Stai revisionando una modifica WLAN di venerdì sera. Il controller offre tre impostazioni per i protected management frames: disattivato, opzionale e obbligatorio, e ogni dispositivo su quel SSID subirà le conseguenze della scelta il lunedì mattina. Impostalo in modo troppo permissivo e le disconnessioni contraffatte continueranno a funzionare. Impostalo in modo troppo rigido e le stampanti, gli scanner e i laptop più datati nell'edificio non si connetteranno affatto. Questa guida considera tale scelta per quello che è realmente, ovvero una decisione di applicazione per singolo SSID con un costo di compatibilità che puoi pianificare.
A cosa servono i Protected Management Frames
Su una WLAN molto trafficata, un dispositivo può perdere la connessione senza che nessuno tocchi la sua password o ne violi la crittografia. La causa potrebbe essere un frame di gestione contraffatto, ovvero un messaggio radio che comunica al dispositivo di disconnettersi. I Protected Management Frames (PMF) aiutano a evitare che questo tipo di messaggio venga accettato come autentico.
La vulnerabilità che PMF è stato progettato per risolvere
I frame di gestione (management frames) trasportano le istruzioni che stabiliscono, mantengono e terminano una connessione wireless. Non trasportano l'email, la cartella clinica o la videochiamata vera e propria. Prima del PMF, un malintenzionato raggio radio poteva contraffare un messaggio di deautenticazione o disassociazione. Un dispositivo che lo riceveva poteva disconnettersi dalla rete, anche se il suo traffico utente crittografato non era stato compromesso.
Il PMF proviene dall'emendamento IEEE 802.11w, pubblicato nel 2009, che ha affrontato il problema dei frame di gestione contraffatti, in particolare i messaggi che disconnettono forzatamente gli utenti legittimi, come descritto nella panoramica della Wi-Fi Alliance sui Protected Management Frames. Aggiunge controlli di integrità e autenticazione dell'origine al traffico di controllo protetto. L'access point o il client possono verificare chi ha inviato un messaggio protetto e rifiutare quelli che non superano il controllo, anziché eseguirli ciecamente.
I frame di gestione unicast protetti possono anche essere crittografati, mantenendo le istruzioni uno-a-uno sia private che verificate. Il PMF copre i frame di deautenticazione e disassociazione, insieme ai frame di azione utilizzati per le misurazioni radio, la conferma dei blocchi (block acknowledgement), la Fast BSS Transition, la gestione dello spettro e la qualità del servizio (QoS). Questi messaggi possono terminare una sessione, segnalare le condizioni radio, confermare blocchi di dati, supportare il passaggio a un altro access point o gestire il traffico voce e video.
Cosa non è il PMF
Il PMF protegge il traffico di controllo, non i dati utente. Funziona insieme a WPA2 o WPA3, anziché sostituire l'autenticazione, la crittografia o l'autorizzazione. La Wi-Fi Alliance descrive il PMF come un modo per aiutare a resistere ad attacchi di disconnessione, honeypot ed evil twin. Non stabilisce l'identità di un utente né decide chi può accedere alla rete.
Il PMF è un controllo complementare. L'autenticazione stabilisce chi è autorizzato ad accedere, la crittografia protegge i dati e il PMF protegge le istruzioni che mantengono attiva la sessione.
Sia l'access point che il client devono supportare il PMF, e l'impostazione si applica separatamente a ciascun SSID crittografato. Ciò rende l'applicazione una decisione rete per rete, non un unico interruttore per l'intero sito. Le reti in modalità di transizione spesso consentono il PMF senza richiederlo, in modo che i client più datati possano comunque connettersi. Il costo è che i client non in grado di utilizzare il PMF non ne ricevono la protezione su quell'SSID. Considera il mix di client e i requisiti di roaming della rete prima di scegliere con quale rigidità applicarlo.
Scelta della modalità Disabled, Optional o Required
PMF funziona in una di tre modalità per WLAN, e tale modalità determina chi rimane connesso e chi rimane esposto. Utilizzare questa tabella come riferimento prima di modificare un profilo di produzione.
| Modalità | Cosa succede | Impatto sui dispositivi datati | Esposizione a deautenticazioni contraffatte | Ideale per |
|---|---|---|---|---|
| Disabilitato | Nessuna protezione dei frame di gestione | Si connette ovunque | Piena esposizione | Reti datate isolate destinate alla dismissione |
| Opzionale | PMF utilizzato solo quando sia il client che la WLAN lo supportano | I dispositivi più vecchi continuano a connettersi | Esposto per i client che non supportano PMF | SSID di transizione WPA2 e WPA3 |
| Richiesto | Associazione solo con client abilitati per PMF | I dispositivi incompatibili non riescono ad associarsi | Protetto per ogni client associato | SSID WPA3-only e ad alta sicurezza |
Disabilitato
L'impostazione Disabilitato non offre alcuna protezione e non comporta costi di compatibilità. Tutti i client che potevano connettersi prima possono farlo ancora, e ogni frame di deautenticazione contraffatto che funzionava in precedenza continua a funzionare. Mantieni questa impostazione solo per una rete legacy isolata che hai segmentato, documentato e per la quale hai stabilito una data di dismissione. Se non c'è una data, l'impostazione disabilitata diventa gradualmente permanente.
Opzionale
In modalità opzionale, un client utilizza il PMF solo quando sia la WLAN che il client lo supportano, pertanto i dispositivi più datati mantengono la connettività, ma le associazioni non PMF rimangono esposte ad attacchi basati sulla contraffazione dei frame di gestione. Questo è l'onesto compromesso durante la transizione. I tuoi smartphone e laptop moderni ottengono la protezione, i tuoi dispositivi più datati continuano a funzionare, e non dovresti segnalare l'SSID come protetto senza specificare a quali client ciò si applica.
Obbligatorio
In modalità obbligatoria (required), l'associazione è consentita solo quando il client negozia il PMF. È l'impostazione corretta per gli SSID solo WPA3 e per gli ambienti ad elevata sicurezza del Regno Unito, ma i dispositivi legacy incompatibili non riusciranno a connettersi. Questa non è una modalità degradata. Il dispositivo non si connetterà a un livello di sicurezza inferiore, ma rimarrà fuori dall'SSID finché non aggiornerai il driver, aggiornerai il firmware o lo sposterai altrove.
Due punti tecnici mettono in difficoltà gli amministratori. In primo luogo, la guida alla configurazione 802.11w di Cisco stabilisce che l'impostazione opzionale o obbligatoria del PMF richiede WPA con un'adeguata configurazione di autenticazione e gestione delle chiavi, con l'elemento informativo RSN abilitato insieme al cifrario AES. Se il cifrario o le impostazioni RSN non sono allineati, la modalità non funzionerà come indicato dall'etichetta. In secondo luogo, la documentazione tecnica Xerox avverte che una mancata corrispondenza tra le impostazioni della rete e del dispositivo può causare errori di comunicazione e rileva che WPA3 Personal e WPA3 Enterprise utilizzano comunemente il PMF come obbligatorio, mentre le configurazioni di transizione possono lasciarlo opzionale.
Regola predefinita: Obbligatorio su SSID solo WPA3 e ad alta sicurezza, opzionale su SSID misti WPA2 e WPA3 durante la transizione, disabilitato solo su reti legacy isolate con una data di dismissione definita.
Se stai valutando questo aspetto nell'ambito della tua architettura di autenticazione globale, la scelta del modello di autenticazione enterprise si affianca alla modalità PMF, ed è consigliabile verificare le tue opzioni di configurazione WPA Enterprise prima di bloccare entrambe le impostazioni. Gestisci le due decisioni insieme ed eviterai di imporre il PMF su un SSID i cui client non sono mai stati valutati a tale scopo.
Perché PMF è fondamentale per il roaming e contro gli attacchi di deautenticazione
Un frame di deautenticazione contraffatto può disconnettere un client nelle vicinanze da un access point. Il client tenta quindi di riconnettersi e l'invio ripetuto di frame contraffatti può impedirgli di stabilire la connessione. Gli utenti riscontrano cadute apparentemente casuali della rete WiFi, mentre l'helpdesk rileva un problema di connessione senza un evidente difetto di copertura.
Come si presentano le interruzioni operative
Un tablet di reparto potrebbe perdere la connessione mentre un medico si sposta tra le corsie. Gli studenti potrebbero perdere l'accesso durante una lezione. In entrambi i casi, la crittografia può rimanere intatta e le password private, ma il servizio risulta comunque interrotto. Il PMF consente a una stazione o a un access point di rifiutare le istruzioni contraffatte verificando l'autenticità dei messaggi di gestione protetti.
Il roaming rende questi frame importanti non solo per le disconnessioni. Quando un telefono si sposta tra vari access point, i frame di azione Fast BSS Transition aiutano a coordinare il passaggio. Se un malintenzionato contraffà o interrompe tali messaggi, una chiamata può subire interruzioni o cadere mentre l'utente si sposta lungo un corridoio. Il PMF protegge i frame di azione pertinenti, compresi quelli utilizzati per le misurazioni radio, il block acknowledgement, la gestione dello spettro e le operazioni di qualità del servizio (QoS). Il dispositivo ricevente può così verificare le istruzioni di passaggio invece di accettarle cieca mente.
Il profilo standard e i suoi limiti
L'impostazione dell'SSID è una decisione da prendere per singola rete. Su un SSID utilizzato per il roaming, valuta la protezione aggiunta dal PMF rispetto alla capacità di ogni client di associarsi e completare i passaggi con tale configurazione. Questo è importante anche per Passpoint: il metodo di autenticazione non elimina la necessità di verificare la compatibilità PMF sui client che si connetteranno alla rete.
Per i dettagli sull'algoritmo, consultare le linee guida di configurazione PMF 802.11w di Cisco. Il limite pratico è altrettanto importante: la sola protezione dei frame di gestione non previene qualsiasi attacco di deautenticazione. Mantieni il monitoraggio radio e la prevenzione delle intrusioni wireless nel design della sicurezza, e pianifica il PMF insieme all'autenticazione e al monitoraggio in una strategia di sicurezza WiFi enterprise.
I PMF proteggono il traffico di gestione durante l'hop wireless. Anche i dati dei visitatori devono essere protetti mentre viaggiano oltre l'access point. La guida TLS e IPsec per i dati dei visitatori spiega i protocolli utili a mettere in sicurezza tale traffico.
Impatto sulla compatibilità per classe di dispositivo
La domanda che i tuoi utenti si porranno è più semplice dello standard. Quali dispositivi smetteranno di funzionare? La risposta parte da dove risiede realmente il supporto PMF. Viene negoziato tra l'access point e il driver WiFi e il supplicant del client, quindi un access point compatibile con PMF da solo non garantisce nulla. Un laptop con un driver obsoleto può riscontrare errori su un SSID a cui uno smartphone più recente si connette senza problemi.
| Classe di dispositivo | Supporto PMF tipico | Rischio se impostato su obbligatorio | Impostazione consigliata |
|---|---|---|---|
| Smartphone e laptop moderni con supporto WPA3 | Di solito supportato | Basso | Obbligatorio su SSID WPA3 |
| Laptop e smartphone WiFi 5 con driver dell'era WPA2 | Spesso supportato, dipende dal driver | Medio | Opzionale su SSID misti, aggiornare i driver |
| Sensori IoT e prese intelligenti WPA2-only più datati | Frequente assenza di supporto | Alto | SSID separato o identity PSK |
| Stampanti e scanner legacy | Spesso non supportato | Alto | Connessione via cavo o SSID legacy dedicato |
| Scanner portatili con firmware datato | Dipende dal firmware | Da medio ad alto | Testare il firmware prima dell'applicazione coatta |
Considera queste righe come modelli tipici, non come garanzie. Verifica ciascun modello sulla documentazione del fornitore e sul tuo inventario, poiché due dispositivi della stessa classe possono comportarsi diversamente dopo un aggiornamento del driver. La tabella ti indica dove guardare prima. Le tue associazioni di prova ti diranno la verità.
La regola di associazione enterprise
Per le reti 802.1X la negoziazione è esplicita. L'organismo britannico per le reti nell'istruzione Jisc afferma che WPA3-Enterprise richiede il PMF nella modalità WPA3-Enterprise-only, in cui l'access point segnala la funzionalità Management Frame Protection Required e una stazione compatibile deve negoziare il PMF durante l'associazione, come indicato nelle linee guida WPA3, Wi-Fi 6E e eduroam di Jisc. Se la stazione non è in grado di negoziarlo, l'associazione non prosegue.
Questo è particolarmente rilevante se gestisci eduroam o un'altra rete basata su certificati, perché WPA3-Enterprise può evolvere da WPA2-Enterprise mantenendo l'autenticazione basata su certificati. I tuoi certificati potrebbero essere perfetti mentre un supplicant datato continua a fallire con il PMF. Convalida sia gli access point che i supplicant dei client prima di applicare l'obbligo, quindi monitora i fallimenti di associazione e l'inventario dei dispositivi legacy dopo la modifica.
Fai attenzione al sintomo classico. Un dispositivo continua a connettersi senza problemi al vecchio SSID ma non si associa mai a quello nuovo, senza alcun errore evidente di password o certificato. Questo comportamento indica una mancata corrispondenza delle funzionalità piuttosto che un problema di credenziali.
Se il dispositivo si connette alla vecchia rete e rifiuta automaticamente la nuova, verificare la compatibilità PMF prima di riemettere anche un solo certificato.
Quel segnale indica che è necessario inventariare correttamente l'infrastruttura prima di modificare qualsiasi altra cosa. Fare supposizioni in questa fase si limita a spostare il problema dal gruppo pilota all'intero edificio.
Come distribuire il PMF obbligatorio passo dopo passo
Seguire questo ordine con attenzione, poiché ogni passaggio protegge quello successivo. Saltare l'inventario per risparmiare un giorno di solito comporta una settimana di ticket inspiegabili in seguito.
Crea un inventario di ogni dispositivo sull'SSID di destinazione. Registra il modello, il sistema operativo, la versione del driver WiFi e il firmware di ciascuno, poiché il supporto PMF dipende spesso dal driver piuttosto che dall'hardware. Segnala tutto ciò che non riesci a identificare, dato che i dispositivi sconosciuti sono quelli che ti riserveranno sorprese al momento dell'applicazione.
Conferma i prerequisiti del controller. Verifica che la WLAN supporti PMF con un cifrario AES e l'elemento informativo RSN abilitati, poiché le modalità opzionale e obbligatoria dipendono da entrambi. Esegui questa operazione prima del pilot, in modo da testare il comportamento dei client anziché risolvere un errore di profilo.
Crea un SSID di pilot impostato su opzionale. Fai corrispondere la sua autenticazione a quella di produzione in tutto e per tutto, in modo che l'unica variabile testata sia il PMF. Gli utenti non dovrebbero notare nulla per il momento, ed è proprio questo l'obiettivo. Stai raccogliendo dati, non annunciando un cambiamento.
Sposta un gruppo di test sull'SSID di pilot per almeno una settimana lavorativa. Scegli laptop e telefoni aziendali che effettuano roaming effettivo all'interno dell'edificio, quindi registra quotidianamente i fallimenti di associazione e le cadute di roaming. Un dispositivo che rimane su una sola scrivania per tutta la settimana dimostra ben poco sul comportamento di Fast BSS Transition.
Risolvere, separare e poi applicare
Risolvi ciò che puoi e separa ciò che non puoi risolvere. Applica prima gli aggiornamenti di driver e firmware, ri-testa ciascun dispositivo e posiziona le apparecchiature legacy davvero insostituibili su un SSID segmentato separato con controlli di rete più rigidi. Non indebolire l'SSID principale per adattarti a una sola stampante.
Imposta l'SSID di produzione su obbligatorio. Applicalo al tuo SSID WPA3 o ad alta sicurezza, mantieni gli SSID misti su opzionale e verifica che ogni gruppo di access point rispetti lo stesso profilo. Un singolo gruppo lasciato con la vecchia impostazione crea il fastidioso problema per cui un dispositivo funziona alla reception ma fallisce al piano di sopra.
Monitora per due settimane dopo l'applicazione. Controlla i fallimenti di associazione e le cadute di roaming, e confrontali con i log del pilot. Se un gruppo di dispositivi critici riscontra problemi, ripristina le impostazioni modificando la singola opzione PMF anziché ricostruire l'intera WLAN.
Perché è importante una modifica alla volta: Quando PMF è l'unica opzione modificata, il ripristino consiste in una sola impostazione su un singolo profilo. Se si modificano contemporaneamente la cifratura, l'autenticazione e PMF, non si saprà mai quale di questi ha bloccato gli scanner.
Mantiro attivo l'SSID pilota dopo il go-live. Diventerà il tuo banco di prova per il successivo aggiornamento dei dispositivi, la release firmware successiva e il prossimo SSID che pianifichi di passare da opzionale a obbligatorio. Un rollout da ripetere in tutta tranquillità vale molto di più di una modifica affrettata nel fine settimana che nessuno vuole più toccare.
Risoluzione dei problemi di connessione non riuscita dopo l'abilitazione del PMF
La maggior parte dei problemi riscontrati dopo l'abilitazione dei PMF non riguarda una falla nella sicurezza. Si tratta di problemi di mancata corrispondenza: un client senza supporto PMF, un profilo WLAN diverso tra gruppi di access point, impostazioni di roaming non coerenti o un aggiornamento del firmware che ha modificato un'impostazione predefinita senza preavviso. Inizia sempre dal sintomo visibile.
| Sintomo | Causa probabile | Soluzione |
|---|---|---|
| Il dispositivo rifiuta di connettersi a un SSID obbligatorio | Il client non supporta il PMF o ha il driver disabilitato | Aggiornare il driver o spostare il dispositivo su un SSID opzionale |
| Il dispositivo si connette su un access point ma non su altri | Impostazioni PMF diverse tra profili controller o gruppi AP | Allineare il profilo WLAN su ogni gruppo AP |
| Disconnessioni ripetute durante il roaming | Le impostazioni di transizione rapida non coincidono tra client e WLAN | Verificare le impostazioni 802.11r e controllare i log di roaming del client |
| I problemi compaiono dopo un aggiornamento firmware | L'aggiornamento del produttore ha modificato la modalità PMF predefinita | Ricontrollare le impostazioni di sicurezza WLAN dopo ogni aggiornamento |
Procedere secondo questo ordine diagnostico
Verificare prima il client. Confermare la compatibilità PMF del dispositivo e la versione del driver in esecuzione, non quella distribuita lo scorso trimestre. Un singolo laptop che ha saltato un aggiornamento può generare ticket che sembrano un guasto dell'infrastruttura.
Successivamente, confronta il profilo WLAN tra i gruppi di controller. Esporta il profilo di sicurezza e verifica che la modalità PMF, il cifrario e l'autenticazione corrispondano su ciascun gruppo di access point che serve quell'SSID. La disallineamento dei profili spiega la maggior parte dei problemi legati alla posizione, in cui lo stesso dispositivo funziona in una parte dell'edificio e fallisce in un'altra.
Rivedi i log di roaming durante il passaggio non riuscito. Se il dispositivo si associa correttamente quando è fermo ma perde la connessione mentre si sposta, esamina le impostazioni di Fast Transition 802.11r e le decisioni di roaming del client al momento dell'errore. Il PMF protegge i frame di transizione, quindi una discrepanza si manifesta come un roaming che non si completa mai.
Due cause meno evidenti meritano un'analisi. I profili Passpoint configurati con sistemi di sicurezza legacy possono connettersi e poi disconnettersi, poiché il profilo presente sul dispositivo non corrisponde più a ciò che la WLAN si aspetta. Il supporto del controller per la Change of Authorization RADIUS influisce anche sulla riautenticazione, quindi una sessione che si interrompe dopo una modifica ai criteri potrebbe non essere affatto un errore legato al PMF.
Prima di qualsiasi modifica, conserva un'esportazione della configurazione precedente all'inizio delle operazioni. In questo modo, un ripristino diventerà una singola operazione anziché un pomeriggio trascorso a ricostruire le impostazioni a memoria. Saprai di aver risolto il problema quando il tuo gruppo pilota produrrà un log di associazione pulito per un'intera giornata lavorativa, inclusa l'affluenza del mattino quando tutti arrivano, effettuano il roaming e si uniscono alle chiamate contemporaneamente. Non dichiarare vittoria basandoti su un test eseguito in una tranquilla domenica.
Distribuzioni Passpoint, OpenRoaming e Purple
Le impostazioni PMF non operano in modo isolato. Definiscono la modalità con cui ospiti e personale accedono alla rete, in particolare nei casi in cui la connessione deve avvenire automaticamente senza richiedere ogni volta un Captive Portal.
Passpoint, chiamato anche Hotspot 2.0 o IEEE 802.11u, consente ai dispositivi di individuare e autenticarsi a una rete automaticamente tramite query ANQP. Funziona su WPA2 o WPA3-Enterprise, quindi la modalità PMF su quella WLAN influisce direttamente sul modo in cui la protezione dai frame contraffatti si trasferisce a queste connessioni fluide. Un SSID Passpoint lasciato su opzionale protegge solo i client predisposti, esattamente come farebbe un SSID associato manualmente. Se stai pianificando questo percorso, esaminare come funzionano l'autenticazione e il roaming Passpoint insieme al profilo di sicurezza della tua WLAN ti aiuterà a individuare le incongruenze prima che lo facciano gli ospiti.
OpenRoaming si basa su profili di tipo Passpoint, quindi i dispositivi configurati tramite esso ereditano lo stesso percorso di sicurezza di qualsiasi altro client Passpoint. Il profilo sul dispositivo e l'impostazione PMF sulla tua WLAN devono coincidere. In caso contrario, l'errore sembrerà un problema di roaming anziché un'impostazione di sicurezza, motivo per cui i test dei profili rientrano nel pilot del PMF e non nella fase successiva.
Controlli prima di applicare l'obbligo su una WLAN Passpoint
Prima di impostare il PMF obbligatorio su una WLAN Passpoint, verifica altro oltre all'interruttore PMF. La compatibilità dipende dal supporto RADIUS, di change-of-authorisation e di walled garden nel controller della struttura, e una lacuna in uno qualsiasi di questi interromperà il percorso dell'ospite, indipendentemente da quanto sia corretta la tua scelta del PMF. Verifica le risposte ANQP, testa la riautenticazione dopo una modifica alle policy ed effettua un sopralluogo del sito con un dispositivo configurato per confermare che il roaming regga tra gli access point.
La questione relativa all'hardware è più semplice di quanto molti ambienti temano. Eseguiamo Purple come un overlay cloud sugli access point già di proprietà della struttura, quindi non è necessaria alcuna sostituzione dell'infrastruttura esistente e la modifica del PMF avviene nel profilo WLAN sulla tua architettura attuale. Ciò significa che il pilot, il rollback e l'applicazione delle regole avvengono tutti su apparati che già gestisci, mentre il livello di autenticazione risiede al di sopra di essi.
Per i dispositivi del personale si applica lo stesso principio. Il WiFi del personale effettua l'onboarding dei dispositivi dei dipendenti con certificati EAP-TLS gestiti, per cui non c'è una passphrase condivisa da ruotare dopo una modifica della sicurezza. I certificati e il PMF risolvono problemi diversi, ovvero l'identità e l'integrità dei frame di gestione, e si combinano in modo ottimale su un SSID WPA3-Enterprise. Qualunque sia la tua piattaforma, verifica la modalità PMF prevista per ciascun SSID gestito con il tuo fornitore prima di impostarla su obbligatoria, e registra l'impostazione concordata per SSID in modo che una futura ricostruzione del profilo non la annulli all'insaputa.
Applicare prima PMF sugli SSID ad alta sicurezza
Il PMF è una componente della sicurezza wireless, non un sostituto del resto. Protegge specifici frame di gestione unicast e multicast, ma non autentica gli utenti, non sostituisce la crittografia WPA2 o WPA3, non rileva access point rogue e non trasforma una rete guest aperta in una rete enterprise crittografata. Le linee guida del Regno Unito identificano WPA3 come lo standard preferibile per le nuove distribuzioni wireless e distinguono le reti personali basate su passphrase dalle reti enterprise basate su autenticazione individuale. La modalità Enterprise è particolarmente rilevante per le organizzazioni più grandi e regolamentate, come riassunto nella guida per le aziende dell'Irlanda del Nord a Wi-Fi Protected Access.
I livelli che colmano le lacune rimanenti
- L'accesso basato su certificati verifica l'identità del dispositivo e dell'utente; il PMF non lo fa.
- L'isolamento della rete tra gli SSID degli ospiti, del personale e dei dispositivi limita ciò a cui un client compromesso o legacy può accedere.
- Il rilevamento di rogue AP aiuta a identificare gli access point evil twin che il PMF non può rimuovere dall'etere.
- Il monitoraggio degli incidenti relativi ai problemi di associazione e ai picchi di deautenticazione aiuta a distinguere gli attacchi dai problemi di configurazione.
Pianifica il PMF per SSID, valutando i requisiti di sicurezza rispetto ai dispositivi che devono connettersi. WPA3 sta diventando la linea guida di base per i dispositivi nella banda a 6 GHz, rendendo più difficile rinviare i controlli di compatibilità e la pianificazione della transizione. Sulle reti del personale, Passpoint, xPSK, Certificate WiFi e WiFi via MDM offrono diversi metodi di connessione, consentendo di adattare l'autenticazione alla classe di dispositivi invece di forzare ogni client sullo stesso percorso.
Imposta il PMF obbligatorio (required) su WPA3-Enterprise e su altri SSID ad elevata sicurezza una volta superato il pilot. Mantieni gli SSID in modalità mista su opzionale (optional) mentre pianifichi la dismissione dei dispositivi legacy, e rimuovi il traffico del personale da qualsiasi SSID aperto. Registra i risultati di associazione per tipo di dispositivo: questo ti fornirà la prova di quali SSID possono passare a obbligatori e dove i client più datati comportano ancora un costo in termini di compatibilità.
Purple fornisce certificati EAP-TLS gestiti per il WiFi del personale, evitando una passphrase condivisa che richiede la rotazione. Il suo WiFi ospiti e l'accesso del personale vengono eseguiti su una piattaforma cloud tramite gli access point esistenti della struttura. Per pianificare un'implementazione in base all'hardware e al provider di identità in uso, visita Purple.
