PPSK para dispositivos de lojas de varejo: um checklist de implantação para caixas, scanners e CFTV em Cisco Meraki e Juniper Mist

As chaves privadas pré-compartilhadas (PPSK) dão a cada caixa, leitor de código de barras, impressora e tela sua própria chave de WiFi em um único SSID. Cada chave se mapeia para uma VLAN (LAN virtual), política e limite de largura de banda, garantindo que os caixas fiquem separados da sinalização digital e do circuito fechado de TV. Vincule chaves a endereços MAC e revogue a chave de um único dispositivo perdido. A Cisco Meraki chama isso de Identity PSK; a Juniper Mist chama de Multi PSK.

O que o PPSK realmente faz pelos dispositivos de lojas de varejo?

A maioria das redes de lojas constrói a WiFi de seus dispositivos por acidente. Leitores entram no SSID da equipe. Reprodutores de sinalização conectam-se a qualquer rede que o instalador conseguiu enxergar. Uma câmera sem fio acaba na rede de visitantes. Tudo compartilha uma única senha que não é alterada desde a inauguração da loja.

O PPSK corrige isso sem exigir que o dispositivo faça nada de novo. O dispositivo ainda enxerga um único SSID e insere uma frase de segurança WPA2-Personal. A mudança ocorre no lado da rede. Cada dispositivo recebe uma frase de segurança diferente. O ponto de acesso associa cada frase de segurança a uma identidade, seja localmente ou consultando um servidor RADIUS. Em seguida, ele aplica a VLAN, as regras de firewall e o limite de largura de banda vinculados a essa identidade. RADIUS é o protocolo que um ponto de acesso usa para perguntar a um servidor central quem é um dispositivo e o que ele pode acessar.

Três consequências são fundamentais em uma loja:

• Separação por identidade. Um caixa e um reprodutor de sinalização no mesmo SSID vão para VLANs diferentes, com regras de firewall distintas.
• Contenção. Sob o padrão IEEE 802.11i, cada dispositivo deriva suas chaves de sessão de sua própria frase de segurança. Qualquer pessoa em posse de uma frase de segurança compartilhada que capture um handshake pode derivar as chaves de sessão de outro dispositivo. Com PPSK, uma chave de sinalização vazada não pode descriptografar o tráfego do caixa.
• Revogação em um único lugar. Exclua uma chave e apenas um dispositivo perde o acesso. Nada mais na loja é alterado.

Onde o PPSK se posiciona entre suas três redes

O Purple Access executa três redes em uma única plataforma, e a identidade define a VLAN em cada uma. A rede aberta atende aos clientes por meio de um Captive Portal, abordado em nosso guia de Captive Portals. A rede segura atende aos funcionários com IEEE 802.1X e EAP-TLS. O 802.1X é o padrão para autenticar cada dispositivo antes de ele se conectar. O EAP-TLS é o método que usa um certificado no dispositivo. Os funcionários também podem fazer login com Microsoft Entra ID, Okta ou Google Workspace, conforme mostrado em Autenticação WiFi com Okta: Etapas de Configuração, Opções e Soluções.

Os certificados continuam sendo o padrão para as pessoas. A rede xPSK cobre tudo o que não pode conter um: caixas registradoras, leitores portáteis, impressoras de recibos, reprodutores de sinalização e CFTV sem fio. Usamos o mesmo modelo para residentes em edifícios residenciais, explicado em Multifamily WiFi: como funcionam o isolamento, xPSK e faturamento. Para o modelo de segurança completo, consulte nosso guia de segurança de WiFi.

PPSK comparado com as alternativas

Método	O que o dispositivo possui	Revogando um dispositivo	VLAN e política por dispositivo	Infraestrutura extra	Adequado para
PSK compartilhado	Uma frase secreta compartilhada por todos os dispositivos	Redefinir a chave de cada dispositivo no SSID	Não, uma VLAN por SSID	Nenhuma	Nada que envolva pagamentos
PPSK (Meraki Identity PSK, Mist Multi PSK)	Sua própria frase secreta, opcionalmente vinculada ao seu MAC	Excluir uma chave	Sim, por chave	Meraki: RADIUS para vinculação de MAC. Mist: nenhuma com Cloud PSK	Caixas, leitores, impressoras, sinalização, CFTV
IEEE 802.1X com EAP-TLS	Um certificado de cliente	Revogar um certificado	Sim, por identidade	Servidor RADIUS e infraestrutura de chaves públicas (PKI)	Laptops e telefones da equipe sob MDM
Bypassing da autenticação MAC	Nada: o endereço MAC é a identidade	Remover um endereço MAC	Sim, por endereço MAC	Servidor RADIUS	Dispositivos cabeados que não suportam mais nada

MDM significa gerenciamento de dispositivos móveis (mobile device management), o sistema que envia configurações para telefones, leitores e laptops de propriedade da empresa.

O que você precisa antes de implantar PPSK em suas lojas?

A maior parte do trabalho acontece antes de criar uma única chave. Tenha estes elementos definidos primeiro:

• Um inventário de dispositivos por loja. Registre a classe do dispositivo, marca, modelo, endereço MAC, se o MAC é fixo, modos de segurança suportados e bandas de rádio.
• Um plano de segmentação. Defina uma VLAN por classe de dispositivo com os responsáveis pelos contratos de pagamentos, CFTV e sinalização.
• Trunking de VLAN para cada ponto de acesso. Cada porta de uplink do AP deve carregar a VLAN de cada segmento, caso contrário os dispositivos se associam e não recebem um endereço IP.
• Regras de firewall por segmento. Anote o que cada segmento pode acessar antes de configurar qualquer coisa.
• Acesso ao console. Você precisa de direitos de administrador em nível de organização no Meraki Dashboard ou no portal Juniper Mist.
• Uma decisão sobre onde as chaves residem. As chaves podem ficar no próprio SSID, em um servidor RADIUS ou em um serviço de chaves na nuvem. A tabela abaixo mapeia sua estrutura para uma escolha.
• Controle via MDM dos leitores Android. Você precisará disso para fixar o endereço MAC por rede e enviar chaves remotamente.
• Um responsável pelo registro de chaves. Os dispositivos mudam, entram e saem da rede assim como os funcionários. Alguém deve registrar cada chave emitida e cada chave revogada.

Sua estrutura	Onde as chaves devem residir	Vinculação de MAC	Por quê
Apenas Cisco Meraki, uma chave por classe de dispositivo	Identity PSK sem RADIUS, chaves armazenadas no SSID	Não disponível	Inicialização mais rápida, mas uma chave vazada funciona em qualquer dispositivo
Cisco Meraki, uma chave por dispositivo	Identity PSK com RADIUS, apontando para um serviço RADIUS em nuvem	Sim, consulta por endereço MAC	Cada chave funciona apenas para o dispositivo para o qual foi emitida
Apenas Juniper Mist	Mist Cloud PSK	Sim, com chaves de uso único	Nativo da nuvem Mist, com VLAN, função e expiração por chave
Estrutura mista: Meraki mais HPE Aruba, Ruckus, Mist ou Ubiquiti UniFi	Purple Access xPSK como RADIUS em nuvem	Sim	Um registro de chave em todos os fabricantes, sem necessidade de substituir tudo

Como configurar PPSK no Cisco Meraki e Juniper Mist?

Etapa 1: projetar o mapeamento de chaves para segmentos

Projete os segmentos antes de mexer em qualquer um dos consoles. Esse mapeamento mantém a segurança do WiFi dos terminais de pagamento separada de tudo o que não precisa acessar pagamentos.

Classe de dispositivo	Segmento	Pode acessar	Política de largura de banda	Escopo da chave
Terminais de pagamento e caixas	Pagamentos	Apenas processador de pagamento e servidor do caixa	Sem limite, prioridade mais alta	Uma por dispositivo, vinculada ao MAC
Scanners portáteis	Operações da loja	Estoque, pedidos e sistemas de gerenciamento portáteis	Limite por dispositivo	Uma por dispositivo, vinculada ao MAC
Impressoras de recibos e etiquetas	Operações da loja	Servidores de caixa e impressão	Limite baixo por dispositivo	Uma por dispositivo, vinculada ao MAC
Reprodutores de sinalização digital	Sinalização	Sistema de gerenciamento de conteúdo e servidores de atualização	Limite por dispositivo	Uma por dispositivo, vinculada ao MAC
Câmeras de CFTV sem fio	CFTV	Apenas gravador de vídeo em rede	Margem reservada na taxa de bits da câmera	Uma por dispositivo, vinculada ao MAC

Mantenha o número de segmentos baixo. Cinco segmentos por loja são suficientes para a maioria das estruturas, e cada VLAN adicional deve ser conectada via trunking a cada AP.

Etapa 2: Cisco Meraki e Identity PSK

O Meraki aplica a política por chave por meio de políticas de grupo, portanto, crie-as primeiro. No Meraki Dashboard, crie uma política de grupo por segmento. Cada política define a tag de VLAN, o limite de largura de banda e as regras de firewall de Camada 3 e Camada 7 para esse segmento.

Em seguida, abra as configurações de controle de acesso para o SSID do seu dispositivo. O Meraki oferece dois modos de Identity PSK:

• Identity PSK sem RADIUS. Você insere as chaves diretamente no SSID e mapeia cada chave para uma política de grupo. Não há vinculação de MAC disponível, portanto, qualquer dispositivo que aprenda uma chave recebe a política dessa chave.
• Identity PSK com RADIUS. O ponto de acesso envia o endereço MAC do dispositivo para o seu servidor RADIUS. O servidor retorna a senha e a política de grupo para esse endereço MAC. Uma chave só funciona para o dispositivo para o qual foi emitida.

Para caixas e qualquer dispositivo no segmento de pagamentos, use o modo RADIUS. As páginas de documentação da Cisco "IPSK without RADIUS" e "IPSK with RADIUS Authentication" fornecem as etapas exatas para cada modo.

Etapa 3: Juniper Mist e Multi PSK

No portal Juniper Mist, configure a WLAN do seu dispositivo para usar várias senhas. O Mist oferece três fontes de chaves: chaves armazenadas localmente na WLAN, Cloud PSKs mantidas no nível da organização ou chaves retornadas por um servidor RADIUS.

Para uma rede de lojas, o Cloud PSK é a escolha nativa. Cada Cloud PSK possui sua própria VLAN, função e data de expiração. Configure os dispositivos da loja para uso único, o que vincula a chave ao primeiro endereço MAC que se conectar a ela. Em seguida, use a função de cada chave em suas políticas WxLAN para controlar o que esse segmento pode acessar. Aplique limites de taxa para restringir a largura de banda de sinalização digital e leitores. A documentação de Multi PSK da Juniper cobre as configurações de WLAN e os campos do Cloud PSK na íntegra.

Passo 4: Purple Access como um registro de chave único entre diferentes fabricantes

A maioria das redes de varejo opera com mais de um fabricante de hardware após aquisições e reformas. O Purple Access executa a rede xPSK como RADIUS em nuvem, para que um único registro de chave atenda a todas as lojas. Os SSIDs do Meraki apontam o Identity PSK com RADIUS para o Purple. As WLANs da Mist usam RADIUS como fonte de chaves. O Purple retorna a chave por dispositivo, VLAN e política para cada endereço MAC.

O mesmo modelo funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você mantém seus pontos de acesso e switches. O artigo de suporte do Purple para o seu fabricante lista as configurações exatas de RADIUS.

O checklist de implantação na loja

1. Escolha uma loja piloto que contenha todas as classes de dispositivos que você utiliza.
2. Exporte o inventário de dispositivos dessa loja, com um endereço MAC verificado para cada dispositivo.
3. Faça o trunking da VLAN de cada segmento para cada porta de uplink de AP antes do dia da migração.
4. Crie as políticas de segmento: políticas de grupo no Meraki, funções e políticas WxLAN na Mist.
5. Crie uma chave por dispositivo e registre-a no registro de chaves.
6. Envie uma configuração de MAC fixo para o SSID de dispositivos para leitores Android via MDM.
7. Transmita o SSID de dispositivos ao lado do SSID de funcionários existente.
8. Mova os dispositivos classe por classe: sinalização digital primeiro, depois impressoras e leitores, e então caixas registradoras fora do horário de funcionamento.
9. Execute todos os testes da próxima seção antes de mover a próxima classe.
10. Altere a senha compartilhada antiga dos funcionários uma última vez, para que nenhum dispositivo possa usá-la como alternativa.
11. Escreva o manual de revogação: dispositivo perdido, chave revogada, substituição emitida com uma nova chave.
12. Faça a implantação em ondas de lojas, reutilizando as políticas do piloto, e guarde os resultados dos testes como evidência.

Como verificar se o PPSK funciona em cada loja?

Teste cada classe de dispositivo, não apenas um dispositivo. Um teste aprovado em um leitor não diz nada sobre uma impressora em uma VLAN diferente.

• Segmento correto. Verifique a lista de clientes no Painel do Meraki ou no Mist client insights. Cada dispositivo deve mostrar a VLAN esperada e um endereço IP da sub-rede daquele segmento.
• Isolamento. A partir de um dispositivo de teste no segmento de sinalização digital, tente acessar o servidor de caixas e o gravador de vídeo. Ambas as tentativas devem falhar.
• Vinculação de MAC. Insira a chave de um leitor em um telefone de teste. O telefone deve ser rejeitado.
• Revogação. Revogue uma chave de teste e confirme que o dispositivo não consegue se reconectar. Se a sessão existente persistir, desconecte o cliente pelo console. Todos os outros dispositivos da loja devem permanecer conectados.
• Largura de banda. Execute um teste de taxa de transferência a partir de um reprodutor de sinalização e confirme se o limite é mantido. Nosso guia sobre Medição do uso de largura de banda: Métodos, KPIs e Configuração cobre o método.
• Roaming. Caminhe com um scanner do estoque até o fim do salão da loja. O aplicativo de escaneamento deve permanecer conectado.

Guarde os relatórios. Seu registro de chaves, políticas de segmento, logs de revogação e resultados de testes de isolamento fornecem evidências para o PCI-DSS v4.0. O Requisito 1 cobre controles de segurança de rede entre segmentos. O Requisito 2.3 cobre ambientes sem fio, incluindo a alteração de chaves padrão. As verificações de access points não autorizados sob o requisito 11.2.1 permanecem como uma tarefa separada.

O que dá errado com o PPSK e como corrigir?

Sintoma	Causa provável	Correção
O dispositivo se associa, mas não obtém endereço IP	A VLAN do segmento não está em trunk para a porta do switch do AP	Marque (tag) cada VLAN de segmento em cada porta de uplink do AP
Scanner rejeitado após uma atualização do sistema operacional	Randomização de MAC ativada; Android 10 e posteriores randomizam por rede por padrão	Configure o perfil de SSID do dispositivo para usar o MAC do dispositivo via MDM
Uma chave funciona em dois dispositivos	Chave não vinculada a um endereço MAC (Meraki sem RADIUS, uso múltiplo do Mist)	Mude para Identity PSK com RADIUS ou chaves de uso único do Mist
Impressora mais antiga não consegue se conectar	O dispositivo suporta apenas 2.4 GHz e WPA2-Personal	Mantenha 2.4 GHz e WPA2-Personal habilitados no SSID do dispositivo
O scanner perde a conexão entre os corredores	O roaming rápido 802.11r é incompatível com um cliente legado	Teste com a transição rápida desativada no SSID do dispositivo
Caixas ficam lentos durante o envio de conteúdo para a sinalização	A política de sinalização não tem limite de largura de banda	Aplique um limite por dispositivo ao segmento de sinalização
Dispositivo perdido continua online após a exclusão da chave	A sessão existente persiste até a reautenticação	Desconecte o cliente no console após revogar

Dois problemas merecem mais do que uma linha de tabela.

O primeiro é a chave que se torna uma segunda senha compartilhada. Um técnico escreve a chave do scanner em um adesivo, e seis dispositivos acabam usando-a. A vinculação de MAC impede isso. Sem a vinculação, uma chave por dispositivo é apenas uma chave por dispositivo por convenção.

O segundo é o WPA3. Muitas implementações de chave por dispositivo dependem do WPA2-Personal, e muitos caixas e impressoras não suportam nada mais recente. Verifique a documentação do Cisco Meraki e do Juniper Mist sobre o suporte ao WPA3 no seu firmware antes de projetar em torno dele.

Dois cenários práticos: uma rede de moda e um estádio

Varejo: uma rede de moda de 150 lojas usando Cisco Meraki

Situação. Considere uma rede de 150 lojas com seis caixas, oito scanners, duas impressoras e quatro reprodutores de sinalização por loja. Todos os 20 dispositivos compartilham o SSID da equipe e uma senha. Isso significa 3.000 dispositivos em uma única chave em toda a empresa. O requisito 2.3.2 do PCI-DSS pede que você altere as chaves sem fio quando alguém que as conhece sai da empresa. Cada gerente de loja conhece essa senha, portanto, cada gerente que sai deveria disparar a troca de 3.000 chaves. Na prática, isso nunca acontece.

O que foi feito. A rede adiciona um SSID de dispositivo usando Identity PSK com RADIUS, com o Purple Access mantendo o registro de chaves. Quatro políticas de grupo separam pagamentos, operações de loja, sinalização e impressoras. O MDM envia chaves para os leitores, para que a equipe da loja nunca veja a chave de um dispositivo.

Resultado. Um leitor roubado agora significa apenas uma chave revogada e zero outros dispositivos afetados, em vez de 20 naquela loja. A saída de um gerente não dispara mais uma rotação, porque os gerentes nunca possuem chaves de dispositivos. O segmento de pagamentos diminui de 20 dispositivos por loja em uma rede plana para seis caixas. As diretrizes do PCI SSC afirmam que a segmentação pode reduzir os sistemas no escopo, sujeito à validação do seu avaliador.

Eventos: um estádio com Juniper Mist

Situação. Considere um estádio com 40 caixas de concessão permanentes e 120 telas de sinalização. Uma empresa contratada de bilhetagem traz 25 leitores portáteis para cada evento. A contratada sempre recebeu a senha da equipe, e ela nunca mudou.

O que foi feito. O estádio migra para os PSKs da Mist Cloud. Os caixas recebem chaves de uso único na VLAN de pagamentos. As chaves de sinalização carregam uma função com limite de taxa. A cada evento, os 25 leitores da contratada recebem chaves de uso único em sua própria VLAN, com expiração definida para o final do dia do evento.

Resultado. Todas as 25 chaves da contratada expiram automaticamente após cada evento, sem nada para revogar manualmente. Os dispositivos da contratada nunca possuem uma chave que alcance o segmento dos caixas. Os limites de sinalização garantem que um envio de conteúdo não desacelere os pagamentos das concessões no intervalo.

Quanto custa o PPSK e qual é o retorno?

O PPSK não precisa de novos hardwares. Seu custo está em quatro pontos:

• Tempo de projeto. Construção do inventário, definição dos segmentos e escrita das regras de firewall.
• Alterações nos switches. Troncalizar VLANs de segmento para cada AP, o que geralmente é uma implantação por modelo.
• Visitas às lojas para dispositivos não gerenciados. Impressoras e câmeras sem MDM precisam de uma alteração local.
• Um serviço de chaves para vinculação de MAC. No Meraki, isso significa um serviço RADIUS como o Purple Access. Verifique seus níveis de licença Meraki e Mist com seu revendedor.

O retorno é mais fácil de ver na aritmética. Na rede de moda acima, rotacionar uma chave compartilhada significa alterar 3.000 dispositivos. Assumindo cinco minutos por dispositivo, uma rotação custa 250 horas de tempo de loja e TI. Com o PPSK, o mesmo evento custa a alteração de apenas uma chave. O maior retorno é a contenção: um leitor perdido expõe o segmento de um único dispositivo, não a rede de pagamentos.

A Purple opera em mais de 80.000 locais ativos e processou 440 milhões de logins em 2024 (dados da própria Purple). A Purple possui certificação ISO 27001. O marketing de convidados na rede aberta fica no Engage. O filtro DNS para qualquer segmento é o Shield, um complemento separado. Para as redes aberta e segura, consulte nossos guias do Access.

Perguntas frequentes

Precisamos de novos pontos de acesso para executar PPSK em nossas lojas?

Não. O PPSK é executado nos pontos de acesso que você já possui. Os pontos de acesso Cisco Meraki MR o suportam como Identity PSK, e os pontos de acesso Juniper Mist o suportam como Multi PSK. O Purple Access é agnóstico em relação ao hardware e se sobrepõe ao Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet como uma camada em nuvem. Você altera as configurações de SSID, trunks de VLAN e políticas, não o hardware.

O PPSK satisfará nosso avaliador PCI-DSS?

O PPSK fornece evidências para o PCI-DSS, não uma aprovação automática. As chaves por dispositivo atendem ao requisito 2.3.2, que exige a alteração de chaves sem fio quando alguém que as conhece sai da empresa ou quando uma chave é comprometida. A migração de caixas registradoras para sua própria VLAN atende ao requisito 1 e pode reduzir os sistemas no escopo. Seu Qualified Security Assessor decide o que é válido, portanto, exporte seu registro de chaves, políticas e resultados de testes para ele.

Os dispositivos da loja devem usar PPSK ou certificados 802.1X?

Use certificados onde quer que um dispositivo possa registrar e renovar um, e PPSK para todo o resto. O IEEE 802.1X com EAP-TLS permanece como o padrão para laptops e telefones de funcionários gerenciados por MDM. A maioria das caixas registradoras, impressoras, reprodutores de sinalização e câmeras não pode registrar certificados em escala, e muitas suportam apenas WPA2. O PPSK fornece a esses dispositivos identidade por dispositivo, VLAN e revogação sem alterar o dispositivo em si.

Podemos remover os dispositivos de uma senha compartilhada de funcionários sem visitar cada loja?

Sim, para dispositivos que você gerencia via MDM. Envie o novo SSID do dispositivo, sua chave por dispositivo e uma configuração de MAC fixo como um único perfil. Em seguida, confirme se cada dispositivo chega à VLAN correta. Dispositivos sem MDM, como muitas impressoras e câmeras, precisam de uma alteração local ou da ferramenta de configuração do fornecedor. Planeje essas alterações nas visitas existentes às lojas e mantenha o SSID antigo ativo até que o último dispositivo seja migrado.

O que acontece se um leitor de código de barras randomizar seu endereço MAC?

Uma chave vinculada ao MAC irá rejeitá-lo, portanto, desative a randomização para o SSID do dispositivo. O Android 10 e versões posteriores usam um MAC randomizado por rede por padrão, e a maioria dos leitores robustos executa Android. Configure o perfil de WiFi para usar o MAC do dispositivo por meio do seu MDM. A randomização protege a privacidade das pessoas em redes públicas. Ela não adiciona nada para uma caixa registradora gerenciada ou leitor que se conecta à sua própria rede.

O Purple Access também cobre WiFi para clientes e filtragem de conteúdo?

Sim, em redes separadas gerenciadas a partir de uma única plataforma. Os clientes se conectam à rede aberta por meio de um Captive Portal, com opt-ins de marketing e escolhas conscientes gerenciados no Purple Engage. A equipe se conecta à rede segura com certificados ou login via Microsoft Entra ID, Okta ou Google Workspace. A filtragem de DNS é realizada pelo Purple Shield, um complemento separado. Os dispositivos permanecem no iPSK ou PPSK, garantindo que uma caixa registradora nunca compartilhe a rede com o telefone de um cliente.

Quanto esforço exige uma implantação de PPSK em toda a rede de lojas?

Espere que a maior parte do esforço ocorra antes de a primeira chave existir. Construir o inventário de dispositivos com endereços MAC leva mais tempo do que o trabalho no console. O mesmo vale para alinhar segmentos com os responsáveis por pagamentos e circuito fechado de TV, além de realizar o trunking de VLANs para todos os pontos de acesso. Assim que uma loja piloto passar em todos os testes, as lojas subsequentes reutilizam as mesmas políticas e modelos de chave. Dispositivos sob gerenciamento MDM são migrados remotamente, enquanto impressoras e câmeras não gerenciadas ditam o ritmo de cada etapa.