Autenticação 802.1X Explicada para Redes Corporativas

Autenticação 802.1X Explicada para Redes Corporativas. Um Briefing Informativo da Purple WiFi. Bem-vindo. Se é responsável pela segurança de rede numa organização multiclã - seja um grupo hoteleiro, uma cadeia de retalho, um estádio ou um complexo do setor público - este briefing é para si. Nos próximos dez minutos, iremos cobrir tudo o que precisa de saber sobre a autenticação 802.1X: o que é, como funciona nos bastidores, como implementá-la corretamente e as armadilhas que apanham a maioria das organizações. Vamos a isso. Secção um: Contexto e por que razão isto é importante agora. O panorama de ameaças para o WiFi corporativo mudou drasticamente. As redes com chave pré-partilhada - do tipo em que todos sabem a palavra-passe do WiFi - já não são aceitáveis para redes de colaboradores em ambientes regulados. Sob a versão 4.0 do PCI-DSS, que entrou totalmente em vigor em 2024, as organizações que lidam com dados de cartões de pagamento devem implementar controlos de acesso robustos em qualquer rede que toque no ambiente de dados de titulares de cartões. O GDPR impõe obrigações semelhantes a qualquer rede que transporte dados pessoais. E com o trabalho híbrido a significar que os colaboradores se ligam a partir de dispositivos geridos e não geridos em dezenas de localizações, o antigo modelo de perímetro simplesmente não se sustenta. O 802.1X é a norma IEEE que resolve isto. Fornece controlo de acesso à rede baseado em portas - o que significa que um dispositivo não se pode ligar de todo à rede até ser autenticado num repositório de identidade central. Não apenas uma palavra-passe partilhada. Uma identidade real e verificada. Essa é a mudança fundamental. Secção dois: Análise técnica aprofundada. Vamos analisar a arquitetura. O 802.1X define três funções. O suplicante - que é o dispositivo final, o portátil ou smartphone que se tenta ligar. O autenticador - que é o ponto de acesso sem fios ou o comutador de rede. E o servidor de autenticação - que em praticamente todas as implementações empresariais é um servidor RADIUS. Eis como funciona o aperto de mão (handshake). Quando um dispositivo tenta ligar-se a um SSID protegido, o ponto de acesso coloca esse dispositivo num estado não autenticado. Ele não consegue aceder à rede. O AP envia uma trama EAP Request Identity para o dispositivo. EAP significa Extensible Authentication Protocol - é a estrutura que transporta as credenciais reais. O dispositivo responde com a sua identidade. O AP encaminha isto para o servidor RADIUS, encapsulado num pacote RADIUS Access-Request. O servidor RADIUS desafia então o dispositivo - o desafio específico depende de qual método EAP está a utilizar. O dispositivo responde com as suas credenciais. O servidor RADIUS valida essas credenciais no seu repositório de identidade - Active Directory, LDAP ou um IdP na nuvem - e envia de volta um Access-Accept ou um Access-Reject. Se for um Accept, o AP abre a porta e o dispositivo obtém acesso à rede. Se for um Reject, o dispositivo permanece bloqueado. Toda a troca demora menos de um segundo. Agora, a seleção do método EAP é onde a maioria dos arquitetos passa o seu tempo. Tem quatro opções principais. O EAP-TLS é o padrão de excelência. Requer um certificado de cliente em cada dispositivo, o que significa que necessita de uma infraestrutura PKI, mas fornece autenticação mútua - o servidor prova a sua identidade ao cliente e o cliente prova a sua identidade ao servidor. Nenhuma credencial pode ser obtida por phishing porque não há palavras-passe envolvidas. Esta é a escolha certa para frotas de dispositivos totalmente geridos. O PEAP - Protected EAP - é o método mais amplamente implementado na prática. Cria um túnel TLS utilizando apenas um certificado de servidor e, em seguida, passa as credenciais de utilizador e palavra-passe dentro desse túnel. É significativamente mais fácil de implementar do que o EAP-TLS porque não necessita de certificados de cliente, e é suportado nativamente em todos os principais sistemas operativos. O reverso da medalha é que depende de os utilizadores validarem o certificado do servidor, o que na prática muitas vezes não fazem. Uma implementação adequada do PEAP requer o bloqueio da configuração do suplicante para que este apenas confie no certificado específico do seu servidor RADIUS. O EAP-TTLS é semelhante ao PEAP, mas mais flexível no método de autenticação interna. É particularmente útil em ambientes com dispositivos antigos ou terminais não Windows. O EAP-FAST foi desenvolvido pela Cisco como uma alternativa mais rápida que utiliza Protected Access Credentials em vez de certificados, mas é menos comummente implementado em novas instalações. O próprio servidor RADIUS merece atenção. As duas opções de código aberto dominantes são o FreeRADIUS, que alimenta uma proporção significativa de implementações empresariais globalmente, e o Microsoft NPS - Network Policy Server - que está incluído no Windows Server e se integra nativamente com o Active Directory. As opções comerciais incluem o Cisco ISE, Aruba ClearPass e Portnox Cloud, que oferece um modelo RADIUS-as-a-Service nativo na nuvem que elimina completamente a necessidade de infraestrutura de servidores locais. A atribuição de VLAN é uma das funcionalidades mais poderosas de uma implementação 802.1X devidamente configurada. O servidor RADIUS pode retornar atributos de VLAN na resposta Access-Accept, atribuindo dinamicamente o dispositivo autenticado ao segmento de rede apropriado. Um membro da equipa autentica-se e entra na VLAN da equipa. Um prestador de serviços autentica-se com credenciais diferentes e entra numa VLAN restrita com acesso limitado. Um dispositivo que falhe na validação do certificado é colocado numa VLAN de quarentena. Isto é segmentação dinâmica e é um controlo de segurança significativo. Secção três: Recomendações de implementação e os erros a evitar. Deixe-me dar-lhe a sequência de implementação que funciona. Comece com uma auditoria de rede. Antes de tocar numa única configuração, documente todos os dispositivos que precisarão de se autenticar. Isto inclui impressoras, telefones IP, sistemas de gestão de edifícios, câmaras de CCTV - qualquer dispositivo que se ligue à rede. Estes dispositivos sem interface de utilizador não possuem um suplicante e não podem efetuar 802.1X. Precisará de uma estratégia para eles, normalmente MAC Authentication Bypass com uma lista de permissões estrita de endereços MAC e colocação numa VLAN isolada. Passo dois: prepare a sua infraestrutura RADIUS. Para resiliência, precisa no mínimo de um servidor RADIUS primário e secundário. Configure os seus pontos de acesso para fazerem failover automaticamente. Uma interrupção do RADIUS que bloqueie todo o pessoal da rede é um incidente de gravidade P1. Não permita que isso aconteça por ter implementado um único servidor. Passo três: implemente a sua PKI se optar por EAP-TLS. Utilize os seus Active Directory Certificate Services existentes ou um fornecedor de PKI na nuvem. O registo automático através de Política de Grupo torna a implementação de certificados de cliente gerível à escala. Passo quatro: configure as suas políticas de rede. Defina as suas políticas de autenticação no RADIUS - quais os utilizadores ou grupos de dispositivos que recebem quais atribuições de VLAN, o que acontece com as autenticações falhadas, como lida com o tráfego de convidados versus pessoal. É aqui que aplica o princípio do menor privilégio na camada de rede. Passo cinco: faça um piloto antes de lançar. Escolha um local, um piso, um SSID. Teste todos os tipos de dispositivos. Teste cenários de falha. Teste o que acontece quando o servidor RADIUS está inacessível. Só depois expanda. Agora, as armadilhas. A mais comum que vejo é a configuração incorreta da validação de certificados em implementações PEAP. Se a sua política de suplicante não exigir a validação do certificado do servidor, estará vulnerável a ataques de AP não autorizados, onde um atacante configura um ponto de acesso falso e recolhe credenciais. Bloqueie os seus perfis de suplicante através de Política de Grupo ou MDM. A segunda armadilha é ignorar os dispositivos que não são 802.1X até ao dia de entrada em funcionamento. Dispositivos IoT, impressoras e sistemas legados irão comprometer a sua implementação se não os tiver planeado. O MAC Authentication Bypass é o seu aliado aqui, mas precisa de ser configurado antes de ativar a transição. A terceira armadilha são os pontos únicos de falha no RADIUS. Já vi organizações implementarem um único servidor NPS e descobrirem que toda a rede dos funcionários fica indisponível durante uma reinicialização de atualização do Windows. Implemente sempre uma infraestrutura RADIUS redundante. Secção quatro: Perguntas rápidas. O 802.1X pode funcionar em conjunto com uma rede WiFi de convidados? Absolutamente. O seu SSID de convidados funciona separadamente - normalmente utilizando uma abordagem de Captive Portal - enquanto o seu SSID de funcionários impõe o 802.1X. São SSIDs completamente independentes com VLANs separadas. A plataforma da Purple lida com o lado dos convidados, com ferramentas de análise e envolvimento integradas, enquanto a sua infraestrutura 802.1X protege o lado dos funcionários.O 802.1X substitui uma VPN? Não. O 802.1X controla a admissão à rede - quem se pode juntar à rede. Uma VPN encripta o tráfego em trânsito e estende a rede corporativa através de ligações não confiáveis. Servem propósitos diferentes e são frequentemente utilizados em conjunto. Qual é o impacto no desempenho do roaming? Com o 802.1X, cada vez que um dispositivo faz roaming entre pontos de acesso, precisa de se autenticar novamente. Para a maioria das implementações empresariais, isto é impercetível. O cache PMK e o OKC - Opportunistic Key Caching - reduzem significativamente a sobrecarga de reautenticação. Para ambientes de alta densidade, como estádios ou centros de conferências, vale a pena configurar isto explicitamente. O WPA3-Enterprise substitui o 802.1X? Não - o WPA3-Enterprise utiliza o 802.1X para autenticação. O WPA3 melhora a camada de encriptação, exigindo especificamente o modo de segurança de 192 bits para as implementações mais sensíveis. O 802.1X é a estrutura de autenticação subjacente. Secção cinco: Resumo e próximos passos. Aqui está o que deve reter desta sessão. O 802.1X é o único mecanismo de autenticação de classe empresarial para WiFi corporativo. As chaves pré-partilhadas não são aceitáveis para ambientes regulados. Escolha o seu método EAP com base na sua frota de dispositivos - EAP-TLS se tiver dispositivos geridos e uma PKI, PEAP se precisar de uma compatibilidade mais ampla. Planeie para dispositivos não-802.1X antes de implementar, não depois. Implemente uma infraestrutura RADIUS redundante - um único servidor é um ponto único de falha. Utilize a atribuição dinâmica de VLAN para impor a segmentação de rede no momento da autenticação. E faça um teste piloto exaustivo antes de implementar em toda a sua propriedade. Se está a desenvolver uma implementação multi-site e precisa de pensar na arquitetura, a equipa técnica da Purple trabalha diariamente com arquitetos de rede nos setores da hotelaria, retalho e setor público. A combinação de WiFi seguro para funcionários através de 802.1X e WiFi inteligente para convidados através da plataforma da Purple oferece-lhe uma estratégia de rede completa e segmentada que cumpre tanto as suas obrigações de segurança como os requisitos de experiência dos seus convidados. E com isto terminamos esta sessão. Obrigado por ouvir.