Guia de Segurança WPA3: Explicação de SAE, OWE, Modo Enterprise de 192 Bits e PMF

WPA3: A Próxima Geração de Segurança WiFi Explicada. Um Briefing Técnico da Purple. Bem-vindo. Se é responsável por uma rede que atende convidados, clientes ou o público, este briefing é para si. Nos próximos dez minutos, vou guiá-lo através do WPA3 - o que realmente muda, por que é importante para a sua organização neste momento e como planear uma migração prática sem perturbar as suas operações. Comecemos pelo contexto. A segurança WiFi tem sido dominada pelo WPA2 desde 2004. Isso são mais de vinte anos. Em termos tecnológicos, é uma eternidade. O WPA2 era sólido para a sua época, mas foi desenhado antes de os smartphones se tornarem ubíquos, antes da explosão dos dispositivos IoT e antes de o panorama de ameaças evoluir para incluir o tipo de ataques de escuta passiva e sofisticada que vemos hoje. A Wi-Fi Alliance ratificou o WPA3 em 2018 e, desde então, a adoção tem vindo a acelerar - particularmente em ambientes empresariais e locais públicos onde os riscos são mais elevados. Então, o que há de realmente novo? Há quatro grandes mudanças que precisa de compreender. Primeiro: Simultaneous Authentication of Equals, ou SAE. Isto substitui o handshake de Pre-Shared Key que o WPA2 utiliza. O problema com o PSK está bem documentado - se um atacante capturar o handshake de quatro vias entre um cliente e o seu ponto de acesso, pode levar isso para offline e executar ataques de dicionário contra ele indefinidamente. O SAE elimina totalmente esse vetor de ataque. Utiliza uma troca de chaves ao estilo Diffie-Hellman, onde ambas as partes provam o conhecimento da palavra-passe sem nunca a transmitirem. Mesmo que alguém capture todos os pacotes da sua troca de autenticação, não conseguirá derivar a chave de sessão a partir daí. Esta é uma melhoria arquitetural fundamental, não apenas uma atualização incremental. Segundo: Forward Secrecy. Este é indiscutivelmente o benefício operacional mais importante para os operadores de espaços. Sob o WPA2, se um atacante gravar tráfego encriptado hoje e mais tarde obtiver a palavra-passe da sua rede - através de um funcionário descontente, um ataque de phishing ou uma violação de dados - poderá desencriptar retroativamente tudo o que gravou. Com o SAE do WPA3, cada sessão gera uma chave efémera única. Se a palavra-passe for comprometida amanhã, o tráfego de ontem permanece encriptado. Para ambientes de hotelaria que lidam com dados de pagamento de convidados, ou redes de retalho que processam transações de fidelização, esta é uma mitigação de risco significativa. Terceiro: Opportunistic Wireless Encryption, ou OWE. Este é o elemento transformador para o WiFi público. Hoje, quando um convidado se liga à sua rede aberta - aquela sem palavra-passe - o seu tráfego é transmitido em texto simples. Qualquer pessoa com um analisador de pacotes na mesma rede pode lê-lo. O OWE altera isto ao negociar automaticamente uma ligação encriptada entre cada cliente e o ponto de acesso, sem necessidade de palavra-passe e sem alterações na experiência do utilizador. O convidado continua apenas a clicar em "ligar" - mas a sua sessão está agora encriptada. Isto é o que a Wi-Fi Alliance designa por Enhanced Open, e é diretamente relevante para as obrigações de conformidade com o GDPR relativas à proteção de dados pessoais em trânsito. Quarto: WPA3-Enterprise com segurança de 192 bits. Para organizações em setores regulados - serviços financeiros, saúde, governo - o WPA3-Enterprise introduz um modo de segurança mínimo de 192 bits alinhado com a suite Commercial National Security Algorithm. Isto utiliza GCMP-256 para encriptação e HMAC-SHA-384 para verificação de integridade, em comparação com o CCMP de 128 bits utilizado no WPA2-Enterprise. Se opera sob o PCI-DSS, HIPAA ou estruturas semelhantes, isto aborda diretamente os requisitos de encriptação de rede sem fios. Agora vamos falar de arquitetura. Como é que uma implementação de WPA3 se parece realmente na prática? Para um hotel ou centro de conferências, normalmente executa uma implementação dividida. A sua rede corporativa interna executa WPA3-Enterprise com autenticação IEEE 802.1X contra um servidor RADIUS - integração com Active Directory, EAP baseado em certificados, toda a pilha. A sua rede voltada para os convidados executa WPA3-Personal com SAE, ou Enhanced Open com OWE, dependendo de estar a utilizar um Captive Portal para recolha de dados. É aqui que as plataformas como a solução de Guest WiFi da Purple se tornam relevantes. A Purple posiciona-se entre o ponto de acesso e a internet, gerindo o Captive Portal, o fluxo de consentimento para conformidade com o GDPR e a camada de analítica. Quando sobrepõe o OWE do WPA3 por baixo do portal da Purple, obtém transporte encriptado do dispositivo para o ponto de acesso, além de um mecanismo de recolha de dados em conformidade acima deste. Os dois funcionam em paralelo - o OWE gere a segurança da camada de rádio, a Purple gere a camada de identidade e consentimento. É uma separação limpa de responsabilidades. Para ambientes de retalho, o cálculo é ligeiramente diferente. Frequentemente lida com uma mistura de dispositivos corporativos - terminais POS, scanners de inventário - e dispositivos de convidados. WPA3-Enterprise num SSID dedicado para dispositivos corporativos, WPA3-Personal ou OWE para a rede voltada para os clientes. A principal consideração operacional é a segmentação de VLAN - garanta que o tráfego de convidados nunca toca no mesmo segmento de rede que a sua infraestrutura de pagamentos. Este é um requisito do PCI-DSS independentemente da versão do WPA, mas o WPA3 torna a camada sem fios dessa segmentação significativamente mais robusta. Deixe-me orientá-lo através de um cenário de implementação específico. Um grupo hoteleiro de 500 quartos com doze propriedades pretende migrar de WPA2 para WPA3. Eis como eu abordaria o assunto. A fase um é a avaliação. Audite as versões de firmware dos seus pontos de acesso em todos os doze locais. A maioria dos AP de classe empresarial dos principais fabricantes - Cisco, Aruba, Ruckus, Ubiquiti - suporta WPA3 desde 2019 ou 2020 através de atualizações de firmware. Poderá não necessitar de hardware novo. Simultaneamente, audite o seu parque de dispositivos cliente. O WPA3 requer suporte do lado do cliente. Dispositivos iOS e Android modernos suportam-no desde 2019. O Windows 10 versão 1903 e posteriores também o suportam. O desafio reside no IoT legado - smart TVs, sistemas de controlo de salas mais antigos, portáteis mais antigos. Estes precisarão de se ligar através do modo de transição WPA2. A fase duas é a implementação do modo de transição. O Modo de Transição WPA3 permite que um SSID suporte simultaneamente clientes WPA2 e WPA3. Esta é a sua pista de migração. Implemente-o em todas as propriedades, monitorize quais os dispositivos que se ligam via WPA3 versus WPA2 e utilize esses dados para identificar a sua cauda de dispositivos legados. Tipicamente, no prazo de seis a doze meses, a grande maioria dos dispositivos de convidados estará a ligar-se nativamente via WPA3. A fase três é a imposição total do WPA3. Assim que a sua população de dispositivos legados descer abaixo de um limite aceitável - e tiver substituído ou isolado esses dispositivos - poderá desativar completamente o WPA2 nos SSID de convidados. Neste ponto, cada ligação é protegida por SAE e segredo de encaminhamento. A camada de análise é importante aqui. A plataforma Purple WiFi Analytics oferece-lhe visibilidade sobre tipos de ligação, categorias de dispositivos e dados de sessão que o ajudam a acompanhar o progresso da migração em todo o seu parque. Pode ver, propriedade por propriedade, qual a percentagem de ligações compatíveis com WPA3, o que informa o seu cronograma para a fase três. Agora, os problemas comuns. Existem algumas situações que complicam sistematicamente as implementações de WPA3. A primeira é a inundação de tráfego de confirmação SAE. Algumas implementações iniciais de WPA3 eram vulneráveis a ataques de negação de serviço que visavam o processo de handshake SAE. Certifique-se de que o firmware do seu AP está atualizado - os fabricantes corrigiram isto em 2019 e 2020. Isto não é motivo para evitar o WPA3; é um motivo para manter o firmware atualizado, o que deve fazer de qualquer forma. A segunda é o desempenho em modo misto. No modo de transição, o ponto de acesso tem de processar handshakes WPA2 e WPA3. Em implementações de alta densidade - o corredor de um estádio, um centro de conferências durante um grande evento - isto pode adicionar uma sobrecarga marginal. Na prática, em hardware moderno, isto é insignificante. Mas se estiver a utilizar pontos de acesso muito antigos, tenha isso em conta no seu planeamento de capacidade. A terceira é a compatibilidade do Captive Portal com OWE. Algumas implementações mais antigas de Captive Portal não processam o OWE corretamente, porque foram concebidas partindo do princípio de redes abertas. Se estiver a utilizar uma plataforma como a Purple, isto é tratado por si. Se estiver a executar um portal personalizado, teste-o explicitamente com clientes compatíveis com OWE antes de o implementar. Vamos fazer uma sessão rápida de perguntas e respostas sobre as questões que ouço com mais frequência. "O WPA3 abranda a minha rede?" Não. O handshake SAE adiciona alguns milissegundos à associação inicial. Uma vez ligado, o débito é idêntico. A alteração do cifrador de encriptação de CCMP para GCMP apresenta, na verdade, um melhor desempenho em hardware moderno. "Preciso de novos pontos de acesso?" Provavelmente não. A maioria dos APs empresariais fabricados após 2018 suporta WPA3 via firmware. Verifique as notas de lançamento do seu fabricante. "E quanto aos dispositivos IoT que não suportam WPA3?" Coloque-os num SSID dedicado a correr WPA2, isolado na sua própria VLAN. Esta é uma prática padrão de segmentação de rede. "O WPA3 é obrigatório?" Ainda não universalmente, mas a Wi-Fi Alliance exige a certificação WPA3 para todos os novos dispositivos desde julho de 2020. A pressão regulatória está a aumentar, particularmente na UE ao abrigo do Regulamento do Ciberajuste. Antecipar-se agora é a decisão correta. "O WPA3 substitui a necessidade de uma VPN?" Para o tráfego corporativo interno, não - a VPN continua a ser a melhor prática para acesso remoto. Para o tráfego de convidados, o WPA3 com OWE reduz significativamente o perfil de risco das redes abertas, mas os convidados que realizem transações pessoais sensíveis devem continuar a ser aconselhados a utilizar a sua própria VPN. Em resumo. O WPA3 não é uma atualização opcional - é uma melhoria significativa na arquitetura de segurança que aborda vulnerabilidades reais e documentadas do WPA2. O SAE elimina os ataques de dicionário offline. O segredo de reencaminhamento protege o tráfego histórico. O OWE encripta redes abertas sem fricção. O modo empresarial de 192 bits cumpre os requisitos para indústrias regulamentadas. Para operadores de espaços e equipas de TI, o caminho de migração é claro: comece com uma auditoria de firmware, implemente o modo de transição, monitorize os seus dispositivos antigos e planeie a aplicação total do WPA3 dentro de doze a dezoito meses. Integre a sua plataforma de WiFi de convidados - quer seja a Purple ou outra solução - sobre o WPA3 para obter tanto a segurança sem fios como as capacidades de captura de dados, gestão de consentimentos e analítica que as suas equipas de marketing e operações necessitam. Se quiser aprofundar a comparação entre WPA, WPA2 e WPA3 em todas as suas variantes, a Purple tem um guia dedicado em purple.ai que percorre todo o histórico de protocolos e a estrutura de decisão para escolher o padrão certo para cada caso de utilização. Obrigado por ouvir. Se considerou isto útil, partilhe-o com o seu arquiteto de rede ou gestor de TI. As decisões que tomar sobre segurança sem fios este ano irão definir a sua postura de risco para a próxima década. Esta foi uma Apresentação Técnica da Purple. Visite purple.ai para saber mais sobre soluções empresariais de WiFi de convidados e analítica.