WiFi a misura di famiglia: Best Practice per i Centri Commerciali

WiFi per famiglie: Best Practice per i centri commerciali Un briefing tecnico Purple - Trascrizione completa del podcast (circa 10 minuti) --- INTRODUZIONE E CONTESTO (circa 1 minuto) Benvenuti alla serie di briefing tecnici di Purple. Sono il vostro ospite e oggi affronteremo un tema che si colloca all'incrocio tra l'esperienza del cliente e la cybersecurity: il WiFi a misura di famiglia nei centri commerciali. Ora, se siete un IT manager o un responsabile CX nel settore retail, vi sarete probabilmente già sentiti rivolgere questa domanda dal vostro direttore operativo: "Possiamo assicurarci che i bambini non accedano a contenuti inappropriati sulla nostra rete ospiti?" Sembra semplice. In pratica, ci sono diversi livelli da impostare correttamente - e sbagliare può esporre la vostra organizzazione a rischi di reputazione, controlli normativi e, francamente, a conversazioni molto spiacevoli con i genitori. Quindi, nei prossimi dieci minuti, voglio offrirvi un quadro chiaro e pratico di ciò che comporta effettivamente il filtraggio degli URL basato su categorie, come implementarlo correttamente in un ambiente retail e come strutturare il business case da presentare ai vertici aziendali. Entriamo nel vivo. --- APPROFONDIMENTO TECNICO (circa 5 minuti) Cominciamo dalle basi. Quando parliamo di WiFi a misura di famiglia, il meccanismo principale è il filtraggio DNS - nello specifico, il filtraggio DNS basato su categorie. Ogni volta che un dispositivo sulla vostra rete ospiti tenta di caricare un sito web, invia una query DNS per risolvere quel nome di dominio in un indirizzo IP. Un motore di filtraggio DNS si inserisce in questo percorso e confronta il dominio richiesto con un database categorizzato. Se il dominio rientra in una categoria bloccata - contenuti per adulti, gioco d'azzardo, distribuzione di malware, condivisione di file peer-to-peer - la query viene bloccata prima ancora che avvenga qualsiasi scambio di dati. L'utente visualizza invece una pagina di blocco. Questo è fondamentalmente diverso dalla deep packet inspection o dal filtraggio a livello di URL sul livello applicazione. Il filtraggio DNS opera a livello di rete, il che significa che è veloce, scalabile e non richiede di decifrare la crittografia SSL per ispezionare il traffico. Per un centro commerciale con potenzialmente migliaia di connessioni ospiti simultanee, questa caratteristica di prestazione è di fondamentale importanza. Ora, il database delle categorie è il componente critico. I principali fornitori di filtraggio DNS - e qui mi mantengo neutrale rispetto ai vendor - gestiscono database di decine di milioni di domini, ciascuno taggato con una o più categorie di contenuto. Questi database vengono aggiornati continuamente, spesso quasi in tempo reale, man mano che vengono registrati nuovi domini e i siti esistenti modificano i propri contenuti. La vostra policy di filtraggio è essenzialmente un insieme di regole: blocca queste categorie, consenti queste categorie e segnala queste categorie per la revisione. Per l'implementazione in un centro commerciale, vi consiglio di strutturare la vostra policy sulle categorie in tre livelli. Livello uno: blocca sempre. Questo non è negoziabile. Contenuti per adulti, gioco d'azzardo, malware e phishing, strumenti di elusione dei proxy, condivisione di file peer-to-peer e incitamento all'odio. Queste categorie dovrebbero essere bloccate su ogni SSID per gli ospiti, senza eccezioni. Non esiste alcun motivo aziendale legittimo per cui una rete WiFi per gli ospiti di un centro commerciale debba consentire l'accesso a queste categorie, e consentirle crea un'esposizione sia reputazionale che legale. Livello due: dipendente dal contesto. Social media, streaming video, piattaforme di gioco, servizi VPN - queste sono categorie in cui la decisione sulla policy dipende dal tuo spazio specifico e dal target demografico dei tuoi ospiti. Un centro commerciale incentrato sulle famiglie potrebbe scegliere di bloccare lo streaming video per preservare la larghezza di banda per gli altri utenti. Un centro con un'area ristoro e un target più giovane potrebbe consentire i social media per incoraggiare il tempo di permanenza e la condivisione sui social. Queste sono decisioni di business tanto quanto tecniche. Livello tre: consenti sempre. Domini di vendita al dettaglio e shopping, notizie, contenuti educativi, mappe e navigazione - questi dovrebbero essere esplicitamente consentiti per garantire che i tuoi ospiti possano fare ciò per cui sono venuti: fare acquisti, navigare e consultare il web in sicurezza. Ora, c'è un'importante considerazione architetturale che spesso viene trascurata. La tua rete WiFi per gli ospiti dovrebbe essere completamente isolata dalla tua rete aziendale. Questo sembra ovvio, ma ho visto installazioni in cui l'SSID ospite e la rete del back-office condividono lo stesso VLAN, il che rappresenta un rischio di sicurezza significativo. La tua rete ospite dovrebbe risiedere nel proprio VLAN, con uno scope DHCP separato, e il traffico dovrebbe essere instradato attraverso il tuo motore di filtraggio DNS prima di raggiungere internet. Il traffico aziendale segue un percorso completamente separato. Sul lato dell'autenticazione, per una rete WiFi ospite di un centro commerciale, in genere si prevede un Captive Portal con login social, registrazione via email o una semplice accettazione dei termini di servizio. È qui che la tua piattaforma WiFi per gli ospiti - come Purple - aggiunge un valore significativo che va oltre la semplice connettività. Il Captive Portal è il tuo punto di acquisizione dei dati. È qui che raccogli dati di prima parte basati sul consenso, che sono sempre più preziosi in un mondo post-cookie. Ai sensi del GDPR, è necessario un consenso esplicito per le comunicazioni di marketing, e il Captive Portal è il luogo naturale per ottenere e registrare tale consenso. Per l'infrastruttura wireless sottostante, WPA3 è ora lo standard a cui dovresti puntare per qualsiasi nuova installazione o aggiornamento significativo. WPA3 offre una crittografia più forte e, soprattutto, protegge dagli attacchi di dizionario offline sulla chiave pre-condivisa. Per una rete ospite in cui la password è spesso mostrata pubblicamente, questa protezione è fondamentale. Se stai lavorando con hardware legacy che non supporta WPA3, WPA2 con una passphrase robusta e regolarmente ruotata è la tua alternativa - ma pianifica il rinnovo dell'hardware di conseguenza. Un altro punto tecnico che vale la pena segnalare: il DNS over HTTPS, o DoH. Sempre più spesso, i browser e i sistemi operativi sono configurati per utilizzare il DNS crittografato per impostazione predefinita, il che significa che eludono completamente il filtraggio DNS a livello di rete. Un'implementazione di filtraggio configurata correttamente deve tenere conto di questo aspetto. La soluzione consiste nel bloccare a livello di firewall il traffico in uscita sulla porta 443 verso i provider DoH noti, forzando tutta la risoluzione DNS attraverso il vostro resolver controllato. Questo è un passaggio che molte organizzazioni trascurano, ed è il motivo per cui la loro politica di filtraggio presenta delle lacune. - RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI (circa 2 minuti) Bene, parliamo di come implementare concretamente tutto questo e di dove solitamente le cose vanno storte. La sequenza di implementazione che raccomando è: in primo luogo, verificare l'architettura di rete esistente. Confermare che l'SSID guest sia correttamente isolato. In secondo luogo, selezionare il provider di filtraggio DNS e configurare la politica delle categorie. In terzo luogo, implementare in modalità di monitoraggio prima della modalità di applicazione - questo vi fornisce da due a quattro settimane di dati su ciò a cui i vostri ospiti cercano effettivamente di accedere, il che spesso rivela sorprese e vi aiuta a calibrare la politica prima di iniziare a bloccare i contenuti. In quarto luogo, configurare la pagina di blocco con un messaggio chiaro e amichevole che spieghi perché il contenuto è stato bloccato e fornisca un canale di contatto per i falsi positivi. In quinto luogo, testare a fondo - utilizzare un dispositivo sulla rete guest e tentare di accedere ai contenuti in ciascuna delle categorie bloccate per verificare che la politica funzioni come previsto. La trappola più comune che riscontro è il blocco eccessivo. I team IT, comprensibilmente cauti, impostano una politica iniziale aggressiva e poi passano settimane a gestire reclami su siti legittimi che risultano bloccati. Un database di categorie ben gestito riduce al minimo questo problema, ma nessun database è perfetto. Disporre di un processo chiaro di segnalazione e risoluzione dei falsi positivi è essenziale. La seconda trappola è la scarsa comunicazione della politica alla direzione della struttura e ai partner commerciali. Se un'applicazione aziendale di un partner viene bloccata dalla politica della vostra rete guest, lo verrete a sapere. Comunicate proattivamente la vostra politica di filtraggio ai partner commerciali e stabilite un processo documentato per le eccezioni. La terza trappola - e questa è quella che coglie davvero di sorpresa le organizzazioni - è la mancata considerazione del DNS over HTTPS, come ho menzionato in precedenza. Testate la vostra implementazione specificamente per l'elusione tramite DoH prima di andare online. - DOMANDE E RISPOSTE RAPIDE (circa 1 minuto) Lasciatemi passare in rassegna alcune domande che mi vengono poste regolarmente su questo argomento. "Il filtraggio DNS influisce sulle prestazioni della rete?" Su larga scala, un servizio di filtraggio DNS basato su cloud aggiunge millisecondi a cifra singola di latenza alla risoluzione DNS. Per una rete WiFi guest, questo è impercettibile per gli utenti. "Gli ospiti possono aggirare il filtro usando una VPN?" Se hai bloccato i servizi VPN e gli strumenti di elusione dei proxy nella tua politica sulle categorie - cosa che dovresti fare - allora sì, questo problema è ampiamente mitigato. Nessun filtro è completamente a prova di elusione, ma non stai cercando di fermare un avversario determinato; stai stabilendo un livello di diligenza ragionevole per un luogo pubblico. "Dobbiamo registrare le query DNS a fini di conformità?" Questo dipende dalla tua giurisdizione e dai tuoi specifici obblighi di conformità. In base all'Investigatory Powers Act del Regno Unito, sono previsti requisiti di conservazione dei dati per gli operatori di WiFi pubblici. Consulta il tuo team legale, ma la maggior parte delle piattaforme di filtraggio DNS offre funzionalità di logging in grado di soddisfare questi requisiti. "E per quanto riguarda l'ispezione HTTPS - ne abbiamo bisogno?" Per una rete ospiti con filtraggio DNS basato sulle categorie, l'ispezione SSL completa non è generalmente necessaria e introduce una notevole complessità e potenziali problemi di privacy. Il filtraggio DNS a livello di dominio è sufficiente per la stragrande maggioranza dei casi d'uso. - RIASSUNTO E PROSSIMI PASSI (circa 1 minuto) Per riassumere: il WiFi per famiglie in un centro commerciale non è un problema tecnico complesso, ma richiede un'architettura deliberata e un quadro di riferimento politico ben ponderato. I componenti principali sono: una rete ospiti adeguatamente isolata, un motore di filtraggio DNS basato su cloud con una politica sulle categorie ben sintonizzata, un Captive Portal che acquisisce i dati degli ospiti basati sul consenso e un processo per la gestione delle eccezioni e dei falsi positivi. Il caso aziendale è semplice. Riduci i rischi di reputazione, dimostri il dovere di diligenza nei confronti delle famiglie e dei locatari commerciali e - se utilizzi una piattaforma come Purple - trasformi il tuo WiFi ospiti in una risorsa di dati di prima parte che genera un ROI di marketing misurabile. Per i tuoi prossimi passi: se attualmente non disponi di un filtraggio DNS sulla tua rete ospiti, questa è la tua priorità immediata. Se hai un filtraggio attivo ma non hai rivisto la tua politica sulle categorie negli ultimi dodici mesi, programma la revisione ora. E se stai pianificando un aggiornamento della rete, usa l'opportunità per implementare WPA3 e una moderna piattaforma WiFi per ospiti end-to-end. Grazie per l'ascolto. Troverai la guida scritta completa, i diagrammi di architettura e gli esempi pratici su purple.ai. Alla prossima. - FINE DELLA SCENEGGIATURA