Guia de Segurança WPA3: SAE, OWE, Enterprise 192-Bit Mode e PMF Explicados

WPA3: A Nova Geração de Segurança WiFi Explicada. Um Briefing Técnico da Purple. Bem-vindo. Se é responsável por uma rede que serve convidados, clientes ou o público, este briefing é para si. Nos próximos dez minutos, vou guiá-lo através do WPA3 — o que realmente muda, por que motivo é importante para a sua organização neste momento e como planear uma migração prática sem perturbar as suas operações. Comecemos pelo contexto. A segurança WiFi tem sido dominada pelo WPA2 desde 2004. Isso são mais de vinte anos. Em termos tecnológicos, é uma eternidade. O WPA2 era sólido para a sua época, mas foi concebido antes de os smartphones se tornarem omnipresentes, antes da explosão dos dispositivos IoT e antes de o panorama de ameaças evoluir para incluir o tipo de ataques de escuta passiva e sofisticada que vemos hoje. A Wi-Fi Alliance ratificou o WPA3 em 2018 e, desde então, a adoção tem vindo a acelerar - particularmente em ambientes empresariais e locais públicos onde os riscos são mais elevados. Então, o que há de novo na verdade? Há quatro mudanças principais que precisa de compreender. Primeiro: Autenticação Simultânea de Iguais, ou SAE. Isto substitui o handshake de Chave Pré-Partilhada que o WPA2 utiliza. O problema com o PSK está bem documentado - se um atacante capturar o handshake de quatro vias entre um cliente e o seu ponto de acesso, pode levar isso para offline e executar ataques de dicionário contra o mesmo indefinidamente. O SAE elimina totalmente esse vetor de ataque. Utiliza uma troca de chaves baseada no estilo Diffie-Hellman, onde ambas as partes provam o conhecimento da palavra-passe sem nunca a transmitir. Mesmo que alguém capture todos os pacotes da sua troca de autenticação, não conseguirá derivar a chave de sessão a partir daí. Esta é uma melhoria arquitetónica fundamental, não apenas um patch incremental. Segundo: Forward Secrecy. Este é indiscutivelmente o benefício operacional mais importante para os operadores de locais. Com o WPA2, se um atacante gravar tráfego encriptado hoje e mais tarde obtiver a palavra-passe da sua rede - através de um funcionário descontente, um ataque de phishing ou uma violação de dados - poderá desencriptar retroativamente tudo o que gravou. Com o SAE do WPA3, cada sessão gera uma chave efémera única. Se a palavra-passe for comprometida amanhã, o tráfego de ontem permanece encriptado. Para ambientes de hotelaria que lidam com dados de pagamento de clientes, ou redes de retalho que processam transações de fidelidade, esta é uma mitigação de risco significativa. Terceiro: Opportunistic Wireless Encryption, ou OWE. Esta é a grande revolução para o WiFi público. Hoje, quando um convidado se liga à sua rede aberta - aquela sem palavra-passe - o seu tráfego é transmitido em texto limpo. Qualquer pessoa com um analisador de pacotes na mesma rede pode lê-lo. O OWE altera isto ao negociar automaticamente uma ligação encriptada entre cada cliente e o ponto de acesso, sem necessidade de palavra-passe e sem qualquer alteração na experiência do utilizador. O convidado continua apenas a clicar em "ligar" - mas a sua sessão está agora encriptada. Isto é o que a Wi-Fi Alliance designa por Enhanced Open, e é diretamente relevante para as obrigações de conformidade do GDPR em matéria de proteção de dados pessoais em trânsito. Quarto: WPA3-Enterprise com segurança de 192 bits. Para organizações em setores regulados - serviços financeiros, saúde, governo - o WPA3-Enterprise introduz um modo de segurança mínimo de 192 bits alinhado com o conjunto Commercial National Security Algorithm. Este utiliza GCMP-256 para encriptação e HMAC-SHA-384 para verificação de integridade, em comparação com o CCMP de 128 bits utilizado no WPA2-Enterprise. Se opera sob o PCI-DSS, HIPAA ou estruturas semelhantes, isto aborda diretamente os requisitos de encriptação de rede sem fios. Agora vamos falar de arquitetura. Como é que uma implementação WPA3 se parece na prática? Para um hotel ou centro de conferências, normalmente utiliza uma implementação dividida. A sua rede corporativa interna executa WPA3-Enterprise com autenticação IEEE 802.1X contra um servidor RADIUS - integração com Active Directory, EAP baseado em certificados, toda a pilha. A sua rede voltada para os convidados executa WPA3-Personal com SAE, ou Enhanced Open com OWE, dependendo de estar a utilizar um Captive Portal para recolha de dados. É aqui que as plataformas como a solução de Guest WiFi da Purple se tornam relevantes. A Purple situa-se entre o ponto de acesso e a internet, gerindo o Captive Portal, o fluxo de consentimento para conformidade com o GDPR e a camada de analítica. Quando sobrepõe o OWE do WPA3 ao portal da Purple, obtém um transporte encriptado do dispositivo para o ponto de acesso, além de um mecanismo de recolha de dados em conformidade acima deste. Os dois funcionam em paralelo - o OWE gere a segurança da camada de rádio, a Purple gere a camada de identidade e consentimento. É uma separação clara de funções. Para ambientes de retalho, o cálculo é ligeiramente diferente. Lida frequentemente com uma mistura de dispositivos corporativos - terminais POS, leitores de inventário - e dispositivos de convidados. WPA3-Enterprise num SSID dedicado para dispositivos corporativos, WPA3-Personal ou OWE para a rede voltada para os clientes. A principal consideração operacional é a segmentação de VLAN - garanta que o tráfego de convidados nunca toca no mesmo segmento de rede que a sua infraestrutura de pagamentos. Este é um requisito do PCI-DSS independentemente da versão do WPA, mas o WPA3 torna a camada sem fios dessa segmentação significativamente mais robusta. Permita-me descrever um cenário de implementação específico. Um grupo hoteleiro de 500 quartos com doze propriedades pretende migrar do WPA2 para o WPA3. Eis como eu abordaria o assunto. A primeira fase é a avaliação. Faça uma auditoria das versões de firmware dos seus pontos de acesso em todos os doze locais. A maioria dos APs de classe empresarial dos principais fabricantes - Cisco, Aruba, Ruckus, Ubiquiti - suporta WPA3 desde 2019 ou 2020 através de atualizações de firmware. Poderá não precisar de novo hardware. Simultaneamente, faça uma auditoria ao parque de dispositivos clientes. O WPA3 requer suporte do lado do cliente. Os dispositivos iOS e Android modernos suportam-no desde 2019. O Windows 10 versão 1903 e posteriores também o suportam. O desafio reside no IoT legado - smart TVs, sistemas de controlo de salas mais antigos, portáteis mais antigos. Estes precisarão de se ligar através do modo de transição WPA2. A segunda fase é a implementação do modo de transição. O Modo de Transição WPA3 permite que um SSID suporte em simultâneo clientes WPA2 e WPA3. Esta é a sua rampa de migração. Implemente-o em todas as propriedades, monitorize quais os dispositivos que se ligam via WPA3 versus WPA2 e utilize esses dados para identificar os seus dispositivos legados restantes. Normalmente, no prazo de seis a doze meses, a grande maioria dos dispositivos de convidados estará a ligar-se nativamente via WPA3. A terceira fase é a aplicação total do WPA3. Assim que a população de dispositivos legados descer abaixo de um limite aceitável - e depois de ter substituído ou isolado esses dispositivos - poderá desativar completamente o WPA2 nos SSIDs de convidados. Neste ponto, cada ligação é protegida por SAE e segredo de encaminhamento. A camada de analítica é importante aqui. A plataforma Purple WiFi Analytics dá-lhe visibilidade sobre os tipos de ligação, categorias de dispositivos e dados de sessão que o ajudam a acompanhar o progresso da migração em todo o seu património. Pode ver, propriedade por propriedade, qual a percentagem de ligações compatíveis com WPA3, o que orienta o seu cronograma para a fase três. Agora, as armadilhas. Existem algumas coisas que prejudicam consistentemente as implementações de WPA3. A primeira é a inundação de tráfego de frames de confirmação SAE. Algumas implementações iniciais de WPA3 eram vulneráveis a ataques de negação de serviço direcionados ao processo de handshake SAE. Certifique-se de que o firmware do seu AP está atualizado - os fabricantes corrigiram isto em 2019 e 2020. Isto não é motivo para evitar o WPA3; é um motivo para manter o firmware atualizado, o que deve fazer de qualquer forma. A segunda é o desempenho em modo misto. No modo de transição, o ponto de acesso tem de processar handshakes WPA2 e WPA3. Em implementações de alta densidade - o átrio de um estádio, um centro de conferências durante um grande evento - isto pode adicionar uma sobrecarga marginal. Na prática, em hardware moderno, isto é insignificante. Mas se estiver a utilizar pontos de acesso muito antigos, considere isso no seu planeamento de capacidade. A terceira é a compatibilidade do Captive Portal com OWE. Algumas implementações mais antigas de Captive Portal não processam o OWE corretamente, porque foram concebidas partindo do princípio de redes abertas. Se estiver a utilizar uma plataforma como a Purple, isto é tratado por si. Se estiver a executar um portal personalizado, teste-o explicitamente com clientes compatíveis com OWE antes de o implementar. Vamos fazer uma sessão de perguntas e respostas rápidas sobre as dúvidas que oiço com mais frequência. "O WPA3 abranda a minha rede?" Não. O handshake SAE adiciona alguns milissegundos à associação inicial. Uma vez estabelecida a ligação, o rendimento é idêntico. A alteração do cifrado de encriptação de CCMP para GCMP apresenta, na verdade, um melhor desempenho em hardware moderno. "Preciso de novos pontos de acesso?" Provavelmente não. A maioria dos APs empresariais fabricados após 2018 suporta WPA3 através de firmware. Verifique as notas de lançamento do seu fabricante. "E quanto aos dispositivos IoT que não suportam WPA3?" Coloque-os num SSID dedicado a correr WPA2, isolado na sua própria VLAN. Esta é uma prática padrão de segmentação de rede. "O WPA3 é obrigatório?" Ainda não o é de forma universal, mas a Wi-Fi Alliance exige a certificação WPA3 para todos os novos dispositivos desde julho de 2020. A pressão regulatória está a aumentar, particularmente na UE ao abrigo do Cyber Resilience Act. Antecipar-se agora é a decisão correta. "O WPA3 substitui a necessidade de uma VPN?" Para tráfego empresarial interno, não - a VPN continua a ser a melhor prática para acesso remoto. Para tráfego de convidados, o WPA3 com OWE reduz significativamente o perfil de risco das redes abertas, mas os convidados que realizem transações pessoais sensíveis devem continuar a ser aconselhados a utilizar a sua própria VPN. Em resumo. O WPA3 não é uma atualização opcional - é uma melhoria significativa na arquitetura de segurança que resolve vulnerabilidades reais e documentadas no WPA2. O SAE elimina os ataques de dicionário offline. O Forward Secrecy protege o tráfego histórico. O OWE encripta redes abertas sem fricção. O modo empresarial de 192 bits cumpre os requisitos para indústrias reguladas. Para operadores de espaços e equipas de TI, o caminho de migração é claro: comece com uma auditoria de firmware, implemente o modo de transição, monitorize os seus dispositivos antigos e planeie a imposição total do WPA3 dentro de doze a dezoito meses. Integre a sua plataforma de guest WiFi - quer seja a Purple ou outra solução - no WPA3 para obter tanto segurança sem fios como a captura de dados, gestão de consentimentos e capacidades analíticas de que as suas equipas de marketing e operações necessitam. Se quiser aprofundar a comparação entre WPA, WPA2 e WPA3 em todas as suas variantes, a Purple dispõe de um guia dedicado em purple.ai que aborda todo o histórico do protocolo e o enquadramento de decisão para escolher a norma correta para cada caso de utilização. Obrigado por ouvir. Se achou este conteúdo útil, partilhe-o com o seu arquiteto de rede ou gestor de TI. As decisões que tomar sobre segurança sem fios este ano irão definir a sua postura de risco para a próxima década. Esta foi uma Apresentação Técnica da Purple. Visite purple.ai para saber mais sobre soluções de analítica e guest WiFi empresarial.