WPA2 & WPA3-Enterprise. WiFi seguro, sem a senha compartilhada.

O WPA-Enterprise é o modo de segurança IEEE 802.11 projetado para organizações. Em vez de uma única senha compartilhada (WPA-Personal), cada usuário ou dispositivo se autentica individualmente em um servidor RADIUS via 802.1X, normalmente com um certificado (EAP-TLS) ou nome de usuário e senha (PEAP). Cada sessão recebe uma chave de criptografia exclusiva e o acesso pode ser revogado por dispositivo sem interromper o restante da rede.

O WPA3-Enterprise corrige pontos fracos conhecidos do WPA2-Enterprise. As mudanças mais importantes: a validação do certificado do servidor agora é obrigatória (fecha o vetor de ataque 'evil-twin' que assolava o WPA2), os quadros de gerenciamento são protegidos e o modo opcional Suite B de 192 bits oferece criptografia de nível de defesa. O WPA3-Enterprise é compatível com o WPA2-Enterprise em um modo de transição, para que você possa atualizar gradualmente.

Três partes estão envolvidas. O suplicante (dispositivo cliente) solicita a conexão. O autenticador (ponto de acesso) mantém o cliente em estado de quarentena e encaminha suas mensagens EAP para um servidor de autenticação (RADIUS). O servidor RADIUS valida a credencial - certificado, senha ou token - e instrui o ponto de acesso a admitir ou rejeitar. Cada sessão bem-sucedida recebe uma chave de criptografia exclusiva derivada da autenticação, de modo que um dispositivo comprometido não possa descriptografar outro.

O EAP-TLS usa um handshake TLS com autenticação mútua de certificados. O cliente prova sua identidade com um certificado de dispositivo, o servidor prova sua identidade com um certificado de servidor e a chave de sessão é negociada dentro do túnel criptografado. Não há senha para sofrer phishing ou ser roubada - seria necessário extrair a chave privada do próprio dispositivo. Para frotas gerenciadas com um MDM, o EAP-TLS é o padrão correto.

A maioria dos pontos de acesso de nível empresarial lançados a partir de 2020 suporta WPA3-Enterprise no firmware. Normalmente, você ativa o WPA3-Enterprise no SSID e mantém o WPA2 como alternativa durante a transição. APs mais antigos podem suportar apenas WPA2-Enterprise - eles ainda são seguros quando combinados com RADIUS em nuvem e EAP-TLS, portanto, uma atualização completa de hardware raramente é necessária.

Sim - o WPA-Enterprise é definido em torno de um servidor de autenticação externo, o que na prática significa RADIUS. Você pode executá-lo localmente (FreeRADIUS, Microsoft NPS, Cisco ISE) ou consumi-lo como um serviço. O Purple RADIUS-as-a-Service é a opção hospedada na nuvem que a maioria dos clientes escolhe quando não deseja operar servidores.

Sim, quando implantado corretamente. Os ataques conhecidos ao WPA2-Enterprise exigem um cliente mal configurado (sem validação de certificado de servidor, que é o que o WPA3 torna obrigatório) ou acesso físico a um dispositivo. Aplicar a validação do certificado do servidor via MDM e usar EAP-TLS encerra os riscos práticos. O WPA3-Enterprise ainda é preferido daqui para frente, mas não há motivo para pânico ao migrar uma implantação WPA2-Enterprise funcional.

Duas boas opções. Primeiro, o iPSK (Identity PSK) fornece a cada dispositivo uma chave pré-compartilhada exclusiva em um único SSID - a experiência do usuário do WPA-Personal com a revogação por dispositivo do WPA-Enterprise. Segundo, o MAC Authentication Bypass (MAB) admite endereços MAC conhecidos em uma VLAN restrita. A Purple suporta ambos juntamente com WPA2/3-Enterprise na mesma rede.

Sim - não precisa de executar o seu próprio servidor RADIUS. Por definição, o WPA2-Enterprise requer um servidor de autenticação RADIUS, mas com o Purple RADIUS-as-a-Service esse servidor é alojado na nuvem: basta apontar os seus pontos de acesso para a Purple em vez de configurar o FreeRADIUS, o Microsoft NPS ou o Cisco ISE. Continua a usufruir de 802.1X completo com EAP-TLS ou PEAP integrado com o Microsoft Entra ID, Okta ou Google Workspace, sem hardware de autenticação local para instalar, atualizar ou manter altamente disponível.

WPA2-Enterprise uses 802.1X with CCMP-128 encryption. WPA3-Enterprise introduces mandatory Protected Management Frames (PMF) to prevent deauthentication attacks, supports 192-bit cryptographic suites (CNSA / Suite B), and eliminates obsolete fallback ciphers.

Yes. Purple Cloud RADIUS replaces legacy Microsoft NPS and FreeRADIUS servers. Your wireless access points authenticate directly via redundant cloud RADIUS endpoints integrated with Microsoft Entra ID, Okta, or Google Workspace.

Purple syncs with Entra ID using SCIM and OAuth 2.0. When an employee logs in via 802.1X or a client certificate, RADIUS checks user status and group membership in Entra ID in real time. Disabling an account in Entra ID revokes WiFi access immediately.