensible Authentication Protocol (Protocolo de Autenticação Extensível) - com o dispositivo. O dispositivo apresenta suas credenciais, que podem ser um nome de usuário e senha, um certificado digital ou uma identidade baseada em SIM. O ponto de acesso retransmite essa troca para o servidor RADIUS usando o protocolo RADIUS sobre UDP, normalmente na porta 1812 para autenticação e 1813 para contabilização (accounting). O servidor RADIUS valida as credenciais em um repositório de identidade - Active Directory, Azure AD ou um diretório LDAP - e retorna uma mensagem de Access-Accept ou Access-Reject. Se aceito, o ponto de acesso abre a porta e o dispositivo ganha acesso à rede. Se rejeitado, ele permanece bloqueado. Simples em princípio, mas os detalhes de implementação importam enormemente. Agora, a seleção do método EAP é onde muitas implantações dão errado. Existem vários métodos EAP em uso comum, e eles têm perfis de segurança e requisitos operacionais muito diferentes. O EAP-TLS é o padrão ouro. Ele exige autenticação mútua por certificado - tanto o servidor quanto o cliente apresentam um certificado. Isso elimina totalmente o risco de roubo de credenciais, pois não há senhas para roubar. Mas exige uma infraestrutura PKI e um mecanismo para enviar os certificados do cliente para os dispositivos, o que normalmente significa uma solução MDM. Para ambientes corporativos BYOD e implantações de alta segurança, essa é a resposta certa. O PEAP com MSCHAPv2 é o método mais amplamente implantado em ambientes empresariais. Ele exige apenas um certificado do lado do servidor e encapsula a troca de credenciais dentro do TLS. É compatível nativamente com o Active Directory, o que o torna operacionalmente simples. O risco é que ele é vulnerável à coleta de credenciais se os usuários se conectarem a um ponto de acesso malicioso com um certificado autoassinado - portanto, a validação do certificado no lado do cliente é inegociável. O EAP-TTLS é semelhante ao PEAP, mas é mais flexível no método de autenticação interno. É particularmente útil em ambientes com dispositivos mistos, onde você tem uma combinação de dispositivos Windows, macOS, iOS e Android com diferentes capacidades de suplicante. Para o suporte a dispositivos legados - como terminais de ponto de venda mais antigos ou sensores IoT - o EAP-FAST pode ser uma escolha prática, pois não exige certificados e usa uma Credencial de Acesso Protegido em seu lugar. Agora, a parte do RADIUS em nuvem. Tradicionalmente, o RADIUS era um serviço local - FreeRADIUS em um servidor Linux ou Microsoft NPS no Windows Server. Esse modelo funciona, mas tem custos operacionais reais: manutenção de hardware, configuração de alta disponibilidade, aplicação de patches e a necessidade de infraestrutura local em cada local que precise de autenticação de baixa latência. O RADIUS em nuvem altera esse cálculo significativamente. Um serviço de RADIUS em nuvem é hospedado e gerenciado pelo provedor. Seus pontos de acesso enviam solicitações RADIUS pela internet para o serviço em nuvem, que lida com a autenticação em relação ao seu provedor de identidade. A preocupação com a latência é real, mas gerenciável - os serviços modernos de RADIUS em nuvem são distribuídos globalmente, e as viagens de ida e volta de autenticação normalmente são concluídas em menos de 100 milissegundos, o que é imperceptível para os usuários finais. A integração com provedores de identidade é a dependência crítica. A maioria das plataformas de RADIUS em nuvem suporta LDAP, LDAPS, SAML 2.0 e integração direta com Azure AD ou Okta. Para organizações que já executam o Microsoft 365, a integração com o Azure AD é o caminho natural - você obtém logon único, políticas de acesso condicional e imposição de MFA, tudo alimentando sua camada de controle de acesso à rede. Para locais que implantam WiFi para convidados junto com redes de funcionários, a arquitetura normalmente as separa em SSIDs distintos com diferentes políticas de autenticação. As redes de funcionários usam 802.1X com credenciais corporativas. As redes de convidados usam um Captive Portal ou fluxo de login social. A plataforma da Purple suporta ambos os modelos, e a camada de analytics de WiFi funciona em ambos, oferecendo visibilidade sobre o comportamento do dispositivo, tempo de permanência e utilização da rede sem comprometer a segmentação de segurança. --- RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS (aprox. 2 minutos) --- Deixe-me apresentar a sequência prática de implantação e sinalizar os modos de falha que vejo com mais frequência. Comece com a integração do seu provedor de identidade. Antes de tocar em um único ponto de acesso, confirme se o seu serviço de RADIUS em nuvem pode se autenticar em seu diretório. Teste com uma conta de serviço, valide a vinculação LDAP e confirme se os atributos de associação de grupo estão sendo retornados corretamente - porque você precisará deles para as políticas de atribuição de VLAN. Segundo, planeje sua estratégia de certificados. Se você optar pelo EAP-TLS, precisará de uma CA, precisará decidir se usará uma CA pública ou interna e precisará de um plano de implantação de MDM para certificados de clientes. Se você optar pelo PEAP, precisará de um certificado de servidor de uma CA confiável - não autoassinado - e precisará enviar o certificado da CA para todos os dispositivos clientes para que a validação do certificado funcione corretamente. Esta é a etapa que costuma ser ignorada e que causa incidentes de segurança. Terceiro, configure seus clientes RADIUS - ou seja, seus pontos de acesso e controladores - com o segredo compartilhado correto e o IP do servidor ou nome de host. Use um segredo compartilhado forte, gerado aleatoriamente, e não uma palavra de dicionário. E se o seu provedor de RADIUS em nuvem suportar RADIUS sobre TLS - RadSec - use-o. Ele criptografa o tráfego RADIUS em trânsito, o que é particularmente importante quando esse tráfego está atravessando a internet pública. Quarto, teste com um grupo piloto antes da implantação completa. Falhas de autenticação em grande escala são disruptivas e difíceis de diagnosticar sob pressão. Execute um piloto com dez a vinte dispositivos, valide os logs de autenticação, confirme se a atribuição de VLAN está funcionando e verifique se os registros de contabilização estão sendo gravados corretamente. Os modos de falha que vejo com mais frequência: validação de certificado desativada nos clientes, levando a vulnerabilidades de man-in-the-middle. Segredos compartilhados muito curtos ou reutilizados em vários sites. Lista de permissões de IP do servidor RADIUS não configurada, fazendo com que as solicitações de autenticação de novos sites sejam descartadas silenciosamente. E perfis de MDM não atualizados quando os certificados expiram, causando falhas de autenticação em massa no dia da renovação. --- PERGUNTAS E RESPOSTAS RÁPIDAS (aprox. 1 minuto) --- Algumas perguntas que recebo regularmente. Posso executar 802.1X em uma rede que também possui dispositivos IoT que não suportam EAP? Sim - use o MAC Authentication Bypass como uma alternativa para dispositivos que não podem executar um suplicante, mas coloque esses dispositivos em uma VLAN restrita com regras rígidas de firewall.O 802.1X substitui a criptografia WPA2 ou WPA3? Não - o 802.1X lida com a autenticação. O WPA2-Enterprise ou WPA3-Enterprise lida com a criptografia. Você precisa de ambos. O WPA3-Enterprise com 802.1X é a melhor prática atual para novas implantações. Qual é o impacto da latência na autenticação? Com um serviço RADIUS em nuvem bem configurado, espere de 50 a 150 milissegundos por autenticação. Para cenários de roaming, a transição rápida de BSS 802.11r pode reduzir significativamente a sobrecarga de reautenticação. Isso é compatível com PCI-DSS? O 802.1X com EAP-TLS ou PEAP em uma rede adequadamente segmentada atende ao Requisito 1 e ao Requisito 8 do PCI-DSS para controle de acesso à rede. Envolva seu QSA desde o início. --- RESUMO E PRÓXIMOS PASSOS (aprox. 1 minuto) --- Para resumir tudo: o 802.1X com RADIUS em nuvem é a resposta certa para qualquer organização que precisa demonstrar controle de acesso à rede para auditores, reduzir o raio de alcance de uma credencial comprometida ou gerenciar a autenticação centralmente em uma propriedade distribuída. A implantação não é trivial, mas é absolutamente gerenciável com a preparação correta. Acerte primeiro na integração do seu provedor de identidade. Escolha seu método EAP com base em sua frota de dispositivos e em sua capacidade operacional de gerenciar certificados. Use RadSec se sua infraestrutura suportar. E teste antes de implantar em escala. Se você opera uma rede mista de convidados e funcionários - o que a maioria dos operadores de hospitalidade e varejo faz - plataformas como o Purple oferecem a capacidade de gerenciar ambos os modelos de autenticação a partir de um único painel, com a camada de análise cobrindo toda a propriedade. Para os seus próximos passos: faça uma auditoria em sua postura atual de controle de acesso à rede, identifique quais locais ainda estão executando PSK compartilhado e crie um plano de migração em fases. Comece pelos locais de maior risco - aqueles no escopo do PCI-DSS ou que lidam com dados confidenciais - e avance a partir daí. Obrigado por ouvir. Mais briefings técnicos estão disponíveis em purple.ai.