Autenticazione personale e aziendale

WPA2 e WPA3 offrono due modalità di autenticazione: Personal ed Enterprise. La modalità Personal usa un'unica password condivisa da tutti; Enterprise assegna a ogni utente credenziali personali verificate da un server centrale. Questa lezione spiega la differenza, il funzionamento di ciascuna modalità e quando scegliere l'una o l'altra, un argomento ricorrente nell'esame Network+.

La modalità Personal, chiamata anche PSK (Pre-Shared Key), usa un'unica password che tutti devono inserire per connettersi. La password della rete Wi-Fi domestica riportata sull'etichetta del router è una PSK. È semplice da configurare e ideale per abitazioni e piccoli uffici. Tutti condividono lo stesso segreto e per accedere alla rete è sufficiente conoscerlo.

La chiave condivisa è anche il punto debole. Se una persona divulga la password, chiunque può accedere alla rete; per revocare l'accesso è necessario cambiare la password per tutti e riconfigurare ogni dispositivo. Non esiste un'identità associata a ciascun utente, quindi non è possibile sapere chi sia connesso né disabilitare un singolo utente. Per poche persone fidate può andare bene, ma per un'azienda non è scalabile.

La modalità Enterprise usa l'autenticazione 802.1X e assegna a ogni utente un nome utente e una password personali (oppure un certificato), invece di una singola chiave condivisa. Quando un utente si connette, le sue credenziali vengono verificate da un server di autenticazione centrale prima di concedere l'accesso. Non esiste un'unica password Wi-Fi da condividere o divulgare: ogni persona esegue l'autenticazione individualmente con la propria identità.

L'autenticazione Enterprise si basa su un server RADIUS (Remote Authentication Dial-In User Service). L'access point inoltra le credenziali di ogni utente al server RADIUS, che le verifica rispetto a una directory e comunica all'AP se consentire o negare la connessione. RADIUS è il cervello centrale che rende possibile l'accesso Wi-Fi per singolo utente attraverso numerosi access point di un'organizzazione.

In 802.1X collaborano tre ruoli: il supplicant (il dispositivo dell'utente), l'authenticator (l'access point o lo switch) e il authentication server (RADIUS). Il supplicant invia le credenziali, l'authenticator le inoltra e il server decide. Comunicano tramite EAP (Extensible Authentication Protocol), un framework flessibile che supporta password, certificati e altri metodi.

La modalità Enterprise è la scelta migliore per le organizzazioni. È possibile disabilitare un utente senza influire sugli altri, sapere chi si è connesso, applicare criteri per singolo utente ed evitare un unico segreto condiviso, facilmente divulgabile. Si integra con le directory utenti esistenti, così i dipendenti usano le stesse credenziali che possiedono già. Questa responsabilità individuale e questo controllo sono esattamente ciò di cui le aziende hanno bisogno per una rete Wi-Fi sicura e gestibile.

Il costo della modalità Enterprise è la complessità. È necessario configurare e gestire un server RADIUS e integrarlo con una directory utenti: un lavoro molto più impegnativo che inserire una PSK. Per un'abitazione o un ufficio molto piccolo questo sovraccarico non vale la pena. La scelta consiste in un compromesso: Personal per la semplicità, Enterprise per scalabilità, controllo e responsabilità.

Usi Personal (PSK) per abitazioni e piccole reti in cui sia accettabile condividere una password tra utenti fidati. Usi Enterprise (802.1X con RADIUS) per aziende, scuole e tutti gli ambienti in cui servano accessi per singolo utente, revoca individuale e responsabilità. Entrambe le modalità possono funzionare con WPA2 o WPA3, quindi è possibile scegliere lo standard di cifratura e la modalità di autenticazione in modo indipendente.

L'autenticazione Enterprise può usare diversi metodi EAP. PEAP ed EAP-TTLS verificano gli utenti tramite nome utente e password all'interno di un tunnel protetto: è l'approccio più comune. EAP-TLS usa certificati digitali sia sul client sia sul server per ottenere l'autenticazione più sicura e senza password, ma richiede la gestione dei certificati. Non è necessario conoscere ogni dettaglio: è sufficiente sapere che EAP è il framework flessibile e che EAP-TLS basato su certificati è l'opzione più sicura.

La scelta tra Personal ed Enterprise determina il modo in cui si gestisce l'accesso wireless. Personal usa un'unica chiave condivisa: è semplice, ma non offre controllo per singolo utente. Enterprise usa 802.1X e un server RADIUS per fornire credenziali individuali, responsabilità e una revoca semplice. Conoscere i ruoli di supplicant, authenticator e authentication server, oltre al termine PSK, è una competenza fondamentale di Network+ per l'autenticazione wireless.

Verifichi le Sue conoscenze sull'autenticazione.

WPA2/WPA3 offrono due modalità. Personal (PSK) usa un'unica password condivisa: è semplice per le abitazioni, ma non offre un'identità per singolo utente e rende complessa la revoca. Enterprise usa 802.1X con un server RADIUS, così ogni utente dispone di credenziali individuali, con responsabilità e revoca semplice. I ruoli di 802.1X sono supplicant (dispositivo), authenticator (AP) e authentication server (RADIUS), che comunicano tramite EAP. Scelga Personal per la semplicità ed Enterprise per scalabilità e controllo.