In passato, connettere i dispositivi wireless a una rete WiFi era frustrante per gli utenti finali, che dovevano individuare e digitare password lunghe e complesse. Per eliminare questo attrito, la Wi-Fi Alliance ha introdotto il WiFi Protected Setup (WPS) nel 2007. Progettato per semplificare l'onboarding tramite la pressione di un pulsante o un PIN a 8 cifre, il WPS ha ottenuto un'ampia diffusione nei router consumer. Tuttavia, quella che sembrava una comoda usabilità ha introdotto una falla di sicurezza fondamentale che continua a mettere a repentaglio le reti commerciali e aziendali ancora oggi.
Punti chiave: rischi di sicurezza dei router WPS
- Cos'è il WPS: il WiFi Protected Setup (WPS) è stato introdotto nel 2007 dalla Wi-Fi Alliance per semplificare la connessione dei dispositivi tramite un pulsante o un PIN a 8 cifre, senza dover inserire lunghe password di rete.
- La falla principale del PIN: i router convalidano il PIN WPS a 8 cifre in due blocchi separati (4 cifre, poi 3 cifre + checksum), riducendo la complessità di un attacco brute-force da 100 milioni di possibilità a sole 11.000 combinazioni.
- Potenziale di violazione rapida: strumenti automatizzati come Reaver e Pixie Dust possono sfruttare l'autenticazione tramite PIN WPS per estrarre la passphrase principale WPA2/WPA3 in poche ore.
- Deprecazione ufficiale: la Wi-Fi Alliance ha deprecato l'autenticazione PIN WPS nel 2011 e i framework di cybersecurity (comprese le linee guida CISA) esortano alla disattivazione immediata su tutte le reti aziendali.
- Alternativa enterprise: le sedi moderne devono passare dal WPS a Captive Portal gestiti in cloud, 802.1X WPA3-Enterprise o iPSK per garantire un accesso wireless sicuro a ospiti e personale.
Che cos'è il WPS e perché è stato creato?
Durante l'espansione delle reti wireless domestiche e aziendali a metà degli anni 2000, il collegamento di hardware come stampanti wireless, display intelligenti e dispositivi mobili si è rivelato macchinoso. Gli utenti inserivano spesso in modo errato le password WPA2 o riscontravano difficoltà nell'accedere ai pannelli di amministrazione.
Il WiFi Protected Setup è stato progettato per standardizzare l'onboarding dei client attraverso quattro semplici metodi di accesso:
- Metodo PIN: Il dispositivo client inserisce un PIN numerico a 8 cifre stampato sull'adesivo del router o generato dal software.
- Push-Button Configuration (PBC): L'utente preme un pulsante fisico o virtuale sia sul router che sul dispositivo client entro una finestra di due minuti per stabilire una connessione.
- Near Field Communication (NFC): L'avvicinamento fisico di un dispositivo client a un router abilitato NFC trasferisce automaticamente le credenziali.
- Metodo chiavetta USB: Le credenziali vengono scritte su una chiavetta USB e trasferite manualmente tra i dispositivi (deprecato presto a causa dei rischi fisici legati ai malware).
Mentre il meccanismo a pulsante offriva una moderata sicurezza fisica, il meccanismo del PIN a 8 cifre era obbligatorio su tutti gli hardware certificati WPS. Tale requisito obbligatorio del PIN ha creato una vulnerabilità totale in milioni di siti di implementazione wireless.
Perché l'autenticazione tramite PIN WPS è una grave falla di sicurezza
La debolezza principale di un router con WPS deriva dal modo in care il router verifica il PIN a 8 cifre. Invece di convalidare tutte le otto cifre come un unico numero da 100 milioni di combinazioni, il protocollo di autenticazione valuta il PIN in due metà separate:
- Prima metà (cifre da 1 a 4): il router convalida le prime quattro cifre in modo indipendente e risponde con un pacchetto EAP-NACK se non sono corrette. Questo limita la prima fase a sole 10.000 combinazioni possibili (da 0000 a 9999).
- Seconda metà (cifre da 5 a 8): l'ultima cifra è un checksum calcolato a partire dalle sette cifre precedenti. Di conseguenza, il router controlla solo le cifre 5, 6 e 7, richiedendo al massimo 1.000 combinazioni (da 000 a 999).
Dividendo il processo di verifica, il protocollo riduce la complessità totale del brute-force da 100.000.000 di possibilità a soli 11.000 tentativi totali (10.000 + 1.000). Gli strumenti di penetration testing automatizzati come Reaver, Bully e PixieWPS sfruttano questa falla strutturale per indovinare ogni combinazione, estraendo la passphrase WPA/WPA2 attiva in meno di due ore.
Attacco PIN WPS vs sicurezza enterprise standard WPA2/WPA3
Il confronto tra l'autenticazione tramite PIN WPS e i modelli di sicurezza wireless enterprise standard illustra il grave divario in termini di resilienza operativa:
_operativa:_operativa:_operativa:_operativa:_operativa:_operativa:_operativa:_operativa:| Metrica di Sicurezza | Autenticazione PIN WPS | WPA2/WPA3-Personal (PSK) | Captive Portal Purple Cloud / iPSK |
|---|---|---|---|
| Target di Autenticazione | PIN statico a 8 cifre | Passphrase di rete condivisa | SSO individuale / Social ID / iPSK dinamico |
| Spazio delle Chiavi Effettivo | 11.000 combinazioni | Trilioni di combinazioni | OAuth 2.0 crittografato / Chiave enterprise a 192 bit |
| Tempo di Violazione | Da 2 a 10 ore (automatizzato) | Mesi o anni (attacco a dizionario) | Praticamente immune al furto di credenziali |
| Controllo Accesso Ospiti | Accesso completo alla rete concesso | Accesso condiviso tra tutti gli ospiti | VLAN client isolata e controlli della larghezza di banda |
| Conformità Normativa | Non supera i requisiti di sicurezza PCI-DSS e GDPR | Conformità parziale con rischio di audit | Piena conformità PCI-DSS e GDPR integrata |
Rischi aziendali reali nel lasciare attivo il WPS
Per i moderni locali commerciali - inclusi catene di vendita al dettaglio, strutture alberghiere, strutture sanitarie e uffici multi-tenant - l'utilizzo di hardware con WPS abilitato introduce gravi rischi operativi aziendali:
1. Intrusione non autorizzata nella rete ospiti
Gli aggressori situati nei parcheggi dei locali o negli uffici adiacenti possono eseguire script automatizzati di brute-force WPS contro gli access point vicini. Una volta violato il PIN, l'aggressore riceve la passphrase in chiaro della rete, ottenendo un accesso persistente al traffico wireless interno.
2. Movimento laterale verso le reti POS e amministrative
Se il traffico guest non è isolato su una VLAN dedicata con rigide liste di controllo degli accessi (ACL), i router WPS compromessi consentono agli aggressori di scansionare le sottoreti interne. Gli aggressori possono prendere di mira i terminali POS (Point-of-Sale), i sistemi di gestione dell'inventario e i server aziendali.
3. Non conformità normativa e sanzioni finanziarie
Lasciare attive vulnerabilità di protocollo note e prive di patch sulle reti commerciali viola i rigidi mandati di sicurezza previsti dal PCI-DSS (Requisito 1.2 e Requisito 2.2) e dal GDPR. Gli audit di sicurezza condotti a seguito di un incidente informatico penalizzeranno le organizzazioni che non provvedono a disabilitare i protocolli deprecati.
Come trovare e disabilitare il WPS sui router commerciali
La protezione dell'infrastruttura di rete aziendale richiede il controllo degli access point wireless esistenti e la disattivazione completa della funzionalità WPS su tutti i controller hardware.
Passo 1: Cerca i pulsanti fisici WPS
Ispezionare gli access point esistenti e lo chassis del router alla ricerca di un pulsante WPS fisico o di un'icona con due frecce curve. Sebbene l'hardware enterprise presenti raramente pulsanti fisici, i router per piccole imprese vengono spesso forniti con WPS abilitato per impostazione predefinita.
Passo 2: Accedi alla dashboard amministratore del router
- Aprire un browser connesso alla rete locale e navigare all'indirizzo IP del gateway (solitamente
192.168.1.1,192.168.0.1o l'URL della console di gestione del fornitore). - Autenticarsi utilizzando le credenziali di amministratore. Se le credenziali predefinite non sono state modificate, aggiornarle immediatamente per impedire l'accesso non autorizzato.
Passo 3: Disabilita le impostazioni del PIN e del pulsante WPS
- Navigare su Wireless Settings, WLAN Configuration o Security Options.
- Individuare il pulsante di attivazione o la casella di controllo WiFi Protected Setup (WPS).
- Impostare l'opzione su Disattivato o Off. Assicurarsi che sia l'autenticazione tramite PIN sia la configurazione tramite pulsante (Push-Button Configuration) siano disattivate.
- Salvare le modifiche alla configurazione e riavviare l'access point per applicare la nuova postura di sicurezza.
Per una gestione tecnica completa dell'infrastruttura wireless aziendale, consulta la nostra guida principale sulla sicurezza del WiFi aziendale.
Alternative aziendali moderne al WPS
Le moderne operazioni commerciali richiedono un onboarding sicuro e fluido per visitatori ospiti, dipendenti e hardware IoT, senza fare affidamento su chiavi condivise statiche o protocolli PIN difettosi:
- Cloud Captive Portals: Autentica i visitatori tramite portali di accesso web personalizzabili dotati di Social Sign-On, verifica SMS o registrazione tramite modulo web, isolando al contempo il traffico degli ospiti su VLAN sicure. Scopri i principi di progettazione completi nella nostra guida ai captive portal.
- Identity PSK (iPSK): Rilascia chiavi pre-condivise univoche e individuali a dispositivi o utenti specifici. Se una passphrase viene compromessa, gli amministratori IT revocano solo quella singola chiave senza interrompere il resto della sede.
- WPA3-Enterprise & 802.1X: Sfrutta i certificati digitali (EAP-TLS) e i provider di identità cloud (Microsoft Entra ID, Okta, Google Workspace) per l'autenticazione zero-touch dei laptop dei dipendenti.
Domande frequenti sulla sicurezza del WPS dei router
Il WPS è sicuro da usare su una rete WiFi aziendale?
No. WPS contiene vulnerabilità strutturali di progettazione che consentono a strumenti automatizzati di forzare il PIN a 8 cifre tramite attacchi brute-force in poche ore. La Wi-Fi Alliance ha ufficialmente deprecato il metodo PIN di WPS nel 2011, e i framework di sicurezza impongono di disabilitare WPS su tutte le reti commerciali.
La disattivazione del WPS disconnette i dispositivi WiFi esistenti?
No. La disattivazione di WPS impedisce solo ai nuovi dispositivi di connettersi tramite il PIN WPS o il metodo a pulsante. Tutti i dispositivi esistenti connessi tramite passphrases standard WPA2 o WPA3 rimangono completamente connessi senza interruzioni.
Qual è la differenza tra il PIN WPS e la configurazione WPS Push-Button (PBC)?
Il PIN WPS richiede l'inserimento di un codice numerico a 8 cifre vulnerabile ad attacchi brute-force da remoto. La configurazione WPS tramite pulsante (PBC) richiede la pressione fisica di un pulsante sul router entro una finestra temporale di due minuti. Sebbene la PBC sia più difficile da sfruttare da remoto, molti router lasciano l'interfaccia PIN attiva anche quando la PBC è abilitata, mantenendo esposta la vulnerabilità di fondo.
Qual è la migliore alternativa al WPS per un accesso WiFi ospiti sicuro?
Il gold standard per il WiFi ospiti commerciale è un captive portal gestito in cloud con isolamento automatico dei client e gestione della larghezza di banda. Per il personale e i dispositivi interni, l'autenticazione Identity PSK (iPSK) o 802.1X enterprise offre una gestione delle credenziali fluida e individuale, senza i rischi associati alle password condivise.
Sostituisci il vulnerabile WPS con un WiFi aziendale sicuro
Aggiorna la tua rete commerciale con il WiFi per ospiti indipendente dall'hardware e la piattaforma di sicurezza cloud di Purple. Offri un'autenticazione tramite Captive Portal fluida, VLAN client isolate e conformità automatizzata in tutte le tue sedi.
