WiFi Certificate Authentication: How Digital Certificates Secure Wireless Networks

Autenticação de WiFi por Certificado: Como os Certificados Digitais Protegem Redes Sem Fio. Um Informativo Técnico da Purple. Introdução e Contexto. Bem-vindo à série de Informativos Técnicos da Purple. Sou o seu anfitrião e hoje vamos abordar um dos tópicos mais importantes — e frequentemente incompreendidos — na segurança de redes corporativas: a autenticação de WiFi por certificado. Se você gerencia um grupo hoteleiro, uma rede de varejo, um centro de convenções ou qualquer organização onde tanto a equipe quanto os convidados se conectam à sua infraestrutura sem fio, este informativo é diretamente relevante para a sua postura de segurança agora mesmo. Deixe-me contextualizar. A abordagem tradicional para proteger o WiFi corporativo tem sido uma chave pré-compartilhada — uma senha que todos conhecem, que é escrita em quadros brancos, compartilhada em canais do Slack e, francamente, nunca muda porque alterá-la significaria atualizar todos os dispositivos da empresa. Esse modelo está ultrapassado. Sempre esteve. A autenticação baseada em certificado é a forma como as redes corporativas sérias vêm fazendo isso há mais de uma década e, se você ainda não fez a transição, este informativo lhe dará a clareza necessária para tomar essa decisão. Então — o que é exatamente a autenticação de WiFi por certificado, por que ela importa e como você realmente a implanta? Vamos ao assunto. Imersão Técnica. Vamos começar com os fundamentos. Um certificado digital, no contexto da autenticação de WiFi, é uma credencial digital X.509 — essencialmente um documento assinado criptograficamente que comprova a identidade de um dispositivo ou de um usuário. Pense nele como um passaporte para o endpoint da sua rede. Ao contrário de uma senha, que é um segredo compartilhado que pode ser roubado, adivinhado ou vazado, um certificado é vinculado matematicamente a uma chave privada específica que nunca sai do dispositivo. Não é possível fazer phishing de um certificado. Não é possível decifrá-lo por força bruta. E, fundamentalmente, você pode revogá-lo no momento em que um dispositivo é perdido ou um funcionário se desliga. A estrutura subjacente que faz isso funcionar é chamada de PKI — Infraestrutura de Chaves Públicas. A PKI é uma hierarquia de confiança. No topo está uma Autoridade Certificadora Raiz — a âncora de confiança definitiva. Abaixo dela, você normalmente tem uma ou mais Autoridades Certificadoras Intermediárias, que realmente emitem os certificados de entidade final para dispositivos e usuários. Essa hierarquia é importante porque significa que sua CA Raiz pode ser mantida totalmente offline e isolada, reduzindo drasticamente sua superfície de ataque. Se uma CA Intermediária for comprometida, você a revoga sem afetar a Raiz. Agora, como isso realmente funciona em uma rede WiFi? A pilha de protocolos é a IEEE 802.1X — o padrão de controle de acesso à rede baseado em porta — combinado com o EAP-TLS, que significa Extensible Authentication Protocol com Transport Layer Security. Este é o padrão ouro para a segurança de WiFi corporativo. Aqui está o fluxo de autenticação. Quando um dispositivo cliente tenta se conectar ao seu SSID corporativo, o ponto de acesso — agindo como o que o 802.1X chama de Autenticador — não concede acesso à rede imediatamente. Em vez disso, ele faz o proxy de uma conversa EAP entre o cliente e o seu servidor RADIUS, que é o Servidor de Autenticação na terminologia 802.1X. O cliente apresenta seu certificado. O servidor RADIUS valida esse certificado em relação à sua PKI — verificando a cadeia de assinaturas, o período de validade e o status de revogação. Simultaneamente — e esta é a parte que torna o EAP-TLS genuinamente superior à maioria dos outros métodos EAP — o cliente também valida o certificado do servidor. Essa autenticação mútua evita ataques de pontos de acesso invasores, onde um invasor configura uma rede WiFi falsa para coletar credenciais. Com o EAP-TLS, ambos os lados provam sua identidade antes que um único byte de dados seja transmitido. Assim que a autenticação mútua é bem-sucedida, o servidor RADIUS envia uma mensagem Access-Accept para o ponto de acesso, e o cliente é colocado no segmento de rede apropriado — seja a VLAN corporativa, um segmento de convidados restrito ou um grupo de políticas específico com base nos atributos do certificado. Vamos falar sobre o ciclo de vida do certificado, porque é aqui que muitas implantações enfrentam atrito operacional. Os certificados são emitidos, têm um período de validade — normalmente de um a três anos para certificados de dispositivos — e devem ser renovados antes do vencimento. Eles também podem ser revogados antes do vencimento se um dispositivo for roubado ou desativado. A revogação é tratada por meio de dois mecanismos: CRL, ou Listas de Revogação de Certificados, que são listas publicadas periodicamente de números de série de certificados revogados; e OCSP, o Protocolo de Status de Certificado Online, que permite a verificação de revogação em tempo real. Para grandes implantações corporativas, o OCSP é fortemente preferido porque os arquivos CRL podem se tornar muito grandes e introduzir latência. A inscrição de certificados — a inserção de certificados nos dispositivos em primeiro lugar — é tratada por meio de protocolos como o SCEP, o Protocolo de Inscrição de Certificado Simples, ou EST, Inscrição sobre Transporte Seguro, que é o substituto mais moderno. Em um ambiente Microsoft, você normalmente usaria o Active Directory Certificate Services com Diretiva de Grupo para inscrever automaticamente certificados em máquinas ingressadas no domínio. Para cenários de gerenciamento de dispositivos móveis, sua plataforma MDM — seja ela Intune, Jamf ou outra solução — lida com a distribuição de certificados como parte do perfil de configuração do dispositivo. Agora, onde isso se cruza com o WiFi de visitantes? Esta é uma distinção importante. A autenticação por certificado é primariamente um controle de rede corporativa. Seus visitantes não terão certificados emitidos pela PKI da sua empresa. Para o acesso de visitantes, você opera em um modelo de autenticação diferente — normalmente um Captive Portal com login social, cadastro por e-mail ou, cada vez mais, Passpoint e OpenRoaming, que usam certificados no nível da infraestrutura para permitir um roaming seguro e contínuo entre os locais. A plataforma da Purple está posicionada exatamente nesse espaço de WiFi de visitantes, fornecendo a captura de identidade, análise de dados e a camada de engajamento sobre uma infraestrutura sem fio segura. O princípio arquitetônico fundamental é a segmentação de rede: o seu SSID corporativo autenticado por certificado e o seu SSID de WiFi de visitantes são logicamente separados, com políticas de firewall apropriadas entre eles. Isso é inegociável para a conformidade com o PCI DSS se você processa pagamentos com cartão em qualquer lugar próximo à sua infraestrutura sem fio, e é fortemente recomendado para a conformidade com a GDPR, considerando os dados que você manipula em ambas as redes. Recomendações de Implementação e Armadilhas. Deixe-me dar algumas orientações práticas de implantação — e as armadilhas que vejo as organizações cometerem repetidamente. Primeiro, planeje sua PKI antes de tocar em um único ponto de acesso. O erro mais comum é implantar a autenticação por certificado com uma estrutura de CA plana de nível único. Sempre implemente pelo menos uma hierarquia de dois níveis com uma CA raiz offline. O custo operacional é mínimo; o benefício de segurança é substancial. Segundo, estruture muito bem sua infraestrutura RADIUS. Um único servidor RADIUS é um ponto único de falha. Implante no mínimo dois servidores RADIUS em uma configuração ativo-passivo ou ativo-ativo e teste seu failover. Já vi organizações implantarem o 802.1X corretamente e depois descobrirem, durante uma interrupção, que o failover do RADIUS não estava configurado nos pontos de acesso. Terceiro, os períodos de validade dos certificados precisam estar alinhados com os ciclos de atualização do seu MDM. Se o seu MDM força as renovações de certificados em um ciclo de 90 dias, mas seus certificados têm validade de 12 meses, você terá uma lacuna. Automatize a renovação e crie alertas para 60 dias antes do vencimento. Quarto — e isso costuma pegar as pessoas de surpresa — o iOS e o Android lidam com a confiança de certificados de maneira diferente. O iOS exige que o certificado da CA raiz seja explicitamente confiado pelo usuário na primeira conexão, a menos que seja enviado via MDM. O comportamento do Android varia de acordo com a versão e o fabricante. Teste a experiência do cliente em cada classe de dispositivo antes do lançamento. A quinta armadilha é a disponibilidade do OCSP. Se o seu respondente OCSP for interno e um cliente não conseguir alcançá-lo durante a autenticação — talvez porque está se conectando pela primeira vez e ainda não tem acesso à rede —, a autenticação pode falhar ou recorrer à CRL. Projete sua infraestrutura OCSP para ser acessível a partir do estado de pré-autenticação ou configure seu servidor RADIUS para armazenar em cache as respostas OCSP adequadamente. Perguntas e Respostas Rápidas. Deixe-me responder às perguntas que recebo com mais frequência. Pergunta: Podemos usar a autenticação por certificado junto com o nosso portal de WiFi de visitantes existente? Com certeza. São SSIDs separados com mecanismos de autenticação separados. Seus usuários corporativos se autenticam via EAP-TLS; seus visitantes passam pelo fluxo do Captive Portal. A Purple lida com o lado dos visitantes; sua infraestrutura RADIUS lida com o lado corporativo. Pergunta: O que acontece quando um dispositivo é perdido ou roubado? Você revoga o certificado imediatamente através do seu console de gerenciamento de CA. Na próxima vez que esse dispositivo tentar se conectar, o servidor RADIUS verificará o status de revogação e rejeitará a conexão. Com o OCSP, isso pode ser em tempo quase real. Com a CRL, depende do intervalo de publicação da sua CRL — normalmente horas. É por isso que o OCSP é preferido para ambientes de alta segurança. Pergunta: O EAP-TLS é compatível com WPA3? Sim. O WPA3-Enterprise exige o uso do modo de segurança de 192 bits para as implantações mais confidenciais, e o EAP-TLS é totalmente compatível. Na verdade, o WPA3-Enterprise com EAP-TLS é a configuração de segurança mais alta disponível para WiFi corporativo atualmente. Pergunta: Como isso afeta nossa postura de conformidade com o PCI DSS? Positivamente. O Requisito 1 e o Requisito 8 do PCI DSS se beneficiam da autenticação baseada em certificado. A eliminação de chaves pré-compartilhadas compartilhadas remove uma descoberta de auditoria significativa, e a identidade por dispositivo significa que você tem uma trilha de auditoria clara de qual dispositivo acessou qual segmento de rede e quando. Resumo e Próximos Passos. Para resumir: a autenticação por certificado WiFi via 802.1X e EAP-TLS é a abordagem correta para qualquer organização que leve a sério a segurança de sua rede. Ela elimina segredos compartilhados, fornece autenticação mútua, permite controle de acesso granular e se integra perfeitamente à sua infraestrutura de identidade existente. O caminho de implantação é bem compreendido: projete sua hierarquia de PKI, implante uma infraestrutura RADIUS redundante, integre-se ao seu MDM para distribuição de certificados, configure seus pontos de acesso para 802.1X e teste minuciosamente em todo o seu parque de dispositivos. Para a sua rede de visitantes, essa é uma conversa separada — e é onde plataformas como a Purple agregam valor real, oferecendo integração de visitantes segura e em conformidade com os recursos de análise e engajamento que transformam sua infraestrutura de WiFi em um ativo de negócios, em vez de apenas um serviço utilitário. Se você está avaliando sua postura de autenticação atual, o ponto de partida correto é uma auditoria de sua configuração de SSID existente e uma revisão da prontidão de sua infraestrutura de certificados. A partir daí, uma implantação em fases — começando com um grupo piloto de dispositivos gerenciados — é o caminho de menor risco para a implantação completa. Obrigado por ouvir este Informativo Técnico da Purple. Para leituras adicionais, confira nossos guias sobre segurança de WiFi corporativo e os métodos de autenticação de WiFi mais seguros no site da Purple em purple.ai.