PPSK 12: Vergleich von Funktionen und Bereitstellungsmodellen

Willkommen zum technischen Briefing von Purple. Heute befassen wir uns mit PPSK 12 - das ist ein Private Pre-Shared Key mit einer Mindestlänge von 12 Zeichen - und vergleichen die Funktionen und Bereitstellungsmodelle für Immobilienentwickler, Vermieter und Build-to-Rent-Betreiber. Beginnen wir mit dem Kontext. Wenn Sie ein Wohngebäude mit 50, 100 oder 300 Einheiten verwalten, stehen Sie vor einem WiFi-Problem, das weder durch ein gemeinsam genutztes Passwort noch durch eine vollständige Enterprise-802.1X-Bereitstellung sauber gelöst werden kann. Ein gemeinsam genutztes Passwort bedeutet, dass sich jeder Bewohner im selben Netzwerk befindet. Zieht eine Person aus, müssen Sie das Passwort ändern und stören damit die Smart-Home-Einrichtung aller anderen Bewohner. Eine vollständige 802.1X-Implementierung ist zwar der Goldstandard für im Unternehmen verwaltete Geräte, erfordert jedoch eine Public-Key-Infrastruktur, Zertifikatsverwaltung und eine Supplicant-Konfiguration auf jedem einzelnen Gerät. Die Chromecasts, Smart Speaker und Spielekonsolen Ihrer Bewohner können das schlichtweg nicht leisten. PPSK liegt genau zwischen diesen beiden Extremen. Jeder Bewohner erhält seinen eigenen, eindeutigen Pre-Shared Key - mindestens 12 Zeichen lang, bestehend aus Groß- und Kleinschreibung, Zahlen und Symbolen. Alle Bewohner verbinden sich mit derselben SSID. Aus der Sicht des Bewohners fühlt es sich genau wie ein privates WiFi-Netzwerk an. Aus Ihrer Sicht als Betreiber ist jede Verbindung individuell identifizierbar, individuell verschlüsselt und individuell widerrufbar. Abschnitt eins: die technische Architektur. Wenn sich ein Gerät mit einer PPSK-fähigen SSID verbindet, fängt der Wireless LAN Controller den Verbindungsversuch ab und leitet die MAC-Adresse des Geräts an einen RADIUS-Server weiter. RADIUS - Remote Authentication Dial-In User Service - ist die Authentifizierungs-Engine. Der RADIUS-Server sucht diese MAC-Adresse in seinem Identitätsspeicher und gibt eine Access-Accept-Antwort zurück. In dieser Antwort sind der eindeutige Pre-Shared Key für diesen Bewohner sowie eine VLAN-Zuweisung eingebettet. Der Controller gleicht den vom Gerät vorgelegten Schlüssel mit dem vom RADIUS-Server zurückgegebenen Schlüssel ab. Stimmen sie überein, authentifiziert sich das Gerät und landet im richtigen Netzwerksegment. Das Ergebnis ist das, was wir eine WiFi-Bubble pro Bewohner nennen. Jedes Gerät, das mit dem Schlüssel von Bewohner A verbunden ist, sieht jedes andere Gerät mit dem Schlüssel von Bewohner A. Das Telefon findet den Chromecast. Der Smart Speaker koppelt sich mit den Glühbirnen. Die Konsole findet den Fernseher. Kein Gerät mit dem Schlüssel von Bewohner A sieht ein Gerät, das einen anderen Schlüssel nutzt. Die Geräte von Bewohner B sind für Bewohner A unsichtbar, obwohl sie denselben physischen Access Point nutzen. Die großen Anbieter implementieren dies jeweils etwas anders. Cisco Meraki nennt es iPSK - Identity PSK. HPE Aruba nennt es MPSK - Multi-PSK. Ruckus nennt es DPSK - Dynamic PSK. Juniper Mist verwendet PPSK. Das zugrundeliegende Prinzip ist bei allen vier identisch. Die Implementierungsdetails unterscheiden sich in der Strukturierung der RADIUS-Attribute und der Anzahl der eindeutigen Schlüssel, die eine einzelne SSID unterstützen kann.Zur Schlüssellänge: Das Minimum von 12 Zeichen ist nicht willkürlich. WPA2-PSK-Schlüssel werden mittels PBKDF2 mit 4.096 Iterationen von HMAC-SHA1 abgeleitet. Ein Schlüssel mit weniger als 12 Zeichen ist anfällig für Offline-Wörterbuchangriffe, insbesondere mit modernen GPU-beschleunigten Cracking-Tools. Bei 12 Zeichen mit gemischten Zeichenklassen ist der Schlüsselraum groß genug, um Brute-Force-Angriffe mathematisch unpraktikabel zu machen. Einige Plattformen, einschließlich UniFi, setzen dieses Minimum auf UI-Ebene durch. Sie sollten dies in Ihrer Richtlinie zur Schlüsselgenerierung vorschreiben, unabhängig davon, ob die Plattform es verlangt. Abschnitt zwei: Bereitstellungsmodelle. Es gibt drei Bereitstellungsarchitekturen für PPSK, und die Wahl der richtigen hängt von Ihrem Immobilienportfolio und der Kapazität Ihres Teams ab. Die erste ist Cloud RADIUS. Ihre Access Points authentifizieren sich gegenüber einem RADIUS-Service, der in der Cloud gehostet wird, typischerweise über mehrere Verfügbarkeitszonen hinweg. Dies ist die richtige Wahl für standortübergreifende Portfolios - beispielsweise ein BTR-Betreiber mit Immobilien in mehreren Städten. Cloud RADIUS eliminiert Hardware pro Standort, automatisiert die Zertifikatsrotation und skaliert elastisch. Die Plattform von Purple bietet eine Betriebszeit von 99,999 % auf ihrer Authentifizierungsinfrastruktur. Der Kompromiss ist die WAN-Abhängigkeit: Wenn die Internetverbindung an einem Standort ausfällt, können sich neue Geräte nicht authentifizieren, bis die Verbindung wiederhergestellt ist. Reduzieren Sie dieses Risiko mit SD-WAN und lokalem Zwischenspeichern von Anmeldedaten auf dem Controller. Die zweite Option ist ein On-Premise RADIUS. Ein RADIUS-Server - typischerweise Microsoft NPS oder FreeRADIUS - läuft auf Hardware oder einer virtuellen Maschine in der Immobilie. Dies bietet Ihnen eine Authentifizierungslatenz im Sub-Millisekundenbereich, vollständige Datensouveränität und keine WAN-Abhängigkeit. Es ist die richtige Wahl für eine einzelne große Immobilie mit strengen Anforderungen an die Datenresidenz oder für Umgebungen, in denen die Internetverbindung unzuverlässig ist. Die Betriebskosten sind höher: Ihr Team verwaltet das Patching, die Zertifikatsrotation und den Serverzustand. Der Ablauf von Zertifikaten ist die häufigste Ursache für vollständige Authentifizierungsausfälle bei On-Premise-Bereitstellungen. Integrieren Sie die automatisierte Zertifikatsverlängerung vom ersten Tag an in Ihr Runbook. Die dritte Option ist ein Hybridmodell. Cloud RADIUS verwaltet Gast- und IoT-SSIDs. Der On-Premise RADIUS übernimmt alle Unternehmens- oder Mitarbeiter-SSIDs, die sich gegenüber einem internen Active Directory authentifizieren. Dies ist ein pragmatisches Modell für gemischt genutzte Immobilien - zum Beispiel ein BTR-Gebäude mit Einzelhandel oder Coworking-Flächen im Erdgeschoss. Die Plattform von Purple unterstützt dieses Hybridmodell nativ und läuft auf Access Points von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Abschnitt drei: Schlüssel-Lifecycle-Management. Die Technologie ist der einfache Teil. Am Schlüssel-Lifecycle-Management entscheidet sich im Betrieb, ob Bereitstellungen erfolgreich sind oder scheitern. Beim Einzug wird der eindeutige Schlüssel eines Bewohners automatisch generiert und bereitgestellt - idealerweise über eine API-Integration mit Ihrem Immobilienverwaltungssystem. Der Bewohner erhält den Schlüssel per Willkommens-E-Mail oder über die Bewohner-App. Alle seine Geräte verbinden sich über diesen einen Schlüssel. Beim Auszug wird der Schlüssel widerrufen. Kein anderer Bewohner ist davon betroffen. Keine Passwortänderung. Keine Support-Tickets. Während der Mietzeit fügen Bewohner neue Geräte hinzu. Ein Self-Service-Portal oder eine Bewohner-App, die den bestehenden Schlüssel des Bewohners für ein neues Gerät ausstellt - ohne diesen Schlüssel anderen Bewohnern preiszugeben - ist der richtige Ansatz. Die Plattform von Purple bietet diesen Workflow standardmäßig. Das kritische operative Risiko ist die MAC-Adressen-Randomisierung. iOS 14 und neuer, Android 10 und neuer sowie Windows 11 randomisieren standardmäßig aus Datenschutzgründen MAC-Adressen. Wenn ein Gerät eine randomisierte MAC-Adresse meldet, findet Ihr RADIUS-Server keinen passenden Eintrag und lehnt die Verbindung ab. Die Lösung besteht darin, Ihre SSID so zu konfigurieren, dass Clients die permanente MAC-Adresse ihres Geräts verwenden müssen, oder einen Vorregistrierungs-Workflow zu implementieren. Dies muss vom ersten Tag an in Ihrem Bereitstellungsplan vorgesehen sein und darf nicht erst beim Go-Live entdeckt werden. Abschnitt vier: WPA3 und die 6 GHz-Überlegung. Ein Wort zu WPA3, denn hier sehe ich häufig Planungsfehler bei Betreibern. PPSK, wie es derzeit implementiert ist, basiert auf dem Vier-Wege-Handshake von WPA2-PSK. WPA3 führt SAE - Simultaneous Authentication of Equals - ein, was den Handshake-Mechanismus ändert. SAE unterstützt derzeit nur einen Schlüssel pro SSID. Das bedeutet, dass eine reine WPA3 SSID nicht mehrere eindeutige, vorab freigegebene Schlüssel unterstützen kann. Im 6 GHz-Band, das mit WiFi 6E eingeführt wurde, ist WPA3 obligatorisch. Sie können WPA2 im 6 GHz-Band überhaupt nicht betreiben. Wenn Sie also WiFi 6E oder WiFi 7 Access Points bereitstellen und das 6 GHz-Band nutzen möchten, ist PPSK dort derzeit nicht verfügbar. Die praktische Empfehlung für Bereitstellungen in den Jahren 2025 und 2026 ist eine Dualband-Strategie. Betreiben Sie Ihre PPSK SSID auf 2,4 GHz und 5 GHz im WPA2- oder WPA2/WPA3-Übergangsmodus. Verwenden Sie eine separate WPA3-Enterprise SSID auf 6 GHz für verwaltete Geräte, die dies unterstützen. Dies bietet Ihnen die Isolierung pro Bewohner durch PPSK für den Großteil der Geräteflotte und die verbesserte Sicherheit von WPA3 für Geräte, die dies nutzen können. Hersteller wie Cisco Meraki, HPE Aruba und Juniper Mist arbeiten aktiv an WPA3-kompatiblen PPSK-Implementierungen. Abschnitt fünf: Compliance und Datenschutz. PPSK-Bereitstellungen in Wohnumgebungen unterliegen einem sensibleren Datenschutzkontext als Gäste-WiFi. Bewohner haben eine fortlaufende Beziehung zu Ihnen, und die Datenerfassung erstreckt sich über Jahre statt über Minuten. Die Isolierung der Bewohner ist selbst eine Datenschutzanforderung im Rahmen der GDPR. Sie haben eine Sorgfaltspflicht zu verhindern, dass ein Bewohner die Geräte eines anderen Bewohners entdeckt oder mit ihnen interagiert. PPSK ist der technische Mechanismus, der dies ermöglicht. Die VLAN-Zuweisung pro Bewohner gewährleistet eine Layer-2-Isolierung auch auf gemeinsam genutzter physischer Infrastruktur. Authentifizierungsprotokolle sollten nur so lange aufbewahrt werden, wie es für die Sicherheit und den Betrieb erforderlich ist. Sechs Monate sind eine übliche Obergrenze für Wohnanlagen. Purple speichert Daten in wählbaren Regionen und unterstützt die Datenresidenzanforderungen für Großbritannien, die EU und die USA. Für BTR-Betreiber mit Einzelhandels- oder Gastronomie-Mietern im Erdgeschoss ist PCI DSS relevant. PPSK mit VLAN-Zuweisung pro Mieter ermöglicht den Nachweis, dass sich Zahlungsabwicklungsgeräte auf einem kryptografisch isolierten Segment befinden, selbst auf einer gemeinsam genutzten physischen Infrastruktur. Das ist ein erheblicher Compliance-Vorteil gegenüber einer Bereitstellung mit gemeinsam genutzten Passwörtern. Abschnitt sechs: Schnelle Fragerunde. Wie viele eindeutige Schlüssel kann eine einzelne SSID unterstützen? Dies ist vom Controller abhängig. Cisco Meraki unterstützt bis zu 5.000 iPSKs pro SSID ohne RADIUS und praktisch unbegrenzt mit RADIUS. Ruckus DPSK unterstützt Tausende pro Zone. In der Praxis ist der limitierende Faktor die Datenbankkapazität und die Abfrageleistung Ihres RADIUS-Servers, nicht der Wireless-Controller. Funktioniert PPSK mit IoT-Geräten? Ja. IoT-Geräte - Smart Speaker, Thermostate, Sensoren, Schlösser - verbinden sich mit dem Schlüssel des Bewohners genau wie jedes andere Gerät. Sie landen im VLAN des Bewohners und können andere Geräte mit demselben Schlüssel erkennen. Dies ist der Hauptgrund, warum PPSK die richtige Architektur für BTR- und MDU-Bereitstellungen ist, bei denen heute 15 bis 25 Geräte pro Haushalt die Norm sind. Wie sieht der Business Case aus? Ein verwalteter WiFi-Service mit Isolation pro Bewohner erzielt laut BTR-Studien der British Property Federation eine Mietprämie von £15 bis £30 pro Wohneinheit und Monat. Leerstandszeiten verringern sich um fünf bis zehn Tage, wenn das WiFi am ersten Tag des Einzugs bereitsteht. Das Support-Ticket-Volumen für Chromecast- und Smart-Home-Probleme sinkt bei korrekt implementiertem PPSK auf nahezu null. Zusammenfassung und nächste Schritte. PPSK mit einer Mindestschlüssellänge von 12 Zeichen ist die richtige WiFi-Authentifizierungsarchitektur für BTR-, MDU-, Studentenwohnheim- und Sozialwohnungsbereitstellungen. Sie bietet Isolation pro Bewohner, vollen IoT-Support und automatisiertes Schlüssel-Lebenszyklusmanagement ohne den Infrastruktur-Overhead von 802.1X. Wählen Sie Cloud-RADIUS für Multi-Site-Portfolios. Wählen Sie On-Premise-RADIUS für einzelne Großobjekte mit Anforderungen an die Datensouveränität. Verwenden Sie ein Hybridmodell für gemischt genutzte Objekte. Planen Sie die MAC-Adressen-Randomisierung vom ersten Tag an ein. Entwickeln Sie eine Dualband-Strategie für WiFi 6E- und WiFi 7-Bereitstellungen, während WPA3-kompatible PPSK-Implementierungen ausreifen. Die drei Aufgaben für dieses Quartal: Überprüfen Sie Ihr aktuelles Authentifizierungsmodell anhand dieser Kriterien, bewerten Sie Ihre RADIUS-Infrastruktur und definieren Sie Ihren Workflow für das Schlüssel-Lebenszyklusmanagement, einschließlich der Integration in Ihr Immobilienverwaltungssystem. Die Multi-Tenant WiFi-Plattform von Purple läuft auf den Access Points, die Sie bereits besitzen, an 80.000 Live-Standorten und bietet eine Verfügbarkeit von 99,999 % für ihre Authentifizierungsinfrastruktur. Vielen Dank für Ihre Teilnahme an diesem technischen Briefing von Purple.