WPA2 security auditor and enterprise migration matrix
Compare WPA2-Personal (PSK) against WPA2-Enterprise (802.1X / RADIUS), simulate exposure to cryptographic threats (KRACK, dictionary attacks, packet sniffing), and plan your zero-trust network migration.
WPA2-Personal relies on a static pre-shared key across all clients. Because the master key is shared, any user with the passphrase who captures a client four-way handshake can decrypt that client’s unicast traffic over the air. It is also vulnerable to offline PMKID dictionary cracking and KRACK key reinstallation.
Vulnerable to Message 3 replay during 4-way handshake, resetting nonce counter to zero.
The PMKID can be requested straight from the AP and cracked offline on a GPU rig, without waiting for a client to join.
Anyone with the shared PSK can calculate other clients pairwise keys and decrypt unicast airtime packets.
Rogue APs broadcasting the same SSID and PSK easily trick clients into association without mutual auth.
Upgrade your wireless network to zero-trust security
Purple integrates with leading enterprise wireless access points (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist) to deliver seamless 802.1X RADIUS, Passpoint onboarding, and captive portal segmentation without replacing your hardware.
WPA2 è uno standard di sicurezza WiFi di lunga data che è diventato obbligatorio per i dispositivi certificati WiFi dal 2006 al 2020, e supporta ancora il 65% del WiFi del settore pubblico nella sanità e nei trasporti nel Regno Unito. Utilizza una solida crittografia basata su AES per proteggere il traffico, ma la sua dipendenza da modelli di autenticazione più vecchi, in particolare le password condivise, lo rende un protocollo legacy nel 2026.
Se gestisci il WiFi per un hotel, un patrimonio retail, un ospedale, uno snodo di trasporto o una proprietà multi-tenant, WPA2 non rappresenta automaticamente un'emergenza. Tuttavia, l'affidamento a Pre-Shared Keys (PSK) condivise introduce rischi operativi e di sicurezza che richiedono una riparazione moderna.
Che cos'è la sicurezza WiFi WPA2?
WPA2 (WiFi Protected Access 2) è stato progettato per sostituire WEP e WPA. Ha introdotto il protocollo CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol), che utilizza la crittografia AES a 128 bit. Per due decenni, CCMP ha garantito una robusta riservatezza dei dati nelle reti wireless.
WPA2 funziona in due modalità principali:
- WPA2-Personal (WPA2-PSK): Utilizza un'unica password condivisa per ogni client connesso. È facile da implementare ma crea un singolo punto di vulnerabilità quando le credenziali vengono condivise tra personale, ospiti o collaboratori esterni.
- WPA2-Enterprise (802.1X): Autentica ogni utente individualmente tramite un server RADIUS e protocolli EAP (come EAP-TLS o PEAP), emettendo chiavi di sessione univoche per client.
Il WiFi WPA2 è ancora sicuro per le reti aziendali?
Sebbene la crittografia AES in WPA2 rimanga crittograficamente inviolata, il protocollo soffre di due importanti vulnerabilità strutturali:
- Attacchi con dizionario offline: WPA2-Personal utilizza un handshake a 4 vie esposto alla cattura passiva. Gli aggressori che intercettano l'handshake possono forzare la passphrase condivisa offline tramite brute-force senza allertare gli amministratori di rete.
- KRACK (Key Reinstallation Attacks): Scoperto nel 2017, KRACK prende di mira l'handshake a 4 vie per forzare il riutilizzo del nonce, consentendo agli aggressori di decrittografare i pacchetti, iniettare dati dannosi o dirottare connessioni TCP.
Nelle sedi aziendali, la sfida principale è spesso il rischio di autenticazione piuttosto che il puro rischio di crittografia. La gestione di password PSK condivise tra centinaia di dipendenti o ospiti della struttura comporta fughe di credenziali, reimpostazioni manuali delle password e sovraccarico amministrativo.
Qual è la differenza tra la sicurezza WPA2 e WPA3?
WPA3 introduce SAE (Simultaneous Authentication of Equals) per sostituire l'handshake a 4 vie vulnerabile nelle connessioni basate su password, offrendo forward secrecy e protezione contro gli attacchi di dizionario offline anche con password deboli.
| Funzionalità | WPA2 Personal (PSK) | WPA2 Enterprise (802.1X) | WPA3 Enterprise | Passpoint / OpenRoaming |
|---|---|---|---|---|
| Crittografia | AES-CCMP (128-bit) | AES-CCMP (128-bit) | AES-GCMP-256 | AES-256 + WPA3 Enterprise |
| Autenticazione | Chiave pre-condivisa (PSK) | RADIUS / Certificati EAP | Suite EAP a 192 bit | Identity Provider / Passpoint 3.0 |
| Rischio di fuga di credenziali | Alto (segreto condiviso) | Basso (per utente / certificato) | Basso (per utente / certificato) | Zero (basato su certificato) |
| Compatibilità legacy | Universale (100% dei dispositivi) | Ampia | AP e client moderni | Ampia (oltre 80.000 sedi in tutto il mondo) |
| Sovraccarico operativo | Elevato ricambio per reimpostazione password | Manutenzione RADIUS moderata | Manutenzione RADIUS moderata | Zero reimpostazioni manuali delle password |
Come aggiornare la sicurezza WPA2 senza sostituire l'hardware di rete?
Sostituire ogni access point in un patrimonio multi-sito è raramente pratico o necessario. Al contrario, i leader IT lungimiranti modernizzano l'architettura di autenticazione pur mantenendo l'hardware esistente:
- Elimina le PSK condivise per il personale: Sposta l'autenticazione aziendale verso un accesso basato su certificati collegato a Microsoft Entra ID, Okta o Google Workspace.
- Isola i dispositivi IoT legacy: Segmenta scanner, stampanti o endpoint legacy più vecchi su VLAN isolate con regole firewall rigorose.
- Adotta Passpoint 3.0 e OpenRoaming: Sostituisci i Captive Portal e le password condivise per gli ospiti con un onboarding automatico e crittografato del profilo Passpoint.
- Automatizza la revoca del ciclo di vita: Assicurati che l'accesso alla rete venga revocato automaticamente quando un dipendente lascia l'azienda o un dispositivo non è gestito.
