Guida alla sicurezza WPA3: spiegazione di SAE, OWE, Enterprise 192-Bit Mode e PMF

WPA3: la sicurezza WiFi di nuova generazione spiegata. Un briefing tecnico Purple. Benvenuti. Se siete responsabili di una rete che serve ospiti, clienti o il pubblico, questo briefing fa al caso vostro. Nei prossimi dieci minuti vi guiderò alla scoperta di WPA3: cosa cambia concretamente, perché è importante per la vostra organizzazione in questo momento e come pianificare una migrazione pratica senza interrompere le vostre attività. Iniziamo con un po' di contesto. La sicurezza WiFi è stata dominata da WPA2 fin dal 2004. Parliamo di oltre venti anni fa. In termini tecnologici, si tratta di un'eternità. WPA2 era solido per l'epoca, ma è stato progettato prima che gli smartphone diventassero onnipresenti, prima dell'esplosione dei dispositivi IoT e prima che il panorama delle minacce si evolvesse fino a includere i sofisticati attacchi di intercettazione passiva che vediamo oggi. La Wi-Fi Alliance ha ratificato WPA3 nel 2018 e, da allora, l'adozione ha subito un'accelerazione - in particolare negli ambienti aziendali e nei luoghi pubblici dove la posta in gioco è più alta. Quindi, cosa c'è di nuovo in concreto? Ci sono quattro novità principali che è fondamentale comprendere. Primo: la Simultaneous Authentication of Equals, o SAE. Questa sostituisce l'handshake Pre-Shared Key utilizzato da WPA2. Il problema con la PSK è ampiamente documentato - se un utente malintenzionato cattura l'handshake a quattro vie tra un client e il vostro access point, può portarlo offline ed eseguire attacchi a dizionario all'infinito. La SAE elimina completamente questo vettore di attacco. Utilizza uno scambio di chiavi in stile Diffie-Hellman in cui entrambe le parti dimostrano la conoscenza della password senza mai trasmetterla. Anche se qualcuno cattura ogni singolo pacchetto dello scambio di autenticazione, non può derivarne la chiave di sessione. Si tratta di un miglioramento architetturale fondamentale, non di una semplice patch incrementale. Secondo: la Forward Secrecy. Questo è senza dubbio il vantaggio operativo più importante per i gestori di spazi fisici. Con WPA2, se un utente malintenzionato registra oggi il traffico crittografato e successivamente ottiene la password di rete - a causa di un dipendente scontento, di un attacco di phishing o di una violazione dei dati - può decrittografare retroattivamente tutto ciò che ha registrato. Con la SAE di WPA3, ogni sessione genera una chiave effimera unica. Anche se la password venisse compromessa domani, il traffico di ieri rimarrebbe comunque crittografato. Per i settori dell'ospitalità che gestiscono i dati di pagamento degli ospiti, o per le reti retail che elaborano transazioni di programmi fedeltà, questa rappresenta una significativa mitigazione del rischio. Terzo: Opportunistic Wireless Encryption, o OWE. Questa è la vera svolta per il WiFi pubblico. Oggi, quando un ospite si connette alla tua rete aperta - quella senza password - il suo traffico viene trasmesso in chiaro. Chiunque abbia un packet sniffer sulla stessa rete può leggerlo. OWE cambia questa situazione negoziando automaticamente una connessione crittografata tra ciascun client e l'access point, senza richiedere alcuna password e senza modificare l'esperienza utente. L'ospite deve solo fare clic su "connetti" - ma ora la sua sessione è crittografata. Questo è ciò che la Wi-Fi Alliance definisce Enhanced Open, ed è direttamente rilevante per gli obblighi di conformità GDPR relativi alla protezione dei dati personali in transito. Quarto: WPA3-Enterprise con sicurezza a 192 bit. Per le organizzazioni che operano in settori regolamentati - servizi finanziari, sanità, pubblica amministrazione - WPA3-Enterprise introduce una modalità di sicurezza minima a 192 bit allineata con la suite Commercial National Security Algorithm. Questa modalità utilizza GCMP-256 per la crittografia e HMAC-SHA-384 per il controllo dell'integrità, rispetto al CCMP a 128 bit utilizzato in WPA2-Enterprise. Se operi in conformità con PCI DSS, HIPAA o framework simili, questo risponde direttamente ai requisiti di crittografia della rete wireless. Ora parliamo di architettura. Come si presenta in pratica un deployment WPA3? Per un hotel o un centro congressi, in genere si utilizza un deployment suddiviso. La rete aziendale per il personale interno esegue WPA3-Enterprise con autenticazione IEEE 802.1X rispetto a un server RADIUS - integrazione con Active Directory, EAP basato su certificati, l'intero stack. La rete dedicata agli ospiti esegue WPA3-Personal con SAE, o Enhanced Open con OWE, a seconda che si utilizzi un Captive Portal per l'acquisizione dei dati. È qui che piattaforme come la soluzione Guest WiFi di Purple diventano rilevanti. Purple si colloca tra l'access point e Internet, gestendo il Captive Portal, il flusso di consenso per la conformità GDPR e il livello di analytics. Quando applichi il protocollo OWE di WPA3 al di sotto del portale di Purple, ottieni un trasporto crittografato dal dispositivo all'access point, oltre a un meccanismo conforme di acquisizione dati al di sopra di esso. I due elementi lavorano in parallelo - OWE gestisce la sicurezza a livello radio, Purple gestisce il livello di identità e consenso. Si tratta di una netta separazione delle competenze. Per gli ambienti retail, il calcolo è leggermente diverso. Spesso si ha a che fare con un mix di dispositivi aziendali - terminali POS, scanner di inventario - e dispositivi degli ospiti. WPA3-Enterprise su un SSID dedicato per i dispositivi aziendali, WPA3-Personal o OWE per la rete rivolta ai clienti. La considerazione operativa chiave è la segmentazione VLAN - assicurati che il traffico degli ospiti non tocchi mai lo stesso segmento di rete della tua infrastruttura di pagamento. Questo è un requisito PCI DSS indipendentemente dalla versione WPA, ma WPA3 rende il livello wireless di tale segmentazione notevolmente più robusto. Permettimi di illustrare uno scenario di implementazione specifico. Un gruppo alberghiero da 500 camere con dodici proprietà desidera migrare da WPA2 a WPA3. Ecco come affronterei la cosa. La prima fase è la valutazione. Esegui un audit delle versioni del firmware dei tuoi access point in tutti i dodici siti. La maggior parte degli AP di livello enterprise dei principali produttori - Cisco, Aruba, Ruckus, Ubiquiti - supporta WPA3 dal 2019 o 2020 tramite aggiornamenti del firmware. Potrebbe non essere necessario un nuovo hardware. Contemporaneamente, effettua un audit del parco dispositivi client. WPA3 richiede il supporto lato client. I moderni dispositivi iOS e Android lo supportano dal 2019. Windows 10 versione 1903 e successive lo supportano. La sfida è rappresentata dall'IoT legacy - smart TV, vecchi sistemi di controllo delle stanze, laptop più vecchi. Questi dovranno connettersi tramite la modalità di transizione WPA2. La seconda fase è l'implementazione della modalità di transizione. La modalità di transizione WPA3 consente a un SSID di supportare contemporaneamente sia i client WPA2 che WPA3. Questa è la tua rampa di migrazione. Distribuiscila in tutte le proprietà, monitora quali dispositivi si connettono tramite WPA3 rispetto a WPA2 e utilizza questi dati per identificare la coda dei tuoi dispositivi legacy. In genere, entro sei-dodici mesi, la stragrande maggioranza dei dispositivi degli ospiti si connetterà nativamente tramite WPA3. La terza fase è l'applicazione completa di WPA3. Una volta che la popolazione di dispositivi legacy scende al di sotto di una soglia accettabile - e dopo aver sostituito o isolato tali dispositivi - puoi disattivare completamente WPA2 sugli SSID degli ospiti. A questo punto, ogni connessione è protetta da SAE e dalla forward secrecy. Il livello di analytics è fondamentale in questo contesto. La piattaforma Purple WiFi Analytics ti offre visibilità sui tipi di connessione, sulle categorie di dispositivi e sui dati di sessione che ti aiutano a monitorare i progressi della migrazione in tutto il tuo patrimonio. Puoi vedere, proprietà per proprietà, quale percentuale di connessioni è compatibile con WPA3, il che orienta la tua timeline per la fase tre. Ora, i potenziali ostacoli. Ci sono alcuni elementi che mettono costantemente a rischio le implementazioni WPA3. Il primo è il flooding di frame di conferma SAE. Alcune delle prime implementazioni WPA3 erano vulnerabili ad attacchi Denial-of-Service mirati al processo di handshake SAE. Assicurati che il firmware del tuo AP sia aggiornato - i produttori hanno rilasciato patch per questo nel 2019 e nel 2020. Questo non è un motivo per evitare WPA3; è un motivo per mantenere aggiornato il firmware, cosa che dovresti fare a prescindere. Il secondo è la performance in modalità mista. In modalità di transizione, l'access point deve gestire sia gli handshake WPA2 che WPA3. Su implementazioni ad alta densità - l'atrio di uno stadio, un centro congressi durante un grande evento - questo può aggiungere un sovraccarico marginale. In pratica, sull'hardware moderno, questo è trascurabile. Ma se utilizzi access point molto vecchi, tienine conto nella pianificazione della capacità. Il terzo è la compatibilità del Captive Portal con OWE. Alcune implementazioni di Captive Portal più vecchie non gestiscono correttamente OWE, perché sono state create presupponendo reti aperte. Se utilizzi una piattaforma come Purple, questo viene gestito automaticamente. Se utilizzi un portale personalizzato, testalo esplicitamente con client compatibili con OWE prima del rilascio. Facciamo una sessione di domande e risposte rapide sulle domande che sento più spesso. "WPA3 rallenta la mia rete?" No. L'handshake SAE aggiunge pochi millisecondi all'associazione iniziale. Una volta stabilita la connessione, il throughput è identico. Il passaggio della cifratura da CCMP a GCMP offre in realtà prestazioni migliori sull'hardware moderno. "Ho bisogno di nuovi access point?" Probabilmente no. La maggior parte degli AP aziendali prodotti dopo il 2018 supporta WPA3 tramite firmware. Verifica le note di rilascio del tuo fornitore. "E per i dispositivi IoT che non supportano WPA3?" Configurali su un SSID dedicato che esegue WPA2, isolato nella propria VLAN. Questa è una pratica standard di segmentazione della rete. "WPA3 è obbligatorio?" Non ancora a livello universale, ma la Wi-Fi Alliance richiede la certificazione WPA3 per tutti i nuovi dispositivi da luglio 2020. La pressione normativa è in aumento, in particolare nell'UE ai sensi del Cyber Resilience Act. Giocare d'anticipo è la scelta giusta. "WPA3 sostituisce la necessità di una VPN?" Per il traffico aziendale interno, no - la VPN rimane la best practice per l'accesso remoto. Per il traffico ospiti, WPA3 con OWE riduce significativamente il profilo di rischio delle reti aperte, ma agli ospiti che gestiscono transazioni personali sensibili dovrebbe comunque essere consigliato l'uso della propria VPN. Per riassumere: WPA3 non è un aggiornamento opzionale - è un miglioramento significativo dell'architettura di sicurezza che risolve vulnerabilità reali e documentate di WPA2. Il protocollo SAE elimina gli attacchi di tipo offline dictionary. La forward secrecy protegge il traffico storico. L'OWE crittografa le reti aperte senza attriti. La modalità Enterprise a 192 bit soddisfa gli standard richiesti per i settori regolamentati. Per i gestori di sedi e i team IT, il percorso di migrazione è chiaro: iniziare con un audit del firmware, distribuire la modalità di transizione, monitorare i dispositivi legacy rimanenti e pianificare l'applicazione completa di WPA3 entro dodici - diciotto mesi. Integra la tua piattaforma guest WiFi - che si tratti di Purple o di un'altra soluzione - su WPA3 per ottenere sia la sicurezza wireless sia le funzionalità di acquisizione dati, gestione del consenso e analisi necessarie ai tuoi team di marketing e operation. Se desideri approfondire il confronto tra WPA, WPA2 e WPA3 in tutte le loro varianti, Purple offre una guida dedicata su purple.ai che illustra l'intera storia del protocollo e il framework decisionale per scegliere lo standard giusto per ogni caso d'uso. Grazie per l'attenzione. Se hai trovato utile questo contenuto, condividilo con il tuo network architect o IT manager. Le decisioni che prenderai sulla sicurezza wireless quest'anno definiranno il tuo profilo di rischio per il prossimo decennio. Questo è stato un Purple Technical Briefing. Visita purple.ai per saperne di più sulle soluzioni enterprise guest WiFi e di analytics.