Inscrição por código QR no Android Enterprise: o que há dentro e como protegê-lo

A inscrição por código QR é uma forma comum de colocar um dispositivo Android corporativo sob gerenciamento. Você redefine o telefone para as configurações de fábrica, toca na tela de boas-vindas, aponta a câmera para um quadrado impresso e, poucos minutos depois, o dispositivo está inscrito, configurado e com seus aplicativos instalados. Sem precisar digitar contas, sem longas listas de verificação de configuração e sem cabos.

Essa conveniência vem do conteúdo do código. Um código QR do Android Enterprise não é um link para uma página da web. É um pequeno arquivo de configuração que informa ao dispositivo qual aplicativo de gerenciamento instalar, a qual organização ele pertence e, às vezes, a qual rede Wi-Fi se conectar e com qual senha. Qualquer pessoa que consiga fotografar o código pode ler esse arquivo, e qualquer pessoa de posse de uma cópia válida pode inscrever um dispositivo na sua frota.

Este guia é voltado para responsáveis de TI que inscrevem dispositivos Android corporativos com códigos QR, no escritório ou em campo, e que podem precisar explicar o processo e seus riscos à diretoria. Ele começa com o que o código contém, aborda a escolha entre uso corporativo e pessoal, Wi-Fi no código, controle de acesso ao código e o que fazer quando um código vaza. Conclui comparando a inscrição por código QR com o zero-touch e o Knox Mobile Enrollment, além de trazer uma breve seção de solução de problemas sobre o erro "token de inscrição expirado".

O básico: o que a inscrição por código QR realmente faz

Primeiro, um pouco de vocabulário, pois o restante do artigo depende dele.

• Inscrição (ou provisionamento): o processo que transforma um dispositivo novo ou restaurado de fábrica em um dispositivo gerenciado. Durante o provisionamento, um aplicativo de gerenciamento é instalado e recebe direitos administrativos sobre o dispositivo ou sobre uma parte dele.
• Controlador de política de dispositivo (DPC): o aplicativo de gerenciamento no dispositivo que aplica as regras da sua organização. Com a Android Management API, a API do Google para gerenciar dispositivos Android Enterprise, o DPC é o aplicativo Android Device Policy do Google.
• Token de inscrição: uma sequência de caracteres emitida pela sua plataforma de gerenciamento que identifica a qual organização e a qual política um novo dispositivo deve se vincular. Funciona como um código de convite.
• Assistente de configuração: as telas iniciais que o Android exibe após uma redefinição para as configurações de fábrica (idioma, rede, contas).
• Política: o conjunto de regras, aplicativos e configurações que a plataforma de gerenciamento aplica a um dispositivo: requisitos de senha, aplicativos permitidos, redes Wi-Fi, modo quiosque e assim por diante.

O fluxo de seis toques

Em um dispositivo restaurado de fábrica com o Android 7 ou posterior, tocar seis vezes no mesmo ponto da tela de boas-vindas abre um leitor de código QR. Em algumas versões mais antigas do Android, o dispositivo primeiro solicita conexão a uma rede para poder baixar o leitor de código QR. As versões mais recentes já vêm com o leitor integrado. Após escanear o código, o dispositivo:

1. Lê o conteúdo de provisionamento armazenado no código.
2. Conecta-se à rede, usando os dados de Wi-Fi contidos no código, caso estejam presentes.
3. Baixa o DPC e verifica sua assinatura em relação a um checksum no conteúdo, garantindo que um aplicativo adulterado seja rejeitado.
4. Entrega o token de inscrição ao DPC, que o apresenta ao serviço de gerenciamento.
5. Recebe a política vinculada àquele token e a aplica: restrições, aplicativos, redes, configurações de quiosque.

Onde o "afw#setup" se encaixa

O método afw#setup e o código QR costumam ser mencionados juntos. Eles são pontos de entrada diferentes para o mesmo resultado. O afw#setup é um identificador de DPC: você o digita no campo de conta do Google no assistente de configuração em vez de um endereço de e-mail, e o dispositivo faz o download do Android Device Policy. Esse aplicativo então solicita o token de inscrição, geralmente por meio da leitura de um código QR ou da digitação do código. O método dos seis toques obtém as mesmas informações em uma única leitura. De qualquer forma, o token de inscrição é a parte que define a qual organização o dispositivo se vincula.

O que há dentro do código

Um código QR é uma forma de codificar texto em imagem. Ele não criptografa nada. Qualquer aplicativo leitor de código QR, incluindo a câmera da maioria dos smartphones, pode transformar a imagem de volta no texto original. Para o provisionamento do Android Enterprise, esse texto é um documento JSON. JSON é um formato simples e legível por humanos, composto por chaves e valores.

Abaixo está um exemplo ilustrativo usando as chaves documentadas pelo Google para o provisionamento via Android Management API. Sua plataforma de gerenciamento gera o payload real, e os campos exatos dependem das suas configurações.

{
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":
      "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":
      "<checksum publicado do DPC>",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION":
      "https://play.google.com/managed/downloadManagingApp?identifier=setup",
  "android.app.extra.PROVISIONING_WIFI_SSID": "Staging-Net",
  "android.app.extra.PROVISIONING_WIFI_PASSWORD": "example-password",
  "android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE": "WPA",
  "android.app.extra.PROVISIONING_TIME_ZONE": "America/Sao_Paulo",
  "android.app.extra.PROVISIONING_LEAVE_ALL_SYSTEM_APPS_ENABLED": false,
  "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
    "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "<token de inscrição>"
  }
}

Aqui está o que cada grupo de campos faz e o seu nível de sensibilidade.

Dois campos são os mais importantes: o token e a senha do Wi-Fi. O restante deste artigo trata de como lidar com eles.

Propriedade da empresa ou uso pessoal: por que isso é decidido na inscrição

O Android Enterprise possui vários modos de gerenciamento, que definem quanto do dispositivo a organização controla.

• Totalmente gerenciado (propriedade da empresa): o DPC se torna o proprietário do dispositivo e gerencia todo o aparelho. É indicado para dispositivos compartilhados, coletores de dados robustos, quiosques e telefones de trabalho dedicados.
• Propriedade da empresa com permissão de uso pessoal: a organização é dona do dispositivo e controla sua segurança geral, mas o usuário também tem um espaço pessoal separado. Os aplicativos e dados corporativos ficam em um perfil de trabalho, um contêiner isolado com seus próprios aplicativos e dados que a TI gerencia. A área pessoal permanece privada.
• Perfil de trabalho em um dispositivo pessoal (BYOD): o funcionário é o proprietário do dispositivo. A organização gerencia apenas o perfil de trabalho e não pode visualizar nem apagar dados pessoais.

Por que você não pode simplesmente mudar isso depois

Fora de configurações de teste para desenvolvedores, o Android concede a função de proprietário do dispositivo apenas durante a configuração inicial, a partir do estado restaurado de fábrica. É por isso que a inscrição de dispositivos corporativos começa na tela de boas-vindas. Pelo mesmo motivo, o modo fica praticamente fixo depois que o dispositivo é inscrito. Mudar um dispositivo de totalmente gerenciado para uma estrutura com perfil de trabalho, ou vice-versa, geralmente exige restauração para os padrões de fábrica e uma nova inscrição. Isso demanda tempo e, em um dispositivo pessoal, é inaceitável para o proprietário.

Tome a decisão antes que o primeiro dispositivo seja escaneado. Algumas regras práticas:

• Se o dispositivo for compartilhado, usado como quiosque ou executar um único aplicativo de linha de negócios, escolha o modo totalmente gerenciado.
• Se a empresa comprou o aparelho, mas os funcionários também o utilizarão de forma razoável para chamadas e aplicativos pessoais, considere a opção de propriedade da empresa com permissão de uso pessoal, para que a separação fique clara desde o primeiro dia.
• Se os funcionários usarem seus próprios telefones, utilize um perfil de trabalho. Ele é inscrito a partir do dispositivo já configurado, por meio de um link ou código, e não pelo fluxo de seis toques na tela de boas-vindas.

O código QR carrega essa decisão consigo. Um código criado para uso totalmente gerenciado configurará dispositivos totalmente gerenciados para qualquer um que o escanear. Nomeie e organize seus códigos impressos para que um técnico de preparação não use o código errado.

Wi-Fi no código: quando ajuda e o que evitar

Um dispositivo não consegue baixar seu DPC sem uma conexão de rede. Você pode deixar o técnico escolher uma rede no próprio aparelho ou incluir os dados da rede no código QR.

Quando ajuda

Incluir o Wi-Fi de configuração no código é útil em campo e em implantações em grande escala. Um técnico que inscreve vinte coletores em um estoque, ou um gerente de loja que configura um tablet de substituição, não precisa digitar uma senha longa em um teclado minúsculo vinte vezes. Isso elimina erros de digitação, evita que as pessoas peçam a senha aos colegas e torna o processo repetível o suficiente para ser delegado a equipes que não são de TI. Em aparelhos sem um teclado prático, como dispositivos robustos em ambientes onde se usam luvas, isso pode definir se a inscrição é viável na prática.

O que evitar

A senha fica no código em texto não criptografado. Qualquer pessoa que escanear o código com uma câmera comum de smartphone pode ler o SSID e a senha, sem inscrever dispositivo algum. Portanto, a senha do Wi-Fi dura apenas enquanto durar a cópia menos protegida do código. Práticas arriscadas incluem:

• Um código temporário contendo uma senha de Wi-Fi corporativa impresso em um cartaz em um estoque, copa ou escritório. Visitantes, terceirizados e entregadores podem fotografá-lo.
• Reutilizar sua rede corporativa principal como a rede de configuração. O vazamento do código significa vazar o acesso a tudo o que está nessa rede.
• Códigos que duram mais do que a política de senhas. Se a senha da rede mudar, mas os impressos antigos continuarem por aí, o resultado é confusão e, mais cedo ou mais tarde, alguém tentando "consertar" imprimindo um novo código com a nova senha.

Boas práticas

• Use uma rede de provisionamento dedicada: segmentada, com acesso à internet restrito apenas ao que a inscrição exige e com uma senha que você esteja preparado para trocar.
• Prefira um código cujo Wi-Fi venha de uma rede já definida na política, para que as credenciais sejam gerenciadas em um único lugar em vez de serem digitadas em códigos pontuais.
• Quando precisar de uma exceção temporária, como na instalação de um cliente com sua própria rede de convidados, use um código que não seja salvo e destrua-o após o uso.
• Reserve o Wi-Fi corporativo baseado em certificados (802.1X) para a política aplicada após a inscrição, não para o payload de configuração inicial. Uma rede de preparação mais simples e isolada é mais fácil de manter durante a configuração.
• Se o local tiver dados móveis ou Ethernet, considere não incluir o Wi-Fi no código.

A tela de inscrição do Nomid segue essa separação. O código QR padrão de uma política obtém o Wi-Fi de configuração a partir de uma rede que já faz parte da política, utilizando a senha definida nela. Uma opção separada, "Usar um Wi-Fi diferente desta vez", cria um código pontual que não é salvo, e o portal avisa que qualquer pessoa com o código QR poderá ler a senha.

Trate o código como uma chave

A metáfora da "chave mestra" é útil, mas convém ser exato sobre o que a chave abre, para que o risco não seja nem exagerado, nem ignorado.

O que um código vazado pode e não pode fazer

Um token de inscrição válido permite que alguém adicione um dispositivo à sua frota sob a política vinculada àquele token. Esse dispositivo poderá então receber tudo o que a política distribuir, o que pode incluir:

• Seus aplicativos privados ou internos, distribuídos via Google Play gerenciado ou uma loja de aplicativos privada.
• Configurações de rede, incluindo credenciais de Wi-Fi enviadas pela política após a inscrição.
• Links da web, arquivos e conteúdos destinados aos funcionários.
• Quaisquer configurações de VPN ou certificados contidos na política.

Além disso, adiciona um dispositivo desconhecido ao seu inventário, poluindo relatórios e consumindo licenças.

O que o token não faz é dar acesso ao seu console de gerenciamento, aos dispositivos existentes ou aos dados deles. É uma chave para a porta de entrada da inscrição, não para a sala de controle. Essa distinção é importante ao explicar um incidente à diretoria. A exposição fica limitada a "tudo o que qualquer dispositivo inscrito nessa política recebe", além da senha do Wi-Fi, caso constasse no código.

Quem pode criar e imprimir

Trate os códigos de inscrição como qualquer outra credencial, aplicando o princípio do menor privilégio. Questione-se:

• Quais administradores do console têm permissão para visualizar o código de inscrição de uma política?
• Quem pode regenerá-lo?
• Os administradores regionais ou locais precisam de códigos para todas as políticas ou apenas para as políticas usadas em suas unidades?

No Nomid, administradores sem permissão de provisionamento em uma política não podem ver seus códigos de inscrição, e regenerar um código exige permissão para editar a política. Portanto, a definição de funções é o primeiro controle. Conceda aos responsáveis de loja ou de campo direitos de provisionamento apenas para as políticas nas quais eles realmente inscrevem dispositivos.

Onde ele vai parar

Um vazamento não precisa de um atacante. Muitas vezes, o código apenas viaja além do planejado. Vias comuns:

• Fotos. Um técnico fotografa o código "para ter à mão", e a imagem vai parar em um backup de fotos na nuvem ou em um álbum compartilhado.
• Grupos de mensagens. Um código compartilhado com um colega é encaminhado para um grupo regional e, depois, para um grupo de fornecedores.
• Cartazes e impressões. Códigos colados na parede, deixados em salas de preparação ou arquivados junto à documentação de envio.
• Capturas de tela em chamados e documentação. Artigos de suporte, apresentações e guias de integração que contêm um código ativo.
• Convites por e-mail. Encaminhados além do destinatário previsto.

Hábitos práticos:

• Compartilhe códigos com indivíduos específicos, não com grupos, e prefira exibir o código em tela cheia em um notebook durante uma sessão de preparação em vez de distribuir papel. Qualquer outra forma de compartilhar deixa uma cópia para trás: no Nomid, isso significa uma imagem baixada, uma impressão, um link copiado, uma mensagem de WhatsApp ou um convite por e-mail.
• Recolha e destrua os impressos após uma implantação.
• Use imagens ilustrativas na documentação, nunca um código ativo.
• Mantenha um breve registro de onde o código de cada política foi compartilhado, para saber o raio de impacto caso precise regenerá-lo.

Expiração

Os tokens de inscrição têm um período de validade. Após o término desse prazo, os códigos e links baseados no token deixam de inscrever dispositivos. Isso limita o tempo em que uma impressão esquecida permanece perigosa, mas também explica por que um código que funcionava no trimestre passado pode falhar hoje. O tempo de validade de um token depende de como sua plataforma o emite. Em vez de confiar em um número de memória, consulte a data de expiração mostrada no seu console e planeje as implantações com base nela. A tela de inscrição do Nomid exibe "Válido até <data>" e "Última regeneração" para o token de cada política.

A expiração é uma proteção adicional, não um substituto para a regeneração. Se você sabe que um código vazou, não espere que ele expire.

Código vazado: como regenerar e o que acontece a seguir

Suponha que um código de preparação tenha sido publicado em um grupo de bate-papo com prestadores de serviços externos, ou que um cartaz tenha permanecido na parede após a reforma de uma loja. Siga os passos abaixo.

1. Regenerar o token

A regeneração emite um novo token de inscrição para a política e invalida o anterior. No Nomid, o botão "Regenerar código QR" na tela Inscrever dispositivos da política exige permissão para editar a política. O administrador deve confirmar "Entendo que os códigos QR e links antigos deixarão de funcionar" antes de prosseguir.

2. Entender o que para de funcionar

Como todos os códigos QR e links de inscrição de uma política carregam o mesmo token, a regeneração afeta todos eles de uma só vez. Após a regeneração no Nomid:

• Todos os códigos QR dessa política deixam de funcionar, incluindo os impressos, as imagens baixadas e as capturas de tela.
• Todos os links de inscrição deixam de funcionar, incluindo links compartilhados por mensagens ou colados em documentos.
• Todos os convites enviados por e-mail para essa política deixam de funcionar.

Esse comportamento é proposital, mas tem um custo operacional. Qualquer unidade com uma impressão legítima precisará do novo código. Avise as equipes de campo antes de regenerar, ou imediatamente depois, e envie os substitutos por um canal mais restrito do que aquele que vazou.

3. Por que os dispositivos já inscritos continuam funcionando

Muitas vezes, os administradores temem que a regeneração desconecte os dispositivos existentes do gerenciamento. Isso não acontece. Cada dispositivo apresenta o token de inscrição uma única vez, no momento em que entra na plataforma (o mesmo token pode admitir outros dispositivos até expirar ou ser regenerado). Depois disso, o aparelho passa a ter sua própria identidade e relação com o serviço de gerenciamento, sem precisar consultar novamente o token. A regeneração altera o convite, não a filiação. No Nomid, os dispositivos já inscritos não são afetados pela regeneração.

4. Verificar dependências com o zero-touch

Se uma configuração de zero-touch usar o token da política, a regeneração quebraria silenciosamente todos os futuros dispositivos zero-touch atribuídos a ela. O Nomid evita isso: o portal recusa a regeneração até que a configuração zero-touch seja direcionada para outro lugar. Reatribua essa configuração primeiro e, em seguida, faça a regeneração.

5. Limpar os rastros após o vazamento

A regeneração impede novas inscrições. Ela não desfaz as que já ocorreram. Dê seguimento das seguintes formas:

• Revisando os dispositivos inscritos nessa política desde a provável data do vazamento e procurando por nomes, modelos ou locais que você não reconheça.
• Removendo ou apagando qualquer dispositivo que você não consiga identificar.
• Alterando a senha do Wi-Fi caso o código vazado a contivesse, já que regenerar o token não anula uma senha que já foi lida.
• Revisando o que a política distribui. Se ela fornecer configurações confidenciais, avalie se esse conteúdo não deveria estar em uma política mais restrita.

Para a diretoria, o resumo é: "Revogamos o código, os dispositivos existentes não foram afetados, verificamos se havia aparelhos indevidos e trocamos a senha da rede."

QR vs. Zero-Touch vs. Knox Mobile Enrollment

Os códigos QR são apenas uma entre várias formas de inscrição, e cada uma tem seu espaço. A inscrição Android zero-touch vincula os dispositivos à sua organização no momento da compra por meio de um revendedor participante. O dispositivo se inscreve sozinho na primeira inicialização, sem necessidade de leitura, e não há código impresso para vazar, mas depende da compra por meio de um revendedor parceiro de zero-touch. O Samsung Knox Mobile Enrollment oferece inscrição automática semelhante para dispositivos Samsung, com aparelhos registrados pelo portal da Samsung ou por um revendedor autorizado. Já a inscrição por código QR funciona em quase qualquer dispositivo Android 7+ que você já possua, de qualquer procedência. Isso a torna a opção prática para frotas mistas, reinscrições após reparos e pequenos lotes, ao custo de exigir cuidado no manuseio do código. Uma divisão sensata é usar zero-touch ou Knox para novas aquisições e código QR para todo o restante.

Solução de problemas comuns na inscrição por código QR

"Enrollment token expired" ou "invalid token"

O token ultrapassou o período de validade ou foi regenerado, de modo que o código não é mais válido. É a primeira coisa a suspeitar quando uma impressão antiga ou captura de tela salva apresenta falha. Obtenha o código atualizado no console e verifique a data de expiração. Se o código tiver sido regenerado recentemente, quaisquer cópias feitas antes dessa data falharão por padrão.

Tocar na tela de boas-vindas não tem efeito

Certifique-se de que o dispositivo foi totalmente restaurado para os padrões de fábrica e está exatamente na primeira tela de boas-vindas, e toque seis vezes no mesmo local. Algumas versões mais antigas do Android precisam de uma conexão de rede primeiro para baixar o leitor de código QR. Se o dispositivo já tiver passado da tela de boas-vindas, a inscrição no modo corporativo exigirá outra restauração de fábrica.

O dispositivo lê o código, mas não conecta

Verifique se a rede de configuração está ao alcance e se a senha não foi alterada desde que o código foi gerado. Verifique também se o tipo de segurança é compatível com o payload de configuração. Portais cativos (aquelas páginas de login comuns em redes de visitantes) bloqueiam o provisionamento. Utilize uma rede sem portal cativo.

O dispositivo foi inscrito com o modo errado

O dispositivo foi escaneado com um código criado para outro tipo de uso ou política. Como o modo é definido na inscrição, a solução é remover o dispositivo, restaurá-lo para os padrões de fábrica e reinscrevê-lo com o código correto. Identifique claramente os códigos impressos para evitar repetições do problema.

A inscrição foi bem-sucedida, mas os aplicativos não aparecem

Os aplicativos podem demorar para baixar após a inscrição, especialmente em redes lentas. Confirme se o dispositivo tem uma conexão estável e se os aplicativos estão atribuídos na política. Em dispositivos gerenciados pelo Nomid, o aplicativo Nomid Settings inclui uma tela de Check-up, caso a política habilite seu botão. Ela verifica se os aplicativos da Nomid Store da política estão instalados, se o dispositivo consegue alcançar a API do Nomid e os servidores de acesso remoto, e se a Play Store, o Google Play Services, os serviços de localização e as permissões do agente estão em ordem. Verificações com falha oferecem uma correção, e a execução fica registrada no histórico de comandos do dispositivo.

Resumo geral

Um código QR do Android Enterprise é um arquivo legível de configuração impresso como imagem. Ele especifica o aplicativo de gerenciamento, carrega um token de inscrição que aceita dispositivos em uma política específica e pode incluir o Wi-Fi de configuração com sua senha em texto não criptografado. É por isso que ele agiliza a inscrição e também por isso que requer o mesmo cuidado dedicado a qualquer credencial.

Principais pontos:

• Saiba o que está nos seus códigos. O token de inscrição e qualquer senha de Wi-Fi são as partes confidenciais.
• Escolha o modo de gerenciamento (totalmente gerenciado, propriedade da empresa com uso pessoal ou perfil de trabalho) antes da inscrição. Alterá-lo mais tarde geralmente exige restauração para os padrões de fábrica.
• Inclua o Wi-Fi no código para evitar digitação no local, mas use uma rede de provisionamento dedicada e segmentada, e não afixe códigos avulsos contendo senhas.
• Limite quem pode visualizar e regenerar códigos, compartilhe-os com pessoas específicas em vez de grupos e recolha os impressos após as implantações.
• Fique atento à data de validade do token e não espere a expiração caso saiba que um código vazou.
• Quando um código vazar: regenere-o, reemita os códigos por um canal mais restrito, verifique se há dispositivos desconhecidos e troque qualquer senha de Wi-Fi exposta. Os dispositivos já inscritos continuam funcionando.
• Use zero-touch ou Knox Mobile Enrollment onde o canal de compra permitir, e código QR para todo o restante.

Próximos passos: liste todos os códigos de inscrição atualmente em circulação: impressões, capturas de tela, mensagens de bate-papo e documentações. Para cada um, anote a qual política pertence e se contém uma senha de Wi-Fi. Em seguida, decida quais códigos regenerar agora e quais deixar até que expirem.

Se você estiver avaliando plataformas, o Nomid MDM disponibiliza esses controles na tela Inscrever dispositivos de cada política:

• Um código QR por política, gerado a partir dos padrões salvos na política (tipo de uso, fuso horário, uma rede Wi-Fi da política e opções de provisionamento).
• Uma opção avulsa claramente identificada para uma rede Wi-Fi diferente.
• Links de perfil de trabalho para dispositivos pessoais quando a política permitir.
• Informações visíveis de "Válido até" e "Última regeneração".
• Uma ação de regeneração que exige confirmação e verifica dependências com o zero-touch antes de prosseguir.

O zero-touch, o Knox Mobile Enrollment e o próprio token de inscrição são oferecidos como vias alternativas. Um plano gratuito cobre até 10 dispositivos sem limite de tempo, o que é suficiente para testar seu processo de inscrição e o manuseio de códigos antes de implementá-los de forma mais ampla.