WPA2 Enterprise: La Guida Completa

Benvenuti al Technical Briefing di Purple. Sono il vostro ospite e oggi affronteremo una transizione infrastrutturale critica che quasi tutte le aziende in crescita si trovano a dover gestire: il passaggio da WPA2-Personal a WPA2-Enterprise. Se siete direttori IT, architetti di rete o gestite le operazioni per una grande struttura — che si tratti di una catena di negozi, un hotel o uno stadio — conoscete bene il problema della password WiFi condivisa. È scritta sulle lavagne. Viene condivisa con i collaboratori esterni. E quando un dipendente se ne va, cambiarla su centinaia di dispositivi è un incubo operativo. Aspetto ancora più importante, dal punto di vista della conformità, una chiave condivisa significa zero responsabilità. Non è possibile superare un audit rigoroso PCI DSS o ISO 27001 se non si è in grado di dimostrare esattamente chi era connesso alla rete in un dato momento. È qui che entra in gioco WPA2-Enterprise. Questo protocollo cambia radicalmente il paradigma. Invece di autenticare la posizione con una chiave condivisa, si autentica l'identità individuale. Ogni utente, ogni dispositivo, ottiene le proprie credenziali. E quando qualcuno se ne va, basta disabilitare il suo account — per escluderlo istantaneamente dalla rete. Nessuna rotazione delle password. Nessun ticket di helpdesk. Nessun rischio. Iniziamo con un po' di contesto. Il WPA2 — Wi-Fi Protected Access 2 — è lo standard di sicurezza wireless dominante dal 2004. È disponibile in due versioni. Il WPA2-Personal, chiamato anche PSK o Pre-Shared Key, è quello utilizzato dalla maggior parte delle case e dei piccoli uffici. Una sola password, condivisa da tutti. WPA2-Enterprise è la versione progettata per le organizzazioni. Utilizza lo standard IEEE 802.1X per autenticare ogni utente o dispositivo singolarmente attraverso un server di autenticazione centrale. Ora, approfondiamo l'architettura tecnica, perché comprenderla è fondamentale per implementarla correttamente. Il WPA2-Enterprise si basa su tre componenti che lavorano all'unisono. Innanzitutto, il Supplicant — ovvero il dispositivo client. Il computer portatile, lo smartphone, il sensore IoT. È l'entità che richiede l'accesso alla rete. In secondo luogo, l'Authenticator — ovvero l'access point wireless o, in un contesto cablato, uno switch gestito. Si trova ai margini della rete e applica le policy. Blocca tutto il traffico, ad eccezione delle richieste di autenticazione, finché il server centrale non dà il via libera. In terzo luogo, l'Authentication Server — in genere un server RADIUS. RADIUS sta per Remote Authentication Dial-In User Service. È il cervello dell'operazione. Riceve la richiesta di autenticazione dall'Access Point, convalida le credenziali confrontandole con un archivio di identità come Active Directory o una directory LDAP e restituisce una risposta di Access-Accept o Access-Reject. Ecco l'aspetto chiave: l'Access Point non vede mai la password. Si limita a trasmettere lo scambio di autenticazione crittografato tra il client e il server RADIUS. Questa separazione delle funzioni è ciò che rende l'architettura sia scalabile che verificabile. Ora, all'interno di questo framework, lo scambio effettivo delle credenziali è gestito da EAP — l'Extensible Authentication Protocol. E il metodo EAP che scegli definisce sia il tuo livello di sicurezza sia la complessità di implementazione. Ci sono due metodi che incontrerai più frequentemente nelle implementazioni aziendali. Il primo è PEAP, o Protected EAP. Questo è il metodo più diffuso. Ecco come funziona: il server RADIUS presenta un certificato digitale al dispositivo client. Il client convalida quel certificato — confermando essenzialmente che sta comunicando con la rete reale e non con un imitatore. Una volta stabilito questo rapporto di fiducia, viene creato un tunnel TLS sicuro. All'interno di quel tunnel, l'utente si autentica con le proprie credenziali standard — nome utente e password — in genere le proprie credenziali di Active Directory. PEAP è diffuso perché è relativamente semplice da implementare. Gli utenti conoscono già le proprie password. Non è necessario distribuire certificati ai dispositivi client. Tuttavia, presenta un punto debole: se un utente è disattento e accetta un certificato del server fraudolento, potrebbe connettersi a un access point canaglia — quello che chiamiamo attacco Evil Twin — e le sue credenziali potrebbero essere sottratte. Il secondo metodo è EAP-TLS, e questo rappresenta il gold standard per gli ambienti ad alta sicurezza. EAP-TLS richiede un'autenticazione reciproca basata su certificati. Sia il server sia il dispositivo client devono presentare certificati validi. Non ci sono password in transito in alcun momento. Poiché non ci sono password da rubare, gli attacchi di phishing vengono completamente neutralizzati. Il compromesso è la complessità di implementazione. È necessaria un'infrastruttura a chiave pubblica (PKI) per emettere e gestire i certificati client. Inoltre, serve una piattaforma di Mobile Device Management per inviare in modo silenzioso tali certificati ai dispositivi. Se ti affidi agli utenti per l'installazione manuale dei certificati, il tuo helpdesk sarà sovraccaricato. Ma per gli ambienti in cui la sicurezza è fondamentale — servizi finanziari, pubblica amministrazione, sanità — EAP-TLS è l'unica scelta difendibile. Quindi, come si implementa concretamente tutto questo? Permettimi di guidarti attraverso le fasi chiave. La fase uno è la preparazione dell'infrastruttura. Il tuo server RADIUS è ora una dipendenza critica per il percorso di rete. Se smette di funzionare, nessuno può accedere al WiFi. Questa non è una ridondanza opzionale — è essenziale. Per ambienti distribuiti come catene di negozi o gruppi alberghieri, prendi in considerazione i servizi RADIUS ospitati in cloud. Offrono ridondanza integrata ed eliminano la necessità di gestire server on-premise in ogni sede. Assicurati che il tuo server RADIUS sia integrato con il tuo provider di identità centrale. Per la maggior parte delle organizzazioni, si tratta di Azure Active Directory o Active Directory on-premise tramite LDAP. La seconda fase è la gestione dei certificati, se si opta per EAP-TLS. Automatizzate tutto. Utilizzate la vostra piattaforma MDM — Intune, Jamf o qualsiasi altra cosa abbiate — per distribuire i certificati in modo invisibile sui dispositivi aziendali. Per gli scenari BYOD, prendete in considerazione un portale di onboarding. Prodotti come SecureW2 o Foxpass possono automatizzare l'installazione del profilo di configurazione per i dispositivi personali, riducendo drasticamente il volume di richieste all'helpdesk. La terza fase è il rollout vero e proprio. Non effettuate una transizione immediata e totale. Non lo sottolineerò mai abbastanza. Non disattivate la rete PSK il lunedì mattina pretendendo che tutto funzioni. Iniziate con un gruppo pilota — il team IT è la scelta più ovvia. Poi estendete a un singolo piano, a un singolo reparto, a un singolo sito. Monitorate i registri RADIUS in modo maniacale durante questa fase. I timeout di autenticazione indicano solitamente un problema di instradamento di rete tra gli Access Point e il server RADIUS. Gli errori di attendibilità del certificato significano che il certificato root della CA non è stato distribuito correttamente sugli endpoint. Ora vorrei parlarvi di una delle funzionalità più potenti — e meno utilizzate — di WPA2-Enterprise: la Dynamic VLAN Assignment. In un ambiente PSK, in genere si trasmettono più SSID per separare i diversi gruppi di utenti. Il personale su un SSID, i terminali dei punti vendita su un altro, i dispositivi IoT su un terzo. Ogni SSID aggiuntivo appesantisce l'ambiente delle frequenze radio. In un negozio affollato o in uno stadio, questo inquinamento RF può degradare sensibilmente le prestazioni. Con WPA2-Enterprise e la Dynamic VLAN Assignment, è possibile trasmettere un singolo SSID e lasciare che sia il server RADIUS a decidere su quale segmento di rete inserire ciascun dispositivo. Quando un cassiere si autentica, il server RADIUS restituisce attributi che indicano all'Access Point di collocare la sessione sulla VLAN 10 — il segmento conforme agli standard PCI. Quando si autentica un direttore di negozio, questo finisce sulla VLAN 20 — il segmento aziendale. Stesso SSID, reti diverse, il tutto controllato dall'identità. È elegante, scalabile e rappresenta una semplificazione operativa significativa. Per i gestori di grandi spazi in particolare — hotel, centri congressi, stadi — c'è una considerazione aggiuntiva: la rete ospiti. WPA2-Enterprise è sempre più rilevante per l'accesso gestito degli ospiti, non solo per le reti del personale. Piattaforme come Purple forniscono la gestione delle identità per l'accesso sicuro a WiFi. Con la licenza Connect, Purple funge da identity provider gratuito e supporta OpenRoaming — uno standard che consente agli utenti di spostarsi in modo fluido e sicuro tra le reti partecipanti senza doversi autenticare nuovamente. Questo è particolarmente vantaggioso per i visitatori frequenti, come i delegati di conferenze o i membri di programmi fedeltà. Permettetemi ora di illustrare le modalità di guasto più comuni, perché sapere cosa può andare storto è già metà dell'opera. Il primo è l'avviso di certificato server non attendibile. Se i client visualizzano un messaggio che indica che non è possibile verificare il certificato del server, significa che il certificato del server RADIUS è scaduto, è autofirmato senza che la CA radice sia stata distribuita ai client, o è stato emesso da una CA non considerata attendibile dal dispositivo. La soluzione: utilizzare un certificato di una CA pubblica già presente nell'archivio radice attendibile del dispositivo, oppure assicurarsi che la radice della CA interna sia distribuita tramite Criteri di gruppo o MDM. Il secondo è il timeout RADIUS. Questo si manifesta con i client che rimangono bloccati nella schermata di autenticazione prima di fallire. La causa è quasi sempre un problema di percorso di rete: l'Access Point non riesce a raggiungere il server RADIUS o la risposta viene bloccata da un firewall. Verificare le regole del firewall per le porte UDP 1812 e 1813, che sono le porte standard di autenticazione e accounting RADIUS. Il terzo è il problema IoT. Molti dispositivi legacy (stampanti, controller HVAC, lettori di controllo accessi) semplicemente non supportano lo standard 802.1X. Sarà necessario mantenere una strategia separata per questi dispositivi. Le opzioni includono il MAC Authentication Bypass, in cui il dispositivo si autentica utilizzando il proprio indirizzo MAC anziché le credenziali, o il Multi-PSK, in cui ogni dispositivo riceve una chiave precondivisa univoca. Nessuna delle due opzioni è sicura quanto lo standard 802.1X, ma rappresentano soluzioni pragmatiche per l'hardware legacy. Ora parliamo dell'impatto sul business e del ROI, perché questo non è solo un progetto di sicurezza, ma un progetto di efficienza operativa. Il ROI più immediato deriva dall'eliminazione della rotazione delle password. Ogni volta che si cambia una password WiFi condivisa, il reparto IT deve aggiornare ogni singolo dispositivo sulla rete. In una catena di negozi con 50 sedi, si tratta potenzialmente di migliaia di aggiornamenti di dispositivi. Con WPA2-Enterprise, il deprovisioning di un dipendente è un'unica azione in Active Directory. Il secondo fattore di ROI è la conformità. Per qualsiasi organizzazione soggetta a PCI DSS (ovvero chiunque elabori pagamenti con carta), la capacità di dimostrare i log di accesso alla rete per singolo utente rappresenta un notevole vantaggio in fase di audit. Lo stesso vale per il GDPR, in cui la dimostrazione di un accesso controllato ai sistemi che trattano dati personali è sempre più monitorata. Il terzo è la network intelligence. L'autenticazione per singolo utente fornisce dati dettagliati alla piattaforma di gestione della rete. È possibile vedere esattamente quali dispositivi sono in rete, quando si sono connessi, quanta larghezza di banda hanno consumato e da quale posizione. Questi dati sono preziosi per la pianificazione della capacità e per rilevare comportamenti anomali. Vorrei concludere con una sessione di domande e risposte rapide sui quesiti che sento più spesso. Possiamo eseguire WPA2-Enterprise insieme alla nostra rete PSK esistente? Assolutamente sì, ed è consigliabile farlo durante la transizione. Eseguitele in parallelo, migrate gli utenti a lotti e disattivate la rete PSK una volta completata la migrazione. Dobbiamo sostituire i nostri Access Point? Non necessariamente. La maggior parte degli Access Point di livello enterprise di produttori come Cisco, Aruba, Ruckus e Ubiquiti supporta lo standard 802.1X. Verificate la versione del firmware e assicuratevi che sia aggiornata. E per quanto riguarda il WPA3-Enterprise? Dovremmo aspettare? Il WPA3-Enterprise aggiunge requisiti crittografici più rigorosi, tra cui la modalità di sicurezza a 192 bit per ambienti ad alta affidabilità. Se oggi state distribuendo una nuova infrastruttura, scegliete hardware che supporti il WPA3. Ma non lasciate che il meglio sia nemico del bene: il WPA2-Enterprise rappresenta un enorme miglioramento della sicurezza rispetto alla chiave PSK ed è la mossa giusta da fare ora. Quanto dura solitamente un'implementazione tipica? Per un'organizzazione a sede singola con Active Directory esistente, un'implementazione PEAP di base può essere completata in pochi giorni. Un'implementazione EAP-TLS multi-sede con integrazione MDM richiede in genere da quattro a otto settimane, inclusa la fase pilota. Per riassumere i punti chiave del briefing di oggi. Uno: il WPA2-Enterprise autentica le singole identità, non le posizioni condivise. Questo è il cambiamento fondamentale. Due: scegliete PEAP per ambienti BYOD e basati su credenziali; scegliete EAP-TLS per ambienti ad alta sicurezza e con dispositivi gestiti. Tre: il vostro server RADIUS è un'infrastruttura critica — integrate la ridondanza fin dal primo giorno. Quattro: utilizzate l'assegnazione dinamica delle VLAN per semplificare il vostro ambiente RF mantenendo una rigorosa segmentazione della rete. Cinque: pianificate separatamente i dispositivi IoT — non supporteranno l'802.1X. Sei: non effettuate mai una transizione immediata e totale. Scaglionate il rollout e monitorate attentamente i log RADIUS. Per la guida completa all'implementazione, i diagrammi architetturali e gli esempi pratici, consultate la guida scritta completa sul sito web di Purple. Grazie per l'ascolto e buon lavoro con la vostra installazione.