WPA2 & WPA3-Enterprise. WiFi sicuro, senza la password condivisa.

WPA-Enterprise è la modalità di sicurezza IEEE 802.11 progettata per le organizzazioni. Invece di una singola password condivisa (WPA-Personal), ogni utente o dispositivo si autentica individualmente rispetto a un server RADIUS tramite 802.1X, tipicamente con un certificato (EAP-TLS) o nome utente e password (PEAP). Ogni sessione riceve una chiave di crittografia univoca e l'accesso può essere revocato per singolo dispositivo senza interrompere il resto della rete.

WPA3-Enterprise risolve le vulnerabilità note di WPA2-Enterprise. I cambiamenti più importanti: la validazione del certificato del server è ora obbligatoria (elimina il vettore di attacco evil-twin che affliggeva WPA2), i frame di gestione sono protetti e la modalità opzionale Suite B a 192 bit offre una crittografia di livello militare. WPA3-Enterprise è retrocompatibile con WPA2-Enterprise in modalità di transizione, consentendo un aggiornamento graduale.

Sono coinvolte tre parti. Il supplicant (dispositivo client) chiede di connettersi. L'authenticator (access point) mantiene il client in uno stato di quarantena e inoltra i suoi messaggi EAP a un server di autenticazione (RADIUS). Il server RADIUS convalida la credenziale - certificato, password o token - e comunica all'access point se ammettere o rifiutare. Ogni sessione riuscita riceve una chiave di crittografia univoca derivata dall'autenticazione, quindi un dispositivo compromesso non può decrittografarne un altro.

EAP-TLS utilizza un handshake TLS con autenticazione reciproca tramite certificato. Il client prova la sua identità con un certificato del dispositivo, il server prova la sua identità con un certificato del server e la chiave di sessione viene negoziata all'interno del tunnel crittografato. Non c'è nessuna password da rubare o tramite phishing - bisognerebbe estrarre la chiave privata dal dispositivo stesso. Per le flotte gestite con un MDM, EAP-TLS è l'impostazione predefinita corretta.

La maggior parte degli access point di livello enterprise rilasciati dal 2020 in poi supporta WPA3-Enterprise nel firmware. In genere si abilita WPA3-Enterprise sul SSID e si mantiene WPA2 come fallback durante la transizione. Gli AP più vecchi potrebbero supportare solo WPA2-Enterprise - questi sono ancora sicuri se abbinati a RADIUS cloud ed EAP-TLS, quindi un aggiornamento hardware completo è raramente necessario.

Sì - WPA-Enterprise è definito attorno a un server di autenticazione esterno, che in pratica significa RADIUS. Puoi gestirlo on-premise (FreeRADIUS, Microsoft NPS, Cisco ISE) o utilizzarlo come servizio. Purple RADIUS-as-a-Service è l'opzione ospitata in cloud che la maggior parte dei clienti sceglie quando non vuole gestire server.

Sì, se distribuito correttamente. Gli attacchi noti a WPA2-Enterprise richiedono un client configurato in modo errato (nessuna validazione del certificato del server, che è ciò che WPA3 rende obbligatorio) o l'accesso fisico a un dispositivo. Imporre la validazione del certificato del server tramite MDM e utilizzare EAP-TLS elimina i rischi pratici. WPA3-Enterprise è comunque preferibile per il futuro, ma non c'è motivo di migrare d'urgenza una distribuzione WPA2-Enterprise funzionante.

Due ottime opzioni. Primo, iPSK (Identity PSK) assegna a ogni dispositivo una chiave pre-condivisa univoca su un singolo SSID - l'esperienza utente di WPA-Personal con la revoca per dispositivo di WPA-Enterprise. Secondo, il MAC Authentication Bypass (MAB) ammette indirizzi MAC noti a una VLAN limitata. Purple supporta entrambi insieme a WPA2/3-Enterprise sulla stessa rete.

Sì, non è necessario gestire un proprio server RADIUS. Per definizione, WPA2-Enterprise richiede un server di autenticazione RADIUS, ma con Purple RADIUS-as-a-Service questo server è ospitato nel cloud: è sufficiente indirizzare i tuoi access point verso Purple invece di configurare FreeRADIUS, Microsoft NPS o Cisco ISE. Otterrai comunque lo standard 802.1X completo con EAP-TLS o PEAP integrato con Microsoft Entra ID, Okta o Google Workspace, senza alcun hardware di autenticazione on-premise da installare, aggiornare o mantenere in alta disponibilità.

WPA2-Enterprise uses 802.1X with CCMP-128 encryption. WPA3-Enterprise introduces mandatory Protected Management Frames (PMF) to prevent deauthentication attacks, supports 192-bit cryptographic suites (CNSA / Suite B), and eliminates obsolete fallback ciphers.

Yes. Purple Cloud RADIUS replaces legacy Microsoft NPS and FreeRADIUS servers. Your wireless access points authenticate directly via redundant cloud RADIUS endpoints integrated with Microsoft Entra ID, Okta, or Google Workspace.

Purple syncs with Entra ID using SCIM and OAuth 2.0. When an employee logs in via 802.1X or a client certificate, RADIUS checks user status and group membership in Entra ID in real time. Disabling an account in Entra ID revokes WiFi access immediately.