WPA2 es un estándar de seguridad de WiFi muy arraigado que fue obligatorio para los dispositivos certificados con WiFi desde 2006 hasta 2020, y que todavía sustenta el 65% del WiFi del sector público en el sector sanitario y el transporte en el Reino Unido. Utiliza un cifrado sólido basado en AES para proteger el tráfico, pero su dependencia de modelos de autenticación más antiguos, especialmente contraseñas compartidas, lo convierte en un protocolo heredado en 2026.
Si gestiona el WiFi de un hotel, una cadena de tiendas, un hospital, un centro de transporte o una propiedad multi-inquilino, WPA2 no representa automáticamente una emergencia. Sin embargo, depender de claves Pre-Shared Keys (PSK) compartidas introduce riesgos operativos y de seguridad que requieren una solución moderna.
¿Qué es la seguridad WiFi WPA2?
WPA2 (WiFi Protected Access 2) se diseñó para sustituir a WEP y WPA. Introdujo CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol), que utiliza cifrado AES de 128 bits. Durante dos décadas, CCMP proporcionó una sólida confidencialidad de datos en las redes inalámbricas.
WPA2 funciona en dos modos principales:
- WPA2-Personal (WPA2-PSK): Utiliza una única contraseña compartida para cada cliente conectado. Es fácil de implementar, pero crea un único punto de fallo cuando las credenciales se comparten entre el personal, los invitados o los contratistas.
- WPA2-Enterprise (802.1X): Autentica a cada usuario individualmente a través de un servidor RADIUS y protocolos EAP (como EAP-TLS o PEAP), emitiendo claves de sesión únicas por cliente.
¿Sigue siendo seguro el WiFi WPA2 para las redes empresariales?
Aunque el cifrado AES en WPA2 sigue sin romperse criptográficamente, el protocolo sufre dos vulnerabilidades estructurales importantes:
- Ataques de diccionario sin conexión: WPA2-Personal utiliza un saludo de 4 vías (4-way handshake) expuesto a la captura pasiva. Los atacantes que capturan el saludo pueden descifrar la frase de contraseña compartida por fuerza bruta sin conexión, sin alertar a los administradores de la red.
- KRACK (Key Reinstallation Attacks): Descubierto en 2017, KRACK se dirige al saludo de 4 vías para forzar la reutilización de nonce, lo que permite a los atacantes descifrar paquetes, inyectar datos maliciosos o secuestrar conexiones TCP.
En entornos empresariales, el principal desafío suele ser el riesgo de autenticación más que el riesgo de cifrado puro. La gestión de contraseñas PSK compartidas entre cientos de empleados o invitados del establecimiento provoca filtraciones de credenciales, restablecimientos manuales de contraseñas y sobrecarga administrativa.
¿Cuál es la diferencia entre la seguridad WPA2 y WPA3?
WPA3 introduce SAE (Autenticación simultánea de iguales) para reemplazar el vulnerable saludo de 4 vías en las conexiones basadas en contraseña, ofreciendo seguridad de transmisión directa y protección contra ataques de diccionario sin conexión, incluso con contraseñas débiles.
| Característica | WPA2 Personal (PSK) | WPA2 Enterprise (802.1X) | WPA3 Enterprise | Passpoint / OpenRoaming |
|---|---|---|---|---|
| Cifrado | AES-CCMP (128-bit) | AES-CCMP (128-bit) | AES-GCMP-256 | AES-256 + WPA3 Enterprise |
| Autenticación | Clave precompartida compartida | RADIUS / Certificados EAP | Suite EAP de 192 bits | Proveedor de identidad / Passpoint 3.0 |
| Riesgo de filtración de credenciales | Alto (secreto compartido) | Bajo (por usuario / certificado) | Bajo (por usuario / certificado) | Cero (basado en certificados) |
| Compatibilidad con sistemas heredados | Universal (100% de los dispositivos) | Amplia | Puntos de acceso y clientes modernos | Amplia (más de 80 000 ubicaciones en todo el mundo) |
| Carga operativa | Alto índice de rotación por restablecimiento de contraseñas | Mantenimiento moderado de RADIUS | Mantenimiento moderado de RADIUS | Cero restablecimientos manuales de contraseñas |
¿Cómo se actualiza la seguridad de WPA2 sin reemplazar el hardware de red?
Sustituir cada punto de acceso en un patrimonio distribuido en múltiples ubicaciones rara vez es práctico o necesario. En su lugar, los líderes de TI progresistas modernizan la arquitectura de autenticación al tiempo que conservan el hardware existente:
- Elimine las claves PSK compartidas para el personal: Migre la autenticación corporativa a un acceso basado en certificados vinculado a Microsoft Entra ID, Okta o Google Workspace.
- Aísle los dispositivos IoT heredados: Segmente los escáneres, impresoras o terminales más antiguos en VLAN independientes con reglas de firewall estrictas.
- Adopte Passpoint 3.0 y OpenRoaming: Reemplace los portales cautivos y las contraseñas compartidas para invitados con una incorporación automática y cifrada de perfiles Passpoint.
- Automatice la revocación del ciclo de vida: Asegúrese de que el acceso a la red se revoque automáticamente cuando un empleado se marche o cuando un dispositivo deje de estar gestionado.
