Per le moderne aziende, i luoghi pubblici, le strutture sanitarie e gli istituti scolastici, il WiFi non è più un servizio secondario. Rappresenta l'infrastruttura di connettività primaria per dipendenti, ospiti, dispositivi IoT e sistemi operativi. Tuttavia, i segnali wireless trasmettono dati attraverso l'aria, lasciando le reti non crittografate o configurate in modo errato vulnerabili a intercettazioni, furti di credenziali e intrusioni di rete laterali.
La protezione della rete wireless richiede una strategia di sicurezza multi-livello. I leader IT devono passare dalle chiavi pre-condivise legacy all'autenticazione basata sull'identità, a standard crittografici moderni come il WPA3 e a una rigorosa segmentazione della rete. L'implementazione dei controlli di sicurezza aziendali garantisce la protezione dei dati, la conformità normativa e la continuità aziendale in ogni sede fisica.
Comprendere le fondamenta della moderna sicurezza WiFi
I protocolli di sicurezza wireless cifrano i dati via etere per prevenire l'intercettazione non autorizzata. I primi standard wireless fornivano una protezione minima contro l'intercettazione da parte di terzi. Decenni di progressi crittografici hanno trasformato le reti wireless da trasmissioni aperte in canali crittografati e autenticati.
Ogni connessione WiFi sicura si basa su due pilastri fondamentali: la crittografia e l'autenticazione. La crittografia cifra i dati in transito in modo che soggetti esterni non possano leggere i pacchetti trasmessi. L'autenticazione verifica l'identità degli utenti e dei dispositivi che si connettono prima di concedere l'accesso alle risorse interne.
L'evoluzione da WEP a WPA3
Il gruppo di lavoro IEEE 802.11 ha introdotto il Wired Equivalent Privacy (WEP) nel 1999. Il WEP utilizzava piccoli vettori di inizializzazione (IV) a 24 bit con cifrari a flusso RC4. I crittoanalisti hanno subito dimostrato che le chiavi WEP statiche potevano essere violate in pochi minuti catturando un volume modesto di pacchetti di rete. Il WEP è completamente obsoleto.
Il WiFi Protected Access (WPA) ha sostituito il WEP nel 2003 come patch temporanea utilizzando il Temporal Key Integrity Protocol (TKIP). Nel 2004, il WPA2 ha stabilito l'Advanced Encryption Standard (AES) operante in CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol) come standard globale. Sebbene il WPA2-Personal abbia fornito una protezione affidabile per anni, vulnerabilità come l'attacco KRACK (Key Reinstallation Attack) del 2017 hanno evidenziato i limiti del suo handshake a quattro vie quando si utilizzano passphrase condivise.
La WiFi Alliance ha introdotto il WPA3 nel 2018 per risolvere queste debolezze crittografiche. Il WPA3 offre aggiornamenti fondamentali per le reti personali e commerciali:
- Simultaneous Authentication of Equals (SAE): sostituisce il vulnerabile handshake a quattro vie PSK con un meccanismo di dimostrazione a conoscenza zero (scambio di chiavi Dragonfly). Gli aggressori non possono catturare i dati dell'handshake per eseguire attacchi dizionario offline o di forza bruta sulla passphrase.
- Protected Management Frames (PMF): obbligatorio in WPA3, il PMF protegge i frame di controllo e gestione dagli attacchi di spoofing di deautenticazione e disassociazione.
- Opportunistic Wireless Encryption (OWE): noto anche come Enhanced Open, l'OWE fornisce una crittografia individuale non autenticata sulle reti ospiti aperte, proteggendo il traffico degli utenti dalle intercettazioni passive senza richiedere una password condivisa.
- Modalità WPA3-Enterprise a 192 bit: offre la massima sicurezza crittografica utilizzando AES-GCMP a 192 bit per ambienti governativi, finanziari e aziendali sensibili.
Oltre le password condivise: autenticazione basata su certificati 802.1X
Affidarsi a un'unica chiave pre-condivisa in un ambiente commerciale comporta gravi rischi per la sicurezza. Se un dipendente lascia l'azienda o un laptop aziendale viene smarrito, la password condivisa deve essere aggiornata su ogni dispositivo connesso per mantenere l'integrità della sicurezza.
La sicurezza WiFi aziendale si basa sull'autenticazione IEEE 802.1X integrata con un server RADIUS centralizzato. Invece di condividere una chiave segreta statica, ogni dispositivo si autentica utilizzando credenziali utente individuali o certificati digitali EAP-TLS emessi da una Private Key Infrastructure (PKI) fidata.
Quando un dipendente lascia l'azienda o viene segnalata la perdita di un dispositivo, gli amministratori IT revocano lo specifico certificato o l'identità utente in Microsoft Entra ID, Okta o Google Workspace. L'accesso viene revocato istantaneamente senza interrompere nessun altro utente o dispositivo sulla rete. Scopri di più sui vantaggi dell'autenticazione 802.1X nella nostra analisi tecnica.
Decodificare le principali minacce wireless e i vettori di attacco
Comprendere la sicurezza wireless richiede l'analisi di come i malintenzionati prendono di mira l'infrastruttura wireless. Gli aggressori sfruttano l'autenticazione debole e i canali non crittografati per ottenere accessi non autorizzati.
Hotspot Evil Twin e access point non autorizzati
Un attacco Evil Twin si verifica quando un aggressore distribuisce un access point non autorizzato che trasmette l'esatto SSID di una rete aziendale legittima. Quando i computer portatili o i telefoni cellulari nelle vicinanze tentano di connettersi automaticamente, l'AP non autorizzato intercetta le richieste di connessione.
Una volta effettuata la connessione a un Evil Twin, il traffico dell'utente passa direttamente attraverso l'apparecchiatura dell'aggressore. Quest'ultimo può catturare il traffico non crittografato, eseguire il dirottamento della sessione o invitare gli utenti a installare aggiornamenti software dannosi. L'implementazione di 802.1X EAP-TLS con validazione del certificato del server impedisce ai dispositivi di autenticarsi con access point non autorizzati.
Attacchi Man-in-the-Middle (MitM)
In uno scenario Man-in-the-Middle, un malintenzionato si posiziona tra un client wireless e il router gateway. Su reti aperte o non configurate correttamente, gli aggressori eseguono l'ARP poisoning o il DNS spoofing per reindirizzare le richieste degli utenti verso portali replica dannosi, rubando credenziali di accesso e dati finanziari sensibili.
Violazione delle password e attacchi a dizionario
Sulle reti WPA2-Personal, gli aggressori catturano l'handshake a quattro vie ed eseguono script dizionario automatizzati offline. Le password semplici possono essere violate in pochi secondi utilizzando cluster GPU ospitati nel cloud. La migrazione a WPA3-Personal o WPA3-Enterprise neutralizza completamente gli attacchi dizionario offline basati sull'handshake.
Best practice per il rafforzamento del WiFi aziendale
Per ottenere una sicurezza wireless robusta è necessario implementare i principi di difesa in profondità in tutta l'architettura di rete:
- Segmentazione della rete: isola le risorse aziendali, l'hardware IoT e il traffico degli ospiti su Virtual Local Area Networks (VLAN) separate. Applica regole di firewall rigide tra i segmenti per impedire spostamenti laterali. Per linee guida complete, consulta la nostra guida alla sicurezza WiFi aziendale.
- Onboarding sicuro del WiFi per gli ospiti: richiedi che le connessioni degli ospiti passino attraverso un captive portal autenticato ospitato su un segmento di rete isolato. Consulta la nostra guida al captive portal per configurazioni di accesso sicuro.
- Integrazione Cloud RADIUS: distribuisci Cloud RADIUS per applicare controlli di accesso basati sull'identità in filiali distribuite senza dover gestire costose infrastrutture on-premise.
- Wireless Intrusion Prevention (WIPS) continuo: distribuisci AP con radio di scansione dedicate per rilevare in tempo reale access point non autorizzati, attacchi di deautenticazione flood e interferenze RF impreviste.
Proteggi l'infrastruttura wireless della tua azienda con Purple
Passa dalle vulnerabili password condivise a una verifica dell'identità fluida, all'autenticazione Cloud RADIUS e a un accesso ospiti sicuro in tutte le tue sedi.
