WPA2 Enterprise: O Guia Completo

Bem-vindo ao Purple Technical Briefing. Eu sou o seu anfitrião e hoje vamos abordar uma transição de infraestrutura crítica que quase todas as empresas em crescimento enfrentam: a mudança de WPA2-Personal para WPA2-Enterprise. Se é um diretor de TI, um arquiteto de rede ou gere operações para um grande espaço - seja uma cadeia de retalho, um hotel ou um estádio - conhece a dor da palavra-passe de WiFi partilhada. Está escrita em quadros brancos. É partilhada com prestadores de serviços. E quando um colaborador sai, alterá-la em centenas de dispositivos é um pesadelo operacional. Mais importante ainda, do ponto de vista de conformidade, uma chave partilhada significa responsabilidade zero. Não pode passar numa auditoria rigorosa de PCI-DSS ou ISO 27001 se não conseguir provar exatamente quem estava na rede num determinado momento. É aí que entra o WPA2-Enterprise. Ele muda fundamentalmente o paradigma. Em vez de autenticar a localização com uma chave partilhada, autentica a identidade individual. Cada utilizador, cada dispositivo, obtém a sua própria credencial. E quando alguém sai, desativa a sua conta - e essa pessoa fica fora da rede instantaneamente. Sem rotação de palavras-passe. Sem pedidos de suporte. Sem riscos. Vamos começar com algum contexto. O WPA2 - Wi-Fi Protected Access 2 - tem sido o padrão de segurança sem fios dominante desde 2004. Ele vem em duas variantes. O WPA2-Personal, também chamado de PSK ou Pre-Shared Key, é o que a maioria das casas e pequenos escritórios utiliza. Uma palavra-passe, partilhada por todos. O WPA2-Enterprise é a versão concebida para organizações. Utiliza o padrão IEEE 802.1X para autenticar cada utilizador ou dispositivo individualmente através de um servidor de autenticação central. Agora, vamos aprofundar a arquitetura técnica, porque compreender isto é crítico para a implementar corretamente. O WPA2-Enterprise baseia-se em três componentes que funcionam em conjunto. Primeiro, o Suplicante - que é o dispositivo cliente. O portátil, o smartphone, o sensor de IoT. É a entidade que solicita acesso à rede. Segundo, o Autenticador - que é o seu ponto de acesso sem fios ou, num contexto com fios, um switch gerido. Ele situa-se na periferia da rede e aplica a política. Bloqueia todo o tráfego, exceto os pedidos de autenticação, até que o servidor central dê luz verde. Terceiro, o Servidor de Autenticação - normalmente um servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É o cérebro da operação. Recebe o pedido de autenticação do Ponto de Acesso, valida as credenciais num repositório de identidades como o Active Directory ou um diretório LDAP, e devolve uma resposta de Aceitação de Acesso (Access-Accept) ou Rejeição de Acesso (Access-Reject). Eis a perspetiva fundamental: o Ponto de acesso nunca vê a sua palavra-passe. Ele simplesmente retransmite a troca de autenticação encriptada entre o cliente e o servidor RADIUS. Esta separação de funções é o que torna a arquitetura escalável e auditável. Agora, dentro desta estrutura, a troca real de credenciais é gerida pelo EAP - o Extensible Authentication Protocol. E o método EAP que escolher define tanto a sua postura de segurança como a complexidade da sua implementação. Existem dois métodos que encontrará com maior frequência em implementações empresariais. O primeiro é o PEAP, ou Protected EAP. Este é o método mais amplamente implementado. Eis como funciona: o servidor RADIUS apresenta um certificado digital ao dispositivo do cliente. O cliente valida esse certificado - confirmando essencialmente que está a falar com a rede real e não com um impostor. Assim que essa confiança é estabelecida, é criado um túnel TLS seguro. Dentro desse túnel, o utilizador autentica-se com o seu nome de utilizador e palavra-passe padrão - normalmente as suas credenciais do Active Directory. O PEAP é popular porque é relativamente simples de implementar. Os utilizadores já conhecem as suas palavras-passe. Não há necessidade de distribuir certificados pelos dispositivos dos clientes. No entanto, tem uma fraqueza: se um utilizador for descuidado e aceitar um certificado de servidor fraudulento, poderá estar a ligar-se a um ponto de acesso desonesto - o que chamamos de ataque Evil Twin - e as suas credenciais podem ser recolhidas. O segundo método é o EAP-TLS, e este é o padrão de ouro para ambientes de alta segurança. O EAP-TLS exige uma autenticação mútua de certificados. Tanto o servidor como o dispositivo do cliente devem apresentar certificados válidos. Não existem palavras-passe em trânsito de todo. Como não há palavra-passe para roubar, os ataques de phishing são completamente neutralizados. O reverso da medalha é a complexidade da implementação. Precisa de uma Infraestrutura de Chaves Públicas - uma PKI - para emitir e gerir certificados de cliente. E precisa de uma plataforma de Gestão de Dispositivos Móveis para enviar esses certificados de forma silenciosa para os dispositivos. Se depender dos utilizadores para instalarem os certificados manualmente, o seu suporte técnico ficará sobrecarregado. Mas para ambientes onde a segurança é primordial - serviços financeiros, governo, saúde - o EAP-TLS é a única escolha defensável. Então, como é que implementa isto na prática? Deixe-me guiar de perto pelas principais fases. A primeira fase é a preparação da infraestrutura. O seu servidor RADIUS é agora uma dependência de caminho crítico. Se ele falhar, ninguém acede ao WiFi. Isto não é redundância opcional - é essencial. Para ambientes distribuídos, como cadeias de retalho ou grupos hoteleiros, considere serviços RADIUS alojados na nuvem. Eles oferecem redundância integrada e eliminam a necessidade de gerir servidores locais em cada local. Garanta que o seu servidor RADIUS está integrado com o seu fornecedor de identidade central. Para a maioria das organizações, trata-se do Azure Active Directory ou do Active Directory local via LDAP.A fase dois é a gestão de certificados, caso opte por EAP-TLS. Automatize tudo. Utilize a sua plataforma MDM - Intune, Jamf, o que quer que utilize - para enviar certificados de forma silenciosa para os dispositivos corporativos. Para cenários BYOD, considere um portal de integração. Produtos como o SecureW2 ou Foxpass podem automatizar a instalação do perfil de configuração para dispositivos pessoais, reduzindo drasticamente o volume de pedidos no suporte técnico. A fase três é a própria implementação. Não faça uma transição abrupta. Nunca é demais reforçar isto. Não desligue a rede PSK numa segunda-feira de manhã à espera que tudo funcione. Comece com um grupo piloto - a equipa de TI é a escolha óbvia. Depois, expanda para um único piso, um único departamento, um único local. Monitorize obsessivamente os seus registos RADIUS durante esta fase. Os tempos limite de autenticação (timeouts) indicam geralmente um problema de encaminhamento de rede entre os seus pontos de acesso e o servidor RADIUS. Os erros de fidedignidade do certificado significam que o seu certificado de raiz da AC não foi implementado corretamente nos dispositivos finais. Permita-me agora falar sobre uma das funcionalidades mais potentes - e subaproveitadas - do WPA2-Enterprise: a atribuição dinâmica de VLAN (Dynamic VLAN Assignment). Num ambiente PSK, normalmente transmite múltiplos SSIDs para separar diferentes grupos de utilizadores. Funcionários num SSID, terminais de ponto de venda noutro, dispositivos IoT num terceiro. Cada SSID adicional adiciona sobrecarga ao seu ambiente de radiofrequência. Numa loja de retalho movimentada ou num estádio, esta poluição de RF pode degradar genuinamente o desempenho. Com o WPA2-Enterprise e a atribuição dinâmica de VLAN, pode transmitir um único SSID e deixar que o servidor RADIUS decida em que segmento de rede cada dispositivo entra. Quando um operador de caixa se autentica, o servidor RADIUS devolve atributos que instruem o ponto de acesso a colocar essa sessão na VLAN 10 - o segmento em conformidade com PCI. Quando um gerente de loja se autentica, entra na VLAN 20 - o segmento corporativo. O mesmo SSID, redes diferentes, tudo controlado pela identidade. É elegante, é escalável e representa uma simplificação operacional significativa. Especificamente para operadores de recintos - hotéis, centros de conferências, estádios - existe uma consideração adicional: a rede de convidados. O WPA2-Enterprise é cada vez mais relevante para o acesso gerido de convidados, e não apenas para redes de funcionários. Plataformas como a Purple fornecem gestão de identidade para um acesso WiFi seguro. Sob a licença Connect, a Purple atua como um fornecedor de identidade gratuito e suporta OpenRoaming - um padrão que permite aos utilizadores circular de forma contínua e segura entre redes aderentes sem necessidade de se autenticarem novamente. Isto é particularmente poderoso para visitantes frequentes, como delegados de conferências ou membros de programas de fidelização. Deixe-me agora abordar os modos de falha mais comuns, porque saber o que corre mal é metade da batalha. O primeiro é o aviso de certificado de servidor não confiável. Se os clientes virem uma mensagem a indicar que o certificado do servidor não pode ser verificado, isso significa que o certificado do seu servidor RADIUS está expirado, autoassinado sem que a CA raiz esteja implementada nos clientes, ou emitido por uma CA na qual o dispositivo não confia. A solução: utilize um certificado de uma CA pública que já esteja no repositório de raiz confiável do dispositivo, ou garanta que a raiz da sua CA interna é implementada via Group Policy ou MDM. O segundo são os tempos de espera (timeouts) do RADIUS. Isto manifesta-se com os clientes a ficarem retidos no ecrã de autenticação antes de eventualmente falharem. A causa é quase sempre um problema de caminho de rede - o Access Point não consegue contactar o servidor RADIUS, ou a resposta está a ser bloqueada por uma firewall. Verifique as suas regras de firewall para as portas UDP 1812 e 1813, que são as portas padrão de autenticação e accounting do RADIUS. O terceiro é o problema de IoT. Muitos dispositivos legados - impressoras, controladores de AVAC, leitores de controlo de acessos - simplesmente não suportam 802.1X. Terá de manter uma estratégia separada para estes. As opções incluem o MAC Authentication Bypass, onde o dispositivo se autentica utilizando o seu endereço MAC em vez de credenciais, ou Multi-PSK, onde cada dispositivo recebe uma chave pré-partilhada única. Nenhuma das opções é tão segura quanto o 802.1X, mas são soluções pragmáticas para hardware legado. Agora, vamos falar sobre o impacto no negócio e o ROI, porque este não é apenas um projeto de segurança - é um projeto de eficiência operacional. O ROI mais imediato vem da eliminação da rotação de palavras-passe. Sempre que uma palavra-passe de WiFi partilhada é alterada, as TI têm de atualizar todos os dispositivos na rede. Numa cadeia de retalho com 50 localizações, isso representa potencialmente milhares de atualizações de dispositivos. Com o WPA2-Enterprise, desaprovisionar um colaborador é uma única ação no Active Directory. O segundo motor de ROI é a conformidade. Para qualquer organização sujeita ao PCI-DSS - o que significa qualquer entidade que processe pagamentos com cartão - a capacidade de demonstrar registos de acesso à rede por utilizador é uma vantagem de auditoria significativa. O mesmo se aplica ao GDPR, onde a demonstração de acesso controlado a sistemas que processam dados pessoais é cada vez mais escrutinada. O terceiro é a inteligência de rede. A autenticação por utilizador fornece dados ricos para a sua plataforma de gestão de rede. Pode ver exatamente quais os dispositivos que estão na rede, quando se ligaram, quanta largura de banda consumiram e a partir de que localização. Estes dados são inestimáveis para o planeamento de capacidade e para detetar comportamentos anómalos. Deixe-me terminar com uma sessão rápida de perguntas e respostas sobre as questões que oiço com mais frequência. Podemos executar o WPA2-Enterprise em paralelo com a nossa rede PSK existente? Absolutamente, e deve fazê-lo durante a transição. Execute-as em paralelo, migre os utilizadores em lotes e desative a rede PSK assim que a migração estiver concluída. Precisamos de substituir os nossos Access Points? Não necessariamente. A maioria dos Access Points de classe empresarial de fabricantes como a Cisco, Aruba, Ruckus e Ubiquiti suportam 802.1X. Verifique a versão do seu firmware e certifique-se de que está atualizada. E em relação ao WPA3-Enterprise? Devemos esperar? O WPA3-Enterprise adiciona requisitos criptográficos mais fortes, incluindo o modo de segurança de 192 bits para ambientes de elevada segurança. Se está a implementar uma nova infraestrutura hoje, escolha hardware que suporte WPA3. Mas não deixe que o ótimo seja inimigo do bom - o WPA2-Enterprise é uma melhoria de segurança massiva em relação ao PSK e é a decisão certa agora. Quanto tempo demora uma implementação típica? Para uma organização com um único local e com Active Directory existente, uma implementação básica de PEAP pode ser concluída em poucos dias. Uma implementação EAP-TLS multilocal com integração de MDM demora normalmente de quatro a oito semanas, incluindo a fase piloto. Para resumir as principais conclusões da sessão de hoje. Um: o WPA2-Enterprise autentica identidades individuais, não localizações partilhadas. Esta é a mudança fundamental. Dois: escolha PEAP para ambientes BYOD e baseados em credenciais; escolha EAP-TLS para ambientes de dispositivos geridos e de alta segurança. Três: o seu servidor RADIUS é uma infraestrutura crítica - crie redundância desde o primeiro dia. Quatro: utilize a Atribuição Dinâmica de VLAN para simplificar o seu ambiente de RF enquanto mantém uma segmentação de rede rigorosa. Cinco: planeie os dispositivos IoT separadamente - eles não suportam 802.1X. Seis: nunca faça uma transição abrupta. Faça a implementação de forma faseada e monitorize os registos RADIUS de perto. Para obter o guia de implementação completo, diagramas de arquitetura e exemplos práticos, consulte o guia escrito completo no website da Purple. Obrigado por ouvir e boa sorte com a sua implementação.