Il paradosso del Wi-Fi 7: più sicurezza, più incompatibilità

Chi si occupa di reti wireless in ambito aziendale conosce bene il problema della retrocompatibilità: ogni salto generazionale del Wi-Fi porta con sé la necessità di far convivere client vecchi e nuovi sulla stessa infrastruttura. Con Wi-Fi 7 (IEEE 802.11be) la Wi-Fi Alliance ha alzato l’asticella della sicurezza rendendo obbligatorio il supporto a WPA3 per ottenere la certificazione, eliminando di fatto WPA2 come opzione per i dispositivi “puri” Wi-Fi 7. Una scelta corretta sul piano della sicurezza, che però sta creando un problema di compatibilità reale e documentato, al punto che CableLabs, il consorzio di R&D degli operatori via cavo nordamericani, ha pubblicato un appello diretto ai produttori di chipset e access point.

Cos’è la WPA3-Personal Compatibility Mode

Per evitare di tagliare fuori dal giorno alla notte milioni di dispositivi WPA2 ancora in circolazione, lo standard prevede la WPA3-Personal Compatibility Mode (PCM): un access point in questa modalità pubblicizza contemporaneamente sia WPA2 che WPA3 sullo stesso SSID, lasciando che sia il client a negoziare il livello di sicurezza che supporta.

Il meccanismo tecnico che rende possibile questa coesistenza si basa su elementi chiamati Robust Security Network Overlay (RSNO): informazioni WPA3 aggiuntive che vengono “sovrapposte” ai beacon e ai probe response, separate dagli elementi RSN legacy usati da WPA2. L’idea di design è che un client Wi-Fi 6 o precedente, non riconoscendo gli elementi RSNO, li ignori semplicemente e prosegua con la negoziazione WPA2 standard, mentre un client Wi-Fi 7 li legga e stabilisca automaticamente una sessione WPA3.

Dove si rompe la teoria

Il problema è che “ignorare gli elementi sconosciuti” è un comportamento che i client devono implementare correttamente, e non tutti lo fanno. CableLabs segnala che una parte consistente dei dispositivi oggi sul mercato non supporta ancora il parsing degli elementi RSNO: alcuni si limitano a restare bloccati in modalità Wi-Fi 6 con WPA2-Personal, il che è comunque un degrado accettabile, ma altri interpretano male il frame esteso e, invece di ignorarlo, vanno in errore di parsing, con conseguenti disconnessioni intermittenti o impossibilità di associarsi del tutto alla rete dopo un aggiornamento firmware dell’access point.

Il risultato pratico riportato da CableLabs e ripreso da The Register è un aumento delle segnalazioni ai servizi di assistenza degli operatori via cavo: utenti che, dopo la sostituzione del router con un modello Wi-Fi 7, si ritrovano con dispositivi smart-home, stampanti o elettrodomessi IoT più datati che smettono improvvisamente di connettersi, spesso senza un messaggio d’errore comprensibile.

Il problema dell’uovo e della gallina

Alla base c’è una classica dinamica da adozione di standard: i produttori di chipset per dispositivi economici non hanno fretta di implementare RSNO perché “tanto pochi access point lo richiedono ancora attivamente in modo stringente”, mentre i produttori di access point non possono permettersi di disattivare la compatibility mode perché romperebbe il parco dispositivi installato. Nel frattempo, chi ne paga il prezzo sono gli utenti finali con reti miste, ed è proprio per rompere questo stallo che CableLabs si rivolge direttamente all’industria, invece che agli operatori o ai consumatori.

Le raccomandazioni di CableLabs ai produttori

Nel suo blog tecnico, CableLabs indica tre priorità concrete rivolte a chi progetta silicio e firmware:

• Produttori di chipset e dispositivi Wi-Fi 7: dare priorità all’implementazione completa del supporto RSNO, condizione necessaria per operare davvero in modalità Wi-Fi 7 nativa anziché ripiegare su un fallback Wi-Fi 6.
• Produttori con chipset di generazione precedente: validare esplicitamente l’interoperabilità dei propri dispositivi contro access point Wi-Fi 7 di nuova generazione prima del rilascio, anziché scoprire i problemi in campo tramite i ticket di supporto.
• Tutti i vendor coinvolti: garantire una gestione corretta dei frame di management più grandi, dato che i beacon e i probe response con elementi RSNO occupano più byte dei frame WPA2 tradizionali e possono eccedere i buffer dimensionati per gli standard precedenti.

Cosa significa per chi gestisce reti aziendali

Per un amministratore che pianifica il refresh dell’infrastruttura Wi-Fi verso access point Wi-Fi 7, il messaggio pratico è: non trattare la WPA3-Personal Compatibility Mode come una semplice casella di spunta “retrocompatibile”, ma pianificare un roll-out controllato. In concreto conviene:

• Fare un inventario dei client legacy critici (badge reader, stampanti di rete, dispositivi IoT industriali, sensori) prima di sostituire gli access point, verificando con il fornitore se il firmware supporta la negoziazione RSNO o rischia di andare in errore.
• Distribuire l’upgrade per fasi, magari mantenendo un SSID separato in solo-WPA2 per la fase di transizione sui segmenti di rete con dispositivi non aggiornabili, invece di affidarsi solo alla compatibility mode del nuovo AP.
• Testare in laboratorio prima del rollout su larga scala, includendo esplicitamente i modelli di dispositivo più datati presenti in produzione, non solo i client aziendali standard con firmware recente.
• Tenere sotto controllo i log di associazione degli AP nelle prime settimane dopo il passaggio, cercando pattern di disconnessione ricorrenti legati a specifici modelli o vendor di scheda di rete, che sono il segnale più affidabile di un problema di parsing RSNO piuttosto che di un problema di copertura radio.

Il caso Wi-Fi 7/WPA3 è un promemoria per chi lavora su infrastrutture di rete: l’irrigidimento degli standard di sicurezza, per quanto necessario, non è mai un evento istantaneo per l’intero ecosistema di dispositivi connessi. Finché produttori di chipset e di access point non convergono sull’implementazione completa di RSNO, la pianificazione attenta e i test di interoperabilità restano l’unico modo per evitare sorprese in produzione.

Fonte: CableLabs, “Wi-Fi 7 and WPA3 Security Compatibility: A Call to Action for Device Manufacturers”, ripreso da 4sysops.