Cos'è l'autenticazione RADIUS e come funziona?

### Cos'è l'autenticazione RADIUS e come funziona? — Purple Technical Briefing **[INTRO — 1 minuto]** Benvenuti al Purple Technical Briefing. Sono il vostro ospite e nei prossimi dieci minuti faremo chiarezza su una delle tecnologie più critiche per la sicurezza delle reti aziendali: l'autenticazione RADIUS. Se siete un IT manager, un network architect o un CTO responsabile del WiFi presso una grande struttura — un hotel, una catena di negozi, uno stadio o un centro congressi — questo briefing è pensato appositamente per voi. Andremo oltre il gergo tecnico, spiegheremo chiaramente l'architettura e vi forniremo le informazioni pratiche necessarie per prendere decisioni informate in questo trimestre. Iniziamo con una visione d'insieme. Perché tutto questo è importante? Se gestite ancora il vostro WiFi per ospiti o personale con una singola password condivisa — una Pre-Shared Key, o PSK — state operando con un rischio di sicurezza significativo e crescente. Quella password viene condivisa, scritta sugli scontrini, fotografata sulle lavagne e inoltrata tramite app di messaggistica. Una volta trapelata, non avrete alcuna visibilità su chi è presente nella vostra rete, nessuna possibilità di revocare l'accesso a un singolo utente senza interrompere il servizio per tutti e nessun registro di controllo in caso di problemi. Per le organizzazioni soggette a PCI DSS, GDPR o HIPAA, questo non è solo un problema tecnico. È una responsabilità in termini di conformità. RADIUS è la soluzione su cui il settore è confluito per affrontare questo problema. Vediamo quindi di capire esattamente cos'è e come funziona. **[APPROFONDIMENTO TECNICO — 5 minuti]** RADIUS è l'acronimo di Remote Authentication Dial-In User Service. Il nome è un retaggio storico dei primi tempi delle connessioni dial-up, ma il protocollo si è evoluto in modo significativo e oggi rimane la spina dorsale del controllo degli accessi alla rete aziendale. Nel profondo, RADIUS è un sistema centralizzato basato su server che gestisce l'accesso alla rete utilizzando un framework chiamato AAA — Autenticazione, Autorizzazione e Accounting. Questi tre pilastri sono le fondamenta di tutto ciò di cui parleremo oggi. L'autenticazione è il primo pilastro: verificare l'identità di qualcuno. L'autorizzazione è il secondo: determinare cosa è autorizzato a fare. E l'accounting è il terzo: registrare ciò che ha effettivamente fatto. Esploriamoli uno per uno. Autenticazione. Quando un utente tenta di connettersi a una rete WiFi protetta con WPA2-Enterprise o WPA3-Enterprise, il suo dispositivo — che chiamiamo Supplicant — invia una richiesta di connessione all'access point wireless. L'access point, che chiamiamo Authenticator, non prende autonomamente la decisione di autenticazione. Agisce come un relay, inoltrando la richiesta al server RADIUS. Il server RADIUS convalida quindi l'identità dell'utente confrontandola con una sorgente di identità configurata. Questa potrebbe essere Microsoft Active Directory, Azure Active Directory, Google Workspace, Okta o un database utenti locale. La sorgente di identità rappresenta l'unica fonte di verità (\"single source of truth\") per stabilire chi è autorizzato ad accedere alla rete. Il server RADIUS può convalidare l'identità in diversi modi. I più comuni negli ambienti aziendali sono i metodi basati su credenziali, in cui l'utente fornisce un nome utente e una password, e i metodi basati su certificati, in cui il dispositivo dell'utente presenta un certificato digitale. Parleremo a breve delle implicazioni di sicurezza di ciascuno. Autorizzazione. Una volta autenticato l'utente, il server RADIUS non si limita a dare il via libera e a farsi da parte. Comunica anche all'access point esattamente cosa fare con questo utente. Invia un set di attributi — essenzialmente istruzioni — che definiscono l'esperienza di rete dell'utente. Il più importante di questi è in genere l'assegnazione della VLAN. Il server RADIUS potrebbe stabilire: questo utente è un membro del gruppo del personale aziendale, assegnalo alla VLAN 10, che ha accesso ai server di file interni e alle stampanti. Oppure: questo utente è un ospite, assegnalo alla VLAN 20, che ha solo accesso a Internet ed è completamente isolata dalla rete aziendale. Questa assegnazione dinamica della VLAN è una delle funzionalità più potenti di RADIUS ed è il meccanismo che consente una corretta segmentazione della rete. Accounting. Il terzo pilastro viene spesso trascurato, ma è di fondamentale importanza per la conformità e le operazioni. Man mano che la sessione di un utente procede, il server RADIUS registra le informazioni chiave: l'ora in cui si è connesso, l'ora in cui si è disconnesso, la durata totale della sessione, la quantità di dati trasferiti e l'indirizzo MAC del dispositivo. Questo crea un registro di audit dettagliato per ogni connessione sulla rete. Secondo lo standard GDPR e i requisiti di conformità come il PCI DSS 4.0, questo tipo di logging non è opzionale — è un requisito rigido. E in caso di incidente di sicurezza, questi log sono preziosi per l'indagine forense. Ora parliamo dello standard tecnico che rende possibile tutto questo: IEEE 802.1X. L'802.1X è lo standard che definisce il controllo dell'accesso alla rete basato su porte. È il protocollo che consente a un access point di bloccare tutto il traffico di rete da un dispositivo finché il server RADIUS non ha confermato che il dispositivo è autorizzato. La comunicazione tra il dispositivo dell'utente e l'access point utilizza un protocollo chiamato EAP — l'Extensible Authentication Protocol. L'EAP è essenzialmente un framework che supporta molteplici metodi di autenticazione. I tre metodi EAP più comuni nel WiFi aziendale sono: PEAP, che sta per Protected Extensible Authentication Protocol; EAP-TTLS; ed EAP-TLS. PEAP ed EAP-TTLS sono metodi basati su credenziali. Creano un tunnel crittografato tra il dispositivo e il server RADIUS, quindi il nome utente e la password dell'utente vengono verificati all'interno di quel tunnel. Sono relativamente facili da distribuire e funzionano bene in ambienti in cui non si è ancora pronti per un'infrastruttura di certificazione completa. EAP-TLS è il gold standard. È basato su certificati, il che significa che sia il server che il dispositivo client presentano certificati digitali per autenticarsi a vicenda. Non è coinvolta alcuna password. Questo elimina completamente il rischio di furto di credenziali, attacchi di phishing e attacchi man-in-the-middle. Per i dispositivi aziendali, EAP-TLS è il metodo di autenticazione verso cui dovreste orientarvi. **[IMPLEMENTAZIONE E TRAPPOLE COMUNI — 2 minuti]** Quindi, come si distribuisce effettivamente tutto questo? Vi guiderò attraverso i passaggi chiave. In primo luogo, scegliete il vostro server RADIUS. È possibile distribuire un server on-premise — il Network Policy Server di Microsoft è una scelta comune in ambienti Windows — oppure utilizzare un servizio RADIUS basato su cloud. Le piattaforme Cloud RADIUS, come quella offerta da Purple, offrono un'infrastruttura completamente gestita e ad alta disponibilità senza i costi operativi di gestione. Per le organizzazioni multi-sito, l'approccio cloud è quasi sempre la scelta giusta. In secondo luogo, integrate la vostra sorgente di identità. Collegate il server RADIUS alla directory delle identità della vostra organizzazione. La maggior parte delle moderne piattaforme cloud RADIUS supporta l'integrazione diretta con Azure AD, Google Workspace e Okta. In terzo luogo, configurate l'hardware di rete. Create un nuovo SSID configurato per WPA2-Enterprise o WPA3-Enterprise e indirizzatelo verso il vostro server RADIUS. Configurerete anche un segreto condiviso — una password che crittografa la comunicazione tra l'access point e il server RADIUS. Questo segreto condiviso deve corrispondere esattamente su entrambi i lati. Una mancata corrispondenza in questo punto è una delle cause più comuni di fallimento dell'autenticazione durante la distribuzione iniziale. In quarto luogo, definite le vostre policy di autorizzazione. Mappate i gruppi di utenti sulle policy di rete: il personale ottiene l'accesso completo sulla VLAN 10, gli ospiti ottengono l'accesso solo a Internet sulla VLAN 20. Quinto, abilitate i vostri utenti. Per il personale aziendale, distribuite i profili WiFi tramite la vostra piattaforma MDM. Per gli ospiti, utilizzate un Captive Portal. La piattaforma di Purple automatizza il flusso di onboarding degli ospiti, supportando accessi tramite social media, moduli di registrazione e codici voucher. **[Domande e Risposte Rapide — 1 minuto]** Facciamo una sessione rapida di domande e risposte sui quesiti che sentiamo più spesso. Primo: Qual è la differenza tra RADIUS e un Captive Portal? Un Captive Portal è la pagina di login che gli ospiti vedono quando si connettono. Funziona con RADIUS. Il portale è l'interfaccia utente; RADIUS è il motore di back-end. Secondo: Posso usare RADIUS per reti cablate? Assolutamente sì. Lo standard 802.1X si applica ugualmente alla rete Ethernet cablata e alle reti Wi-Fi. Terzo: RADIUS è difficile da configurare? Ha una reputazione di complessità, ma le moderne piattaforme cloud hanno cambiato radicalmente la situazione. Con un servizio gestito come Purple, è possibile configurare e avviare rapidamente una distribuzione RADIUS pronta per la produzione. **[RIEPILOGO E PROSSIMI PASSI — 1 minuto]** In sintesi: RADIUS è il protocollo centralizzato che gestisce la sicurezza WiFi aziendale. Implementa il framework AAA per offrirti un controllo granulare su chi può accedere alla tua rete, su cosa può fare e un audit trail completo delle loro attività. Per gestori di sedi, albergatori, rivenditori e organizzazioni del settore pubblico, l'implementazione di RADIUS è il passo fondamentale per creare un'infrastruttura WiFi sicura, conforme e gestita in modo professionale. Il tuo prossimo passo è chiaro: se utilizzi ancora chiavi pre-condivise, inizia a pianificare la migrazione oggi stesso. Verifica il supporto a WPA3-Enterprise sul tuo hardware attuale, valuta le opzioni di integrazione con le directory di identità ed esplora una piattaforma cloud RADIUS in grado di scalare con la tua organizzazione. Questo è tutto per questo Purple Technical Briefing. Grazie per l'ascolto. Per saperne di più su come Purple può aiutarti a distribuire un WiFi sicuro e intelligente nelle tue sedi, visitaci su purple dot ai. Alla prossima, resta al sicuro.