WPA2 security auditor and enterprise migration matrix
Compare WPA2-Personal (PSK) against WPA2-Enterprise (802.1X / RADIUS), simulate exposure to cryptographic threats (KRACK, dictionary attacks, packet sniffing), and plan your zero-trust network migration.
WPA2-Personal relies on a static pre-shared key across all clients. Because the master key is shared, any user with the passphrase who captures a client four-way handshake can decrypt that client’s unicast traffic over the air. It is also vulnerable to offline PMKID dictionary cracking and KRACK key reinstallation.
Vulnerable to Message 3 replay during 4-way handshake, resetting nonce counter to zero.
The PMKID can be requested straight from the AP and cracked offline on a GPU rig, without waiting for a client to join.
Anyone with the shared PSK can calculate other clients pairwise keys and decrypt unicast airtime packets.
Rogue APs broadcasting the same SSID and PSK easily trick clients into association without mutual auth.
Upgrade your wireless network to zero-trust security
Purple integrates with leading enterprise wireless access points (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist) to deliver seamless 802.1X RADIUS, Passpoint onboarding, and captive portal segmentation without replacing your hardware.
WPA2 es un estándar de seguridad de WiFi muy arraigado que fue obligatorio para los dispositivos certificados con WiFi desde 2006 hasta 2020, y que todavía sustenta el 65% del WiFi del sector público en el sector sanitario y el transporte en el Reino Unido. Utiliza un cifrado sólido basado en AES para proteger el tráfico, pero su dependencia de modelos de autenticación más antiguos, especialmente contraseñas compartidas, lo convierte en un protocolo heredado en 2026.
Si gestiona el WiFi de un hotel, una cadena de tiendas, un hospital, un centro de transporte o una propiedad multi-inquilino, WPA2 no representa automáticamente una emergencia. Sin embargo, depender de claves Pre-Shared Keys (PSK) compartidas introduce riesgos operativos y de seguridad que requieren una solución moderna.
¿Qué es la seguridad WiFi WPA2?
WPA2 (WiFi Protected Access 2) se diseñó para sustituir a WEP y WPA. Introdujo CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol), que utiliza cifrado AES de 128 bits. Durante dos décadas, CCMP proporcionó una sólida confidencialidad de datos en las redes inalámbricas.
WPA2 funciona en dos modos principales:
- WPA2-Personal (WPA2-PSK): Utiliza una única contraseña compartida para cada cliente conectado. Es fácil de implementar, pero crea un único punto de fallo cuando las credenciales se comparten entre el personal, los invitados o los contratistas.
- WPA2-Enterprise (802.1X): Autentica a cada usuario individualmente a través de un servidor RADIUS y protocolos EAP (como EAP-TLS o PEAP), emitiendo claves de sesión únicas por cliente.
¿Sigue siendo seguro el WiFi WPA2 para las redes empresariales?
Aunque el cifrado AES en WPA2 sigue sin romperse criptográficamente, el protocolo sufre dos vulnerabilidades estructurales importantes:
- Ataques de diccionario sin conexión: WPA2-Personal utiliza un saludo de 4 vías (4-way handshake) expuesto a la captura pasiva. Los atacantes que capturan el saludo pueden descifrar la frase de contraseña compartida por fuerza bruta sin conexión, sin alertar a los administradores de la red.
- KRACK (Key Reinstallation Attacks): Descubierto en 2017, KRACK se dirige al saludo de 4 vías para forzar la reutilización de nonce, lo que permite a los atacantes descifrar paquetes, inyectar datos maliciosos o secuestrar conexiones TCP.
En entornos empresariales, el principal desafío suele ser el riesgo de autenticación más que el riesgo de cifrado puro. La gestión de contraseñas PSK compartidas entre cientos de empleados o invitados del establecimiento provoca filtraciones de credenciales, restablecimientos manuales de contraseñas y sobrecarga administrativa.
¿Cuál es la diferencia entre la seguridad WPA2 y WPA3?
WPA3 introduce SAE (Autenticación simultánea de iguales) para reemplazar el vulnerable saludo de 4 vías en las conexiones basadas en contraseña, ofreciendo seguridad de transmisión directa y protección contra ataques de diccionario sin conexión, incluso con contraseñas débiles.
| Característica | WPA2 Personal (PSK) | WPA2 Enterprise (802.1X) | WPA3 Enterprise | Passpoint / OpenRoaming |
|---|---|---|---|---|
| Cifrado | AES-CCMP (128-bit) | AES-CCMP (128-bit) | AES-GCMP-256 | AES-256 + WPA3 Enterprise |
| Autenticación | Clave precompartida compartida | RADIUS / Certificados EAP | Suite EAP de 192 bits | Proveedor de identidad / Passpoint 3.0 |
| Riesgo de filtración de credenciales | Alto (secreto compartido) | Bajo (por usuario / certificado) | Bajo (por usuario / certificado) | Cero (basado en certificados) |
| Compatibilidad con sistemas heredados | Universal (100% de los dispositivos) | Amplia | Puntos de acceso y clientes modernos | Amplia (más de 80 000 ubicaciones en todo el mundo) |
| Carga operativa | Alto índice de rotación por restablecimiento de contraseñas | Mantenimiento moderado de RADIUS | Mantenimiento moderado de RADIUS | Cero restablecimientos manuales de contraseñas |
¿Cómo se actualiza la seguridad de WPA2 sin reemplazar el hardware de red?
Sustituir cada punto de acceso en un patrimonio distribuido en múltiples ubicaciones rara vez es práctico o necesario. En su lugar, los líderes de TI progresistas modernizan la arquitectura de autenticación al tiempo que conservan el hardware existente:
- Elimine las claves PSK compartidas para el personal: Migre la autenticación corporativa a un acceso basado en certificados vinculado a Microsoft Entra ID, Okta o Google Workspace.
- Aísle los dispositivos IoT heredados: Segmente los escáneres, impresoras o terminales más antiguos en VLAN independientes con reglas de firewall estrictas.
- Adopte Passpoint 3.0 y OpenRoaming: Reemplace los portales cautivos y las contraseñas compartidas para invitados con una incorporación automática y cifrada de perfiles Passpoint.
- Automatice la revocación del ciclo de vida: Asegúrese de que el acceso a la red se revoque automáticamente cuando un empleado se marche o cuando un dispositivo deje de estar gestionado.
