O que é a Autenticação RADIUS e Como Funciona?

### O que é a Autenticação RADIUS e Como Funciona? — Purple Technical Briefing **[INTRO — 1 minuto]** Bem-vindo ao Purple Technical Briefing. Sou o vosso anfitrião e, nos próximos dez minutos, vamos desmistificar uma das tecnologias mais críticas para a segurança de redes corporativas: a autenticação RADIUS. Se é um gestor de TI, um arquiteto de rede ou um CTO responsável pelo WiFi num grande espaço — um hotel, uma cadeia de retalho, um estádio ou um centro de conferências — este briefing é especificamente para si. Vamos deixar de lado o jargão, explicar a arquitetura de forma clara e dar-lhe as perspetivas práticas de que necessita para tomar decisões informadas este trimestre. Vamos começar com a visão geral. Porque é que tudo isto importa? Se ainda está a disponibilizar o seu WiFi de convidados ou funcionários com uma única palavra-passe partilhada — uma Chave Pré-Partilhada, ou PSK —, está a operar com um risco de segurança significativo e crescente. Essa palavra-passe é partilhada, escrita em recibos, fotografada em quadros brancos e encaminhada através de aplicações de mensagens. Uma vez divulgada, deixa de ter visibilidade sobre quem está na sua rede, perde a capacidade de revogar o acesso de um único utilizador sem perturbar todos os outros e fica sem registo de auditoria se algo correr mal. Para organizações sujeitas ao PCI DSS, GDPR ou HIPAA, isto não é apenas um problema técnico. É uma responsabilidade de conformidade. O RADIUS é a solução sobre a qual a indústria convergiu para resolver este problema. Por isso, vamos compreender exatamente o que é e como funciona. **[ANÁLISE TÉCNICA DETALHADA — 5 minutos]** RADIUS significa Remote Authentication Dial-In User Service. O nome é um artefacto histórico dos primórdios da Internet dial-up, mas o protocolo evoluiu significativamente e continua a ser a espinha dorsal do controlo de acesso a redes corporativas hoje em dia. Na sua essência, o RADIUS é um sistema centralizado baseado em servidor que gere o acesso à rede utilizando uma estrutura chamada AAA — Autenticação, Autorização e Contabilidade. Estes três pilares são a base de tudo o que vamos discutir hoje. A Autenticação é o primeiro pilar: verificar quem alguém é. A Autorização é o segundo: determinar o que lhe é permitido fazer. E a Contabilidade é o terceiro: registar o que realmente fez. Vamos explorar cada um deles. Autenticação. Quando um utilizador tenta ligar-se a uma rede WiFi protegida com WPA2-Enterprise ou WPA3-Enterprise, o seu dispositivo — a que chamamos Suplicante — envia um pedido de ligação ao ponto de acesso sem fios. O ponto de acesso, a que chamamos Autenticador, não toma a decisão de autenticação por si próprio. Atua como um repetidor, encaminhando o pedido para o servidor RADIUS. O servidor RADIUS valida então a identidade do utilizador em relação a uma fonte de identidade configurada. Esta pode ser o Microsoft Active Directory, o Azure Active Directory, o Google Workspace, a Okta ou uma base de dados de utilizadores local. A fonte de identidade é a única fonte de verdade para quem é permitido na sua rede. O servidor RADIUS pode validar a identidade de várias formas. As mais comuns em ambientes corporativos são os métodos baseados em credenciais, onde o utilizador fornece um nome de utilizador e palavra-passe, e os métodos baseados em certificados, onde o dispositivo do utilizador apresenta um certificado digital. Falaremos sobre as implicações de segurança de cada um em breve. Autorização. Assim que o utilizador é autenticado, o servidor RADIUS não se limita a dizer que sim e a afastar-se. Também diz ao ponto de acesso exatamente o que fazer com este utilizador. Envia de volta um conjunto de atributos — essencialmente instruções — que definem a experiência de rede do utilizador. O mais importante destes é normalmente a atribuição de VLAN. O servidor RADIUS pode dizer: este utilizador é membro do grupo de funcionários corporativos, atribua-o à VLAN dez, que tem acesso a servidores de ficheiros internos e impressoras. Ou: este utilizador é um convidado, atribua-o à VLAN vinte, que tem apenas acesso à Internet e está completamente isolada da rede corporativa. Esta atribuição dinâmica de VLAN é uma das funcionalidades mais poderosas do RADIUS e é o mecanismo que permite uma segmentação de rede adequada. Contabilidade. O terceiro pilar é frequentemente descurado, mas é criticamente importante para a conformidade e operações. À medida que a sessão de um utilizador avança, o servidor RADIUS regista informações fundamentais: a hora a que se ligou, a hora a que se desligou, a duração total da sessão, a quantidade de dados transferidos e o endereço MAC do seu dispositivo. Isto cria um registo de auditoria detalhado para cada ligação na sua rede. Sob o PCI DSS 4.0, este tipo de registo não é opcional — é um requisito obrigatório. E, no caso de um incidente de segurança, estes registos são inestimáveis para a investigação forense. Agora, vamos falar sobre o padrão técnico que faz tudo isto funcionar: o IEEE 802.1X. O 802.1X é o padrão que define o controlo de acesso à rede baseado em portas. É o protocolo que permite a um ponto de acesso bloquear todo o tráfego de rede de um dispositivo até que o servidor RADIUS tenha confirmado que o dispositivo está autorizado. A comunicação entre o dispositivo do utilizador e o ponto de acesso utiliza um protocolo chamado EAP — o Extensible Authentication Protocol. O EAP é essencialmente uma estrutura que suporta múltiplos métodos de autenticação. Os três métodos EAP mais comuns em WiFi corporativo são: PEAP, que significa Protected Extensible Authentication Protocol; EAP-TTLS; e EAP-TLS. O PEAP e o EAP-TTLS são métodos baseados em credenciais. Criam um túnel encriptado entre o dispositivo e o servidor RADIUS e, em seguida, o nome de utilizador e a palavra-passe do utilizador são verificados dentro desse túnel. São relativamente fáceis de implementar e funcionam bem em ambientes onde ainda não está preparado para uma infraestrutura completa de certificados. O EAP-TLS é o padrão de excelência. É baseado em certificados, o que significa que tanto o servidor como o dispositivo cliente apresentam certificados digitais para se autenticarem mutuamente. Não há qualquer palavra-passe envolvida. Isto elimina completamente o risco de roubo de credenciais, ataques de phishing e ataques man-in-the-middle. Para dispositivos corporativos, o EAP-TLS é o método de autenticação para o qual deve direcionar os seus esforços. **[IMPLEMENTAÇÃO E ERROS COMUNS — 2 minutos]** Então, como é que implementa realmente tudo isto? Deixe-me guiar-lhe pelos passos principais. Primeiro, escolha o seu servidor RADIUS. Pode implementar um servidor local — o Network Policy Server da Microsoft é uma escolha comum em ambientes Windows — ou utilizar um serviço RADIUS baseado na nuvem. As plataformas RADIUS na nuvem, como a oferecida pela Purple, fornecem uma infraestrutura totalmente gerida e altamente disponível sem a sobrecarga operacional. Para organizações com vários locais, a abordagem na nuvem é quase sempre a escolha certa. Segundo, integre a sua fonte de identidade. Ligue o seu servidor RADIUS ao diretório de identidade da sua organização. A maioria das plataformas RADIUS na nuvem modernas suporta integração direta com o Azure AD, Google Workspace e Okta. Terceiro, configure o hardware da sua rede. Crie um novo SSID configurado para WPA2-Enterprise ou WPA3-Enterprise e aponte-o para o seu servidor RADIUS. Também configurará um segredo partilhado — uma palavra-passe que encripta a comunicação entre o ponto de acesso e o servidor RADIUS. Este segredo partilhado deve coincidir exatamente em ambos os lados. Uma incompatibilidade aqui é uma das causas mais comuns de falhas de autenticação durante a implementação inicial. Quarto, defina as suas políticas de autorização. Mapeie grupos de utilizadores para políticas de rede — os funcionários obtêm acesso total na VLAN dez, os convidados obtêm acesso apenas à Internet na VLAN vinte. Quinto, integre os seus utilizadores. Para os funcionários corporativos, implemente perfis de WiFi através da sua plataforma MDM. Para convidados, utilize um Captive Portal. A plataforma da Purple automatiza o fluxo de adesão de convidados, suportando inícios de sessão de redes sociais, formulários de registo e códigos de voucher. **[PERGUNTAS E RESPOSTAS RÁPIDAS — 1 minuto]** Vamos fazer uma sessão rápida de perguntas e respostas sobre as questões que ouvimos com mais frequência. Primeira: Qual é a diferença entre o RADIUS e um Captive Portal? Um Captive Portal é a página de início de sessão que os convidados veem quando se ligam. Funciona em conjunto com o RADIUS. O portal é a interface do utilizador; o RADIUS é o motor de back-end. Segunda: Posso utilizar o RADIUS para redes com fios? Absolutamente. O padrão 802.1X aplica-se igualmente a redes Ethernet com fios e a redes sem fios. Terceira: O RADIUS é difícil de configurar? Tem reputação de complexidade, mas as plataformas na nuvem modernas mudaram isto drasticamente. Com um serviço gerido como o da Purple, pode colocar uma implementação RADIUS pronta para produção a funcionar rapidamente. **[RESUMO E PRÓXIMOS PASSOS — 1 minuto]** Para resumir: o RADIUS é o protocolo centralizado que alimenta a segurança do WiFi corporativo. Implementa a estrutura AAA para lhe dar um controlo granular sobre quem pode aceder à sua rede, o que pode fazer e um registo de auditoria completo da sua atividade. Para operadores de espaços, hoteleiros, retalhistas e organizações do setor público, a implementação do RADIUS é o passo fundamental na construção de uma infraestrutura de WiFi segura, em conformidade e gerida profissionalmente. O seu próximo passo é claro: se ainda está a operar com chaves pré-partilhadas, comece a planear a sua migração hoje mesmo. Reveja o seu hardware atual para suporte a WPA3-Enterprise, avalie as suas opções de integração de diretório de identidade e explore uma plataforma RADIUS na nuvem que possa escalar com a sua organização. É tudo para o que temos tempo neste Purple Technical Briefing. Obrigado por ouvir. Para saber mais sobre como a Purple o pode ajudar a implementar um WiFi seguro e inteligente nos seus espaços, visite-nos em purple dot ai. Até à próxima, mantenha-se seguro.