PPSK WiFi: confronto tra funzionalità e modelli di implementazione

Benvenuto al Purple Technical Briefing. Oggi parleremo di PPSK WiFi - Private Pre-Shared Key - cos'è, come si confronta con le alternative e dove ha effettivamente senso implementarlo. [medium pause] Iniziamo con il problema che risolve. In una rete WPA2 Personal tradizionale, ogni dispositivo sulla rete condivide la stessa password. Questo va bene per una casa. Ma è un rischio per un complesso residenziale Build to Rent da 200 unità, uno studentato o un hotel con 300 camere. Quando un residente si trasferisce, o si cambia la password per tutti - scollegando la smart TV, il termostato e la console di ogni altro residente nel processo - o si lascia al vecchio residente l'accesso. Nessuna delle due opzioni è accettabile. [short pause] Il PPSK risolve questo problema fornendo a ciascun residente, a ciascun appartamento o a ciascun gruppo di dispositivi la propria chiave WiFi unica. Tutti si collegano allo stesso SSID - lo stesso nome di rete - ma ogni chiave è mappata su una VLAN separata. L'appartamento 12 è sulla VLAN 10. L'appartamento 13 è sulla VLAN 20. I dispositivi IoT sono sulla VLAN 99. L'access point gestisce automaticamente la mappatura dalla chiave alla VLAN. Nessun server RADIUS richiesto. Nessuna infrastruttura di certificati. Nessun supplicant 802.1X sul dispositivo. [medium pause] Ora parliamo della terminologia, perché varia a seconda del vendor e questo causa una reale confusione sul mercato. Aruba lo chiama PPSK - Private Pre-Shared Key. Cisco Meraki lo chiama iPSK - Identity PSK, o Personal Private Network. Juniper Mist usa ePSK. Extreme Networks, che originariamente ha sviluppato il concetto sotto il brand Aerohive, lo chiama Private PSK. Ubiquiti UniFi lo chiama semplicemente PPSK. Anche Cambium usa ePSK. Il meccanismo di base è identico per tutti: un solo SSID, più chiavi uniche, ciascuna chiave associata a una VLAN o a un gruppo di policy. [short pause] Tecnicamente, ecco cosa succede a livello di associazione. Quando un dispositivo si connette, presenta la sua chiave precondivisa durante l'handshake a quattro vie WPA2. L'access point - o il controller cloud dietro di esso - cerca quella chiave nell'archivio PPSK, identifica a quale VLAN è mappata e tagga il traffico del dispositivo di conseguenza da quel momento in poi. Il dispositivo vede una normale connessione WiFi. Non ha idea di essere stato inserito in un segmento isolato. Il suo Chromecast funziona. Il suo smart speaker si associa. La sua console ottiene il tipo di NAT corretto. Tutto si comporta come una rete domestica - perché, dal punto di vista del dispositivo, lo è. [medium pause] Questa è la distinzione chiave rispetto a 802.1X, che è lo standard enterprise per le reti del personale e gli ambienti aziendali. 802.1X richiede un server RADIUS, un identity provider - Microsoft Entra ID, Okta o Google Workspace - e un supplicant su ogni dispositivo. Il supplicant è il componente software che gestisce lo scambio di autenticazione EAP. Ogni laptop gestito, ogni telefono aziendale ne ha uno. Il frigorifero smart del tuo residente no. Il controller HVAC del tuo edificio no. I tuoi sensori IoT no. Il PPSK funziona con tutti loro perché opera a livello WPA Personal, non a livello WPA Enterprise. [short pause] Detto questo, PPSK non sostituisce 802.1X negli ambienti aziendali. È uno strumento diverso per un problema diverso. Se gestisci una rete per il personale in cui conta la responsabilità individuale - dove devi sapere che una persona specifica si è autenticata in un momento specifico e devi revocare il suo accesso nel momento in cui lascia l'organizzazione - 802.1X è la risposta corretta. Se gestisci una rete residenziale in cui hai bisogno di isolamento per singola abitazione, supporto IoT e semplicità operativa su scala, PPSK è la risposta corretta. [medium pause] Vediamo i modelli di implementazione. Oggi in produzione esistono tre pattern principali. [short pause] Il primo è il modello cloud-controller, che è il più comune per le nuove distribuzioni. I tuoi access point - che si tratti di Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme o Fortinet - si collegano a una piattaforma di gestione cloud. L'archivio delle chiavi PPSK risiede nel cloud controller. Quando registri un nuovo residente, crei una chiave nel portale, la assegni a una VLAN e il controller invia la policy a ogni access point dell'edificio. Il residente riceve la sua chiave - tramite email, SMS o un codice QR in un pacchetto di benvenuto - e si connette. Quando si trasferisce, elimini la chiave. I suoi dispositivi smettono di connettersi. Nessun altro viene influenzato. [short pause] Il secondo modello è PPSK con un backend RADIUS locale. Alcune implementazioni aziendali utilizzano un server RADIUS per memorizzare e convalidare le credenziali PPSK, il che offre registrazione centralizzata, percorsi di controllo e integrazione con la piattaforma di gestione delle identità. Questo aggiunge sovraccarico infrastrutturale ma offre la responsabilità di 802.1X con la compatibilità dei dispositivi di PPSK. È il modello giusto per ambienti misti - ad esempio, uno spazio di coworking in cui sono presenti sia dispositivi aziendali gestiti sia apparecchiature IoT di proprietà dei membri. [short pause] Il terzo modello è ibrido: PPSK per residenti e IoT, 802.1X per personale e sistemi di gestione. Questa è l'architettura che Purple consiglia per le installazioni Build to Rent e le unità multiafamiliari. I residenti utilizzano PPSK. I sistemi di gestione dell'edificio, la videosorveglianza e il controllo accessi ottengono la propria VLAN IoT con PPSK. I dispositivi del team di gestione della proprietà utilizzano 802.1X con Microsoft Entra ID o Okta. Tre modelli di autenticazione distinti, tre VLAN distinte, un'unica infrastruttura fisica. Ora passiamo all'implementazione. Se stai distribuendo PPSK per uno sviluppo Build to Rent o una proprietà con unità multiafamiliari, ecco la sequenza ideale. [short pause] Inizia con la progettazione logica prima di toccare l'hardware. Definisci il numero di residenti, le categorie di dispositivi IoT e tutti i sistemi del personale o di gestione. Assegna le VLAN. Una tipica implementazione BTR si presenta così: dalla VLAN 10 fino a quella richiesta dal numero di unità per i residenti, una VLAN per appartamento o una VLAN per piano a seconda della densità. VLAN 99 per l'IoT. VLAN 100 per la gestione dell'edificio. VLAN 200 per il WiFi ospiti nelle aree comuni. [short pause] Quindi documenta il tuo schema di indirizzamento IP. In un edificio di 200 unità, si parla di un numero compreso tra 3.000 e 5.000 dispositivi connessi alla rete in qualsiasi momento. Questa è la cifra da 15 a 25 dispositivi per famiglia risultante dalle ricerche della British Property Federation. I tuoi scope DHCP devono essere in grado di supportarli. Utilizza l'indirizzamento privato RFC 1918 con dimensioni di subnet sufficienti per ciascuna VLAN. Una barra 24 ti offre 254 indirizzi utilizzabili. Una barra 23 te ne offre 510. Dimensiona di conseguenza. [medium pause] Sulla selezione dell'hardware: PPSK è supportato su tutte le principali piattaforme di access point aziendali. Cisco Meraki lo chiama iPSK e lo gestisce tramite la dashboard Meraki con policy di chiave per SSID. HPE Aruba lo implementa nativamente in ArubaOS e Aruba Central. Ruckus lo supporta tramite SmartZone e la piattaforma Ruckus Cloud. Juniper Mist utilizza ePSK con gestione RF basata sull'intelligenza artificiale. Ubiquiti UniFi offre PPSK dal 2023, anche se si noti che attualmente è solo WPA2 e non funzionerà sulla banda a 6 gigahertz. Cambium ed Extreme lo supportano entrambi attraverso le rispettive piattaforme cloud. [short pause] Un vincolo critico da segnalare: l'implementazione PPSK di UniFi è solo WPA2. Se stai specificando access point Wi-Fi 6E e desideri utilizzare la banda a 6 gigahertz per i client PPSK, avrai bisogno di una piattaforma che supporti WPA3-SAE con PPSK, oppure dovrai limitare i client PPSK alle bande a 2.4 e 5 gigahertz. Aruba, Ruckus e Meraki supportano tutti PPSK su configurazioni WPA3. [medium pause] Ora parliamo delle insidie. Questi sono gli scenari di errore che vedo ripetutamente nelle installazioni di produzione. [short pause] Il primo è la proliferazione degli SSID. Ogni SSID trasmesso consuma tempo di trasmissione per i beacon frame. In un edificio residenziale denso, se trasmetti sei o otto SSID per access point, riduci le prestazioni per tutti. Limita la trasmissione a un massimo di quattro SSID per radio. Utilizza PPSK per servire più segmenti di residenti da un singolo SSID anziché creare un SSID separato per appartamento o per piano. [short pause] La seconda insidia è l'insufficiente configurazione delle porte trunk. Progetti uno schema VLAN pulito, distribuisci gli access point e poi il traffico cade silenziosamente perché qualcuno ha dimenticato di consentire le relative VLAN su un collegamento trunk tra lo switch di distribuzione e l'access layer. Convalida ogni porta trunk durante la messa in servizio. Documentalo. Testalo con un dispositivo su ciascuna VLAN prima del trasferimento dei residenti. [short pause] La terza insidia è la distribuzione delle chiavi. Generare le chiavi è facile. Consegnarle ai residenti in modo sicuro e operativamente gestibile è più difficile. Un codice QR nel pacchetto di benvenuto funziona bene per il giorno del trasloco. Un portale per i residenti in cui possono recuperare la propria chiave e aggiungere nuovi dispositivi è la soluzione migliore per le operazioni quotidiane. Crea il flusso di lavoro di distribuzione delle chiavi prima della distribuzione della rete, non dopo. [short pause] Il quarto errore, specifico per l'IoT, consiste nel posizionare i dispositivi domestici intelligenti sul segmento PPSK del residente senza considerarne le implicazioni. Un dispositivo IoT compromesso sulla VLAN di un residente può potenzialmente attaccare altri dispositivi sulla stessa VLAN. Per le categorie IoT ad alto rischio, valuta una VLAN IoT separata con filtraggio in uscita, anche se ciò significa che i residenti dovranno configurare le loro app di domotica per utilizzare una rete diversa. [medium pause] Esaminiamo due scenari del mondo reale. [short pause] Scenario uno: un complesso Build to Rent di 180 unità in un centro città. L'operatore desiderava che il WiFi fosse incluso nell'affitto come servizio aggiuntivo, con attivazione il giorno del trasloco e supporto completo per la domotica. Hanno distribuito access point HPE Aruba gestiti tramite Aruba Central. Ogni appartamento riceve una chiave PPSK univoca generata al momento della firma del contratto di locazione. La chiave viene inviata via e-mail al residente con un codice QR. Lo scansionano, tutti i loro dispositivi si connettono e Chromecast, smart speaker e console funzionano immediatamente. Quando un residente si trasferisce, il gestore della proprietà elimina la chiave nel portale. Il nuovo residente riceve una nuova chiave al momento del trasloco. Zero problemi di rotazione delle password. L'operatore segnala una riduzione del 30% dei ticket di assistenza legati al WiFi rispetto alla precedente implementazione con password condivisa. [short pause] Scenario due: uno studentato appositamente costruito con 400 posti letto. La sfida qui è la settimana di trasloco della coorte, con centinaia di studenti che arrivano simultaneamente, cercando tutti di connettere dozzine di dispositivi contemporaneamente. L'operatore ha utilizzato access point Ruckus con SmartZone, implementando PPSK con una chiave per camera. Le chiavi sono state pregenerated e incluse nel pacchetto di benvenuto inviato prima dell'arrivo. Gli studenti hanno scansionato il codice QR all'arrivo e si sono connessi in pochi secondi. La rete ha gestito il picco di accessi senza cali di prestazioni perché il traffico di ciascuno studente era isolato nel proprio segmento VLAN. [medium pause] Ora passiamo a una sessione rapida di domande e risposte sulle questioni più frequenti. [short pause] Quante chiavi PPSK può gestire un singolo access point? La maggior parte delle piattaforme aziendali supporta migliaia di chiavi per SSID. Cisco Meraki supporta fino a 5.000 voci iPSK per rete. Aruba supporta una scala simile. Ubiquiti UniFi supporta fino a 1.000 voci PPSK per rete. Per un edificio di 200 unità, sei ampiamente entro i limiti su qualsiasi piattaforma. [short pause] PPSK funziona con WPA3? Sì, sulla maggior parte delle piattaforme aziendali. WPA3-SAE offre una protezione più forte contro gli attacchi offline con dizionario rispetto a WPA2-PSK, quindi l'implementazione di PPSK su WPA3, dove i dispositivi client lo supportano, è l'approccio corretto. L'eccezione è UniFi, che attualmente è solo WPA2 per PPSK. [short pause] Posso integrare PPSK con il mio sistema di gestione immobiliare? Sì, tramite l'API del fornitore. Aruba Central, Meraki, Ruckus e Mist espongono tutti API REST per la gestione delle chiavi PPSK. È possibile automatizzare la creazione e la revoca delle chiavi come parte del flusso di lavoro di gestione dei contratti di locazione. [short pause] Qual è la differenza in termini di sicurezza tra PPSK e 802.1X? La differenza fondamentale è che il PPSK è un modello a segreto condiviso. La chiave è una stringa di caratteri che può essere condivisa o intercettata. L'802.1X con EAP-TLS utilizza certificati digitali, che non possono essere condivisi allo stesso modo e forniscono un'autenticazione reciproca. Per gli ambienti residenziali, dove il modello di minaccia è principalmente l'isolamento tra residenti, il PPSK offre una sicurezza adeguata. Per le reti del personale aziendale, l'802.1X è la scelta corretta. [medium pause] Per riassumere: il PPSK WiFi è il modello di autenticazione corretto per implementazioni residenziali multi-tenant, ambienti ad alta densità di IoT e qualsiasi scenario in cui sia necessario l'isolamento per singolo utente o per nucleo familiare senza il sovraccarico infrastrutturale di 802.1X. Funziona su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Si integra con i sistemi di gestione immobiliare tramite API. E risolve i tre problemi operativi principali che le reti con password condivisa non possono risolvere: il trasloco senza interrompere il servizio per gli altri, il supporto per i dispositivi smart home e la responsabilità per singolo residente. [short pause] Il quadro decisionale è semplice. Se i tuoi dispositivi supportano l'802.1X e disponi di un'infrastruttura RADIUS, usa l'802.1X per il personale e i dispositivi gestiti. Se gestisci una proprietà residenziale multi-tenant, usa il PPSK. Se disponi di dispositivi IoT che non supportano l'802.1X, usa il PPSK con una VLAN IoT dedicata. Se hai bisogno di WiFi per gli ospiti nelle aree comuni, usa una PSK standard o una rete aperta con un captive portal associato. [short pause] Per i passaggi successivi: consulta il diagramma panoramico dell'architettura nella guida, che mostra l'intero stack di implementazione PPSK, dall'uplink dell'ISP al dispositivo del residente. Utilizza il diagramma di flusso decisionale per mappare il tuo ambiente specifico sul modello di autenticazione corretto. E se stai pianificando un'implementazione BTR o MDU e desideri capire come la piattaforma Multi-Tenant WiFi di Purple si integra con l'hardware esistente per fornire la gestione delle chiavi, il portale dei residenti e il livello di analisi, trovi il link nella guida. [medium pause] Questo è tutto per il briefing di oggi. Grazie per l'ascolto. Vorrei approfondire il modello di sicurezza, perché è qui che vedo la maggiore confusione sul mercato. [short pause] Il PPSK opera a livello WPA Personal. Ogni chiave è un segreto pre-condiviso. La garanzia di sicurezza offerta dal PPSK è l'isolamento tra residenti - il dispositivo A sulla chiave A non può comunicare con il dispositivo B sulla chiave B, anche quando sono associati allo stesso access point fisico. Tale isolamento viene applicato a livello VLAN, non a livello di crittografia. La crittografia tra ciascun dispositivo e l'access point utilizza la stessa suite di cifratura WPA2 o WPA3, indipendentemente dalla chiave PPSK utilizzata dal dispositivo per l'autenticazione. [short pause] Ciò che il PPSK non fornisce è l'autenticazione reciproca offerta da 802.1X. In una distribuzione 802.1X con EAP-TLS, il client si autentica sulla rete e la rete si autentica sul client. Entrambe le parti presentano certificati. Questo previene gli attacchi da access point non autorizzati. Con il PPSK, il client non ha modo di verificare se è connesso alla rete legittima piuttosto che a un AP non autorizzato che trasmette lo stesso SSID. Per un edificio residenziale in cui il modello di minaccia riguarda principalmente l'isolamento dei residenti tra loro, questo è un compromesso accettabile. Per un ambiente aziendale che gestisce dati sensibili, non lo è. [medium pause] Ora parliamo del percorso di aggiornamento a WPA3. WPA3-SAE, che sta per Simultaneous Authentication of Equals, sostituisce l'handshake a quattro vie di WPA2 con un protocollo di scambio di chiavi più sicuro chiamato Dragonfly. Il miglioramento critico per le distribuzioni PPSK è la forward secrecy: anche se un utente malintenzionato cattura il traffico WiFi e successivamente ottiene la chiave pre-condivisa, non può decrittografare il traffico catturato. WPA2-PSK non fornisce la forward secrecy. WPA3-SAE sì. Se stai distribuendo nuovo hardware oggi, specifica il supporto WPA3-SAE e abilitalo per il tuo SSID PPSK. I client che non supportano WPA3 torneranno a WPA2 in modalità di transizione, quindi non è necessario forzare un passaggio netto. [short pause] L'aspetto legato al GDPR merita di essere affrontato direttamente. In una distribuzione residenziale multi-tenant, stai trattando dati personali - nello specifico, l'associazione tra una chiave WiFi e un residente nominativo. Tale associazione costituisce dato personale ai sensi del UK GDPR e del GDPR UE. È necessaria una base giuridica per il trattamento. In un contesto BTR, la base giuridica è in genere l'esecuzione di un contratto - il contratto di locazione - o il legittimo interesse. È necessaria un'informativa sulla privacy che copra il trattamento dei dati WiFi. È necessaria una policy di conservazione dei dati per i log di connessione. E devi essere in grado di rispondere alle richieste di accesso degli interessati, il che significa che la tua piattaforma di gestione PPSK deve essere in grado di esportare tutti i dati associati alla chiave di uno specifico residente. [short pause] La piattaforma WiFi Multi-Tenant di Purple è costruita con questo in mente. I dati sono archiviati in un'infrastruttura certificata ISO 27001. Siamo conformi a GDPR e CCPA. La residenza dei dati è selezionabile - Regno Unito, UE o USA - in modo da poter soddisfare gli obblighi normativi indipendentemente da dove si trovino le tue proprietà. E la nostra piattaforma fornisce l'audit trail e le funzionalità di esportazione dei dati necessarie per la conformità. Permettetemi di affrontare la questione del ROI, perché emerge in ogni conversazione sugli acquisti BTR. [short pause] La ricerca della British Property Federation mostra costantemente come la qualità del WiFi sia tra i primi cinque fattori di comfort nelle decisioni di locazione Build to Rent. Gli operatori che includono il WiFi gestito come servizio registrano premi di affitto da quindici a trenta sterline per unità al mese rispetto a proprietà equivalenti senza connettività inclusa. Su un edificio di 200 unità, si tratta di un reddito da locazione aggiuntivo compreso tra trentaseimila e settantaduemila sterline all'anno. A fronte di un tipico costo di implementazione PPSK - hardware ammortizzato in cinque anni più una licenza software overlay - il periodo di ammortamento è in genere inferiore a 18 mesi. [short pause] I risparmi operativi sono altrettanto significativi. Una rete con password condivisa in un edificio di 200 unità genera un volume prevedibile di ticket di assistenza: residenti che non riescono a connettere il proprio Chromecast, residenti il cui smart speaker non si accoppia, residenti la cui console mostra un tipo NAT restrittivo. La risoluzione di questi ticket richiede tempo e denaro. Una rete PPSK correttamente distribuita elimina la maggior parte di essi. Un operatore con cui lavoriamo ha riferito una riduzione del 30% dei contatti di supporto relativi al WiFi nei primi sei mesi successivi alla migrazione da un'installazione con password condivisa a una PPSK. [short pause] I periodi di inattività sono l'altra leva. Un edificio in cui il WiFi è attivo e funzionante il giorno del trasloco riduce gli attriti per i nuovi residenti. Un edificio in cui un nuovo residente deve attendere l'appuntamento con un tecnico della banda larga - in genere da sette a quattordici giorni nel Regno Unito - crea un'impressione iniziale negativa che influisce sulla fidelizzazione. PPSK con attivazione il giorno del trasloco elimina completamente questo attrito. [medium pause] Un'altra area da coprire: l'applicazione per il coworking e l'uso misto. PPSK non è solo per il residenziale. È anche il modello giusto per gli spazi di coworking in cui si desidera l'isolamento per membro o per azienda senza il sovraccarico di 802.1X. Un operatore di coworking con 200 membri può assegnare a ciascun membro la propria chiave PPSK, mapparla su una VLAN dedicata e garantire che i dispositivi del membro A siano invisibili al membro B. Quando un abbonamento decade, la chiave viene revocata. Quando si iscrive un nuovo membro, viene generata una nuova chiave. L'esperienza del membro è identica a quella di una rete domestica. [short pause] Per il coworking, il modello ibrido funziona particolarmente bene. I membri ottengono PPSK. I visitatori dei membri - ad esempio i clienti che partecipano alle riunioni - ottengono un SSID WiFi per gli ospiti separato con un Captive Portal. Il personale dell'edificio ottiene 802.1X rispetto all'identity provider dell'operatore. Tre modelli di autenticazione, un'unica infrastruttura fisica, netta separazione tra i tre gruppi di utenti. [medium pause] Questo completa il quadro generale. Il PPSK WiFi è una tecnologia matura e ben supportata che risolve un problema specifico e importante: l'isolamento per utente o per nucleo familiare in ambienti multi-tenant, senza il sovraccarico infrastrutturale dell'802.1X. È indipendente dall'hardware, gestito tramite API e implementabile oggi stesso sugli access point già in vostro possesso. I criteri di scelta sono chiari. I modelli di distribuzione sono comprovati. E il business case, in particolare nel settore Build to Rent e negli alloggi per studenti appositamente realizzati, è ampiamente dimostrato.