📶 WPA2 e WPA3: sicurezza della rete Wi-Fi

📈 Da WEP a WPA3: come si è evoluta la sicurezza Wi-Fi

La sicurezza delle reti wireless si è evoluta più volte nel corso degli anni. I protocolli utilizzati nelle prime generazioni Wi-Fi non sono più adeguati agli standard attuali e sono stati progressivamente sostituiti da sistemi più robusti.

2️⃣ Come funziona WPA2-Personal

WPA2-Personal è stato per molti anni la configurazione standard delle reti domestiche. Nella modalità Personal, detta anche PSK, l’accesso alla rete si basa su una password condivisa tra il router o access point e i dispositivi autorizzati.

Quando viene utilizzato con AES/CCMP, WPA2 rappresenta ancora una configurazione molto comune. Il punto particolarmente importante nelle reti WPA2-Personal è la qualità della password: una credenziale corta, comune o facilmente prevedibile riduce significativamente la protezione dell’accesso.

🔒 WPA2, AES, CCMP e TKIP: cosa significano?

Nei pannelli dei router meno recenti è possibile trovare opzioni come AES, TKIP oppure TKIP+AES. Queste voci riguardano i meccanismi utilizzati per proteggere il traffico della rete wireless e non devono essere confuse con la semplice scelta della password.

3️⃣ Cosa cambia con WPA3-Personal

WPA3-Personal introduce un sistema di autenticazione chiamato SAE, Simultaneous Authentication of Equals, che sostituisce il meccanismo PSK tradizionalmente associato a WPA2-Personal. Lo scopo è rendere più robusta la fase attraverso la quale client e access point dimostrano di conoscere la password.

Uno dei vantaggi più importanti di SAE riguarda la resistenza ai tentativi di verifica offline delle password basati sull’acquisizione dello scambio di autenticazione. Con WPA3-SAE, un attaccante non può semplicemente catturare una procedura di autenticazione e provare successivamente un numero arbitrario di password offline nello stesso modo tipicamente associato alle reti WPA2-PSK.

⚖️ WPA2 vs WPA3: differenze principali

⚙️ WPA2, WPA3 o modalità mista: quale scegliere?

La modalità mista è particolarmente utile durante la fase di transizione. In una casa possiamo avere smartphone e notebook recenti compatibili con WPA3 insieme a stampanti, dispositivi IoT o apparecchi meno recenti che supportano soltanto WPA2.

🔄 Come funziona WPA2/WPA3 Mixed Mode

La modalità WPA2/WPA3 Mixed, spesso chiamata anche Transition Mode, permette allo stesso SSID di accettare dispositivi appartenenti a entrambe le generazioni. Non significa che un dispositivo WPA2 venga magicamente trasformato in WPA3: ogni client utilizza il metodo compatibile con le proprie capacità e con la configurazione dell’access point.

🔑 Anche con WPA3 serve una buona password

L’introduzione di SAE non rende inutile la qualità della password. Una credenziale wireless dovrebbe rimanere sufficientemente lunga, non prevedibile e diversa dalle password utilizzate per account importanti o per l’amministrazione del router.

È inoltre importante distinguere la password Wi-Fi dalla password amministrativa. La prima viene inserita su molti dispositivi e può essere condivisa con familiari o altri utenti, mentre la seconda permette di modificare direttamente la configurazione dell’infrastruttura.

• Utilizza una password Wi-Fi sufficientemente lunga.
• Evita nomi, numeri di telefono, indirizzi e date facilmente associabili alla rete.
• Non utilizzare la password amministrativa del router come password Wi-Fi.
• Non riutilizzare credenziali di email o altri servizi importanti.
• Per gli ospiti valuta una rete Guest separata.

📡 Nascondere l’SSID rende il Wi-Fi più sicuro?

Disattivare la normale trasmissione del nome della rete viene talvolta presentato come un sistema di sicurezza, ma non deve essere considerato un sostituto di WPA2, WPA3 o di una password robusta. Il fatto che un SSID non venga mostrato normalmente nell’elenco delle reti disponibili non equivale a rendere invisibile l’esistenza della WLAN.

💻 Il filtro MAC sostituisce WPA2 o WPA3?

No. Il filtro MAC permette al router di autorizzare o bloccare determinati indirizzi MAC, ma non deve essere utilizzato come principale meccanismo di sicurezza della rete wireless. Gli indirizzi MAC fanno parte del normale funzionamento della rete e non costituiscono una credenziale segreta paragonabile a una password.

Il filtro può essere utile per alcune politiche di gestione, ma la protezione dell’accesso Wi-Fi deve continuare a essere affidata a WPA2 o WPA3 configurati correttamente.

🔌 WPA3 e WPS sono la stessa cosa?

No. WPS è un sistema pensato per semplificare l’associazione dei dispositivi alla rete, mentre WPA2 e WPA3 definiscono meccanismi di sicurezza della WLAN. Sono quindi funzioni differenti, anche se entrambe possono comparire nella stessa sezione del pannello Wi-Fi.

Se WPS non viene utilizzato, può essere valutata la sua disattivazione. Nei router che offrono diverse modalità WPS è utile controllare quali siano effettivamente abilitate.

🏠 E se un vecchio dispositivo non supporta WPA3?

Questo è uno dei problemi più comuni quando si tenta di utilizzare esclusivamente WPA3. Un vecchio televisore, una stampante, una videocamera IP o un dispositivo IoT può non riconoscere la rete oppure non riuscire a completare l’associazione.

La prima possibilità consiste nell’utilizzare WPA2/WPA3 Mixed Mode. In reti più evolute possiamo invece separare i dispositivi legacy in una WLAN dedicata, eventualmente associata a una rete Guest o a una VLAN, evitando di abbassare inutilmente la configurazione della rete principale.

🛡️ Protected Management Frames: cosa sono?

Nelle impostazioni avanzate del Wi-Fi potresti trovare una voce chiamata PMF, Protected Management Frames, oppure 802.11w. Questa funzione protegge determinati frame di gestione utilizzati dalle reti wireless, aggiungendo protezioni contro alcuni tipi di manipolazione.

A seconda del router, PMF può essere indicato come Disabled, Capable/Optional oppure Required. Con WPA3 il supporto ai Protected Management Frames assume un ruolo importante e può essere gestito automaticamente dal firmware.

☕ WPA2/WPA3 e reti Wi-Fi pubbliche

La configurazione di una rete domestica con password non deve essere confusa con una rete pubblica aperta. Nei luoghi pubblici possiamo trovare WLAN senza password, captive portal oppure tecnologie più moderne progettate per migliorare la protezione delle reti aperte.

Il fatto che una rete utilizzi un portale Web per chiedere email, numero della stanza o accettazione delle condizioni non significa automaticamente che il collegamento radio sia protetto nello stesso modo di una WLAN WPA2-Personal o WPA3-Personal.

🚀 WPA3 rallenta il Wi-Fi?

Su hardware moderno non bisogna aspettarsi che il semplice passaggio da WPA2 a WPA3 provochi un evidente crollo della velocità della rete. Le prestazioni reali dipendono soprattutto da standard Wi-Fi, larghezza del canale, modulazione, qualità del segnale, interferenze, capacità radio del router e caratteristiche del client.

Se dopo una modifica della modalità di sicurezza un dispositivo presenta problemi di velocità o connessione, è più utile verificare compatibilità, driver, firmware e impostazioni del client piuttosto che concludere automaticamente che WPA3 sia più lento.

🧩 Quale modalità scegliere? Tabella pratica

⚠️ Errori comuni nella sicurezza Wi-Fi

• Utilizzare ancora WEP perché un vecchio dispositivo non supporta protocolli moderni.
• Configurare WPA2 con TKIP quando AES/CCMP è disponibile.
• Pensare che nascondere l’SSID renda inutile una password robusta.
• Considerare il filtro MAC come sostituto di WPA2 o WPA3.
• Utilizzare la stessa password per Wi-Fi e amministrazione del router.
• Attivare WPA3-only senza verificare prima la compatibilità dei dispositivi IoT.
• Credere che WPA3 renda sicura qualsiasi password, anche se corta e prevedibile.
• Confondere WPA3 con Wi-Fi 6, Wi-Fi 6E o Wi-Fi 7.
• Modificare contemporaneamente sicurezza, canali e larghezza di banda rendendo più difficile diagnosticare eventuali problemi.

🧪 Esempio pratico: casa con smartphone moderni e dispositivi IoT

Immaginiamo una rete con due smartphone recenti, un notebook moderno, una Smart TV di qualche anno fa, una stampante Wi-Fi e alcune prese intelligenti. Smartphone e notebook supportano WPA3, mentre stampante e dispositivi IoT funzionano soltanto con WPA2.

Impostando immediatamente WPA3-only potremmo ottenere una rete moderna ma perdere la connettività dei dispositivi meno recenti. Utilizzare WPA2 per tutto risolverebbe il problema di compatibilità, ma impedirebbe ai dispositivi moderni di sfruttare WPA3.

In una situazione del genere WPA2/WPA3 Mixed Mode può rappresentare una soluzione pratica. Se il router offre funzioni più evolute, possiamo anche valutare un SSID separato per i dispositivi IoT e mantenere WPA3 sulla rete principale.