Il WPA3 è già stato adottato e, da luglio 2020, è obbligatorio per i dispositivi che ottengono la certificazione dalla WiFi-Alliance; il WPA2 non è stato annullato e non verrà. Entrambi, WPA2 e WPA3, supportano le modalità PSK ed Enterprise, ma nella nostra articolo proponiamo di esaminare la tecnologia Private PSK e i vantaggi che può offrire.
I problemi di WPA2-Personal sono noti da tempo e, in gran parte, sono già stati risolti (Priority Management Frames, correzioni per la vulnerabilità KRACK, ecc.). Il principale difetto rimanente di WPA2 con l'uso di PSK è che le password deboli possono essere facilmente violate attraverso attacchi di forza bruta. In caso di compromissione e di cambio della password, sarà necessario riconfigurare tutti i dispositivi connessi (e i punti di accesso), il che potrebbe risultare un processo piuttosto laborioso (per affrontare il problema delle "password deboli", la WiFi-Alliance raccomanda di utilizzare password con una lunghezza di almeno 20 caratteri).
Un'altra questione che a volte non può essere risolta tramite WPA2-Personal è l'assegnazione di diversi profili (vlan, QoS, firewall…) a gruppi di dispositivi connessi allo stesso SSID.
Con WPA2-Enterprise è possibile risolvere tutti i problemi descritti sopra, ma a un prezzo:
- La necessità di avere o implementare un PKI (Public Key Infrastructure) e certificati di sicurezza;
- Possono sorgere difficoltà nell'installazione;
- Possono sorgere difficoltà nel troubleshooting;
- Non rappresenta una soluzione ottimale per i dispositivi IoT o per l'accesso degli ospiti.
Una soluzione più radicale ai problemi di WPA2-Personal è il passaggio a WPA3, il cui principale miglioramento è l'uso di SAE (Simultaneous Authentication of Equals) e PSK statici. WPA3-Personal risolve il problema dell'"attacco dizionario", ma non fornisce un'identificazione unica durante l'autenticazione e, di conseguenza, la possibilità di assegnare profili (poiché viene comunque utilizzata una password statica comune).
Inoltre, è necessario considerare che oltre il 95% dei client esistenti attualmente non supportano WPA3 e SAE, mentre il WPA2 continua a funzionare con successo su miliardi di dispositivi già rilasciati.
Per risolvere i problemi esistenti o potenzialmente possibili descritti sopra, l'azienda Extreme Networks ha sviluppato la tecnologia Private Pre-Shared Key (PPSK). PPSK è compatibile con qualsiasi client Wi-Fi che supporta WPA2-PSK e consente di ottenere un livello di sicurezza paragonabile a quello raggiunto con WPA2-Enterprise, senza la necessità di costruire un'infrastruttura 802.1X/EAP. Private PSK è fondamentalmente WPA2-PSK, ma ogni utente (o gruppo di utenti) può avere una propria password generata dinamicamente. La gestione di PPSK è del tutto simile a quella di PSK, poiché l'intero processo è automatizzato. Il database delle chiavi può essere memorizzato localmente sugli access point o nel cloud.
Le password possono essere generate automaticamente, con la possibilità di impostare in modo flessibile la lunghezza/resilienza, il periodo o la scadenza, il modo di consegna all'utente (via email o SMS):
È anche possibile configurare il numero massimo di client che possono connettersi utilizzando un PPSK o persino impostare il 'MAC-binding' sui dispositivi connessi. Su richiesta dell'amministratore di rete, qualsiasi chiave può essere facilmente revocata, e l'accesso alla rete sarà negato senza la necessità di riconfigurare tutti gli altri dispositivi. Se al momento della revoca della chiave il client è connesso, l'access point lo disconnetterà automaticamente dalla rete.
Tra i principali vantaggi di PPSK, si notano:
- facilità d'uso con un alto livello di sicurezza;
- la mitigazione degli attacchi di tipo dizionario è affrontata con password lunghe e robuste, che ExtremeCloudIQ è in grado di generare e distribuire automaticamente;
- possibilità di assegnare profili di sicurezza diversi a vari dispositivi connessi a uno stesso SSID;
- si adatta perfettamente per l'accesso ospite sicuro;
- ottimo per l'accesso sicuro quando i dispositivi non supportano 802.1X/EAP (scanner manuali o dispositivi IoT/VoWiFi);
- un uso e un miglioramento di successo per oltre 10 anni.
Qualsiasi domanda emersa o residua può sempre essere rivolta ai membri del nostro ufficio – .
Fonte: habr.com
