Sicurezza wireless aziendale: WPA3, 802.1X e il problema del certificato

La sicurezza wireless ha uno scarto tra ciò che è configurato e ciò che sta davvero proteggendo qualcosa. Questa pagina serve a colmarlo.

Cosa risolve il WPA3

Il SAE (Simultaneous Authentication of Equals) sostituisce l'handshake a quattro vie personal del WPA2. La conseguenza importante: un attaccante che cattura l'handshake non può portarselo via e forzarlo offline. Sotto WPA2-Personal può farlo, e con una passphrase debole ci riuscirà. Il SAE fornisce anche forward secrecy — una passphrase compromessa non decifra il traffico catturato in precedenza.

I Protected Management Frames (PMF) sono obbligatori sotto WPA3. Questo elimina il classico attacco di deautenticazione, con cui iniziano la maggior parte delle dimostrazioni di "hacking Wi-Fi".

La modalità WPA3-Enterprise a 192 bit esiste per ambienti con un requisito di conformità che la richiede. Non serve alla maggior parte delle organizzazioni, e limita considerevolmente la compatibilità dei client.

La modalità di transizione permette a client WPA2 e WPA3 di condividere un SSID. È uno strumento di migrazione, e significa che un attaccante può forzare un downgrade a WPA2. Usatela finché dovete, con una data di fine documentata.

L'802.1X, e l'errore che commettono quasi tutti

L'802.1X con EAP-TLS è l'opzione aziendale pratica più solida: autenticazione reciproca a certificati, nessuna password da phishare, revoca per singolo dispositivo.

Il fallimento comune è sul lato client. Se il client non è configurato per validare il certificato del server RADIUS — per verificare la catena di certificati e il nome del server — allora un attaccante può allestire un SSID evil-twin, presentare un certificato qualunque e raccogliere credenziali. Con PEAP-MSCHAPv2 questo produce direttamente hash di password crackabili.

Fate questo:

• Distribuite il profilo wireless via MDM o Group Policy. Non lasciate mai che gli utenti configurino il Wi-Fi aziendale a mano — il prompt "fidarsi di questo certificato?" verrà accettato ogni volta.
• Configurate esplicitamente la CA radice fidata e il nome del server RADIUS atteso nel profilo.
• Disabilitate l'opzione che permette agli utenti di accettare nuovi server o fidarsi di nuove CA.
• Preferite EAP-TLS a PEAP-MSCHAPv2. Se dovete usare PEAP durante la migrazione, trattatelo come uno stato temporaneo e imponete rigorosamente la validazione del certificato.
• Monitorate i log RADIUS per tentativi di autenticazione da indirizzi NAS inattesi.

L'IoT che non può fare 802.1X

È la maggior parte di essa. Una stampante, un lettore badge, un termostato, una pompa clinica, uno scanner di codici a barre del 2014 — nessuno di questi farà EAP-TLS.

Opzioni, in ordine di preferenza:

1. PSK per dispositivo (PPSK / iPSK / DPSK a seconda del fornitore). Ogni dispositivo riceve una passphrase unica mappata su una VLAN e una policy. Un dispositivo compromesso non compromette l'SSID. È la risposta giusta per la maggior parte dei parchi IoT.
2. MAC authentication bypass con segmentazione forte. Gli indirizzi MAC sono spoofabili banalmente, quindi questa non è autenticazione — è inventario. Accettabile solo dietro una segmentazione e un monitoraggio aggressivi.
3. Un SSID separato con una PSK condivisa, fortemente segmentato. Accettabile solo quando la VLAN è genuinamente isolata e filtrata in uscita, e la chiave viene ruotata secondo una pianificazione.

Qualunque cosa scegliate: mettete l'IoT sulla sua VLAN, negategli il movimento laterale, negategli l'uscita a internet salvo verso le destinazioni specifiche di cui ha bisogno, e presumete che verrà compromesso prima o poi. Progettate per il contenimento più che per la prevenzione.

Reti guest

• Usate OWE (Enhanced Open) anziché un BSS genuinamente aperto. Fornisce crittografia non autenticata, che blocca lo sniffing passivo del traffico guest — un miglioramento significativo rispetto al Wi-Fi aperto a costo zero di attrito per l'utente.
• Isolate i client tra loro a livello 2.
• Non mettete mai una rete guest sulla stessa VLAN di nient'altro.
• Limitate la velocità per client, e siate consapevoli che i portali captive interagiscono male con i client capaci di 6 GHz e con la randomizzazione MAC.

Randomizzazione MAC

iOS, Android e Windows moderni randomizzano gli indirizzi MAC per SSID di default. Qualunque controllo che dipenda da un indirizzo MAC stabile — MAB, liste di consenso MAC, policy di banda per dispositivo, tracciamento dei dispositivi nell'analytics — è degradato o rotto. Pianificate un'identità basata su certificati o PSK per dispositivo, invece.

L'elenco poco glamour

• Ruotate le chiavi pre-condivise WPA2 che avete ancora, e registrate dove sono usate.
• Disabilitate il WPS ovunque. È ancora attivo di default su più apparecchiature di quanto vi aspettereste.
• Cambiate le credenziali amministrative predefinite su ogni AP, switch e controller, e verificate che l'accesso console dell'AP sia disabilitato o protetto da password.
• Abilitate il rilevamento e il contenimento degli AP canaglia, e controllate gli avvisi ogni settimana invece di scoprire un AP canaglia vecchio di diciotto mesi durante un audit.
• Proteggete fisicamente gli AP nelle aree pubbliche. Un AP in un luogo raggiungibile è una porta console e una presa di rete.