Autenticação de Certificado WiFi: Como os Certificados Digitais Protegem as Redes Sem Fio

Autenticação de WiFi por Certificado: Como os Certificados Digitais Protegem Redes Sem Fio. Um Briefing Técnico da Purple. Introdução e Contexto. Bem-vindo à série de Briefings Técnicos da Purple. Eu sou o seu anfitrião e hoje vamos abordar um dos tópicos mais importantes - e frequentemente incompreendidos - na segurança de redes corporativas: autenticação de WiFi por certificado. Se você gerencia um grupo hoteleiro, uma rede de varejo, um centro de convenções ou qualquer organização onde tanto funcionários quanto convidados se conectam à sua infraestrutura sem fio, este briefing é diretamente relevante para a sua postura de segurança agora mesmo. Deixe-me contextualizar. A abordagem tradicional para proteger o WiFi corporativo tem sido uma chave pré-compartilhada - uma senha que todo mundo conhece, que é escrita em quadros brancos, compartilhada em canais do Slack e, francamente, nunca muda porque alterá-la significaria atualizar todos os dispositivos da propriedade. Esse modelo está ultrapassado. Sempre esteve. A autenticação baseada em certificados é a forma como as redes empresariais sérias fazem isso há mais de uma década e, se você ainda não fez essa transição, este briefing lhe dará a clareza necessária para tomar essa decisão. Então - o que é exatamente a autenticação de WiFi por certificado, por que ela importa e como você realmente a implementa? Vamos direto ao assunto. Análise Técnica Detalhada. Vamos começar com os fundamentos. Um certificado digital, no contexto da autenticação de WiFi, é uma credencial digital X.509 - essencialmente um documento assinado criptograficamente que comprova a identidade de um dispositivo ou de um usuário. Pense nele como um passaporte para o endpoint da sua rede. Diferente de uma senha, que é um segredo compartilhado que pode ser roubado, adivinhado ou vazado, um certificado está matematicamente vinculado a uma chave privada específica que nunca sai do dispositivo. Não é possível fazer phishing de um certificado. Não é possível quebrá-lo por força bruta. E o mais crítico: você pode revogá-lo no momento em que um dispositivo é perdido ou um funcionário se desliga. A infraestrutura subjacente que faz isso funcionar é chamada de PKI - Infraestrutura de Chaves Públicas. A PKI é uma hierarquia de confiança. No topo está a Autoridade Certificadora Raiz - a âncora de confiança definitiva. Abaixo dela, você normalmente tem uma ou mais Autoridades Certificadoras Intermediárias, que de fato emitem os certificados de entidade final para dispositivos e usuários. Essa hierarquia é importante porque significa que sua CA Raiz pode ser mantida completamente offline e isolada fisicamente, reduzindo drasticamente sua superfície de ataque. Se uma CA Intermediária for comprometida, você a revoga sem tocar na Raiz. Agora, como isso realmente funciona em uma rede WiFi? A pilha de protocolos é a IEEE 802.1X - o padrão de controle de acesso à rede baseado em porta - combinada com o EAP-TLS, que significa Protocolo de Autenticação Extensível com Segurança de Camada de Transporte. Este é o padrão ouro para a segurança de WiFi corporativo. Aqui está o fluxo de autenticação. Quando um dispositivo cliente tenta se conectar ao seu SSID corporativo, o ponto de acesso - atuando como o que o 802.1X chama de Autenticador - não concede acesso à rede imediatamente. Em vez disso, ele atua como proxy de uma conversa EAP entre o cliente e o seu servidor RADIUS, que é o Servidor de Autenticação na terminologia 802.1X. O cliente apresenta seu certificado. O servidor RADIUS valida esse certificado em relação à sua PKI - verificando a cadeia de assinaturas, o período de validade e o status de revogação. Simultaneamente - e esta é a parte que torna o EAP-TLS genuinamente superior à maioria dos outros métodos EAP - o cliente também valida o certificado do servidor. Essa autenticação mútua evita ataques de pontos de acesso falsos, onde um invasor configura uma rede WiFi falsa para coletar credenciais. Com o EAP-TLS, ambos os lados provam sua identidade antes que um único byte de dados seja transmitido. Uma vez que a autenticação mútua seja bem-sucedida, o servidor RADIUS envia uma mensagem de Access-Accept para o ponto de acesso, e o cliente é colocado no segmento de rede apropriado - seja a VLAN corporativa, um segmento de visitante restrito ou um grupo de políticas específico baseado em atributos de certificado. Vamos falar sobre o ciclo de vida do certificado, porque é aqui que muitas implantações enfrentam atritos operacionais. Os certificados são emitidos, possuem um período de validade - normalmente de um a três anos para certificados de dispositivos - e devem ser renovados antes de expirar. Eles também podem ser revogados antes da expiração se um dispositivo for roubado ou desativado. A revogação é tratada por meio de dois mecanismos: CRL, ou Listas de Revogação de Certificados, que são listas publicadas periodicamente de números de série de certificados revogados; e OCSP, o Online Certificate Status Protocol, que permite a verificação de revogação em tempo real. Para grandes implantações corporativas, o OCSP é fortemente preferido porque os arquivos CRL podem se tornar muito grandes e introduzir latência. O registro de certificados - colocar os certificados nos dispositivos em primeiro lugar - é tratado por meio de protocolos como SCEP, o Simple Certificate Enrolment Protocol, ou EST, Enrolment over Secure Transport, que é o substituto mais moderno. Em um ambiente Microsoft, você normalmente usaria o Active Directory Certificate Services com Diretiva de Grupo para registrar automaticamente certificados em máquinas ingressadas no domínio. Para cenários de gerenciamento de dispositivos móveis, sua plataforma MDM - seja ela o Intune, Jamf ou outra solução - gerencia a distribuição de certificados como parte do perfil de configuração do dispositivo. Agora, onde isso se cruza com o WiFi para convidados? Esta é uma distinção importante. A autenticação por certificado é primariamente um controle de rede corporativa. Seus convidados não terão certificados emitidos pela PKI da sua empresa. Para o acesso de convidados, você opera em um modelo de autenticação diferente - normalmente um Captive Portal com login social, cadastro de e-mail ou, cada vez mais, Passpoint e OpenRoaming, que utilizam certificados no nível da infraestrutura para permitir um roaming seguro e contínuo entre os locais. A plataforma da Purple está posicionada exatamente nesse espaço de WiFi para convidados, fornecendo a camada de captura de identidade, análise e engajamento sobre uma infraestrutura sem fio segura. O princípio arquitetônico fundamental é a segmentação de rede: o seu SSID corporativo autenticado por certificado e o seu SSID de WiFi para convidados são logicamente separados, com políticas de firewall apropriadas entre eles. Isso é inegociável para a conformidade com o PCI DSS se você processa pagamentos com cartão em qualquer lugar próximo à sua infraestrutura sem fio, e é fortemente recomendado para a conformidade com a GDPR, considerando os dados que você manipula em ambas as redes. Recomendações de Implementação e Armadilhas. Permita-me fornecer orientações práticas de implantação - e as armadilhas nas quais vejo as organizações caírem repetidamente. Primeiro, planeje sua PKI antes de tocar em um único ponto de acesso. O erro mais comum é implantar a autenticação por certificado com uma estrutura de CA plana de nível único. Sempre implemente pelo menos uma hierarquia de dois níveis com uma Root CA offline. O custo operacional é mínimo; o benefício de segurança é substancial. Segundo, acerte na sua infraestrutura RADIUS. Um único servidor RADIUS é um ponto único de falha. Implante no mínimo dois servidores RADIUS em uma configuração ativo-passivo ou ativo-ativo e teste o seu failover. Já vi organizações implantarem o 802.1X corretamente e depois descobrirem, durante uma interrupção, que o failover do RADIUS não estava configurado nos pontos de acesso. Terceiro, os períodos de validade dos certificados precisam estar alinhados com os ciclos de atualização do seu MDM. Se o seu MDM força a renovação de certificados em um ciclo de 90 dias, mas os seus certificados têm validade de 12 meses, você terá uma lacuna. Automatize a renovação e configure alertas para 60 dias antes da expiração. Quarto - e isso costuma pegar as pessoas de surpresa - o iOS e o Android lidam com a confiança do certificado de forma diferente. O iOS exige que o certificado Root CA seja explicitamente confiado pelo usuário na primeira conexão, a menos que seja enviado via MDM. O comportamento do Android varia de acordo com a versão e o fabricante. Teste a experiência do cliente em todas as classes de dispositivos antes de entrar em operação. A quinta armadilha é a disponibilidade do OCSP. Se o seu responder OCSP for interno e um cliente não conseguir alcançá-lo durante a autenticação - talvez por estar se conectando pela primeira vez e ainda não ter acesso à rede - a autenticação pode falhar ou recorrer à CRL. Projete sua infraestrutura OCSP para ser acessível a partir do estado pré-autenticação, ou configure seu servidor RADIUS para armazenar em cache as respostas OCSP adequadamente. Perguntas e Respostas Rápidas. Deixe-me detalhar as perguntas que recebo com mais frequência. Pergunta: Podemos usar a autenticação por certificado junto com o nosso portal de WiFi para convidados existente? Com certeza. São SSIDs separados com mecanismos de autenticação separados. Seus usuários corporativos se autenticam via EAP-TLS; seus convidados passam pelo fluxo do Captive Portal. A Purple cuida do lado dos convidados; sua infraestrutura RADIUS cuida do lado corporativo. Pergunta: O que acontece quando um dispositivo é perdido ou roubado? Você revoga o certificado imediatamente através do seu console de gerenciamento de CA. Na próxima vez que esse dispositivo tentar se conectar, o servidor RADIUS verifica o status de revogação e rejeita a conexão. Com o OCSP, isso pode ser quase em tempo real. Com a CRL, depende do seu intervalo de publicação de CRL - normalmente horas. É por isso que o OCSP é preferido para ambientes de alta segurança. Pergunta: O EAP-TLS é compatível com WPA3? Sim. O WPA3-Enterprise exige o uso do modo de segurança de 192 bits para as implantações mais sensíveis, e o EAP-TLS é totalmente compatível. Na verdade, o WPA3-Enterprise com EAP-TLS é a configuração de maior segurança disponível para WiFi corporativo atualmente. Pergunta: Como isso afeta nosso status de conformidade com o PCI-DSS? Positivamente. O Requisito 1 e o Requisito 8 do PCI-DSS se beneficiam da autenticação baseada em certificado. A eliminação de chaves pré-compartilhadas compartilhadas remove uma descoberta de auditoria significativa, e a identidade por dispositivo significa que você tem uma trilha de auditoria clara de qual dispositivo acessou qual segmento de rede e quando. Resumo e Próximos Passos. Para resumir tudo: a autenticação por certificado WiFi via 802.1X e EAP-TLS é a abordagem correta para qualquer organização que leva a sério a segurança de sua rede. Ela elimina segredos compartilhados, fornece autenticação mútua, permite controle de acesso granular e se integra perfeitamente à sua infraestrutura de identidade existente. O caminho de implantação é bem compreendido: projete sua hierarquia de PKI, implante uma infraestrutura RADIUS redundante, integre-se ao seu MDM para distribuição de certificados, configure seus pontos de acesso para 802.1X e teste minuciosamente em todo o seu parque de dispositivos. Para sua rede de convidados, essa é uma conversa separada - e é onde plataformas como a Purple agregam valor real, oferecendo uma integração de convidados segura e em conformidade, com os recursos de análise e engajamento que transformam sua infraestrutura de WiFi em um ativo de negócios, e não apenas em um serviço utilitário. Se você está avaliando sua postura de autenticação atual, o ponto de partida ideal é uma auditoria de sua configuração de SSID existente e uma revisão da prontidão de sua infraestrutura de certificados. A partir daí, uma implantação em fases - começando com um grupo piloto de dispositivos gerenciados - é o caminho de menor risco para a implantação completa. Obrigado por ouvir este Briefing Técnico da Purple. Para leituras adicionais, confira nossos guias sobre segurança de WiFi corporativo e os métodos de autenticação de WiFi mais seguros no site da Purple em purple.ai.