Modo WPA3 Enterprise de 192 bits em casa

Artigo original ↗ Discussão no Hacker News ↗

Buscar Wi‑Fi “nível NSA” em casa com WPA3 Enterprise, EAP‑TLS e criptografia CNSA alinhada a 192 bits cria uma troca entre autenticação forte e complexidade do mundo real. Os comentários observam que, embora Wi‑Fi baseado em certificados com RADIUS, VLANs e identidades por dispositivo possa melhorar a segurança e a segmentação — especialmente para empresas e usuários avançados — ele é frágil se terceirizado para provedores de AAA em nuvem, difícil de provisionar em dispositivos de consumo e IoT, e muitas vezes exagerado em comparação com modelos mais simples como WPA3‑Personal mais VPNs e isolamento de rede. Muitos argumentam que a prioridade mais prática para redes domésticas é uma configuração robusta do roteador, segmentação de convidados e IoT, e tratar a LAN como não confiável, em vez de depender apenas de protocolos Wi‑Fi cada vez mais intrincados.

Segmentação da rede doméstica e tratamento de IoT

  • Muitos usam múltiplos SSIDs no mesmo AP com VLANs: por exemplo, principal, convidado, IoT, trabalho, crianças.
  • Padrões comuns:
    • IoT em sua própria VLAN/SSID, muitas vezes sem acesso à internet ou com acesso fortemente filtrado, e sem acesso de volta à LAN confiável.
    • SSIDs de convidado com isolamento de clientes e sem acesso à LAN; alguns ainda permitem que convidados transmitam para TVs via mDNS/relays de broadcast.
    • Alguns tratam a LAN como não sensível e confiam em segurança de camadas superiores em vez disso.
  • A segmentação também é usada para evitar rotacionar credenciais de IoT quando as senhas de convidados mudam e para impedir que dispositivos em nuvem “liguem para casa”.

WPA3 Enterprise / EAP-TLS vs PSK

  • EAP-TLS é elogiado por autenticação forte e resistência a “evil twin” / MITM em comparação com EAP baseado em senha, como PEAP.
  • Ele מאפשר identidade por dispositivo, política e atribuição dinâmica de VLAN a partir de um único SSID.
  • Limitações observadas:
    • Não impede inerentemente spoofing de MAC; a RFC5216 não tem channel binding.
    • Alguns APs supostamente tratam mal o RADIUS (por exemplo, spoofing de ARP do IP do RADIUS), levando a vulnerabilidades graves.
    • RADIUS hospedado pode tornar o WiFi inutilizável quando a WAN/ISP falha.

Multi-PSK, credenciais por dispositivo e VLANs

  • Multi-PSK/PPSK por SSID é valorizado para microsegmentação e atribuição, especialmente para BYOD.
  • Fornecedores enterprise suportam isso amplamente; a Unifi adicionou recentemente PPSK baseado em WPA2.
  • O suporte a WPA3 + PPSK é limitado; alguns recomendam simplesmente múltiplos SSIDs para WPA3.
  • O hostapd já suporta múltiplas senhas PSK/SAE, por MAC, e mapeamento por VLAN.

Confiança, CAs e serviços hospedados

  • Há um forte debate em torno do uso, no artigo, de um RADIUS + CA em nuvem:
    • Críticos se preocupam em confiar em uma CA raiz externa, na viabilidade de SaaS a longo prazo e na falta de aviso sobre riscos de CA raiz.
    • Defensores argumentam que a maioria das organizações se beneficia ao terceirizar PKI/RADIUS complexos e observam que existem opções locais/open source.
  • O uso de CAs públicas (por exemplo, ACME) versus PKI interna é controverso; alguns veem raízes internas como mais seguras, outros como operacionalmente frágeis.

Compatibilidade, limitações do WPA3 e valor prático

  • Muitos dispositivos de consumo/IoT não têm WPA3 ou suporte a WPA-Enterprise; PMF e modos mistos WPA2/3 frequentemente quebram equipamentos antigos.
  • Alguns veem WPA3/WPA3-Enterprise em casa como exagero ou uma “muleta de segurança”, preferindo tratar todo WiFi como não confiável e confiar em TLS/VPN (por exemplo, WireGuard) para proteção real.
  • Outros veem uma autenticação WiFi robusta e segmentação como uma primeira camada razoável, especialmente contra IoT e convidados não confiáveis.

Provisionamento, UX e recursos ausentes

  • O provisionamento de certificados e a interface de confiança do cliente (especialmente em dispositivos móveis) são amplamente vistos como a principal barreira para EAP-TLS em casa.
  • Desejo por: fluxos de onboarding por dispositivo, certificados de curta duração, políticas nativas de WiFi por conta e um mecanismo padrão de provisionamento no WPA3.
  • O WPS é citado como um exemplo de uma boa ideia com segurança/implementação ruins; esquemas interativos de aprovação propostos correm o risco de DoS por tentativas repetidas de conexão.