Connettere un nuovo dispositivo premendo un solo pulsante era la promessa originale di WiFi Protected Setup (WPS). Progettato per eliminare la digitazione di lunghe chiavi pre-condivise, il WPS funziona come un pass universale per la tua rete wireless - comodo per gli utenti, ma pericoloso se non gestito. Quando si cerca di bilanciare la praticità d'uso con la sicurezza della rete, emergono gravi vulnerabilità. Questa guida fa parte della nostra serie sulla sicurezza del WiFi enterprise.
Sintesi rapida: punti chiave su WiFi Protected Setup (WPS)
- Che cos'è il WPS: Il WiFi Protected Setup (WPS) è un protocollo legacy creato per semplificare l'associazione dei dispositivi tramite un PIN a 8 cifre o un pulsante fisico (PBC).
- Falla critica: La verifica del PIN WPS suddivide il codice a 8 cifre in due metà da 4 cifre, consentendo a strumenti offline (attacchi Pixie Dust) e strumenti brute-force online di violare il PIN in meno di 30 minuti.
- Bypass della password: La violazione del PIN WPS rivela la passphrase principale WPA2/WPA3 della rete, rendendo inefficaci anche le password complesse.
- Azione raccomandata: Gli amministratori di rete dovrebbero disabilitare permanentemente il WPS su tutti gli access point aziendali e guest.
- Alternativa Enterprise: Le moderne strutture utilizzano 802.1X RADIUS, WPA3-Enterprise o Passpoint (Hotspot 2.0) per un accesso WiFi senza password basato sull'identità.
I pericoli nascosti dell'accesso WiFi non autenticato
Il WiFi Protected Setup è uno standard di autenticazione introdotto dalla Wi-Fi Alliance nel 2006 per semplificare l'onboarding sulle reti domestiche. Tuttavia, il suo design architetturale presenta falle fondamentali che lo rendono inadatto ai moderni ambienti WiFi aziendali o guest.
Come funziona la vulnerabilità del PIN WPS
La principale vulnerabilità del WPS deriva dal suo meccanismo PIN a 8 cifre. Invece di verificare tutte le 8 cifre contemporaneamente (il che richiederebbe 100 milioni di tentativi), l'access point convalida il PIN in due metà separate:
- Prime 4 cifre: 10.000 combinazioni possibili.
- Ultime 4 cifre: 3 cifre più una cifra di checksum (1.000 combinazioni possibili).
Questo design riduce lo spazio di ricerca totale per gli attacchi brute-force da 100.000.000 a soli 11.000 tentativi. Utilizzando strumenti automatizzati come Reaver o Bully, un utente malintenzionato può craccare un PIN WPS online in un tempo compreso tra 2 e 10 ore. Inoltre, il Pixie Dust attack sfrutta la debole generazione di numeri casuali in molti chipset dei router, consentendo agli aggressori di calcolare il PIN WPS offline in meno di 30 secondi senza attivare il rate limiting.
Perché il WPS a pulsante (PBC) è ancora insicuro
La configurazione tramite pulsante (PBC) evita la falla del brute-force sul PIN richiedendo la pressione fisica di un pulsante sull'access point. Tuttavia, durante la finestra di associazione di due minuti, qualsiasi dispositivo nelle vicinanze può richiedere i parametri di connessione. Sulle reti aziendali con più access point, l'accesso fisico ai pulsanti è impraticabile e introduce rischi di associazione non autorizzata.
Sicurezza WPS a confronto con i moderni protocolli di autenticazione WiFi
Per valutare il livello di sicurezza della tua rete, confronta i meccanismi WPS legacy con i moderni standard di autenticazione aziendale:
| Protocollo / Metodo | Meccanismo di Autenticazione | Livello di Sicurezza | Vulnerabilità agli Attacchi | Miglior Caso d'Uso |
|---|---|---|---|---|
| Metodo PIN WPS | PIN numerico statico a 8 cifre | Non sicuro (Critico) | Pixie Dust & brute-force del PIN | Obsoleto - disabilitare immediatamente |
| Pulsante WPS (PBC) | Finestra temporale fisica di 2 minuti | Sicurezza Bassa | Intercettazione per prossimità fisica | IoT domestico di base (non per aziende) |
| WPA3 SAE (Personal) | Simultaneous Authentication of Equals | Sicurezza Elevata | Resistente agli attacchi con dizionario offline | Piccoli uffici & reti domestiche |
| Passpoint / 802.1X Enterprise | Certificati digitali & identità SSO | Livello Enterprise | Zero credenziali condivise da sfruttare | Grandi spazi pubblici, aziende & spazi multi-tenant |
Come disabilitare il WPS sulle reti aziendali e business
Poiché il WPS non può essere protetto dagli attacchi brute-force del PIN, le autorità di sicurezza informatica, tra cui CISA e NCSC, consigliano di disabilitare completamente il WPS su tutti gli access point. Segui questi passaggi operativi:
- Interfaccia di gestione degli accessi: Accedi al tuo controller LAN wireless (WLC), alla dashboard cloud (come Cisco Meraki, Aruba Central o Ruckus SmartZone) o al portale di amministrazione del router.
- Individua le impostazioni radio/WLAN: Naviga su Impostazioni Wireless > Sicurezza > WPS o Configurazione tramite pulsante.
- Disabilita PIN e PBC: Imposta "Stato WPS" o "Wi-Fi Protected Setup" su Disabilitato o Disattivato. Assicurati che sia il metodo PIN sia quello tramite pulsante siano esplicitamente disattivati.
- Imponi WPA3/WPA2 Enterprise: Configura gli SSID per utilizzare WPA3-Enterprise o WPA2-Enterprise con autenticazione 802.1X RADIUS.
- Salva ed esegui un audit: Salva le modifiche alla configurazione ed esegui un audit di sicurezza wireless per confermare che l'invio di pacchetti broadcast WPS sia cessato.
Esplorare alternative WiFi moderne e sicure
Le moderne reti wireless richiedono un onboarding fluido senza sacrificare il controllo degli accessi. L'aggiornamento dai protocolli WPS legacy protegge le risorse aziendali semplificando al contempo l'accesso per il personale, i visitatori e gli endpoint IoT.
Aggiornamento a WPA3 e simultaneous authentication of equals (SAE)
Il WPA3 sostituisce le chiavi pre-condivise vulnerabili con il sistema Simultaneous Authentication of Equals (SAE). Il protocollo SAE stabilisce un handshake crittografico a conoscenza zero tra il dispositivo e l'access point prima che il materiale della chiave venga trasmesso. Questo blocca gli attacchi con dizionario offline e l'intercettazione dei dati anche se la password è semplice.
Accesso senza password con Passpoint e 802.1X
Per le sedi ad alta densità, i centri commerciali e gli spazi aziendali, l'inserimento manuale delle password e i pulsanti WPS sono obsoleti. Il sistema Passpoint (Hotspot 2.0) consente ai dispositivi di rilevare e connettersi automaticamente a reti WiFi verificate utilizzando certificati digitali crittografati e profili operatore.
Stai aggiornando la tua sede a Passpoint o al WiFi enterprise 802.1X?
Purple fornisce RADIUS in cloud, gestione delle identità e analisi dei visitatori su hardware wireless multi-vendor senza complesse revisioni dell'infrastruttura.
Sicurezza avanzata per ambienti aziendali
La sicurezza dei sistemi WiFi aziendali collega l'accesso alla rete direttamente all'identità dell'utente e alla conformità dei dispositivi:
- Autenticazione basata su certificato (EAP-TLS): rilascia certificati digitali univoci e non trasferibili ai dispositivi dei dipendenti.
- Integrazione Single Sign-On (SSO): collega l'autenticazione WiFi con Microsoft Entra ID, Okta o Google Workspace in modo che l'accesso venga revocato istantaneamente quando un dipendente lascia l'azienda.
Purple si integra con i principali hardware wireless aziendali e identity provider per offrire una sicurezza WiFi basata sull'identità e senza password in tutte le sedi a livello nazionale. Per ulteriori approfondimenti sulla protezione delle reti tramite la gestione delle identità, consulta la nostra guida completa alla sicurezza WiFi basata sull'identità.
Domande frequenti su WiFi Protected Setup
Risposte chiare alle domande tecniche più comuni sulla dismissione del WPS e sulla sicurezza wireless.
Il metodo a pulsante è più sicuro del metodo PIN?
Sì, il metodo a pulsante (PBC) comporta meno rischi rispetto al metodo PIN perché apre solo una finestra di associazione di due minuti. Tuttavia, il PBC rimane un protocollo legacy non sicuro e dovrebbe essere disabilitato su tutte le reti aziendali.
Una password WiFi complessa protegge dagli attacchi WPS?
No. Una password complessa WPA2 o WPA3 offre zero protezione contro un attacco al PIN WPS. La violazione del PIN WPS a 8 cifre bypassa completamente la passphrase principale della rete e costringe il router a rivelare la password.
Posso usare il WPS in sicurezza per dispositivi IoT o stampanti?
No. L'uso del WPS per stampanti o dispositivi IoT espone l'intera rete a rischi. Se un utente malintenzionato compromette un dispositivo IoT associato tramite WPS, stabilisce un punto di accesso per spostarsi lateralmente all'interno della rete e colpire database aziendali sensibili.
Migliora la sicurezza della tua rete aziendale con Purple
Sostituisci il WPS non sicuro e le password statiche con l'accesso basato sull'identità Passpoint, l'integrazione 802.1X e il provisioning automatizzato degli ospiti in tutte le tue sedi.
