PSK per dispositivo per fornitore: confronto tra iPSK, DPSK, MPSK e PPSK (e supporto WPA3)

PSK per dispositivo per fornitore: confronto tra iPSK, DPSK, MPSK e PPSK e supporto WPA3. Un briefing tecnico Purple. Introduzione e contesto. Benvenuti alla serie di briefing tecnici Purple. Oggi vi guiderò attraverso uno degli argomenti più importanti dal punto di vista pratico, e spesso fraintesi, nel panorama del WiFi aziendale attuale: le chiavi precondivise per dispositivo. Nello specifico, confronteremo il modo in cui ciascuno dei principali fornitori implementa questa funzionalità, come la definisce, come funziona effettivamente dietro le quinte e, aspetto fondamentale, cosa succede quando si tenta di passare a WPA3. Se siete responsabili IT, architetti di rete o direttori delle operazioni di una struttura che gestisce il WiFi in un complesso alberghiero, una catena di vendita al dettaglio, uno stadio o un campus del settore pubblico, questo briefing fa al caso vostro. Probabilmente vi sarete già imbattuti in questa serie di acronimi: iPSK, DPSK, MPSK, PPSK. Si riferiscono tutti allo stesso concetto – assegnare a ciascun dispositivo o utente una propria password univoca su un singolo SSID – ma le implementazioni differiscono in modo significativo, e queste differenze contano quando pianificate il vostro prossimo aggiornamento dell'infrastruttura. Iniziamo con i concetti fondamentali, per poi esaminare ciascun fornitore e concludere con la questione WPA3 con cui tutti si stanno confrontando in questo momento. Approfondimento tecnico. Quindi, cos'è la PSK per dispositivo e perché esiste? Il WPA2-Personal tradizionale utilizza un'unica passphrase condivisa per un intero SSID. Tutti sulla rete ospiti utilizzano la stessa password. Ciò crea due problemi. In primo luogo, non è possibile revocare l'accesso a un singolo dispositivo senza modificare la password per tutti gli altri. In secondo luogo, non si ha alcuna visibilità o applicazione delle policy per singolo dispositivo. La PSK per dispositivo risolve entrambi i problemi. Ciascun dispositivo o utente riceve una credenziale univoca. È possibile revocarne una senza toccare le altre. È possibile assegnare VLAN, policy di larghezza di banda o pianificazioni di accesso diverse per ciascuna chiave. Rappresenta la via di mezzo tra la semplicità del WPA2-Personal e la complessità di un'autenticazione aziendale 802.1X completa. Ora vediamo come ciascun fornitore implementa questa tecnologia. Cisco Meraki la chiama iPSK - Identity Pre-Shared Key. Meraki supports due modalità. Senza RADIUS, è possibile configurare fino a cinque PSK univoche direttamente nella dashboard di Meraki, ciascuna mappata su una VLAN. È rapido da configurare e non richiede alcuna infrastruttura esterna. Con RADIUS – tipicamente Cisco ISE – è possibile scalare fino a migliaia di chiavi. Il client si associa, l'AP invia l'indirizzo MAC e un suggerimento PSK al server RADIUS, il server restituisce la chiave per dispositivo corretta e l'handshake standard a quattro vie WPA2 si completa utilizzando quella chiave come Pairwise Master Key. L'aspetto chiave qui è che il server RADIUS esegue la ricerca, non l'AP. L'AP si limita a facilitare lo scambio. HPE Aruba la chiama MPSK - Multiple Pre-Shared Key. Aruba Central e Aruba Instant supportano MPSK in due modalità: MPSK Local, in cui le chiavi sono memorizzate sul controller o sul cluster di AP, e MPSK con ClearPass, il motore di policy e RADIUS di Aruba. ClearPass può contenere decine di migliaia di chiavi, assegnare VLAN dinamiche e applicare policy basate sui ruoli per ciascuna chiave. Il flusso di autenticazione è essenzialmente lo stesso della modalità RADIUS di Meraki: la ricerca basata su MAC restituisce la chiave per dispositivo prima dell'handshake a quattro vie. Ruckus – ora parte di CommScope – la chiama DPSK, Dynamic Pre-Shared Key. Questa è probabilmente l'implementazione più matura sul mercato. Ruckus DPSK è disponibile fin dai primi giorni di SmartZone. In modalità locale, il servizio DPSK viene eseguito sul controller e contiene il database delle chiavi. In modalità RADIUS, si integra con Cloudpath, la piattaforma di controllo degli accessi alla rete di Ruckus. Ciò che rende Ruckus degno di nota è DPSK3 – la loro estensione WPA3 di DPSK, su cui torneremo a breve. DPSK3 è disponibile sugli access point Wi-Fi 6, 6E e 7 con firmware 7.0 o successivo, e opera in modalità mista WPA2 / WPA3. Juniper Mist la chiama PPSK – Private Pre-Shared Key – o talvolta Multi-PSK. Mist memorizza le chiavi nel cloud, nel database delle chiavi dell'organizzazione o del sito Mist, con un limite di 5,000 chiavi per sito. Le chiavi possono essere assegnate per utente, per dispositivo o per gruppo. Mist si integra anche con il suo servizio Access Assurance – il NAC nativo del cloud – che aggiunge la ricerca PSK basata su RADIUS. Aspetto fondamentale, Juniper ha annunciato il supporto WPA3 RADIUS PSK tramite Access Assurance, consentendo a un singolo SSID WPA3-Personal di servire più passphrase. Questa è una delle implementazioni più orientate al futuro sul mercato. Extreme Networks – che ha acquisito Aerohive – la chiama PPSK, Private Pre-Shared Key, tramite ExtremeCloud IQ. L'implementazione di Extreme supporta la memorizzazione locale delle chiavi sull'AP stesso, utile per filiali o siti remoti con connettività limitata. Supporta anche la ricerca basata su RADIUS tramite il servizio RADIUS cloud di ExtremeCloud IQ. È disponibile l'associazione MAC (MAC binding), che collega una PPSK a un indirizzo MAC di un dispositivo specifico per una maggiore sicurezza. Fortinet la chiama MPSK, Multiple Pre-Shared Key, gestita tramite FortiAP e il controller wireless FortiGate. L'implementazione di Fortinet è degna di nota perché supporta esplicitamente le modalità di sicurezza WPA3-SAE e WPA3-SAE Transition nei suoi profili MPSK – a partire dal firmware FortiAP 8.0. È possibile creare un profilo MPSK con chiavi WPA3-SAE, assegnarle a un VAP e abilitare l'assegnazione dinamica della VLAN per chiave. Questa è una delle implementazioni MPSK WPA3 più pulite oggi disponibili. Ubiquiti UniFi la chiama Private Pre-Shared Keys, o Private PSK. L'implementazione di UniFi è solo locale – le chiavi sono memorizzate nel controller UniFi Network, non in un server RADIUS esterno. È possibile assegnare VLAN diverse per chiave e impostare limiti di client per chiave. Il limite significativo: a partire da metà 2026, UniFi Private PSK funziona solo su reti WPA2 su 2,4 GHz e 5 GHz. WPA3 e 6 GHz non sono supportati. Per distribuzioni più piccole va bene, ma è un vincolo che vale la pena conoscere prima di impegnarsi con un'infrastruttura UniFi su larga scala. Ora, la questione WPA3. È qui che la situazione si fa tecnicamente interessante. Il WPA2-Personal utilizza un handshake a quattro vie. Il client e l'AP derivano una Pairwise Transient Key da una Pairwise Master Key condivisa, che a sua volta deriva dalla passphrase. Poiché la derivazione della PMK avviene dopo la ricerca RADIUS, l'AP può sostituire una chiave per dispositivo in quel momento. Allo standard non importa: vede semplicemente una PMK valida. Il WPA3-Personal sostituisce l'handshake a quattro vie con SAE – Simultaneous Authentication of Equals. SAE è un protocollo basato su Diffie-Hellman. Entrambe le parti si impegnano su un elemento di password condiviso derivato dalla passphrase prima che l'associazione venga completata. La differenza fondamentale: la password deve essere nota a entrambe le parti prima che inizi lo scambio SAE. Non esiste alcun punto nel protocollo in cui un server RADIUS possa inserire una chiave diversa per dispositivo. L'AP e il client stanno già eseguendo uno scambio crittografico con un singolo valore condiviso. Questo è il motivo per cui WPA3 attualmente consente solo una chiave per SSID nella sua forma standard. Non si tratta di un limite del firmware. È un vincolo del protocollo. Le soluzioni alternative rientrano in tre categorie. In primo luogo, la modalità di transizione WPA3 – chiamata anche modalità mista WPA2 / WPA3. L'SSID annuncia sia WPA2-PSK che WPA3-SAE. I client WPA2 utilizzano l'handshake a quattro vie e possono ricevere chiavi per dispositivo tramite RADIUS. I client WPA3 utilizzano SAE con un'unica password condivisa. Questo è l'approccio più diffuso oggi ed è supportato da Cisco Meraki, HPE Aruba, Ruckus e altri. In secondo luogo, le estensioni proprietarie. Ruckus DPSK3 è l'esempio più chiaro. Funzionando in modalità mista WPA2 / WPA3 con Cloudpath come backend RADIUS, DPSK3 consente ai dispositivi compatibili con WPA3 di utilizzare SAE mentre il sistema gestisce l'associazione delle chiavi per dispositivo tramite l'integrazione con Cloudpath. L'approccio di Juniper con Access Assurance WPA3 RADIUS PSK è simile. La modalità MPSK di Fortinet con WPA3-SAE Transition consente di combinare chiavi WPA2-Personal e WPA3-SAE nello stesso profilo MPSK. In terzo luogo, il passaggio a 802.1X. Per gli endpoint gestiti – laptop aziendali, dispositivi del personale, qualsiasi cosa su cui sia possibile installare un certificato – WPA3-Enterprise con EAP-TLS è la risposta ideale. È completamente compatibile con WPA3 e 6 GHz, fornisce un'identità per dispositivo e si integra con Microsoft Entra ID, Okta e Google Workspace. Il compromesso è rappresentato dalla complessità di distribuzione e dalla necessità di un'infrastruttura di certificati. Raccomandazioni di implementazione e insidie. Quindi, cosa si dovrebbe fare concretamente? Se gestite un complesso alberghiero con un mix di dispositivi degli ospiti, sensori IoT e dispositivi del personale, la risposta pragmatica nel 2026 è un design SSID ibrido. Mantenete un SSID WPA2-Personal con PSK per dispositivo per i dispositivi IoT legacy e degli ospiti. Eseguite un SSID WPA3-Enterprise per i dispositivi del personale che controllate. Utilizzate la modalità di transizione sul vostro SSID ospiti principale per supportare sia i client WPA2 e WPA3 senza frammentare il numero di SSID. Se utilizzate Ruckus e disponete di hardware Wi-Fi 6 o più recente, vale la pena valutare DPSK3 in modalità mista WPA2 / WPA3 con Cloudpath. Vi offre la soluzione più vicina a una PSK per dispositivo WPA3 nativa oggi disponibile. Se utilizzate Fortinet, il profilo MPSK con WPA3-SAE Transition è semplice da configurare e offre un percorso di migrazione pulito. Se utilizzate UniFi, chiarite con i vostri stakeholder che la Private PSK è solo WPA2. Per le strutture che distribuiscono Wi-Fi 6E o Wi-Fi 7 con radio a 6 GHz, avrete bisogno di una strategia di autenticazione diversa per quella banda. L'insidia più grande che riscontriamo è che i team presumono che l'abilitazione di WPA3 su un SSID PSK per dispositivo esistente funzioni e basta. Non sarà così. Eseguite prima un test in un sito pilota. Verificate le versioni del firmware dei vostri AP – DPSK3 richiede il firmware 7.0 o successivo su Ruckus, ad esempio. E verificate la compatibilità del vostro server RADIUS – Ruckus DPSK3 in modalità mista richiede specificamente Cloudpath, non un server RADIUS generico. Una seconda insidia è la proliferazione incontrollata delle chiavi. La PSK per dispositivo è eccellente per la tracciabilità, ma solo se si dispone di un processo per revocare le chiavi quando i dispositivi vengono dismessi. Senza una gestione del ciclo di vita, vi ritroverete con migliaia di chiavi orfane e nessuna traccia di controllo. Integrate il provisioning delle chiavi con il flusso di lavoro di gestione dei dispositivi fin dal primo giorno. Domande e risposte rapide. Posso utilizzare la PSK per dispositivo su un SSID a 6 GHz? No. La banda a 6 GHz impone solo WPA3, e WPA3 non supporta nativamente la PSK per dispositivo. Utilizzate 802.1X o un SSID separato a 2,4 / 5 GHz per i dispositivi che necessitano di PSK per dispositivo. La PSK per dispositivo soddisfa i requisiti PCI DSS? La PSK per dispositivo su WPA2 può soddisfare i requisiti di segmentazione della rete PCI DSS 4.0 se ciascuna chiave è mappata su una VLAN isolata. Tuttavia, PCI DSS raccomanda vivamente l'802.1X per gli ambienti con dati dei titolari di carta. Verificate con il vostro QSA. Qual è il numero massimo di chiavi per SSID? Varia in modo significativo. Cisco Meraki con ISE supporta distribuzioni molto grandi. Ruckus DPSK supporta decine di migliaia di chiavi. Juniper Mist ha un limite di 5.000 per sito. UniFi è effettivamente limitato dalla memoria del controller. Verificate sempre la documentazione del fornitore per la vostra specifica versione del firmware. In che modo Purple si inserisce in questo contesto? Purple si pone come overlay cloud sopra l'hardware esistente. Ci integriamo con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Per le distribuzioni WiFi ospiti e WiFi del personale, Purple gestisce il livello di identità – autenticazione, acquisizione dati, gestione del consenso – e restituisce l'assegnazione della VLAN o della policy appropriata all'hardware tramite RADIUS o API. Manterrete la vostra infrastruttura PSK per dispositivo esistente; Purple aggiunge il livello di identità e analisi dei dati. Sintesi e prossimi passi. Ricapitoliamo. La PSK per dispositivo – che la si chiami iPSK, DPSK, MPSK o PPSK – è una funzionalità matura e ben supportata da tutti i principali fornitori di WiFi aziendale. Le implementazioni differiscono per il luogo in cui vengono memorizzate le chiavi, la scalabilità e l'integrazione con RADIUS. Il protocollo SAE di WPA3 crea un reale vincolo tecnico per la PSK per dispositivo. Lo standard non la supporta nativamente. Le risposte pratiche oggi sono la modalità di transizione, estensioni proprietarie come DPSK3 o il passaggio a 802.1X per i dispositivi che lo supportano. La sintesi per fornitore: Cisco Meraki iPSK funziona bene con ISE in modalità RADIUS; il supporto WPA3 avviene tramite modalità di transizione. HPE Aruba MPSK con ClearPass è altamente scalabile; WPA3 MPSK è in fase di sviluppo attivo. Ruckus DPSK3 è la soluzione PSK per dispositivo WPA3 più matura disponibile. Juniper Mist Access Assurance aggiunge WPA3 RADIUS PSK. Fortinet MPSK supporta esplicitamente WPA3-SAE nei suoi profili MPSK. Extreme PPSK è solido per le modalità locale e RADIUS. UniFi Private PSK è solo WPA2 e solo locale. Per i prossimi passi: verificate la vostra attuale distribuzione PSK per dispositivo, identificate quali dispositivi sono compatibili con WPA3 e progettate una strategia SSID ibrida che serva entrambi. Se state pianificando un aggiornamento dell'hardware, date la priorità agli AP Wi-Fi 6 o Wi-Fi 7 con supporto confermato per DPSK3 o WPA3 MPSK. Se desiderate comprendere come Purple si integra con il vostro specifico fornitore di hardware per aggiungere la gestione dell'identità e l'analisi dei dati alla vostra distribuzione PSK per dispositivo, visitate purple.ai o parlate con il vostro team commerciale. Questo è tutto per questo briefing. Grazie per l'ascolto.