Il 26 ottobre 2026, durante il Partner Summit di Vancouver, Cisco ha presentato il Cisco Wireless CW9176ISEC, che descrive come il primo access point Wi-Fi 7 con funzioni di resistenza agli attacchi quantistici (comunicato Cisco). Per chi segue il tema Wi-Fi 7 sicurezza post-quantistica è la prima volta che la protezione arriva fino al punto di accesso radio, dove si collegano portatili, telefoni e sensori. Insieme all’access point arrivano la crittografia post-quantistica via radio, un aggiornamento dei controller Catalyst 9800 e Auto MACsec, che cifra da solo il cavo tra access point e switch (blog Cisco).
In questo articolo vediamo perché la crittografia della rete senza fili va ripensata già adesso, cosa fanno i singoli pezzi annunciati e cosa tenere presente se nei prossimi mesi devi rinnovare Wi-Fi e switch in azienda.
Un computer quantistico abbastanza potente potrebbe rompere gli algoritmi a chiave pubblica che oggi proteggono gran parte delle comunicazioni. Nessuno sa con certezza quando ci sarà. Il NIST ricorda che alcuni esperti si aspettano una macchina del genere entro un decennio, e intanto c’è chi si porta avanti: Cisco scrive che sono già in corso attacchi di tipo “harvest now, decrypt later”, in cui il traffico cifrato viene intercettato e archiviato oggi per essere decifrato quando la potenza di calcolo lo permetterà (blog Cisco).
Se i dati che passano dal tuo Wi-Fi devono restare riservati per anni (progetti, contratti, dati sanitari o del personale) il rischio riguarda anche te. Secondo Cisco la minaccia quantistica tocca anche le identità dei dispositivi, le firme del software e gli aggiornamenti: un firmware firmato con algoritmi superati potrebbe un giorno essere falsificato (blog Cisco). Un access point installato oggi resterà in servizio per diversi anni, quindi è probabile che lavori proprio nel periodo in cui la crittografia cambierà. Per questo il discorso sulla Wi-Fi 7 sicurezza post-quantistica riguarda già i rinnovi di oggi.
Ad agosto 2024 il NIST ha pubblicato i primi tre standard di crittografia post-quantistica: FIPS 203 (ML-KEM) per lo scambio delle chiavi, FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA) per le firme digitali, invitando gli amministratori di sistema a iniziare subito la migrazione perché richiederà tempo (NIST).
La NSA americana ha costruito su questi algoritmi la suite CNSA 2.0, obbligatoria per i sistemi di sicurezza nazionale degli Stati Uniti. La suite prevede AES a 256 bit, ML-KEM-1024, ML-DSA-87, SHA-384 o SHA-512 e, per firmare firmware e software, gli schemi LMS e XMSS (FAQ NSA su CNSA 2.0). Le scadenze sono queste:
| Data | Cosa prevede CNSA 2.0 |
|---|---|
| 1 gennaio 2027 | Gli algoritmi CNSA 2.0 sono richiesti in tutti i nuovi acquisti per i sistemi di sicurezza nazionale USA |
| 31 dicembre 2030 | Le apparecchiature che non supportano CNSA 2.0 vanno dismesse, salvo eccezioni |
| 31 dicembre 2031 | Uso obbligatorio degli algoritmi CNSA 2.0 per raggiungere la piena resistenza quantistica |
Un’azienda italiana non è vincolata a queste date. Sono però il calendario più preciso disponibile, e chi produce apparati di rete si sta organizzando per rispettarlo: è un buon segnale di quando la crittografia post-quantistica diventerà la norma anche sul mercato.
Il CW9176ISEC è una variante del CW9176I, l’access point Wi-Fi 7 da interno con antenne omnidirezionali che Cisco vende già. Cisco lo indirizza ai sistemi di sicurezza nazionale e alle organizzazioni con requisiti stringenti di sicurezza e conformità, e lo presenta come il primo access point con funzioni quantum-safe allineate a CNSA 2.0 (blog Cisco).
La differenza principale sta nell’avvio. Il secure boot del CW9176ISEC usa ancore di fiducia hardware e algoritmi approvati dal NIST per verificare l’integrità del software dal momento dell’accensione, con un avvio sicuro conforme a CNSA 2.0 (scheda tecnica Cisco). Se qualcuno prova a caricare un firmware manomesso, l’access point se ne accorge prima di eseguirlo.
Per il resto l’hardware è quello del CW9176I. La scheda tecnica Cisco indica:
Un dettaglio pratico per chi rinnova gli switch: sul CW9176I le tre radio a pieno regime e la porta a 10 Gbps richiedono l’alimentazione Cisco UPOE (802.3bt), fino a 39 W. Con il PoE+ (802.3at) la radio a 2,4 GHz scende a 2×2 e il collegamento a 2,5 Gbps (scheda tecnica Cisco). Prima di scegliere l’access point conviene quindi controllare il budget PoE degli switch e i cavi esistenti.
L’access point da solo non basta, perché il traffico parte dal portatile dell’utente. Per questo Cisco lavora con Qualcomm, Intel e Microsoft sulla crittografia post-quantistica over the air (PQC OTA), cioè applicata al collegamento radio tra dispositivo e access point. Gli access point Cisco montano chip Qualcomm, mentre lato client servono il chipset e il driver Wi-Fi di Intel e il software di sistema Windows di Microsoft (blog Cisco).
La funzione arriverà da gennaio su tutta la gamma di access point Wi-Fi 7 di Cisco, quindi anche su quelli già installati, senza sostituire l’hardware (blog Cisco). La scheda tecnica precisa che la PQC via radio è disponibile sugli access point con IOS XE 27.1.1 (scheda tecnica Cisco). Le fonti non dicono quali modelli di portatile o quali versioni di Windows saranno compatibili: prima di pianificare conviene aspettare le note di rilascio.
Sempre da gennaio Cisco aggiornerà i controller wireless della serie 9800 e i Campus Gateway, portando su di loro le stesse funzioni di resistenza quantistica del CW9176ISEC (blog Cisco). In questo modo è protetto anche il dialogo tra access point e sistema di gestione, oltre a quello tra access point e client.
Il comunicato aggiunge che Live Protect, la funzione che riduce il tempo tra la pubblicazione di una vulnerabilità e l’installazione della patch, ora è supportata anche sui controller CW9800 e sugli switch C9000 (comunicato Cisco). Nel blog Cisco ricorda poi che la crittografia via radio si può abbinare alla microsegmentazione con i security group tag, per vedere e controllare il traffico tra dispositivi interni alla rete (blog Cisco).
Resta un tratto spesso dimenticato, il cavo tra access point e switch. MACsec lo cifra, ma finora andava configurato porta per porta, un lavoro pesante quando gli access point sono centinaia (blog Cisco).
Con Auto MACsec lo switch riconosce gli access point Wi-Fi 7 compatibili, applica le policy di sicurezza e stabilisce una cifratura basata su certificati. Se l’access point viene spostato su un’altra porta, lo switch ripete la procedura senza che un tecnico debba configurare la nuova interfaccia (blog Cisco). I requisiti indicati da Cisco:
Se nel tuo piano c’è anche il rinnovo degli switch di accesso, questo è il punto da guardare: senza switch compatibili la cifratura automatica del cavo non c’è.
Mettendo insieme i pezzi, Cisco copre quattro tratti della rete senza fili: l’avvio dell’access point, la radio tra client e access point, il collegamento con il sistema di gestione e il cavo verso lo switch (blog Cisco). Il comunicato colloca il CW9176ISEC dentro un portafoglio quantum-resilient che comprende wireless, switching e routing, e annuncia che Cisco IQ avrà playbook “Quantum Safe” basati sull’IA per individuare i rischi, e che Cisco Cloud Control mostrerà anche lo stato di preparazione quantistica (comunicato Cisco).
Per un’azienda che deve rinnovare la rete nel 2026 o nel 2027 questo si traduce in alcune verifiche concrete. La prima è l’inventario: quali access point e switch hai, che versione di software montano e se sono ancora supportati. La seconda riguarda gli switch, che devono reggere il PoE richiesto dagli access point Wi-Fi 7 e, se ti interessa Auto MACsec, essere della serie C9350. Poi c’è il parco client, perché la crittografia via radio richiede chipset e driver adatti.
Il CW9176ISEC ha senso soprattutto dove le regole di conformità lo chiedono o dove i dati devono restare riservati a lungo; per molti uffici può bastare un access point Wi-Fi 7 standard aggiornato al software che porterà la PQC via radio. In entrambi i casi la Wi-Fi 7 sicurezza post-quantistica conviene metterla nel capitolato già adesso, così gli apparati che compri restano aggiornabili.
Su questi temi trovi anche altri approfondimenti nel nostro blog, come l’articolo su come scegliere il partner IT per la tua azienda.
Cisco è tra i marchi delle reti aziendali con cui lavoriamo, e seguiamo progetti di rete e sicurezza per aziende che vogliono rinnovare Wi-Fi e switch senza fermare il lavoro. Con VMS’S Group puoi:
Se vuoi capire da dove partire, scrivici: ci basta sapere quanti access point e switch hai oggi e quali dati passano dalla rete.
È l’uso di algoritmi crittografici pensati per resistere a un futuro computer quantistico, applicati all’avvio dell’access point, al collegamento radio con i client e alla gestione. Cisco la introduce con il CW9176ISEC e con la crittografia post-quantistica via radio sugli access point Wi-Fi 7.
Secondo Cisco no: la crittografia post-quantistica via radio arriverà da gennaio su tutta la gamma Wi-Fi 7 con un aggiornamento software. Il CW9176ISEC aggiunge l’avvio sicuro conforme a CNSA 2.0, utile dove la conformità lo richiede.
IOS XE 26.2.1 e switch Cisco C9350 Series Smart Switch. Sul CW9176ISEC è attivo di fabbrica, mentre gli access point già installati lo supportano dopo l’aggiornamento software.
No, riguardano i sistemi di sicurezza nazionale degli Stati Uniti. Sono comunque un riferimento utile per capire quando i produttori renderanno la crittografia post-quantistica la scelta predefinita.
Devi rinnovare Wi-Fi e switch in azienda?
Raccontaci com’è fatta la tua rete oggi e quali dati ci passano. Ti ricontattiamo per valutare insieme access point, switch e tempi del rinnovo: il modulo è qui sotto.
Hai domande su questo argomento o vuoi capire come applicarlo alla tua azienda? Compila il modulo: ti ricontattiamo a breve.