Está a rever uma alteração de WLAN ao fim da tarde de sexta-feira. O controlador oferece-lhe três configurações para tramas de gestão protegidas: desativado, opcional e obrigatório - e todos os dispositivos nesse SSID vão sentir essa escolha na manhã de segunda-feira. Se definir de forma demasiado permissiva, os desligamentos forjados continuam a funcionar. Se definir de forma demasiado rígida, as impressoras, scanners e portáteis mais antigos do edifício simplesmente não se vão ligar. Este guia aborda essa escolha como o que ela realmente é: uma decisão de aplicação por SSID com um custo de compatibilidade que pode planear.
O Que Fazem os Protected Management Frames
Numa WLAN movimentada, um dispositivo pode perder a sua ligação sem que ninguém toque na sua palavra-passe ou quebre a sua encriptação. A causa pode ser uma trama de gestão forjada, uma mensagem de rádio que indica ao dispositivo para se desligar. As Protected Management Frames (PMF) ajudam a evitar que esse tipo de mensagem seja aceite como genuíno.
A vulnerabilidade que os PMF foram criados para resolver
As tramas de gestão transportam as instruções que estabelecem, mantêm e terminam uma ligação sem fios. Não transportam o e-mail, o registo do paciente ou a videochamada em si. Antes do PMF, um atacante ao alcance do sinal de rádio podia forjar uma mensagem de desautenticação ou desassociação. Um dispositivo que a recebesse podia desligar-se da rede, mesmo que o seu tráfego de utilizador encriptado não tivesse sido comprometido.
O PMF surgiu com a emenda IEEE 802.11w, publicada em 2009, que abordou as tramas de gestão forjadas, particularmente as mensagens que desligam à força utilizadores legítimos, conforme descrito na visão geral da Wi-Fi Alliance sobre Protected Management Frames. Adiciona verificações de integridade e autenticação de origem ao tráfego de controlo protegido. O ponto de acesso ou cliente pode verificar quem enviou uma mensagem protegida e rejeitar uma que falhe a verificação, em vez de agir cegamente sobre ela.
As frames de gestão unicast protegidas também podem ser encriptadas, mantendo as instruções um-para-um privadas e verificadas. O PMF cobre frames de desautenticação e desassociação, juntamente com frames de ação usadas para medição de rádio, confirmação de bloco, Fast BSS Transition, gestão de espetro e qualidade de serviço. Estas mensagens podem terminar uma sessão, relatar condições de rádio, confirmar blocos de dados, suportar a mudança para outro ponto de acesso ou gerir tráfego de voz e vídeo.
O que o PMF não é
O PMF protege o tráfego de controlo, não os dados do utilizador. Funciona em conjunto com o WPA2 ou WPA3, em vez de substituir a autenticação, a encriptação ou a autorização. A Wi-Fi Alliance descreve o PMF como uma forma de ajudar a resistir a ataques de desconexão, honeypot e evil-twin. Não estabelece a identidade de um utilizador nem decide quem pode aceder à rede.
O PMF é um controlo complementar. A sua autenticação decide quem tem permissão de acesso, a sua encriptação protege os dados e o PMF protege as instruções que mantêm a sessão ativa.
O ponto de acesso e o cliente devem ambos suportar PMF, e a configuração aplica-se separadamente a cada SSID encriptado. Isso faz com que a imposição seja uma decisão rede a rede, e não um botão único para todo o local. As redes em modo de transição permitem frequentemente o PMF sem o exigir, para que os clientes mais antigos ainda se possam ligar. O custo é que os clientes incapazes de usar PMF não recebem a sua proteção nesse SSID. Considere a mistura de clientes e os requisitos de roaming da rede antes de escolher com que firmeza o vai impor.
Escolher o modo Desativado, Opcional ou Obrigatório
Os PMF são executados num de três modos por WLAN, e esse modo decide quem permanece ligado e quem fica exposto. Utilize esta tabela como consulta antes de alterar um perfil de produção.
| Modo | O que acontece | Impacto em dispositivos legados | Exposição a desautenticação forjada | Ideal para |
|---|---|---|---|---|
| Desativado | Sem proteção de tramas de gestão | Liga-se em qualquer lugar | Exposição total | Redes legadas isoladas com desativação prevista |
| Opcional | PMF utilizado apenas quando o cliente e a WLAN suportam ambos | Dispositivos mais antigos continuam a ligar-se | Exposto para clientes sem PMF | SSIDs de transição WPA2 e WPA3 |
| Obrigatório | Associação apenas com clientes compatíveis com PMF | Dispositivos incompatíveis não conseguem associar-se | Protegido para todos os clientes associados | SSIDs apenas WPA3 e de elevada garantia |
Desativado
Desativado não oferece qualquer proteção nem custo de compatibilidade. Todos os clientes que podiam ligar-se antes continuam a poder fazê-lo, e cada trama de desautenticação forjada que funcionava antes continua a funcionar. Mantenha esta definição apenas para uma rede antiga isolada que tenha sido segmentada, documentada e com uma data de desativação definida. Se não houver uma data, a opção desativada torna-se lentamente permanente.
Opcional
No modo opcional, um cliente utiliza PMF apenas quando o WLAN e o cliente o suportam, para que os dispositivos mais antigos mantenham a conectividade, mas as associações sem PMF permanecem expostas a ataques de frames de gestão forjadas. Esse é o compromisso real durante a transição. Os seus telemóveis e portáteis modernos obtêm proteção, os seus dispositivos mais antigos continuam a funcionar, e não deve comunicar o SSID como protegido sem especificar a que clientes isso se aplica.
Obrigatório
No modo obrigatório, a associação só é permitida quando o cliente negocia o PMF. Essa é a definição correta para SSIDs exclusivos para WPA3 e ambientes do Reino Unido de elevada segurança, mas dispositivos legados incompatíveis não conseguirão ligar-se. Isto não é um modo degradado. O dispositivo não se vai associar com um nível de segurança mais baixo, vai simplesmente ficar fora do SSID até corrigir o controlador, atualizar o firmware ou movê-lo para outro local.
Dois pontos técnicos costumam surpreender os administradores. Em primeiro lugar, a orientação de configuração do 802.11w da Cisco define como pré-requisito que o PMF opcional ou obrigatório exige WPA com uma configuração adequada de autenticação e gestão de chaves, com o elemento de informação RSN ativado a par de uma cifra AES. Se a sua cifra ou as configurações de RSN não estiverem alinhadas, o modo não irá funcionar como indicado. Em segundo lugar, a documentação técnica da Xerox avisa que uma incompatibilidade entre as configurações da rede e do dispositivo pode causar falhas de comunicação, e nota que o WPA3 Personal e o WPA3 Enterprise utilizam comummente o PMF como obrigatório, enquanto as configurações de transição o podem manter como opcional.
Regra por omissão: Obrigatorio em SSIDs exclusivos de WPA3 e de elevada garantia, opcional em SSIDs mistos de WPA2 e WPA3 durante a transição, desativado apenas em redes antigas isoladas com uma data de descontinuação definida.
Se estiver a ponderar isto em relação ao seu design global de autenticação, a escolha do modelo de autenticação empresarial alinha-se com o modo PMF, e vale a pena rever as suas opções de configuração de WPA Enterprise antes de definir qualquer uma das definições. Trate as duas decisões em conjunto e evitará aplicar o PMF num SSID cujos clientes nunca foram avaliados para o efeito.
Por que razão o PMF é importante para o roaming e ataques de desautenticação
Uma trama de desautenticação forjada pode fazer com que um cliente próximo se desligue de um ponto de acesso. O cliente tenta então reconectar-se, e tramas forjadas repetidas podem impedi-lo de estabilizar. Os utilizadores experienciam quedas aparentemente aleatórias do WiFi, enquanto o suporte técnico vê um problema de ligação sem uma falha de cobertura óbvia.
Como é a perturbação em funcionamento
Um tablet hospitalar pode perder a ligação à medida que um médico se desloca entre enfermarias. Os estudantes podem perder o acesso durante uma aula. Em qualquer dos casos, a encriptação pode permanecer intacta e as palavras-passe podem continuar privadas, mas o serviço é interrompido na mesma. O PMF permite que uma estação ou ponto de acesso rejeite instruções forjadas ao verificar se as mensagens de gestão protegidas são autênticas.
O itinerância (roaming) torna estas tramas importantes para além dos desligamentos. À medida que um telemóvel se desloca entre pontos de acesso, as tramas de ação Fast BSS Transition ajudam a coordenar a transição. Se um atacante forjar ou interromper essas mensagens, uma chamada pode falhar ou terminar enquanto o utilizador se desloca por um corredor. O PMF protege as tramas de ação relevantes, incluindo as utilizadas para medição de rádio, confirmação em bloco, gestão de espetro e operações de qualidade de serviço. O dispositivo recetor pode verificar as instruções de transição em vez de as aceitar cegamente.
O perfil padrão e os seus limites
A definição do SSID é uma decisão por rede. Num SSID utilizado para roaming, pondere a proteção que o PMF adiciona em relação à capacidade de todos os clientes se associarem e concluírem transições com essa definição. Isso também é importante para o Passpoint: o método de autenticação não elimina a necessidade de verificar a compatibilidade do PMF nos clientes que se vão ligar à rede.
Para obter detalhes sobre o algoritmo, consulte as orientações de configuração do 802.11w PMF da Cisco. O limite prático é igualmente importante: a proteção de tramas de gestão por si só não impede todos os ataques de desautenticação. Mantenha a monitorização de rádio e a prevenção de intrusões sem fios no design de segurança e planeie o PMF juntamente com a autenticação e a monitorização numa estratégia de segurança de WiFi empresarial.
O PMF protege o tráfego de gestão no salto sem fios. Os dados dos visitantes também precisam de proteção à medida que viajam para além do ponto de acesso. O artigo TLS e IPsec para dados de visitantes explica os protocolos que ajudam a proteger esse tráfego.
Impactos na Compatibilidade por Classe de Dispositivo
A pergunta que os seus utilizadores vão fazer é mais simples do que a norma. Que dispositivos vão deixar de funcionar? A resposta começa onde o suporte a PMF realmente reside. É negociado entre o ponto de acesso e o controlador e suplicante de WiFi do cliente, pelo que um ponto de acesso compatível com PMF por si só não garante nada. Um portátil com um controlador antigo pode falhar num SSID em que um telemóvel mais recente se liga sem problemas.
| Classe de dispositivo | Suporte PMF típico | Risco se configurado como obrigatório | Configuração sugerida |
|---|---|---|---|
| Telemóveis e portáteis modernos com suporte WPA3 | Geralmente suportado | Baixo | Obrigatório em SSIDs WPA3 |
| Portáteis e telemóveis Wi-Fi 5 com controladores da era WPA2 | Frequentemente suportado, depende do controlador | Médio | Opcional em SSIDs mistos, atualizar controladores |
| Sensores IoT e tomadas inteligentes mais antigos, apenas WPA2 | Frequentemente não suportado | Alto | SSID separado ou iPSK |
| Impressoras e scanners legados | Frequentemente não suportado | Alto | Ligação por cabo ou SSID legado dedicado |
| Scanners portáteis com firmware antigo | Depende do firmware | Médio a alto | Testar o firmware antes de aplicar a obrigatoriedade |
Trate essas linhas como padrões típicos, não garantias. Confirme cada modelo com a documentação do fabricante e com o seu próprio inventário, pois dois dispositivos na mesma classe podem comportar-se de forma diferente após uma atualização do controlador. A tabela indica-lhe onde procurar primeiro. As suas associações de teste dizem-lhe a verdade.
A regra de associação empresarial
Para redes 802.1X, a negociação é explícita. O organismo de redes educativas do Reino Unido, Jisc, afirma que o WPA3-Enterprise exige PMF no modo exclusivo WPA3-Enterprise, no qual o ponto de acesso anuncia a funcionalidade Management Frame Protection Required e uma estação compatível deve negociar o PMF durante a associação, conforme estabelecido na orientação sobre WPA3, Wi-Fi 6E e eduroam da Jisc. Se a estação não conseguir negociar, a associação não avança.
Isso é especialmente relevante se executa a eduroam ou outra rede baseada em certificados, porque o WPA3-Enterprise pode evoluir a partir do WPA2-Enterprise mantendo a autenticação baseada em certificados. Os seus certificados podem estar perfeitos enquanto um supplicant antigo ainda falha no PMF. Valide tanto os pontos de acesso como os supplicants dos clientes antes de impor a regra e, em seguida, monitorize as falhas de associação e o seu inventário de dispositivos legados após a alteração.
Fique atento ao sintoma clássico. Um dispositivo continua a ligar-se sem problemas ao SSID antigo, mas nunca se junta ao novo, sem qualquer erro óbvio de palavra-passe ou certificado. Este padrão aponta para uma incompatibilidade de funcionalidades e não para um problema de credenciais.
Se ele se associar à rede antiga e recusar silenciosamente a nova, verifique a capacidade de PMF antes de reemitir um único certificado.
Esse sinal é a sua pista para inventariar o parque adequadamente antes de alterar qualquer outra coisa. Adivinhar nesta fase apenas transfere a falha do seu grupo piloto para todo o edifício.
Como implementar o PMF obrigatório passo a passo
Siga estes passos por ordem, porque cada passo protege o seguinte. Ignorar o inventário para poupar um dia custa-lhe, normalmente, uma semana de pedidos de suporte inexplicáveis mais tarde.
Faça um inventário de todos os dispositivos no SSID de destino. Registe o modelo, o sistema operativo, a versão do controlador WiFi e o firmware de cada um, pois o suporte a PMF depende frequentemente do controlador e não da etiqueta do hardware. Sinalize tudo o que não conseguir identificar, uma vez que os dispositivos desconhecidos são os que o vão surpreender na fase de aplicação.
Confirme os pré-requisitos do controlador. Verifique se a WLAN suporta PMF com uma cifra AES e o elemento de informação RSN ativado, uma vez que os modos opcional e obrigatório dependem de ambos. Faça isto antes do piloto para testar o comportamento do cliente e não para corrigir erros de perfil.
Crie um SSID de piloto configurado como opcional. Faça corresponder a sua autenticação à da produção exatamente, para que a única variável a testar seja o PMF. Os utilizadores não deverão notar nada por enquanto, e esse é o objetivo. Está a recolher evidências, não a anunciar uma alteração.
Mova um grupo de teste para o piloto durante pelo menos uma semana de trabalho. Escolha portáteis e telemóveis corporativos que façam roaming efetivo pelo edifício e, em seguida, registe diariamente as falhas de associação e quedas de roaming. Um dispositivo que permanece numa única secretária toda a semana prova muito pouco sobre o comportamento da Transição Rápida de BSS.
Corrigir, separar e depois impor
Corrija o que for possível e separe o que não for. Aplique primeiro as atualizações de controladores e firmware, volte a testar cada dispositivo e coloque o equipamento antigo genuinamente insubstituível num SSID segmentado separado com controlos de rede mais rigorosos. Não enfraqueça o SSID principal para acomodar uma única impressora.
Mude o SSID de produção para obrigatório. Aplique-o ao seu SSID WPA3 ou de alta segurança, mantenha os SSIDs mistos como opcionais e verifique cada grupo de pontos de acesso em relação ao mesmo perfil. Um grupo deixado na configuração antiga cria a falha irritante em que um dispositivo funciona na receção e falha no andar de cima.
Monitorize durante duas semanas após a aplicação. Acompanhe as falhas de associação e as quedas de roaming e compare-as com os registos do piloto. Se um grupo de dispositivos críticos falhar, revierta alterando apenas a configuração de PMF em vez de recriar a WLAN.
Por que motivo alterar uma coisa de cada vez importa: Quando os PMF são a única coisa que alterou, a reversão é uma única definição num único perfil. Altere a cifra, a autenticação e os PMF em conjunto e nunca saberá qual deles bloqueou os scanners.
Mantenha o SSID piloto ativo após o lançamento. Ele torna-se o seu ambiente de testes para a próxima renovação de dispositivos, para a próxima versão de firmware e para o próximo SSID que planeia passar de opcional para obrigatório. Uma implementação que possa repetir com calma vale muito mais do que uma alteração heroica de fim de semana em que ninguém quer voltar a mexer.
Resolução de Problemas em Ligações Com Falhas Após Ativar o PMF
A maioria das falhas após ativar o PMF não se deve a quebras de segurança. São problemas de incompatibilidade, um cliente sem suporte para PMF, um perfil WLAN que difere entre grupos de pontos de acesso, definições de roaming em desfasamento ou uma atualização de firmware que alterou um valor predefinido sem aviso prévio. Comece pelo sintoma que consegue ver.
| Sintoma | Causa provável | Ação corretiva |
|---|---|---|
| O dispositivo recusa-se a associar a um SSID obrigatório | O cliente não tem suporte PMF ou o controlador tem a opção desativada | Atualizar o controlador ou mover o dispositivo para um SSID opcional |
| O dispositivo associa-se num ponto de acesso, mas não noutros | Configurações de PMF diferentes entre perfis de controlador ou grupos de AP | Alinhar o perfil WLAN em todos os grupos de AP |
| Quedas repetidas durante o roaming | As configurações de transição rápida divergem entre o cliente e a WLAN | Verificar as configurações 802.11r e rever os registos de roaming do cliente |
| Falhas surgem após uma atualização de firmware | A atualização do fornecedor alterou o modo PMF predefinido | Voltar a verificar a configuração de segurança da WLAN após cada atualização |
Trabalhe nesta ordem de diagnóstico
Verifique o cliente primeiro. Confirme a capacidade de PMF do dispositivo e a versão do controlador em execução, e não a versão que implementou no último trimestre. Um único portátil que falhou uma atualização pode gerar pedidos de suporte que parecem uma falha de infraestrutura.
Em seguida, compare o perfil WLAN entre os grupos de controladores. Exporte o perfil de segurança e verifique se o modo PMF, a cifra e a autenticação coincidem em todos os grupos de pontos de acesso que servem esse SSID. A divergência de perfis explica a maioria das falhas dependentes da localização, onde o mesmo dispositivo funciona numa parte do edifício e falha noutra.
Reveja os registos de roaming durante a transição com falha. Se o dispositivo se associar sem problemas quando estático, mas a ligação cair quando se desloca, analise as suas definições de transição rápida 802.11r e as decisões de roaming do cliente no momento da falha. O PMF protege as tramas de transição, pelo que uma divergência aí se manifesta como um roaming que nunca é concluído.
Duas causas menos evidentes merecem atenção. Os perfis Passpoint aprovisionados com segurança legada podem ligar-se e, em seguida, cair, porque o perfil que o dispositivo contém já não corresponde ao que a WLAN espera atualmente. O suporte do controlador para a alteração de autorização RADIUS também afeta a reautenticação, pelo que uma sessão que falha após uma alteração de política pode nem sequer ser uma falha de PMF.
Antes de qualquer alteração, guarde uma exportação da configuração de antes de ter começado. Uma reversão torna-se assim num único restauro, em vez de passar uma tarde a reconstruir definições de memória. Saberá que resolveu o problema quando o seu grupo piloto produzir um registo de associação limpo durante um dia de trabalho completo, incluindo o pico da manhã quando todos chegam, fazem roaming e entram em chamadas ao mesmo tempo. Não declare sucesso com um teste num domingo calmo.
Implantações de Passpoint, OpenRoaming e Purple
As definições de PMF não existem de forma isolada. Elas moldam a forma como visitantes e colaboradores acedem à rede, especialmente onde a ligação deve ocorrer automaticamente sem um Captive Portal de cada vez.
O Passpoint, também chamado Hotspot 2.0 ou IEEE 802.11u, permite que os dispositivos descubram e se autentiquem numa rede automaticamente através de consultas ANQP. Funciona sobre WPA2 ou WPA3-Enterprise, pelo que o modo PMF nessa WLAN molda diretamente a eficácia com que a proteção contra tramas forjadas se estende a essas ligações contínuas. Um SSID Passpoint mantido como opcional protege apenas os clientes compatíveis, tal como aconteceria com um SSID associado manualmente. Se está a planejar essa transição, rever como funciona a autenticação e roaming do Passpoint em conjunto com o perfil de segurança da sua WLAN ajuda-o a detetar incompatibilidades antes que os convidados o façam.
O OpenRoaming baseia-se em perfis do tipo Passpoint, pelo que os dispositivos aprovisionados através dele herdam o mesmo percurso de segurança de qualquer outro cliente Passpoint. O perfil no dispositivo e a definição de PMF na sua WLAN têm de coincidir. Quando isso não acontece, a falha parece um problema de roaming e não uma definição de segurança, motivo pelo qual os testes de perfil pertencem ao seu piloto de PMF e não ao período pós-piloto.
Verificações antes de impor numa WLAN Passpoint
Antes de definir o PMF como obrigatório num WLAN Passpoint, confirme mais do que a opção de PMF. A compatibilidade depende do suporte a RADIUS, alteração de autorização e walled-garden no controlador do local, e uma falha em qualquer um destes elementos interromperá a experiência do visitante, independentemente de quão correta seja a sua escolha de PMF. Verifique as respostas ANQP, teste a reautenticação após uma alteração de política e percorra o local com um dispositivo aprovisionado para confirmar que o roaming se mantém entre pontos de acesso.
A questão do hardware é mais simples do que muitos locais receiam. Executamos a Purple como uma sobreposição em nuvem nos pontos de acesso que o local já possui, pelo que não é necessária qualquer substituição integral, e a alteração do PMF ocorre no perfil WLAN da sua infraestrutura existente. Isto significa que o seu piloto, a sua reversão e a sua aplicação ocorrem todos em equipamento que já gere, enquanto a camada de autenticação fica acima dele.
Para dispositivos do pessoal, aplica-se o mesmo princípio. O WiFi para funcionários integra os dispositivos dos colaboradores com certificados EAP-TLS geridos, pelo que não existe uma frase de passe partilhada para alterar após uma alteração de segurança. Os certificados e o PMF resolvem problemas diferentes - identidade e integridade das tramas de gestão - e combinam-se perfeitamente num SSID WPA3-Enterprise. Qual quer que seja a sua plataforma, confirme o modo PMF pretendido para cada SSID gerido com o seu fornecedor antes de o alterar para obrigatório e registe a configuração acordada por SSID, para que uma reconstrução futura do perfil não a anule silenciosamente.
Impor PMF Primeiro em SSIDs de Elevada Garantia
O PMF é uma componente da segurança sem fios, não um substituto para o restante. Protege tramas de gestão unicast e multicast especificadas, mas não autentica utilizadores, não substitui a encriptação WPA2 ou WPA3, não deteta pontos de acesso rogue, nem transforma uma rede de convidados aberta numa rede empresarial encriptada. As orientações do Reino Unido identificam o WPA3 como o padrão preferencial para novas implementações sem fios e distinguem redes pessoais com palavra-passe de redes empresariais com base em autenticação individual. O modo Enterprise é particularmente relevante para organizações maiores e reguladas, conforme resumido no guia de negócios da Irlanda do Norte para Wi-Fi Protected Access.
As camadas que fecham as lacunas restantes
- Acesso baseado em certificados verifica a identidade do dispositivo e do utilizador; o PMF não o faz.
- Isolamento de rede entre SSIDs de convidados, funcionários e dispositivos limita o que um cliente comprometido ou antigo pode alcançar.
- Deteção de AP não autorizado (Rogue-AP) ajuda a identificar pontos de acesso maliciosos (evil-twin) que o PMF não consegue eliminar do ar.
- Monitorização de incidentes de falhas de associação e picos de desautenticação ajuda a distinguir ataques de problemas de configuração.
Planeie o PMF por SSID, ponderando o requisito de segurança face aos dispositivos que precisam de se ligar. O WPA3 está a tornar-se o padrão base para dispositivos na banda de 6 GHz, tornando as verificações de compatibilidade e o planeamento de transição mais difíceis de adiar. Nas redes de colaboradores, o Passpoint, xPSK, Certificate WiFi e WiFi via MDM oferecem diferentes métodos de ligação, para que possa corresponder a autenticação à classe do dispositivo em vez de forçar todos os clientes pelo mesmo caminho.
Defina o PMF obrigatório em WPA3-Enterprise e noutros SSIDs de elevada segurança assim que o seu piloto for aprovado. Mantenha os SSIDs de modo misto como opcionais enquanto planeia a desativação de dispositivos legados e remova o tráfego de funcionários de qualquer SSID aberto. Registe os resultados de associação por tipo de dispositivo: isso fornece-lhe provas de quais SSIDs podem passar a obrigatórios e onde os clientes mais antigos ainda impõem um custo de compatibilidade.
A Purple oferece certificados EAP-TLS geridos para o WiFi dos colaboradores, evitando uma frase de passe partilhada que precise de rotação. O seu WiFi de convidados e o acesso de colaboradores funcionam numa plataforma cloud sobre os pontos de acesso existentes no local. Para planear uma implementação adaptada ao seu hardware e fornecedor de identidade, visite a Purple.
