WiFi BYOD sicuro: onboarding con certificati Passpoint vs xPSK (iPSK)

I programmi Bring Your Own Device (BYOD) sono ormai uno standard negli uffici aziendali, nelle strutture sanitarie e nei campus universitari. Tuttavia, la connessione di smartphone, tablet e laptop non gestiti a una rete aziendale rappresenta una sfida di sicurezza fondamentale per gli amministratori di rete.

Le chiavi precondivise (PSK) WPA2/3-Personal legacy si diffondono rapidamente tra il personale, lasciando le reti vulnerabili ad accessi non autorizzati e all'ispezione dei pacchetti. Al contrario, la registrazione tradizionale dei certificati 802.1X EAP-TLS genera spesso un elevato volume di richieste di assistenza se distribuita su dispositivi personali senza agenti di Mobile Device Management (MDM).

Per proteggere i dispositivi BYOD senza aumentare i costi operativi, i team di ingegneria di rete scelgono tra due moderni modelli architetturali: la registrazione dei certificati Passpoint (Hotspot 2.0) e le soluzioni xPSK (Identity PSK) specifiche del fornitore.

-

Il problema della sicurezza BYOD

I modelli di autenticazione WiFi standard non funzionano sui dispositivi personali non gestiti per tre ragioni principali:

1. Fuga di chiavi condivise: una singola password WPA2/3-Personal condivisa tra il personale viene compromessa non appena un dipendente lascia l'azienda o la condivide con un visitatore.
2. Mancanza di attribuzione dell'identità: le chiavi condivise non forniscono alcun registro di controllo che colleghi il traffico di rete individuale o gli indirizzi MAC alle identità dei singoli dipendenti nel provider di identità (Entra ID, Okta o Google Workspace).
3. Complessità del supplicant: la configurazione manuale di 802.1X EAP-TLS o PEAP richiede agli utenti di considerare attendibili manualmente i certificati root CA, selezionare i metodi EAP e inserire i nomi di dominio, con conseguenti errori di connessione e ticket di supporto.

-

Approccio 1: Passpoint e registrazione sicura dei certificati del personale

Passpoint (IEEE 802.11u / Hotspot 2.0) stabilisce una sicurezza 802.1X EAP-TLS di livello aziendale e zero-touch sui dispositivi personali senza richiedere la configurazione manuale del supplicant o la registrazione MDM.

Come funziona la registrazione Passpoint

1. Autenticazione dell'identità: il dipendente effettua l'accesso tramite un portale web di onboarding utilizzando le credenziali di Single Sign-On (SSO) esistenti (Entra ID, Okta, Google Workspace o SAML 2.0).
2. Generazione del profilo: la piattaforma Purple fornisce un profilo di rete univoco e firmato contenente un certificato client individuale e una root CA RADIUS attendibile.
3. Provisioning zero-touch: su iOS, Android, macOS e Windows 11, l'utente tocca una sola volta per installare il profilo o il file di configurazione.
4. Connessione automatica: il dispositivo rileva e si connette automaticamente a qualsiasi rete abilitata per Passpoint in tutto il mondo utilizzando WPA3-Enterprise 802.1X EAP-TLS.

Vantaggi chiave di Passpoint per il BYOD

• Associazione dell'identità individuale: ogni pacchetto è crittografato e collegato direttamente all'account utente del dipendente.

• Revoca immediata: quando un dipendente lascia l'azienda, la revoca della sua identità in Entra ID o Okta interrompe immediatamente il suo certificato Passpoint in tutti i siti.

• Roaming tra più sedi: i dipendenti si connettono automaticamente nelle filiali e nelle sedi remote senza dover reinserire le credenziali.

Approccio 2: Vendor xPSK (Identity Pre-Shared Keys)

Per gli ambienti in cui 802.1X EAP-TLS non è fattibile - come i dispositivi personali legacy o l'hardware BYOD senza interfaccia utente - le implementazioni xPSK specifiche del vendor offrono la sicurezza di chiavi individuali su SSID WPA2/3-Personal standard.

Varianti di implementazione dei vendor hardware

I diversi produttori di hardware wireless implementano la tecnologia delle chiavi pre-condivise con nomi differenti:

• Cisco / Meraki - iPSK (Identity PSK) / easyPSK: Associa chiavi pre-condivise individuali a profili utente RADIUS specifici, consentendo l'assegnazione di VLAN per utente e l'applicazione di policy firewall su un unico SSID WPA2-Personal.
• Ruckus Wireless - DPSK (Dynamic PSK): Genera chiavi passphrase uniche per utente o dispositivo tramite Ruckus Cloud / SmartZone, collegate automaticamente agli indirizzi MAC.
• Extreme Networks - PPSK (Private PSK): Assegna chiavi personalizzate per utente con date di scadenza automatizzate e limiti di larghezza di banda individuali.
• Fortinet / FortiAP - MPSK (Multiple PSK): Si integra con i controller wireless FortiGate per assegnare chiavi uniche collegate a FortiAuthenticator o a database utenti RADIUS esterni.
• HPE Aruba Networking - ePSK (Enhanced PSK): Combina i ruoli utente locali e l'applicazione delle policy ClearPass con chiavi PSK per dispositivo.
• Ubiquiti UniFi - PPSK (Private Pre-Shared Key): Assegna chiavi distinte a VLAN di destinazione specifiche su un SSID unificato.

Vantaggi chiave di xPSK

• Supporto universale per i dispositivi: Funziona su reti standard WPA2/3-Personal, garantendo la compatibilità con i dispositivi che non dispongono di supplicant 802.1X EAP.
• Eliminazione isolata delle chiavi: L'eliminazione della chiave di un singolo utente non interrompe la connessione di nessun altro utente sulla rete.
• Instradamento VLAN e policy: Il Cloud RADIUS assegna singoli utenti o tipi di dispositivi a VLAN isolate in base alla loro chiave unica.

---

Confronto tecnico: Passpoint EAP-TLS vs xPSK

Funzionalità di architettura	Passpoint (EAP-TLS)	Vendor xPSK (iPSK/DPSK/PPSK)
Protocollo di autenticazione	WPA2/WPA3-Enterprise (802.1X)	WPA2/WPA3-Personal (WPA-PSK)
Livello di sicurezza	EAP-TLS basato su certificati	Chiave di crittografia AES unica per utente
Onboarding dell'utente	Download del profilo / app con un tocco	Portale self-service o invio chiave via SMS
Supporto dispositivi	Smartphone, tablet, laptop	Tutti i dispositivi WiFi (inclusi legacy/IoT)
Sincronizzazione Identity Provider	Revoca SCIM / SAML in tempo reale	Cloud RADIUS / mappatura delle chiavi tramite API
Roaming multi-sede	Roaming automatico senza interruzioni	Richiede un backend RADIUS sincronizzato

---

Raccomandazione architetturale per l'IT aziendale

Per una sicurezza BYOD e un'esperienza utente ottimali, i team IT aziendali implementano una strategia a due livelli:

1. BYOD principale per personale e studenti: Distribuisci l'onboarding con certificato Passpoint EAP-TLS tramite Purple Staff Secure per tutti i laptop, tablet e smartphone personali. In questo modo si applica la sicurezza 802.1X zero-trust collegata al tuo identity provider.
2. Dispositivi specializzati e legacy: utilizza cloud RADIUS xPSK (iPSK/PPSK) per i dispositivi personali che non possono elaborare i profili Passpoint, garantendo che ogni dispositivo riceva una chiave individuale e un'assegnazione VLAN isolata.