Autenticação Pessoal e Corporativa

WPA2 e WPA3 têm dois modos de autenticação: Pessoal e Empresarial. O modo Pessoal usa uma única senha compartilhada por todos; o modo Empresarial fornece a cada usuário suas próprias credenciais, verificadas por um servidor central. Esta lição explica a diferença, como cada modo funciona e quando escolher um em vez do outro — um tema que aparece regularmente no exame Network+.

O modo Pessoal, também chamado de PSK (chave pré-compartilhada), usa uma única senha que todos que se conectarem deverão inserir. A senha do Wi-Fi doméstico na etiqueta do seu roteador é uma PSK. É simples de configurar e ideal para residências e pequenos escritórios. Todos compartilham o mesmo segredo, e conhecê-lo é tudo o que é necessário para entrar na rede.

A chave compartilhada também é o ponto fraco. Se uma pessoa divulgar a senha, qualquer um poderá entrar e, para revogar o acesso, será necessário mudar a senha para todos e reconfigurar cada device. Não há uma identidade por usuário, portanto não é possível saber quem é quem nem desabilitar um único usuário. Para um pequeno grupo de pessoas de confiança, isso é suficiente; para uma empresa, não é escalável.

O modo Empresarial usa autenticação 802.1X, fornecendo a cada usuário seu próprio nome de usuário e senha (ou certificado), em vez de uma única chave compartilhada. Quando um usuário se conecta, suas credenciais são verificadas em um servidor central de autenticação antes que o acesso seja concedido. Não há uma única senha de Wi-Fi para compartilhar ou divulgar; cada pessoa se autentica individualmente com sua própria identidade.

A autenticação empresarial depende de um servidor RADIUS (Remote Authentication Dial-In User Service). O ponto de acesso encaminha as credenciais de cada usuário ao servidor RADIUS, que as verifica em um diretório e informa ao AP se deve permitir ou negar a conexão. O RADIUS é o cérebro central que possibilita o login de Wi-Fi por usuário em muitos pontos de acesso de uma organização.

No 802.1X, três funções trabalham em conjunto: o suplicante (o device do usuário), o autenticador (o ponto de acesso ou switch) e o servidor de autenticação (RADIUS). O suplicante envia as credenciais, o autenticador as retransmite e o servidor decide. Eles se comunicam usando EAP (Protocolo de Autenticação Extensível), uma estrutura flexível que oferece suporte a senhas, certificados e outros métodos.

O modo Empresarial é a melhor opção para organizações. É possível desabilitar um usuário sem afetar ninguém, ver quem se conectou, aplicar políticas por usuário e evitar um único segredo compartilhado que possa ser facilmente divulgado. Ele se integra aos diretórios de usuários existentes, permitindo que os funcionários usem o mesmo login que já possuem. Essa responsabilização e esse controle individuais são exatamente o que as empresas precisam para ter um Wi-Fi seguro e gerenciável.

O custo do modo Empresarial é a complexidade. É necessário configurar e manter um servidor RADIUS e integrá-lo a um diretório de usuários, um trabalho muito maior do que inserir uma PSK. Para uma residência ou um escritório muito pequeno, essa sobrecarga não vale a pena. A escolha é um equilíbrio: Pessoal para simplicidade; Empresarial para escala, controle e responsabilização.

Use Pessoal (PSK) em residências e redes pequenas, onde seja aceitável compartilhar uma senha entre usuários de confiança. Use Empresarial (802.1X com RADIUS) em empresas, escolas e qualquer ambiente que exija logins por usuário, revogação individual e responsabilização. Ambos podem funcionar com WPA2 ou WPA3, portanto é possível escolher o padrão de criptografia e o modo de autenticação de forma independente.

A autenticação empresarial pode usar diferentes métodos EAP. PEAP e EAP-TTLS verificam os usuários com um nome de usuário e uma senha dentro de um túnel protegido, sendo essa a abordagem mais comum. O EAP-TLS usa certificados digitais tanto no cliente quanto no servidor para oferecer a autenticação mais forte e sem senha, embora exija o gerenciamento de certificados. Não é necessário conhecer todos os detalhes; basta saber que EAP é a estrutura flexível e que o EAP-TLS baseado em certificados é a opção mais segura.

A escolha entre Pessoal e Empresarial define como o acesso sem fio será gerenciado. O modo Pessoal usa uma única chave compartilhada, sendo simples, mas sem controle por usuário. O modo Empresarial usa 802.1X e um servidor RADIUS para fornecer credenciais individuais, responsabilização e revogação fácil. Conhecer as funções — suplicante, autenticador e servidor de autenticação — e o termo PSK é essencial para o conhecimento sobre autenticação sem fio no Network+.

WPA2/WPA3 oferecem dois modos. Pessoal (PSK) usa uma única senha compartilhada, sendo simples para residências, mas sem identidade por usuário e com revogação trabalhosa. O modo Empresarial usa 802.1X com um servidor RADIUS, para que cada usuário tenha credenciais individuais, possibilitando responsabilização e revogação fácil. As funções do 802.1X são suplicante (device), autenticador (AP) e servidor de autenticação (RADIUS), que se comunicam por meio de EAP. Escolha Pessoal para simplicidade e Empresarial para escala e controle.