Il segnale della rete wireless si può proteggere mediante la cifratura. Infatti i produttori hanno dotato le schede wireless di un sistema di cifratura denominato WEP. Il guaio è che le schede vengono vendute con il WEP disattivato: sta all'utente attivarlo. Bella furbata. Non che serva a molto, comunque, perché il WEP, spacciato per ultrasicuro, si "buca" in meno di un quarto d'ora. Insieme al WEP esistono altri sistemi di cifratura WPA più complessi da decodificare ma sempre vulnerabili.

Questo non vuol dire che ci si debba mettere alla mercé del primo aspirante intruso che passa. C'è una serie di misure per ridurre notevolmente il rischio di intrusioni.

Cambio dell'indirizzo IP dell'access point

Gli access point hanno di solito un indirizzo IP predefinito in fabbrica. Gli intrusi conoscono questi indirizzi IP standardizzati e pertanto possono andare a colpo sicuro nel cercare di accedere al vostro access point. Per questo conviene cambiare l'indirizzo IP dell' access point.

Controllo del MAC address

Ogni scheda di rete (wireless o meno) ha un proprio "numero di serie", che si chiama MAC address. Gli access point possono essere impostati in modo da accettare connessioni soltanto dalle schede che hanno un certo MAC address. Questo rende molto difficile all'intruso penetrare nella rete, perché deve prima scoprire uno dei MAC address autorizzati. Non è impossibile, ma è una scocciatura che scoraggia buona parte degli aggressori.

Pertanto conviene assolutamente attivare il controllo del MAC address.

Niente DHCP

Il DHCP è un sistema che semplifica la gestione di una rete assegnando automaticamente un indirizzo IP a ogni macchina che si collega alla rete. Questo è comodo in un ambiente cablato, ma è pericoloso in un ambiente wireless, perché assegnerebbe automaticamente un indirizzo IP anche a un intruso.

Bisogna quindi disabilitare il DHCP sull'access point e assegnare manualmente gli indirizzi alle singole schede wireless.

Tenete presente, comunque, che un intruso abbastanza furbo è in grado di aggirare questo ostacolo (gli basta indovinare la gamma di indirizzi IP che usate, tipicamente 192.168.0.*). Ma è proprio questo il concetto: creare una serie di ostacoli che singolarmente sono superabili, ma cumulativamente sono una tale pena che l'intruso cambia aria.

Cambio dell'SSID

La rete wireless ha un suo identificativo, chiamato SSID, che le schede wireless devono conoscere per potervisi collegare. Anche l'intruso ha bisogno di conoscerlo per fare il suo sporco mestiere. Il guaio è che conoscerlo è facilissimo: la maggior parte dei dispositivi wireless è impostato in fabbrica in modo da usare, come SSID, il nome del fabbricante. Altra bella furbata. Siccome i fabbricanti non sono poi tanti, è banale per l'intruso tentarli uno per uno.

Quindi un altro bastone da mettere tra le ruote dell'intruso è cambiare l'SSID, assegnandone uno poco intuitivo. Ricordate che dovete cambiare l'SSID su tutte le schede della rete e nell'access point, e che comunque l'SSID rimane intercettabile, anche se più faticosamente, quindi non usate come SSID una vostra password o altre informazioni delicate. Non usate come SSID il vostro nome o il nome della ditta.

WEP? Ma sì, male non fa

Il WEP è un colabrodo, ma nel suo piccolo è comunque un ostacolo in più da frapporre fra la rete e gli intrusi. Va quindi attivato insieme a tutte le altre contromisure, e al massimo livello possibile (di solito 128 bit), ma attenzione: non si devono usare eventuali chiavi predefinite.

Queste chiavi predefinite, infatti, sono uguali per tutti i dispositivi wireless dello stesso produttore e quindi sono conosciutissime. Se le usate, per l'intruso (che le conosce) è un gioco da ragazzi entrare.

Alcuni dispositivi wireless permettono di scegliere fra WEP facoltativo e WEP obbligatorio, ossia di accettare sia connessioni cifrate, sia connessioni non cifrate oppure accettare soltanto quelle cifrate. Se avete quest'opzione, scegliete il WEP obbligatorio, che rifiuterà tentativi di connessione da schede wireless senza WEP.

Spegnere quando non serve

Può sembrare un consiglio abbastanza banale, ma è una di quelle contromisure così ovvie che raramente vengono prese in considerazione: spegnete la rete wireless quando non la state usando. Se la rete wireless non è in funzione, l'intruso non ha modo di usarla e ha meno tempo per tentare di entrarvi quando è accesa.

Un esempio tipico è il mio caso: il portatile di solito se ne sta sulla scrivania, e in tal caso è collegato alla rete locale via cavo. La rete wireless è accesa soltanto quando prendo il portatile e vado in un'altra stanza o in giardino. Quando non uso il portatile, spengo la rete wireless (le altre macchine di casa sono cablate).

Questo ha anche il vantaggio secondario di ridurre la propria esposizione alle onde radio emesse da ogni dispositivo wireless. Non risulta alcuna prova seria del fatto che questi campi elettromagnetici siano nocivi, ma nel dubbio, se si possono evitare è meglio. E' sceintificamente provato : un anno di esposizione a WiFi corrisponde a circa 1 ora di esposizione a telefono cellulare.

Condivisioni di Windows

Se usate Windows, vi conviene mettere una password sulle risorse condivise. Le password di condivisione di alcune versioni non patchate di Windows (XP, per esempio) sono "bucabili" abbastanza facilmente ma costituiscono comunque un ostacolo in più.

Sicurezza fisica

Questo è un aspetto regolarmente trascurato della sicurezza delle reti wireless. E' importante fare in modo che il segnale radio esca il meno possibile dall'edificio. Se non c'è segnale fuori dall'edificio, l'intruso non solo non ha nulla a cui attaccarsi: non può neppure sapere che avete una rete wireless.

Non è difficile bloccare il segnale radio quanto basta per renderlo inutilizzabile dall'esterno. La prima cosa da fare è collocare l'access point al centro della zona da coprire e il più lontano possibile dai muri esterni. La seconda è schermare l'access point nelle direzioni che non vi interessa coprire. Per esempio, se dovete collocare un access point vicino a un muro esterno, mettete un foglio metallico fra l'access point e il muro (anche vicino all'access point, a mo' di paravento): rifletterà il segnale radio e gli impedirà di dirigersi verso l'esterno dell'edificio.

Infine, non dimenticate la terza dimensione. Il segnale radio non si diffonde soltanto orizzontalmente, ma anche verticalmente. Chi abita o lavora al piano superiore o inferiore è lontano, in linea d'aria, solo pochi metri dal vostro access point, e quindi ne riceve benissimo il segnale. Anche qui, il rimedio è schermare, schermare, schermare.

Trucchi evoluti

• si può separare la rete cablata dalla rete wireless, interponendo fra le due reti un firewall hardware o software. Il firewall consente poi alle macchine wireless di accedere a quelle della rete cablata soltanto a determinate condizioni, che potete impostare a vostro piacimento: per esempio, potete permettere di accedere via wireless a Internet o al server Web della vostra rete cablata, ma non alle risorse condivise (dischi e stampanti).