WPA2 e WPA3-Enterprise. WiFi seguro, sem a palavra-passe partilhada.

O WPA-Enterprise é o modo de segurança IEEE 802.11 concebido para organizações. Em vez de uma única palavra-passe partilhada (WPA-Personal), cada utilizador ou dispositivo autentica-se individualmente contra um servidor RADIUS via 802.1X, normalmente com um certificado (EAP-TLS) ou nome de utilizador e palavra-passe (PEAP). Cada sessão recebe uma chave de encriptação única e o acesso pode ser revogado por dispositivo sem interromper o resto da rede.

O WPA3-Enterprise corrige vulnerabilidades conhecidas no WPA2-Enterprise. As alterações mais importantes: a validação do certificado do servidor é agora obrigatória (fecha o vetor de ataque 'evil-twin' que afetava o WPA2), as tramas de gestão são protegidas e o modo opcional Suite B de 192 bits oferece criptografia de nível de defesa. O WPA3-Enterprise é retrocompatível com o WPA2-Enterprise num modo de transição, para que possa atualizar gradualmente.

Estão envolvidas três partes. O suplicante (dispositivo cliente) solicita a ligação. O autenticador (ponto de acesso) mantém o cliente num estado de quarentena e encaminha as suas mensagens EAP para um servidor de autenticação (RADIUS). O servidor RADIUS valida a credencial - certificado, palavra-passe ou token - e indica ao ponto de acesso se deve admitir ou rejeitar. Cada sessão bem-sucedida recebe uma chave de encriptação única derivada da autenticação, pelo que um dispositivo comprometido não pode desencriptar outro.

O EAP-TLS utiliza um handshake TLS com autenticação mútua de certificados. O cliente prova a sua identidade com um certificado de dispositivo, o servidor prova a sua identidade com um certificado de servidor e a chave de sessão é negociada dentro do túnel encriptado. Não existe uma palavra-passe para pescar ou roubar - teria de extrair a chave privada do próprio dispositivo. Para frotas geridas com um MDM, o EAP-TLS é a escolha predefinida correta.

A maioria dos pontos de acesso de nível empresarial lançados a partir de 2020 suporta WPA3-Enterprise no firmware. Normalmente, ativa o WPA3-Enterprise no SSID e mantém o WPA2 como alternativa durante a transição. Os APs mais antigos podem suportar apenas WPA2-Enterprise - estes continuam a ser seguros quando emparelhados com RADIUS na nuvem e EAP-TLS, pelo que raramente é necessária uma atualização total do hardware.

Sim - o WPA-Enterprise é definido em torno de um servidor de autenticação externo, o que na prática significa RADIUS. Pode executá-lo localmente (FreeRADIUS, Microsoft NPS, Cisco ISE) ou consumi-lo como um serviço. O RADIUS-as-a-Service da Purple é a opção alojada na nuvem que a maioria dos clientes escolhe quando não quer operar servidores.

Sim, quando implementado corretamente. Os ataques conhecidos ao WPA2-Enterprise requerem um cliente mal configurado (sem validação de certificado de servidor, que é o que o WPA3 torna obrigatório) ou acesso físico a um dispositivo. Aplicar a validação do certificado do servidor via MDM e utilizar EAP-TLS elimina os riscos práticos. O WPA3-Enterprise continua a ser preferível para o futuro, mas não há razão para migrar em pânico uma implementação WPA2-Enterprise funcional.

Duas boas opções. Primeiro, o iPSK (Identity PSK) atribui a cada dispositivo uma chave pré-partilhada única num único SSID - a experiência de utilizador do WPA-Personal, com a revogação por dispositivo do WPA-Enterprise. Segundo, o MAC Authentication Bypass (MAB) admite endereços MAC conhecidos numa VLAN restrita. A Purple suporta ambos juntamente com WPA2/3-Enterprise na mesma rede.

Sim - não precisa de gerir o seu próprio servidor RADIUS. Por definição, o WPA2-Enterprise requer um servidor de autenticação RADIUS, mas com o Purple RADIUS-as-a-Service esse servidor é alojado na nuvem: basta apontar os seus pontos de acesso para a Purple em vez de configurar o FreeRADIUS, o Microsoft NPS ou o Cisco ISE. Continua a usufruir de 802.1X completo com EAP-TLS ou PEAP integrado com o Microsoft Entra ID, Okta ou Google Workspace, sem necessidade de instalar, atualizar ou manter hardware de autenticação local altamente disponível.

WPA2-Enterprise uses 802.1X with CCMP-128 encryption. WPA3-Enterprise introduces mandatory Protected Management Frames (PMF) to prevent deauthentication attacks, supports 192-bit cryptographic suites (CNSA / Suite B), and eliminates obsolete fallback ciphers.

Yes. Purple Cloud RADIUS replaces legacy Microsoft NPS and FreeRADIUS servers. Your wireless access points authenticate directly via redundant cloud RADIUS endpoints integrated with Microsoft Entra ID, Okta, or Google Workspace.

Purple syncs with Entra ID using SCIM and OAuth 2.0. When an employee logs in via 802.1X or a client certificate, RADIUS checks user status and group membership in Entra ID in real time. Disabling an account in Entra ID revokes WiFi access immediately.