PPSK para dispositivos de lojas de retalho: uma lista de verificação de implementação para caixas registadoras, scanners e CCTV em Cisco Meraki e Juniper Mist

As chaves privadas pré-partilhadas (PPSK) dão a cada caixa registadora, scanner, impressora e ecrã a sua própria chave WiFi num único SSID. Cada chave associa-se a uma VLAN (LAN virtual), política e limite de largura de banda, mantendo as caixas separadas da sinalética e do CCTV. Associe chaves a endereços MAC e revogue a chave de um único dispositivo perdido. A Cisco Meraki chama-lhe Identity PSK; a Juniper Mist chama-lhe Multi PSK.

O que faz realmente a PPSK pelos dispositivos de lojas de retalho?

A maioria dos parques de lojas constrói o WiFi dos seus dispositivos por acidente. Os scanners entram no SSID dos funcionários. Os leitores de sinalética entram em qualquer rede que o instalador conseguiu ver. Uma câmara sem fios acaba na rede de convidados. Tudo partilha uma palavra-passe que não muda desde a abertura da loja.

A PPSK resolve isto sem exigir que o dispositivo faça nada de novo. O dispositivo continua a ver um SSID e a introduzir uma frase-passe WPA2-Personal. A mudança ocorre do lado da rede. Cada dispositivo recebe uma frase-passe diferente. O ponto de acesso faz corresponder cada frase-passe a uma identidade, quer localmente quer consultando um servidor RADIUS. Em seguida, aplica a VLAN, as regras de firewall e o limite de largura de banda associados a essa identidade. RADIUS é o protocolo que um ponto de acesso utiliza para perguntar a um servidor central quem é um dispositivo e a que pode aceder.

Três consequências importantes numa loja:

• Separação por identidade. Uma caixa registadora e um leitor de sinalética no mesmo SSID ficam em VLANs diferentes, com regras de firewall diferentes.
• Contenção. Ao abrigo da norma IEEE 802.11i, cada dispositivo deriva as suas chaves de sessão da sua própria frase-passe. Qualquer pessoa na posse de uma frase-passe partilhada que capture um handshake pode derivar as chaves de sessão de outro dispositivo. Com a PPSK, uma chave de sinalética divulgada não consegue desencriptar o tráfego da caixa registadora.
• Revogação num único local. Elimine uma chave e um dispositivo perde o acesso. Mais nada na loja é alterado.

Onde a PPSK se enquadra entre as suas três redes

O Purple Access executa três redes numa única plataforma, e a identidade define a VLAN em cada uma delas. A rede aberta serve os clientes através de um Captive Portal, abordado no nosso guia de Captive portals. A rede segura serve os funcionários com IEEE 802.1X e EAP-TLS. O 802.1X é o padrão para autenticar cada dispositivo antes de se ligar. O EAP-TLS é o método que utiliza um certificado no dispositivo. Os funcionários também podem iniciar sessão com o Microsoft Entra ID, Okta ou Google Workspace, como mostrado em Okta WiFi Authentication: Setup Steps, Options and Fixes.

Os certificados continuam a ser a opção padrão para as pessoas. A rede xPSK cobre tudo o que não consegue suportar um: caixas registadoras, scanners portáteis, impressoras de talões, leitores de sinalética digital e CCTV sem fios. Utilizamos o mesmo modelo para residentes em edifícios residenciais, explicado em Multifamily WiFi: how isolation, xPSK and billing work. Para consultar o modelo de segurança completo, consulte o nosso guia de segurança WiFi.

PPSK comparado com as alternativas

Método	O que o dispositivo possui	Revogar um dispositivo	VLAN e política por dispositivo	Infraestrutura adicional	Indicado para
Shared PSK	Uma frase-passe partilhada por todos os dispositivos	Voltar a introduzir a chave em todos os dispositivos no SSID	Não, uma VLAN por SSID	Nenhuma	Nada que envolva pagamentos
PPSK (Meraki Identity PSK, Mist Multi PSK)	A sua própria frase-passe, opcionalmente associada ao seu MAC	Eliminar uma chave	Sim, por chave	Meraki: RADIUS para associação de MAC. Mist: nenhuma com Cloud PSK	Caixas registadoras, scanners, impressoras, sinalética, CCTV
IEEE 802.1X com EAP-TLS	Um certificado de cliente	Revogar um certificado	Sim, por identidade	Servidor RADIUS e infraestrutura de chaves públicas (PKI)	Portáteis e telemóveis de colaboradores sob MDM
MAC authentication bypass	Nada: o endereço MAC é a identidade	Remover um endereço MAC	Sim, por endereço MAC	Servidor RADIUS	Dispositivos por cabo que não suportam mais nada

MDM significa mobile device management (gestão de dispositivos móveis), o sistema que envia definições para telemóveis, scanners e portáteis da empresa.

Do que precisa antes de implementar PPSK nas suas lojas?

A maior parte do trabalho acontece antes de criar uma única chave. Garanta que tem estes elementos preparados:

• Um inventário de dispositivos por loja. Registe a classe do dispositivo, marca, modelo, endereço MAC, se o MAC é fixo, modos de segurança suportados e bandas de rádio.
• Um plano de segmentação. Acorde uma VLAN por classe de dispositivo com os responsáveis pelos contratos de pagamentos, CCTV e sinalética.
• VLAN trunking para cada ponto de acesso. Cada porta de uplink do AP deve transportar a VLAN de cada segmento, caso contrário os dispositivos associam-se mas não obtêm um endereço IP.
• Regras de firewall por segmento. Defina por escrito o que cada segmento pode aceder antes de configurar qualquer elemento.
• Acesso à consola. Precisa de permissões de administrador ao nível da organização no Meraki Dashboard ou no portal Juniper Mist.
• Uma decisão sobre onde residem as chaves. As chaves podem residir no próprio SSID, num servidor RADIUS ou num serviço de chaves na cloud. A tabela abaixo mapeia a sua infraestrutura com uma opção.
• Controlo MDM de scanners Android. Será necessário para fixar o endereço MAC por rede e enviar chaves remotamente.
• Um responsável pelo registo de chaves. Os dispositivos têm entradas, mudanças e saídas tal como os colaboradores. Alguém deve registar cada chave emitida e cada chave revogada.

A sua infraestrutura	Onde as chaves devem residir	Associação de MAC	Porquê
Apenas Cisco Meraki, uma chave por classe de dispositivo	Identity PSK sem RADIUS, chaves armazenadas no SSID	Não disponível	Início mais rápido, mas uma chave divulgada funciona em qualquer dispositivo
Cisco Meraki, uma chave por dispositivo	Identity PSK com RADIUS, a apontar para um serviço RADIUS na nuvem	Sim, pesquisa por endereço MAC	Cada chave só funciona para o dispositivo a que foi atribuída
Apenas Juniper Mist	Mist Cloud PSK	Sim, com chaves de utilização única	Nativo da nuvem Mist, com VLAN por chave, função e expiração
Parque misto: Meraki mais HPE Aruba, Ruckus, Mist ou Ubiquiti UniFi	Purple Access xPSK como RADIUS na nuvem	Sim	Um registo de chaves em todos os fornecedores, sem necessidade de substituir infraestrutura

Como configurar PPSK no Cisco Meraki e Juniper Mist?

Passo 1: desenhar o mapa de chaves para segmentos

Desenhe os segmentos antes de mexer em qualquer uma das consolas. Este mapa mantém a segurança do WiFi dos terminais de pagamento separada de tudo o que não precisa de aceder aos pagamentos.

Classe de dispositivo	Segmento	Pode aceder a	Política de largura de banda	Âmbito da chave
Terminais de pagamento e caixas	Pagamentos	Apenas processador de pagamentos e servidor de caixas	Sem limite, prioridade mais alta	Uma por dispositivo, associada ao MAC
Leitores de código de barras portáteis	Operações de loja	Sistemas de stock, encomendas e gestão de dispositivos portáteis	Limite por dispositivo	Uma por dispositivo, associada ao MAC
Impressoras de talões e etiquetas	Operações de loja	Servidores de caixas e de impressão	Limite baixo por dispositivo	Uma por dispositivo, associada ao MAC
Reprodutores de sinalética digital	Sinalética	Sistema de gestão de conteúdos e servidores de atualização	Limite por dispositivo	Uma por dispositivo, associada ao MAC
Câmaras de videovigilância sem fios	CCTV	Apenas gravador de vídeo em rede	Margem reservada ao débito da câmara	Uma por dispositivo, associada ao MAC

Mantenha o número de segmentos reduzido. Cinco segmentos por loja são suficientes para a maioria dos parques, e cada VLAN adicional tem de ser ligada em trunk a todos os AP.

Passo 2: Cisco Meraki e Identity PSK

O Meraki aplica a política por chave através de políticas de grupo, por isso crie-as primeiro. No Meraki Dashboard, crie uma política de grupo por segmento. Cada política define a etiqueta de VLAN, o limite de largura de banda e as regras de firewall de Camada 3 e Camada 7 para esse segmento.

Em seguida, abra as definições de controlo de acessos para o SSID do seu dispositivo. O Meraki oferece dois modos de Identity PSK:

• Identity PSK sem RADIUS. Introduz as chaves diretamente no SSID e associa cada chave a uma política de grupo. Não há associação ao endereço MAC disponível, pelo que qualquer dispositivo que obtenha uma chave recebe a política dessa chave.
• Identity PSK com RADIUS. O ponto de acesso envia o endereço MAC do dispositivo para o seu servidor RADIUS. O servidor devolve a frase de passe e a política de grupo para esse endereço MAC. Uma chave só funciona para o dispositivo a que foi atribuída.

Para caixas e qualquer dispositivo no segmento de pagamentos, utilize o modo RADIUS. As páginas de documentação da Cisco "IPSK sem RADIUS" e "Autenticação IPSK com RADIUS" fornecem os passos exatos para cada modo.

Passo 3: Juniper Mist e Multi PSK

No portal da Juniper Mist, configure a WLAN do seu dispositivo para utilizar múltiplas frases de passe. O Mist oferece três origens de chaves: chaves guardadas localmente na WLAN, Cloud PSKs mantidas ao nível da organização, ou chaves devolvidas por um servidor RADIUS.

Para uma rede de lojas, o Cloud PSK é a escolha nativa. Cada Cloud PSK comporta a sua própria VLAN, função e data de expiração. Configure os dispositivos da loja para utilização única, o que vincula a chave ao primeiro endereço MAC que se ligar com ela. Depois, utilize a função de cada chave nas suas políticas WxLAN para controlar o que esse segmento pode alcançar. Aplique limites de débito para restringir a largura de banda da sinalética e dos scanners. A documentação Multi PSK da Juniper cobre as definições de WLAN e os campos do Cloud PSK na íntegra.

Passo 4: Purple Access como um registo de chaves único entre fornecedores

A maioria das redes de retalho opera com mais do que um fornecedor de hardware após aquisições e remodelações. O Purple Access executa a rede xPSK como RADIUS na nuvem, para que um único registo de chaves sirva todas as lojas. Os SSIDs Meraki apontam a Identity PSK com RADIUS para a Purple. As WLANs da Mist usam o RADIUS como fonte de chaves. A Purple devolve a chave por dispositivo, a VLAN e a política para cada endereço MAC.

O mesmo modelo funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Mantém os seus pontos de acesso e switches. O artigo de suporte da Purple para o seu fornecedor lista as definições exatas de RADIUS.

A lista de verificação para implementação nas lojas

1. Escolha uma loja piloto que contenha todas as classes de dispositivos que utiliza.
2. Exporte o inventário de dispositivos dessa loja, com um endereço MAC verificado para cada dispositivo.
3. Faça o trunk de cada VLAN de segmento para todas as portas de uplink dos APs antes do dia da transição.
4. Crie as políticas de segmento: políticas de grupo no Meraki, funções e políticas WxLAN no Mist.
5. Crie uma chave por dispositivo e registe-a no registo de chaves.
6. Envie uma definição de MAC fixo para o SSID do dispositivo para scanners Android através de MDM.
7. Transmita o SSID do dispositivo juntamente com o SSID de funcionários existente.
8. Mova os dispositivos classe a classe: sinalética primeiro, depois impressoras e scanners, e depois caixas registadoras fora do horário de funcionamento.
9. Execute todos os testes da secção seguinte antes de mover a classe seguinte.
10. Altere a palavra-passe antiga partilhada dos funcionários uma última vez, para que nenhum dispositivo possa recorrer a ela.
11. Escreva o manual de revogação: dispositivo perdido, chave revogada, substituto emitido com uma nova chave.
12. Implemente em vagas de lojas, reutilizando as políticas piloto, e guarde os resultados dos testes como evidência.

Como verificar se o PPSK funciona em cada loja?

Teste todas as classes de dispositivos, não apenas um dispositivo. Um teste com sucesso num scanner não diz nada sobre uma impressora numa VLAN diferente.

• Segmento correto. Verifique a lista de clientes no Painel do Meraki ou nas informações de cliente do Mist. Cada dispositivo deve mostrar a VLAN esperada e um endereço IP da sub-rede desse segmento.
• Isolamento. A partir de um dispositivo de teste no segmento da sinalética, tente aceder ao servidor de caixas e ao gravador de vídeo. Ambas as tentativas devem falhar.
• Vinculação de MAC. Introduza a chave de um scanner num telefone de teste. O telefone deve ser rejeitado.
• Revogação. Revogue uma chave de teste e confirme que o dispositivo não consegue voltar a ligar-se. Se a sessão existente persistir, desligue o cliente a partir da consola. Todos os outros dispositivos na loja devem permanecer ligados.
• Largura de banda. Execute um teste de débito a partir de um reprodutor de sinalética e confirme que o limite se mantém. O nosso guia sobre Bandwidth Usage Measurement: Methods, KPIs and Setup aborda este método.
• Roaming. Desloque um scanner do armazém para o extremo oposto da loja. A aplicação de digitalização deve permanecer ligada.

Guarde os registos. O seu registo de chaves, políticas de segmento, registos de revogação e resultados de testes de isolamento fornecem provas para o PCI DSS v4.0. O Requisito 1 cobre os controlos de segurança de rede entre segmentos. O Requisito 2.3 cobre ambientes sem fios, incluindo a alteração das chaves por omissão. As verificações de pontos de acesso não autorizados sob o requisito 11.2.1 permanecem como uma tarefa separada.

O que corre mal com PPSK e como solucionar?

Sintoma	Causa provável	Solução
O dispositivo associa-se mas não obtém endereço IP	VLAN do segmento não configurada em trunk para a porta do switch do AP	Associe com tag cada VLAN de segmento em todas as portas de uplink dos AP
Scanner rejeitado após atualização do SO	Aleatorização de MAC ativada; o Android 10 e posterior aleatorizam por rede por omissão	Configure o perfil de SSID do dispositivo para usar o MAC do dispositivo através de MDM
Uma chave funciona em dois dispositivos	Chave não vinculada a um endereço MAC (Meraki sem RADIUS, Mist multiusos)	Mude para Identity PSK com RADIUS ou chaves de utilização única Mist
Impressora antiga não consegue ligar-se	O dispositivo apenas suporta 2.4 GHz e WPA2-Personal	Mantenha 2.4 GHz e WPA2-Personal ativos no SSID do dispositivo
Scanner perde a ligação entre corredores	Roaming rápido 802.11r incompatível com um cliente antigo	Teste com a transição rápida desativada no SSID do dispositivo
Caixas registadoras lentas durante o envio de conteúdos de sinalética	A política de sinalética não tem limite de largura de banda	Aplique um limite por dispositivo ao segmento de sinalética
Dispositivo perdido continua online após eliminação da chave	A sessão existente persiste até à reautenticação	Desligue o cliente na consola após a revogação

Dois problemas merecem mais do que uma linha numa tabela.

O primeiro é a chave que se torna numa segunda palavra-passe partilhada. Um técnico escreve a chave de um scanner num autocolante e seis dispositivos acabam por usá-la. A vinculação de MAC impede isto. Sem vinculação, uma chave por dispositivo só é uma chave por dispositivo por convenção.

O segundo é o WPA3. Muitas implementações de chaves por dispositivo dependem do WPA2-Personal, e muitas caixas registadoras e impressoras não suportam nada mais recente. Verifique a documentação da Cisco Meraki e Juniper Mist quanto ao suporte de WPA3 no seu firmware antes de planear a arquitetura.

Dois cenários práticos: uma cadeia de moda e um estádio

Aritmética retalhista: uma cadeia de moda de 150 lojas em Cisco Meraki

Situação. Considere uma cadeia de 150 lojas com seis caixas registadoras, oito scanners, duas impressoras e quatro reprodutores de sinalética por loja. Todos os 20 dispositivos partilham o SSID dos funcionários e uma palavra-passe. Isso faz 3000 dispositivos com uma única chave em toda a rede de lojas. O requisito 2.3.2 do PCI DSS exige que altere as chaves sem fios quando alguém que as conhece sai da empresa. Todos os gerentes de loja conhecem esta palavra-passe, pelo que a saída de cada gerente deveria desencadear 3000 reconfigurações de chaves. Na prática, isso nunca acontece.

O que foi feito. A cadeia adiciona um SSID de dispositivo utilizando Identity PSK com RADIUS, com o Purple Access a gerir o registo de chaves. Quatro políticas de grupo separam pagamentos, operações de loja, sinalética e impressoras. O MDM envia as chaves para os leitores, pelo que a equipa da loja nunca vê a chave do dispositivo.

Resultado. Um leitor roubado significa agora uma chave revogada e zero outros dispositivos afetados, em vez de 20 nessa loja. A saída de um gerente já não desencadeia uma rotação, porque os gerentes nunca possuem as chaves dos dispositivos. O segmento de pagamentos diminui de 20 dispositivos por loja numa rede plana para seis caixas registadoras. As orientações do PCI SSC indicam que a segmentação pode reduzir os sistemas no âmbito de aplicação, sujeito à validação do seu avaliador.

Eventos: um estádio em Juniper Mist

Situação. Considere um estádio com 40 caixas de concessão permanentes e 120 ecrãs de sinalética. Um prestador de serviços de bilhética traz 25 leitores portáteis para cada evento. O prestador de serviços sempre recebeu a palavra-passe da equipa, e esta nunca mudou.

O que foi feito. O estádio passa a utilizar PSKs na Mist Cloud. As caixas registadoras recebem chaves de utilização única na VLAN de pagamentos. As chaves de sinalética têm uma função com limite de débito. Em cada evento, os 25 leitores do prestador de serviços recebem chaves de utilização única na sua própria VLAN, com expiração definida para o final do dia do evento.

Resultado. Todas as 25 chaves do prestador de serviços expiram automaticamente após cada evento, sem necessidade de revogar nada manualmente. Os dispositivos do prestador de serviços nunca possuem uma chave que aceda ao segmento das caixas. Os limites de sinalética garantem que o carregamento de conteúdos não reduz a velocidade dos pagamentos de concessão no intervalo.

Quanto custa o PPSK e qual é o retorno?

O PPSK não necessita de novo hardware. O seu custo reside em quatro pontos:

• Tempo de conceção. Criar o inventário, definir segmentos e escrever regras de firewall.
• Alterações nos switches. Configurar o trunking das VLANs de segmento para cada AP, o que é geralmente um envio por modelo.
• Visitas às lojas para dispositivos não geridos. Impressoras e câmaras sem MDM necessitam de uma alteração local.
• Um serviço de chaves para vinculação MAC. No Meraki, isso significa um serviço RADIUS como o Purple Access. Verifique os seus níveis de licença Meraki e Mist com o seu revendedor.

O retorno é mais fácil de ver na aritmética. Na cadeia de moda referida acima, rodar uma chave partilhada significa alterar 3 000 dispositivos. Assumindo cinco minutos por dispositivo, uma rotação custa 250 horas de tempo de loja e IT. Com PPSK, o mesmo evento custa a alteração de uma chave. O maior retorno é a contenção: um leitor perdido expõe o segmento de um único dispositivo, não a rede de pagamentos.

A Purple opera em mais de 80 000 locais ativos e geriu 440 milhões de sessões em 2024 (dados da própria Purple). A Purple possui a certificação ISO 27001. O marketing de convidados na rede aberta situa-se no Engage. A filtragem DNS para qualquer segmento é o Shield, um suplemento separado. Para redes abertas e seguras, consulte os nossos guias Access.

Perguntas frequentes

Precisamos de novos pontos de acesso para executar PPSK nas nossas lojas?

Não. O PPSK é executado nos pontos de acesso que já possui. Os pontos de acesso Cisco Meraki MR suportam-no como Identity PSK e os pontos de acesso Juniper Mist suportam-no como Multi PSK. O Purple Access é agnóstico em relação ao hardware e funciona sobre a Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet como uma sobreposição na nuvem. Altera as definições de SSID, trunks de VLAN e políticas, não o hardware.

O PPSK satisfaz o nosso avaliador de PCI DSS?

O PPSK fornece evidências para o PCI DSS, mas não garante a aprovação por si só. As chaves por dispositivo apoiam o requisito 2.3.2, que exige a alteração das chaves sem fios quando alguém que as conhece sai da empresa ou quando uma chave é comprometida. A migração de caixas registadoras para a sua própria VLAN apoia o requisito 1 e pode reduzir o âmbito dos sistemas a avaliar. O seu Qualified Security Assessor decide o que é considerado válido, por isso exporte o seu registo de chaves, políticas e resultados de testes para apresentação.

Os dispositivos das lojas devem utilizar PPSK ou certificados 802.1X?

Utilize certificados sempre que um dispositivo puder registar e renovar um, e PPSK para tudo o resto. O IEEE 802.1X com EAP-TLS continua a ser o padrão para portáteis e telemóveis de funcionários geridos por MDM. A maioria das caixas registadoras, impressoras, leitores de sinalética e câmaras não consegue registar certificados em escala e muitas suportam apenas WPA2-Personal. O PPSK concede a esses dispositivos identidade por dispositivo, VLAN e revogação sem alterar o próprio dispositivo.

Podemos migrar dispositivos de uma palavra-passe partilhada de funcionários sem visitar todas as lojas?

Sim, para dispositivos que gere através de MDM. Envie o novo SSID do dispositivo, a sua chave por dispositivo e uma definição de MAC fixo como um único perfil. Em seguida, confirme que cada dispositivo fica na VLAN correta. Dispositivos sem MDM, como muitas impressoras e câmaras, precisam de uma alteração local ou da ferramenta de configuração do fornecedor. Planeie essas alterações nas visitas existentes às lojas e mantenha o SSID antigo ativo até que o último dispositivo seja migrado.

O que acontece se um scanner aleatorizar o seu endereço MAC?

Uma chave associada a um MAC irá rejeitá-lo, portanto desative a aleatorização para o SSID do dispositivo. O Android 10 e posterior utilizam um MAC aleatório por rede por predefinição, e a maioria dos scanners robustos executa Android. Configure o perfil de WiFi para utilizar o MAC do dispositivo através do seu MDM. A aleatorização protege a privacidade dos utilizadores em redes públicas. Não adiciona qualquer valor para uma caixa registadora gerida ou scanner a ligar-se à sua própria rede.

O Purple Access também abrange WiFi para clientes e filtragem de conteúdos?

Sim, em redes separadas geridas a partir de uma única plataforma. Os clientes ligam-se à rede aberta através de um Captive Portal, com opt-ins de marketing e de escolha consciente geridos no Engage. Os funcionários ligam-se à rede segura com certificados ou início de sessão via Microsoft Entra ID, Okta ou Google Workspace. A filtragem de DNS é o Shield, um suplemento separado. Os dispositivos permanecem em xPSK, pelo que uma caixa registadora nunca partilha a rede com o telemóvel de um cliente.

Quanto esforço exige a implementação de PPSK em toda a rede de lojas?

Conte com a maior parte do esforço antes de criar a primeira chave. Construir o inventário de dispositivos com endereços MAC demorar mais do que o trabalho na consola. O mesmo acontece ao acordar segmentos com os responsáveis pelos pagamentos e CCTV e ao configurar os trunks de VLAN para todos os pontos de acesso. Assim que uma loja-piloto passar em todos os testes, as lojas subsequentes reutilizam as mesmas políticas e modelos de chaves. Os dispositivos sob MDM são migrados remotamente, enquanto impressoras e câmaras não geridas ditam o ritmo de cada fase.