Il WiFi degli hotel è sicuro? Cosa deve sapere ogni viaggiatore

Il WiFi degli hotel è sicuro? Tutto ciò che i viaggiatori devono sapere. Un briefing informativo di Purple WiFi. Benvenuti al briefing informativo di Purple WiFi. Oggi affrontiamo una domanda che arriva nella casella di posta di quasi tutti i responsabili IT che gestiscono un patrimonio alberghiero o che offrono consulenza ai viaggiatori aziendali: il WiFi degli hotel è davvero sicuro? La risposta breve è: dipende - e questa dipendenza è quasi interamente legata a come la rete è stata progettata, configurata e mantenuta. La risposta lunga è l'oggetto della nostra discussione odierna. Nei prossimi dieci minuti, esamineremo i reali vettori di minaccia, le decisioni architetturali che distinguono un'implementazione sicura da una vulnerabilità e le misure pratiche che i team IT degli hotel e i loro ospiti possono adottare fin da subito. Che siate architetti di rete impegnati a valutare la vostra infrastruttura attuale, CTO che definiscono le policy per i viaggi di lavoro o direttori operativi di una struttura a cui è stata appena affidata la responsabilità del WiFi - questo briefing è pensato per voi. Entriamo nel vivo dell'argomento. Come funziona in concreto il WiFi degli hotel? La maggior parte delle installazioni alberghiere segue un modello piuttosto standard. C'è un router principale collegato alla linea WAN del provider internet. Dietro a questo si trova un controller - locale o gestito in cloud - che distribuisce la configurazione a una flotta di access point dislocati in tutta la struttura. Gli ospiti si connettono a un determinato SSID, vengono reindirizzati a un Captive Portal per l'autenticazione e infine accedono a una VLAN ospiti condivisa che li instrada verso internet. Questa architettura, di per sé, non è intrinsecamente pericolosa. Il pericolo deriva dalle lacune - e ce ne sono diverse. La prima e più significativa è il problema dei cosiddetti rogue access point, spesso definiti attacchi Evil Twin. Un malintenzionato installa un access point portatile nella hall dell'hotel, gli assegna un nome estremamente simile a quello della rete legittima - ad esempio "HotelGuest Free" invece di "HotelGuest" - e attende. I dispositivi moderni spesso si connettono automaticamente al segnale più forte. Una volta che un ospite si connette al rogue AP, ogni pacchetto trasmesso passa attraverso l'hardware dell'attaccante. Senza una crittografia end-to-end a livello applicativo, credenziali, token di sessione e dati sensibili risultano esposti. Il secondo rischio principale è l'intercettazione man-in-the-middle sulla stessa rete legittima. Si tratta di un fenomeno più comune di quanto la maggior parte dei gestori di hotel creda, ed è reso possibile da una specifica errata configurazione: l'assenza di isolamento dei client. Quando l'isolamento dei client è disattivato, i dispositivi sulla stessa VLAN possono comunicare direttamente tra loro. Un malintenzionato che utilizza l'ARP poisoning può posizionarsi tra il dispositivo di un ospite e il gateway predefinito, intercettando tutto il traffico in entrambe le direzioni. La soluzione è semplice - abilitare l'isolamento dei client sugli AP - ma è sorprendente quante installazioni saltino questo passaggio.In terzo luogo, c'è il problema del protocollo di crittografia. Il WEP è di fatto morto, ma il WPA2 con una chiave pre-condivisa comune è ancora l'implementazione dominante nel settore dell'ospitalità. Il problema con una PSK condivisa è che qualsiasi ospite che conosca la password può, con gli strumenti giusti, decrittografare il traffico di ogni altro ospite su quella rete. Il WPA3, in particolare l'handshake Simultaneous Authentication of Equals - o SAE - elimina questo problema generando una chiave di sessione univoca per ogni client, anche quando utilizzano tutti la stessa passphrase. L'adozione del WPA3 nel settore dell'ospitalità sta accelerando, ma è tutt'altro che universale. In quarto luogo, c'è la questione della segmentazione della rete. Una rete alberghiera ben progettata gestisce come minimo tre VLAN separate: una per gli ospiti, una per il personale e i sistemi operativi, e una per l'infrastruttura delle carte di pagamento che rientra nell'ambito PCI-DSS. La VLAN ospiti non dovrebbe avere alcun percorso instradato verso le VLAN del personale o PCI. In pratica, riscontriamo ancora reti piatte - in particolare nelle strutture indipendenti più piccole - in cui un dispositivo ospite e un terminale POS condividono lo stesso dominio di broadcast. Questo rappresenta un rischio significativo per la conformità e la sicurezza. In quinto luogo, e questo è sempre più rilevante man mano che gli hotel modernizzano la loro infrastruttura, c'è la superficie di attacco IoT. Smart TV, tablet in camera, termostati connessi e serrature per porte basate su IP sono tutti potenziali punti di ingresso. Se questi dispositivi si trovano sullo stesso segmento di rete dei dispositivi degli ospiti o, peggio, sullo stesso segmento dei sistemi operativi, un dispositivo IoT compromesso diventa un punto di snodo per accedere all'intera struttura. Ora, dal punto di vista dell'ospite - il viaggiatore d'affari che si chiede "il WiFi dell'hotel è abbastanza sicuro per il mio lavoro?" - il calcolo è leggermente diverso. Anche su una rete alberghiera ben configurata, l'approccio responsabile è quello di considerarla non attendibile. Ciò significa utilizzare una VPN aziendale per tutto il traffico di lavoro, assicurarsi che tutte le applicazioni sensibili impongano il protocollo TLS 1.2 o superiore ed essere cauti nel connettersi automaticamente a SSID che corrispondono a reti visitate in precedenza. Per il team IT che gestisce il patrimonio alberghiero, la domanda è come passare da un approccio reattivo a uno proattivo. È qui che entrano in gioco le raccomandazioni di implementazione. Permettetemi di indicarvi le cinque cose che avranno il maggiore impatto sulla sicurezza del WiFi dell'hotel, in ordine di priorità. Uno: Distribuite il WPA3-SAE sul vostro SSID ospiti. Se l'hardware del vostro access point lo supporta - e la maggior parte dei kit prodotti dopo il 2020 lo fa - non c'è una buona ragione per non farlo. Abilitate la modalità di transizione WPA3 e WPA2 per mantenere la compatibilità con i dispositivi più vecchi durante la migrazione. Due: Abilitate l'isolamento dei client AP su ogni SSID ospiti. Questa è una singola casella di controllo nella maggior parte dei controller wireless aziendali. Impedisce la comunicazione da dispositivo a dispositivo sulla stessa VLAN ed elimina completamente il vettore di attacco dell'ARP poisoning. Punto tre: Implementare una corretta segmentazione VLAN. Le reti per ospiti, personale e PCI devono essere isolate logicamente e fisicamente. Utilizzare regole di firewall a livello di routing inter-VLAN per imporre questo isolamento. Controllare la segmentazione trimestralmente - le modifiche alla rete tendono spesso a far collassare inavvertitamente i confini delle VLAN. Punto quattro: Distribuire una funzionalità di rilevamento degli AP non autorizzati. La maggior parte dei controller wireless aziendali include il rilevamento dei rogue AP come funzionalità standard. Abilitatela, configurate gli avvisi e assicuratevi che qualcuno analizzi effettivamente tali notifiche. Un AP non autorizzato che rimane non rilevato per una settimana rappresenta un rischio significativo. Punto cinque: Implementare una piattaforma di gestione del guest WiFi adeguata che offra visibilità su chi si connette, quando e da quale dispositivo. Questa non è solo una misura di sicurezza - è anche lo strumento per l'acquisizione di dati conforme al GDPR, la gestione del consenso e quel tipo di analisi in grado di generare un reale valore commerciale dal vostro investimento nel guest WiFi. La trappola più comune che vedo più spesso? Trattare il WiFi come un servizio di pubblica utilità piuttosto che come una risorsa infrastrutturale. Gli hotel che installano un router di livello consumer, impostano una password semplice e considerano il lavoro finito sono quelli che finiscono per ricevere notifiche di violazione dei dati. L'investimento richiesto per farlo correttamente è modesto rispetto al rischio. Ora risponderò ad alcune delle domande che ci vengono poste più frequentemente. Il WiFi gratuito degli hotel è sicuro per l'home banking? No - non senza una VPN. Considerate qualsiasi rete pubblica come ostile per le transazioni finanziarie. Un hotel può vedere cosa sto navigando? Sì, a livello di rete. Il risolutore DNS dell'hotel e i registri del traffico mostreranno i domini visitati. L'HTTPS crittografa i contenuti, ma non gli hostname di destinazione nella maggior parte delle configurazioni. Il WiFi dell'hotel è più sicuro di quello di una caffetteria? Marginalmente, in una struttura ben gestita. Un marchio alberghiero rinomato ha più interesse a mantenere la sicurezza di rete rispetto a un bar indipendente. Ma i rischi di fondo sono simili. L'uso di HTTPS mi protegge sul WiFi dell'hotel? In gran parte sì, per i dati a livello applicativo. Ma non protegge dall'intercettazione DNS, dal dirottamento di sessione tramite AP non autorizzati o dalla fuga di metadati. Una VPN rimane lo standard di riferimento. Qual è il singolo miglioramento più importante che un hotel può fare oggi? Abilitare l'isolamento dei client. È gratuito, richiede cinque minuti ed elimina uno dei vettori di attacco più comuni. Per riassumere: il WiFi degli hotel non è intrinsecamente non sicuro, ma la configurazione predefinita della maggior parte delle reti alberghiere lascia lacune di sicurezza significative che possono essere sfruttate da un utente malintenzionato con competenze moderate. Per i team IT degli hotel, le priorità sono la distribuzione di WPA3, l'isolamento dei client, la segmentazione VLAN, il rilevamento di AP non autorizzati e una piattaforma gestita per il guest WiFi che offra visibilità e copertura di conformità. Per chi viaggia per lavoro, la regola è semplice: considerare il WiFi dell'hotel come non attendibile, utilizzare una VPN per il traffico di lavoro e verificare l'SSID con il personale dell'hotel prima di connettersi. Se stai valutando la tua attuale infrastruttura WiFi per hotel o desideri implementare una soluzione gestita di guest WiFi che soddisfi questi requisiti di sicurezza offrendo allo stesso tempo valore commerciale grazie all'analisi dei dati e alla marketing automation, vale la pena dare un'occhiata ravvicinata alla piattaforma di Purple. Trovi il link nelle note dell'episodio. Grazie per l'ascolto. Alla prossima.