Per-Device PSK by Vendor: iPSK, DPSK, MPSK and PPSK Compared (and WPA3 Support)

Per-Device PSK by Vendor: iPSK, DPSK, MPSK and PPSK Compared, and WPA3 Support. A Purple Technical Briefing. Introduction and Context. Welcome to the Purple technical briefing series. I'm going to walk you through one of the most practically important - and frequently misunderstood - topics in enterprise WiFi right now: per-device pre-shared keys. Specifically, we're going to compare how each of the major vendors implements this capability, what they call it, how it actually works under the hood, and - critically - what happens when you try to move to WPA3. If you're an IT manager, network architect, or venue operations director running WiFi across a hotel estate, a retail chain, a stadium, or a public-sector campus, this briefing is for you. You've probably already encountered the alphabet soup: iPSK, DPSK, MPSK, PPSK. They all refer to the same concept - giving each device or user its own unique password on a single SSID - but the implementations differ significantly, and those differences matter when you're planning your next infrastructure refresh. Let's start with the fundamentals, then work through each vendor, and finish with the WPA3 question that everyone is wrestling with right now. Technical Deep-Dive. So what is per-device PSK, and why does it exist? Traditional WPA2-Personal uses a single shared passphrase for an entire SSID. Everyone on your guest network uses the same password. That creates two problems. First, you can't revoke access for one device without changing the password for everyone. Second, you have no per-device visibility or policy enforcement. Per-device PSK solves both. Each device or user gets a unique credential. You can revoke one without touching the others. You can assign different VLANs, bandwidth policies, or access schedules per key. It's the middle ground between the simplicity of WPA2-Personal and the complexity of full 802.1X enterprise authentication. Now let's look at how each vendor implements this. Cisco Meraki calls it iPSK - Identity Pre-Shared Key. Meraki supports two modes. Without RADIUS, you configure up to five unique PSKs directly in the Meraki dashboard, each mapped to a VLAN. It's quick to set up and requires no external infrastructure. With RADIUS - typically Cisco ISE - you can scale to thousands of keys. The client associates, the AP sends the MAC address and a PSK hint to the RADIUS server, the server returns the correct per-device key, and the standard WPA2 four-way handshake completes using that key as the Pairwise Master Key. The key insight here is that the RADIUS server is doing the lookup, not the AP. The AP just facilitates the exchange. HPE Aruba lo definisce MPSK - Multiple Pre-Shared Key. Aruba Central e Aruba Instant supportano MPSK in due modalità: MPSK Local, in cui le chiavi sono memorizzate sul controller o sul cluster AP, e MPSK con ClearPass, il motore di policy e RADIUS di Aruba. ClearPass può gestire decine di migliaia di chiavi, assegnare VLAN dinamiche e applicare policy basate sui ruoli per ciascuna chiave. Il flusso di autenticazione è essenzialmente lo stesso della modalità RADIUS di Meraki - la ricerca basata su MAC restituisce la chiave per singolo dispositivo prima del four-way handshake. Ruckus - ora parte di CommScope - lo chiama DPSK, Dynamic Pre-Shared Key. Si tratta probabilmente dell'implementazione più matura sul mercato. Ruckus DPSK è disponibile fin dai primi giorni di SmartZone. In modalità locale, il servizio DPSK viene eseguito sul controller e ospita il database delle chiavi. In modalità RADIUS, si integra con Cloudpath, la piattaforma proprietaria di controllo dell'accesso alla rete di Ruckus. Ciò che rende degno di nota Ruckus è DPSK3 - la loro estensione WPA3 di DPSK, su cui torneremo a breve. DPSK3 è disponibile sugli access point WiFi 6, 6E e 7 con firmware 7.0 o successivo, e opera in modalità mista WPA2 / WPA3. Juniper Mist lo definisce PPSK - Private Pre-Shared Key - o talvolta Multi-PSK. Mist memorizza le chiavi nel cloud, nel database delle chiavi dell'organizzazione o del sito Mist, con un limite di 5.000 chiavi per sito. Le chiavi possono essere assegnate per utente, per dispositivo o per gruppo. Mist si integra inoltre con il suo servizio Access Assurance - il NAC cloud-native - che aggiunge la ricerca PSK basata su RADIUS. Aspetto fondamentale, Juniper ha annunciato il supporto WPA3 RADIUS PSK tramite Access Assurance, consentendo a un singolo SSID WPA3-Personal di gestire più passphrase. Questa è una delle implementazioni più orientate al futuro presenti sul mercato. Extreme Networks - che ha acquisito Aerohive - lo chiama PPSK, Private Pre-Shared Key, tramite ExtremeCloud IQ. L'implementazione di Extreme supporta l'archiviazione locale delle chiavi sull'AP stesso, il che è utile per le filiali o le sedi remote con connettività limitata. Supporta inoltre la ricerca basata su RADIUS tramite il servizio cloud RADIUS di ExtremeCloud IQ. È disponibile il binding MAC, che associa una PPSK a un indirizzo MAC di un dispositivo specifico per una maggiore sicurezza. Fortinet lo definisce MPSK, Multiple Pre-Shared Key, gestito tramite FortiAP e il controller wireless FortiGate. L'implementazione di Fortinet è degna di nota perché supporta esplicitamente le modalità di sicurezza WPA3-SAE e WPA3-SAE Transition nei suoi profili MPSK - a partire dal firmware FortiAP 8.0. È possibile creare un profilo MPSK con chiavi WPA3-SAE, assegnarle a un VAP e abilitare l'assegnazione dinamica delle VLAN per ciascuna chiave. Questa è una delle implementazioni WPA3 MPSK più lineari oggi disponibili. Ubiquiti UniFi lo definisce Private Pre-Shared Keys, o Private PSK. L'implementazione di UniFi è solo locale - le chiavi sono memorizzate nel controller UniFi Network, non in un server RADIUS esterno. È possibile assegnare diverse VLAN per chiave e impostare limiti di client per chiave. La limitazione significativa: a partire da metà 2026, il Private PSK di UniFi funziona solo su reti WPA2 a 2.4 GHz e 5 GHz. WPA3 e 6 GHz non sono supportati. Per implementazioni più piccole va bene, ma è un vincolo da conoscere prima di impegnarsi in un parco macchine UniFi su larga scala. Ora, la questione WPA3. È qui che la situazione si fa tecnicamente interessante. WPA2-Personal utilizza un handshake a quattro vie. Il client e l'AP derivano una Pairwise Transient Key da una Pairwise Master Key condivisa, che a sua volta deriva dalla passphrase. Poiché la derivazione della PMK avviene dopo la ricerca RADIUS, l'AP può sostituire una chiave per dispositivo in quel momento. Allo standard non importa - vede solo una PMK valida. WPA3-Personal sostituisce l'handshake a quattro vie con SAE - Simultaneous Authentication of Equals. SAE è un protocollo basato su Diffie-Hellman. Entrambe le parti si impegnano su un elemento password condiviso derivato dalla passphrase prima che l'associazione sia completata. La differenza fondamentale: la password deve essere nota a entrambe le parti prima che inizi lo scambio SAE. Non c'è alcun punto nel protocollo in cui un server RADIUS possa inserire una chiave diversa per dispositivo. L'AP e il client stanno già eseguendo una danza crittografica con un unico valore condiviso. Questo è il motivo per cui WPA3 attualmente consente solo una chiave per SSID nella sua forma standard. Non si tratta di un limite del firmware. È un vincolo del protocollo. Le soluzioni alternative rientrano in tre categorie. La prima è la modalità di transizione WPA3 - chiamata anche modalità mista WPA2 / WPA3. L'SSID annuncia sia WPA2-PSK che WPA3-SAE. I client WPA2 utilizzano l'handshake a quattro vie e possono ricevere chiavi per dispositivo tramite RADIUS. I client WPA3 utilizzano SAE con una singola password condivisa. Questo è l'approccio più diffuso oggi ed è supportato da Cisco Meraki, HPE Aruba, Ruckus e altri. La seconda sono le estensioni proprietarie. Il DPSK3 di Ruckus è l'esempio più chiaro. Eseguendo in modalità mista WPA2 / WPA3 con Cloudpath come backend RADIUS, DPSK3 consente ai dispositivi compatibili con WPA3 di utilizzare SAE mentre il sistema gestisce l'associazione delle chiavi per dispositivo attraverso l'integrazione con Cloudpath. Il WPA3 RADIUS PSK di Juniper Access Assurance adotta un approccio simile. L'MPSK di Fortinet con modalità WPA3-SAE Transition consente di combinare chiavi WPA2-Personal e WPA3-SAE nello stesso profilo MPSK. La terza è il passaggio a 802.1X. Per gli endpoint gestiti - laptop aziendali, dispositivi del personale, qualsiasi cosa su cui sia possibile installare un certificato - WPA3-Enterprise con EAP-TLS è la risposta più pulita. È completamente compatibile con WPA3 e 6 GHz, fornisce l'identità per singolo dispositivo e si integra con Microsoft Entra ID, Okta e Google Workspace. Il compromesso è la complessità di implementazione e la necessità di un'infrastruttura di certificati. Raccomandazioni di implementazione e insidie. Quindi, cosa dovresti fare concretamente? Se gestisci una struttura alberghiera con un mix di dispositivi per gli ospiti, sensori IoT e dispositivi del personale, la risposta pragmatica nel 2026 è un design SSID ibrido. Mantieni un SSID WPA2-Personal con PSK per dispositivo per i dispositivi IoT e degli ospiti legacy. Esegui un SSID WPA3-Enterprise per i dispositivi del personale che controlli. Utilizza la modalità di transizione sul tuo SSID principale per gli ospiti per supportare sia i client WPA2 che WPA3 senza frammentare il numero di SSID. Se utilizzi Ruckus e disponi di hardware WiFi 6 o più recente, vale la pena valutare DPSK3 in modalità mista WPA2 / WPA3 con Cloudpath. Ti offre la soluzione più vicina a una PSK nativa per dispositivo WPA3 disponibile oggi. Se utilizzi Fortinet, il profilo MPSK con WPA3-SAE Transition è semplice da configurare e ti offre un percorso di migrazione pulito. Se utilizzi UniFi, specifica chiaramente ai tuoi stakeholder che la PSK privata è solo WPA2. Per le strutture che distribuiscono WiFi 6E o WiFi 7 con radio a 6 GHz, avrai bisogno di una strategia di autenticazione diversa per quella banda. La trappola più grande che vediamo è che i team presumono che l'abilitazione di WPA3 su un SSID PSK esistente per dispositivo funzioni e basta. Non sarà così. Esegui prima un test in un sito pilota. Controlla le versioni del firmware del tuo AP - ad esempio, DPSK3 richiede la versione del firmware 7.0 o successiva su Ruckus. E verifica la compatibilità del tuo server RADIUS - Ruckus DPSK3 in modalità mista richiede specificamente Cloudpath, non un server RADIUS generico. Una seconda trappola è la proliferazione delle chiavi. La PSK per dispositivo è eccellente per la tracciabilità, ma solo se si dispone di un processo per revocare le chiavi quando i dispositivi vengono dismessi. Senza una gestione del ciclo di vita, ti ritroverai con migliaia di chiavi orfane e nessuna traccia di controllo. Integra la fornitura delle chiavi con il flusso di lavoro di gestione dei dispositivi fin dal primo giorno. Domande e risposte rapide. Posso utilizzare la PSK per dispositivo su un SSID a 6 GHz? No. La banda a 6 GHz impone solo WPA3 e WPA3 non supporta nativamente la PSK per dispositivo. Utilizza 802.1X o un SSID separato a 2.4 / 5 GHz per i dispositivi che necessitano di PSK per dispositivo. La PSK per dispositivo soddisfa i requisiti PCI-DSS? La PSK per dispositivo su WPA2 può soddisfare i requisiti di segmentazione della rete PCI-DSS 4.0 se ogni chiave è mappata su una VLAN isolata. Tuttavia, lo standard PCI-DSS raccomanda vivamente l'uso di 802.1X per gli ambienti con dati dei titolari di carta. Verifica con il tuo QSA. Qual è il numero massimo di chiavi per SSID? Varia in modo significativo. Cisco Meraki con ISE supporta distribuzioni molto grandi. Ruckus DPSK supporta decine di migliaia di chiavi. Juniper Mist ha un limite di 5.000 per sito. UniFi è effettivamente limitato dalla memoria del controller. Controlla sempre la documentazione del fornitore per la tua versione specifica del firmware.In che modo Purple si inserisce in tutto questo? Purple si posiziona come un overlay cloud sopra il vostro hardware esistente. Ci integriamo con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Per le distribuzioni WiFi ospiti e WiFi dipendenti, Purple gestisce il livello di identità - autenticazione, acquisizione dati, gestione del consenso - e restituisce la VLAN appropriata o l'assegnazione delle policy al vostro hardware tramite RADIUS o API. Manterrete la vostra infrastruttura PSK per singolo dispositivo esistente; Purple aggiunge il livello di identità e di analytics al di sopra di essa. Riepilogo e prossimi passi. Tiriamo le somme. La PSK per singolo dispositivo - sia che la si chiami iPSK, DPSK, MPSK o PPSK - è una funzionalità matura e ben supportata da tutti i principali fornitori di WiFi aziendali. Le implementazioni differiscono per il luogo in cui le chiavi vengono memorizzate, per il modo in cui scalano e per come si integrano con RADIUS. Il protocollo SAE di WPA3 crea un reale vincolo tecnico per la PSK per singolo dispositivo. Lo standard non la supporta nativamente. Le risposte pratiche oggi sono la modalità di transizione, estensioni proprietarie come DPSK3 o il passaggio a 802.1X per i dispositivi che lo supportano. Il riepilogo fornitore per fornitore: Cisco Meraki iPSK funziona bene con ISE in modalità RADIUS; il supporto WPA3 avviene tramite modalità di transizione. HPE Aruba MPSK con ClearPass è altamente scalabile; WPA3 MPSK è in fase di sviluppo attivo. Ruckus DPSK3 è la soluzione PSK per singolo dispositivo WPA3 più matura disponibile sul mercato. Juniper Mist Access Assurance aggiunge la PSK RADIUS WPA3. Fortinet MPSK supporta esplicitamente WPA3-SAE nei suoi profili MPSK. Extreme PPSK è solida sia per la modalità locale che per quella RADIUS. UniFi Private PSK è solo WPA2 e solo locale. Per i vostri prossimi passi: analizzate la vostra attuale implementazione PSK per singolo dispositivo, identificate quali dispositivi sono compatibili con WPA3 e progettate una strategia SSID ibrida che serva entrambi. Se state pianificando un aggiornamento hardware, date la priorità ad AP WiFi 6 o WiFi 7 con supporto DPSK3 o WPA3 MPSK confermato. Se volete capire come Purple si integra con il vostro specifico fornitore di hardware per aggiungere la gestione dell'identità e gli analytics sopra la vostra implementazione PSK per singolo dispositivo, visitate purple.ai o parlate con il vostro team commerciale. Questo è tutto per questo briefing. Grazie per l'ascolto.