WPA, WPA2, WPA2-Enterprise e WPA3 são gerações sucessivas de protocolos de segurança para redes Wi-Fi, cada uma corrigindo vulnerabilidades críticas da anterior. No contexto de redes corporativas, a escolha entre eles não é preferência técnica, é decisão de gestão de risco. Um protocolo desatualizado expõe dados de colaboradores, clientes e operações a ataques que, em muitos casos, podem ser executados por qualquer pessoa ao alcance do sinal Wi-Fi em minutos.
Toda rede corporativa toma uma decisão de autenticação, mesmo quando ninguém a tomou conscientemente. WPA2-Personal com senha compartilhada é uma decisão. WPA2-Enterprise com 802.1X é outra. E WPA3 é o caminho que endereça o que as duas versões anteriores deixaram em aberto. Este guia detalha o que cada protocolo entrega, onde cada um falha e qual configuração faz sentido para redes com gestão real de identidade, conformidade e múltiplas unidades.
O que é WPA e por que é considerado obsoleto
WPA (Wi-Fi Protected Access) é o protocolo de segurança sem fio lançado em 2003 pela Wi-Fi Alliance como resposta emergencial à falência completa do WEP. No contexto da segurança de redes corporativas, WPA representa hoje um risco crítico ativo que precisa ser eliminado do ambiente: não mitigado, eliminado.
O WPA foi projetado para rodar em cima do hardware WEP existente via atualização de firmware. Essa limitação definiu sua arquitetura: ele usa o protocolo TKIP (Temporal Key Integrity Protocol), que gera uma nova chave de 128 bits por pacote para resolver o problema de reutilização de chave do WEP. Até aí, parecia uma solução razoável.
O problema é estrutural. O TKIP foi construído sobre a cifra RC4, a mesma base fraca do WEP. Em 2009, pesquisadores já demonstravam ataques práticos contra TKIP em ambientes reais. Desde então, o WPA foi formalmente descontinuado e não deve ser suportado por nenhuma rede corporativa ativa.
Sinais de que WPA ainda está ativo na sua rede:
- Equipamentos legados (leitores de código de barras, terminais de ponto de venda antigos, câmeras IP de geração anterior) que não suportam WPA2
- Roteadores com firmware desatualizado onde WPA está habilitado como fallback
- Configurações de modo misto sem verificação periódica de quais clientes efetivamente se conectam via WPA
Se houver dispositivos que só suportam WPA, a solução correta é isolá-los em uma VLAN dedicada com regras de firewall restritivas. Nunca manter o protocolo ativo na rede principal.
O que é WPA2: a base que ainda sustenta a maioria das redes corporativas
WPA2 (Wi-Fi Protected Access 2) é o protocolo de segurança Wi-Fi introduzido em 2004 que substituiu o TKIP pelo AES-CCMP. É o padrão dominante nas redes corporativas brasileiras até hoje, pela compatibilidade com praticamente todo o parque de equipamentos em operação.
O ponto central para quem gerencia infraestrutura é que o WPA2 existe em dois modos com comportamentos completamente diferentes. O modo Personal usa uma única senha compartilhada para todos os dispositivos da rede. O modo Enterprise autentica cada usuário individualmente via 802.1X e servidor RADIUS. A diferença não é de configuração: é de modelo de segurança.
WPA2-Personal em uma rede corporativa significa que qualquer pessoa que já teve acesso à senha, incluindo ex-colaboradores e visitantes ocasionais, continua tecnicamente apta a se conectar. Significa também que revogar um acesso individual exige trocar a senha de toda a rede. Esse modelo não oferece rastreabilidade, não atende exigências de LGPD e não escala.
Para entender em detalhe como funciona o AES-CCMP, a vulnerabilidade KRACK e as boas práticas para reforçar o WPA2 até a migração completa para o WPA3, consulte o guia completo sobre WPA2.
Entenda os riscos e vulnerabilidades do Wi-Fi corporativo.
O que é WPA2-Enterprise e por que ele é o padrão mínimo corporativo
WPA2-Enterprise é o modo de segurança Wi-Fi que substitui a senha compartilhada pela autenticação individual via 802.1X e servidor RADIUS. Para essa tecnologia, cada usuário ou dispositivo apresenta suas próprias credenciais, validadas diretamente contra o diretório da organização (Active Directory, Google Workspace, LDAP ou SAML). Comprometer o acesso de um dispositivo não expõe nenhuma outra sessão na rede.
Na prática, isso resolve os dois problemas centrais do WPA2-Personal: a exposição da senha compartilhada a ataques de dicionário offline e a impossibilidade de revogar o acesso de um colaborador sem reconfigurar toda a rede. Com o WPA2-Enterprise integrado ao AD, desativar a conta de um usuário no diretório é suficiente para bloquear o acesso ao Wi-Fi na próxima tentativa de conexão, sem nenhuma ação adicional do time de TI.
Essa integração com sistemas de identidade existentes é o que torna o WPA2-Enterprise o padrão mínimo aceitável para redes corporativas com mais de um usuário gerenciado. Para entender em detalhe como funciona o fluxo de autenticação 802.1X, os métodos EAP disponíveis e como configurar a integração com Active Directory, consulte o guia completo sobre WPA2-Enterprise.
O que é WPA3 e o que muda na prática
WPA3 é o protocolo de segurança Wi-Fi ratificado pela Wi-Fi Alliance em 2018 e obrigatório para dispositivos Wi-Fi CERTIFIED desde julho de 2020. No contexto corporativo, ele não substitui a lógica de autenticação individual do WPA2-Enterprise: aprimora a criptografia e resolve duas vulnerabilidades estruturais que nenhuma configuração do WPA2 conseguia eliminar.
A primeira é o ataque de dicionário offline. O WPA2-Personal permite capturar o handshake de autenticação e testar senhas sem interagir com a rede. O WPA3 substitui esse mecanismo pelo SAE (Simultaneous Authentication of Equals), que exige interação ativa com o ponto de acesso em cada tentativa, tornando esse tipo de ataque inviável na prática.
A segunda é a ausência de forward secrecy. No WPA2, um atacante que capture tráfego hoje e obtenha a credencial depois consegue descriptografar sessões históricas. O WPA3 gera chaves de sessão efêmeras: comprometer uma credencial não desbloqueia nenhum tráfego anterior.
Para redes de visitantes, o WPA3 traz ainda o OWE (Opportunistic Wireless Encryption), que criptografa o tráfego de cada dispositivo individualmente em redes abertas, sem exigir senha, eliminando a escuta passiva sem adicionar atrito à conexão.
Para entender em detalhe a arquitetura do SAE, o modo de 192 bits do WPA3-Enterprise e o passo a passo de migração para ambientes com dispositivos legados, consulte o guia completo sobre WPA3.
Tabela comparativa: WPA vs WPA2 vs WPA2-Enterprise vs WPA3
| Critério | WPA | WPA2-Personal | WPA2-Enterprise | WPA3 |
|---|
| Lançamento | 2003 | 2004 | 2004 | 2018 |
| Criptografia | TKIP (RC4) | AES-CCMP | AES-CCMP | AES-GCMP-256 (Enterprise) / AES-CCMP (Personal) |
| Autenticação | PSK compartilhada | PSK compartilhada | 802.1X / RADIUS individual | SAE (Personal) / 802.1X aprimorado (Enterprise) |
| Vulnerabilidade central | Ataques TKIP; RC4 comprometido | Dicionário offline via four-way handshake capturado | Exposição a erros de PKI e timeouts de RADIUS se mal configurado | Compatibilidade limitada com dispositivos IoT pré-2020 |
| Revogação de acesso | Troca de senha global | Troca de senha global | Individual por usuário/dispositivo | Individual (Enterprise) / por sessão (Personal SAE) |
| Integração AD/LDAP/SAML | Não | Não | Sim (nativa) | Sim (Enterprise) |
| Forward Secrecy | Não | Não | Não (nativo) | Sim |
| Indicado para | Nenhum uso atual | Redes domésticas apenas | Redes corporativas com gestão de identidade | Redes corporativas modernas e Guest Wi-Fi |
| Status | Obsoleto: remover | Inadequado para empresas | Padrão mínimo corporativo | Padrão recomendado |
Como o WiFeed resolve a autenticação em redes corporativas
A escolha do protocolo certo é apenas a primeira camada da segurança de uma rede corporativa. A segunda, igualmente crítica, é como essa autenticação é gerenciada, monitorada e auditada no dia a dia.
A plataforma WiFeed opera sobre WPA2-Enterprise e WPA3 para oferecer mais de 15 métodos de autenticação em uma única solução gerenciada: SSO com Active Directory, Google Workspace, LDAP, SAML, além de vouchers, formulários customizados, login social e autenticação via Gov.br, entre outros. Tudo com compatibilidade homologada com mais de 20 fabricantes de APs, incluindo Cisco, Fortinet, Aruba, Ruckus, Intelbras, TP-Link, Huawei, Mikrotik e Ubiquiti.
Segundo dados internos do WiFeed, clientes do ICP Primário registraram, em média, redução de 87% no tempo gasto com gestão de Wi-Fi e queda de 91% nas reclamações de conectividade após a implantação. Esses resultados são especialmente expressivos em ambientes multi-unidade, onde a gestão descentralizada de senhas e acessos era o principal gargalo operacional.
Além dos protocolos de autenticação, a plataforma entrega:
- Logs completos de conexão: registro de quem acessou, de qual dispositivo, em qual AP e por quanto tempo, em conformidade com LGPD e Marco Civil da Internet
- Políticas por perfil e SSID: separação automática de colaboradores, visitantes e fornecedores em VLANs distintas, com regras de tempo de sessão, reconexões e bloqueio de MAC
- Relatórios de auditoria: exportáveis por período, unidade ou grupo de locais, prontos para processos de compliance interno ou externo
- OpenRoaming / Passpoint (Hotspot 2.0): para ambientes com múltiplos locais, permite que colaboradores se reconectem automaticamente em qualquer unidade sem novo processo de autenticação
Com mais de 15 mil locais e mais de 80 mil APs gerenciados, o WiFeed atende clientes como Assaí Atacadista, Decathlon, Centauro, Nike, Unimed e Hospital Care, segmentos que concentram exatamente os requisitos mais exigentes de controle de acesso, conformidade e gestão em escala.
Confira outros conteúdos:
Perguntas frequentes
1- O WPA2 ainda é seguro para redes corporativas? Depende do modo. WPA2-Personal não é aceitável para ambientes corporativos. WPA2-Enterprise com 802.1X continua sendo uma base sólida quando bem configurado.
2- É obrigatório migrar para WPA3 agora? Não há obrigatoriedade regulatória imediata no Brasil. A recomendação técnica é habilitar WPA3 em modo de transição nos APs que suportam o protocolo, permitindo que dispositivos WPA3-compatíveis se beneficiem do SAE e do forward secrecy sem interromper a conectividade de dispositivos WPA2 legados. A migração completa deve ser planejada conforme o ciclo de renovação dos endpoints e da infraestrutura de APs.
3- Como o WPA2-Enterprise se integra ao Active Directory? O servidor RADIUS valida as credenciais diretamente contra o AD via LDAP ou NPS. Quando a conta é desativada no diretório, o acesso ao Wi-Fi é revogado automaticamente.
4- O que é o ataque KRACK e o WPA3 resolve? KRACK (Key Reinstallation Attacks) é uma vulnerabilidade no four-way handshake do WPA2 que permite a um atacante forçar a reinstalação de chaves já utilizadas e descriptografar tráfego. O WPA3 elimina essa classe de ataque ao substituir o handshake pelo SAE. Dispositivos WPA2 podem ser corrigidos via patches de firmware, mas o problema estrutural só é resolvido com a migração para WPA3.
5- Dispositivos IoT antigos não suportam WPA3. O que fazer? A abordagem correta é a segmentação, não a concessão. Dispositivos IoT sem suporte a WPA2-Enterprise ou WPA3 devem ser isolados em uma VLAN dedicada com SSID próprio, com regras de firewall que permitam apenas a comunicação estritamente necessária (por exemplo, apenas com o servidor de gerenciamento do equipamento).
Próximos passos: protocolos certos são o começo, não o fim
Definir o protocolo correto (WPA2-Enterprise como padrão mínimo e WPA3 como caminho de modernização) é a decisão de arquitetura. A execução real envolve gestão centralizada de identidades, políticas por perfil, monitoramento contínuo e conformidade com LGPD e Marco Civil.
Se a sua organização ainda opera com WPA2-Personal em redes de colaboradores, ou enfrenta dificuldades para integrar o Wi-Fi com o Active Directory, é hora de rever essa arquitetura.
Conheça como a WiFeed estrutura a autenticação corporativa com mais de 15 métodos, compatibilidade com mais de 20 fabricantes de APs e conformidade nativa com LGPD e Marco Civil. Solicite uma demonstração e veja como funciona na prática.
