Autenticação Baseada em Certificados para Dispositivos Corporativos (EAP-TLS)

Autenticação Baseada em Certificados para Dispositivos Corporativos — EAP-TLS Um Briefing Técnico da Purple | Aproximadamente 10 Minutos --- INTRODUÇÃO E CONTEXTO — aproximadamente 1 minuto Bem-vindo à série de Briefings Técnicos da Purple. Eu sou o vosso anfitrião e hoje vamos directos a uma das decisões mais importantes que uma equipa de TI que gere uma rede corporativa multi-site irá enfrentar em 2025 e 2026: migrar ou não a autenticação do WiFi dos funcionários de métodos baseados em palavra-passe para a autenticação baseada em certificados utilizando EAP-TLS. Se é um gestor de TI, arquitecto de rede ou CTO num grupo hoteleiro, cadeia de retalho, estádio ou organização do sector público, este briefing é para si. Vamos abordar o que é realmente o EAP-TLS nos bastidores, como implementá-lo sem interromper as suas operações, onde se enquadra na sua postura de conformidade e os resultados reais que deve esperar. Sem teorias académicas — apenas a orientação prática de que necessita para tomar uma decisão este trimestre. Vamos a isso. --- MERGULHO TÉCNICO PROFUNDO — aproximadamente 5 minutos Então, o que é o EAP-TLS? EAP significa Extensible Authentication Protocol e TLS significa Transport Layer Security — o mesmo protocolo criptográfico que protege o tráfego HTTPS em toda a web. O EAP-TLS está definido na norma IEEE 802.1X, o padrão de controlo de acesso à rede baseado em portas, e é amplamente considerado o método de autenticação sem fios mais forte disponível actualmente. A diferença fundamental entre o EAP-TLS e tudo o resto que possa estar a executar — PEAP-MSCHAPv2, EAP-TTLS ou uma chave pré-partilhada — é que realiza uma autenticação mútua baseada em certificados. Tanto o dispositivo cliente como o servidor RADIUS apresentam certificados digitais X.509 durante o handshake TLS. Nenhuma das partes se pode fazer passar pela outra. Não existe qualquer palavra-passe na troca. Deixe-me explicar o que realmente acontece quando um portátil gerido se liga ao SSID corporativo utilizando EAP-TLS. Passo um: o dispositivo associa-se ao ponto de acesso e a troca 802.1X começa. O ponto de acesso — agindo como o autenticador — passa tramas EAP entre o dispositivo e o seu servidor RADIUS. O servidor RADIUS envia o seu certificado de servidor para o cliente. O cliente valida esse certificado contra a Autoridade de Certificação fidedigna que já conhece — normalmente a sua PKI interna ou uma CA alojada na nuvem. Passo dois: o cliente envia o seu próprio certificado — o certificado de dispositivo provisionado pelo seu MDM ou Política de Grupo — para o servidor RADIUS. O servidor RADIUS valida esse certificado contra a mesma CA. Se ambos os certificados forem válidos, não expirados e não revogados, o túnel TLS é estabelecido e o servidor RADIUS envia uma mensagem Access-Accept de volta através do ponto de acesso. O dispositivo está na rede. Toda a troca demora menos de um segundo. Agora, os componentes de infraestrutura críticos que precisa de ter implementados. Primeiro, uma Infraestrutura de Chaves Públicas — a sua PKI. Esta é a Autoridade de Certificação que emite e gere certificados. Para a maioria das implementações empresariais, trata-se do Microsoft Active Directory Certificate Services, uma CA local, ou uma PKI alojada na nuvem como a EJBCA, Smallstep, ou um serviço gerido. Segundo, um servidor RADIUS — FreeRADIUS, Cisco ISE, Aruba ClearPass, ou um serviço RADIUS na nuvem. Terceiro, uma plataforma de MDM ou gestão de endpoints — Intune, Jamf, Workspace ONE — para enviar certificados de dispositivos para a sua frota gerida. E quarto, a sua infraestrutura wireless — pontos de acesso configurados para WPA2-Enterprise ou WPA3-Enterprise com 802.1X. A decisão de arquitetura fundamental é onde reside o seu servidor RADIUS. O RADIUS local oferece controlo total, mas aumenta os custos de infraestrutura. O RADIUS na nuvem — cada vez mais a opção preferida para organizações multilocalização — elimina a necessidade de gerir servidores RADIUS em cada local e integra-se diretamente com o seu fornecedor de identidade na nuvem. Se quiser aprofundar esse padrão de implementação específico, a Purple tem um guia detalhado sobre a implementação de 802.1X com Cloud RADIUS que abrange as etapas de configuração de ponta a ponta. Agora vamos falar do lado da PKI, porque é aqui que a maioria das implementações ou tem sucesso ou fica estagnada. A sua CA é a raiz de confiança para todo o sistema. Cada certificado de dispositivo emitido por essa CA é confiado pelo seu servidor RADIUS. Cada certificado de servidor RADIUS emitido por essa CA é confiado pelos seus dispositivos. Se um dispositivo for desativado, revoga o seu certificado — via CRL ou OCSP — e este perde imediatamente o acesso à rede. Sem necessidade de reposição de palavra-passe. Sem pedidos de suporte. O dispositivo é simplesmente excluído. A gestão do ciclo de vida dos certificados é a disciplina operacional que dita o sucesso ou o fracasso de uma implementação EAP-TLS. Os certificados têm datas de expiração — normalmente de um a dois anos para certificados de dispositivos. Se o seu MDM não os estiver a renovar automaticamente antes da expiração, receberá chamadas de utilizadores que de repente não se conseguem ligar. O registo automático via protocolos SCEP ou EST, integrado com o seu MDM, é inegociável para qualquer frota superior a cerca de cinquenta dispositivos. Do lado da infraestrutura wireless, o EAP-TLS funciona com qualquer fornecedor de pontos de acesso que suporte WPA2-Enterprise ou WPA3-Enterprise — Cisco, Aruba, Ruckus, Meraki, Ubiquiti, entre outros. A configuração do ponto de acesso é relativamente simples: aponte o AP para o seu servidor RADIUS, configure o segredo partilhado, ative o 802.1X no SSID. A complexidade está quase inteiramente nas camadas de PKI e MDM, e não na camada de rádio. --- RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS — aproximadamente 2 minutos Deixe-me dar-lhe a sequência prática de implementação que funciona no terreno. Comece com a sua PKI. Se não tiver uma, configure uma hierarquia de dois níveis — uma CA raiz offline e uma CA emissora online. Mantenha a CA raiz offline. Emita o certificado do seu servidor RADIUS a partir da CA emissora. Emita os certificados dos dispositivos através de auto-enrolment através do seu MDM. Antes de avançar para a produção, faça um piloto com um grupo pequeno — vinte a trinta dispositivos — num SSID de teste. Valide toda a cadeia de certificados, teste a revogação de certificados e confirme que o seu processo de renovação por MDM funciona de ponta a ponta. Só depois disso deve implementar para toda a frota. Os três erros que vejo com mais frequência em implementações empresariais. Primeiro: má configuração da âncora de confiança do certificado. Se os seus dispositivos não confiarem explicitamente no certificado do seu servidor RADIUS — porque a cadeia da CA não foi enviada para o repositório de confiança do dispositivo —, o handshake TLS falhará silenciosamente. O utilizador vê "não é possível ligar" sem qualquer erro útil. Valide sempre a cadeia de confiança em ambas as direções antes do lançamento. Segundo: desvio de âmbito em BYOD. O EAP-TLS foi concebido para dispositivos geridos e de propriedade corporativa. Se tentar estendê-lo a dispositivos pessoais, deparar-se-á imediatamente com o problema de como fornecer certificados a dispositivos que não controla. A resposta é: não o faça. Utilize um SSID separado com um método de autenticação diferente — talvez PEAP ou um Captive Portal — para dispositivos pessoais. Mantenha o seu SSID EAP-TLS estritamente para a frota gerida. Terceiro: expiração de certificados em escala. Numa implementação de quinhentos ou mil dispositivos, se a renovação automática de certificados não estiver a funcionar corretamente, enfrentará uma onda de falhas de autenticação quando os certificados expirarem em simultâneo. Teste o seu fluxo de trabalho de renovação sob carga antes de atingir a escala de produção. Para organizações multi-site — grupos hoteleiros, cadeias de retalho, operadores de estádios —, o modelo RADIUS na cloud é fortemente recomendado. Este elimina a infraestrutura RADIUS por local, centraliza a gestão de políticas e integra-se com o seu repositório de identidade na cloud existente. Combine-o com uma PKI alojada na cloud e toda a sua infraestrutura de autenticação torna-se operacionalmente gerível a partir de um único painel de controlo. --- PERGUNTAS E RESPOSTAS RÁPIDAS — aproximadamente 1 minuto Algumas perguntas que oiço regularmente de equipas de TI. "O EAP-TLS funciona com WPA3?" Sim. O WPA3-Enterprise com o modo de segurança de 192 bits exige, na verdade, autenticação baseada em certificados, tornando o EAP-TLS a escolha natural. "Precisamos de substituir os nossos pontos de acesso?" Quase de certeza que não. Qualquer AP adquirido nos últimos cinco anos suportará WPA2-Enterprise com 802.1X. Verifique a versão do seu firmware e é provável que esteja pronto a avançar. "E quanto aos dispositivos IoT que não suportam certificados?" Esses dispositivos devem estar numa VLAN separada com a devida segmentação de rede. O EAP-TLS é para a sua frota de dispositivos geridos. A IoT é um problema diferente."Como é que isto afeta a nossa conformidade com o PCI DSS?" Positivamente. O Requisito 8 do PCI DSS exige uma autenticação forte para o acesso a ambientes de dados de titulares de cartões. A autenticação baseada em certificados cumpre esse requisito de forma mais robusta do que as palavras-passe. O seu QSA agradecer-lhe-á. "Qual é o cronograma típico de implementação?" Para uma implementação de raiz com uma nova PKI na nuvem e integração MDM, conte com oito a doze semanas. Se já tiver o Active Directory Certificate Services e o Intune, poderá estar em produção em três a quatro semanas. --- RESUMO E PRÓXIMOS PASSOS — aproximadamente 1 minuto Deixe-me resumir tudo isto. O EAP-TLS é o padrão de excelência para a autenticação em WiFi corporativa. Elimina totalmente o risco de credenciais baseadas em palavras-passe, fornece autenticação mútua entre o dispositivo e a rede e oferece-lhe uma identidade de dispositivo protegida criptograficamente. O esforço operacional é real — necessita de uma PKI, de um MDM e de uma infraestrutura RADIUS — mas, para qualquer organização que faça a gestão de mais de cinquenta dispositivos corporativos em várias localizações, os benefícios de segurança e conformidade compensam significativamente o investimento. Os seus próximos passos imediatos: audite o seu método de autenticação atual e identifique se está a utilizar PEAP ou uma chave pré-partilhada. Avalie a sua cobertura de MDM — se não tiver a inscrição total de MDM na sua frota de dispositivos, esse é o pré-requisito a resolver primeiro. Em seguida, avalie as suas opções de PKI — os serviços de PKI alojados na nuvem reduziram drasticamente a barreira de entrada. E se quiser ver como a plataforma da Purple se integra com a sua infraestrutura 802.1X para gerir tanto o WiFi dos seus colaboradores como o seu WiFi de convidados a partir de uma única plataforma, entre em contacto com a nossa equipa de soluções. Obrigado por ouvir. Vemo-nos no próximo briefing.