EAP-TLS vs. PEAP: ¿Qué protocolo de autenticación es el adecuado para su red?

EAP-TLS vs PEAP: ¿Qué protocolo de autenticación es el adecuado para su red? Una sesión informativa técnica de Purple [INTRODUCCIÓN - aproximadamente 1 minuto] Le damos la bienvenida a la sesión informativa técnica de Purple. Soy su anfitrión, y hoy vamos a analizar una de las decisiones más trascendentales que tomará al diseñar o actualizar la infraestructura inalámbrica de su empresa: la elección entre EAP-TLS y PEAP para su marco de autenticación 802.1X. Si es usted un responsable de TI, arquitecto de red o CTO a cargo de un grupo hotelero, un complejo comercial, un estadio o una organización del sector público, esta decisión afecta a su postura de seguridad, su nivel de cumplimiento y la carga de trabajo operativo diario que soporta su equipo. Así que vayamos directos al grano. Tanto EAP-TLS como PEAP son métodos de autenticación 802.1X. Ambos dependen de un servidor RADIUS para gestionar las solicitudes de autenticación y ofrecen una seguridad significativamente mayor que una contraseña WPA2 compartida. Pero la forma en que verifican la identidad es fundamentalmente diferente, y esa diferencia tiene importantes implicaciones para la forma en que despliega, gestiona y escala su red. [ANÁLISIS TÉCNICO DETALLADO - aproximadamente 5 minutos] Empecemos con EAP-TLS: Extensible Authentication Protocol Transport Layer Security. EAP-TLS es el estándar de oro de la autenticación de WiFi corporativa. Su característica definitoria es la autenticación mutua por certificado. Lo que esto significa en la práctica es lo siguiente: cuando un dispositivo intenta conectarse a su red, el servidor RADIUS presenta un certificado digital al dispositivo. El dispositivo comprueba ese certificado con sus Autoridades de Certificación de confianza. Pero aquí está la diferencia crítica con PEAP: a continuación, el dispositivo presenta su propio certificado al servidor. El servidor valida ese certificado de cliente y, solo si ambos certificados son válidos y de confianza, la red concede el acceso. No hay contraseñas implicadas. Ninguna. La autenticación se basa totalmente en certificados. Esto hace que EAP-TLS sea extraordinariamente resistente al robo de credenciales, a los ataques de diccionario y a los ataques de Man-in-the-Middle. Sencillamente, no se puede robar una contraseña que no existe en el flujo de autenticación. Ahora bien, la contrapartida es la complejidad del despliegue. Para ejecutar EAP-TLS a escala, se necesita una infraestructura de clave pública (PKI) para emitir, gestionar y revocar certificados para cada uno de los dispositivos de la red. También se necesita una solución de gestión de dispositivos móviles para enviar esos certificados de forma silenciosa a los terminales. Si gestiona un entorno corporativo con Microsoft Intune o Jamf, esto es totalmente viable. Si no es así, EAP-TLS se convierte en una tarea de gran envergadura. La otra consideración operativa es la gestión del ciclo de vida de los certificados. Los certificados caducan. Si el certificado de su servidor RADIUS caduca, todos los dispositivos de su red fallarán en la autenticación simultáneamente. Eso supone una interrupción catastrófica. Los procesos de supervisión y renovación de certificados son innegociables. Ahora examinemos PEAP: Protected Extensible Authentication Protocol. PEAP se diseñó para abordar la complejidad de implementación de EAP-TLS ofreciendo al mismo tiempo una seguridad robusta. La clave fundamental de PEAP es esta: solo se necesita que el servidor tenga un certificado. El cliente no necesita ninguno. Así es como funciona. El servidor RADIUS presenta su certificado al dispositivo cliente. El cliente valida al servidor - al igual que en EAP-TLS. Esto establece un túnel TLS cifrado. Dentro de ese túnel, el cliente realiza una autenticación estándar basada en contraseña, normalmente utilizando MSCHAPv2, contra su almacén de identidades - ya sea Active Directory, LDAP, Google Workspace o lo que sea que esté utilizando. La contraseña nunca viaja en texto plano. Siempre está protegida dentro del túnel cifrado. Por lo tanto, PEAP es verdaderamente seguro - siempre que esté configurado correctamente. Y ahí es donde tenemos que hablar sobre la configuración incorrecta más común y peligrosa en las implementaciones de PEAP. Si un dispositivo cliente no está configurado para validar estrictamente el certificado del servidor RADIUS, un atacante puede configurar un punto de acceso falso con el mismo nombre de red, presentar un certificado fraudulento y el dispositivo se conectará sin problemas. El atacante captura entonces el intercambio de autenticación MSCHAPv2, que puede ser descifrado sin conexión. Esto no es un ataque teórico - es una técnica bien documentada utilizada en pruebas de penetración reales. La solución es sencilla: utilice políticas de grupo (GPO), perfiles MDM o herramientas de incorporación para aplicar una validación estricta del certificado del servidor en cada dispositivo cliente. Pero la realidad operativa es que, en entornos BYOD, garantizar que esta configuración se aplique de forma coherente en miles de dispositivos personales no gestionados es verdaderamente difícil. Permítame ofrecerle una comparación concreta. Piense en una cadena de tiendas con 500 ubicaciones. Disponen de tabletas y escáneres portátiles propiedad de la empresa, todos gestionados a través de Microsoft Intune. EAP-TLS es la opción correcta. Intune distribuye los certificados automáticamente. Si se pierde un escáner, el departamento de TI revoca su certificado y queda fuera de la red en cuestión de minutos - sin restablecimiento de contraseñas ni cambios de contraseñas compartidas en 500 tiendas. La seguridad es absoluta. Piense ahora en un gran centro de conferencias que ofrece WiFi para 3.000 miembros del personal en sus dispositivos personales. Sin MDM. El personal utiliza Google Workspace. PEAP integrado con Google Secure LDAP es la opción pragmática. El personal se autentica con sus credenciales estándar. El equipo de TI proporciona documentación de incorporación para configurar la validación de certificados. Se puede implementar en días, no en meses. La arquitectura que sustenta ambos protocolos es el mismo modelo 802.1X de tres componentes: el suplicante - que es el dispositivo cliente -, el autenticador, que es su punto de acceso o switch, y el servidor RADIUS. El autenticador actúa como un guardián, bloqueando todo el tráfico hasta que el servidor RADIUS indica que la autenticación se ha realizado correctamente. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - aproximadamente 2 minutos] Entonces, ¿cuáles son las recomendaciones prácticas? Primero: si dispone de una solución MDM y de dispositivos propiedad de la empresa, implemente EAP-TLS. La inversión inicial en PKI y gestión de certificados da sus frutos al reducir el riesgo y simplificar las auditorías de cumplimiento. Para entornos regulados - sector sanitario, financiero, público - esto no es opcional. Es la arquitectura que sus auditores esperan ver. Segundo: si gestiona un entorno BYOD o no dispone de infraestructura de MDM, implemente PEAP. Pero no se salte la configuración de validación del certificado del servidor. Utilice herramientas de incorporación, portales de control de acceso a la red o perfiles de MDM siempre que sea posible para exigir esto. Trátelo como un paso de despliegue obligatorio, no como una medida de refuerzo opcional. Tercero: independientemente del protocolo que elija, incorpore redundancia de RADIUS en su arquitectura. La autenticación es un proceso crítico. El fallo de un único servidor RADIUS significa que nadie puede acceder a la red. Las soluciones de RADIUS alojadas en la nube pueden proporcionar resiliencia sin los costes fijos de gestionar una infraestructura local redundante. Cuarto: segmente su red tras la autenticación. Una autenticación de 802.1X correcta no debería conceder acceso sin restricciones a toda su red corporativa. Utilice políticas de asignación de VLAN para ubicar a los usuarios en los segmentos de red adecuados con los controles de acceso correspondientes. Los errores comunes que deben evitarse: la expiración de certificados que causa fallos de autenticación masivos en despliegues EAP-TLS; los dispositivos cliente que no validan los certificados del servidor en despliegues PEAP; y los problemas de tiempo de espera de RADIUS causados por una alta latencia entre el controlador inalámbrico y el servidor de autenticación - especialmente relevante en entornos distribuidos geográficamente. [PREGUNTAS Y RESPUESTAS RÁPIDAS - aproximadamente 1 minuto] Permítame repasar algunas preguntas que escucho con frecuencia. ¿Puedo ejecutar tanto EAP-TLS como PEAP en la misma red? Sí. Muchas organizaciones ejecutan EAP-TLS para dispositivos corporativos en un SSID y PEAP para BYOD o acceso de invitados en un SSID independiente, con la segmentación de red adecuada entre ellos. ¿Modifica WPA3 esta decisión? WPA3 Enterprise exige el modo de seguridad de 192 bits para despliegues de alta seguridad, lo que se alinea con EAP-TLS. WPA3 Personal utiliza SAE en lugar de PSK, pero para los despliegues empresariales de 802.1X, la selección del método EAP sigue siendo relevante. ¿Cumple PEAP con PCI-DSS? Sí, cuando se configura correctamente exigiendo la validación del certificado del servidor. Sin embargo, para los entornos que gestionan datos de titulares de tarjetas, EAP-TLS es cada vez más el enfoque recomendado en las evaluaciones de seguridad. ¿Qué ocurre con OpenRoaming? OpenRoaming utiliza autenticación basada en certificados de forma interna, alineándose con los principios de EAP-TLS. Las plataformas como Purple pueden actuar como proveedor de identidad para OpenRoaming, lo que permite un roaming seguro y fluido entre ubicaciones sin necesidad de volver a autenticarse. [RESUMEN Y PASOS SIGUIENTES - aproximadamente 1 minuto] En resumen: EAP-TLS es la opción de mayor seguridad, ya que elimina por completo las contraseñas mediante la autenticación mutua por certificados. Requiere una infraestructura PKI y MDM, pero ofrece el nivel de cumplimiento más sólido y el control de acceso más detallado a nivel de dispositivo. PEAP es la opción pragmática para BYOD y entornos sin infraestructura de gestión de certificados, ya que proporciona una autenticación cifrada sólida utilizando las credenciales existentes, pero solo si la validación del certificado del servidor se aplica de forma rigurosa. El marco de decisión es sencillo: si gestiona sus dispositivos, utilice EAP-TLS. Si sus usuarios traen sus propios dispositivos, utilice PEAP - pero configúrelo correctamente. Para sus próximos pasos: audite su configuración de autenticación actual, evalúe su preparación para PKI y MDM, y revise su infraestructura RADIUS en busca de redundancia y latencia. Si está desplegando o actualizando el WiFi para invitados junto con su red corporativa, considere cómo una plataforma como Purple puede integrarse con su marco de autenticación para proporcionar tanto seguridad como análisis prácticos a partir de su red. Gracias por escuchar el Purple Technical Briefing. Hasta la próxima.