Secure Guest Access: Implementazione del NAC per i Dispositivi Non Gestiti

Secure Guest Access: Implementing NAC for Unmanaged Devices. A Purple WiFi Intelligence Briefing. Introduzione e Contesto. Benvenuto. Se sei responsabile della sicurezza di rete in un hotel, una catena retail, uno stadio o una struttura del settore pubblico, ti trovi ad affrontare un problema sempre più complesso: come offrire ad ospiti, visitatori e partner esterni un accesso WiFi rapido e conveniente - senza aprire una porta d'accesso alla tua infrastruttura aziendale? Questo è esattamente l'argomento che affronteremo oggi. Non si tratta di una panoramica teorica. Esamineremo l'architettura, le decisioni di deployment, i requisiti di conformità e gli scenari reali in cui tutto funziona alla perfezione - e quelli in cui si verificano problemi. La sfida principale è rappresentata dai dispositivi non gestiti. I tuoi ospiti si connettono con smartphone personali, laptop, tablet e sempre più spesso con dispositivi IoT. Nessuno di questi è sotto il tuo controllo, nessuno ha installato il tuo agente MDM e tutti rappresentano un potenziale rischio per la sicurezza se non vengono adeguatamente segmentati e autenticati. Il Network Access Control, o NAC, è il framework che risolve questo problema. Entriamo nel dettaglio. Approfondimento Tecnico. In primo luogo, definiamo con precisione cosa sia effettivamente il NAC. Il Network Access Control è un framework di sicurezza che applica un accesso basato su policy alle risorse di rete. Valuta chi si sta connettendo, quale dispositivo sta utilizzando e se tale dispositivo soddisfa i requisiti di sicurezza previsti - prima di concedere l'accesso. Per i dispositivi degli ospiti non gestiti, la verifica dello stato di sicurezza è necessariamente leggera, ma i componenti di identità e segmentazione sono fondamentali. L'architettura si suddivide in tre livelli funzionali. Il primo è il livello di autenticazione. Per i dispositivi aziendali gestiti, in genere si utilizza lo standard 802.1X con EAP-TLS, dove i certificati vengono distribuiti via SCEP tramite il tuo MDM. Ma per i dispositivi degli ospiti non gestiti, lo standard 802.1X non è pratico: gli ospiti non possiedono certificati e non è possibile installarli. Pertanto, il livello di autenticazione per gli ospiti si affida a un Captive Portal: una pagina di autenticazione basata sul web che intercetta la richiesta HTTP o HTTPS iniziale e reindirizza l'utente a un flusso di accesso o registrazione. È qui che operano le piattaforme come la soluzione Guest WiFi di Purple, acquisendo l'identità tramite login social, e-mail, verifica SMS o registrazione tramite modulo, e trasmettendo tale identità all'engine delle policy NAC. Il secondo livello è l'engine delle policy. È qui che vengono prese le decisioni di accesso. Il sistema NAC valuta l'identità autenticata rispetto alle policy di accesso e assegna il dispositivo al segmento di rete appropriato. Per un ospite, questo significa in genere una VLAN dedicata agli ospiti con solo accesso a Internet e senza instradamento verso le sottoreti aziendali. Per un partner esterno con un dispositivo noto, potresti assegnare una VLAN limitata con accesso a specifiche risorse interne. L'engine delle policy può anche applicare un accesso basato sul tempo - un partecipante a una conferenza ottiene l'accesso per la durata dell'evento, un ospite d'hotel per la durata del soggiorno.Il terzo livello è l'enforcement (applicazione). Questo viene gestito all'edge della rete - i tuoi access point wireless, gli switch e il firewall. Il sistema NAC comunica con questi dispositivi tramite RADIUS, ovvero il protocollo Remote Authentication Dial-In User Service. Quando un ospite si autentica, il server RADIUS restituisce un messaggio di Access-Accept con gli attributi di assegnazione della VLAN, e l'access point inserisce il dispositivo nella VLAN corretta. Se l'autenticazione fallisce, il server RADIUS restituisce un messaggio di Access-Reject e il dispositivo rimane in una VLAN di quarantena pre-autenticazione con accesso esclusivo al Captive Portal. Ora parliamo di WPA3. Se stai implementando o rinnovando la tua infrastruttura wireless, WPA3 dovrebbe essere presente nella tua roadmap. WPA3-SAE, che sta per Simultaneous Authentication of Equals, sostituisce il WPA2-PSK ed elimina la vulnerabilità agli attacchi di tipo dizionario offline. In particolare per le reti ospiti, lo standard WPA3-OWE - Opportunistic Wireless Encryption - è estremamente rilevante. L'OWE fornisce la crittografia senza richiedere una password, il che significa che gli ospiti ottengono una connessione crittografata senza alcuna frizione aggiuntiva. Si tratta di un miglioramento significativo rispetto al tradizionale SSID ospite aperto, che trasmette i dati in chiaro. La conformità non è negoziabile nella maggior parte dei settori verticali di cui parliamo. Se gestisci un hotel con un sistema di punto vendita, lo standard PCI-DSS richiede una rigorosa segmentazione della rete tra gli ambienti dei dati dei titolari di carta e le reti ospiti. Il requisito è esplicito: il WiFi per gli ospiti deve trovarsi su un segmento di rete separato senza instradamento verso l'ambito PCI. Il NAC applica questo requisito a livello di rete, mentre la policy del firewall lo applica sul perimetro. Il GDPR aggiunge un'altra dimensione - se raccogli dati identificativi degli ospiti tramite il tuo Captive Portal, hai bisogno di un consenso esplicito, di una base giuridica per il trattamento e di una policy di conservazione dei dati. La piattaforma di Purple gestisce nativamente l'acquisizione del consenso conforme al GDPR, con periodi di conservazione e percorsi di audit configurabili. Affrontiamo anche la randomizzazione degli indirizzi MAC, perché rappresenta un vero mal di testa operativo. A partire da iOS 14, Android 10 e Windows 10, i dispositivi randomizzano il proprio indirizzo MAC per SSID come impostazione predefinita. Questo interrompe qualsiasi policy NAC che si affida all'indirizzo MAC come identificatore persistente. La risposta corretta consiste nello spostare il modello di identità sull'utente autenticato, anziché sul MAC del dispositivo. Quando un ospite si autentica tramite il tuo Captive Portal, associ la sua sessione alla sua identità autenticata - e-mail, numero di telefono o profilo social - anziché al suo indirizzo MAC. La piattaforma analitica di Purple gestisce questo aspetto in modo corretto, mantenendo l'identità a livello di utente tra le varie sessioni anche al variare dell'indirizzo MAC. Per le organizzazioni che richiedono una valutazione più approfondita dello stato di sicurezza per i dispositivi non gestiti, esistono approcci con agente e senza agente. La valutazione dello stato di sicurezza senza agente utilizza tecniche come l'OS fingerprinting, la scansione delle porte aperte e l'analisi dell'HTTP user-agent per classificare i dispositivi e verificare la conformità di base. Questo approccio è indicato per le reti ospiti in cui si desidera identificare il tipo di dispositivo a scopo analitico o applicare policy differenziate - ad esempio, bloccando l'accesso a determinati servizi da parte di dispositivi IoT noti. La valutazione dello stato di sicurezza basata su agente richiede invece che l'utente installi un agente temporaneo: una soluzione adatta per scenari di accesso di collaboratori esterni o partner, ma che crea attrito per gli ospiti occasionali. Raccomandazioni di implementazione e trappole da evitare. Vediamo ora la sequenza di implementazione più efficace nella pratica. Inizia con la segmentazione della rete prima ancora di toccare la configurazione del NAC. Definisci le tue VLAN: una VLAN di pre-autenticazione con accesso esclusivo al Captive Portal e al DNS, una VLAN ospiti con accesso a internet e nessuna rotta interna e, opzionalmente, una VLAN per i collaboratori esterni con accesso interno limitato. Configura i tuoi firewall ACL. Questa è la base su cui si appoggia tutto il resto. In secondo luogo, implementa la tua infrastruttura RADIUS. Per la maggior parte delle distribuzioni nel mercato di fascia media, un servizio RADIUS ospitato in cloud e integrato con la tua piattaforma di Captive Portal rappresenta la scelta ideale. Elimina i costi operativi di gestione dei server RADIUS on-premises e garantisce la ridondanza necessaria per una rete ospiti di produzione. Assicurati che i segreti condivisi RADIUS siano robusti e ruotati regolarmente. In terzo luogo, configura il tuo Captive Portal. Il portale deve essere accessibile dalla VLAN di pre-autenticazione - il che significa che la risoluzione DNS per il dominio del portale deve funzionare prima dell'autenticazione. Configura il tuo scope DHCP sulla VLAN di pre-autenticazione per puntare a un server DNS che risolva il dominio del portale. Testalo con attenzione - una configurazione DNS errata è la causa più comune di malfunzionamento del Captive Portal. In quarto luogo, testa l'assegnazione delle VLAN end-to-end. Connetti un dispositivo di prova, completa il flusso di autenticazione e verifica che il dispositivo venga indirizzato sulla VLAN corretta con la policy di accesso appropriata. Utilizza un'acquisizione di pacchetti per confermare che gli attributi RADIUS vengano trasmessi correttamente. Verifica che la VLAN ospiti non abbia rotte verso le sottoreti aziendali - esegui un traceroute dalla VLAN ospiti a un IP aziendale e conferma che fallisca. Ora, le insidie. La modalità di guasto più comune è la configurazione errata dello split-tunnel - in cui la VLAN ospite ha un percorso non intenzionale verso le risorse interne a causa di una regola del firewall configurata male o di una ACL mancante. Controlla le regole del firewall prima dell'attivazione. Il secondo errore comune è la gestione del timeout RADIUS - se il server RADIUS non è raggiungibile, cosa succede? Assicurati che i tuoi access point siano configurati come fail-closed, non fail-open. Fail-open significa che gli ospiti ottengono l'accesso alla rete anche se RADIUS è inattivo, il che rappresenta un rischio per la sicurezza. Fail-closed significa nessun accesso se RADIUS non è raggiungibile, che è l'atteggiamento corretto per un'implementazione sicura. La terza insidia è la scadenza del certificato sul Captive Portal. Se il certificato TLS del tuo portale scade, gli ospiti vedranno un avviso di sicurezza nel browser e il tasso di autenticazione scenderà quasi a zero. Automatizza il rinnovo del certificato con Let's Encrypt o con la tua piattaforma di gestione dei certificati. Domande e risposte rapide. Ho bisogno di 802.1X per le reti ospiti? No. 802.1X è appropriato per i dispositivi aziendali gestiti. Per gli ospiti non gestiti, un Captive Portal con assegnazione VLAN basata su RADIUS è l'architettura corretta. Posso usare un singolo SSID sia per gli ospiti che per i dispositivi aziendali? Tecnicamente sì, utilizzando l'assegnazione dinamica della VLAN basata sul risultato dell'autenticazione. Ma dal punto di vista operativo, SSID separati sono più semplici da gestire e più facili da controllare. Tienili separati. Come gestisco i dispositivi IoT che non possono completare il flusso di un Captive Portal? Utilizza il bypass dell'autenticazione basato su MAC, o MAB, per i dispositivi IoT noti con indirizzi MAC preregistrati. Per i dispositivi IoT sconosciuti, inseriscili in una VLAN di quarantena e verificali manualmente. Qual è il timeout di sessione corretto per l'accesso ospite? Per il settore alberghiero, allinealo alla durata del soggiorno dell'ospite. Per il retail, da due a quattro ore è il valore tipico. Per gli eventi, allinealo al programma dell'evento. Imposta sempre un timeout di inattività - 30 minuti di inattività è un valore predefinito ragionevole. Devo registrare il traffico degli ospiti? Sì, per scopi legali e di conformità. Conserva i log di connessione - IP di origine, timestamp, identità autenticata - per un minimo di 90 giorni, o più a lungo se richiesto dalla tua giurisdizione. La piattaforma Purple fornisce questo percorso di controllo in modo nativo. Riepilogo e prossimi passi. Per riassumere: l'accesso ospite sicuro per i dispositivi non gestiti è un problema risolto, ma richiede un'architettura deliberata. I tre pilastri sono l'identità - chi si connette; la segmentazione - dove possono andare; e l'applicazione - come garantire che la policy sia rispettata. Il controllo degli accessi alla rete (NAC) unisce questi elementi, con RADIUS come protocollo di comunicazione tra la piattaforma di autenticazione e l'infrastruttura di rete. Per i tuoi prossimi passi: se non l'hai già fatto, verifica l'attuale segmentazione della rete ospiti. Conferma che non ci siano percorsi dalla VLAN ospite alle sottoreti aziendali. Controlla il flusso di consenso GDPR del tuo Captive Portal e la configurazione di conservazione dei dati. E se utilizzi WPA2 con un SSID ospite aperto, inserisci WPA3-OWE nella tua tabella di marcia per il rinnovo dell'infrastruttura. La piattaforma di Purple si integra direttamente con questa architettura - fornendo il Captive Portal, l'acquisizione dell'identità, il livello di conformità al GDPR e gli strumenti di analytics che si appoggiano alla tua infrastruttura NAC. Se desideri vedere come questo si applica al tuo specifico ambiente di sede, il team di Purple può illustrarti un'architettura di riferimento per il tuo caso d'uso. Grazie per l'attenzione. Questa è stata una presentazione di Purple WiFi Intelligence Briefing sull'Accesso Ospiti Sicuro: Implementazione del NAC per Dispositivi Non Gestiti.