EAP-TLS vs PSK: quale autenticazione WiFi scegliere

La scelta del metodo di autenticazione WiFi influisce sulla sicurezza, sulla gestibilità e sul comfort degli utenti. PSK (Pre-Shared Key) è il classico WPA2/WPA3 con password condivisa, semplice ma con limiti significativi. EAP-TLS è invece l'autenticazione enterprise basata su certificati digitali, più sicura e gestibile ma con un costo iniziale di setup maggiore. Vediamo quando conviene una o l'altra.

Limiti del PSK in azienda

PSK ha un problema strutturale: la stessa password è condivisa da tutti gli utenti. Quando un dipendente lascia l'azienda, la password va cambiata su tutti i dispositivi, cosa che in realtà avviene raramente. Inoltre PSK non identifica chi si sta connettendo, quindi i log non distinguono tra utenti, e non permette policy diverse per utente (es. accesso a VLAN specifiche). Per piccole aziende sotto i 15 utenti è ancora accettabile, oltre diventa un rischio.

Cosa offre EAP-TLS

EAP-TLS usa certificati X.509 sia lato server che lato client. Il client si autentica presentando un certificato firmato dalla CA aziendale, il server presenta a sua volta il suo certificato per evitare rogue access point. Vantaggi: autenticazione per utente o per device, revoca immediata, MFA implicita (chi ha il certificato), nessuna password da memorizzare, log per utente. Svantaggi: serve una PKI interna e un server RADIUS.

Procedura passo-passo

1. Installa una CA interna (Microsoft AD CS, o Smallstep step-ca per ambienti Linux).
2. Installa un server RADIUS (Windows NPS, FreeRADIUS, Aruba ClearPass).
3. Configura il RADIUS per accettare le richieste degli AP e fidarsi della CA interna.
4. Genera un certificato server per il RADIUS firmato dalla CA.
5. Distribuisci i certificati client via GPO (Windows) o MDM (Intune, Jamf).
6. Configura il SSID con WPA2/WPA3-Enterprise EAP-TLS che punta al RADIUS.
7. Crea profilo client (wpa_supplicant, .mobileconfig per Apple) che include CA root e certificato utente.
8. Testa connessione e revoca: revoca un certificato e verifica che il client venga disconnesso al prossimo rinnovo.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• Validazione certificato server disabilitata: il client accetta qualsiasi RADIUS. Forza la validazione del CN/SAN sui client.
• Certificati senza scadenza: rendono difficile la rotazione. Usa validità di 1-2 anni con autorinnovo.
• CRL non raggiungibile: la revoca non funziona se i client non possono scaricare la CRL. Usa OCSP stapling.
• BYOD senza MDM: distribuire certificati su device personali senza MDM è un'incubo. Usa SCEP o EAP-TLS con onboarding portal.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con EAP-TLS e PSK per autenticazione WiFi, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per EAP-TLS e PSK per autenticazione WiFi questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: EAP-TLS funziona con Android?
R: Sì, ma l'installazione del certificato richiede MDM o sideload manuale.

D: Posso usare EAP-PEAP invece di EAP-TLS?
R: PEAP usa username+password tunnel TLS. Più semplice ma vulnerabile se la password è debole.

D: Quanti utenti servono per giustificare EAP-TLS?
R: Dai 30-50 utenti in su il vantaggio gestionale supera il costo di setup.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.