A segurança de redes sem fio (wireless) é um componente crítico da segurança da informação moderna, pois essas redes são inerentemente mais vulneráveis a ataques do que redes cabeadas. O sinal de rádio pode ser capturado por qualquer pessoa dentro do alcance, facilitando a interceptação de dados, a inserção de pacotes maliciosos e o acesso não autorizado. Nesta aula, vamos explorar os principais protocolos de segurança, os riscos associados a pontos de acesso não autorizados, os métodos de autenticação e as práticas de monitoramento para proteger redes Wi-Fi.

Abordaremos desde os fundamentos do WPA2 e as inovações do WPA3, passando pela identificação e mitigação de rogue access points, até as técnicas de autenticação e monitoramento contínuo. Ao final, você terá uma visão abrangente para implementar e manter uma rede sem fio segura.

WPA2/WPA3

O WPA2 (Wi-Fi Protected Access 2) é o protocolo de segurança mais amplamente adotado para redes Wi-Fi, introduzido em 2004. Ele utiliza o padrão IEEE 802.11i e oferece criptografia robusta através do AES (Advanced Encryption Standard) e do protocolo CCMP (Counter Mode CBC-MAC Protocol). O WPA2 suporta dois modos: Personal (PSK - Pre-Shared Key), onde uma senha compartilhada é usada para autenticação, e Enterprise (802.1X), que utiliza um servidor RADIUS para autenticação individual de usuários. Apesar de ser seguro, o WPA2 tem vulnerabilidades conhecidas, como o ataque KRACK (Key Reinstallation Attack), que explora o processo de handshake de 4 vias para reutilizar chaves e descriptografar o tráfego.

O WPA3, lançado em 2018, é a evolução do WPA2, trazendo melhorias significativas. Ele substitui o PSK por um protocolo de autenticação mais robusto chamado SAE (Simultaneous Authentication of Equals), que é resistente a ataques de dicionário offline. O WPA3 também oferece criptografia de 192 bits no modo Enterprise, protegendo redes corporativas com requisitos mais altos de segurança. Além disso, o WPA3 proporciona forward secrecy, garantindo que, mesmo que uma chave seja comprometida, as sessões anteriores permaneçam seguras. Para redes abertas, o WPA3 introduz o OWE (Opportunistic Wireless Encryption), que criptografa o tráfego mesmo sem senha, protegendo contra espionagem.

Para implementar o WPA3, é necessário que tanto o roteador quanto os dispositivos clientes suportem o protocolo. Em ambientes mistos, é possível configurar modos de transição, onde a rede opera com WPA2 e WPA3 simultaneamente, mas isso pode reduzir a segurança. A recomendação é migrar completamente para WPA3 quando todos os dispositivos forem compatíveis.

# Exemplo de configuração de WPA3 em um roteador (interface de linha de comando)
# Supondo um roteador com OpenWrt ou similar

# Habilitar WPA3 no SSID "MinhaRede"
uci set wireless.@wifi-iface[0].encryption='sae'
uci set wireless.@wifi-iface[0].key='SenhaForte123!'
uci commit wireless
wifi reload

# Verificar a configuração
cat /etc/config/wireless

Rogue access points

Um rogue access point (ponto de acesso não autorizado) é um dispositivo sem fio instalado em uma rede corporativa sem a devida autorização, criando uma porta de entrada para ataques. Ele pode ser configurado por um funcionário bem-intencionado, mas sem conhecimento de segurança, ou por um invasor que deseja interceptar tráfego e roubar credenciais. O rogue AP muitas vezes se conecta à rede cabeada, contornando firewalls e outros controles, e transmite um sinal Wi-Fi que parece legítimo, enganando usuários para que se conectem a ele.

Os riscos associados a rogue access points incluem: interceptação de dados (man-in-the-middle), roubo de credenciais, acesso não autorizado à rede interna, e a possibilidade de servir como ponto de entrada para malware. Para mitigar esse risco, é essencial implantar soluções de prevenção e detecção, como sistemas de prevenção de intrusão sem fio (WIPS - Wireless Intrusion Prevention System), que monitoram o espectro de rádio e a rede cabeada para identificar dispositivos suspeitos.

Além disso, políticas de segurança devem proibir a instalação de APs não autorizados, e a equipe de TI deve realizar varreduras periódicas para detectar dispositivos desconhecidos. Ferramentas como o Kismet ou o Aircrack-ng podem ser usadas para auditar a rede e identificar rogues.

# Exemplo de uso do airodump-ng para detectar redes Wi-Fi e possíveis rogues
# O comando abaixo lista todas as redes visíveis, incluindo BSSID e canal
sudo airodump-ng wlan0

# Para identificar rogues, compare os BSSID encontrados com a lista de APs autorizados
# Use o comando grep para filtrar por um BSSID específico
auth_list=$(cat /etc/authorized_aps.txt)
for bssid in $(sudo airodump-ng wlan0 --output-format csv --write - | cut -d, -f1); do
  if ! grep -q "$bssid" "$auth_list"; then
    echo "Possível rogue AP: $bssid"
  fi
done

Autenticação

A autenticação em redes sem fio é o processo de verificar a identidade de um dispositivo ou usuário antes de conceder acesso à rede. Existem dois modelos principais: autenticação de rede aberta, onde qualquer dispositivo pode se associar, e autenticação com chave compartilhada, que exige uma senha ou certificado. No contexto corporativo, o padrão IEEE 802.1X é amplamente utilizado, fornecendo autenticação baseada em portas, onde o dispositivo só obtém acesso à rede após ser autenticado por um servidor RADIUS.

O 802.1X funciona em conjunto com protocolos como EAP (Extensible Authentication Protocol), que permite diferentes métodos de autenticação, incluindo EAP-TLS (baseado em certificados), EAP-PEAP (com túnel TLS e autenticação de senha) e EAP-TTLS. O WPA2/WPA3 Enterprise utiliza esse mecanismo para autenticar cada usuário individualmente, garantindo que apenas pessoas autorizadas acessem a rede. Além disso, a autenticação pode ser combinada com políticas de autorização, como controle de acesso baseado em função (RBAC), para limitar o que cada usuário pode fazer na rede.

Para implementar a autenticação robusta, é recomendável usar certificados digitais para dispositivos gerenciados, evitando o uso exclusivo de senhas que podem ser comprometidas. Também é importante configurar o servidor RADIUS com políticas de senha fortes e renovação periódica de credenciais.

# Exemplo de configuração de autenticação 802.1X em um roteador OpenWrt
# Usando hostapd com EAP-PEAP

# Instalar hostapd
opkg update
opkg install hostapd

# Configurar /etc/hostapd.conf
interface=wlan0
ssid=EmpresaWiFi
wpa=2
wpa_key_mgmt=WPA-EAP
ieee8021x=1
auth_server_addr=192.168.1.10
auth_server_port=1812
auth_server_shared_secret=SecretRADIUS

# Reiniciar o serviço
/etc/init.d/hostapd restart

Monitoramento

O monitoramento contínuo de redes sem fio é essencial para detectar ataques, comportamentos anômalos e falhas de segurança. Isso envolve a coleta e análise de dados de tráfego, logs de eventos e informações de dispositivos conectados. Ferramentas de monitoramento podem ser divididas em duas categorias: passivas, que apenas escutam o tráfego, e ativas, que enviam sondas para verificar a rede.

Um sistema de monitoramento eficaz deve incluir: detecção de intrusões (IDS), que analisa pacotes em busca de assinaturas de ataques; monitoramento de espectro, que identifica interferências e canais congestionados; e análise de comportamento, que identifica desvios em relação ao padrão normal de uso. Além disso, é importante manter logs centralizados e correlacionar eventos de diferentes fontes para obter uma visão completa da segurança.

Ferramentas como Wireshark para análise de pacotes, Kismet para detecção de redes e Aircrack-ng para auditoria são amplamente utilizadas. Em ambientes corporativos, soluções como Cisco Prime Infrastructure ou Aruba AirWave oferecem monitoramento centralizado e alertas em tempo real.

# Exemplo de monitoramento com tcpdump para capturar tráfego em uma interface wireless
# Capturar pacotes de handshake WPA4
sudo tcpdump -i wlan0 -w captura.pcap

# Analisar a captura com tshark (parte do Wireshark)
tshark -r captura.pcap -Y "eapol" -T fields -e frame.number -e wlan.sa -e wlan.da

Boas práticas e observações finais

Para garantir a segurança de redes sem fio, siga estas boas práticas: sempre use WPA3 ou WPA2 com criptografia AES; desative WPS (Wi-Fi Protected Setup) que possui vulnerabilidades; altere as senhas padrão de administrador dos APs; mantenha o firmware atualizado; e segmente a rede sem fio para convidados em uma VLAN separada. Além disso, implemente políticas de segurança claras e treine os usuários sobre os riscos de se conectar a redes desconhecidas.

Em relação ao monitoramento, estabeleça alertas para eventos como tentativas de autenticação falhas, mudanças na configuração dos APs e presença de novos dispositivos. Realize auditorias periódicas e testes de penetração para avaliar a postura de segurança. Lembre-se de que a segurança wireless é um processo contínuo, não uma solução pontual.

Referências

Exercícios

  1. Explique a diferença entre WPA2 Personal e WPA2 Enterprise.

    ✓ Resposta: O WPA2 Personal utiliza uma chave pré-compartilhada (PSK) que é a mesma para todos os usuários, enquanto o WPA2 Enterprise utiliza autenticação 802.1X com um servidor RADIUS, fornecendo credenciais únicas para cada usuário ou dispositivo. O Enterprise é mais seguro para ambientes corporativos, pois permite revogação individual e políticas mais rígidas.
  2. O que é um rogue access point e quais riscos ele apresenta?

    ✓ Resposta: Um rogue access point é um ponto de acesso não autorizado instalado na rede, criando uma porta de entrada para ataques. Riscos incluem interceptação de tráfego (man-in-the-middle), roubo de credenciais, acesso não autorizado à rede interna e propagação de malware.
  3. Quais são as principais vantagens do WPA3 sobre o WPA2?

    ✓ Resposta: O WPA3 oferece autenticação SAE resistente a ataques de dicionário offline, criptografia de 192 bits no modo Enterprise, forward secrecy, e proteção para redes abertas via OWE. Também simplifica a configuração de dispositivos sem display.
  4. Como o 802.1X contribui para a segurança de redes sem fio?

    ✓ Resposta: O 802.1X fornece autenticação baseada em portas, exigindo que o dispositivo se autentique antes de obter acesso à rede. Ele utiliza EAP e um servidor RADIUS, permitindo autenticação individual, gerenciamento centralizado e políticas de acesso dinâmicas.
  5. Cite duas ferramentas de monitoramento de redes sem fio e explique seu uso.

    ✓ Resposta: Wireshark é um analisador de protocolos que captura e inspeciona pacotes em tempo real, permitindo identificar tráfego suspeito. Kismet é um detector de rede sem fio que identifica APs, clientes e possíveis invasões, além de fornecer informações sobre canais e criptografia.