Para empresas modernas, locais públicos, instalações de saúde e instituições de ensino, o WiFi já não é uma comodidade secundária. Serve como a infraestrutura de conectividade primária para colaboradores, convidados, dispositivos IoT e sistemas operacionais. No entanto, os sinais sem fios transmitem dados através do ar, deixando as redes não encriptadas ou mal configuradas vulneráveis a escutas, interceção de pacotes, roubo de credenciais e intrusão na rede lateral.
Garantir a segurança da sua rede sem fios requer uma estratégia de segurança multicamadas. Os líderes de TI devem transitar de chaves pré-partilhadas legadas para uma autenticação baseada em identidade, padrões criptográficos modernos como o WPA3 e uma segmentação de rede rigorosa. A implementação de controlos de segurança empresariais assegura a proteção de dados, a conformidade regulamentar e a continuidade do negócio em cada localização física.
Compreender os fundamentos da segurança de WiFi moderna
Os protocolos de segurança wireless codificam os dados transmitidos pelo ar para evitar a interceção não autorizada. Os primeiros padrões wireless ofereciam uma proteção mínima contra a interceção por parte de atacantes. Décadas de avanços criptográficos transformaram as redes wireless de transmissões abertas em canais encriptados e autenticados.
Qualquer ligação WiFi segura depende de dois pilares fundamentais: encriptação e autenticação. A encriptação codifica os dados em trânsito para que terceiros não consigam ler os pacotes transmitidos. A autenticação verifica a identidade dos utilizadores e dispositivos que se ligam antes de conceder acesso aos recursos internos.
A evolução de WEP para WPA3
O grupo de trabalho IEEE 802.11 introduziu o Wired Equivalent Privacy (WEP) em 1999. O WEP utilizava pequenos Vetores de Inicialização (IVs) de 24 bits com cifras de fluxo RC4. Especialistas em criptoanálise demonstraram rapidamente que as chaves WEP estáticas podiam ser decifradas em minutos ao capturar um volume modesto de pacotes de rede. O WEP está completamente obsoleto.
O WiFi Protected Access (WPA) substituiu o WEP em 2003 como uma correção temporária utilizando o Temporal Key Integrity Protocol (TKIP). Em 2004, o WPA2 estabeleceu o Advanced Encryption Standard (AES) a funcionar em Counter Mode Cipher Block Chaining Message Authentication Code Protocol (CCMP) como o padrão global. Embora o WPA2-Personal tenha fornecido proteção fiável durante anos, vulnerabilidades como o Key Reinstallation Attack (KRACK) de 2017 evidenciaram as limitações no seu handshake de quatro vias ao utilizar frases de acesso partilhadas.
A WiFi Alliance introduziu o WPA3 em 2018 para corrigir estas vulnerabilidades criptográficas. O WPA3 traz atualizações críticas para redes pessoais e comerciais:
- Simultaneous Authentication of Equals (SAE): Substitui o handshake vulnerável de quatro vias do PSK por um mecanismo de prova de conhecimento zero (troca de chaves Dragonfly). Os atacantes não conseguem capturar dados do handshake para executar ataques offline de dicionário ou de força bruta contra a frase-passe.
- Protected Management Frames (PMF): Obrigatório no WPA3, o PMF protege as tramas de controlo e gestão contra ataques de spoofing de desautenticação e desassociação.
- Opportunistic Wireless Encryption (OWE): Também designado como Enhanced Open, o OWE fornece encriptação individual não autenticada em redes abertas de convidados, protegendo o tráfego dos utilizadores contra a escuta passiva sem necessitar de uma palavra-passe partilhada.
- Modo WPA3-Enterprise de 192 bits: Oferece a máxima força criptográfica utilizando AES-GCMP de 192 bits para ambientes governamentais, financeiros e empresariais sensíveis.
Além das palavras-passe partilhadas: autenticação baseada em certificados 802.1X
Depender de uma única Pre-Shared Key num ambiente comercial cria grandes riscos de segurança. Se um colaborador sair da empresa ou se um portátil da empresa for perdido, a palavra-passe partilhada deve ser atualizada em todos os dispositivos ligados para manter a integridade da segurança.
A segurança de WiFi empresarial baseia-se na autenticação IEEE 802.1X integrada com um servidor RADIUS centralizado. Em vez de partilhar um segredo estático, cada dispositivo autentica-se utilizando credenciais de utilizador individuais ou certificados digitais EAP-TLS emitidos por uma Infraestrutura de Chaves Privadas (PKI) fidedigna.
Quando um colaborador sai ou um dispositivo é reportado como perdido, os administradores de TI revogam o certificado específico ou a identidade do utilizador no Microsoft Entra ID, Okta ou Google Workspace. O acesso é revogado instantaneamente sem interromper qualquer outro utilizador ou dispositivo na rede. Saiba mais sobre os benefícios da autenticação 802.1X na nossa análise técnica.
Decifrar as principais ameaças sem fios e vetores de ataque
Compreender a segurança sem fios exige analisar a forma como os agentes maliciosos visam a infraestrutura sem fios. Os atacantes exploram a autenticação fraca e os canais não encriptados para obter acesso não autorizado.
Hotspots Evil Twin e pontos de acesso não autorizados (rogue)
Um ataque Evil Twin ocorre quando um atacante implementa um ponto de acesso nocivo que transmite exatamente o mesmo SSID de uma rede empresarial legítima. Quando os computadores portáteis ou telemóveis próximos tentam ligar-se automaticamente, o ponto de acesso nocivo intercepta os pedidos de ligação.
Uma vez ligado a um Evil Twin, o tráfego do utilizador passa diretamente pelo equipamento do atacante. O atacante pode capturar tráfego não encriptado, executar sequestro de sessões ou solicitar aos utilizadores que instalem atualizações de software maliciosas. A implementação de 802.1X EAP-TLS com validação de certificado de servidor impede que os dispositivos se autentiquem em access points não autorizados.
Ataques Man-in-the-Middle (MitM)
Num cenário de Man-in-the-Middle, um atacante posiciona-se entre um cliente wireless e o router de gateway. Em redes abertas ou incorretamente configuradas, os atacantes executam ARP poisoning ou spoofing de DNS para redirecionar os pedidos dos utilizadores para réplicas de portais maliciosos, roubando credenciais de acesso e dados financeiros confidenciais.
Quebra de palavras-passe e ataques de dicionário
Em redes WPA2-Personal, os atacantes capturam o handshake de quatro vias e executam scripts de dicionário automatizados offline. Palavras-passe simples podem ser decifradas em segundos utilizando clusters de GPU alojados na cloud. A migração para WPA3-Personal ou WPA3-Enterprise neutraliza completamente os ataques de dicionário offline ao handshake.
Melhores práticas para o reforço de WiFi empresarial
Alcançar uma segurança sem fios robusta exige a implementação de princípios de defesa em profundidade em toda a arquitetura de rede:
- Segmentação de rede: Isole os ativos corporativos, hardware IoT e o tráfego de convidados em Virtual Local Area Networks (VLANs) separadas. Imponha regras de firewall rigorosas entre segmentos para evitar o movimento lateral. Para orientações abrangentes, explore o nosso guia de segurança WiFi empresarial.
- Integração segura de Guest WiFi: Exija que as ligações de convidados passem por um captive portal autenticado, alojado num segmento de rede isolado. Consulte o nosso guia de captive portal para configurações de acesso seguro.
- Integração de Cloud RADIUS: Implemente o Cloud RADIUS para impor controlos de acesso baseados em identidade em escritórios filiais distribuídos sem manter uma infraestrutura local dispendiosa.
- Prevenção Contínua de Intrusão Sem Fios (WIPS): Implemente APs com rádios de varrimento dedicados para detetar access points não autorizados, ataques de desautenticação e interferências de RF inesperadas em tempo real.
Proteja a infraestrutura wireless da sua empresa com a Purple
Transite de palavras-passe partilhadas vulneráveis para uma verificação de identidade integrada, autenticação Cloud RADIUS e acesso seguro de convidados em todas as suas localizações.
