WEP, se lo conosci lo eviti
Come prima e più importante regola, è strettamente necessario, come si è intuito leggendo i capitoli che precedono, utilizzare un algoritmo di autenticazione (con conseguente cifratura dei dati scambiati) di tipo WPA in luogo del WEP: per realtà SOHO, è largamente sufficiente un'autenticazione WPA/PSK (pre-shared key), che prevede che dispositivi di accesso ed host che intendano connettersi ad esso conservino un segreto condiviso (password); per realtà aziendali importanti invece si può optare per lo standard WPA-RADIUS, che coinvolge appunto un server RADIUS per l'autenticazione degli host.
Riferendosi al WPA/PSK, esso è immune ad attacchi al protocollo (per lo meno finora nessuno ha trovato falle), ma certo non è immune ad attacchi di tipo forza bruta: se come password selezionerete il vostro nome od una password debole, chi intendesse crackare la vostra rete wireless vi ringrazierebbe di cuore.
Morale della favola: utilizzare sempre ed ancora sempre password forti, lunghe, complicate e non presenti su alcun vocabolario: che vi costa, non dovrete ricordarle voi, ma il vostro connection manager!
"Zittite la suocera"
Secondariamente, è utile disabilitare il l'informazione sul SSID che gli AP inviano ad intervalli regolari (nei frame beacon) per palesare la loro presenza, in funzione appunto di un più facile riconoscimento da parte dei nuovi host, che "sentiranno" automaticamente la presenza dei dispositivi di accesso vicini, su tutti i canali disponibili definiti dallo standard.
Così come operano gli host legittimi, però, potrebbe operare un attaccante alla ricerca delle reti Wi-Fi nelle vicinanze o qualche lamer sfaccendato in intenti da wardriver.
È quindi consigliato disabilitare l'invio di tali identificativi per l'etere ed impostare manualmente il SSID dell'AP desiderato sui (tutti i) client affinché essi si possano connettere ad esso.
La morale è nascondersi (security through obscurity): se non siete visti probabilmente sfuggirete a tentativi di attacco, e con ciò intendo non solo attacchi di natura puramente tecnica, come da oggetto di questa guida, ma - perché no - anche tentativi di attacco della tipologia di ingegneria sociale, che potrebbero rivelarsi ben più temibili.
Va da sé, per finire, che se lasciamo invariati gli identificativi impostati di default dal costruttore sui dispositivi di accesso, tutta la nostra premura sarà servita a ben poco: un dispositivo di accesso Linksys avrà l'SSID "linksys". Piuttosto facile da indovinare, trovate?
