WPA2 Enterprise: La Guida Completa

Benvenuto al Technical Briefing di Purple. Sono il tuo presentatore e oggi affronteremo una transizione infrastrutturale critica che quasi tutte le aziende in crescita si trovano ad affrontare: il passaggio da WPA2-Personal a WPA2-Enterprise. Se sei un direttore IT, un network architect o gestisci le attività operative di una grande struttura - che si tratti di una catena retail, di un hotel o di uno stadio - conosci bene il problema della password WiFi condivisa. È scritta sulle lavagne. Viene condivisa con i collaboratori esterni. E quando un dipendente se ne va, modificarla su centinaia di dispositivi è un incubo operativo. Ancora più importante, dal punto di vista della conformità, una chiave condivisa significa zero responsabilità. Non è possibile superare un rigido audit PCI-DSS o ISO 27001 se non si può dimostrare esattamente chi era presente sulla rete in un determinato momento. È qui che entra in gioco WPA2-Enterprise. Questo protocollo cambia radicalmente il paradigma. Invece di autenticare la posizione con una chiave condivisa, si autentica l'identità individuale. Ogni utente, ogni dispositivo, riceve la propria credenziale. E quando qualcuno se ne va, basta disabilitare il suo account - e l'accesso alla rete viene revocato all'istante. Nessuna rotazione delle password. Nessun ticket di assistenza. Nessun rischio. Iniziamo con un po' di contesto. Il WPA2 - Wi-Fi Protected Access 2 - è lo standard di sicurezza wireless dominante dal 2004. È disponibile in due versioni. WPA2-Personal, chiamato anche PSK o Pre-Shared Key, è quello utilizzato nella maggior parte delle case e dei piccoli uffici. Una sola password, condivisa da tutti. WPA2-Enterprise è la versione progettata per le organizzazioni. Utilizza lo standard IEEE 802.1X per autenticare individualmente ogni utente o dispositivo tramite un server di autenticazione centrale. Ora approfondiamo l'architettura tecnica, perché comprenderla è fondamentale per implementarla correttamente. WPA2-Enterprise si basa su tre componenti che lavorano all'unisono. Primo, il Supplicant - ovvero il dispositivo client. Il computer portatile, lo smartphone, il sensore IoT. È l'entità che richiede l'accesso alla rete. Secondo, l'Authenticator - ovvero il tuo access point wireless o, in un contesto cablato, uno switch gestito. Si trova ai margini della rete e applica la policy. Blocca tutto il traffico, ad eccezione delle richieste di autenticazione, finché il server centrale non dà il via libera. Terzo, l'Authentication Server - in genere un server RADIUS. RADIUS sta per Remote Authentication Dial-In User Service. È il cervello dell'operazione. Riceve la richiesta di autenticazione dall'Access Point, convalida le credenziali confrontandole con un archivio di identità come Active Directory o una directory LDAP e restituisce una risposta di Access-Accept o Access-Reject. Ecco l'aspetto fondamentale: l'Access Point non vede mai la tua password. Si limita a trasmettere lo scambio di autenticazione crittografato tra il client e il server RADIUS. Questa separazione delle funzioni è ciò che rende l'architettura scalabile e verificabile. Ora, all'interno di questo framework, lo scambio effettivo di credenziali è gestito da EAP - l'Extensible Authentication Protocol. E il metodo EAP che scegli definisce sia la tua postura di sicurezza che la complessità di implementazione. Ci sono due metodi che incontrerai più frequentemente nelle installazioni aziendali. Il primo è PEAP, o Protected EAP. Questo è il metodo più ampiamente utilizzato. Ecco come funziona: il server RADIUS presenta un certificato digitale al dispositivo client. Il client valida quel certificato - confermando essenzialmente che sta comunicando con la rete reale e non con un imitatore. Una volta stabilita questa fiducia, viene creato un tunnel TLS sicuro. All'interno di quel tunnel, l'utente si autentica con il proprio nome utente e password standard - in genere le credenziali di Active Directory. PEAP è popolare perché è relativamente semplice da implementare. Gli utenti conoscono già le loro password. Non c'è bisogno di distribuire certificati ai dispositivi client. Tuttavia, presenta una debolezza: se un utente è disattento e accetta un certificato server fraudolento, potrebbe connettersi a un access point canaglia - quello che chiamiamo un attacco Evil Twin - e le sue credenziali potrebbero essere sottratte. Il secondo metodo è EAP-TLS, e questo rappresenta il gold standard per gli ambienti ad alta sicurezza. EAP-TLS richiede un'autenticazione reciproca basata su certificati. Sia il server che il dispositivo client devono presentare certificati validi. Non ci sono affatto password in transito. Poiché non c'è una password da rubare, gli attacchi di phishing vengono completamente neutralizzati. Il compromesso è la complessità di implementazione. È necessaria un'infrastruttura a chiave pubblica - una PKI - per emettere e gestire i certificati client. E hai bisogno di una piattaforma di Mobile Device Management per distribuire tali certificati in modo invisibile sui dispositivi. Se ti affidi agli utenti per installare i certificati manualmente, il tuo helpdesk sarà sommerso di richieste. Ma per gli ambienti in cui la sicurezza è fondamentale - servizi finanziari, settore pubblico, sanità - EAP-TLS è l'unica scelta difendibile. Quindi, come si implementa concretamente tutto questo? Lascia che ti illustri le fasi chiave. La prima fase è la preparazione dell'infrastruttura. Il tuo server RADIUS è ora una dipendenza di percorso critica. Se va giù, nessuno accede al WiFi. Questa non è una ridondanza opzionale - è essenziale. Per ambienti distribuiti come catene di vendita al dettaglio o gruppi alberghieri, prendi in considerazione i servizi RADIUS-as-a-Service ospitati in cloud. Offrono ridondanza integrata ed eliminano la necessità di gestire server on-premises in ogni sede. Assicurati che il tuo server RADIUS sia integrato con il tuo provider di identità centrale. Per la maggior parte delle organizzazioni, si tratta di Azure Active Directory o Active Directory on-premises tramite LDAP. La fase due è la gestione dei certificati, se si sceglie EAP-TLS. Automatizzate tutto. Utilizzate la vostra piattaforma MDM - Intune, Jamf o qualsiasi altra cosa abbiate - per inviare i certificati in modo silenzioso ai dispositivi aziendali. Per gli scenari BYOD, prendete in considerazione un portale di onboarding. Prodotti come SecureW2 o Foxpass possono automatizzare l'installazione del profilo di configurazione per i dispositivi personali, riducendo drasticamente il volume di richieste all'helpdesk. La fase tre è il rollout vero e proprio. Non effettuate un passaggio immediato. Non lo sottolineerò mai abbastanza. Non spegnete la rete PSK il lunedì mattina aspettandovi che tutto funzioni. Iniziate con un gruppo pilota - il team IT è la scelta più ovvia. Poi estendete a un singolo piano, a un singolo reparto, a un singolo sito. Monitorate i log RADIUS in modo ossessivo durante questa fase. I timeout di autenticazione indicano solitamente un problema di routing di rete tra gli Access Point e il server RADIUS. Gli errori di attendibilità dei certificati indicano che il certificato root della CA non è stato distribuito correttamente sugli endpoint. Ora vorrei parlarvi di una delle funzionalità più potenti - e meno utilizzate - di WPA2-Enterprise: l'assegnazione dinamica della VLAN. In un ambiente PSK, in genere si trasmettono più SSID per separare i diversi gruppi di utenti. Il personale su un SSID, i terminali dei punti vendita su un altro, i dispositivi IoT su un terzo. Ogni SSID aggiuntivo appesantisce l'ambiente delle frequenze radio. In un negozio affollato o in uno stadio, questo inquinamento RF può degradare notevolmente le prestazioni. Con WPA2-Enterprise e l'assegnazione dinamica della VLAN, è possibile trasmettere un singolo SSID e lasciare che sia il server RADIUS a decidere su quale segmento di rete inserire ciascun dispositivo. Quando un cassiere si autentica, il server RADIUS restituisce gli attributi che indicano all'Access Point di inserire quella sessione sulla VLAN 10 - il segmento conforme a PCI-DSS. Quando si autentica un direttore di negozio, questo finisce sulla VLAN 20 - il segmento aziendale. Stesso SSID, rete diversa, tutto controllato dall'identità. È elegante, è scalabile ed è una notevole semplificazione operativa. Specificamente per i gestori di grandi spazi - hotel, centri congressi, stadi - c'è un'ulteriore considerazione da fare: la rete ospiti. WPA2-Enterprise è sempre più rilevante per l'accesso gestito degli ospiti, non solo per le reti del personale. Piattaforme come Purple forniscono la gestione dell'identità per l'accesso sicuro a Internet WiFi. Con la licenza Connect, Purple funge da provider di identità gratuito e supporta OpenRoaming - uno standard che consente agli utenti di spostarsi in modo fluido e sicuro tra le reti aderenti senza doversi autenticare nuovamente. Questo è particolarmente vantaggioso per i visitatori frequenti, come i delegati di conferenze o i membri di programmi fedeltà. Vorrei ora illustrare le modalità di guasto più comuni, perché sapere cosa può andare storto è metà dell'opera. Il primo è l'avviso di certificato del server non attendibile. Se i client visualizzano un messaggio che indica che non è possibile verificare il certificato del server, significa che il certificato del vostro server RADIUS è scaduto, autofirmato senza che la CA radice sia distribuita ai client, o emesso da una CA non considerata attendibile dal dispositivo. La soluzione: utilizzare un certificato di una CA pubblica che si trova già nell'archivio radice attendibile del dispositivo, oppure assicurarsi che la CA radice interna sia distribuita tramite Criteri di gruppo o MDM. Il secondo è il timeout RADIUS. Questo si manifesta con i client che si bloccano nella schermata di autenticazione prima di fallire. La causa è quasi sempre un problema di percorso di rete - l'Access Point non riesce a raggiungere il server RADIUS, o la risposta viene bloccata da un firewall. Controllate le regole del firewall per le porte UDP 1812 e 1813, che sono le porte standard di autenticazione e accounting RADIUS. Il terzo è il problema legato all'IoT. Molti dispositivi legacy - stampanti, controller HVAC, lettori di controllo accessi - semplicemente non supportano lo standard 802.1X. Sarà necessario mantenere una strategia separata per questi dispositivi. Le opzioni includono il MAC Authentication Bypass, in cui il dispositivo si autentica utilizzando il proprio indirizzo MAC anziché le credenziali, o il Multi-PSK, in cui ogni dispositivo riceve una chiave pre-condivisa univoca. Nessuna delle due opzioni è sicura quanto lo standard 802.1X, ma sono soluzioni pragmatiche per l'hardware legacy. Ora parliamo dell'impatto sul business e del ROI, perché questo non è solo un progetto di sicurezza - è un progetto di efficienza operativa. Il ROI più immediato deriva dall'eliminazione della rotazione delle password. Ogni volta che una password WiFi condivisa viene modificata, l'IT deve aggiornare ogni singolo dispositivo sulla rete. In una catena di negozi con 50 punti vendita, ciò si traduce potenzialmente in migliaia di aggiornamenti di dispositivi. Con WPA2-Enterprise, la revoca di un dipendente è un'unica azione all'interno di Active Directory. Il secondo fattore di ROI è la conformità. Per qualsiasi organizzazione soggetta a PCI-DSS - il che significa chiunque elabori pagamenti con carta - la capacità di dimostrare log di accesso alla rete per singolo utente rappresenta un vantaggio significativo in fase di audit. Lo stesso vale per il GDPR, dove la dimostrazione di un accesso controllato ai sistemi che elaborano dati personali è sempre più sotto esame. Il terzo è l'intelligence di rete. L'autenticazione per singolo utente fornisce dati dettagliati alla vostra piattaforma di gestione della rete. Potete vedere esattamente quali dispositivi sono sulla rete, quando si sono connessi, quanta larghezza di banda hanno consumato e da quale posizione. Questi dati sono preziosi per la pianificazione della capacità e per il rilevamento di comportamenti anomali. Lasciatemi concludere con una sessione di domande e risposte rapide sulle domande che sento più spesso. Possiamo eseguire WPA2-Enterprise insieme alla nostra rete PSK esistente? Assolutamente sì, e dovreste farlo durante la transizione. Eseguitele in parallelo, migrate gli utenti a gruppi e disattivate la rete PSK una volta completata la migrazione. Dobbiamo sostituire i nostri Access Points? Non necessariamente. La maggior parte degli Access Points di livello enterprise di produttori come Cisco, Aruba, Ruckus e Ubiquiti supporta lo standard 802.1X. Verificate la versione del vostro firmware e assicuratevi che sia aggiornata. E per quanto riguarda WPA3-Enterprise? Dovremmo aspettare? WPA3-Enterprise aggiunge requisiti crittografici più complessi, tra cui la modalità di sicurezza a 192 bit per ambienti ad alta sicurezza. Se stai distribuendo una nuova infrastruttura oggi, scegli hardware che supporti WPA3. Ma non lasciare che il meglio sia nemico del bene - WPA2-Enterprise rappresenta un enorme miglioramento della sicurezza rispetto a PSK ed è la mossa giusta ora. Quanto dura una tipica implementazione? Per un'organizzazione a sede singola con Active Directory esistente, una distribuzione PEAP di base può essere completata in pochi giorni. Una distribuzione EAP-TLS multi-sede con integrazione MDM richiede in genere da quattro a otto settimane, inclusa la fase pilota. Per riassumere i punti chiave del briefing di oggi. Uno: WPA2-Enterprise autentica le singole identità, non le posizioni condivise. Questo è il cambiamento fondamentale. Due: Scegli PEAP per ambienti BYOD e basati su credenziali; scegli EAP-TLS per ambienti con dispositivi gestiti ad alta sicurezza. Tre: Il tuo server RADIUS è un'infrastruttura critica - pianifica la ridondanza fin dal primo giorno. Quattro: Utilizza l'assegnazione VLAN dinamica per semplificare il tuo ambiente RF mantenendo una rigorosa segmentazione della rete. Cinque: Pianifica i dispositivi IoT separatamente - non supporteranno 802.1X. Sei: Non eseguire mai un passaggio immediato. Pianifica la tua implementazione a fasi e monitora attentamente i log RADIUS. Per la guida completa all'implementazione, i diagrammi di architettura e gli esempi pratici, consulta la guida scritta completa sul sito web di Purple. Grazie per l'ascolto e buona fortuna con la tua implementazione.