Buona domanda che senza dubbio poche persone si pongono in realtà.
Ai nostri giorni, connettersi a una rete Wi-Fi è diventato quasi indispensabile, soprattutto quando ci si trova fuori dal paese e il roaming rischia di costare caro. Un’altra ragione altresì, quando vi trovate in un luogo dove i muri non lasciano passare bene la rete mobile 4G/LTE e lì… un Wi-Fi si rivela necessario, anche se siete in Svizzera con un 4G/5G illimitato nel vostro abbonamento.
Allora, l’abbiamo fatto tutti. Cercate una rete disponibile (SSID = il nome della rete)… tutte protette con un piccolo lucchetto… 1 sola senza lucchetto e la provate!
Attenzione, le reti senza lucchetto significano che queste reti sono accessibili senza password, ma ciò non significa né che avrete accesso a Internet, né che sia senza rischi.
In effetti, una rete “aperta” può:
- Connettervi a un indirizzo Internet temporaneo (senza accesso a Internet) per aprirvi in una 2ª finestra un portale che vi chiede i vostri dati (nome, telefono, mail, ecc.). Sono quelli che si trovano più spesso nelle hall degli hotel o negli aeroporti.
- Essere un’esca che si chiama anche “honeypot” e che è lì per attirare gli hacker e distoglierli un po’ più a lungo dalla vera rete dell’azienda/hotel/luogo che, invece, sarà protetta.
Le reti aperte (il cui traffico non è d’altronde cifrato!) si trovano nelle città, nei luoghi turistici, sulle piazze, sul bordo del lago o nei centri commerciali. Hanno come principale scopo ufficiale darvi accesso a Internet, ma il loro reale scopo secondario è prendere i vostri dati in cambio di un accesso a Internet. Perché bisogna o dare loro il proprio numero di mobile e ricevere un SMS, o inserire un’email e i dati di contatto. La ragione di questo scambio di dati è a quanto dicono assicurare la vostra sicurezza e accertarsi che non siate una macchina. Ma nel 2021, sappiamo ormai bene che i dati offerti “gratuitamente” sono rivenduti per la maggior parte o utilizzati a vostra insaputa. Come dice ancora il proverbio, “se è gratis, il prodotto siete voi!”.
Ovviamente, un Wi-Fi aperto è pratico e non necessariamente sempre pericoloso, sebbene…
Una volta connessi a una rete pubblica “aperta”, siete in generale esposti a molti rischi come gli attacchi, visto che tutti possono collegarvisi facilmente; notate la moltitudine di spam che riceverete in seguito a causa della vostra iscrizione in più. O SMS indesiderati e ancora molti altri piccoli fastidi. Inoltre, una rete aperta non essendo cifrata, tutto il traffico da e verso il vostro dispositivo può essere visto “in chiaro” da hacker sulla stessa rete. Pensate quindi a uno strumento di VPN!
Una raccomandazione importante comunque: una volta disconnessi da questo tipo di reti, modificate manualmente i parametri del vostro smartphone o del vostro computer affinché NON lo lasciate riconnettersi in futuro automaticamente. Perché?
Perché qualcuno di malintenzionato potrebbe ad esempio simulare la stessa rete Wi-Fi (stesso SSID) aperta e che durante la vostra prossima visita, piuttosto che connettervi al Wi-Fi che pensate, vi connetterete a quello dell’hacker senza nemmeno accorgervene… ed è come aprirgli la porta di casa spalancata!
Quindi, le reti aperte… sì, ma con alcune precauzioni. Personalmente, una volta terminato, le elimino dalla mia lista di reti conosciute.
Aggiunto il 6.7.2021: Altra funzionalità degli smartphone, la connessione automatica ai punti di accesso (hotspot) pubblici e non protetti. Da disattivare, ovviamente… consigliamo anche di disattivare la richiesta incessante di connessione alle reti quando lo smartphone le trova, perché consuma più batteria scansionare costantemente le reti.
Per fortuna, abbiamo anche reti protette, le quali rappresentano oggi la maggioranza delle reti, poiché le aziende come i privati le hanno messe in sicurezza da tempo.
La sicurezza può trovarsi a diversi livelli di cui i principali sono:
- Un SSID nascosto
- Una chiave/codice con i protocolli di cifratura WEP/WPA/WPA2/WPA3
- Il filtro di accesso per indirizzo MAC
- Un portale aggiuntivo
- Un server di autenticazione RADIUS…
L’SSID nascosto… un’esca poco efficace e piuttosto fonte di problemi. In effetti, sebbene nascosto, con semplici strumenti, un hacker o uno specialista potrà trovarlo. Inoltre, se nascondete il vostro Wi-Fi a casa, c’è una forte probabilità che alcuni periferici non possano connettervisi o peggio, si connettano e se ne disconnettano troppo spesso. È bene scegliere un nome (SSID) che non dia alcuna informazione sul tipo di router o sulla vostra identità; ciò limiterà i rischi.
La chiave, o piuttosto la codifica della chiave è importante.
Inizialmente, i primi Wi-Fi avevano una cifratura WEP (Wired Equivalent Privacy), ma era relativamente semplice da crackare e molto presto un nuovo modo di cifratura chiamato WPA/WPA2/WPA3 (Wi-Fi Protected Access pre-shared key) lo ha sostituito.
Il WEP fu quindi abbandonato nel 2004 a favore del WPA e del WPA2 dal 2006.
La modalità WPA è ben più sicura e a titolo privato, troverete il WPA Personal TKIP, il quale cifra la vostra chiave condivisa, ma in azienda, la versione WPA Enterprise aggiunge un livello supplementare facendo appello a un server di autenticazione in più.
Il WPA2 aggiunge una codifica AES (Advanced Encryption Standard) validata dal governo americano per la protezione dei dati sensibili. Dovrebbe andare piuttosto bene…
Da notare qui che la maggior parte dei router privati ha una funzione WPS (Wi-Fi Protected Setup) che semplifica molto la configurazione del vostro Wi-Fi, ma che apre anche una falla molto importante a cui WPA e WPA2 sono ancora molto vulnerabili. Disattivare il WPS è in generale una saggia decisione. Una soluzione migliore arriva con il WPA3.
Per chi ignora cos’è questo WPS, è in generale un piccolo pulsante fisico sul davanti o sul dietro del router che consente una « auto-configurazione » di un Wi-Fi protetto senza passare da un’interfaccia di configurazione.
Al giorno d’oggi, configurando una rete Wi-Fi, la scelta dovrebbe cadere su WPA2-AES, ma capita che per accedere a vecchi periferici, occorra abbassare un po’ il livello di sicurezza. È la giustificazione della scelta spesso trovata di WPA-TKIP o WPA2-TKIP/AES affinché tutti i vostri periferici possano connettersi al vostro Wi-Fi.
È importante capire che la protezione di un Wi-Fi dipenderà da un lato dal suo parametraggio, ma anche dagli apparecchi che vi si connetteranno, i quali, se non supportano la modalità di codifica, non potranno semplicemente connettervisi. L’avrete compreso, nei luoghi pubblici troveremo quindi Wi-Fi spesso mediamente protetti per consentire al maggior numero di utilizzarli, come i clienti di un hotel.
Allora sì… si parla ormai del WPA3 nel quadro del Wi-Fi 6, il quale rende più complicato rubare la vostra password (con un attacco tramite dizionario ad esempio), ma se il vostro computer o smartphone non conoscono questa modalità di codifica, nessun collegamento sarà possibile. Non si può quindi mettere WPA3 al 100% per ora.
Altro punto, vedrete spesso su un router una funzionalità chiamata “Filtraggio per indirizzo MAC”. Si tratta qui di una funzionalità che limiterà gli apparecchi (MAC=identificativo unico per ogni apparecchio di rete) che possono connettersi alla vostra rete (ma che non è senza falle) autorizzando a connettersi solo e unicamente quelli che saranno validati da voi. Ciò ha per effetto che i vostri amici non potranno connettersi al vostro Wi-Fi senza che voi li aggiungiate manualmente (fastidioso). Occorrerà andare sul vostro router, inserire l’amministratore e la password, rilevare l’indirizzo MAC dell’apparecchio da autorizzare e aggiungervelo. Inoltre, un vero hacker può “spoofare” l’indirizzo MAC, cioè fingersi un indirizzo autorizzato e entrare comunque. Questo metodo è vincolante e il rapporto guadagno-rischio non è necessariamente giustificato.
Come 4° punto, è possibile aggiungere un 2° livello di sicurezza tramite un portale (captive portal) che appare una volta stabilita la connessione Wi-Fi, ma che è una sorta di salvaguardia, una zona neutra dove bisogna mostrare le proprie credenziali con un utente e una password per avere finalmente accesso a Internet. È usato in alcuni hotel con il numero di camera o per le reti “Guest”… è anche piratabile, ma è una misura in più.
L’ultimo punto è quello che utilizzano le aziende per mettere in sicurezza un Wi-Fi. È soprattutto nel quadro di dipendenti identificati, ma si tratta di passare da un server di autenticazione detto RADIUS che vi darà l’accesso solo quando la vostra identità (tramite un certificato e delle informazioni) sarà verificata. Non è qualcosa che si installa in tutte le aziende o almeno non necessariamente nei luoghi pubblici. È un po’ più complesso — ma non tanto — da implementare e aggiunge un migliore livello di sicurezza.
Per chiudere l’argomento, una rete protetta è anche una password (per il Wi-Fi e per l’accesso al router) abbastanza lunga e complicata (come quelle degli operatori quando ricevete il vostro router). Se mettete il vostro cognome o delle cifre, sarà facile piratarla. Privilegiate qualcosa di lungo con caratteri alfanumerici in più. Potete generare una password qui
Attenzione nonostante tutto, perché secondo i router, una password come 21wdEx)W%dVD3%aV non sarà sempre accettata. Alcune marche non autorizzano tutti i caratteri.
Quindi alla fine… sì, un Wi-Fi aperto è figo, ma attenzione alle precauzioni di base. Le reti protette non vi garantiscono un “senza falle”, perché i protocolli WPA/WPA2 hanno numerose vulnerabilità conosciute.
La sicurezza al 100% non esiste, è certo, ma è possibile aggiungere barriere in più per rallentare eventuali hacker.
Sappiate comunque che per la maggior parte del tempo non interessiamo gli hacker, ma se è il caso e avete dati da proteggere, siate vigilanti, attivate il firewall, cifrate i vostri dati, fate dei backup e investite un po’ su un client VPN come ExpressVPN ad esempio.
Vi consigliamo volentieri.
