MACsec

MACsec adiciona segurança na camada 2 para quadros Ethernet. O IEEE 802.1AE define Secure Channels, Secure Associations, SecTAG, Integrity Check Value e processamento. O emissor protege o quadro; o receptor verifica e decifra conforme configuração. O algoritmo comum é AES-GCM com chaves de 128 bits; extensões suportam 256 bits em implementações e revisões. A criptografia pode ser habilitada ou operar somente com integridade, embora confidencialidade seja o caso típico. O Packet Number fornece proteção contra replay. Um Secure Channel é unidirecional e identificado por SCI, Secure Channel Identifier, geralmente baseado em MAC e porta. Ele contém Secure Associations com Association Number e SAK, Secure Association Key. A rotação muda SAK sem interromper. MKA, MACsec Key Agreement, definido no ecossistema IEEE 802.1X, autentica participantes e distribui SAKs. Pode usar uma Connectivity Association Key provisionada ou derivada por 802.1X/EAP. Em ambientes corporativos, switches e servidores negociam. Em links ponto a ponto, uma chave pré-compartilhada pode ser configurada. O desenho mais comum é hop-by-hop: cada link entre switch e equipamento é protegido e o switch decifra e recifra. Isso permite encaminhamento normal, VLAN e políticas, mas o quadro fica em claro dentro do switch. A confiança inclui cada switch. End-to-end sobre uma LAN pode ser possível com conectividade e políticas, mas bridges intermediárias precisam transportar frames e não terminar; a arquitetura é mais complexa. O critério de implantação é proteger cabos, patch panels, enlaces de campus, data center ou infraestrutura compartilhada contra escuta e injeção. Em uma residência, faz sentido em backbones de alto padrão, condomínios ou cabeamento acessível, não em todo sensor.

Em uma casa grande ou condomínio, uplinks de fibra/cobre entre racks, guarita, portaria e áreas técnicas podem atravessar dutos acessíveis. MACsec nos dois switches protege todo o tráfego Ethernet, incluindo IPv4, IPv6, ARP, VLANs e protocolos não IP, de forma transparente aos clientes. Isso é a diferença para IPsec, que precisa de políticas IP e não cobre quadros não IP. A implantação requer suporte de hardware para manter line rate. Switches Cisco Catalyst, Juniper, Arista e alguns equipamentos de data center oferecem. Produtos SMB e residenciais raramente. Verificar licença, portas e velocidade. Um switch que anuncia MACsec pode suportar apenas em uplinks ou com limitações de throughput. O overhead adiciona SecTAG e ICV, reduzindo MTU disponível ou aumentando quadro. O caminho precisa aceitar. Em Ethernet 1500, equipamentos geralmente lidam ajustando. Em túneis e QinQ, verificar. A cifra em hardware pode manter 1/10/25/100 Gbit/s; software em CPU pode não. O link precisa de MKA e chaves. 802.1X com RADIUS pode autenticar; em dois switches, uma CAK pre-shared pode bastar, mas deve ser aleatória e rotacionada. A configuração deve ser igual em cipher suite, replay window, confidentiality offset e política. Se um lado exige e o outro não suporta, o link pode cair. Isso é desejado fail-closed em enlaces críticos. Um modo fallback em claro reduz segurança e precisa ser explicitamente evitado ou monitorado. O operador deve testar após reboot e troca de transceiver. O NMS monitora MKA, peers, SAK e counters de ICV/replay.

Sistemas Linux suportam interfaces MACsec por kernel e `ip macsec`, com wpa_supplicant/MKA em cenários. NICs Intel e de outros fabricantes podem oferecer offload. Windows e appliances têm suporte variável. Um servidor Home Assistant, NVR ou storage conectado a switch compatível pode proteger o último salto. Porém, configurar MACsec em um Raspberry Pi pode consumir CPU e não ser suportado por driver. Avaliar. Para um servidor com dados de câmeras, o valor é impedir captura por um dispositivo inserido no cabo ou porta espelhada não autorizada fora do switch confiável. TLS ainda é necessário porque MACsec termina no enlace; tráfego pode sair da LAN ou passar por componentes. A proteção de camada 2 não autentica usuário nem serviço. Um malware no servidor vê dados após decifração. A chave precisa de gestão. MKA via EAP-TLS pode usar certificado do host e RADIUS, permitindo identidade individual. Isso é adequado a redes corporativas. Em uma casa, a complexidade de RADIUS pode superar. Uma CAK por link pode ser gerenciada, mas a perda exige acesso local. Para gateways industriais, MACsec é útil quando protocolos legados não têm TLS e todo o caminho entre dois switches pode ser protegido. Se há um switch intermediário sem MACsec, a proteção termina. Um erro comum é acreditar que habilitar no switch central cifra todos os cabos. Cada participante/link precisa. O diagrama deve marcar.

MACsec não é VPN de acesso remoto, não funciona sobre Internet roteada e não protege Wi‑Fi; 802.11 usa WPA2/WPA3. Também não substitui TLS, porque a proteção é do enlace e pode ser terminada em cada switch. Um insider com acesso ao switch confiável ou endpoint ainda vê. A política deve manter criptografia de aplicação para câmeras, APIs e credenciais. O protocolo protege contra modificação e replay no enlace, mas disponibilidade continua vulnerável: cortar cabo, bloquear frames ou derrubar MKA causa negação. O modo de failover precisa. Uma rotação de SAK mal implementada pode interromper. Monitorar. O replay window é um trade-off. Janela zero ou pequena rejeita reordenação; links agregados ou caminhos podem reordenar. Uma janela maior tolera, mas amplia aceitação de pacotes atrasados dentro do limite. Configurar. Link aggregation com MACsec possui requisitos e suporte. Spanning Tree, LLDP, EAPOL e outros control protocols podem ser tratados de forma específica, nem todos cifrados. A especificação permite bypass/control. O operador precisa saber quais quadros ficam. Chaves e MKA precisam de sincronização. Não reutilizar CAK global em toda rede. Um switch comprometido com CAK pode entrar. Certificados/EAP-TLS melhoram. FIPS/validação da implementação pode ser requisito. O padrão IEEE define, mas o produto precisa de certificação e testes. A consequência prática é custo: hardware mais caro, licenças e operação. Para uma casa comum, VLAN, WPA3 e TLS entregam mais valor. Para backbone físico compartilhado, MACsec adiciona uma camada difícil de obter por aplicação.