Cos'è PPSK: confronto tra funzionalità e modelli di implementazione

Benvenuto al Purple Technical Briefing. Sono il tuo presentatore e oggi approfondiremo il PPSK - Private Pre-Shared Key - cos'è, come si confronta con le tecnologie correlate e, soprattutto, quale modello di implementazione è quello giusto per la tua proprietà. Se sei uno sviluppatore immobiliare, un operatore di build-to-rent o un locatore che gestisce un portafoglio multi-abitativo, questo è il briefing che stavi aspettando. Perché il WiFi non è più un servizio di rete che si aggiunge alla fine di un progetto. È un servizio che influisce direttamente sul valore del canone di locazione, sui periodi di inattività e sui punteggi di soddisfazione dei tuoi residenti. Entriamo nel vivo. Sezione uno: cos'è il PPSK e perché esiste? Ripensa a come la maggior parte degli edifici condivisi gestisce il WiFi oggi. C'è una sola password, condivisa con tutti. Un nuovo residente si trasferisce - gli fornisci la password. Un residente se ne va - ed ecco il problema. Cambi la password per l'intero edificio, interrompendo la connessione di tutti gli altri residenti? O lasci all'ex residente un accesso a tempo indeterminato alla tua rete? Nessuna delle due opzioni è accettabile. Questo è il difetto fondamentale del PSK condiviso su larga scala. Il PPSK risolve questo problema. Il Private Pre-Shared Key offre a ogni residente, a ogni unità, la propria password WiFi unica. Si connettono tutti allo stesso SSID - lo stesso nome di rete - ma ogni password è associata a un'identità di rete distinta. Quando un residente si trasferisce, revochi la sua chiave. Una sola chiave. Nessun altro viene influenzato. Ora, incontrerai diversi nomi per questa tecnologia a seconda del fornitore di hardware con cui stai lavorando. Aruba la chiama PPSK. Cisco Meraki la chiama Personal Private Network. Extreme Networks utilizza anch'essa PPSK. Juniper Mist la chiama ePSK. Ruckus la chiama DPSK - Dynamic PSK. La terminologia varia; il concetto è identico per tutti. Sezione due: l'architettura tecnica - come funziona effettivamente. Ecco il flusso di autenticazione, e capirlo è essenziale per implementarlo correttamente. Quando il dispositivo di un residente si connette al WiFi, l'access point riceve la chiave precondivisa presentata dal dispositivo. In una rete PSK standard, l'access point verifica semplicemente se tale chiave corrisponde a quella configurata sull'SSID. Se corrisponde, il dispositivo si connette. Semplice, ma senza un'identità individuale. In un'implementazione PPSK, l'access point o il controller LAN wireless inoltra la chiave - o l'indirizzo MAC del dispositivo - a un server RADIUS. RADIUS sta per Remote Authentication Dial-In User Service, ed è il protocollo AAA standard del settore definito nella RFC 2865. Il server RADIUS cerca le credenziali presentate nel suo archivio di identità, conferma a quale residente appartengono e restituisce una risposta Access-Accept. All'interno di tale risposta sono incorporati l'assegnazione della VLAN e la policy di larghezza di banda per quello specifico residente. Il risultato è ciò che chiamiamo una bolla WiFi. Ogni dispositivo che utilizza la chiave del Residente A si trova nel segmento di rete privata del Residente A. Il suo telefono rileva il suo Chromecast. Il suo smart speaker si associa alle sue lampadine intelligenti. La sua console di gioco trova la sua TV. Nel frattempo, i dispositivi del Residente B sono completamente invisibili al Residente A, anche se si trovano sullo stesso access point fisico. Questa è l'isolamento Layer 2. Non si tratta solo di una regola di firewall - è una separazione crittografica a livello wireless. Ed è il meccanismo tecnico che rende il WiFi multi-tenant praticabile per le implementazioni residenziali. Sezione tre: PPSK contro iPSK contro 802.1X - il confronto di cui hai effettivamente bisogno. Permettetemi di fornirvi la suddivisione pratica, perché questi tre modelli di autenticazione servono a casi d'uso diversi. Il PPSK, nella sua forma più semplice, memorizza la mappatura chiave-VLAN direttamente sul controller wireless. Non è richiesto alcun server RADIUS esterno. Funziona bene per implementazioni più piccole - diciamo, fino a poche centinaia di unità. Il limite è la scalabilità. La maggior parte dei controller limita il proprio database PPSK locale a un valore compreso tra 512 e 2.000 voci. Per un grande progetto BTR con 400 unità e da 15 a 25 dispositivi per nucleo familiare, supererete quel limite. L'iPSK - Identity PSK - estende il modello richiedendo un server RADIUS per la convalida delle chiavi. Ciò elimina il limite di scalabilità. Con un servizio RADIUS cloud, è possibile supportare decine di migliaia di chiavi univoche. Il server RADIUS consente inoltre l'assegnazione dinamica della VLAN e l'applicazione di policy per utente, il che è essenziale per la conformità e per le offerte di servizi a livelli. La piattaforma di Purple funge da livello di orchestrazione in questo caso - posizionandosi tra il vostro archivio di identità e la vostra infrastruttura RADIUS per automatizzare l'intero ciclo di vita delle chiavi. L'802.1X Enterprise è lo standard di riferimento per le flotte di dispositivi gestiti aziendali. Utilizza certificati digitali o credenziali nome utente-password convalidate rispetto a un servizio di directory come Microsoft Entra ID o Okta. È l'opzione più sicura ed è la scelta giusta quando si controlla ogni dispositivo che si connette alla rete. Ma in un ambiente residenziale, non controllate i dispositivi. I vostri residenti portano i propri smartphone, laptop, smart TV, console di gioco, sensori IoT. Molti di questi dispositivi non supportano affatto l'802.1X. È qui che vincono PPSK e iPSK. Sezione quattro: modelli di implementazione per sviluppatori immobiliari e operatori BTR. Permettetemi di illustrarvi le due principali architetture di implementazione. La prima è il PPSK locale del controller. Il database delle chiavi risiede sul controller LAN wireless. Questo è appropriato per schemi più piccoli - fino a circa 200 unità - in cui si desidera un sovraccarico minimo dell'infrastruttura. Si configura l'SSID, si genera una chiave univoca per unità e si distribuiscono tali chiavi al momento del trasloco. La sfida operativa è la gestione del ciclo di vita: è necessario un processo per generare le chiavi, distribuirle e revocarle al momento del trasloco. Senza automazione, questo diventa un onere manuale. Il secondo modello è iPSK con backend RADIUS e gestione in cloud. Questa è l'architettura che Purple consiglia per qualsiasi progetto con più di 100 unità e per qualsiasi operatore che gestisca più proprietà. Il database delle chiavi risiede in un servizio RADIUS in cloud. Il provisioning e la revoca delle chiavi sono automatizzati tramite l'integrazione con il sistema di gestione della proprietà. All'inizio di una locazione, viene generata una chiave e consegnata al residente. Al termine, la chiave viene revocata automaticamente. Nessun intervento manuale. Nessuna lacuna di sicurezza tra le locazioni. Il livello hardware è agnostico. La piattaforma di Purple funziona su access point Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Puoi distribuire sull'hardware che già possiedi o specificarlo durante la fase di build. L'overlay software gestisce l'intelligenza. Sezione cinque: insidie dell'implementazione e come evitarle. Voglio condividere le lezioni pratiche tratte da distribuzioni reali, perché la tecnologia è semplice ma i dettagli operativi possono cogliere di sorpresa. L'errore più comune è trattare PPSK come un progetto puramente tecnico. La tecnologia è relativamente semplice da configurare. Il problema più difficile è la gestione del ciclo di vita delle chiavi. Come vengono generate le chiavi? Come vengono consegnate ai residenti? E come vengono revocate al termine di una locazione? La risposta a tutte e tre le domande deve essere l'automazione, integrata con il sistema di gestione della proprietà fin dal primo giorno. La seconda insidia è la randomizzazione dell'indirizzo MAC. I sistemi operativi moderni - iOS 14 e successivi, Android 10 e successivi, Windows 11 - randomizzano l'indirizzo MAC del dispositivo per impostazione predefinita per motivi di privacy. In una distribuzione iPSK con backend RADIUS che utilizza la ricerca dell'indirizzo MAC, un MAC randomizzato fallirà l'autenticazione. La soluzione consiste nel configurare l'SSID in modo da richiedere ai client di utilizzare il proprio indirizzo MAC permanente o implementare un flusso di lavoro di preregistrazione. Questo è risolvibile, ma deve essere incluso nel piano di distribuzione fin dall'inizio. Terzo: resilienza RADIUS. La distribuzione PPSK è affidabile solo quanto la tua infrastruttura RADIUS. Se il server RADIUS non è disponibile, nessun nuovo dispositivo può autenticarsi. Progetta per la ridondanza - server RADIUS primari e secondari con un'adeguata configurazione di failover sul controller wireless. E quarto: compatibilità dei dispositivi IoT. La maggior parte dei dispositivi IoT funziona perfettamente con PPSK. Alcuni dispositivi più vecchi presentano particolarità relative all'handshake WPA2. Esegui un test di compatibilità sulla tua flotta di dispositivi specifica prima della messa in servizio. Domande a raffica. Sarò breve. PPSK funziona con WPA3? Sì, con alcune riserve. WPA3-SAE modifica il meccanismo di handshake. La maggior parte dei controller moderni supporta PPSK in modalità di transizione WPA2 e WPA3. Per un ambiente WPA3 puro, verifica la guida all'implementazione specifica del tuo fornitore. Quante chiavi univoche può supportare un singolo SSID? Con un backend RADIUS in cloud, virtualmente illimitate. Il limite pratico è la capacità del database del server RADIUS. Il PPSK locale al controller è in genere limitato a un numero compreso tra 512 e 4.000 voci, a seconda del fornitore. Il PPSK è conforme al GDPR? Il PPSK è un meccanismo di autenticazione di rete, non uno strumento di raccolta dati. La conformità al GDPR dipende da quali dati vengono raccolti durante l'abilitazione e da come vengono archiviati. Purple è certificato ISO 27001, conforme a GDPR e CCPA, e certificato Cyber Essentials. Qual è il premio di affitto per l'inclusione del WiFi gestito come servizio? Secondo i parametri della British Property Federation, gli operatori BTR ottengono in genere un premio da quindici a trenta sterline per unità al mese quando il WiFi è incluso come servizio gestito. Si tratta di un contributo significativo al reddito operativo netto su un piano da 200 unità. Sintesi e prossimi passi. Tre elementi da ricordare da questo briefing. Uno: il PPSK è il modello di autenticazione corretto per il WiFi residenziale multi-tenant. Offre a ogni residente una bolla WiFi privata - il proprio segmento di rete isolato - senza il sovraccarico infrastrutturale di 802.1X Enterprise. Supporta ogni tipo di dispositivo, inclusi i dispositivi IoT e smart home, il che è imprescindibile per il BTR moderno. Due: per qualsiasi piano superiore a 100 unità, distribuire iPSK basato su RADIUS con gestione cloud. Il PPSK locale sul controller non è scalabile e la gestione manuale delle chiavi comporta rischi operativi. Automatizza il provisioning e la revoca delle chiavi tramite l'integrazione del tuo sistema di gestione immobiliare. Tre: l'hardware è agnostico. Purple funziona sugli access point che già possiedi o che hai specificato. Il valore risiede nel livello software - l'orchestrazione, l'analisi e la gestione del ciclo di vita. Se stai pianificando un nuovo piano BTR o stai aggiornando l'infrastruttura WiFi di una proprietà esistente, il momento giusto per progettare l'architettura di autenticazione è adesso - prima che gli access point vengano installati a soffitto. Il retrofitting è possibile, ma è sempre più costoso. Grazie per aver partecipato a questo Briefing Tecnico Purple. Per la guida scritta completa, i diagrammi di architettura e gli esempi pratici di implementazione, visita purple.ai.