Criando um Domínio de Autenticação WiKID

O que é um domínio de autenticação

Um domínio de autenticação segmenta a autoridade de autenticação dentro do sistema WiKID. Cada dispositivo pode participar de múltiplos domínios. Um domínio pode viver em um único servidor WiKID Strong Authentication Server ou em servidores separados. Do outro lado, um servidor pode servir vários domínios. Domínios podem ser exclusivos (conjunto fechado de dispositivos) ou inclusivos (qualquer conjunto de dispositivos).

Definição rápida: domínio de autenticação = namespace que controla políticas e mapeia dispositivos a um servidor.

Como o código de 12 dígitos funciona

O domínio é identificado inicialmente por um código de 12 dígitos usado no provisionamento do dispositivo. Esse código permite que um dispositivo não configurado localize e registre-se em um servidor e domínio específicos.

• O código de 12 dígitos representa, por padrão, um endereço IP com zeros à esquerda (zero-padded). Exemplo: um servidor público com IP 27.232.7.14 vira 027232007014.
• Opcionalmente, o código pode ser um prefixo pré-registrado no domínio wikidsystems.net (serviço de encaminhamento). Isso permite usar códigos para IPs não roteáveis (por exemplo, 999888777666).
• Em instalações controladas, você pode alterar a resolução DNS local usando um arquivo jw.properties personalizado no token de software.

Importante: o campo Server Code deve ter exatamente 12 dígitos.

Navegando até a gestão de domínios

No console de administração, selecione a opção de cabeçalho marcada como [Domínios] para ver os domínios atuais atendidos por este servidor.

Figura 12 – Tela de configuração de domínios mostrando a lista atual

Para criar um novo domínio, clique em [Criar Novo Domínio]. A tela de parâmetros do novo domínio aparecerá.

Figura 13 – Parâmetros de configuração do domínio

Opções obrigatórias de configuração do domínio

Abaixo estão as opções que você deve preencher ao criar um domínio. Cada descrição inclui notas operacionais e recomendações.

• Domain Name — Rótulo descritivo para uso interno na administração. Use um nome claro e único que indique localização, função ou cliente.

• Device Domain Name — Rótulo que aparecerá no menu do dispositivo cliente. Deve ser curto para facilitar leitura em telas móveis. Recomendação: 8–20 caracteres.

• Minimum PIN Length — Comprimento mínimo do PIN aceito para este domínio. Dispositivos que tentarem definir PINs menores receberão erro. Recomendação: mínimo 4 dígitos; para maior segurança, 6 ou mais.

• Passcode Lifetime — Tempo máximo de vida (em segundos) do código de uso único (one-time passcode). Após N segundos o passcode expira automaticamente. Recomendação: balanceie usabilidade e segurança; valores comuns estão entre 30 e 120 segundos.

• Server Code — Endereço IP zero-padded ou prefixo pré-registrado em wikidsystems.net. Deve ter exatamente 12 dígitos.

• Max Bad PIN Attempts — Número máximo de tentativas de PIN incorretas por dispositivo antes do bloqueio do dispositivo.

• Max Bad Passcode Attempts — Número máximo de códigos de uso único incorretos para um userid antes do bloqueio do userid.

• Max Sequential Offlines — Número máximo de autenticações off-line consecutivas permitidas antes de forçar autenticação on-line. Útil para clientes sem cobertura de rede.

• Use TACACS+ — Habilite para usar TACACS+ neste domínio.

Ao preencher os parâmetros, clique em Criar para adicionar o domínio.

Confirmação e verificação

Após criar o domínio, volte a [Domínios] no cabeçalho. O novo domínio deve aparecer em Domínios Atuais.

Figura 14 – Lista de domínios atuais com o novo domínio

Selecione [Principal] no cabeçalho para visualizar o resumo do servidor. O painel deve indicar que o servidor está atendendo o novo domínio.

Figura 15 – Tela de resumo após configuração do domínio

Checklist rápido: criar um domínio (passo a passo)

1. Acesse o console como administrador com privilégios de criação.
2. Clique em [Domínios].
3. Clique em [Criar Novo Domínio].
4. Preencha Domain Name e Device Domain Name.
5. Defina Minimum PIN Length e Passcode Lifetime.
6. Insira Server Code (12 dígitos exatos).
7. Configure limites de tentativas e Max Sequential Offlines.
8. Ative Use TACACS+ se necessário.
9. Clique em Criar.
10. Verifique a lista em [Domínios] e a tela [Principal].

Cenários onde isso pode falhar e soluções rápidas

• Server Code inválido (não tem 12 dígitos): corrige inserindo zeros à esquerda ou usando o prefixo custodial do serviço wikidsystems.net.
• Dispositivo não encontra servidor: verifique resolução DNS e bloqueios de firewall. Se usar jw.properties personalizado no token, confirme que o arquivo foi implantado corretamente.
• Passcodes expirando muito rápido: aumente Passcode Lifetime para melhorar usabilidade, mantendo logs e monitoramento.
• Usuários bloqueados por muitas tentativas: reveja Max Bad PIN Attempts e olhe logs para distinguir erro humano de ataque.

Alternativas e modelos mentais

• Modelo compacto: pense no domínio como um contêiner lógico que agrupa políticas, usuários e dispositivos. O Server Code é o endereço do contêiner.
• Alternativa para ambientes fechados: use apenas prefixos registrados em wikidsystems.net se não houver IP público estável.
• Alternativa para grandes organizações: isole domínios por unidade organizacional (por departamento, região ou cliente) para aplicar políticas distintas.

Exemplo de arquivo jw.properties (modelo)

Use este modelo apenas como referência; adapte chaves e valores conforme sua instalação. Não insira informações sensíveis em arquivos de configuração sem controle de acesso.

# jw.properties de exemplo
server.prefix=027232007014
server.port=443
server.scheme=https
# se necessário, a resolução pode apontar para um hostname local
# server.host=auth.mycompany.internal

Nota: o nome exato das propriedades pode variar conforme a versão do token; revise a documentação do seu pacote de token.

Checklist por papel

Administrador:

• Validar Server Code (12 dígitos).
• Definir políticas de PIN e passcode.
• Habilitar TACACS+ quando preciso.
• Monitorar logs após criação.

Responsável de Segurança:

• Determinar Minimum PIN Length e Passcode Lifetime.
• Avaliar risco de Max Bad Attempts e bloqueios.
• Revisar logs de tentativas suspeitas.

Helpdesk / Suporte:

• Passos para reativar dispositivo bloqueado.
• Validar políticas com usuário antes de resetar credenciais.

Critérios de aceitação e testes

• O domínio aparece na lista de Domínios após a criação.
• Dispositivo consegue localizar o domínio usando o código de 12 dígitos.
• Políticas de Minimum PIN Length e Passcode Lifetime são aplicadas no cliente.
• Blocos por tentativas excessivas funcionam conforme configurado.

Testes mínimos:

• Provisionar um dispositivo com o Server Code e registrar no domínio.
• Tentar definir PIN menor que Minimum PIN Length e verificar erro.
• Gerar um passcode e aguardar Passcode Lifetime + 1 segundo; validar expirou.

Maturidade e escalonamento

• Nível 1 — Piloto: 1–2 domínios, monitoramento manual.
• Nível 2 — Produção: domínios separados por função/região, alertas configurados.
• Nível 3 — Empresa: automação de provisionamento, integração com TACACS+/LDAP e relatórios centralizados.

Riscos e mitigação

Risco: código Server Code comprometido ou divulgado. Mitigação: tratar Server Code como configuração sensível; limitar quem pode criar domínios e auditar mudanças.

Risco: bloqueios em massa por configuração restritiva de tentativas. Mitigação: aplicar políticas progressivas e habilitar processos de desbloqueio aprovados.

Risco: dispositivos offline excessivos usando Max Sequential Offlines. Mitigação: revisar a política e fornecer fallback seguro quando necessário.

Privacidade e conformidade

• Avalie quais dados de usuário serão armazenados e por quanto tempo.
• Em regiões com regulamentação (por exemplo, GDPR), documente a finalidade e retenção de logs de autenticação.
• Garanta que arquivos de configuração (como jw.properties) não incluam segredos expostos.

Migração e compatibilidade

• Ao migrar domínios entre servidores, mantenha o mesmo Server Code ou atualize dispositivos com nova configuração.
• Teste a resolução DNS e a conectividade antes de desativar o servidor antigo.

Resumo

Criar um domínio de autenticação no WiKID envolve definir um conjunto claro de parâmetros que controlam comportamento de PINs, vida de passcodes, limites de tentativas e o Server Code de 12 dígitos. Teste sempre após criação e documente políticas para evitar bloqueios indesejados. Use jw.properties para personalizar resolução quando necessário.

Importante: valide sempre o Server Code com zeros à esquerda e mantenha a configuração de segurança sob revisão periódica.