Mettere in sicurezza le reti WiFi ospiti: best practice e implementazione

Securing Guest WiFi Networks: Best Practices and Implementation. Una guida strategica di Purple WiFi. Introduzione e Contesto. Benvenuto. Se stai ascoltando questo contributo, probabilmente sei un IT manager, un network architect o un CTO a cui è stato affidato il compito di rendere la rete guest WiFi sia utilizzabile sia sicura — e hai bisogno di un framework chiaro e pratico da cui partire. Questo è esattamente ciò di cui parleremo oggi. La rete guest WiFi non è più un semplice servizio di cortesia. È un'infrastruttura critica che si colloca all'intersezione tra customer experience, conformità dei dati e sicurezza di rete. E la posta in gioco è più alta di quanto la maggior parte delle organizzazioni si renda conto. Una rete ospiti non segmentata correttamente può offrire a un utente malintenzionato un punto di accesso ai sistemi aziendali. Un Captive Portal configurato male può esporti a responsabilità in materia di GDPR. E una rete senza gestione della larghezza di banda può bloccare le tue attività operative durante le ore di punta. Nei prossimi dieci minuti, esamineremo l'architettura, le opzioni di autenticazione, i requisiti di conformità e le pratiche operative che distinguono una rete ospiti sicura e ben gestita da una potenziale minaccia per la sicurezza. Approfondimento Tecnico. Iniziamo dalle fondamenta: la segmentazione della rete. La cosa più importante che puoi fare quando distribuisci una rete guest WiFi è garantire il completo isolamento tra la rete ospiti e l'infrastruttura aziendale. Questa non è solo una buona pratica - è un requisito fondamentale previsto da framework come PCI-DSS se gestisci pagamenti con carta in qualsiasi punto della stessa infrastruttura fisica. L'approccio standard è la segmentazione basata su VLAN. Assegni il traffico ospiti a una VLAN dedicata - in genere qualcosa come la VLAN 30 - e il traffico aziendale a una VLAN separata. Queste VLAN vengono poi applicate a livello di switch gestito, con il routing inter-VLAN disattivato completamente o strettamente controllato da ACL del firewall. La VLAN ospiti deve avere una rotta verso internet e nient'altro. Nessun accesso alle condivisioni di file, nessun accesso alle stampanti, nessun accesso ai resolver DNS interni che potrebbero rivelare informazioni sulla topologia interna. Per le organizzazioni che gestiscono più sedi - ad esempio una catena retail con 200 negozi o un gruppo alberghiero con strutture in tutta Europa - questa segmentazione deve essere applicata in modo coerente su ogni access point e ogni switch dell'intera rete. È qui che le piattaforme di gestione centralizzata diventano essenziali. Non è possibile verificare manualmente le configurazioni delle VLAN su centinaia di siti. Hai bisogno di un'applicazione delle policy che venga distribuita da un controller centrale.Ora, oltre alla segmentazione VLAN, dovresti implementare anche l'isolamento dei client all'interno della stessa VLAN guest. Questo impedisce ai dispositivi degli ospiti di comunicare tra loro - il che è particolarmente importante in ambienti come hotel e centri congressi dove si ha un mix di dispositivi personali e aziendali che si connettono allo stesso SSID. L'isolamento dei client è in genere una singola casella di controllo nel controller wireless, ma è un aspetto che viene spesso trascurato. Passiamo ora alla configurazione del Captive Portal. Il Captive Portal è il punto di controllo principale per l'accesso degli ospiti. È qui che autentichi gli utenti, acquisisci il consenso e stabilisci le condizioni alle quali accedono alla tua rete. Se fatto bene, è un'esperienza fluida che richiede pochi secondi. Se fatto male, è una fonte di chiamate di supporto, rischi di conformità e ospiti frustrati. Dal punto di vista della sicurezza, il tuo Captive Portal deve essere servito tramite HTTPS. Questo sembra ovvio, ma un numero sorprendente di implementazioni reindirizza ancora gli utenti a una pagina HTTP per la fase di autenticazione iniziale. Qualsiasi portale servito tramite HTTP semplice è vulnerabile all'intercettazione delle credenziali e all'iniezione di contenuti. Utilizza un certificato TLS valido - idealmente proveniente da un'autorità di certificazione nota - e assicurati che il tuo portale sia accessibile sulla porta 443. Il portale stesso dovrebbe essere ospitato in una DMZ - una zona demilitarizzata che si trova tra la tua VLAN guest e internet. Ciò significa che il server del portale è raggiungibile dai dispositivi degli ospiti prima che si siano autenticati, ma non si trova sulla tua rete aziendale. Se il server del portale viene compromesso, il raggio d'azione dell'attacco è limitato. In termini di metodi di autenticazione, hai diverse opzioni e la scelta giusta dipende dal tuo caso d'uso. Il social login - che utilizza OAuth 2.0 tramite provider come Google, Facebook o Apple - è l'opzione con il minor attrito per gli ambienti rivolti ai consumatori come la vendita al dettaglio e l'ospitalità. L'utente si autentica con un account esistente, tu ricevi un token di identità verificato e puoi acquisire dati di prima parte come l'indirizzo email e il nome come parte del flusso. La principale considerazione tecnica in questo caso è che ti affidi a un provider di identità terzo, quindi devi gestire la scadenza e la revoca dei token in modo corretto. La verifica tramite SMS - l'invio di un codice monouso a un numero di cellulare - è un segnale di identità più forte perché collega l'accesso a una scheda SIM fisica. È particolarmente adatto ad ambienti in cui è necessario un percorso di audit verificabile, come stadi, snodi di trasporto o sedi del settore pubblico. Il compromesso è il costo - le tariffe dei gateway SMS aumentano su scala - e l'attrito derivante dalla richiesta di un numero di cellulare. La registrazione via email è l'approccio più comune per i centri congressi e i luoghi di lavoro. È economica, acquisisce una risorsa di marketing utile e si integra naturalmente con i flussi di consenso GDPR. Lo svantaggio è che gli indirizzi email sono facili da inventare, quindi fornisce una garanzia di identità inferiore rispetto agli SMS o al social login. L'accesso a tempo - tramite l'emissione di codici voucher o token a tempo limitato - è indicato nei casi in cui si desideri esplicitamente evitare la raccolta di dati personali. Le biblioteche, le sale d'attesa del servizio sanitario nazionale e alcuni ambienti del settore pubblico rientrano in questa categoria. Il token di accesso viene generato, utilizzato e fatto scadere, senza che vi siano collegate informazioni di identificazione personale. Viene comunque mantenuto un registro di controllo degli eventi di connessione, ma senza collegarli a un individuo. Parliamo ora di WPA3. Se state implementando nuovi access point o aggiornando la vostra infrastruttura wireless, WPA3 dovrebbe essere il vostro standard di crittografia di riferimento. WPA3-Personal introduce l'autenticazione simultanea di uguali - SAE - che sostituisce l'handshake Pre-Shared Key utilizzato in WPA2 ed elimina la vulnerabilità agli attacchi di tipo offline dictionary. Per le reti guest, WPA3-Enhanced Open - noto anche come OWE, o Opportunistic Wireless Encryption - è particolarmente rilevante. Fornisce la crittografia per le reti aperte senza richiedere una password, il che significa che anche una rete senza barriere di autenticazione crittografa comunque il traffico tra il dispositivo e l'access point. Si tratta di un miglioramento significativo rispetto al WiFi aperto legacy, in cui tutto il traffico veniva trasmesso in chiaro. Per le distribuzioni enterprise in cui si utilizza l'autenticazione 802.1X - in genere in ambienti ibridi in cui il personale e gli ospiti condividono l'infrastruttura fisica - WPA3-Enterprise con modalità a 192 bit offre il livello di sicurezza più elevato disponibile. La gestione della larghezza di banda è il livello operativo che spesso viene trascurato nelle discussioni sulla sicurezza, ma è direttamente rilevante per la disponibilità - che è essa stessa una proprietà di sicurezza. Una rete guest non gestita è vulnerabile alla saturazione della larghezza di banda, sia a causa di un singolo utente che trasmette video in alta definizione, sia a causa di un dispositivo configurato in modo errato che genera tempeste di broadcast, sia a causa di un tentativo deliberato di denial-of-service. Implementate limiti di larghezza di banda per utente e per SSID a livello di controller wireless. Impostate limiti di upload e download adeguati al vostro caso d'uso - in genere da 5 a 20 megabit al secondo per utente per l'accesso guest generale. Abilitate i criteri QoS che danno priorità al traffico DNS e HTTPS rispetto ai trasferimenti di grandi volumi. E configurate la limitazione della larghezza di banda sul firewall per evitare che un singolo dispositivo ospite consumi una quota sproporzionata della capacità di uplink. Raccomandazioni per l'implementazione ed errori comuni. Lasciate che vi illustri la sequenza di implementazione che funziona nella pratica. Iniziate con lo schema della rete. Prima di toccare qualsiasi apparecchiatura, documentate la topologia attuale e identificate esattamente dove terminerà la VLAN guest, dove saranno applicate le regole del firewall e dove sarà ospitato il Captive Portal. Sembra una cosa banale, ma la maggior parte degli incidenti di sicurezza nelle implementazioni di reti guest è riconducibile a una topologia che non è mai stata documentata correttamente. In secondo luogo, applica la segmentazione VLAN a livello di switch, non solo sul controller wireless. I controller possono essere aggirati o configurati in modo errato. Se i tuoi switch gestiti applicano l'appartenenza alla VLAN a livello di porta, disporrai di una difesa approfondita. In terzo luogo, configura il tuo Captive Portal con HTTPS, un certificato valido e un'informativa sulla privacy chiara che soddisfi i requisiti dell'Articolo 13 del GDPR. Il tuo team legale deve approvare la formula di consenso prima della messa in servizio. In quarto luogo, implementa la registrazione dei log. Ogni evento di connessione - indirizzo MAC del dispositivo, timestamp, metodo di autenticazione, durata della sessione - deve essere scritto in un log centralizzato. Ai sensi dell'Investigatory Powers Act del Regno Unito e di legislazioni equivalenti in altre giurisdizioni, potrebbe essere richiesto di conservare questi dati per un massimo di 12 mesi. Assicurati che la tua policy di conservazione sia documentata e che lo spazio di archiviazione sia dimensionato di conseguenza. In quinto luogo, testa la tua segmentazione. Utilizza un dispositivo sulla VLAN guest e tenta di raggiungere le risorse interne - il file server, le applicazioni web interne, il DNS aziendale. Se riesci a raggiungere qualsiasi cosa, la tua segmentazione non funziona. Questo test dovrebbe far parte della tua checklist per la messa in servizio e della tua revisione annuale della sicurezza. Ora, le insidie. La più comune che riscontro riguarda le organizzazioni che distribuiscono la rete WiFi guest come un ripensamento tardivo - aggiungono un SSID guest alla loro infrastruttura esistente senza una corretta segmentazione VLAN, e la rete guest finisce nello stesso dominio di broadcast Layer 2 della rete aziendale. Questo rappresenta un fallimento totale del modello di sicurezza. La seconda insidia è rappresentata dai Captive Portal che reindirizzano a HTTP. Risolvi questo problema immediatamente. La terza è l'assenza di isolamento dei client. In un hotel con 300 camere, hai 300 potenziali vettori di attacco se l'isolamento dei client è disabilitato. E la quarta è l'assenza di logging. Se si verifica un incidente di sicurezza e non si hanno i log, non si ha alcuna capacità di analisi forense e si rischia un problema di conformità normativa. Domande e risposte rapide. Ho bisogno di WPA3 se sto già utilizzando un Captive Portal? Sì. Il Captive Portal gestisce l'autenticazione e il consenso. WPA3 gestisce la crittografia del collegamento radio. Affrontano vettori di minaccia diversi ed sono necessari entrambi. Posso utilizzare gli stessi access point fisici per il traffico guest e quello aziendale? Sì, utilizzando SSID separati mappati su VLAN separate. Assicurati però che i tuoi access point supportino i requisiti di throughput di entrambe le reti contemporaneamente e che il tuo controller wireless applichi correttamente il tagging delle VLAN. Con quale frequenza devo ruotare le credenziali della mia rete guest o l'SSID? Per le reti guest basate su PSK, ruota la passphrase almeno trimestralmente o immediatamente a seguito di una sospetta violazione. Per le reti con Captive Portal con autenticazione per singolo utente, i singoli token di sessione scadono automaticamente - l'SSID in sé non deve essere modificato. Qual è il periodo minimo di conservazione dei log? Dodici mesi è la raccomandazione standard per la conformità alle normative sulle telecomunicazioni del Regno Unito e dell'UE. Verifica i requisiti specifici della tua giurisdizione e del tuo settore. Sintesi e prossimi passi. Per riassumere: un'implementazione sicura del WiFi per gli ospiti si fonda su quattro pilastri. Segmentazione della rete - isolamento completo tramite VLAN tra il traffico degli ospiti e quello aziendale. Sicurezza del Captive Portal - HTTPS, certificati validi, flussi di consenso conformi al GDPR. Autenticazione - adatta al vostro caso d'uso, che si tratti di social login, SMS, e-mail o token a tempo. E controlli operativi - gestione della larghezza di banda, isolamento dei client, logging centralizzato e test di sicurezza regolari. Le organizzazioni che gestiscono correttamente questo aspetto trattano il WiFi per gli ospiti come un'infrastruttura di prim'ordine, non come un elemento secondario. Documentano la loro topologia, applicano le loro policy a livello di switch ed eseguono regolarmente l'audit delle loro configurazioni. Se state avviando una nuova implementazione o ne state rivedendo una esistente, la prima cosa da fare è eseguire un test di segmentazione. Collegate un dispositivo alla rete ospiti e provate a raggiungere una risorsa interna. Ciò che scoprirete vi dirà tutto quello che c'è da sapere su da dove iniziare. Per saperne di più sull'implementazione di WPA3, la guida di Purple sull'implementazione di WPA3-Enterprise costituisce un solido riferimento tecnico. E se operate in un settore con requisiti di conformità specifici - sanità, trasporti, retail - vale la pena consultare le risorse verticali di Purple per analizzare le sfumature specifiche del vostro ambiente. Grazie per l'attenzione. Se questo contenuto vi è stato utile, condividetelo con il vostro team di rete. E se state valutando piattaforme di WiFi per ospiti, la piattaforma di WiFi intelligence di Purple gestisce il Captive Portal, gli analytics e il livello di conformità in un'unica implementazione. Fine del briefing.