Redes Sem Fio (Wi-Fi)

As redes sem fio (Wi-Fi) são tratadas pelas fontes como um ambiente específico de alta relevância devido à sua flexibilidade e ampla adoção, mas que apresenta desafios críticos de segurança por utilizar o espaço livre como meio de transmissão. Diferente das redes cabeadas, onde o sinal é enclausurado, o sinal wireless propaga-se pelo ar, permitindo que qualquer pessoa com uma antena possa interceptar a comunicação caso não existam proteções adequadas.

Abaixo, detalho o que as fontes descrevem sobre este ambiente, padrões IEEE 802.11, mecanismos de segurança modernos e práticas recomendadas.

1. Classificação e Padrões

As redes wireless podem ser classificadas pela sua abrangência, como as WPAN (pessoais, ex: Bluetooth), WLAN (locais, ex: Wi-Fi), WMAN (metropolitanas, ex: WiMAX) e WWAN (remotas). O padrão Wi-Fi (IEEE 802.11) evoluiu através de diversas versões, com taxas de transferência, frequências e modulações cada vez mais eficientes.

Evolução dos Padrões 802.11

Modulações Básicas

• DSSS (Direct Sequence Spread Spectrum): usado em 802.11/b, espalha o sinal por uma banda larga com chip code.
• FHSS (Frequency Hopping Spread Spectrum): salta entre frequências em padrão pseudoaleatório; legado.
• OFDM (Orthogonal Frequency-Division Multiplexing): divide o canal em múltiplas subportadoras ortogonais; usado de 802.11a em diante.
• OFDMA: evolução do OFDM (Wi-Fi 6/7) que permite atender múltiplos usuários simultaneamente em subconjuntos distintos de subportadoras.

2. Frequências e Canais

3. Identificadores: SSID, BSSID e ESSID

• SSID (Service Set Identifier): nome amigável da rede (até 32 bytes ASCII), ex: CORP-WIFI.
• BSSID (Basic SSID): endereço MAC do AP (Access Point) que entrega o SSID; é o identificador L2 da célula.
• ESSID (Extended SSID): nome lógico compartilhado por múltiplos APs em uma ESS (Extended Service Set), permitindo roaming contínuo.

4. Riscos nos Hotspots

Um cenário específico comum é o hotspot, local público (cafés, aeroportos) onde o Wi-Fi é oferecido gratuitamente. As fontes alertam que muitas dessas redes são montadas com padrões de fábrica, tornando-as imunes a poucos tipos de ataque e facilitando a interceptação de credenciais e dados sensíveis por cibercriminosos.

Ameaças Comuns em Wi-Fi

• Rogue AP: AP falso que imita SSID legítimo para capturar credenciais (evil twin).
• WEP/WPA crack: quebra de chave compartilhada (WEP em segundos; WPA-PSK via dicionário).
• KRACK (Key Reinstallation Attack): explora falha no 4-way handshake WPA2 (CVE-2017-13077).
• Deauthentication: frame de gestão não autenticado permite derrubar clientes legítimos.
• Packet Sniffing: captura passiva em WPA2 PSK quando handshake inicial é observado.
• Beacon Flood / Authentication Flood: ataques DoS na camada de gestão 802.11.

5. Mecanismos de Proteção e Configuração

Para mitigar os riscos, as fontes recomendam a combinação de diversos parâmetros de segurança:

• SSID (Service Set Identifier): É o nome da rede. Alterar o SSID padrão e, em alguns casos, ocultá-lo (desativando o broadcast) é uma prática recomendada para dificultar que a rede seja encontrada por usuários não autorizados.
• Filtragem por Endereço MAC: Como cada interface de rede possui um identificador físico único de 48 bits, é possível cadastrar no roteador apenas as máquinas autorizadas a se conectar. (Atualmente bypassável por MAC spoofing, não deve ser usado como única proteção.)
• Escolha de Canais: Em frequências de 2,4GHz, os canais costumam se sobrepor, prejudicando o rendimento. Os canais 1, 6 e 11 são apontados como os melhores para operação por não apresentarem sobreposição direta entre si.

6. Evolução da Criptografia

A criptografia é essencial para garantir que, se um sinal for interceptado, o conteúdo permaneça ininteligível.

• WEP (Wired Equivalent Privacy): Primeiro padrão utilizado, hoje considerado obsoleto e vulnerável, pois diversas ferramentas (Aircrack-ng) podem descobrir sua chave facilmente.
• WPA (Wi-Fi Protected Access): Criado para substituir o WEP, utiliza chaves dinâmicas que mudam constantemente (TKIP), dificultando invasões.
• WPA2 (AES): É a versão mais robusta, utilizando o algoritmo AES (Advanced Encryption Standard). É o padrão recomendado para organizações que exigem altos níveis de segurança, sendo compatível com autenticação de nível industrial via servidores Radius e o padrão 802.1x.
• WPA3: Introduz SAE (Simultaneous Authentication of Equals) que substitui o 4-way handshake PSK, oferecendo proteção contra ataques de dicionário offline. Versões WPA3-Personal (SAE) e WPA3-Enterprise (192-bit GCMP-256).

7. Recursos Modernos: PMF, OWE e Roaming

• PMF (Protected Management Frames, 802.11w): criptografa quadros de gestão (deauth/disassoc), mitigando ataques de Deauth.
• OWE (Opportunistic Wireless Encryption, RFC 8110 / Wi-Fi Alliance): criptografia individual por dispositivo mesmo em redes abertas, usando Diffie-Hellman (RFC 7748 - Curve25519).
• 802.11r (Fast BSS Transition): roaming rápido — reduz handshakes durante transição entre APs.
• 802.11k (Radio Resource Measurement): o cliente recebe relatórios de vizinhos para decidir melhor AP-alvo.
• 802.11v (BSS Transition Management): o AP sugere ao cliente trocar de AP para balancear carga e melhorar sinal.

8. Integração com VPN e 802.1X

Para profissionais que trabalham em ambientes residenciais ou remotos, a segurança do Wi-Fi local pode não ser suficiente para acessar dados corporativos. Nesses casos, as fontes sugerem o uso de VPN (Virtual Private Network), que cria um túnel criptografado sobre a rede Wi-Fi, garantindo que o tráfego permaneça seguro mesmo se a infraestrutura sem fio for comprometida.

Em ambientes corporativos, recomenda-se o uso de WPA2/WPA3 Enterprise com 802.1X/EAP (TLS, TTLS, PEAP), integrado a um servidor RADIUS (FreeRADIUS, Cisco ISE, Microsoft NPS), garantindo identidade individual por usuário e certificado.

9. Boas Práticas de Hardening

• Usar WPA3-SAE ou, no mínimo, WPA2-AES com senhas longas (>=16 caracteres).
• Desabilitar WPS (Wi-Fi Protected Setup) — vulnerável a ataque Pixie Dust (CVE-2014-6362).
• Desabilitar UPnP no AP.
• Habilitar PMF (802.11w) sempre que suportado.
• Segmentar rede de visitantes (Guest SSID isolado, com captive portal e VLAN separada).
• Atualizar firmware do AP periodicamente (CVEs comuns em dispositivos consumer-grade).
• Usar WIDS/WIPS (Wireless IDS/IPS) para detecção de APs rogue.

10. Conclusão

O Wi-Fi tornou-se o meio de acesso dominante a redes IP, mas sua natureza de rádio traz desafios únicos de confidencialidade, integridade e disponibilidade. A evolução dos padrões IEEE 802.11 — de 802.11b a 802.11be (Wi-Fi 7) — foi acompanhada por uma evolução equivalente na segurança, do WEP vulnerável a WPA3 com SAE e OWE. Para uso corporativo, recomenda-se sempre WPA3 (ou WPA2 com 802.1X), PMF habilitado, segmentação de visitantes e, quando o nível de confiança for insuficiente, complemento com VPN para acesso a recursos críticos.