Chiavi Pre-Condivise Dinamiche (DPSK) per la Sicurezza Multi-Tenant

SCRIPT DEL PODCAST: "Dynamic Pre-Shared Keys (DPSK) per la sicurezza multi-tenant" Un briefing tecnico di Purple WiFi Intelligence Durata approssimativa: 10 minuti Voce: inglese britannico, tono da consulente senior — sicuro, colloquiale, autorevole. [INTRODUZIONE E CONTESTO — circa 1 minuto] Benvenuti al podcast di Purple WiFi Intelligence. Sono il vostro ospite e oggi tratteremo un argomento che è diventato uno dei temi di conversazione più comuni che affronto con IT manager e architetti di rete presso hotel, catene di vendita al dettaglio, stadi e centri congressi. L'argomento è Dynamic Pre-Shared Keys - DPSK. E se attualmente state gestendo una singola password WiFi condivisa in una struttura multi-tenant, o state cercando di capire se avete davvero bisogno di tutta la complessità dell'autenticazione enterprise 802.1X, questo episodio vi fornirà una risposta chiara e pratica. Scopriremo cosa sia effettivamente il DPSK sotto il cofano, come si confronta con le alternative, perché è diventato l'architettura d'elezione per i gestori di grandi strutture e come distribuirlo senza cadere nelle trappole che mettono in difficoltà la maggior parte dei team. Faremo anche una sessione di domande e risposte rapide alla fine. Entriamo nel vivo. [APPROFONDIMENTO TECNICO — circa 5 minuti] Iniziamo con il problema che il DPSK risolve, perché comprendere il problema è metà dell'opera. In una distribuzione WPA2 standard di tipo Personal - quella che la maggior parte delle persone considera come una normale rete WiFi - ogni dispositivo che si connette a quel determinato SSID utilizza la stessa chiave pre-condivisa. Una sola password, condivisa da tutti. In un hotel con 300 camere, ciò significa che ogni ospite, ogni membro del personale, ogni dispositivo IoT presente nell'edificio e ogni appaltatore esterno che sia mai stato in loco si autentica con la medesima credenziale. Le implicazioni in termini di sicurezza sono significative. Se un solo ospite condivide quella password all'esterno, o se questa finisce su un'app di condivisione WiFi, avete perso il controllo del perimetro della vostra rete. E se dovete revocare l'accesso - ad esempio, se un ospite effettua il check-out o termina il contratto di un fornitore - dovete cambiare la password per tutti. Questa non è gestione della rete, è un rischio. All'estremo opposto dello spettro troviamo lo standard 802.1X - lo standard IEEE per il controllo dell'accesso alla rete basato su porta. Lo standard 802.1X è eccellente. Offre autenticazione per singolo utente, identità basata su certificati e applicazione granulare delle policy. Richiede però un'infrastruttura server RADIUS, richiede la configurazione del supplicant su ogni dispositivo e, per un ambiente come una struttura ricettiva dove gli ospiti portano laptop personali, telefoni, smart TV, console di gioco e chiavette per lo streaming - molti dei quali hanno un supporto limitato o nullo per il supplicant 802.1X - l'esperienza di onboarding diventa davvero complessa. Non si può semplicemente chiedere a un ospite di un hotel di installare un certificato sul proprio dispositivo personale prima di potersi connettere al WiFi. Il DPSK si colloca esattamente a metà strada tra questi due approcci. Ecco come funziona da un punto di vista tecnico. Con DPSK, continui a gestire un SSID WPA2-Personal - quindi, dal punto di vista del dispositivo, la connessione avviene a una rete WiFi standard utilizzando una chiave pre-condivisa. Nessun certificato, nessun supplicant RADIUS, nessun onboarding complesso. L'ospite inserisce una password ed è connesso. Dietro le quinte, tuttavia, il controller wireless o la piattaforma di gestione cloud mantiene un database di chiavi pre-condivise uniche - una per camera, una per utente, una per gruppo di dispositivi, a seconda di come desideri strutturarlo. Quando un dispositivo si connette e presenta la sua chiave, il controller associa tale chiave a un record di identità e applica la policy di rete corrispondente - assegnazione della VLAN, limiti di larghezza di banda, liste di controllo degli accessi. Il concetto chiave è che l'univocità della credenziale avviene a livello di controller, non a livello di dispositivo. Il dispositivo non ha bisogno di sapere che dispone di una chiave unica. Si connette semplicemente in modo normale. Ma la tua rete sa esattamente a chi appartiene quel dispositivo e può applicare la policy di conseguenza. Ora, la terminologia può creare confusione, poiché diversi fornitori utilizzano nomi differenti per lo stesso concetto. Cisco lo chiama iPSK - Identity PSK. Aruba lo chiama MPSK - Multi-PSK. Ruckus lo chiama DPSK - Dynamic PSK. Il principio alla base è identico per tutti e tre. I dettagli di implementazione differiscono leggermente, in particolare per quanto riguarda la struttura degli attributi RADIUS, ma l'architettura è la stessa. Dal punto di vista degli standard, DPSK opera all'interno del framework WPA2-Personal, conforme allo standard IEEE 802.11. Alcuni fornitori stanno estendendo questa funzionalità con le capacità WPA3-SAE, che aggiungono forward secrecy e resistenza agli attacchi di tipo dizionario offline. Se stai distribuendo una nuova infrastruttura, vale la pena specificare access point compatibili con WPA3 - rendono a prova di futuro la tua installazione DPSK e si allineano con la direzione in cui si sta muovendo il settore. Parliamo del dynamic VLAN steering, perché è qui che DPSK si dimostra davvero prezioso in un ambiente multi-tenant. In un hotel, in genere si desiderano almeno quattro segmenti di rete: una VLAN ospiti per i dispositivi personali, una VLAN personale per i sistemi operativi, una VLAN IoT per la tecnologia delle camere intelligenti, TVCC e sistemi di gestione dell'edificio, e una VLAN POS o di pagamento per qualsiasi infrastruttura di punto vendita che debba essere conforme allo standard PCI-DSS. Con una singola PSK condivisa, non è possibile differenziare questi gruppi senza implementare più SSID - il che crea congestione delle radiofrequenze e sovraccarico di gestione. Con DPSK, un singolo SSID può indirizzare dinamicamente ogni dispositivo di connessione nella VLAN corretta in base alla chiave presentata. Pulito, scalabile e operativamente semplice. La funzionalità di gestione del ciclo di vita è altrettanto importante. Quando un ospite effettua il check-out, si revoca il suo DPSK. I suoi dispositivi perdono l'accesso. Nessun altro ospite viene influenzato. Nessun cambio di password, nessuna chiamata al supporto, nessuna interruzione. Per un hotel con 300 camere e un turnover giornaliero di ospiti, questa efficienza operativa si accumula in modo significativo nel tempo - e può essere completamente automatizzata grazie all'integrazione con il proprio Property Management System. Dal punto di vista della conformità - e questo è particolarmente importante ai fini GDPR, PCI-DSS e per qualsiasi operatore che gestisca dati personali sulla rete - il DPSK offre quella tracciabilità di audit che una PSK condivisa semplicemente non può fornire. È possibile attribuire l'attività di rete a una credenziale specifica, e quindi a un record di un ospite o a un dispositivo specifico. Questa non è solo una buona pratica; in alcuni contesti normativi, è un requisito obbligatorio. [CONSIGLI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE - circa 2 minuti] Parliamo di implementazione. Alcuni aspetti da definire correttamente fin dall'inizio. In primo luogo, la generazione e la distribuzione delle chiavi. Le chiavi DPSK devono essere sufficientemente lunghe e casuali - minimo 20 caratteri, idealmente 32. Generale in modo programmatico utilizzando un generatore di numeri casuali crittograficamente sicuro. Anche il meccanismo di distribuzione è importante. In un hotel, stampare la chiave univoca sulla busta della chiave magnetica dell'ospite, o inviarla via email al momento del check-in, o integrarla con il PMS per l'invio tramite SMS - sono tutti approcci validi. L'importante è che la distribuzione sia automatizzata e legata al workflow di gestione degli ospiti esistente. In secondo luogo, il supporto del controller. Non tutti i controller wireless implementano il DPSK allo stesso modo. Cisco Meraki, Aruba Central, Ruckus SmartZone, Juniper Mist ed Extreme Networks hanno tutti le proprie implementazioni, ma i limiti di scalabilità, le funzionalità API e la granularità del routing VLAN variano. Prima di scegliere una piattaforma, verificate il numero massimo di chiavi univoche supportate per SSID. Alcune piattaforme più datate limitano questo numero a poche centinaia, il che è insufficiente per una grande struttura. Terzo - e questa è la trappola più comune che vedo - la randomizzazione degli indirizzi MAC. I sistemi operativi moderni, iOS 14 e successivi, Android 10 e successivi, Windows 11, utilizzano tutti la randomizzazione degli indirizzi MAC per impostazione predefinita per motivi di privacy. Se l'implementazione DPSK si basa sulla ricerca del MAC address nel database delle identità RADIUS, un dispositivo che presenta un indirizzo MAC randomizzato non verrà trovato e verrà rifiutato. La soluzione consiste nel configurare l'SSID in modo da richiedere ai client di utilizzare l'indirizzo MAC permanente del dispositivo, o nell'implementare un workflow di preregistrazione. Questo deve essere presente nel piano di implementazione fin dal primo giorno - è un problema risolvibile, ma coglie di sorpresa i team se non viene pianificato. Quarto, la resilienza del server RADIUS. L'implementazione DPSK è affidabile solo quanto lo è l'infrastruttura RADIUS. Se il server RADIUS non è disponibile, nessun nuovo dispositivo può autenticarsi. Progettate la ridondanza - server RADIUS primari e secondari, con un'appropriata configurazione di failover sul controller wireless. L'errore da evitare assolutamente: distribuire DPSK senza un processo documentato per il ciclo di vita delle chiavi. Le chiavi che non vengono mai revocate si accumulano nel tempo e diventano un rischio per la sicurezza. Definisci il workflow di revoca prima di andare online, non dopo. [D&A VELOCI - circa 1 minuto] Bene, passiamo a qualche domanda rapida. "DPSK è uguale a iPSK e MPSK?" - Dal punto di vista funzionale, sì. DPSK è la terminologia di Ruckus, iPSK è di Cisco, MPSK è di Aruba. Stesso concetto, marchi di vendor differenti. "DPSK funziona con WPA3?" - Sì, con alcune riserve. La maggior parte dei controller moderni supporta DPSK in modalità di transizione WPA2 e WPA3. Per un ambiente esclusivamente WPA3, verifica la guida di implementazione specifica del tuo vendor, poiché WPA3-SAE modifica il meccanismo di handshake. "DPSK può funzionare senza un server RADIUS?" - Alcune piattaforme controller implementano DPSK nativamente senza un server RADIUS separato, memorizzando il database delle chiavi localmente. Questo semplifica la distribuzione ma limita la scalabilità e le opzioni di integrazione. "Qual è il numero massimo di chiavi univoche per SSID?" - Dipende dal controller. Le piattaforme enterprise in genere ne supportano migliaia. Il limite pratico di solito è legato alle prestazioni delle query del tuo archivio di identità, non al controller wireless stesso. "DPSK è adatto per la conformità PCI-DSS?" - DPSK può supportare la conformità PCI-DSS consentendo l'isolamento crittografico dei dispositivi di elaborazione dei pagamenti su una VLAN dedicata. Tuttavia, dovrebbe far parte di un quadro di conformità più ampio e non essere considerato come una soluzione di conformità autonoma. [RIASSUNTO E PROSSIMI PASSI - circa 1 minuto] Per concludere: DPSK è l'architettura ideale per qualsiasi installazione in ambienti multi-tenant in cui è necessaria una tracciabilità per singolo utente o per singola stanza senza la complessità di un'infrastruttura 802.1X completa. Offre credenziali univoche per tenant, instradamento VLAN dinamico, gestione granulare del ciclo di vita e un audit trail pronto per la conformità, il tutto con un'esperienza di onboarding del dispositivo semplice come l'inserimento di una password WiFi. Se stai progettando una nuova installazione o desideri aggiornare una rete PSK condivisa esistente, i prossimi passi pratici sono: verificare il supporto DPSK sulla tua attuale piattaforma di controller wireless, definire il modello di segmentazione VLAN in base alle tipologie di tenant, pianificare il workflow del ciclo di vita delle chiavi dal provisioning fino alla revoca, e predisporre la randomizzazione degli indirizzi MAC fin dal primo giorno. La piattaforma di Purple fornisce il livello di orchestrazione che si colloca tra l'identity provider e la tua infrastruttura wireless per automatizzare l'intero ciclo di vita delle chiavi DPSK - dal provisioning al check-in fino alla revoca al check-out, con l'aggiunta di analisi e reportistica complete. Per saperne di più sull'architettura WiFi multi-tenant e sul controllo degli accessi alla rete, trovi i link nelle note dell'episodio. Grazie per l'ascolto. Alla prossima.