Autenticación por SMS para WiFi: cómo funciona y cuándo utilizarla

Autenticación por SMS para WiFi: cómo funciona y cuándo utilizarla Una sesión informativa de inteligencia WiFi para empresas de Purple [SEGMENTO 1 — INTRODUCCIÓN Y CONTEXTO — aprox. 1 minuto] Le damos la bienvenida a la sesión informativa de inteligencia WiFi de Purple. Soy su anfitrión, y hoy vamos a ir directos a una de las decisiones más prácticas a las que se enfrentará al desplegar WiFi para invitados a gran escala: ¿debería autenticar a sus usuarios mediante un código de un solo uso por SMS, o debería considerar el inicio de sesión social, la verificación por correo electrónico o algo completamente distinto? No se trata de un debate teórico. Tanto si gestiona un hotel de 400 habitaciones, un centro comercial regional, un estadio de la Premier League o una red de bibliotecas públicas, el método de autenticación que elija tiene implicaciones directas en su cumplimiento normativo, la calidad de sus datos, la experiencia de sus invitados y, en última instancia, el valor comercial que obtiene de su inversión en WiFi. Durante los próximos diez minutos, le explicaré exactamente cómo funciona internamente la autenticación WiFi por SMS, qué datos captura y por qué es importante, y los escenarios específicos en los que supera a las alternativas. Al final, dispondrá de un marco de decisión claro que podrá trasladar a su equipo esta misma semana. Comencemos. [SEGMENTO 2 — ANÁLISIS TÉCNICO DETALLADO — aprox. 5 minutos] Empecemos por lo fundamental. ¿Qué ocurre realmente cuando un invitado se conecta a su red WiFi y pasa por un flujo de SMS OTP? El proceso comienza en el momento en que un dispositivo se asocia con su SSID. En la capa de red, su controlador de acceso —ya sea una plataforma gestionada en la nube como Purple o un controlador de hardware de un proveedor como Cisco Meraki o Aruba— intercepta todo el tráfico HTTP saliente de ese dispositivo. Lo hace antes de que se le haya concedido al dispositivo acceso total a Internet. El mecanismo es un Captive Portal, y la redirección suele ser una respuesta HTTP 302 estándar que dirige el navegador del dispositivo a su página de bienvenida personalizada. Aquí es donde la autenticación por SMS difiere de otros métodos. En lugar de pedir al invitado que inicie sesión con una cuenta social o que introduzca una dirección de correo electrónico, el portal presenta un único campo de entrada: un número de teléfono móvil, con un selector de código de marcación internacional. El invitado escribe su número y pulsa enviar. En ese momento, su plataforma WiFi realiza una llamada API a un proveedor de pasarela de SMS —Twilio, MessageBird, Vonage o similar— transmitiendo el número de teléfono y solicitando que se genere y envíe un código de un solo uso. El OTP suele ser un código numérico de seis dígitos con un tiempo de vida de entre tres y diez minutos, según su configuración. El código se genera mediante un generador de números pseudoaleatorios criptográficamente seguro y es de un solo uso. Se almacena en el servidor, se cifra y se compara con el enviado por el invitado. El invitado recibe el SMS en su terminal —normalmente en un plazo de dos a cinco segundos en una buena red móvil—, introduce el código en el portal y la plataforma lo valida. Tras una validación correcta, el controlador de acceso abre una regla de política que permite que la dirección MAC de ese dispositivo transmita tráfico a Internet. La sesión se registra con una marca de tiempo, el número de teléfono verificado, la dirección MAC del dispositivo, el identificador del punto de acceso y la ubicación del recinto. Desde el punto de vista de los estándares, este flujo se encuadra dentro de la arquitectura más amplia de Captive Portal definida en la norma RFC 7710 y la especificación de la API de Captive Portal del IETF. La seguridad WiFi subyacente es totalmente independiente: normalmente se ejecuta WPA2 o WPA3 en el SSID, y el Captive Portal funciona en la Capa 7, no en la Capa 2. Conviene tener clara esa distinción: el SMS OTP es un mecanismo de verificación de la identidad, no un mecanismo de cifrado de la red. Ambos funcionan en paralelo. Ahora bien, ¿qué datos captura realmente este proceso y por qué es importante? El dato principal es un número de teléfono móvil verificado y activo. Quiero hacer hincapié en la palabra "verificado", porque este es el factor diferenciador clave frente a la autenticación basada en el correo electrónico. Una dirección de correo electrónico puede ser una cuenta desechable creada en treinta segundos. Un número de móvil vinculado a una tarjeta SIM activa es un identificador persistente en el mundo real. Es significativamente más difícil de falsificar a gran escala y es directamente utilizable para comunicaciones de seguimiento mediante marketing por SMS, sujeto, por supuesto, al consentimiento explícito del invitado, que su portal debería capturar en el momento del inicio de sesión. Más allá del propio número de teléfono, un despliegue de autenticación por SMS bien configurado captura: la marca de tiempo de la primera conexión y de cada reconexión posterior; el punto de acceso al que se conectó el dispositivo, lo que le proporciona datos de ubicación física dentro de su recinto; la dirección MAC del dispositivo, que permite identificar a los visitantes que regresan; la duración de la sesión; y, si se trata de un despliegue multisitio, el recinto o propiedad específicos. Este conjunto de datos es reducido por diseño. En comparación con el inicio de sesión social, que puede recopilar el nombre, el correo electrónico, la foto de perfil, el gráfico de amigos y los datos de comportamiento de una plataforma de terceros, la autenticación por SMS captura el conjunto de datos de identidad mínimo viable. Y en un entorno normativo posterior al GDPR, esa reducción es una ventaja, no una limitación. Permítame hablar del aspecto del cumplimiento normativo con un poco más de detalle, porque aquí es donde veo la mayor confusión en este campo. Bajo el GDPR del Reino Unido y su equivalente de la UE, se necesita una base legal para procesar datos personales. Para el WiFi de invitados, la base más defendible suele ser el interés legítimo o, para fines de marketing, el consentimiento explícito. La autenticación por SMS admite ambas de forma limpia. El número de teléfono se recopila con una finalidad clara —el acceso a la red— y cualquier consentimiento de marketing se captura como una casilla de verificación independiente y no vinculada en el momento del registro. No hay ambigüedad sobre qué datos posee, de dónde proceden o para qué se utilizan. El inicio de sesión social, por el contrario, introduce a un tercero responsable del tratamiento de datos en su cadena de consentimiento. Cuando un invitado inicia sesión con su cuenta de Facebook, usted depende de la implementación de OAuth de Meta, de las prácticas de datos de Meta y de la comprensión del invitado sobre lo que está consintiendo. Desde la perspectiva de un Delegado de Protección de Datos, se trata de una superficie de responsabilidad más compleja. Varios grandes grupos hoteleros con los que he trabajado han abandonado el inicio de sesión social precisamente porque sus delegados señalaron la complejidad de la cadena de consentimiento como un riesgo inaceptable. También existe un argumento práctico de resiliencia a favor de la autenticación por SMS. El inicio de sesión social requiere que su portal realice llamadas API salientes a los endpoints de OAuth de Google, Facebook o Apple. Si esos servicios sufren una interrupción —lo cual ocurre—, todo el flujo de incorporación de invitados se interrumpe. Los proveedores de pasarelas de SMS, por el contrario, ofrecen acuerdos de nivel de servicio (SLA) de disponibilidad extremadamente altos, normalmente del 99,95 % o superiores, y se puede configurar la conmutación por error entre varios proveedores. Para un estadio que alberga un evento con 60.000 dispositivos simultáneos, esa resiliencia es de enorme importancia. [SEGMENTO 3 — RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — aprox. 2 minutos] Bien, hablemos del despliegue. ¿Cómo es en realidad una implementación de autenticación por SMS bien ejecutada? En primer lugar, la selección de la pasarela. No se limite a un único proveedor de SMS por defecto. Configure su plataforma para que admita al menos dos proveedores de pasarela con conmutación por error automática. Dirija los números internacionales a proveedores con una sólida cobertura regional: un proveedor con sede en el Reino Unido puede tener excelentes tasas de entrega a nivel nacional, pero un rendimiento deficiente en las redes móviles del sudeste asiático. Si gestiona una marca hotelera internacional, esto es importante. En segundo lugar, la caducidad del OTP y la limitación de velocidad. Establezca el tiempo de vida de su OTP en cinco minutos: lo suficientemente largo para un invitado que esté buscando su teléfono, y lo suficientemente corto para limitar el margen de maniobra de los ataques de relleno de credenciales. Implemente la limitación de velocidad a nivel de número de teléfono: no más de tres solicitudes de OTP por número y hora. Esto evita que su presupuesto de SMS se agote debido a abusos automatizados y protege contra ataques de enumeración basados en SIM. En tercer lugar, la gestión de sesiones. Defina cuidadosamente sus políticas de tiempo de espera de sesión. Para un hotel, es adecuada una sesión de 24 horas con reautenticación automática al regresar; los huéspedes no quieren volver a realizar la verificación cada vez que vuelven de desayunar. Para un estadio o un recinto de eventos, son más adecuadas sesiones más cortas, de dos a cuatro horas, alineadas con la duración del evento, lo que le proporcionará una segmentación de datos más limpia por evento. En cuarto lugar, la captura del consentimiento. Esto no es negociable. Su portal debe presentar una casilla de verificación de consentimiento de marketing clara y desvinculada —independiente de la aceptación de las condiciones del servicio— antes de que el invitado envíe su número de teléfono. Las casillas marcadas previamente no cumplen con el GDPR. El registro del consentimiento, incluida la marca de tiempo y la redacción exacta mostrada al invitado, debe almacenarse y poder recuperarse para fines de auditoría. Ahora, los errores comunes. El fallo más habitual que observo es una cobertura móvil deficiente dentro del recinto. Si sus invitados se encuentran en una sala de conferencias en el sótano o en un pasillo de hotel de paredes gruesas sin señal móvil, no podrán recibir el SMS. La mitigación consiste en ofrecer una vía de autenticación alternativa —OTP por correo electrónico o un simple clic— como alternativa, claramente señalizada en el portal. No convierta el SMS en la única opción. El segundo error común es el formato de los números internacionales. Si su portal no gestiona correctamente el formato internacional completo E.164 —es decir, el signo más, el código de país y el número de abonado—, no podrá entregar los OTP a los invitados internacionales. Pruebe su portal con números de al menos cinco códigos de país diferentes antes de la puesta en marcha. [SEGMENTO 4 — PREGUNTAS Y RESPUESTAS RÁPIDAS — aprox. 1 minuto] Repasemos algunas preguntas que suelo escuchar de arquitectos de red y directores de TI. "¿Puede funcionar la autenticación por SMS junto con 802.1X para las redes del personal?" Por supuesto. Se ejecutan SSID independientes: 802.1X con autenticación basada en certificados para el personal, y Captive Portal con SMS OTP para los invitados. Funcionan de forma independiente sobre la misma infraestructura física. "¿Funciona la autenticación por SMS en dispositivos iOS con aleatorización de direcciones MAC?" Sí. La aleatorización de MAC afecta al seguimiento de los dispositivos entre sesiones, pero dentro de una misma sesión la MAC es estable. Para la identificación de visitantes recurrentes, se correlaciona mediante el número de teléfono verificado, no la dirección MAC. La plataforma de Purple gestiona esto de forma nativa. "¿Cuál es el coste típico de un SMS por autenticación?" A gran escala, el coste es de uno a tres peniques por OTP entregado en el Reino Unido, y ligeramente superior para los números internacionales. Para un hotel de 200 habitaciones que realiza 150 nuevas autenticaciones al día, esto representa aproximadamente entre 1.500 y 2.500 libras al año en costes de pasarela, una partida insignificante frente al valor de los datos y del marketing generados. "¿Es adecuada la autenticación por SMS para entornos PCI DSS?" El SMS OTP no es un control de autenticación PCI DSS para entornos de datos de titulares de tarjetas. Es un mecanismo de identidad de invitados para el acceso a la red. Mantenga la VLAN de WiFi de invitados estrictamente segregada de cualquier infraestructura de red de pago, y no tendrá problemas con el alcance de PCI. [SEGMENTO 5 — RESUMEN Y PRÓXIMOS PASOS — aprox. 1 minuto] Para resumir los puntos clave de la sesión informativa de hoy. La autenticación WiFi por SMS proporciona un identificador de identidad verificado y persistente —el número de teléfono móvil— con un coste mínimo de recopilación de datos y un perfil de cumplimiento del GDPR limpio. Es la opción adecuada para el sector hotelero, eventos y despliegues del sector público donde el perfil demográfico de los invitados es amplio, no se puede asumir la propiedad de cuentas de redes sociales y la sencillez del cumplimiento es una prioridad. El flujo técnico es sencillo: redirección al Captive Portal, introducción del número de teléfono, envío del SMS OTP a través de la API de la pasarela, validación del código y apertura de la sesión. Los datos capturados son mínimos pero útiles: número verificado, marca de tiempo, ubicación e identificador del dispositivo. Elija el SMS en lugar del inicio de sesión social cuando su audiencia sea demográficamente diversa, cuando su Delegado de Protección de Datos tenga dudas sobre las cadenas de consentimiento de OAuth de terceros o cuando necesite resiliencia frente a interrupciones de plataformas de terceros. Sus próximos pasos inmediatos: audite su método de autenticación actual con respecto a sus requisitos de cumplimiento. Si utiliza el inicio de sesión social y no ha revisado su cadena de consentimiento recientemente, es una conversación que debe mantener con su Delegado de Protección de Datos este mes. Si va a realizar un despliegue en un nuevo recinto, configure el SMS OTP como método principal con el correo electrónico como alternativa, y configure proveedores de pasarela de SMS duales desde el primer día. Para obtener más información sobre la plataforma de inteligencia WiFi para invitados de Purple y cómo se integra la autenticación por SMS con nuestra suite de análisis y automatización de marketing, visite purple.ai. Gracias por su atención.