A Wi-Fi Alliance agora exige que todos os novos dispositivos Wi-Fi CERTIFIED suportem a segurança WPA3. Em 2021, a indústria viu uma maior adoção do WPA3 em mais dispositivos, redes e ambientes – incluindo ambientes sensíveis como governos e instituições financeiras. O número de dispositivos conectados à Internet, incluindo máquinas, sensores e dispositivos domésticos inteligentes, deverá atingir 41,6 bilhões nos próximos quatro anos.
Com o aumento do número de dispositivos e da adoção do Wi-Fi, existe uma necessidade implícita de melhor segurança. É uma prática comum hoje usar dispositivos pessoais como telefones celulares, tablets, etc., de forma intercambiável entre casa e escritório. Os requisitos de segurança e as restrições associadas para redes empresariais e pessoais são diferentes. Os usuários inserem a senha para acessar implantações de rede doméstica enquanto estão na empresa. Eles usam métodos de segurança mais fortes que exigem nome de usuário e senha ou certificados.
Tais restrições e mudanças no uso levaram a uma evolução nos padrões de segurança sem fio.
Evolução WPA3
O Wi-Fi Protected Access (WPA) evoluiu ao longo de muitos anos. A Wi-Fi Alliance começou a trabalhar no WPA3 para contornar as vulnerabilidades surgidas na segurança do WPA2.
No início de 2018, a Wi-Fi Alliance anunciou os novos aprimoramentos de segurança para o Wi-Fi Protected Access sob a égide do WPA3. A segurança WPA3 definiu novos algoritmos de autenticação e criptografia para redes pessoais e empresariais, superando as deficiências do WPA2.
Tecnologia WPA3
Os métodos legados de segurança de Wi-Fi têm diversas opções de segurança para configurar e, portanto, podem levar a operadora a escolher configurações de segurança não ideais.
A segurança WPA3 supera esta limitação e não permite TKIP e WEP. Além disso, as conexões pessoais e empresariais WPA3 requerem obrigatoriamente a negociação PMF (Protected Management Frame). O PMF fornece uma camada adicional de proteção contra ataques de desautenticação e dissociação.
Redes Pessoais
- Para redes pessoais, o WPA3 utiliza autenticação simultânea de iguais (SAE), conforme descrito no padrão IEEE 802.11.
- SAE oferece as seguintes vantagens principais quando comparado ao WPA2 PSK (chave pré-compartilhada):
- Cria um segredo compartilhado que é diferente para cada autenticação SAE.
- Proteção contra ataques de “dicionário” de força bruta e ataques passivos.
- Fornece sigilo de encaminhamento
- Em 2019, o artigo Dragonblood revelou que certas vulnerabilidades teóricas no SAE eram viáveis para serem exploradas na prática, permitindo que um invasor ativo recuperasse a senha usando ataques de canal lateral. Em resposta ao artigo Dragonblood, o IEEE 802.11 atualizou o SAE definindo um novo método “Hash-to-Element” (H2E), como uma alternativa opcional ao método “Hunting-and-Pecking” existente para o PWE (Password Element) secreto. derivação usada na autenticação SAE. H2E é significativamente mais eficiente computacionalmente e oferece resistência robusta a ataques de canal lateral.
Redes empresariais
- O modo WPA3-Enterprise de 192 bits é adequado para implantações em ambientes empresariais sensíveis para proteger ainda mais redes Wi-Fi com requisitos de segurança mais elevados, como governamentais, de defesa e industriais. Esse nível de segurança fornece criptografia consistente e elimina a “mistura e correspondência de protocolos de segurança” definidos no padrão 802.11.
- Recentemente, para o modo somente WPA3-Enterprise, a aliança Wi-Fi também adicionou restrições para evitar o uso de gerenciamento de chave de autenticação IEEE 802.1X com SHA-1 e, assim, levando as operadoras a usar pelo menos IEEE 802.1X com SHA-256 para melhor segurança.
Modos de transição WPA3
- Facilidade de atualização de rede – Os dispositivos WPA2 já existem há muitos anos em redes Wi-Fi e, portanto, era importante ter um modo de implantação onde os dispositivos WPA2 e WPA3 pudessem coexistir. Isso certamente ajuda as redes Wi-Fi a migrar gradualmente de WPA2 para redes baseadas em WPA3. A aliança Wi-Fi introduziu os modos de transição WPA3 para redes pessoais e empresariais. Com o modo de transição ativado no SSID, os dispositivos com suporte WPA2 e WPA3 podem se conectar simultaneamente, abrindo caminho para a migração gradual do sistema de eco do dispositivo de WPA2 para WPA3.
- Desativação de transição – Com a facilidade acima de atualização de rede usando o modo de transição, surge o desafio de segurança das STAs (estações) WPA3 que sofrem ataques de downgrade. Os invasores podem forçar o downgrade de STAs WPA3 para usar o WPA2 e tecnologias vulneráveis de segurança legadas. Para contornar este problema, a aliança Wi-Fi introduziu a indicação “Transition Disable” usando qual AP e operadora de rede podem atualizar STAs WPA3 para que a rede esteja totalmente atualizada para suportar o algoritmo mais seguro definido em um modo de transição. A indicação Transition Disable é usada (no handshake de 4 vias durante a associação) para desabilitar os modos de transição para aquela rede em uma STA e, portanto, fornecer proteção contra ataques de downgrade. Os STAs ao receberem esta indicação desabilitarão o uso de WEP, TKIP e não permitirão a associação sem negociação do PMF.
Abertura aprimorada
- Em locais públicos como restaurantes e shopping centers, as redes Wi-Fi costumam ser “abertas” – às vezes diretamente, às vezes com base em uma simples página de inscrição na web. Em redes “abertas”, o bisbilhoteiro tem visibilidade do tráfego Wi-Fi não criptografado. Será melhor se tivermos o tráfego Wi-Fi criptografado, embora da perspectiva do usuário a interface ou a facilidade de uso permaneçam as mesmas. Para tais implantações, a aliança Wi-Fi introduziu o Enhanced Open, que usa Opportunistic Wireless Encryption (OWE) para criptografar o tráfego com base na troca de chaves Diffie Hellman feita como parte da Associação. Inicialmente, o OWE foi comercializado com melhorias de segurança WPA3, mas agora possui certificação Enhanced Open separada.
Adoção WPA3
WPA3 tornou-se obrigatório para implantações de Wi-Fi 6E. Os usuários verão o lançamento mundial de dispositivos Wi-Fi 6E à medida que vários fornecedores adotarem 6 GHz. Até sete canais super amplos de 160 MHz podem ser usados com esse espectro recém-disponível, desencadeando o desenvolvimento e a inovação para aplicações de maior largura de banda, incluindo comunicações unificadas, AR/VR e até mesmo vídeo holográfico. Novos casos de uso surgirão para apoiar a telemedicina, a aprendizagem virtual e a telepresença que dependem dos benefícios de velocidade e latência do Wi-Fi 6E. Todas essas implantações utilizarão os aprimoramentos de segurança WPA3.
Site Survey Wireless ajudando clientes com implantações WPA3
A Site Survey Wireless fornece soluções completas para WPA3 com parcerias como Cisco, Fortinet, Aruba que suportam um conjunto abrangente de recursos WPA3. Isto também é suportado na geração anterior de pontos de acesso e controladores, nomeadamente pontos de acesso e controladores wireless.
- Pontos de acesso, controladores de LAN sem fio suportam WPA3 para redes pessoais e empresariais e suportam Enhanced Open (OWE). Os clientes já estão migrando com satisfação para a segurança WPA3.
- Os sensores também suportam WPA3 e desempenharão um papel crítico nas implantações WPA3, pois as operadoras podem executar testes sob demanda e programados com sensores conectados como clientes WPA3, executando diferentes casos de uso WPA3 e isolando antecipadamente quaisquer problemas de conectividade de rede relativos ao WPA3. Esses testes são úteis durante as atualizações de software do controlador wireless e do ponto de acesso e na realização periódica de testes no ambiente de rede do cliente.
Resumo
O WPA3 trouxe melhorias de segurança significativas e é fundamental para a atualização das redes usando a segurança WPA3. O Wi-Fi 6E e a Wi-Fi Alliance que exigem o WPA3 para todos os novos dispositivos com certificação Wi-Fi serão fatores críticos para a adoção do WPA3.
Se você tem um projeto Wi-Fi e precisa de ajuda nos requisitos de segurança, faça contato com a nossa equipe de especialistas.
