Lezione 4 di 7

Reti Wireless 3

Modulo W3 — Sicurezza Wireless | Hands on Stem

Modulo W3 di 6

Sicurezza Wireless

Da WEP a WPA3: l’evoluzione della sicurezza Wi-Fi, gli attacchi più comuni e come difendersi nel mondo senza fili.

Prof. D. Bertolino Hands on Stem Reti Wireless

W3.1 Perché il Wireless è più Vulnerabile

In una rete cablata, un attaccante deve avere accesso fisico a una presa di rete o a un cavo per intercettare il traffico. In una rete wireless, il segnale radio si propaga in tutte le direzioni, ben oltre i muri dell’edificio. Chiunque con un’antenna nel raggio di copertura può potenzialmente intercettare tutto il traffico.

Il problema fondamentale

Il mezzo trasmissivo del Wi-Fi — l’aria — è condiviso e non confinabile. Non puoi impedire fisicamente a qualcuno di ricevere il tuo segnale. L’unica difesa è la crittografia: rendere i dati illeggibili anche se intercettati.

Intercettazione

Chiunque nel raggio radio può catturare tutti i frame Wi-Fi con un adattatore in monitor mode. Senza crittografia, tutto è in chiaro: password, email, sessioni web.

Accesso non autorizzato

Senza autenticazione forte, chiunque può associarsi alla rete e usare la banda, accedere alle risorse interne o lanciare attacchi dall’interno della LAN.

Impersonazione

Un attaccante può creare un falso AP (evil twin) con lo stesso SSID della rete legittima. I client si connettono all’AP malevolo senza accorgersene.

W3.2 L’Evoluzione: da WEP a WPA3

Protocollo	Anno	Cifratura	Integrità	Autenticazione	Stato
WEP	1999	RC4 (40/104 bit)	CRC-32	Open / Shared Key	☠️ MORTO — craccabile in secondi
WPA	2003	RC4 + TKIP	MIC (Michael)	PSK o 802.1X	⚠️ Deprecato
WPA2	2004	AES-CCMP (128 bit)	CBC-MAC	PSK o 802.1X	✓ Ancora diffuso
WPA3	2018	AES-GCMP (128/256 bit)	GMAC	SAE o 802.1X	✓✓ Standard attuale

WEP — Perché è morto

WEP: una lezione di come NON progettare la sicurezza

WEP (Wired Equivalent Privacy) aveva difetti architetturali fatali: l’IV (Initialization Vector) era di soli 24 bit (16 milioni di combinazioni), si ripeteva rapidamente. La chiave RC4 veniva riutilizzata con IV prevedibili. Il CRC-32 non proteggeva dall’iniezione di pacchetti. Risultato: con strumenti come aircrack-ng, la chiave WEP si cracca in meno di 60 secondi catturando abbastanza frame. Non usare MAI WEP.

WPA2 — Lo standard che ha funzionato

WPA2 ha risolto i problemi di WEP e WPA introducendo AES-CCMP (un cifrario a blocchi robusto) al posto di RC4. È stato lo standard per quasi 15 anni e resta ancora sicuro se configurato correttamente con una password forte.

Il 4-Way Handshake di WPA2

Quando un client si connette a una rete WPA2-PSK, AP e client negoziano le chiavi di sessione con un handshake a 4 messaggi, usando la PSK (Pre-Shared Key) come base. La PSK non viene mai trasmessa: viene usata per derivare una PMK (Pairwise Master Key) e poi una PTK (Pairwise Transient Key) unica per ogni sessione. Anche se due client usano la stessa password, hanno chiavi di sessione diverse.

Msg 1 (AP → Client): l’AP invia un numero casuale (ANonce).

Msg 2 (Client → AP): il client genera il proprio numero casuale (SNonce), calcola la PTK (usando PSK + ANonce + SNonce + MAC), invia SNonce + MIC.

Msg 3 (AP → Client): l’AP calcola la stessa PTK, verifica il MIC, invia la GTK (Group Temporal Key, per il broadcast) cifrata con la PTK.

Msg 4 (Client → AP): il client conferma. Da questo momento tutto il traffico è cifrato con AES usando la PTK.

WPA3 — Il nuovo standard

WPA3 migliora WPA2 in tre aree critiche: autenticazione, resistenza al brute force e protezione delle reti aperte.

SAE (Dragonfly)

Sostituisce il 4-way handshake PSK con SAE (Simultaneous Authentication of Equals): un protocollo di scambio chiavi basato su crittografia a curva ellittica. Offre forward secrecy: anche se la password viene scoperta in futuro, il traffico passato resta protetto.

Anti Brute Force

SAE rallenta gli attacchi a dizionario: ogni tentativo richiede un’interazione con l’AP. Non è più possibile catturare l’handshake e craccarlo offline (come si fa con WPA2-PSK). Anche password corte diventano molto più difficili da indovinare.

OWE (Open Enhanced)

Opportunistic Wireless Encryption: le reti “aperte” (senza password) vengono comunque cifrate individualmente per ogni client. Niente più sniffing negli hotspot pubblici. Il nome commerciale è “Wi-Fi Enhanced Open”.

Forward Secrecy: perché è così importante

Con WPA2-PSK, se un attaccante cattura tutto il traffico cifrato e in futuro scopre la password, può decifrare retroattivamente tutto il traffico registrato. Con WPA3-SAE, ogni sessione usa chiavi effimere non derivabili dalla password: anche conoscendo la password, il traffico passato resta illeggibile. Questo si chiama forward secrecy.

W3.3 PSK vs Enterprise (802.1X)

WPA2/3-Personal (PSK)

Una password condivisa (Pre-Shared Key) uguale per tutti gli utenti.

Semplice da configurare
Se un utente lascia l’azienda → va cambiata per tutti
Impossibile tracciare chi fa cosa
Tutti i client condividono la stessa PMK
Vulnerabile al brute force offline (WPA2)

Uso: casa, piccoli uffici (<10 utenti)

WPA2/3-Enterprise (802.1X)

Credenziali individuali per ogni utente, verificate da un server RADIUS.

Ogni utente ha username/password o certificato
Se un utente lascia → disabiliti solo il suo account
Log individuale: chi si connette, quando, da dove
Ogni client ha una PMK diversa
Assegnazione VLAN dinamica per utente

Uso: aziende, scuole, ospedali, organizzazioni

Come funziona 802.1X/EAP

In modalità Enterprise, l’autenticazione coinvolge tre attori:

Supplicant

Il client Wi-Fi (laptop, smartphone). Presenta le credenziali usando un metodo EAP.

Authenticator

L’AP (o il WLC). Fa da “porta” tra il client e il server RADIUS. Non decide: inoltra.

Authentication Server

Il server RADIUS (es. FreeRADIUS, NPS, ISE). Verifica le credenziali e autorizza l’accesso. Può assegnare VLAN e policy.

Metodi EAP più diffusi

Metodo EAP	Credenziali	Sicurezza	Complessità	Uso tipico
EAP-TLS	Certificato client + server	Massima (mutual auth)	Alta (PKI richiesta)	Enterprise high-security
PEAP (MSCHAPv2)	Username/password (tunnel TLS)	Alta	Media	Il più diffuso (AD/LDAP)
EAP-TTLS	Username/password (tunnel TLS)	Alta	Media	Alternative a PEAP
EAP-FAST	PAC + password (Cisco)	Alta	Media	Ambienti Cisco

PEAP: il metodo Enterprise più pratico

PEAP (Protected EAP) crea prima un tunnel TLS usando il certificato del server RADIUS (il client verifica l’identità del server), poi invia username e password attraverso il tunnel cifrato. Non serve un certificato sul client: basta un account Active Directory o LDAP. È il metodo preferito nella maggior parte delle organizzazioni.

W3.4 Attacchi Wireless

Il mezzo radio espone le reti Wi-Fi a una serie di attacchi specifici che non esistono nel mondo cablato.

⚠️ Evil Twin (AP malevolo)

L’attaccante crea un AP con lo stesso SSID della rete legittima, spesso con segnale più forte (posizionandosi vicino alle vittime). I client si associano all’AP malevolo pensando sia quello vero. L’attaccante può: intercettare tutto il traffico, presentare pagine di phishing (captive portal falso), iniettare malware.

Contromisura: WPA2/3 Enterprise con verifica del certificato del server RADIUS (il client rifiuta l’AP se il certificato non corrisponde). In modalità PSK è quasi impossibile da prevenire lato client. I WLC enterprise hanno funzioni di rogue AP detection.

⚠️ Deauthentication Attack

L’attaccante invia frame di deautenticazione falsificati (spoofed) a nome dell’AP o del client. Questi frame non sono autenticati (nemmeno in WPA2!), quindi il ricevitore li accetta e si disconnette. L’attaccante può: causare DoS wireless, forzare il client a riconnettersi (per catturare l’handshake WPA2), forzare il client verso un evil twin.

Contromisura: 802.11w (Management Frame Protection, obbligatorio in WPA3). Protegge i frame di management con un MIC crittografico: i frame deauth falsificati vengono scartati. Anche Wi-Fi 6 migliora la protezione dei frame di management.

⚠️ WPA2-PSK Brute Force / Dictionary Attack

L’attaccante cattura il 4-way handshake (basta che un client si connetta) e poi prova offline milioni di password al secondo. Con GPU moderne, una password di 8 caratteri minuscoli si cracca in ore.

Contromisura: Password lunga (≥12 caratteri, mista), WPA3-SAE (l’attacco offline non funziona), 802.1X Enterprise (credenziali individuali, non una PSK comune).

⚠️ KRACK (Key Reinstallation Attack)

Scoperto nel 2017: sfrutta una vulnerabilità nel 4-way handshake di WPA2 per forzare la reinstallazione di una chiave già usata, permettendo la decifrazione di pacchetti. Ha colpito tutti i dispositivi WPA2.

Contromisura: patch firmware (distribuite da tutti i vendor nel 2017-2018), WPA3 (immune per design).

Altri attacchi

Attacco	Descrizione	Contromisura
Sniffing passivo	Cattura tutto il traffico in chiaro su reti aperte o WEP	WPA2/3, HTTPS, VPN
MAC spoofing	Clona il MAC di un dispositivo autorizzato per aggirare il filtro MAC	802.1X (il MAC filter non è sicurezza!)
Jamming (DoS radio)	Trasmette rumore sulla frequenza per rendere il canale inutilizzabile	Difficile: rilevamento + localizzazione + intervento fisico
Karma / Known Beacon	L’AP malevolo risponde a qualsiasi probe request del client	Non salvare reti Wi-Fi aperte, disable auto-connect

W3.5 Best Practice per la Sicurezza Wi-Fi

Configurazione AP

WPA3-SAE dove possibile, WPA2-AES come minimo
Mai WEP, mai WPA-TKIP, mai “Open” senza OWE
Password PSK ≥ 12 caratteri, mista, non dizionario
Cambiare le password di default dell’AP
Disabilitare WPS (vulnerabile a brute force PIN)
Abilitare 802.11w (MFP) se supportato
Aggiornare regolarmente il firmware

Architettura di rete

802.1X Enterprise per organizzazioni (>10 utenti)
SSID separato per ospiti (VLAN isolata, solo Internet)
SSID separato per IoT (VLAN isolata, ACL restrittive)
Rogue AP detection (WIDS/WIPS) sul controller
Segmentazione con VLAN + firewall inter-VLAN
Client isolation sulla rete guest (i client non si vedono)
Captive portal con ToS per la rete ospiti

Il MAC filter NON è sicurezza

Molte guide consigliano di filtrare per MAC address. In realtà, il MAC address viaggia in chiaro in ogni frame 802.11 (anche con WPA3!). Un attaccante lo vede con un semplice sniffer e lo clona in 2 secondi (macchanger). Il MAC filter è un piccolo ostacolo, non una misura di sicurezza. Stessa cosa per l’SSID nascosto: l’SSID compare nei probe request dei client e può essere scoperto facilmente.

W3.6 WIDS/WIPS — Intrusion Detection & Prevention Wireless

Come i sistemi IDS/IPS nelle reti cablate (Modulo 9 del corso Sistemi e Reti), esistono equivalenti wireless:

WIDS — Wireless Intrusion Detection

Rileva minacce wireless: rogue AP, client non autorizzati, attacchi deauth, evil twin, anomalie nel traffico. Genera alert per l’amministratore. Passivo: osserva ma non agisce.

WIPS — Wireless Intrusion Prevention

Rileva e reagisce: può inviare frame deauth al rogue AP per disconnettere i client da esso, bloccare MAC sospetti, modificare la configurazione degli AP. Attivo ma richiede attenzione per evitare falsi positivi.

Rogue AP detection: come funziona

Il WLC (o un AP dedicato in modalità “monitor”) scansiona periodicamente tutti i canali cercando AP non autorizzati. Se rileva un BSSID sconosciuto che trasmette con lo stesso SSID della rete legittima, lo classifica come rogue e può prendere contromisure. Alcuni controller classificano automaticamente i rogue AP come “amici” (reti vicine note) o “minacce” (stessa SSID, possibile evil twin).

W3.7 Confronto Finale dei Protocolli

Aspetto	WEP	WPA2-PSK	WPA2-Enterprise	WPA3-SAE	WPA3-Enterprise
Cifratura	RC4	AES-128	AES-128	AES-128	AES-256 (192-bit mode)
Autenticazione	Shared key	PSK (password)	802.1X/EAP	SAE (Dragonfly)	802.1X/EAP
Forward secrecy	No	No	No	Sì	Sì
Brute force offline	Facile	Possibile	Non applicabile	Impossibile	Impossibile
MFP (802.11w)	No	Opzionale	Opzionale	Obbligatorio	Obbligatorio
Reti aperte	In chiaro	—	—	OWE (cifrate)	—
Raccomandazione	MAI	Accettabile	Consigliato	Ottimo	Il meglio

W3.8 Riepilogo del Modulo

WEP → WPA3

WEP morto. WPA2-AES ancora valido. WPA3 aggiunge SAE (forward secrecy), anti-brute force, OWE per reti aperte.

PSK vs Enterprise

PSK: password condivisa, casa/piccolo ufficio. Enterprise: credenziali individuali via 802.1X/RADIUS, organizzazioni.

Attacchi

Evil twin, deauth, brute force offline, KRACK, sniffing, jamming. 802.11w e WPA3 risolvono molti di questi.

Best practice

WPA3-SAE, 802.1X, SSID separati, no WPS, firmware aggiornato, WIDS/WIPS, MAC filter inutile.

🧪 Verifica di Autovalutazione

01 Perché il Wi-Fi è intrinsecamente più vulnerabile di una rete cablata?

02 Perché WEP è considerato morto? Qual è il suo difetto principale?

03 Cos’è il 4-way handshake di WPA2 e a cosa serve?

04 Cos’è la forward secrecy e perché WPA3 la garantisce?

05 Qual è la differenza tra WPA2-PSK e WPA2-Enterprise?

06 Cos’è un attacco evil twin? Come ci si difende?

07 Perché l’attacco deauth funziona anche con WPA2? Come lo risolve WPA3?

08 Perché il MAC filter non è una vera misura di sicurezza?

09 Cos’è PEAP e in quale contesto si usa?

10 Cos’è OWE e quale problema risolve?

Soluzioni

Domanda 01 — Vulnerabilità wireless

Il mezzo trasmissivo del Wi-Fi è l’aria: il segnale radio si propaga in tutte le direzioni e non è fisicamente confinabile. Chiunque nel raggio di copertura con un’antenna può intercettare tutti i frame, anche fuori dall’edificio. In una rete cablata, serve accesso fisico a un cavo o a una presa. L’unica difesa efficace nel wireless è la crittografia.

Domanda 02 — Perché WEP è morto

WEP usava RC4 con un IV di soli 24 bit che si ripeteva rapidamente, permettendo attacchi statistici sulla chiave. Il CRC-32 non proteggeva da iniezione di pacchetti. Con strumenti come aircrack-ng, la chiave WEP si cracca in meno di 60 secondi catturando sufficiente traffico. È insicuro a prescindere dalla lunghezza della chiave.

Domanda 03 — 4-way handshake WPA2

È il processo con cui AP e client negoziano le chiavi di sessione (PTK e GTK) partendo dalla PSK condivisa, senza mai trasmettere la PSK stessa. In 4 messaggi: l’AP invia ANonce, il client risponde con SNonce + MIC, l’AP conferma e invia la GTK cifrata, il client conferma. Dopo il handshake, tutto il traffico è cifrato con AES usando la PTK unica della sessione.

Domanda 04 — Forward secrecy e WPA3

Forward secrecy garantisce che il traffico passato resta protetto anche se la chiave a lungo termine (password) viene compromessa in futuro. WPA3 usa SAE (basato su crittografia a curva ellittica) che genera chiavi di sessione effimere non derivabili dalla password. In WPA2, conoscendo la PSK si può decifrare qualsiasi handshake catturato e quindi tutto il traffico associato.

Domanda 05 — PSK vs Enterprise

PSK: una password condivisa uguale per tutti. Se un utente se ne va, va cambiata per tutti. Nessun log individuale. Adatta a casa/piccolo ufficio. Enterprise (802.1X): ogni utente ha credenziali proprie (username/password o certificato), verificate da un server RADIUS. Se un utente se ne va, si disabilita solo il suo account. Log individuali, possibilità di assegnare VLAN diverse per utente. Adatta a organizzazioni.

Domanda 06 — Evil twin

L’attaccante crea un AP falso con lo stesso SSID della rete legittima, spesso con segnale più forte. I client si connettono pensando sia l’AP vero. L’attaccante intercetta il traffico, può fare phishing (captive portal falso) o iniettare malware. Difesa: WPA2/3 Enterprise con verifica del certificato server (il client rifiuta l’AP se il certificato non corrisponde). In PSK è difficile da prevenire. I controller aziendali hanno rogue AP detection.

Domanda 07 — Deauth attack e WPA3

I frame di deautenticazione in WPA2 sono frame di management non protetti: non hanno MIC crittografico. Chiunque può forgiarli (spoofare il MAC dell’AP) e inviarli ai client per forzarli a disconnettersi. WPA3 risolve il problema rendendo obbligatorio 802.11w (Management Frame Protection): i frame di management sono protetti da un MIC crittografico. I frame deauth falsificati vengono scartati perché non hanno il MIC corretto.

Domanda 08 — MAC filter

Il MAC address viene trasmesso in chiaro in ogni frame 802.11, anche con WPA3 attivo (è un campo dell’header L2, non cifrato). Un attaccante lo vede con un semplice sniffer wireless, lo clona con un comando (macchanger) e bypassa il filtro. Il MAC filter crea un falso senso di sicurezza: rallenta un utente inesperto ma non ferma un attaccante motivato.

Domanda 09 — PEAP

PEAP (Protected EAP) è un metodo di autenticazione Enterprise (802.1X). Funziona in due fasi: 1) crea un tunnel TLS usando il certificato del server RADIUS, 2) all’interno del tunnel, il client invia username e password (MSCHAPv2). Il vantaggio: non serve un certificato sul client, bastano le credenziali Active Directory/LDAP. Si usa in aziende, scuole, ospedali — ovunque ci sia un directory service.

Domanda 10 — OWE

OWE (Opportunistic Wireless Encryption), nome commerciale “Wi-Fi Enhanced Open”, risolve il problema delle reti aperte (hotspot, caffè, aeroporti). Tradizionalmente, una rete senza password trasmette tutto in chiaro: qualsiasi utente sulla stessa rete può sniffare il traffico degli altri. OWE cifra individualmente il traffico di ogni client usando Diffie-Hellman, senza richiedere alcuna password. Il client non deve fare nulla di diverso: si connette come a una rete aperta, ma il traffico è cifrato.