O que é PPSK: comparando funcionalidades e modelos de implementação

Bem-vindo ao Purple Technical Briefing. Eu sou o seu anfitrião e hoje vamos falar sobre PPSK - Private Pre-Shared Key - o que é, como se compara com os seus parentes mais próximos e, fundamentalmente, qual o modelo de implementação ideal para a sua propriedade. Se é um promotor imobiliário, um operador de build-to-rent ou um proprietário que gere um portfólio multi-habitacional, este é o briefing pelo qual esperava. Isto porque o WiFi já não é apenas um serviço que se adiciona no final de um projeto. É uma comodidade que afeta diretamente o valor da renda, os períodos de vacatura e os índices de satisfação dos seus residentes. Vamos a isso. Secção um: o que é o PPSK e por que razão existe? Pense em como a maioria dos edifícios partilhados gere o WiFi hoje em dia. Existe uma única palavra-passe, partilhada com todos. Um novo residente muda-se - recebe a palavra-passe. Um residente sai - e aqui reside o problema. Altera a palavra-passe de todo o edifício e desliga todos os outros residentes? Ou deixa o ex-residente com acesso ilimitado à sua rede? Nenhuma das opções é aceitável. Esta é a falha fundamental do PSK partilhado em larga escala. O PPSK resolve isto. A Private Pre-Shared Key atribui a cada residente, a cada fração, a sua própria palavra-passe de WiFi exclusiva. Todos se ligam ao mesmo SSID - o mesmo nome de rede - mas cada palavra-passe corresponde a uma identidade de rede distinta. Quando um residente se muda, o utilizador revoga a sua chave. Uma única chave. Mais ninguém é afetado. Agora, irá encontrar vários nomes para esta tecnologia, dependendo do fabricante de hardware com quem trabalha. A Aruba chama-lhe PPSK. A Cisco Meraki chama-lhe Personal Private Network. A Extreme Networks também utiliza PPSK. A Juniper Mist chama-lhe ePSK. A Ruckus chama-lhe DPSK - Dynamic PSK. A terminologia varia; o conceito é idêntico em todas elas. Secção dois: a arquitetura técnica - como funciona na prática. Eis o fluxo de autenticação, e compreender isto é essencial para uma implementação correta. Quando o dispositivo de um residente se liga ao WiFi, o ponto de acesso recebe a chave pré-partilhada que o dispositivo apresenta. Numa rede PSK padrão, o ponto de acesso verifica simplesmente se essa chave coincide com a configurada no SSID. Se coincidir, o dispositivo liga-se. Simples, mas sem identidade individual. Numa implementação PPSK, o ponto de acesso ou o controlador de LAN sem fios encaminha a chave - ou o endereço MAC do dispositivo - para um servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service e é o protocolo AAA padrão do setor definido no RFC 2865. O servidor RADIUS procura as credenciais apresentadas no seu repositório de identidades, confirma a qual residente pertencem e devolve uma resposta Access-Accept. Integradas nessa resposta estão a atribuição de VLAN e a política de largura de banda para esse residente específico. O resultado é o que chamamos de uma bolha WiFi. Cada dispositivo que utiliza a chave do Residente A reside no segmento de rede privada do Residente A. O seu telemóvel descobre o seu Chromecast. A sua coluna inteligente emparelha com as suas lâmpadas inteligentes. A sua consola de jogos encontra a sua TV. Entretanto, os dispositivos do Residente B são completamente invisíveis para o Residente A, mesmo estando no mesmo ponto de acesso físico. Isto é o isolamento de Layer 2. Não é apenas uma regra de firewall - é uma separação criptográfica ao nível da camada sem fios. E é o mecanismo técnico que torna o WiFi multi-inquilino viável para implementações residenciais. Secção três: PPSK versus iPSK versus 802.1X - a comparação de que realmente precisa. Deixe-me dar-lhe a análise prática, porque estes três modelos de autenticação servem diferentes casos de uso. O PPSK, na sua forma mais simples, armazena o mapeamento de chave para VLAN diretamente no controlador sem fios. Não é necessário um servidor RADIUS externo. Isto funciona bem para implementações mais pequenas - por exemplo, até algumas centenas de unidades. A limitação é a escala. A maioria dos controladores limita a sua base de dados PPSK local a algo entre 512 e 2.000 entradas. Para um grande projeto de BTR com 400 unidades e 15 a 25 dispositivos por habitação, atingirá esse limite. O iPSK - Identity PSK - estende o modelo ao exigir um servidor RADIUS para a validação das chaves. Isto elimina o limite de escala. Com um serviço de RADIUS na nuvem, pode suportar dezenas de milhares de chaves exclusivas. O servidor RADIUS também permite a atribuição dinâmica de VLAN e a aplicação de políticas por utilizador, o que é essencial para a conformidade e para ofertas de serviços em níveis. A plataforma da Purple atua aqui como a camada de orquestração - posicionando-se entre o seu repositório de identidades e a sua infraestrutura RADIUS para automatizar todo o ciclo de vida das chaves. O 802.1X Enterprise é o padrão de excelência para frotas de dispositivos geridos corporativos. Utiliza certificados digitais ou credenciais de utilizador e palavra-passe validadas face a um serviço de diretório como o Microsoft Entra ID ou Okta. É a opção mais segura e é a escolha certa quando controla todos os dispositivos que se ligam à sua rede. Mas num ambiente residencial, não controla os dispositivos. Os seus residentes trazem os seus próprios smartphones, portáteis, smart TVs, consolas de jogos e sensores de IoT. Muitos destes dispositivos não conseguem suportar de todo o 802.1X. É aí que o PPSK e o iPSK ganham. Secção quatro: modelos de implementação para promotores imobiliários e operadores de BTR. Deixe-me guiá-lo pelas duas principais arquiteturas de implementação. A primeira é o PPSK local no controlador. A base de dados de chaves reside no controlador de LAN sem fios. Isto é adequado para projetos mais pequenos - até cerca de 200 unidades - onde se pretende uma infraestrutura com o mínimo de custos adicionais. Configura o SSID, gera uma chave única por unidade e distribui essas chaves no momento da mudança. O desafio operacional é a gestão do ciclo de vida: precisa de um processo para gerar chaves, distribuí-las e revogá-las no momento da saída do inquilino. Sem automatização, isto torna-se um fardo manual. O segundo modelo é o iPSK com suporte de RADIUS e gestão na cloud. Esta é a arquitetura que a Purple recomenda para qualquer projeto acima de 100 unidades, e para qualquer operador que gira múltiplas propriedades. A base de dados de chaves reside num serviço RADIUS na cloud. O aprovisionamento e a revogação de chaves são automatizados através da integração com o seu sistema de gestão de propriedades. Quando um contrato de arrendamento começa, uma chave é gerada e entregue ao residente. Quando termina, a chave é revogada automaticamente. Sem intervenção manual. Sem falhas de segurança entre contratos. A camada de hardware é agnóstica. A plataforma da Purple funciona em pontos de acesso Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Pode implementar no hardware que já possui, ou especificar durante a construção. A sobreposição de software trata da inteligência. Secção cinco: armadilhas de implementação e como evitá-las. Quero partilhar as lições práticas de implementações reais, porque a tecnologia é simples, mas os detalhes operacionais costumam surpreender as pessoas. O erro mais comum é tratar a PPSK como um projeto puramente técnico. A tecnologia é relativamente simples de configurar. O problema mais difícil é a gestão do ciclo de vida das chaves. Como são geradas as chaves? Como são entregues aos residentes? E como são revogadas quando um contrato termina? A resposta para as três perguntas deve ser a automatização, integrada com o seu sistema de gestão de propriedades desde o primeiro dia. A segunda armadilha é a aleatorização do endereço MAC. Os sistemas operativos modernos - iOS 14 e posteriores, Android 10 e posteriores, Windows 11 - aleatorizam o endereço MAC do dispositivo por predefinição por motivos de privacidade. Numa implementação de iPSK com suporte de RADIUS que utiliza pesquisas de endereço MAC, um MAC aleatório falhará a autenticação. A solução passa por configurar o seu SSID para exigir que os clientes utilizem o seu endereço MAC permanente, ou por implementar um fluxo de trabalho de pré-registo. Isto é solucionável, mas deve constar no seu plano de implementação desde o início. Terceiro: resiliência de RADIUS. A sua implementação de PPSK é tão fiável quanto a sua infraestrutura RADIUS. Se o servidor RADIUS estiver indisponível, nenhum dispositivo novo conseguirá autenticar-se. Crie uma estrutura concebida para redundância - servidores RADIUS primários e secundários com a configuração de failover adequada no controlador sem fios. E quarto: compatibilidade de dispositivos IoT. A maioria dos dispositivos IoT funciona perfeitamente com PPSK. Alguns dispositivos mais antigos apresentam particularidades no handshake WPA2. Execute um teste de compatibilidade na sua frota de dispositivos específica antes do lançamento. Perguntas rápidas. Serei breve. A PPSK funciona com WPA3? Sim, com ressalvas. O WPA3-SAE altera o mecanismo de handshake. A maioria dos controladores modernos suporta PPSK em modo de transição WPA2 e WPA3. Para um ambiente WPA3 puro, verifique as orientações de implementação específicas do seu fabricante. Quantas chaves exclusivas pode um único SSID suportar? Com um backend de RADIUS na cloud, o número é efetivamente ilimitado. O limite prático é a capacidade da base de dados do seu servidor RADIUS. A PPSK local no controlador está normalmente limitada a 512 a 4.000 entradas, dependendo do fabricante. O PPSK está em conformidade com o GDPR? O PPSK é um mecanismo de autenticação de rede, não uma ferramenta de recolha de dados. A conformidade com o GDPR depende dos dados que recolhe durante o aprovisionamento e de como os armazena. A Purple possui certificação ISO 27001, está em conformidade com o GDPR e a CCPA, e possui certificação Cyber Essentials. Qual é o prémio de aluguer por incluir WiFi gerido como uma comodidade? De acordo com os valores de referência da British Property Federation, os operadores de BTR obtêm normalmente um prémio de quinze a trinta libras por unidade, por mês, quando o WiFi está incluído como uma comodidade gerida. Trata-se de uma contribuição significativa para o rendimento operacional líquido num empreendimento de 200 unidades. Resumo e próximos passos. Três pontos a reter desta sessão informativa. Primeiro: o PPSK é o modelo de autenticação correto para WiFi residencial multi-inquilino. Proporciona a cada residente uma bolha de WiFi privada - o seu próprio segmento de rede isolado - sem a sobrecarga de infraestrutura do 802.1X Enterprise. Suporta todos os tipos de dispositivos, incluindo IoT e dispositivos domésticos inteligentes, o que é inegociável para o BTR moderno. Segundo: para qualquer empreendimento acima de 100 unidades, implemente iPSK baseado em RADIUS com gestão na nuvem. O PPSK local do controlador não é escalável e a gestão manual de chaves cria riscos operacionais. Automatize o aprovisionamento e a revogação de chaves através da integração do seu sistema de gestão de propriedades. Terceiro: o hardware é agnóstico. A Purple corre nos pontos de acesso que já possui ou especifica. O valor está na camada de software - a orquestração, a análise e a gestão do ciclo de vida. Se está a planear um novo empreendimento BTR ou a atualizar a infraestrutura de WiFi de uma propriedade existente, o momento certo para projetar a arquitetura de autenticação é agora - antes de os pontos de acesso serem instalados no teto. A adaptação posterior é possível, mas é sempre mais dispendiosa. Obrigado por participar nesta Sessão Técnica da Purple. Para aceder ao guia escrito completo, diagramas de arquitetura e exemplos práticos de implementação, visite purple.ai.