Come implementare l'autenticazione 802.1X con Cloud RADIUS

Come implementare l'autenticazione 802.1X con Cloud RADIUS Un briefing informativo di Purple WiFi --- INTRODUZIONE E CONTESTO (circa 1 minuto) --- Benvenuti al briefing informativo di Purple WiFi. Sono il vostro presentatore e oggi entreremo nei dettagli dell'autenticazione 802.1X con Cloud RADIUS - cos'è, perché è importante oggi e come distribuirla concretamente in un patrimonio multisede. Se gestite l'infrastruttura WiFi per un gruppo alberghiero, una catena di vendita al dettaglio, uno stadio o un'organizzazione del settore pubblico, questo è uno di quei temi che continuano a emergere - e per una buona ragione. Il panorama delle minacce è cambiato. Le reti con PSK condivisa sono sempre più considerate un rischio di conformità, non solo un inconveniente di sicurezza. Organi di regolamentazione, revisori e assicuratori informatici pongono domande sempre più stringenti sul controllo degli accessi alla rete. E la buona notizia è che il RADIUS erogato via cloud ha reso l'autenticazione 802.1X realmente distribuibile su scala, senza i costi di infrastruttura on-premises che un tempo la rendevano impraticabile per le proprietà distribuite. Quindi, entriamo nel vivo. --- APPROFONDIMENTO TECNICO (circa 5 minuti) --- Per prima cosa, assicuriamoci di partire tutti dalla stessa definizione. L'IEEE 802.1X è uno standard di controllo degli accessi alla rete basato su porta. Definisce un framework di autenticazione che opera al Livello 2 del modello OSI - quindi interviene prima ancora che a un dispositivo venga concessa qualsiasi connettività IP. Questa è la differenza chiave rispetto all'autenticazione a livello applicativo. Con l'802.1X, un dispositivo non può accedere alla rete finché non è stato autenticato positivamente. Il protocollo si compone di tre elementi. Il supplicant - ossia il dispositivo finale, che si tratti di un laptop, di uno smartphone o di un terminale point-of-sale. L'authenticator - tipicamente il vostro access point WiFi o lo switch gestito. E l'authentication server - che nelle distribuzioni moderne è il vostro servizio RADIUS in cloud. Il flusso funziona in questo modo. Un dispositivo tenta di associarsi a un access point. L'access point non concede immediatamente l'accesso completo alla rete. Al contrario, apre una porta controllata e avvia uno scambio EAP - l'Extensible Authentication Protocol - con il dispositivo. Il dispositivo presenta le proprie credenziali, che possono essere un nome utente e una password, un certificato digitale o un'identità basata su SIM. L'access point inoltra lo scambio al server RADIUS utilizzando il protocollo RADIUS su UDP, solitamente sulla porta 1812 per l'autenticazione e 1813 per l'accounting. Il server RADIUS convalida le credenziali confrontandole con un archivio di identità - Active Directory, Azure AD o una directory LDAP - e restituisce un messaggio di Access-Accept o di Access-Reject. Se accettato, l'access point apre la porta e il dispositivo ottiene l'accesso alla rete. Se rifiutato, rimane bloccato. Semplice in teoria, ma i dettagli di implementazione contano enormemente. La selezione del metodo EAP è il punto in cui molte distribuzioni falliscono. Esistono diversi metodi EAP comunemente utilizzati, con profili di sicurezza e requisiti operativi molto diversi.EAP-TLS è lo standard di riferimento. Richiede un'autenticazione reciproca dei certificati - sia il server che il client presentano un certificato. Questo elimina completamente il rischio di furto delle credenziali, perché non ci sono password da rubare. Richiede tuttavia un'infrastruttura PKI e un meccanismo per distribuire i certificati client ai dispositivi, il che solitamente comporta l'uso di una soluzione MDM. Per gli ambienti aziendali BYOD e le implementazioni ad alta sicurezza, questa è la soluzione corretta. PEAP con MSCHAPv2 è il metodo più ampiamente implementato negli ambienti aziendali. Richiede solo un certificato sul lato server e incanala lo scambio di credenziali all'interno di un tunnel TLS. È compatibile nativamente con Active Directory, il che lo rende operativamente semplice. Il rischio è che sia vulnerabile alla raccolta di credenziali se gli utenti si connettono a un access point canaglia con un certificato autofirmato - pertanto, la convalida del certificato sul lato client è imprescindibile. EAP-TTLS è simile a PEAP ma è più flessibile nel metodo di autenticazione interno. È particolarmente utile in ambienti con dispositivi misti in cui è presente una combinazione di dispositivi Windows, macOS, iOS e Android con diverse funzionalità di supplicant. Per il supporto dei dispositivi legacy - come i vecchi hardware dei punti vendita o i sensori IoT - EAP-FAST può essere una scelta pragmatica, in quanto non richiede certificati e utilizza invece una Protected Access Credential. Ora, la parte relativa al RADIUS in cloud. Tradizionalmente, RADIUS era un servizio on-premises - FreeRADIUS su un server Linux o Microsoft NPS su Windows Server. Questo modello funziona, ma comporta costi operativi reali: manutenzione dell'hardware, configurazione dell'alta affidabilità, applicazione di patch e la necessità di un'infrastruttura locale in ogni sito che richieda un'autenticazione a bassa latenza. Il RADIUS in cloud cambia significativamente questo calcolo. Un servizio RADIUS in cloud è ospitato e gestito dal provider. I tuoi access point inviano le richieste RADIUS via Internet al servizio cloud, che gestisce l'autenticazione con il tuo identity provider. La preoccupazione relativa alla latenza è reale ma gestibile - i moderni servizi RADIUS in cloud sono distribuiti a livello globale e i cicli di autenticazione si completano solitamente in meno di 100 millisecondi, il che è impercettibile per gli utenti finali. L'integrazione con gli identity provider è la dipendenza critica. La maggior parte delle piattaforme RADIUS in cloud supporta LDAP, LDAPS, SAML 2.0 e l'integrazione diretta con Azure AD o Okta. Per le organizzazioni che utilizzano già Microsoft 365, l'integrazione con Azure AD è il percorso naturale - si ottengono single sign-on, criteri di accesso condizionale e l'applicazione dell'MFA, tutti integrati nel livello di controllo dell'accesso alla rete. Per le location che distribuiscono il guest WiFi insieme alle reti del personale, l'architettura in genere le separa in SSID distinti con diverse policy di autenticazione. Le reti del personale utilizzano l'autenticazione 802.1X con credenziali aziendali. Le reti ospiti utilizzano un captive portal o un flusso di login tramite social media. La piattaforma di Purple supporta entrambi i modelli e il livello di WiFi analytics si estende su entrambi, offrendo visibilità sul comportamento dei dispositivi, sul tempo di permanenza e sull'utilizzo della rete senza compromettere la segmentazione della sicurezza. --- RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE (circa 2 minuti) --- Ecco la sequenza pratica di implementazione, con la segnalazione dei problemi che riscontro più spesso. Inizia con l'integrazione dell'identity provider. Prima di toccare un singolo access point, conferma che il servizio cloud RADIUS sia in grado di autenticarsi con la tua directory. Effettua un test con un account di servizio, convalida il bind LDAP e conferma che gli attributi di appartenenza al gruppo vengano restituiti correttamente - poiché ne avrai bisogno per le policy di assegnazione VLAN. In secondo luogo, pianifica la strategia dei certificati. Se opti per EAP-TLS, hai bisogno di una CA, devi decidere se utilizzare una CA pubblica o interna e hai bisogno di un piano di implementazione MDM per i certificati client. Se opti per PEAP, hai bisogno di un certificato server rilasciato da una CA fidata - non autofirmato - e devi distribuire il certificato della CA a tutti i dispositivi client in modo che la convalida del certificato funzioni correttamente. Questo è il passaggio che spesso viene saltato, causando incidenti di sicurezza. In terzo luogo, configura i client RADIUS - ossia access point e controller - con la chiave segreta condivisa corretta e l'IP o il nome host del server. Utilizza una chiave segreta condivisa complessa e generata in modo casuale, non una parola da dizionario. E se il tuo provider cloud RADIUS supporta RADIUS su TLS - RadSec - utilizzalo. Crittografa il traffico RADIUS in transito, il che è particolarmente importante quando tale traffico attraversa l'internet pubblico. In quarto luogo, effettua un test con un gruppo pilota prima del roll-out completo. I fallimenti di autenticazione su larga scala sono dirompenti e difficili da diagnosticare sotto pressione. Esegui un progetto pilota con un numero di dispositivi da dieci a venti, convalida i log di autenticazione, conferma che l'assegnazione delle VLAN funzioni e verifica che i record di accounting vengano scritti correttamente. I problemi che riscontro più frequentemente: la convalida del certificato disabilitata sui client, che porta a vulnerabilità man-in-the-middle. Chiavi segrete condivise troppo corte o riutilizzate in più siti. L'allowlisting dell'IP del server RADIUS non configurato, con la conseguenza che le richieste di autenticazione provenienti da nuovi siti vengono scartate in modo silenzioso. E i profili MDM che non vengono aggiornati alla scadenza dei certificati, causando fallimenti di autenticazione di massa il giorno del rinnovo. --- DOMANDE E RISPOSTE RAPIDE (circa 1 minuto) --- Alcune domande che mi vengono poste regolarmente. Posso eseguire l'autenticazione 802.1X su una rete che ospita anche dispositivi IoT che non supportano l'EAP? Sì - utilizza il MAC Authentication Bypass come soluzione di ripiego per i dispositivi che non possono eseguire un supplicant, ma inserisci tali dispositivi in una VLAN limitata con regole firewall rigide. L'802.1X sostituisce la crittografia WPA2 o WPA3? No - l'802.1X gestisce l'autenticazione. Il WPA2-Enterprise o il WPA3-Enterprise gestiscono la crittografia. Sono necessari entrambi. Il WPA3-Enterprise con 802.1X rappresenta l'attuale best practice per le nuove implementazioni. Qual è l'impatto della latenza sull'autenticazione? Con un servizio RADIUS in cloud ben configurato, è prevedibile un tempo compreso tra 50 e 150 millisecondi per autenticazione. Per gli scenari di roaming, la transizione rapida BSS 802.11r può ridurre significativamente i tempi di riautenticazione. È conforme allo standard PCI-DSS? L'802.1X con EAP-TLS o PEAP su una rete adeguatamente segmentata soddisfa i requisiti Requirement 1 e Requirement 8 dello standard PCI-DSS per il controllo dell'accesso alla rete. Coinvolgete tempestivamente il vostro QSA. --- SINTESI E PROSSIMI PASSI (circa 1 minuto) --- In sintesi: l'802.1X con RADIUS in cloud è la risposta giusta per qualsiasi organizzazione che debba dimostrare il controllo dell'accesso alla rete ai revisori, ridurre il raggio d'azione di una violazione delle credenziali o gestire l'autenticazione a livello centrale in una rete distribuita. L'implementazione non è banale, ma è assolutamente gestibile con la giusta preparazione. Per prima cosa, configurate correttamente l'integrazione con l'identity provider. Scegliete il metodo EAP in base al parco dispositivi e alla capacità operativa di gestione dei certificati. Utilizzate RadSec se la vostra infrastruttura lo supporta. E testate il tutto prima di procedere alla distribuzione su larga scala. Se gestite una rete mista per ospiti e dipendenti - come la maggior parte degli operatori del settore hospitality e retail - piattaforme come Purple offrono la possibilità di gestire entrambi i modelli di autenticazione da un unico pannello di controllo, con il livello di analisi integrato in tutta la rete. Come prossimi passi: analizzate lo stato attuale del controllo degli accessi alla rete, identificate quali sedi utilizzano ancora PSK condivise e create un piano di migrazione graduale. Iniziate dai siti a più alto rischio - quelli soggetti a conformità PCI-DSS o che gestiscono dati sensibili - e procedete verso l'esterno. Grazie per l'attenzione. Altri briefing tecnici sono disponibili su purple.ai.