O que é o Cloud RADIUS? Um Guia Completo sobre RADIUS as a Service

O que é o Cloud RADIUS? Um Guia Completo sobre RADIUS as a Service. Bem-vindo ao Podcast de Inteligência da Purple WiFi. Sou o vosso anfitrião e hoje vamos fazer uma análise aprofundada sobre o Cloud RADIUS — o que é, como funciona nos bastidores e, fundamentalmente, como avaliar se é a decisão certa para a vossa organização este trimestre. Quer gira um grupo hoteleiro, uma rede de retalho, um estádio ou uma rede do setor público, este episódio é para si. Vamos enquadrar o cenário. Introdução e Contexto. Se alguma vez teve de explicar a uma administração por que razão o seu servidor de autenticação de rede foi abaixo às 2 da manhã — e por que demorou três horas a ser reposto — já compreende o problema central que o Cloud RADIUS resolve. A infraestrutura tradicional de RADIUS local é potente, mas acarreta uma sobrecarga operacional significativa. Hardware para adquirir, ciclos de patches para gerir, redundância para desenhar manualmente e um ponto único de falha localizado na sua sala de servidores. O Cloud RADIUS, ou RADIUS as a Service, move essa camada de autenticação para um ambiente de nuvem gerido e de alta disponibilidade. O protocolo em si — Remote Authentication Dial-In User Service — não mudou. Continua a ser a espinha dorsal do controlo de acesso à rede IEEE 802.1X, o mecanismo que os seus pontos de acesso utilizam para validar quem entra na sua rede. Mas a infraestrutura que o executa é agora problema de outra pessoa. E no setor de TI empresarial, essa é uma mudança significativa. Por isso, vamos entrar nos detalhes técnicos. Análise Técnica Aprofundada. O RADIUS foi originalmente definido no RFC 2865, publicado no ano 2000, e tem-se mantido incrivelmente duradouro. O protocolo funciona num modelo cliente-servidor. O seu dispositivo de acesso à rede — quer seja um ponto de acesso WiFi, um concentrador de VPN ou um switch com fios — atua como o cliente RADIUS, também chamado de Network Access Server ou NAS. Quando um utilizador tenta ligar-se, o NAS encaminha um pacote Access-Request para o servidor RADIUS, que valida as credenciais num diretório de utilizadores — normalmente Active Directory, LDAP ou um fornecedor de identidade na nuvem — e devolve um Access-Accept ou um Access-Reject. Essa é a troca central. Mas a verdadeira complexidade reside no que acontece em redor: métodos EAP, atribuição de VLAN, aplicação de políticas, registos de contabilidade e gestão de certificados. Numa implementação local tradicional, executa o FreeRADIUS ou o Microsoft NPS em hardware dedicado, gerindo os seus próprios certificados, configurando a sua própria tolerância a falhas e mantendo a sincronização da sua própria base de dados de utilizadores. Para uma implementação num único local com uma equipa de TI competente, isto é gerível. Para uma rede de retalho com 50 localizações ou um grupo hoteleiro com propriedades em vários países, torna-se um fardo operacional significativo. O Cloud RADIUS abstrai tudo isso. A lógica de autenticação, a infraestrutura de certificados, a redundância e o motor de políticas são todos fornecidos como um serviço gerido. Os seus pontos de acesso apontam para endpoints RADIUS alojados na nuvem — normalmente um endereço IP primário e secundário — e o serviço trata de tudo o resto. Agora, vamos falar sobre os métodos de autenticação, porque é aqui que as decisões técnicas realmente importam. O método EAP mais comum em WiFi empresarial é o PEAP — Protected EAP — que cria um túnel MSCHAPv2 dentro de uma sessão TLS. É amplamente suportado, funciona nativamente com o Active Directory e é o padrão para a maioria dos dispositivos Windows e Android. No entanto, o PEAP tem vulnerabilidades conhecidas, particularmente em torno da validação de certificados. Se os seus dispositivos clientes não estiverem configurados para verificar o certificado do servidor, fica exposto a ataques de recolha de credenciais através de pontos de acesso falsos. O EAP-TLS é o padrão de excelência. Utiliza autenticação mútua por certificado — tanto o servidor como o cliente apresentam certificados — o que elimina completamente a superfície de ataque a palavras-passe. A contrapartida é a implementação de certificados de cliente, que requer uma infraestrutura PKI e integração com MDM. Para frotas de dispositivos geridos, esta é absolutamente a escolha certa. Para ambientes BYOD, é mais complexo. Também vale a pena conhecer o EAP-TTLS e o EAP-FAST. O TTLS é particularmente comum em ambientes onde precisa de suportar uma vasta gama de dispositivos clientes, incluindo sistemas Linux. O EAP-FAST foi desenvolvido pela Cisco como uma alternativa ao PEAP que evita a dependência da validação de certificados, utilizando em vez disso Protected Access Credentials. Um serviço Cloud RADIUS bem estruturado suporta todos estes métodos e permite-lhe configurar políticas por SSID — para que o seu SSID corporativo utilize EAP-TLS com validação de certificados, o seu SSID de funcionários utilize PEAP com Active Directory e a sua rede de convidados utilize um Captive Portal ou um fluxo de login social totalmente separado da pilha RADIUS. Por falar nisso — o RADIUS e o WiFi de convidados são frequentemente confundidos, mas servem propósitos diferentes. O RADIUS é a sua camada de autenticação e autorização para utilizadores e dispositivos conhecidos. O WiFi de convidados utiliza normalmente um fluxo de Captive Portal, que é um mecanismo totalmente diferente. A plataforma da Purple, por exemplo, lida com a autenticação de convidados através de uma camada de identidade separada, capturando dados primários e permitindo a automatização de marketing, enquanto o RADIUS lida com o controlo de acesso à rede corporativa e de funcionários. Estes são sistemas complementares, não concorrentes. Agora, vamos falar sobre o que "alojado na nuvem" realmente significa na prática. Um serviço Cloud RADIUS devidamente arquitetado funciona em várias zonas de disponibilidade, com failover automático. Os pedidos de autenticação são distribuídos por balanceamento de carga entre nós, e o serviço mantém tempos de resposta inferiores a 100 milissegundos, mesmo sob carga máxima. Para um estádio que lida com 40.000 ligações simultâneas durante um evento, esse perfil de latência e taxa de transferência é crítico. Um único servidor local simplesmente não consegue igualar essa elasticidade. Do ponto de vista da conformidade, os fornecedores de Cloud RADIUS que operam no Reino Unido e na UE precisam de estar em conformidade com o GDPR na forma como gerem os registos de autenticação e os dados dos utilizadores. Para ambientes de retalho e hotelaria que também processam dados de cartões de pagamento, os requisitos do PCI DSS em torno da segmentação de rede e aco controlo de acessos é diretamente relevante — o RADIUS faz parte do seu ambiente de controlo, e o seu QSA vai querer ver provas de uma configuração adequada e de registos de auditoria. O WPA3 também merece ser abordado. A transição do WPA2 para o WPA3 introduz a Autenticação Simultânea de Iguais — SAE — para redes pessoais, e o WPA3-Enterprise para ambientes corporativos. O WPA3-Enterprise exige o modo de segurança de 192 bits para a classificação mais elevada, o que requer métodos EAP e conjuntos de cifras específicos. Um serviço Cloud RADIUS precisa de suportar estas configurações para estar preparado para o futuro. Recomendações de Implementação e Erros Comuns. Muito bem, vamos à prática. Se está a avaliar o Cloud RADIUS para implementação este trimestre, eis no que me focaria. Primeiro, a integração com o seu fornecedor de identidade. O seu serviço Cloud RADIUS precisa de sincronizar com o local onde os seus utilizadores realmente residem — seja o Microsoft Entra ID, anteriormente Azure AD, o Google Workspace, o Okta ou um Active Directory local via proxy LDAP. A qualidade desta integração determina a sua sobrecarga operacional. O aprovisionamento nativo SAML ou SCIM é muito preferível às importações manuais de CSV. Segundo, a gestão de certificados. Se está a implementar o EAP-TLS, precisa de uma resposta clara sobre como os certificados de cliente são emitidos, renovados e revogados. Os melhores serviços Cloud RADIUS incluem uma PKI integrada ou integram-se perfeitamente com a sua autoridade de certificação existente. A expiração de certificados é uma das causas mais comuns de falhas de autenticação em WiFi empresarial — é totalmente evitável com a automatização adequada. Terceiro, a compatibilidade dos dispositivos de rede. Os seus pontos de acesso precisam de suportar a autenticação RADIUS — praticamente todos os APs de classe empresarial o fazem — mas precisa de verificar os métodos EAP específicos e os atributos RADIUS que o serviço escolhido suporta face à implementação do fabricante do seu AP. A Cisco, Aruba, Juniper Mist e Ruckus têm todas as suas próprias nuances na forma como lidam com atributos RADIUS e mensagens CoA — Change of Authorisation. Quarto, a configuração de redundância. Configure sempre um IP de servidor RADIUS primário e secundário. O tempo limite de failover nos seus dispositivos NAS é importante — se for definido com um valor demasiado elevado, os utilizadores sofrerão um atraso de autenticação de 30 segundos quando o primário estiver inacessível. Um tempo limite de 3 a 5 segundos com failover imediato é a configuração correta para a maioria dos ambientes. Quinto — e este é o que as pessoas esquecem — a contabilização. Os registos de contabilização RADIUS são a sua pista de auditoria. Dizem-lhe quem se ligou, a partir de que dispositivo, a que horas e por quanto tempo. Para fins de conformidade, particularmente em ambientes de saúde e do setor público, estes registos precisam de ser retidos e estar acessíveis. Certifique-se de que o seu fornecedor de Cloud RADIUS lhe dá acesso aos dados de contabilização, e não apenas aos registos de autenticação. Erros comuns: complexidade do segredo partilhado. O seu segredo partilhado RADIUS — a chave pré-partilhada entre o seu NAS e o servidor RADIUS — precisa de ser longo e aleatório. Segredos partilhados curtos ou fáceis de adivinhar são um vetor de ataque real. Utilize pelo menos 32 carateres, gerados aleatoriamente, e rode-os de forma programada. Tenha também atenção à lista de permissões de IPs. Muitos serviços Cloud RADIUS exigem que coloque na lista de permissões os IPs de origem dos seus dispositivos NAS. Num ambiente de nuvem dinâmico onde a sua plataforma de gestão de APs possa utilizar NAT, isto pode causar falhas de autenticação inesperadas. Confirme o comportamento de NAT da sua rede antes da implementação. Perguntas e Respostas Rápidas. Deixe-me passar por algumas perguntas que me fazem regularmente. O Cloud RADIUS pode suportar ambientes multi-tenant? Sim — a maioria dos serviços Cloud RADIUS empresariais suporta o isolamento de tenants, pelo que um fornecedor de serviços geridos pode executar políticas RADIUS separadas para múltiplos clientes a partir de uma única plataforma. Qual é a latência típica para uma autenticação Cloud RADIUS? Menos de 100 milissegundos para um serviço bem estruturado. O próprio handshake 802.1X adiciona alguma sobrecarga, mas para a maioria dos métodos EAP, o tempo total de autenticação deve ser inferior a 500 milissegundos de ponta a ponta. O Cloud RADIUS funciona com o OpenRoaming? Sim. O OpenRoaming — a estrutura de roaming da Wireless Broadband Alliance — utiliza a federação RADIUS no seu núcleo. Um serviço Cloud RADIUS que suporte Hotspot 2.0 e OpenRoaming permite que os seus utilizadores se autentiquem automaticamente em redes participantes globalmente. A Purple suporta o OpenRoaming sob a sua licença Connect, atuando como um fornecedor de identidade na federação. O Cloud RADIUS é adequado para ambientes de alta segurança? Para a maioria dos ambientes empresariais, sim. Para ambientes com dados classificados ou classificações de segurança governamentais específicas, poderá ser necessário avaliar se um serviço de nuvem gerido cumpre os seus requisitos específicos de acreditação. Resumo e Próximos Passos. Para resumir: o Cloud RADIUS é uma abordagem madura e pronta para produção para o controlo de acessos à rede que remove o fardo operacional da infraestrutura RADIUS local sem comprometer a segurança ou a capacidade. Para organizações com vários locais, o caso de ROI é simples — elimina o capex de hardware, reduz a sobrecarga de TI, obtém redundância incorporada e consegue um serviço que escala com o seu património. As decisões fundamentais são: qual o método EAP adequado para a sua frota de dispositivos, como se integra com o seu fornecedor de identidade existente e se o serviço escolhido lhe oferece as capacidades de conformidade e auditoria que a sua organização exige. Se gere um grupo hoteleiro, uma cadeia de retalho ou administra redes do setor público, recomendo começar com uma prova de conceito num único local — configure corretamente o seu RADIUS, valide a integração com o seu fornecedor de identidade e meça a latência de autenticação antes de implementar em todo o seu património. Para saber mais sobre análise de WiFi, gestão de redes de convidados e como a plataforma da Purple se integra com a autenticação baseada em RADIUS, visite purple.ai. Obrigado por ouvir.