Sicurezza del Wi-Fi aziendale: WPA3, MACsec e le nuove difese del Wi-Fi 7

Di tutta l’infrastruttura aziendale, la rete wireless è l’unica che esce dall’edificio senza chiedere il permesso. Il segnale attraversa i muri, arriva nel parcheggio, spesso raggiunge la strada. Chiunque, dall’auto, può registrarlo. Non serve entrare in azienda, non serve toccare un cavo, non resta traccia.

Questa guida mette in fila cosa si può fare davvero: le minacce che si vedono sul campo, la configurazione di base che vale per qualunque marca di apparati, il tratto di rete che quasi tutti dimenticano, e cosa aggiungono le difese comparse con il Wi-Fi 7, con i numeri e i limiti dichiarati dal produttore.

Le minacce reali, non quelle da brochure

Minaccia	Come funziona	Cosa la rende possibile
Intercettazione passiva	Registrazione del traffico radio da fuori il perimetro, da analizzare con calma in un secondo momento	Copertura che deborda dall’edificio, cifratura debole o chiave condivisa
Evil twin e rogue AP	Un access point che annuncia il vostro SSID e raccoglie le credenziali di chi ci si collega	Client configurati per connettersi automaticamente, assenza di validazione del certificato
Deauth e attacchi ai frame di gestione	Pacchetti forgiati che buttano fuori i client, spesso come innesco per l’evil twin	Frame di gestione non protetti
Rete ospiti promiscua	I dispositivi degli ospiti si vedono tra loro e talvolta raggiungono la rete interna	SSID guest senza isolamento client e senza segmentazione a valle
Chiave condivisa immortale	La stessa passphrase su tutti i dispositivi, nota a ex dipendenti e fornitori	WPA2-Personal usato in azienda come fosse casa

L’ultima riga è la più comune di tutte, e non richiede nessuna competenza per essere sfruttata. Chi se ne va dall’azienda porta con sé la chiave del wifi, e quella chiave non scade.

La base che vale per tutti, qualunque sia la marca

Prima di guardare le funzioni di ultima generazione conviene sistemare il fondamento, che è indipendente dal vendor e nella maggior parte delle aziende è ancora incompleto.

WPA3-Enterprise con 802.1X

Identità per persona invece della chiave unica: ogni utente e ogni dispositivo si autentica verso un server RADIUS centrale, e quando qualcuno esce dall’azienda si revoca il suo accesso senza cambiare nulla sugli altri. Il WPA3 non è più un’opzione esotica: la Wi-Fi Alliance lo indica come obbligatorio per i dispositivi certificati, con protezioni aggiuntive sia per le reti personali sia per quelle enterprise.

Dove la posta in gioco è alta il metodo da scegliere è EAP-TLS, con certificati digitali su entrambi i lati. Il client verifica il certificato del server prima di consegnare qualunque cosa, ed è esattamente questo passaggio a far fallire l’evil twin: l’access point falso non possiede un certificato firmato dalla vostra autorità di certificazione, quindi il dispositivo rifiuta l’associazione invece di regalargli le credenziali. Sul fronte opposto, revocare un certificato disabilita un singolo dispositivo in tempo reale, senza toccare nessun altro.

Per gli ambienti più sensibili esiste la modalità a 192 bit, che non è un semplice allungamento della chiave ma un insieme coerente di algoritmi: cifratura GCMP-256, derivazione e conferma delle chiavi con HMAC-SHA-384, scambio e autenticazione con ECDH ed ECDSA su curva ellittica a 384 bit, protezione dei frame di gestione di gruppo con BIP-GMAC-256. Richiede EAP-TLS e una PKI allineata su tutta la catena, quindi si adotta dove il contesto lo giustifica davvero, non per abitudine.

PMF, i frame di gestione protetti

È il tassello che chiude gli attacchi di deautenticazione, e nasce dall’emendamento IEEE 802.11w. La Wi-Fi Alliance descrive il PMF come l’estensione delle protezioni ai frame di gestione, contro intercettazione e falsificazione sull’unicast e contro la falsificazione sul multicast, e lo richiede su tutti i nuovi dispositivi certificati.

Il meccanismo è doppio: i frame di gestione unicast vengono cifrati con la chiave di sessione, mentre quelli broadcast e multicast portano un codice di integrità che permette al client di scartare i pacchetti forgiati da chi non possiede la chiave di gruppo. Sui 6 GHz il PMF è obbligatorio. Se la vostra rete lavora sui 2,4 e 5 GHz con il PMF disattivato, un attacco di deauth resta gratis, ed è quasi sempre il primo passo di un evil twin: prima ti butto fuori, poi ti riprendo io.

Quanto vale davvero l’argomento dei 6 GHz in Europa

L’obbligatorietà di WPA3 e PMF sui 6 GHz è un argomento solido, e va usato conoscendone il perimetro europeo, che è più stretto di quello americano su due fronti. La Decisione di esecuzione (UE) 2021/1067 ha armonizzato la banda 5945-6425 MHz, cioè 480 MHz, contro i 1200 MHz disponibili negli Stati Uniti: in pratica tre canali da 160 MHz, non sette. E la stessa decisione ammette solo apparati a bassa potenza per interni e a bassissima potenza portatili, con limiti di 23 e 14 dBm EIRP: la potenza standard, interna o esterna, in Europa non è consentita.

Le due conseguenze tirano in direzioni opposte, ed è utile saperlo prima di impostare il progetto. Da un lato non si può spostare l’intero parco client sui 6 GHz: se ne sposta una parte, e sulle bande residue la configurazione al ribasso per i dispositivi vecchi resta possibile, quindi il beneficio di sicurezza è reale ma parziale. Dall’altro il vincolo di potenza gioca a favore, perché una banda che per legge non esce con potenza piena deborda meno oltre le mura, ed è esattamente il tema del capitolo sulla copertura.

La rete ospiti: OWE invece dell’aperta

Il Wi-Fi Enhanced Open, basato su OWE (Opportunistic Wireless Encryption, RFC 8110), cifra il traffico anche senza password: il vantaggio, come sottolinea la Wi-Fi Alliance, è che non c’è nessuna passphrase pubblica da mantenere, condividere o gestire. Va detto con precisione cosa fa e cosa no: cifra, non autentica. Protegge dall’ascolto passivo tra ospiti, non stabilisce chi siete. Per quello serve il captive portal, che resta un tema di identificazione e non di sicurezza del canale.

Il resto è disciplina di progetto: SSID separati con VLAN dedicate, isolamento tra client sulla rete ospiti, e un filtro a valle che decida cosa può raggiungere cosa. Non serve nulla di più esotico per coprire la stragrande maggioranza dei casi in una PMI.

Il tratto dimenticato: dal soffitto in giù

Qui c’è l’incoerenza che si trova in quasi tutte le reti. Si spendono energie per cifrare la tratta radio, larga qualche decina di metri, e poi il traffico decifrato esce dall’access point e percorre un cavo di rame nel controsoffitto, nella canalina del corridoio, dentro un armadio di piano magari non chiuso a chiave. In chiaro.

La contromisura si chiama MACsec e non è nuova: è lo standard IEEE 802.1AE, prima edizione 2006, revisione corrente del 2018, che fornisce riservatezza, integrità e autenticità dell’origine dei dati sul collegamento Ethernet. Le chiavi non le gestisce lui: se ne occupa il protocollo MKA definito in IEEE 802.1X, che individua i peer autenticati ed elegge un key server. Si applica sull’uplink tra access point e switch e tra switch e switch, fino al core.

Un limite dichiarato nella norma stessa, che vale la pena conoscere prima di venderlo come panacea: MACsec protegge la comunicazione tra componenti fidati dell’infrastruttura, non protegge da attacchi facilitati da quegli stessi componenti, ed è complementare e non sostitutivo della sicurezza applicativa end-to-end.

Il requisito pratico è banale ma vincolante: serve hardware che lo supporti su entrambi i lati del collegamento. È il tipo di scelta che va fatta quando si compra lo switch, non due anni dopo.

Cosa aggiunge davvero il Wi-Fi 7

Qui usiamo come esempio concreto lo stack Huawei AirEngine, perché Netframe è partner certificato Huawei e perché il produttore ha pubblicato un white paper tecnico che spiega i meccanismi invece di limitarsi agli slogan. I principi valgono comunque anche fuori da quella marca.

PHY protection: rendere illeggibile senza cifrare

Sulle pagine commerciali si chiama Wi-Fi Shield e si parla genericamente di crittografia. Nel documento tecnico il nome è PHY protection e il meccanismo è tutt’altro, molto più interessante.

L’access point misura il canale verso i client autorizzati, poi trasmette insieme al dato un rumore casuale sagomato con il beamforming, calcolato in modo che le sue componenti si annullino esattamente nella posizione del client legittimo. Si crea un buco spaziale: il destinatario riceve il pacchetto pulito e non si accorge di nulla, chiunque ascolti da un’altra posizione riceve il rumore. La sua scheda di rete non riesce a demodulare il segnale, considera il pacchetto illeggibile e lo scarta prima ancora di metterlo in memoria. Non arriva nemmeno al sistema operativo dell’attaccante, quindi non c’è né testo in chiaro né cifrato da conservare per dopo.

La distanza che serve perché l’annullamento non funzioni più è mezza lunghezza d’onda: circa 6 cm a 2,4 GHz e 3 cm a 5 GHz. In pratica chiunque non sia fisicamente attaccato al dispositivo autorizzato. E il disturbo cambia a ogni pacchetto, con un intervallo di aggiornamento nell’ordine dei millisecondi contro le ore della rotazione di una chiave tradizionale, il che rende inutile anche registrare adesso per decifrare domani.

Il prezzo, che nessuno scrive

Il white paper dichiara i costi, ed è la parte che cambia un progetto.

Parametro	Valore dichiarato
Perdita di prestazioni sull’interfaccia radio, 4T4R	Inferiore al 20%
Perdita di prestazioni sull’interfaccia radio, 2T2R	65%
Efficacia anti-cattura, client fermo	Oltre il 99%
Efficacia anti-cattura, client in movimento	Oltre il 90%
Perimetro di applicazione	Solo pacchetti unicast in downlink dall’access point

Il 65% sulle radio a due catene è la riga decisiva: su quegli apparati la funzione esiste ma è di fatto impraticabile. Si progetta quindi con radio 4×4 e accendendola solo dove serve davvero, sale riunioni della direzione, uffici amministrativi, aree di sviluppo, non su tutta la copertura per principio. E resta scoperto il traffico in salita dal client verso l’access point, che va protetto con gli strumenti tradizionali.

Wi-Fi CSI sensing: l’access point come sensore

La stessa infrastruttura radio serve anche a rilevare presenze. Analizzando il channel state information, cioè come il segnale viene alterato dagli oggetti e dai corpi che attraversa, l’apparato distingue i movimenti a livello di centimetri. Huawei usa una soluzione a singolo access point, che trasmette e riceve come un sonar, arrivando a percepire persino i movimenti regolari del torace durante il respiro.

In chiave sicurezza serve al rilevamento intrusioni in magazzini di beni critici e aree di ricerca e sviluppo, dove le telecamere non arrivano o non sono ammesse. Si disegnano le stanze sul controller, si associa ogni area agli access point, si impostano le fasce orarie e si ricevono gli allarmi. Il vantaggio dichiarato rispetto alle telecamere è la privacy: rileva che c’è qualcuno, non chi è.

Antenne che seguono l’utente

Le smart antenna a zoom dinamico decidono in tempo reale se passare in modalità direzionale in base alla distanza stimata del client. Nascono per le prestazioni, dentro il meccanismo di coordinamento tra access point sullo stesso canale, ma hanno un effetto collaterale utile alla sicurezza: meno energia dispersa fuori dall’area di interesse significa meno segnale disponibile a chi ascolta da fuori.

Come si scoprono gli access point abusivi

Il rogue access point classico non è quasi mai un attacco: è il router comprato al supermercato e attaccato sotto la scrivania da chi voleva più segnale in magazzino. Il risultato però è identico, una porta sulla rete aziendale fuori da ogni controllo. Vale anche per gli apparati audio video delle sale riunioni, che spesso non compaiono in nessun inventario: come si trattano è nella guida alla riservatezza in sala riunioni.

Il metodo che funziona ha tre gambe. Un censimento iniziale degli apparati legittimi, con indirizzi MAC e posizioni, perché senza una lista di riferimento nessun sistema può dirvi cosa è anomalo. Un monitoraggio continuo dell’etere, che sui prodotti enterprise si fa con la radio di scansione dedicata degli access point, quella che non serve i client ma ascolta e basta. E una verifica sul campo periodica, perché un apparato spento durante la scansione notturna non esiste per il sistema ma esiste per l’azienda.

Su infrastrutture di una certa dimensione questo lavoro non si fa a mano. Le piattaforme di gestione con analisi automatica, come iMaster NCE-CampusInsight nel caso Huawei, correlano i dati raccolti dagli access point e segnalano le anomalie radio invece di lasciarle sepolte nei log: è la stessa funzione che nella tabella NIS2 più avanti compare sotto la gestione degli incidenti, perché senza qualcosa che produca la segnalazione non c’è nulla da notificare.

Rilevare non è bloccare

Aggiungiamo una nota di onestà: rilevare non è bloccare. Le contromisure via radio, cioè bombardare di frame di disautenticazione l’apparato giudicato ostile, vanno maneggiate con estrema attenzione. Si stanno emettendo deliberatamente segnali per disturbare la trasmissione di qualcun altro, e in un condominio industriale il vicino di capannone non è un attaccante. Oltre al rischio concreto di danneggiare reti di terzi, in diversi ordinamenti interferire attivamente con comunicazioni radio altrui ha rilevanza legale.

La contromisura sensata è un’altra e sta sul cavo: individuare la porta dello switch a cui l’apparato è attestato e disabilitarla. È immediata, non produce interferenze, non tocca nessuno all’esterno e lascia una traccia amministrativa di chi ha fatto cosa e quando. Resta però una decisione presa da una persona sulla base di una segnalazione, non un automatismo che spegne porte per conto suo.

La sicurezza comincia dalla progettazione della copertura

Nessuna delle tecnologie descritte finora serve a molto se il segnale arriva nitido nel parcheggio pubblico. La prima contromisura all’intercettazione non è crittografica, è geometrica: sapere dove arriva il vostro segnale.

Questo si misura, non si stima. Un site survey rileva la copertura reale e mostra il debordamento verso l’esterno, e da lì si lavora sul controllo della potenza di trasmissione degli apparati perimetrali, sui canali, sulla scelta e sull’orientamento delle antenne, preferendo modelli direzionali rivolti verso l’interno in prossimità di vetrate e pareti esterne. È lo stesso lavoro che si fa per le prestazioni, letto con un’altra domanda in testa. Il perimetro del servizio è descritto nella pagina dedicata al Wi-Fi audit e site survey, e il metodo di dimensionamento è nella guida su quanti access point servono.

Una volta messa a posto la copertura, la verifica di quanto è realmente esposta l’infrastruttura è un’altra attività ancora: le differenze tra le tre forme di verifica sono spiegate nella guida su security assessment, vulnerability assessment e penetration test. In Netframe quella verifica è il security assessment IT, che legge configurazioni, accessi e segmentazione prima di affidare scansioni e penetration test ai partner.

Il wireless dentro la NIS2

Per le aziende nel perimetro NIS2 la rete wireless non è un capitolo a parte: rientra nella sicurezza delle reti e dei sistemi, nel controllo degli accessi e nella valutazione dell’efficacia delle misure adottate, tutte voci dell’elenco di misure minime dell’articolo 24 del D.Lgs. 138/2024, che recepisce l’articolo 21 della Direttiva (UE) 2022/2555. In uno stabilimento è anche il punto dove il mondo IT e quello OT si toccano, perché terminali di magazzino, palmari e veicoli a guida automatica vivono sulla stessa infrastruttura radio.

La domanda pratica in sede di verifica non è “avete il WPA3”, è “come dimostrate che funziona”. Autenticazione per identità con revoca tracciabile, segmentazione documentata, log conservati, e la prova che qualcuno ha misurato dove arriva il segnale. Il quadro completo degli obblighi e delle scadenze è nella guida alla NIS2 per le PMI manifatturiere.

Questa è la traduzione pratica: per ogni requisito, cosa si configura sulla rete wireless e cosa si tira fuori dal cassetto quando qualcuno chiede la prova.

Requisito	Cosa significa sul wireless	Evidenza da mostrare
Controllo degli accessi e identità	WPA3-Enterprise con 802.1X ed EAP-TLS, nessuna chiave condivisa in circolazione	Configurazione del server RADIUS, politica di emissione e revoca dei certificati, elenco delle revoche effettuate
Segmentazione delle reti	VLAN dedicate per ambito, isolamento tra client sulla rete ospiti, filtro a valle verso i segmenti interni	Schema dell’architettura di rete, matrice dei flussi ammessi tra VLAN, regole del firewall
Sicurezza della catena di fornitura	Accessi wireless concessi a manutentori, terzisti e consulenti	Registro degli accessi dei fornitori, credenziali nominali e a scadenza, impegni contrattuali sulla sicurezza
Gestione degli incidenti	Rilevamento di access point abusivi e anomalie radio, tracciabilità delle autenticazioni	Log di autenticazione conservati, segnalazioni del monitoraggio, procedura di notifica formalizzata
Valutazione dell’efficacia delle misure	Misura periodica della copertura reale e dell’esposizione oltre il perimetro	Report del site survey, verbali degli interventi correttivi, piano di trattamento del rischio

La colonna che pesa in sede di verifica è la terza. Avere apparati che supportano il WPA3 non è una misura: la misura è dimostrare che è attivo, che le identità vengono revocate quando qualcuno se ne va, e che qualcuno ha misurato dove arriva il segnale.

Domande frequenti sulla sicurezza del wifi aziendale

Il WPA3 basta a rendere sicuro il wifi aziendale?

No, è la base necessaria ma non sufficiente. Il WPA3 protegge il collegamento radio e, nella variante Enterprise con 802.1X, dà a ogni utente un’identità revocabile invece di una chiave condivisa. Restano fuori tre cose che contano: il tratto cablato oltre l’access point, dove serve MACsec; la segmentazione tra reti, che è una scelta di progetto e non un protocollo; e la copertura, perché una rete perfettamente cifrata che deborda in strada offre comunque materiale a chi vuole registrarlo. Va poi verificato che il PMF sia effettivamente attivo, perché senza quello gli attacchi di deautenticazione restano possibili.

Si può intercettare una rete wifi cifrata?

Il traffico si può sempre catturare, perché viaggia nell’aria: la domanda vera è se sia leggibile. Con WPA3-Enterprise correttamente configurato, chi registra ottiene dati cifrati che oggi non è in grado di decifrare. Il rischio concreto non è la rottura del cifrario ma l’attacco all’autenticazione, cioè convincere un dispositivo a collegarsi a un access point falso e farsi consegnare le credenziali. Esiste poi il problema della conservazione: un traffico registrato oggi resta a disposizione di chi lo ha catturato, e le difese di livello fisico introdotte con il Wi-Fi 7 nascono esattamente per impedire che quel materiale venga acquisito.

Cos’è il MACsec e quando serve?

È lo standard IEEE 802.1AE che cifra il traffico sul collegamento Ethernet, con riservatezza, integrità e autenticità dell’origine; le chiavi sono gestite dal protocollo MKA definito in 802.1X. Nel wireless serve sull’uplink tra access point e switch, e a salire verso il core: è il pezzo che chiude il buco tra la cifratura radio e la rete cablata. Ha senso dove il cablaggio passa in spazi non presidiati, controsoffitti, corridoi, armadi di piano condivisi, e dove i dati che transitano lo giustificano. Il requisito è avere apparati che lo supportino su entrambi i lati del link, quindi è una scelta da fare in fase di acquisto.

Il Wi-Fi 7 è più sicuro delle generazioni precedenti?

Sì, ma non per il fatto in sé di essere Wi-Fi 7. Contano due cose. La prima è che sui 6 GHz il WPA3 e i frame di gestione protetti sono obbligatori, quindi sui client che riescono effettivamente a lavorare là cade la possibilità di configurare male la rete per compatibilità con dispositivi vecchi. In Europa però la banda vale 480 MHz, tre canali da 160, e ammette solo apparati a bassa potenza per interni: una parte del parco resta sulle altre bande, dove la configurazione al ribasso è ancora possibile. La seconda è che alcuni produttori hanno introdotto protezioni di livello fisico che rendono i pacchetti non demodulabili da chi non è il destinatario. Queste ultime però hanno un costo prestazionale dichiarato e un perimetro preciso: vanno accese dove servono, non ovunque.

Come si scoprono gli access point abusivi in azienda?

Servono tre cose insieme. Un inventario degli apparati legittimi con indirizzi e posizioni, altrimenti non esiste un metro di paragone. Un monitoraggio continuo dell’etere, che sugli apparati enterprise si ottiene con la radio di scansione dedicata. E una verifica periodica sul campo, perché un dispositivo acceso solo durante il turno di notte sfugge a una scansione fatta di giorno. Nella pratica il colpevole quasi sempre non è un attaccante ma un collega che voleva più segnale: prima di rimuovere l’apparato conviene capire quale esigenza non stava coperta.

Vuoi sapere dove arriva davvero il tuo segnale?

Netframe progetta e verifica reti wireless aziendali in tutta l’Emilia-Romagna, con sede a Modena: misura della copertura reale e del debordamento verso l’esterno, revisione dell’autenticazione e della segmentazione, scelta degli apparati in funzione di quello che la rete deve trasportare. Scrivici a info@netframe.it o chiamaci allo 059 7134794: partiamo da una fotografia della situazione attuale.

Fonti

• Huawei, Wi-Fi 7 Advanced Technology White Paper (registrazione richiesta per il download)
• Huawei, Wi-Fi 7 Advanced
• Huawei, What Is Wi-Fi Shield
• Huawei, iMaster NCE-CampusInsight
• Wi-Fi Alliance, Security
• IEEE 802.1 Security Task Group, 802.1AE MAC Security (MACsec)
• IEEE Standards Association, IEEE 802.1AE, MAC Security
• National Security Agency, Cybersecurity Technical Report on WPA3
• RFC 8110, Opportunistic Wireless Encryption
• Commissione europea, Decisione di esecuzione (UE) 2021/1067 del 17 giugno 2021 sull’uso armonizzato dello spettro radio nella banda 5945-6425 MHz per i WAS/RLAN, e successive modifiche con le decisioni (UE) 2024/3157 e (UE) 2025/913
• Decreto legislativo 4 settembre 2024, n. 138, articolo 24, che recepisce l’articolo 21 della Direttiva (UE) 2022/2555 (NIS2)

Fonti verificate l’11 agosto 2026. I dati prestazionali delle funzioni Wi-Fi 7 sono quelli dichiarati dal produttore nel proprio white paper: vanno confermati sul modello e sulla versione firmware effettivamente in uso. Netframe è un system integrator indipendente e partner certificato Huawei.