Como Otimizar Captive Portals para a Máxima Segurança de Rede e Conversão de Utilizadores

Bem-vindo ao Purple Technical Briefing. Hoje estamos a analisar detalhadamente os captive portals. Especificamente, como otimizá-los para a máxima segurança de rede e conversão de utilizadores. Se gere a TI de um grupo hoteleiro, de uma cadeia de retalho ou de um grande recinto público, o captive portal é a sua porta de entrada. É a interseção onde a segurança de rede se cruza com as operações de marketing. Faça-o bem e protegerá a sua rede enquanto constrói uma base de dados primária (first-party) de contactos verificados. Faça-o mal e irá frustrar os utilizadores, violar a conformidade e deixar a sua rede exposta. Comecemos pela arquitetura. Um captive portal não é apenas uma página web. É um sistema de segmentação de rede. Quando um dispositivo de convidado se associa ao seu SSID, o seu ponto de acesso, seja ele Cisco Meraki, HPE Aruba, Ruckus, ou Juniper Mist, coloca esse dispositivo numa VLAN de quarentena. Neste estado de quarentena, o dispositivo não tem acesso à Internet. Uma firewall bloqueia tudo exceto as consultas de DNS e uma lista específica de destinos permitidos, conhecida como walled garden. Este walled garden é crítico. Deve incluir o URL do portal e quaisquer serviços externos necessários para o início de sessão, tais como os servidores de autenticação do Google ou o seu gateway de pagamento. Se o seu walled garden estiver mal configurado, o portal não irá carregar. É a causa número um de falhas no terreno. Assim que o utilizador conclui o início de sessão, o portal comunica com o seu servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É o protocolo padrão para autenticação centralizada em redes empresariais. O portal envia uma mensagem de Alteração de Autorização, conhecida como CoA. Isto indica ao controlador de acesso: este dispositivo está autenticado, remova a quarentena. O dispositivo é então movido para a VLAN de produção e o acesso à Internet é concedido. Esta segmentação garante que os dispositivos não autenticados não possam sondar a sua rede ou aceder aos seus sistemas de ponto de venda. Se estiver a operar num ambiente abrangido pelo PCI DSS, o que significa que tem terminais de pagamento com cartão na mesma infraestrutura física, este isolamento não é opcional. É um requisito de conformidade. Agora, falemos sobre conversão. O captive portal é um ponto de estrangulamento. Todos os dispositivos que se ligam passam por ele. Isso torna-o numa das superfícies de marketing mais valiosas do seu espaço. Mas também é frágil. Cada campo que adiciona ao seu formulário de início de sessão reduz a sua taxa de conversão em cerca de dez por cento. Se implementar um portal simples de clique de aceitação (click-through), onde o utilizador apenas aceita os termos e se liga, verá taxas de conversão acima de noventa por cento. Mas quase não recolhe dados. Se pedir um endereço de e-mail, a conversão cai para cerca de setenta por cento. Se exigir um formulário completo com nome, e-mail, telefone e código postal, terá sorte se vir quarenta por cento de conclusão. Por isso, deve escolher o método certo para o seu espaço e para os seus objetivos. Deixe-me apresentar as cinco principais opções. O clique de aceitação é a opção com menor fricção. É o ideal para locais do setor público, salas de espera do NHS, bibliotecas e edifícios municipais. Não está no negócio de construir bases de dados de marketing a partir de WiFi público, e a sobrecarga de conformidade de recolher dados pessoais nesse contexto é significativa. A captura de e-mail é o motor do marketing de WiFi para convidados. É a predefinição correta para hotelaria, retalho e eventos. Obtém um endereço de e-mail de propriedade direta, sem dependência de plataformas de terceiros, e um rasto de dados claro para efeitos de GDPR. O início de sessão social via OAuth, abrangendo o Google, a Apple e o LinkedIn, reduz a fricção e devolve dados verificados do fornecedor de identidade. Funciona bem em ambientes voltados para o consumidor. Mas existe um risco de dependência. Se um fornecedor alterar os termos da sua API, o seu fluxo de autenticação quebra. Implemente sempre pelo menos um método que não seja OAuth juntamente com o início de sessão social. A palavra-passe de utilização única por SMS (SMS OTP) é o padrão de excelência para a qualidade dos dados. Um número de telemóvel verificado é significativamente mais valioso do que um endereço de e-mail não verificado para programas de fidelização e comunicações urgentes. A contrapartida é uma conversão mais baixa, cerca de cinquenta por cento, e um custo por mensagem. Num estádio que processa cinquenta mil inícios de sessão por evento, essa é uma linha de custos que precisa de incluir no seu caso de negócio. O registo com formulário completo fornece-lhe os dados mais ricos, mas a conversão mais baixa. Faz sentido onde os dados são genuinamente utilizados, como um grupo hoteleiro que pré-preenche perfis de hóspedes ou um prestador de cuidados de saúde que recolhe as preferências dos doentes. Agora, a conformidade. É aqui que a maioria das implementações falha. Ao abrigo do GDPR, deve separar a ligação da recolha. Pode conceder acesso à rede com base no interesse legítimo. Mas não pode utilizar essa mesma justificação para enviar e-mails de marketing. O marketing exige um consentimento explícito e afirmativo. Não utilize caixas pré-marcadas. Disponibilize uma caixa de seleção clara e separada para a adesão ao marketing. A caixa de seleção deve estar desmarcada por predefinição. Se agrupar os termos de acesso à rede com o consentimento de marketing numa única caixa de seleção, estará a violar o GDPR. A sua equipa jurídica lidará com as consequências durante anos. Deixe-me apresentar-lhe dois cenários do mundo real. Primeiro, um hotel de duzentos quartos que utiliza pontos de acesso HPE Aruba pretende fornecer WiFi em níveis. Acesso básico gratuito para hóspedes padrão, acesso de alta velocidade para membros do programa de fidelização. A abordagem correta é um único SSID de convidado integrado com o Property Management System através de API. O portal apresenta duas opções: iniciar sessão com número de quarto e nome, ou iniciar sessão com credenciais de fidelização. Quando um membro do programa de fidelização se autentica, o portal consulta o PMS, verifica o nível e envia uma Alteração de Autorização RADIUS para o controlador Aruba com um atributo específico do fabricante que atribui a função de alta largura de banda. Os hóspedes padrão recebem uma função predefinida com limite de velocidade. Um SSID, política dinâmica, experiência de utilizador limpa. Segundo, uma cadeia de retalho nacional com quinhentas localizações pretende capturar endereços de e-mail para marketing. A equipa jurídica está preocupada com o GDPR. O design do portal é simples. Um único campo de introdução de e-mail. Duas caixas de seleção abaixo dele. A primeira caixa de seleção, obrigatória, diz: Aceito os Termos de Serviço e a Política de Privacidade para acesso à rede. A segunda caixa de seleção, opcional e desmarcada por predefinição, diz: Consinto receber comunicações de marketing e ofertas especiais. O backend regista o carimbo de data/hora, o endereço IP e o evento de consentimento para cada utilizador. Rasto de auditoria limpo, base jurídica clara, em conformidade por conceção. Agora, vamos abordar os modos de falha comuns. O problema mais frequente é o portal não aparecer. Isto deve-se quase sempre ao walled garden. O sistema operativo do dispositivo envia um teste de conectividade (captivity probe) para um URL conhecido, como captive.apple.com para dispositivos iOS. Se a sua firewall bloquear esse domínio, o SO não consegue detetar que está numa rede cativa e o portal nunca é iniciado. Verifique primeiro o seu walled garden, sempre. O segundo problema é a aleatoriedade do endereço MAC. Os dispositivos modernos iOS e Android utilizam endereços MAC aleatórios por predefinição para evitar a monitorização. Isto significa que um convidado recorrente aparece como um novo utilizador. O portal volta a desafiá-lo e este tem de iniciar sessão novamente. A solução é incentivar os utilizadores a instalar um perfil Passpoint ou a utilizar um fluxo de autenticação baseado numa aplicação que dependa de um token de identidade em vez do endereço MAC. O terceiro problema é a exaustão de DHCP e DNS à escala. Num estádio ou centro de conferências, milhares de dispositivos ligam-se em simultâneo. Se o seu pool de DHCP ficar sem endereços, ou se o seu servidor DNS não conseguir lidar com o volume de consultas, o fluxo de autenticação é interrompido antes mesmo de chegar ao portal. Dimensione a sua infraestrutura para a carga de pico, não para a carga média. Agora, algumas perguntas rápidas. Qual é o método de autenticação mais conforme com o GDPR? Todos os métodos podem ser tornados conformes. O clique de aceitação tem a menor sobrecarga. A variável principal é o que faz com os dados após a recolha, não o método que utiliza para os recolher. Posso executar múltiplos métodos de autenticação no mesmo portal? Sim, e deve fazê-lo. O Purple Verify suporta os cinco métodos em simultâneo, com configuração por tipo de local, dispositivo do utilizador ou hora do dia. O SMS OTP funciona internacionalmente? Sim, mas os custos variam significativamente de acordo com o país. Utilize um fornecedor com ampla cobertura de operadoras internacionais e planeie o orçamento em conformidade. E quanto ao Private Relay da Apple? O Private Relay pode interferir com a deteção de captive portals em dispositivos iOS. Garanta que o seu portal é servido através de HTTPS e que os seus domínios de teste de conectividade estão na lista de permissões. Para resumir. Segmente o seu tráfego com VLANs e mantém um walled garden limpo e preciso. Escolha o seu método de autenticação com base no seu tipo de local e objetivos de dados, não no que é mais fácil de implementar. Minimize os campos do formulário para maximizar a conversão. Separe os seus termos de acesso à rede do seu consentimento de marketing. E planeie a aleatoriedade de MAC e a carga de pico desde o primeiro dia. A Purple gere infraestruturas de captive portal em mais de oitenta mil locais, com quatrocentos e quarenta milhões de inícios de sessão em 2024. As estruturas deste guia refletem essa experiência operacional. Si quiser aprofundar qualquer um destes tópicos, o guia de referência técnica completo está disponível em purple.ai. Obrigado por ouvir.