WPA2 Enterprise: O Guia Completo

Bem-vindo ao Purple Technical Briefing. Sou o seu anfitrião e hoje vamos abordar uma transição de infraestrutura crítica que quase todas as empresas em crescimento enfrentam: a mudança de WPA2-Personal para WPA2-Enterprise. Se é diretor de TI, arquiteto de rede ou gere operações para um grande espaço — seja uma cadeia de retalho, um hotel ou um estádio — conhece a dor da palavra-passe de WiFi partilhada. Está escrita em quadros brancos. É partilhada com prestadores de serviços. E quando um colaborador sai, alterá-la em centenas de dispositivos é um pesadelo operacional. Mais importante ainda, do ponto de vista da conformidade, uma chave partilhada significa zero responsabilidade. Não conseguirá passar numa auditoria rigorosa de PCI DSS ou ISO 27001 se não puder provar exatamente quem estava na rede num determinado momento. É aí que entra o WPA2-Enterprise. Ele muda fundamentalmente o paradigma. Em vez de autenticar o local com uma chave partilhada, autentica-se a identidade individual. Cada utilizador, cada dispositivo, recebe a sua própria credencial. E quando alguém sai, desativa-se a sua conta — e essa pessoa fica fora da rede instantaneamente. Sem rotação de palavra-passe. Sem pedidos de suporte. Sem riscos. Comecemos por contextualizar. O WPA2 — Wi-Fi Protected Access 2 — tem sido o padrão de segurança sem fios dominante desde 2004. Apresenta-se em duas variantes. O WPA2-Personal, também chamado de PSK ou Pre-Shared Key, é o que a maioria das casas e pequenos escritórios utiliza. Uma palavra-passe, partilhada por todos. O WPA2-Enterprise é a versão concebida para organizações. Utiliza o padrão IEEE 802.1X para autenticar cada utilizador ou dispositivo individualmente através de um servidor de autenticação central. Agora, vamos aprofundar a arquitetura técnica, pois compreender isto é fundamental para uma implementação correta. O WPA2-Enterprise assenta em três componentes que trabalham em conjunto. Primeiro, o Supplicant — que é o dispositivo cliente. O portátil, o smartphone, o sensor IoT. É a entidade que solicita acesso à rede. Segundo, o Authenticator — que é o seu ponto de acesso sem fios ou, num contexto com fios, um switch gerido. Fica na periferia da rede e aplica a política. Bloqueia todo o tráfego, exceto os pedidos de autenticação, até que o servidor central dê luz verde. Terceiro, o Authentication Server — normalmente um servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É o cérebro da operação. Recebe o pedido de autenticação do Ponto de Acesso, valida as credenciais num repositório de identidades como o Active Directory ou um diretório LDAP, e devolve uma resposta Access-Accept ou Access-Reject. Eis a perspetiva fundamental: o Ponto de Acesso nunca vê a sua palavra-passe. Limita-se a retransmitir a troca de autenticação cifrada entre o cliente e o servidor RADIUS. Esta separação de funções é o que torna a arquitetura escalável e auditável. Agora, dentro deste enquadramento, a troca real de credenciais é gerida pelo EAP — o Extensible Authentication Protocol. E o método EAP que escolher define tanto a sua postura de segurança como a complexidade da sua implementação. Existem dois métodos que encontrará com maior frequência em implementações empresariais. O primeiro é o PEAP, ou Protected EAP. Este é o método mais amplamente implementado. Funciona da seguinte forma: o servidor RADIUS apresenta um certificado digital ao dispositivo cliente. O cliente valida esse certificado — confirmando essencialmente que está a falar com a rede real e não com um impostor. Assim que essa confiança é estabelecida, é criado um túnel TLS seguro. Dentro desse túnel, o utilizador autentica-se com o seu utilizador e palavra-passe padrão — normalmente as suas credenciais do Active Directory. O PEAP é popular porque é relativamente simples de implementar. Os utilizadores já conhecem as suas palavras-passe. Não há necessidade de distribuir certificados pelos dispositivos clientes. No entanto, tem um ponto fraco: se um utilizador for descuidado e aceitar um certificado de servidor fraudulento, poderá estar a ligar-se a um ponto de acesso desonesto — o que chamamos de ataque Evil Twin — e as suas credenciais poderão ser recolhidas. O segundo método é o EAP-TLS, e este é o padrão de excelência para ambientes de alta segurança. O EAP-TLS exige autenticação mútua por certificado. Tanto o servidor como o dispositivo cliente devem apresentar certificados válidos. Não existem, de todo, palavras-passe em trânsito. Como não há palavra-passe para roubar, os ataques de phishing são completamente neutralizados. A contrapartida é a complexidade de implementação. Precisa de uma Infraestrutura de Chaves Públicas — uma PKI — para emitir e gerir certificados de cliente. E precisa de uma plataforma de Gestão de Dispositivos Móveis para enviar silenciosamente esses certificados para os dispositivos. Se depender dos utilizadores para instalarem os certificados manualmente, a sua equipa de suporte ficará sobrecarregada. Mas para ambientes onde a segurança é primordial — serviços financeiros, administração pública, saúde — o EAP-TLS é a única escolha defensável. Então, como implementa isto na prática? Permita-me guiar-lhe pelas fases principais. A primeira fase é a preparação da infraestrutura. O seu servidor RADIUS é agora uma dependência de caminho crítico. Se ele falhar, ninguém acede ao WiFi. Não se trata de uma redundância opcional — é essencial. Para ambientes distribuídos, como cadeias de retalho ou grupos hoteleiros, considere serviços RADIUS alojados na nuvem. Oferecem redundância integrada e eliminam a necessidade de gerir servidores locais em cada local. Garanta que o seu servidor RADIUS está integrado com o seu fornecedor de identidade central. Na maioria das organizações, trata-se do Azure Active Directory ou do Active Directory local via LDAP. A fase dois é a gestão de certificados, se optar por EAP-TLS. Automatize tudo. Utilize a sua plataforma MDM — Intune, Jamf, o que tiver — para enviar certificados silenciosamente para os dispositivos da empresa. Para cenários de BYOD, considere um portal de integração. Produtos como o SecureW2 ou o Foxpass podem automatizar a instalação do perfil de configuração para dispositivos pessoais, reduzindo drasticamente o volume de pedidos de suporte. A fase três é a própria implementação. Não faça uma transição abrupta. Não consigo frisar isto o suficiente. Não desligue a rede PSK numa segunda-feira de manhã à espera que tudo funcione. Comece com um grupo piloto — a equipa de TI é a escolha óbvia. Em seguida, expanda para um único piso, um único departamento, um único site. Monitorize obsessivamente os seus logs de RADIUS durante esta fase. Os tempos de limite de autenticação (timeouts) geralmente indicam um problema de encaminhamento de rede entre os seus Access Points e o servidor RADIUS. Os erros de fidedignidade do certificado significam que o seu certificado de raiz da CA não foi implementado corretamente nos endpoints. Deixe-me agora falar sobre uma das funcionalidades mais poderosas — e subutilizadas — do WPA2-Enterprise: a Atribuição Dinâmica de VLAN. Num ambiente PSK, normalmente transmite vários SSIDs para separar diferentes grupos de utilizadores. O pessoal num SSID, os terminais de ponto de venda noutro, os dispositivos IoT num terceiro. Cada SSID adicional adiciona sobrecarga ao seu ambiente de radiofrequência. Num ponto de venda movimentado ou num estádio, esta poluição de RF pode degradar genuinamente o desempenho. Com o WPA2-Enterprise e a Atribuição Dinâmica de VLAN, pode transmitir um único SSID e deixar que o servidor RADIUS decida em que segmento de rede cada dispositivo entra. Quando um operador de caixa se autentica, o servidor RADIUS devolve atributos indicando ao Access Point para colocar essa sessão na VLAN 10 — o segmento em conformidade com PCI. Quando um gestor de loja se autentica, entra na VLAN 20 — o segmento corporativo. O mesmo SSID, rede diferente, tudo controlado pela identidade. É elegante, é escalável e é uma simplificação operacional significativa. Especificamente para operadores de recintos — hotéis, centros de conferências, estádios — há uma consideração adicional: a rede de convidados. O WPA2-Enterprise é cada vez mais relevante para o acesso gerido de convidados, não apenas para redes de funcionários. Plataformas como a Purple fornecem gestão de identidade para acesso seguro a WiFi. Sob a licença Connect, a Purple atua como um fornecedor de identidade gratuito e suporta OpenRoaming — um padrão que permite aos utilizadores fazer roam de forma transparente e segura entre redes aderentes sem necessidade de se autenticarem novamente. Isto é particularmente poderoso para visitantes frequentes, como delegados de conferências ou membros de programas de fidelização. Deixe-me agora abordar os modos de falha mais comuns, porque saber o que corre mal é metade da batalha. O primeiro é o aviso de certificado de servidor não confiável. Se os clientes virem uma mensagem a dizer que o certificado do servidor não pode ser verificado, isso significa que o certificado do seu servidor RADIUS expirou, é autoassinado sem que a CA raiz tenha sido implementada nos clientes, ou foi emitido por uma CA na qual o dispositivo não confia. A solução: utilize um certificado de uma CA pública que já esteja no armazenamento de raiz confiável do dispositivo, ou certifique-se de que a raiz da sua CA interna é implementada via Group Policy ou MDM. O segundo são os tempos de espera (timeouts) do RADIUS. Isto manifesta-se através de clientes que ficam bloqueados no ecrã de autenticação antes de, eventualmente, falharem. A causa é quase sempre um problema no caminho de rede — o Access Point não consegue contactar o servidor RADIUS, ou a resposta está a ser bloqueada por uma firewall. Verifique as regras da sua firewall para as portas UDP 1812 e 1813, que são as portas padrão de autenticação e accounting do RADIUS. O terceiro é o problema do IoT. Muitos dispositivos legados — impressoras, controladores de climatização (HVAC), leitores de controlo de acessos — simplesmente não suportam 802.1X. Terá de manter uma estratégia separada para estes. As opções incluem o MAC Authentication Bypass, onde o dispositivo se autentica usando o seu endereço MAC em vez de credenciais, ou Multi-PSK, onde cada dispositivo recebe uma chave pré-partilhada única. Nenhuma destas soluções é tão segura como o 802.1X, mas são soluções pragmáticas para hardware legado. Agora, falemos sobre o impacto no negócio e o ROI, porque este não é apenas um projeto de segurança — é um projeto de eficiência operacional. O ROI mais imediato vem da eliminação da rotação de palavras-passe. Sempre que uma palavra-passe de WiFi partilhada é alterada, o departamento de TI tem de atualizar todos os dispositivos na rede. Numa cadeia de retalho com 50 localizações, isso representa potencialmente milhares de atualizações de dispositivos. Com o WPA2-Enterprise, desativar o acesso de um funcionário é uma ação única no Active Directory. O segundo motor de ROI é a conformidade. Para qualquer organização sujeita ao PCI DSS — o que significa qualquer entidade que processe pagamentos com cartão —, a capacidade de demonstrar registos de acesso à rede por utilizador é uma vantagem significativa em auditorias. O mesmo se aplica ao GDPR, onde a demonstração de acesso controlado a sistemas que processam dados pessoais é cada vez mais escrutinada. O terceiro é a inteligência de rede. A autenticação por utilizador fornece dados detalhados para a sua plataforma de gestão de rede. Pode ver exatamente quais os dispositivos que estão na rede, quando se ligaram, quanta largura de banda consumiram e a partir de que localização. Estes dados são inestimáveis para o planeamento de capacidade e para detetar comportamentos anómalos. Permita-me encerrar com uma sessão rápida de perguntas e respostas sobre as questões que oiço com mais frequência. Podemos executar o WPA2-Enterprise em paralelo com a nossa rede PSK existente? Absolutamente, e deve fazê-lo durante a transição. Execute-as em paralelo, migre os utilizadores em lotes e desative a rede PSK assim que a migração estiver concluída. Precisamos de substituir os nossos Access Points? Não necessariamente. A maioria dos Access Points de classe empresarial de fabricantes como a Cisco, Aruba, Ruckus e Ubiquiti suportam 802.1X. Verifique a versão do seu firmware e certifique-se de que está atualizada. E quanto ao WPA3-Enterprise? Devemos esperar? O WPA3-Enterprise adiciona requisitos criptográficos mais fortes, incluindo o modo de segurança de 192 bits para ambientes de alta segurança. Se está a implementar uma nova infraestrutura hoje, escolha hardware que suporte WPA3. Mas não deixe que o ótimo seja inimigo do bom — o WPA2-Enterprise é uma melhoria de segurança maciça em relação ao PSK e é o passo certo a dar agora. Quanto tempo demora uma implementação típica? Para uma organização com um único local e com o Active Directory existente, uma implementação básica de PEAP pode ser concluída em poucos dias. Uma implementação EAP-TLS multi-site com integração MDM demora normalmente de quatro a oito semanas, incluindo a fase piloto. Para resumir as principais conclusões do briefing de hoje. Um: o WPA2-Enterprise autentica identidades individuais, não locais partilhados. Esta é a mudança fundamental. Dois: escolha PEAP para ambientes BYOD e baseados em credenciais; escolha EAP-TLS para ambientes de dispositivos geridos de alta segurança. Três: o seu servidor RADIUS é uma infraestrutura crítica — incorpore redundância desde o primeiro dia. Quatro: utilize a Atribuição Dinâmica de VLAN para simplificar o seu ambiente de RF enquanto mantém uma segmentação de rede rigorosa. Cinco: planeie os dispositivos IoT separadamente — eles não suportam 802.1X. Seis: nunca faça uma transição imediata. Faça a implementação por fases e monitorize de perto os registos do RADIUS. Para obter o guia de implementação completo, diagramas de arquitetura e exemplos práticos, consulte o guia escrito completo no website da Purple. Obrigado por ouvir e boa sorte com a sua implementação.