PSK per dispositivo per fornitore: confronto tra iPSK, DPSK, MPSK e PPSK (e supporto WPA3)

PSK per dispositivo per vendor: iPSK, DPSK, MPSK e PPSK a confronto, e supporto WPA3. Un briefing tecnico Purple. Introduzione e contesto. Benvenuti alla serie di briefing tecnici Purple. Vi guiderò attraverso uno degli argomenti più importanti a livello pratico - e spesso fraintesi - nel panorama del WiFi aziendale in questo momento: le chiavi precondivise per singolo dispositivo. Nello specifico, confronteremo come ciascuno dei principali vendor implementa questa funzionalità, come la definisce, come funziona effettivamente dietro le quinte e - aspetto critico - cosa succede quando si tenta di passare a WPA3. Se sei un IT manager, un progettista di rete o un direttore operativo che gestisce il WiFi in un patrimonio alberghiero, una catena retail, uno stadio o un campus del settore pubblico, questo briefing è per te. Avrai probabilmente già incontrato questo labirinto di acronimi: iPSK, DPSK, MPSK, PPSK. Si riferiscono tutti allo stesso concetto - fornire a ciascun dispositivo o utente una password unica su un unico SSID - ma le implementazioni differiscono in modo significativo, e queste differenze contano quando si pianifica il prossimo aggiornamento dell'infrastruttura. Iniziamo con i concetti fondamentali, per poi analizzare ogni singolo vendor e concludere con la questione WPA3 con cui tutti si stanno confrontando in questo momento. Approfondimento tecnico. Quindi, cos'è la PSK per singolo dispositivo e perché esiste? La tradizionale tecnologia WPA2-Personal utilizza una singola passphrase condivisa per un intero SSID. Tutti gli utenti della rete ospiti utilizzano la stessa password. Questo crea due problemi. In primo luogo, non è possibile revocare l'accesso a un singolo dispositivo senza dover cambiare la password per tutti gli altri. In secondo luogo, non si ha alcuna visibilità sul singolo dispositivo né la possibilità di applicare policy dedicate. La PSK per singolo dispositivo risolve entrambi i problemi. Ogni dispositivo o utente riceve una credenziale unica. È possibile revocarne una senza influire sulle altre. È possibile assegnare VLAN differenti, policy di larghezza di banda o pianificazioni di accesso specifiche per ciascuna chiave. Rappresenta la via di mezzo tra la semplicità del WPA2-Personal e la complessità di un'autenticazione enterprise 802.1X completa. Vediamo ora come ciascun vendor implementa questa tecnologia. Cisco Meraki la chiama iPSK - Identity Pre-Shared Key. Meraki supporta due modalità. Senza RADIUS, è possibile configurare fino a cinque PSK uniche direttamente nella dashboard Meraki, ciascuna associata a una VLAN. È rapido da configurare e non richiede alcuna infrastruttura esterna. Con RADIUS - solitamente Cisco ISE - è possibile scalare fino a migliaia di chiavi. Il client si associa, l'access point invia l'indirizzo MAC e un indizio PSK al server RADIUS, il server restituisce la chiave corretta per il singolo dispositivo e l'handshake a quattro vie standard WPA2 si completa utilizzando quella chiave come Pairwise Master Key. Il concetto chiave da comprendere qui è che il server RADIUS esegue la ricerca, non l'access point. L'access point facilita semplicemente lo scambio. HPE Aruba lo definisce MPSK - Multiple Pre-Shared Key. Aruba Central e Aruba Instant supportano MPSK in due modalità: MPSK Local, in cui le chiavi sono memorizzate sul controller o sul cluster di AP, e MPSK con ClearPass, il motore RADIUS e di policy di Aruba. ClearPass può contenere decine di migliaia di chiavi, assegnare VLAN dinamiche e applicare policy basate sui ruoli per ciascuna chiave. Il flusso di autenticazione è essenzialmente lo stesso della modalità RADIUS di Meraki - la ricerca basata su MAC restituisce la chiave per singolo dispositivo prima del four-way handshake. Ruckus - ora parte di CommScope - lo definisce DPSK, Dynamic Pre-Shared Key. Questa è probabilmente l'implementazione più matura sul mercato. Ruckus DPSK è disponibile fin dai primi giorni di SmartZone. In modalità locale, il servizio DPSK viene eseguito sul controller e ospita il database delle chiavi. In modalità RADIUS, si integra con Cloudpath, la piattaforma di controllo degli accessi di rete proprietaria di Ruckus. Ciò che rende Ruckus degno di nota è DPSK3 - la loro estensione WPA3 di DPSK, su cui torneremo a breve. DPSK3 è disponibile sugli access point WiFi 6, 6E e 7 con firmware 7.0 o successivo, e opera in modalità mista WPA2 / WPA3. Juniper Mist lo definisce PPSK - Private Pre-Shared Key - o talvolta Multi-PSK. Mist memorizza le chiavi nel cloud, nel database delle chiavi dell'organizzazione o del sito Mist, con un limite di 5.000 chiavi per sito. Le chiavi possono essere assegnate per utente, per dispositivo o per gruppo. Inoltre, Mist si integra con il suo servizio Access Assurance - il NAC cloud-native - che aggiunge la ricerca PSK basata su RADIUS. Aspetto fondamentale, Juniper ha annunciato il supporto WPA3 RADIUS PSK tramite Access Assurance, consentendo a un singolo SSID WPA3-Personal di gestire più passphrase. Questa è una delle implementazioni più orientate al futuro presenti sul mercato. Extreme Networks - che ha acquisito Aerohive - lo definisce PPSK, Private Pre-Shared Key, tramite ExtremeCloud IQ. L'implementazione di Extreme supporta l'archiviazione locale delle chiavi sull'AP stesso, il che è utile per filiali o sedi remote con connettività limitata. Supporta anche la ricerca basata su RADIUS tramite il servizio cloud RADIUS di ExtremeCloud IQ. È disponibile il binding MAC, che associa una PPSK a uno specifico indirizzo MAC del dispositivo per una maggiore sicurezza. Fortinet lo definisce MPSK, Multiple Pre-Shared Key, gestito tramite FortiAP e il controller wireless FortiGate. L'implementazione di Fortinet è degna di nota perché supporta esplicitamente le modalità di sicurezza WPA3-SAE e WPA3-SAE Transition nei suoi profili MPSK - a partire dal firmware FortiAP 8.0. È possibile creare un profilo MPSK con chiavi WPA3-SAE, assegnarle a un VAP e abilitare l'assegnazione dinamica delle VLAN per chiave. Questa è una delle implementazioni WPA3 MPSK più pulite oggi disponibili. Ubiquiti UniFi la chiama Private Pre-Shared Keys, o Private PSK. L'implementazione di UniFi è solo locale - le chiavi sono memorizzate nel controller UniFi Network, non in un server RADIUS esterno. È possibile assegnare diverse VLAN per chiave e impostare limiti di client per chiave. La limitazione significativa: a partire da metà 2026, UniFi Private PSK funziona solo su reti WPA2 a 2.4 GHz e 5 GHz. WPA3 e 6 GHz non sono supportati. Per implementazioni più piccole va bene, ma è un vincolo da conoscere prima di impegnarsi in un'infrastruttura UniFi su larga scala. Ora, la questione WPA3. È qui che la situazione diventa tecnicamente interessante. WPA2-Personal utilizza un handshake a quattro vie. Il client e l'AP derivano una Pairwise Transient Key da una Pairwise Master Key condivisa, che a sua volta deriva dalla passphrase. Poiché la derivazione della PMK avviene dopo la ricerca RADIUS, l'AP può sostituire una chiave per dispositivo in quel momento. Allo standard non importa - vede solo una PMK valida. WPA3-Personal sostituisce l'handshake a quattro vie con SAE - Simultaneous Authentication of Equals. SAE è un protocollo basato su Diffie-Hellman. Entrambe le parti si impegnano su un elemento password condiviso derivato dalla passphrase prima del completamento dell'associazione. La differenza fondamentale: la password deve essere nota a entrambe le parti prima dell'inizio dello scambio SAE. Non c'è alcun punto nel protocollo in cui un server RADIUS possa inserire una chiave diversa per dispositivo. L'AP e il client stanno già eseguendo una danza crittografica con un unico valore condiviso. Questo è il motivo per cui WPA3 attualmente consente solo una chiave per SSID nella sua forma standard. Non si tratta di una limitazione del firmware. È un vincolo del protocollo. Le soluzioni alternative rientrano in tre categorie. Primo, la modalità di transizione WPA3 - chiamata anche modalità mista WPA2 / WPA3. L'SSID annuncia sia WPA2-PSK che WPA3-SAE. I client WPA2 utilizzano l'handshake a quattro vie e possono ricevere chiavi per dispositivo tramite RADIUS. I client WPA3 utilizzano SAE con una singola password condivisa. Questo è l'approccio più diffuso oggi ed è supportato da Cisco Meraki, HPE Aruba, Ruckus e altri. Secondo, estensioni proprietarie. Ruckus DPSK3 è l'esempio più chiaro. Eseguendo in modalità mista WPA2 / WPA3 con Cloudpath come backend RADIUS, DPSK3 consente ai dispositivi compatibili con WPA3 di utilizzare SAE mentre il sistema gestisce l'associazione delle chiavi per dispositivo tramite l'integrazione Cloudpath. L'approccio di WPA3 RADIUS PSK di Juniper Access Assurance è simile. MPSK di Fortinet con modalità di transizione WPA3-SAE consente di combinare chiavi WPA2-Personal e WPA3-SAE nello stesso profilo MPSK. Terzo, passare a 802.1X. Per gli endpoint gestiti - laptop aziendali, dispositivi del personale, qualsiasi cosa a cui sia possibile inviare un certificato - WPA3-Enterprise con EAP-TLS è la risposta più pulita. È completamente compatibile con WPA3 e 6 GHz, fornisce l'identità per singolo dispositivo e si integra con Microsoft Entra ID, Okta e Google Workspace. Il compromesso è la complessità dell'implementazione e la necessità di un'infrastruttura di certificati. Raccomandazioni di implementazione e insidie. Quindi cosa dovresti fare concretamente? Se gestisci una struttura alberghiera con un mix di dispositivi per gli ospiti, sensori IoT e dispositivi del personale, la risposta pragmatica nel 2026 è una progettazione SSID ibrida. Mantieni un SSID WPA2-Personal con PSK per singolo dispositivo per l'IoT legacy e i dispositivi degli ospiti. Esegui un SSID WPA3-Enterprise per i dispositivi del personale che controlli. Utilizza la modalità di transizione sul tuo SSID ospiti principale per supportare sia client WPA2 che WPA3 senza frammentare il numero di SSID. Se utilizzi Ruckus e disponi di hardware WiFi 6 o più recente, vale la pena valutare DPSK3 in modalità mista WPA2 / WPA3 con Cloudpath. Ti offre quanto di più vicino esista oggi a un PSK nativo per singolo dispositivo WPA3. Se utilizzi Fortinet, il profilo MPSK con transizione WPA3-SAE è semplice da configurare e offre un percorso di migrazione pulito. Se utilizzi UniFi, spiega chiaramente ai tuoi stakeholder che il Private PSK è solo per WPA2. Per le strutture che distribuiscono WiFi 6E o WiFi 7 con radio a 6 GHz, avrai bisogno di una strategia di autenticazione diversa per quella banda. La trappola più grande che vediamo è che i team presumono che l'abilitazione di WPA3 su un SSID PSK per singolo dispositivo esistente funzionerà e basta. Non sarà così. Esegui prima un test in un sito pilota. Controlla le versioni del firmware dei tuoi AP - DPSK3 richiede la versione del firmware 7.0 o successiva su Ruckus, ad esempio. E controlla la compatibilità del tuo server RADIUS - Ruckus DPSK3 in modalità mista richiede specificamente Cloudpath, non un server RADIUS generico. Un secondo errore comune è la proliferazione incontrollata delle chiavi. Il PSK per singolo dispositivo è eccellente per la tracciabilità, ma solo se si dispone di un processo per revocare le chiavi quando i dispositivi vengono dismessi. Senza una gestione del ciclo di vita, ti ritroverai con migliaia di chiavi orfane e nessuna traccia di controllo. Integra la fornitura delle chiavi con il flusso di lavoro di gestione dei dispositivi fin dal primo giorno. Domande e risposte rapide. Posso utilizzare il PSK per singolo dispositivo su un SSID a 6 GHz? No. La banda a 6 GHz impone l'uso esclusivo di WPA3, e WPA3 non supporta nativamente il PSK per singolo dispositivo. Utilizza 802.1X o un SSID separato a 2.4 / 5 GHz per i dispositivi che richiedono il PSK per singolo dispositivo. Il PSK per singolo dispositivo soddisfa i requisiti PCI-DSS? Il PSK per singolo dispositivo su WPA2 può soddisfare i requisiti di segmentazione della rete PCI-DSS 4.0 se ciascuna chiave si mappa su una VLAN isolata. Tuttavia, PCI-DSS consiglia caldamente l'uso di 802.1X per gli ambienti con dati dei titolari di carta. Verifica con il tuo QSA. Qual è il numero massimo di chiavi per SSID? Varia in modo significativo. Cisco Meraki con ISE supporta distribuzioni molto grandi. Ruckus DPSK supporta decine di migliaia di chiavi. Juniper Mist ha un limite di 5.000 per sito. UniFi è effettivamente limitato dalla memoria del controller. Controlla sempre la documentazione del fornitore per la tua versione specifica del firmware.In che modo si inserisce Purple in questo contesto? Purple si posiziona come un overlay cloud sopra il vostro hardware esistente. Ci integriamo con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks e Fortinet. Per le distribuzioni Guest WiFi e Staff WiFi, Purple gestisce il livello di identità - autenticazione, acquisizione dei dati, gestione del consenso - e restituisce la VLAN appropriata o l'assegnazione dei criteri al vostro hardware tramite RADIUS o API. Manterrete la vostra infrastruttura PSK per dispositivo esistente; Purple aggiunge il livello di identità e di analytics al di sopra di essa. Riepilogo e prossimi passi. Tiriamo le somme. La PSK per dispositivo - che la si chiami iPSK, DPSK, MPSK o PPSK - è una funzionalità matura e ben supportata da tutti i principali vendor di WiFi aziendali. Le implementazioni differiscono per il luogo in cui sono memorizzate le chiavi, per la scalabilità e per l'integrazione con RADIUS. Il protocollo SAE di WPA3 crea un vero e proprio vincolo tecnico per la PSK per dispositivo. Lo standard non la supporta nativamente. Le soluzioni pratiche oggi sono la modalità di transizione, le estensioni proprietarie come DPSK3 o il passaggio a 802.1X per i dispositivi che lo supportano. Il riepilogo per singolo vendor: Cisco Meraki iPSK funziona bene con ISE in modalità RADIUS; il supporto WPA3 avviene tramite la modalità di transizione. HPE Aruba MPSK con ClearPass è altamente scalabile; WPA3 MPSK è in fase di sviluppo attivo. Ruckus DPSK3 è la soluzione PSK per dispositivo WPA3 più matura disponibile. Juniper Mist Access Assurance aggiunge WPA3 RADIUS PSK. Fortinet MPSK supporta esplicitamente WPA3-SAE nei suoi profili MPSK. Extreme PPSK è solido per le modalità locali e RADIUS. UniFi Private PSK è solo per WPA2 e solo locale. Per i prossimi passi: verificate la vostra attuale distribuzione PSK per dispositivo, identificate quali dispositivi sono compatibili con WPA3 e progettate una strategia SSID ibrida che serva entrambi. Se state pianificando un aggiornamento dell'hardware, date priorità agli AP WiFi 6 o WiFi 7 con supporto DPSK3 o WPA3 MPSK confermato. Se desiderate comprendere come Purple si integra con il vostro specifico vendor di hardware per aggiungere la gestione delle identità e gli analytics alla vostra distribuzione PSK per dispositivo, visitate purple.ai o parlate con il vostro team di account. Questo è tutto per questo briefing. Grazie per l'ascolto.