Implementar WPA3-Enterprise para Segurança Wireless Avançada

Implementar o WPA3-Enterprise para Segurança Sem Fios Reforçada. Um Briefing de Informação da Purple WiFi. Bem-vindo à série de Briefings Técnicos da Purple. Hoje vamos diretos ao assunto que importa: WPA3-Enterprise — o que realmente significa para a sua rede, por que razão o timing é crítico neste momento e como passar de onde está hoje para uma infraestrutura sem fios totalmente em conformidade e à prova de futuro. Se gere um grupo hoteleiro, uma rede de retalho, um centro de conferências ou uma instalação do setor público, este briefing é para si. Não vamos perder-nos em teorias académicas. Vamos falar sobre decisões reais, configurações reais e resultados reais. O WPA3-Enterprise tornou-se um requisito obrigatório para dispositivos Wi-Fi CERTIFIED em 2020, e no entanto a maioria dos ambientes empresariais ainda executa o WPA2. Essa lacuna é a sua exposição ao risco. O PCI DSS 4.0, que entrou em vigor total em março de 2024, refere explicitamente normas de autenticação mais fortes. As obrigações do GDPR relativas à proteção de dados desde a conceção são cada vez mais interpretadas de forma a incluir a segurança ao nível da rede. A janela para tratar o WPA3 como algo "bom de se ter" fechou-se. Vamos a isso. Então, o que muda realmente com o WPA3-Enterprise? Comecemos pela camada de autenticação. O WPA2-Enterprise baseia-se no IEEE 802.1X com EAP — Extensible Authentication Protocol — e essa parte não muda com o WPA3. O que muda é tudo o resto à sua volta. O handshake, a encriptação e a proteção de tramas de gestão. No WPA2, o handshake de quatro vias utilizado para derivar chaves de sessão é vulnerável a ataques de dicionário offline. Um atacante captura o handshake, leva-o para offline e executa-o contra uma lista de palavras. Esta é a base do ataque KRACK — Key Reinstallation Attack — revelado em 2017. O WPA3 substitui isto pelo SAE — Simultaneous Authentication of Equals —, que é uma troca de chaves baseada em Diffie-Hellman. A diferença crítica é que o SAE fornece confidencialidade de encaminhamento (forward secrecy). Mesmo que um atacante capture todos os pacotes de uma sessão e mais tarde comprometa uma chave de longo prazo, não conseguirá desencriptar retroativamente essa sessão. Cada sessão tem as suas próprias chaves efémeras. Do lado da encriptação, o WPA2 utiliza o CCMP-128 — Counter Mode with Cipher Block Chaining Message Authentication Code Protocol — baseado em AES-128. O WPA3-Enterprise exige o GCMP-256 — Galois Counter Mode Protocol com chaves de 256 bits — para o seu modo de segurança de 192 bits. Este é o modo que deseja para qualquer ambiente que lide com dados sensíveis: registos de saúde, dados de cartões de pagamento, informações governamentais. Depois, há as Tramas de Gestão Protegidas — PMF — definidas sob o IEEE 802.11w. No WPA2, o PMF é opcional. No WPA3, é obrigatório. As tramas de gestão são os sinais de controlo que gerem a associação, desassociação e autenticação entre clientes e pontos de acesso. Sem PMF, um atacante pode forjar tramas de desautenticação — forçando os clientes a desligarem-se da rede — como um ataque de negação de serviço ou como precursor de um ataque man-in-the-middle. O PMF obrigatório fecha completamente esse vetor.Agora, a configuração do servidor RADIUS. É aqui que a maioria das implementações ou tem sucesso ou fica bloqueada. O seu servidor RADIUS — quer seja o Microsoft NPS, FreeRADIUS, Cisco ISE ou Aruba ClearPass — precisa de ser configurado para suportar EAP-TLS como o método de autenticação principal para WPA3-Enterprise. O EAP-TLS utiliza autenticação mútua baseada em certificados. O cliente apresenta um certificado, o servidor apresenta um certificado e ambos validam-se mutuamente. Não existem palavras-passe nesta troca. Isto elimina totalmente os ataques baseados em credenciais. A infraestrutura de certificados — a sua PKI — é a espinha dorsal disto. Precisa de uma Autoridade de Certificação, seja interna utilizando o Microsoft Active Directory Certificate Services, ou um serviço de PKI baseado na nuvem. Cada dispositivo cliente precisa de ter um certificado registado, normalmente através da sua plataforma MDM — Intune, Jamf ou semelhante. O servidor RADIUS precisa do seu próprio certificado de servidor de uma CA em que os seus clientes confiem. E precisa de um endpoint OCSP ou CRL para que os clientes possam validar a revogação de certificados em tempo real. Para ambientes onde o EAP-TLS completo não é imediatamente viável — talvez por ter uma mistura de dispositivos geridos e não geridos — o EAP-TTLS ou PEAP com MSCHAPv2 continua a ser uma opção como medida de transição. Mas quero ser direto: os métodos EAP baseados em credenciais são um ponto de passagem, não um destino. A postura de segurança do EAP-TLS é categoricamente superior, e o seu roteiro deve ter este método como objetivo. Mais uma coisa do lado técnico: o modo de transição. A maioria dos controladores sem fios modernos suporta o Modo de Transição WPA3, que permite que clientes WPA2 e WPA3 se associem ao mesmo SSID em simultâneo. Este é o seu caminho de migração. Ativa o modo de transição, valida se os clientes WPA3 estão a autenticar-se corretamente, monitoriza os seus registos e depois — assim que tiver confiança no parque de clientes — muda para WPA3-only. Não tente fazer uma transição abrupta no primeiro dia. O modo de transição existe precisamente para evitar esse risco. Agora, permita-me apresentar-lhe os três modos de falha mais comuns que vejo em implementações de WPA3-Enterprise, e como evitá-los. Primeiro: gestão do ciclo de vida dos certificados. As organizações implementam a PKI, emitem certificados e depois esquecem-se de que os certificados expiram. A expiração de um certificado no seu servidor RADIUS irá derrubar a autenticação de todos os clientes na sua rede em simultâneo. Precisa de renovação automatizada, alertas de monitorização a 90 dias, 60 dias e 30 dias antes da expiração, e de um manual de procedimentos de renovação testado. Isto não é opcional. Já vi grandes grupos hoteleiros perderem todo o acesso WiFi corporativo porque um certificado RADIUS expirou durante um fim de semana de feriado. Segundo: pressupostos de compatibilidade de clientes. Nem todos os dispositivos na sua infraestrutura irão suportar WPA3. Os dispositivos IoT legados — sistemas de gestão de edifícios, terminais de ponto de venda mais antigos, alguns sistemas de CCTV — podem suportar apenas WPA2 ou mesmo WPA. A resposta é a segmentação de rede. Coloque os seus dispositivos corporativos compatíveis com WPA3 num SSID exclusivo para WPA3. Coloque o seu IoT legado numa VLAN separada e isolada com WPA2, com regras de firewall estritas que impeçam o movimento lateral. Não comprometa a postura de segurança da sua rede principal para acomodar dispositivos legados. Terceiro: redundância do servidor RADIUS. Um único servidor RADIUS é um ponto único de falha. Numa implementação multi-site — uma cadeia de retalho com 200 lojas, por exemplo — precisa, no mínimo, de um servidor RADIUS primário e secundário, com failover configurado ao nível do controlador wireless. Teste o seu failover. Teste-o ativamente. Simule uma falha do RADIUS primário numa janela de manutenção e confirme que os clientes se autenticam no secundário dentro do seu limite de tempo limite aceitável. Especificamente para ambientes de hotelaria — qualquer pessoa que execute uma plataforma de WiFi de convidados — tem um desafio de rede duplo. A sua rede corporativa transporta dispositivos de funcionários e sistemas de back-office, e deve ser WPA3-Enterprise com EAP-TLS. A sua rede de convidados é um problema totalmente diferente, normalmente gerido através de um Captive Portal com autenticação social ou por e-mail. Estes são SSIDs separados, VLANs separadas e políticas de segurança separadas. Não os misture. Algumas perguntas que me fazem regularmente. Preciso de novos pontos de acesso? Provavelmente não. A maioria dos pontos de acesso fabricados após 2019 suporta WPA3 através de atualização de firmware. Verifique as notas de lançamento do seu fornecedor. A Ruckus, Cisco Meraki, Aruba e Ubiquiti têm todas suporte para WPA3 no firmware atual. Quanto tempo demora uma implementação completa? Para uma rede de retalho de 50 locais com um MDM e Active Directory existentes, preveja 12 a 16 semanas. A criação da PKI e a distribuição de certificados é a parte mais demorada do processo. Quanto custa isto? Os componentes de infraestrutura — RADIUS, PKI, MDM — provavelmente já os tem. O custo incremental refere-se a serviços profissionais para configuração e testes, além de quaisquer custos de firmware ou substituição de pontos de acesso. Para a maioria das organizações, a mitigação do risco de conformidade por si só justifica o investimento. O WPA3 afeta o rendimento (throughput)? De forma insignificante. O GCMP-256 é computacionalmente eficiente. Na prática, não notará uma diferença de rendimento em hardware moderno. Para concluir: o WPA3-Enterprise não é uma consideração futura. É um requisito atual para qualquer organização que leve a sério a segurança da rede, a conformidade regulatória e a proteção dos dados das pessoas que utilizam os seus espaços. Os seus próximos passos imediatos: audite as versões atuais do firmware dos seus pontos de acesso e confirme o suporte para WPA3. Avalie a sua preparação para PKI — tem uma CA interna ou precisa de criar uma? Reveja a configuração e a redundância do seu servidor RADIUS. E mapeie a sua frota de dispositivos clientes para identificar quaisquer dispositivos legados que precisem de ser segmentados. A plataforma da Purple integra-se diretamente com a sua infraestrutura sem fios para fornecer a camada de análise e gestão sobre a base da sua rede segura. Quer esteja a gerir um grupo hoteleiro, uma cadeia de retalho ou um espaço público, a combinação do WPA3-Enterprise para a sua rede corporativa e uma camada de WiFi de convidados devidamente protegida oferece-lhe tanto a postura de segurança como a inteligência de dados de que a sua empresa necessita. Obrigado por nos ouvir. Se quiser aprofundar qualquer um destes tópicos — autenticação de certificados, configuração de RADIUS ou arquitetura de rede de convidados — o guia escrito completo está disponível no website da Purple, juntamente com a nossa biblioteca mais ampla de material de referência técnica. Até à próxima.