Chaves Pré-Partilhadas Dinâmicas (DPSK) para Segurança Multi-Tenant

GUIÃO DE PODCAST: "Dynamic Pre-Shared Keys (DPSK) para Segurança Multi-Tenant" Uma Apresentação Técnica de Informação Purple WiFi Duração aproximada: 10 minutos Voz: Inglês do Reino Unido, tom de consultor sénior - confiante, conversacional, autoritário. [INTRODUÇÃO E CONTEXTO - aproximadamente 1 minuto] Bem-vindo ao Podcast Purple WiFi Intelligence. Sou o seu anfitrião e hoje vamos abordar um tema que se tornou numa das conversas mais comuns que tenho com gestores de TI e arquitetos de rede em hotéis, cadeias de retalho, estádios e centros de conferências. O tema é Dynamic Pre-Shared Keys - DPSK. E se atualmente utiliza uma única palavra-passe de WiFi partilhada num local multi-tenant, ou se está a tentar perceber se precisa realmente de toda a complexidade da autenticação empresarial 802.1X, este episódio vai dar-lhe uma resposta clara e prática. Vamos abordar o que é realmente o DPSK nos bastidores, como se compara com as alternativas, por que se tornou a arquitetura de eleição para os operadores de espaços e como implementá-lo sem as armadilhas que apanham a maioria das equipas. Faremos também uma sessão rápida de perguntas e respostas no final. Vamos a isso. [ANÁLISE TÉCNICA DETALHADA - aproximadamente 5 minutos] Comecemos pelo problema que o DPSK resolve, porque compreender o problema é metade da batalha. Numa implementação normal de WPA2-Personal - o que a maioria das pessoas considera uma rede WiFi normal - cada dispositivo que se liga a esse SSID utiliza a mesma chave pré-partilhada. Uma palavra-passe, partilhada por todos. Num hotel com 300 quartos, isso significa que cada hóspede, cada membro do pessoal, cada dispositivo IoT no edifício e cada prestador de serviços que alguma vez esteve no local está a autenticar-se com a mesma credencial. As implicações de segurança são significativas. Se um hóspede partilhar essa palavra-passe externamente, ou se esta acabar numa aplicação de partilha de WiFi, perdeu o controlo do perímetro da sua rede. E se precisar de revogar o acesso - por exemplo, quando um hóspede faz o check-out ou o contrato de um prestador de serviços termina - tem de alterar a palavra-passe para todos. Isso não é gestão de rede, é uma vulnerabilidade. No outro extremo do espetro, temos o 802.1X - a norma IEEE para controlo de acesso à rede baseado em portas. O 802.1X é excelente. Oferece autenticação por utilizador, identidade baseada em certificados, aplicação de políticas granulares. Mas requer uma infraestrutura de servidor RADIUS, requer configuração de suplicante em cada dispositivo e, para um ambiente onde os hóspedes trazem portáteis pessoais, telemóveis, smart TVs, consolas de videojogos e dispositivos de streaming - muitos dos quais têm suporte limitado ou inexistente para suplicantes 802.1X - a experiência de integração é genuinamente penosa. Não se pode simplesmente pedir a um hóspede de um hotel que instale um certificado no seu dispositivo pessoal antes de se poder ligar ao WiFi. O DPSK situa-se precisamente no meio destas duas abordagens. Eis como funciona tecnicamente. Com DPSK, continua a operar um SSID WPA2-Personal - pelo que, do ponto de vista do dispositivo, este está a ligar-se a uma rede WiFi padrão usando uma chave pré-partilhada. Sem certificados, sem suplicante RADIUS, sem processos complexos de integração. O convidado introduz uma palavra-passe e está ligado. Mas nos bastidores, o controlador sem fios ou a plataforma de gestão na nuvem mantém uma base de dados de chaves pré-partilhadas únicas - uma por quarto, uma por utilizador, uma por grupo de dispositivos, independentemente de como pretenda estruturar. Quando um dispositivo se liga e apresenta a sua chave, o controlador associa essa chave a um registo de identidade e aplica a política de rede correspondente - atribuição de VLAN, limites de largura de banda, listas de controlo de acesso. A perspetiva fundamental aqui é que a singularidade da credencial ocorre ao nível do controlador, não ao nível do dispositivo. O dispositivo não precisa de saber que tem uma chave única. Apenas se liga normalmente. Mas a sua rede sabe exatamente a quem pertence esse dispositivo e pode aplicar a política em conformidade. Agora, a terminologia pode ser confusa aqui, porque diferentes fornecedores usam nomes diferentes para o mesmo conceito. A Cisco chama-lhe iPSK - Identity PSK. A Aruba chama-lhe MPSK - Multi-PSK. A Ruckus chama-lhe DPSK - Dynamic PSK. O princípio subjacente é idêntico nos três casos. Os detalhes de implementação diferem ligeiramente, particularmente em relação à forma como os atributos RADIUS são estruturados, mas a arquitetura é a mesma. Do ponto de vista das normas, o DPSK opera no âmbito do WPA2-Personal, que é compatível com o IEEE 802.11. Alguns fornecedores estão a estender isto com capacidades WPA3-SAE, o que adiciona segredo de encaminhamento e resistência a ataques de dicionário offline. Se estiver a implementar uma nova infraestrutura, vale a pena especificar pontos de acesso compatíveis com WPA3 - estes preparam a sua implementação de DPSK para o futuro e alinham-se com a direção que a indústria está a seguir. Deixe-me falar sobre o encaminhamento de VLAN, porque é aqui que o DPSK realmente prova o seu valor num ambiente multi-inquilino. Num hotel, normalmente quer, no mínimo, quatro segmentos de rede: uma VLAN de convidados para dispositivos pessoais, uma VLAN de funcionários para sistemas operacionais, uma VLAN de IoT para tecnologia de quartos inteligentes, CCTV e sistemas de gestão de edifícios, e uma VLAN de POS ou pagamentos para qualquer infraestrutura de ponto de venda que precise de estar em conformidade com o PCI-DSS. Com uma única PSK partilhada, não consegue diferenciar estes grupos sem implementar vários SSIDs - o que cria congestionamento de radiofrequência e sobrecarga de gestão. Com o DPSK, um único SSID pode encaminhar dinamicamente cada dispositivo de ligação para a VLAN correta com base na chave que este apresentou. Limpo, escalável e operacionalmente simples. A capacidade de gestão do ciclo de vida é igualmente importante. Quando um hóspede faz o check-out, revoga a sua DPSK. Os seus dispositivos perdem o acesso. Nenhum outro hóspede é afetado. Sem alteração de palavra-passe, sem chamadas de suporte, sem interrupção. Para um hotel com 300 quartos e uma rotação diária de hóspedes, essa eficiência operacional acumula-se significativamente ao longo do tempo - e pode ser totalmente automatizada através da integração com o seu Property Management System. Do ponto de vista da conformidade - e isto é particularmente importante para o GDPR, para o PCI-DSS e para qualquer operador que lide com dados pessoais na rede - a DPSK fornece o registo de auditoria que uma PSK partilhada simplesmente não consegue fornecer. Pode atribuir a atividade de rede a uma credencial específica e, portanto, a um registo de hóspede ou dispositivo específico. Isso não é apenas uma boa prática; em alguns contextos regulamentares, é um requisito. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aproximadamente 2 minutos] Falemos de implementação. Algumas coisas a acertar desde o início. Primeiro, a geração e distribuição de chaves. As suas chaves DPSK precisam de ser suficientemente longas e aleatórias - no mínimo 20 caracteres, idealmente 32. Gere-as programaticamente utilizando um gerador de números aleatórios criptograficamente seguro. O mecanismo de distribuição também é importante. Num hotel, imprimir a chave única na capa do cartão do quarto do hóspede, ou enviá-la por e-mail no check-in, ou integrar com o seu PMS para a enviar por SMS - todas estas são abordagens válidas. O importante é que a distribuição seja automatizada e associada ao seu fluxo de trabalho de gestão de hóspedes existente. Segundo, o suporte do controlador. Nem todos os controladores sem fios implementam a DPSK da mesma forma. O Cisco Meraki, Aruba Central, Ruckus SmartZone, Juniper Mist e a Extreme Networks têm todos implementações, mas os limites de escala, as capacidades de API e a granularidade de direcionamento de VLAN variam. Antes de se comprometer com uma plataforma, valide o número máximo de chaves únicas suportadas por SSID. Algumas plataformas mais antigas limitam este valor a algumas centenas, o que é inadequado para um espaço de grandes dimensões. Terceiro - e este é o erro mais comum que vejo - a aleatorização do endereço MAC. Os sistemas operativos modernos, iOS 14 e posterior, Android 10 e posterior, Windows 11, utilizam todos a aleatorização do endereço MAC por predefinição por motivos de privacidade. Se a sua implementação de DPSK depender de consultas de endereço MAC no repositório de identidade RADIUS, um dispositivo que apresente um endereço MAC aleatório não será encontrado e será rejeitado. A solução é configurar o seu SSID para exigir que os clientes utilizem o endereço MAC permanente do seu dispositivo ou implementar um fluxo de trabalho de pré-registo. Isto precisa de estar no seu plano de implementação desde o primeiro dia - é um problema solucionável, mas que apanha as equipas desprevenidas se não planearem para isso. Quarto, a resiliência do servidor RADIUS. A sua implementação de DPSK é tão fiável quanto a sua infraestrutura RADIUS. Se o servidor RADIUS estiver indisponível, nenhum dispositivo novo conseguirá autenticar-se. Planeie a redundância - servidores RADIUS primários e secundários, com a configuração de failover apropriada no seu controlador sem fios. O erro a evitar acima de tudo: implementar DPSK sem um processo documentado de ciclo de vida das chaves. As chaves que nunca são revogadas acumulam-se ao longo do tempo e tornam-se uma vulnerabilidade de segurança. Crie o fluxo de trabalho de revogação antes de entrar em produção, não depois. [PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto] Muito bem, vamos a algumas perguntas rápidas. "O DPSK é o mesmo que iPSK e MPSK?" - Funcionalmente, sim. DPSK é a terminologia da Ruckus, iPSK é da Cisco, MPSK é da Aruba. O mesmo conceito, marcas de fabricantes diferentes. "O DPSK funciona com WPA3?" - Sim, com algumas ressalvas. A maioria dos controladores modernos suporta DPSK em modo de transição WPA2 e WPA3. Para um ambiente puramente WPA3, verifique as orientações de implementação específicas do seu fabricante, uma vez que o WPA3-SAE altera o mecanismo de handshake. "O DPSK pode funcionar sem um servidor RADIUS?" - Algumas plataformas de controladores implementam DPSK nativamente sem um servidor RADIUS separado, armazenando a base de dados de chaves localmente. Isto simplifica a implementação, mas limita a escalabilidade e as opções de integração. "Qual é o número máximo de chaves exclusivas por SSID?" - Depende do controlador. As plataformas empresariais suportam tipicamente milhares. O limite prático é geralmente o desempenho de consulta do seu repositório de identidade, e não o controlador wireless em si. "O DPSK é adequado para a conformidade com PCI-DSS?" - O DPSK pode apoiar a conformidade com PCI-DSS ao permitir o isolamento criptográfico de dispositivos de processamento de pagamentos numa VLAN dedicada. No entanto, deve fazer parte de uma estrutura de conformidade mais ampla e não ser tratado como uma solução de conformidade isolada. [RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto] Para concluir: o DPSK é a arquitetura certa para qualquer implementação em locais multi-tenant onde precisa de responsabilização por utilizador ou por sala sem a complexidade de uma infraestrutura 802.1X completa. Oferece-lhe credenciais exclusivas por inquilino, direcionamento dinâmico de VLAN, gestão granular do ciclo de vida e um registo de auditoria pronto para conformidade - tudo com uma experiência de integração de dispositivos que é tão simples como introduzir uma palavra-passe de WiFi. Se está a planear uma nova implementação ou a tentar atualizar uma rede PSK partilhada existente, os próximos passos práticos são: auditar a sua plataforma atual de controladores wireless para suporte a DPSK, definir o seu modelo de segmentação de VLAN com base nos seus tipos de inquilinos, mapear o seu fluxo de trabalho de ciclo de vida de chaves desde o aprovisionamento até à revogação e planear a aleatorização de endereços MAC desde o primeiro dia. A plataforma da Purple fornece a camada de orquestração que se situa entre o seu fornecedor de identidade e a sua infraestrutura wireless para automatizar todo o ciclo de vida das chaves DPSK - desde o aprovisionamento no check-in até à revogação no check-out, com análises e relatórios completos incluídos. Para saber mais sobre arquitetura de WiFi multi-tenant e controlo de acesso à rede, os links estão nas notas do programa. Obrigado por ouvir. Até à próxima.