Conectar-se automaticamente a uma rede com um SSID oculto é uma má ideia.
Como seu computador não pode escutar passivamente a transmissão SSID e conectar-se automaticamente quando vê o SSID (que não será exibido na transmissão do beacon, pois é assim que o SSID é oculto), ele deve ativamente enviar pacotes de teste com o SSID da rede, mesmo que não esteja perto do ponto de acesso , e esperar por uma resposta. Isso significa que, em vez de o ponto de acesso transmitir seu nome o tempo todo, você tem todos os computadores configurados para se conectar automaticamente a ele transmitindo seu nome o tempo todo, não importando onde estejam .
Sem mencionar que, para ser capaz de roaming entre vários pontos de acesso com o mesmo SSID, o computador precisa conhecer seu BSSID (essencialmente, o endereço MAC do AP). Geralmente eles fazem isso ouvindo os beacons transmitidos pelos pontos de acesso. Como os beacons não têm o SSID (ei, ele está oculto!), O computador tem que enviar periodicamente solicitações de teste mesmo se já estiver conectado ao ponto de acesso . Tornar ridiculamente fácil para um intruso descobrir o SSID se até mesmo um computador estiver conectado à rede. Sem mencionar os ataques de desassociação.
Assim, ele ganha quase zero de segurança (ainda é muito fácil encontrar o SSID) e perde um pouco mais de segurança (os computadores clientes anunciam constantemente para o mundo "ei, eu sou um computador pertencente a alguém que trabalha na empresa XYZ! ", mesmo quando nada perto da empresa XYZ). O resultado líquido é negativo.
A única maneira de reduzir ou até mesmo evitar a perda de segurança é conectá-lo manualmente em vez de automaticamente. O que parece ser o que a Apple está fazendo. (O Windows Vista, pelo que me lembro, avisa sobre os problemas de segurança quando você tenta configurá-lo para se conectar automaticamente. O NetworkManager usado pela maioria das distribuições Linux também parece fazer a escolha da conexão salva manualmente).
Em teoria, seria possível salvar os BSSIDs conhecidos para cada ESSID e enviar a solicitação de sonda apenas quando um sinalizador de um deles for recebido (isto é, quando você estiver perto de um ponto de acesso que tenha sido no passado usado para esse SSID). Eu não sei porque ninguém parece ter tentado isso ainda.