Audit di sicurezza Wi-Fi

Un audit radio non è uno strumento che si punta su una rete e restituisce un report: sono quattro misurazioni in sequenza, ognuna con un risultato diverso e un tempo di esecuzione diverso. Le prime tre sono in sola lettura e nella maggior parte delle sedi si eseguono in orario di lavoro; la quarta cambia il comportamento dei dispositivi e richiede una finestra concordata e un referente raggiungibile al telefono.

Il primo passaggio è l'inventario. Percorriamo la sede e registriamo ogni BSSID in portata: le vostre reti, quelle del vicino, la stampante in magazzino, il radio di una sala riunioni in cui nessuno entra dal trasferimento. Poi confrontiamo quello che abbiamo osservato con l'elenco dei punti di accesso che pensate di possedere. Il confronto è il risultato, non la scansione: un ufficio con 120 persone e 28 access point approvati finisce regolarmente con 34 radio che trasmettono, e dietro ogni radio in più ci sono un proprietario, un cavo e una decisione di acquisto.

Il secondo passaggio è l'autenticazione per SSID. Registriamo il metodo realmente negoziato da ogni classe di dispositivo, non quello configurato sul controller, perché i due registri coincidono meno di quanto si supponga: una rete aziendale impostata in WPA3 in modalità transizione negozia ancora WPA2 con uno scanner di magazzino, e una rete 802.1X i cui client non validano il certificato del server raccoglie credenziali per chiunque trasmetta lo stesso nome. Il terzo passaggio è la raggiungibilità: da ogni SSID verifichiamo dove arriva davvero un dispositivo associato, host interni, porte, VLAN delle stampanti, sottorete di gestione e rete ospiti nella direzione opposta, e riportiamo il risultato come matrice di bersagli e porte testati invece che come aggettivo. Il quarto passaggio è il comportamento del client: quali dispositivi gestiti si associano a un SSID memorizzato presentato da un altro BSSID, e quali avvisano l'utente prima di farlo.

L'autorizzazione è il primo deliverable del lavoro, non un modulo che arriva dopo la fattura. Prima di accendere un adattatore portiamo un perimetro scritto: la persona giuridica titolare della rete, le sedi e i piani in ambito, gli SSID e i BSSID autorizzati per nome e non solo per edificio, la finestra di test, chi può fermare il test e le regole di trattamento dei dati raccolti. Chi firma deve poter autorizzare la rete: un fornitore di servizi gestiti può commissionare un audit della rete di un cliente solo con il consenso scritto del cliente, quindi chiediamo quel documento invece di accettare un ordine di acquisto come prova.

Il lavoro passivo viene prima: ascoltare non richiede credenziali né associazione e non interrompe alcun servizio, quindi inventario e rilevamento si possono fare in orario di lavoro senza che nessuno se ne accorga. Il lavoro attivo, dall'associazione come client alla prova di una chiave condivisa contro materiale catturato, ai test di raggiungibilità e a qualsiasi iniezione di frame, si esegue nella finestra concordata, preferibilmente fuori orario, perché le tecniche di disassociazione scollegano dispositivi reali da un reparto produttivo, e uno scanner di magazzino che perde la connessione a metà di un prelievo è un fermo operativo, non un test.

Anche le condizioni di arresto si concordano per iscritto: un sistema critico per la sicurezza deve restare associato, una classe di dispositivi medici non va toccata, un piano affittato è fuori perimetro perché lo occupa un altro inquilino. L'ingegnere che esegue porta con sé quella lista, e il report registra ogni azione con l'orario, così una disconnessione inattesa lato client può essere attribuita al test oppure esclusa con una prova.

Ogni constatazione nel report nomina la misurazione che l'ha prodotta, il punto da cui è stata misurata e l'artefatto che la sostiene. Un rilievo sulla chiave condivisa non è una riga che dice che la password è debole: è il metodo di cattura, il costo di derivazione, lo spazio delle chiavi di quella classe di passphrase e l'aritmetica che mostra quanto dura una ricerca completa a una velocità di tentativi dichiarata. La distinzione conta commercialmente: una chiave che resiste 232 anni di calcolo non è il rilievo, e il rilievo è invece che un unico segreto condiviso è in mano a chiunque si sia collegato dal 2019 e non si può ruotare senza toccare ogni dispositivo.

Un rilievo di segmentazione è una riga di matrice, non un'affermazione: dalla rete ospiti tre stampanti su tre testate hanno risposto sulla rete aziendale, quindi l'isolamento degli ospiti è una policy scritta e non un controllo applicato. Un rilievo su un access point abusivo nomina la porta dello switch, l'assorbimento PoE e l'OUI che collegano il radio al cavo, perché un trasmettitore che sentiamo ma non sappiamo collocare è una fotografia, non un rilievo. Un rilievo sul comportamento dei client nomina la classe di dispositivo, la versione del sistema operativo e l'impostazione che ha permesso l'associazione a una rete sosia.

Ogni rilievo porta anche un responsabile e una correzione verificabile dall'esterno della rete. La rimozione di un access point non autorizzato si verifica con un secondo rilevamento. La distribuzione di un profilo di certificato si verifica leggendo la configurazione del supplicant sul dispositivo, non fidandosi del fatto che il profilo sia arrivato. La rotazione di una chiave condivisa si verifica constatando che la vecchia chiave non associa più. Se una correzione non è verificabile così, lo scriviamo e proponiamo la verifica prima di accettare il lavoro.

Una valutazione radio non può riferire ciò che non ha sentito. Un access point abusivo acceso per due ore una domenica e rimosso il martedì non compare nel rilevamento del martedì; quel vuoto si chiude con il log di rilevamento del controller e con il monitoraggio continuo, che è un altro acquisto. La valutazione è un campione dello spazio radio in un istante, e il report lo dice invece di suggerire una garanzia continua.

Non vede nemmeno dietro la crittografia moderna. Se la rete funziona in WPA3 con frame di gestione protetti e certificati per dispositivo, non esiste un attacco offline sulla cattura, e qualsiasi affermazione di decifrare il traffico dei client su una rete configurata così è una descrizione sbagliata oppure la prova che la configurazione non era quella dichiarata dal controller. Quello che si può dimostrare su una rete simile è la raggiungibilità, il comportamento dei client, l'igiene delle credenziali e l'inventario, ed è lì che di solito stanno i rilievi veri.

Tre esclusioni vanno scritte nel report e non nella conversazione commerciale: il lato cablato oltre la correlazione dell'access point, la sicurezza fisica e l'accesso ai cavi, e la filiera dietro gli access point stessi, cioè la provenienza del firmware, l'account del controller cloud e le credenziali di fabbrica. L'account del controller cloud merita una menzione esplicita, perché oggi è un accesso amministrativo esposto a internet che può spingere una configurazione su ogni radio della sede, e ottenere quell'account è una via più rapida a un SSID abusivo di qualsiasi tecnica radio descritta qui.

Il lavoro radio è più vicino al confine legale della maggior parte del lavoro di sicurezza, perché il perimetro radio si estende in spazio che non possedete. Ogni incarico è limitato a reti che il cliente possiede o è autorizzato per iscritto a testare, e l'autorizzazione nomina SSID e BSSID, non l'edificio. Valutare la rete di un vicino, la rete di gestione di un edificio condiviso o il wifi di una sala conferenze fuori perimetro non è previsto per quanto interessante sia il segnale, e un rilevamento che vede quelle reti registra l'osservazione e nulla di più. La stessa regola decide cosa può essere un incarico domestico: una rete di casa si valuta quando chi la commissiona è titolare della linea e del router, per esempio un genitore che rivede la sicurezza della propria rete familiare, e non si esegue sulla rete di un partner, di un inquilino o di un familiare adulto senza il suo consenso.

L'impegno si esprime in giornate di ingegneria e non in un prezzo stampato su una pagina: una sede singola con uno a cinque access point e una o due reti richiede una o due giornate di un tester, un ufficio su più piani con autenticazione aziendale e isolamento ospiti da tre a cinque, un campus con più edifici e IoT in ambito si pianifica sulle finestre di cambiamento invece di essere promesso in un numero fisso di giorni. Il lavoro fuori orario e il viaggio aggiungono giornate, e il retest dopo la bonifica è stimato a parte, così che il test di accettazione abbia un costo noto prima del primo rilevamento.