PSK por dispositivo por proveedor: comparación de iPSK, DPSK, MPSK y PPSK (y compatibilidad con WPA3)

PSK por dispositivo según el proveedor: comparativa de iPSK, DPSK, MPSK y PPSK, y compatibilidad con WPA3. Un informe técnico de Purple. Introducción y contexto. Le damos la bienvenida a la serie de informes técnicos de Purple. Le guiaré a través de uno de los temas más importantes desde el punto de vista práctico - y que con más frecuencia se malinterpreta - en el sector del WiFi empresarial actual: las claves precompartidas por dispositivo. En concreto, vamos a comparar cómo implementa esta función cada uno de los principales proveedores, cómo la denominan, cómo funciona realmente a nivel interno y - lo que es fundamental - qué ocurre cuando se intenta migrar a WPA3. Si es usted responsable de TI, arquitecto de redes o director de operaciones de un recinto que gestiona redes WiFi en un complejo hotelero, una cadena de tiendas, un estadio o un campus del sector público, este informe es para usted. Probablemente ya se haya encontrado con esta sopa de letras: iPSK, DPSK, MPSK, PPSK. Todos se refieren al mismo concepto - dotar a cada dispositivo o usuario de su propia contraseña única en un único SSID - pero las implementaciones difieren significativamente, y esas diferencias son importantes a la hora de planificar su próxima actualización de infraestructura. Comencemos con los aspectos fundamentales, analicemos después cada proveedor y terminemos con la cuestión de WPA3 con la que todo el mundo está lidiando en este momento. Análisis técnico en profundidad. Entonces, ¿qué es la PSK por dispositivo y por qué existe? El WPA2-Personal tradicional utiliza una única contraseña compartida para todo un SSID. Todos los usuarios de su red de invitados utilizan la misma contraseña. Esto plantea dos problemas. En primer lugar, no se puede revocar el acceso de un dispositivo sin cambiar la contraseña de todos los demás. En segundo lugar, no se dispone de visibilidad por dispositivo ni de aplicación de políticas. La PSK por dispositivo resuelve ambos problemas. Cada dispositivo o usuario recibe una credencial única. Puede revocar una sin afectar a las demás. Puede asignar diferentes VLAN, políticas de ancho de banda o programaciones de acceso por clave. Es el término medio entre la sencillez de WPA2-Personal y la complejidad de la autenticación empresarial 802.1X completa. Veamos ahora cómo lo implementa cada proveedor. Cisco Meraki lo denomina iPSK - Clave precompartida de identidad. Meraki admite dos modos. Sin RADIUS, se configuran hasta cinco PSK exclusivas directamente en el panel de Meraki, cada una asignada a una VLAN. Es rápido de configurar y no requiere infraestructura externa. Con RADIUS - normalmente Cisco ISE - se puede escalar a miles de claves. El cliente se asocia, el punto de acceso envía la dirección MAC y una indicación de la PSK al servidor RADIUS, el servidor devuelve la clave por dispositivo correcta y el protocolo de enlace de cuatro vías estándar de WPA2 se completa utilizando esa clave como clave maestra por pares (Pairwise Master Key). La clave aquí es que el servidor RADIUS realiza la búsqueda, no el punto de acceso. El punto de acceso simplemente facilita el intercambio. HPE Aruba lo llama MPSK (Multiple Pre-Shared Key). Aruba Central y Aruba Instant son compatibles con MPSK en dos modos: MPSK Local, donde las claves se almacenan en el controlador o en el clúster de AP, y MPSK con ClearPass, el motor de políticas y RADIUS de Aruba. ClearPass puede almacenar decenas de miles de claves, asignar VLANs dinámicas y aplicar políticas basadas en roles por clave. El flujo de autenticación es esencialmente el mismo que el modo RADIUS de Meraki: la búsqueda basada en MAC devuelve la clave por dispositivo antes del saludo de cuatro vías. Ruckus - ahora parte de CommScope - lo llama DPSK (Dynamic Pre-Shared Key). Se trata de una de las implementaciones más maduras del mercado. Ruckus DPSK está disponible desde los primeros días de SmartZone. En modo local, el servicio DPSK se ejecuta en el controlador y contiene la base de datos de claves. En modo RADIUS, se integra con Cloudpath, la propia plataforma de control de acceso a la red de Ruckus. Lo que hace destacar a Ruckus es DPSK3 - su extensión WPA3 de DPSK, sobre la que volveremos en breve. DPSK3 está disponible en puntos de acceso WiFi 6, 6E y 7 que ejecuten la versión de firmware 7.0 o posterior, y funciona en modo mixto WPA2 / WPA3. Juniper Mist lo llama PPSK (Private Pre-Shared Key) - o a veces Multi-PSK. Mist almacena las claves en la nube, en la base de datos de claves de la organización o sitio de Mist, con un límite de 5000 claves por sitio. Las claves se pueden asignar por usuario, por dispositivo o por grupo. Mist también se integra con su servicio Access Assurance - el NAC nativo de la nube -, que añade la búsqueda de PSK basada en RADIUS. Fundamentalmente, Juniper ha anunciado la compatibilidad con WPA3 RADIUS PSK a través de Access Assurance, lo que permite que un único SSID WPA3-Personal sirva para múltiples contraseñas. Esta es una de las implementaciones más avanzadas del mercado. Extreme Networks - que adquirió Aerohive - lo llama PPSK (Private Pre-Shared Key), a través de ExtremeCloud IQ. La implementación de Extreme admite el almacenamiento local de claves en el propio AP, lo que resulta muy útil para sucursales o sedes remotas con conectividad limitada. También admite la búsqueda basada en RADIUS a través del servicio cloud RADIUS de ExtremeCloud IQ. El emparejamiento por MAC está disponible, lo que vincula una PPSK a una dirección MAC de dispositivo específica para mayor seguridad. Fortinet lo llama MPSK (Multiple Pre-Shared Key), gestionado a través de FortiAP y el controlador inalámbrico FortiGate. La implementación de Fortinet destaca porque admite explícitamente los modos de seguridad WPA3-SAE y transición WPA3-SAE en sus perfiles MPSK - a partir del firmware FortiAP 8.0. Puede crear un perfil MPSK con claves WPA3-SAE, asignarlas a un VAP y habilitar la asignación dinámica de VLAN por clave. Esta es una de las implementaciones de WPA3 MPSK más limpias disponibles hoy en día. Ubiquiti UniFi lo denomina Private Pre-Shared Keys, o Private PSK. La implementación de UniFi es solo local: las claves se almacenan en el controlador de UniFi Network, no en un servidor RADIUS externo. Puede asignar diferentes VLANs por clave y establecer límites de clientes por clave. La limitación importante: a mediados de 2026, el Private PSK de UniFi solo funciona en redes WPA2 en 2,4 GHz y 5 GHz. WPA3 y 6 GHz no son compatibles. Para despliegues más pequeños esto está bien, pero es una limitación que conviene conocer antes de comprometerse con un parque de UniFi a gran escala. Ahora, la cuestión de WPA3. Aquí es donde se pone técnicamente interesante. WPA2-Personal utiliza un saludo de cuatro vías (four-way handshake). El cliente y el AP derivan una Pairwise Transient Key a partir de una Pairwise Master Key compartida, que a su vez se deriva de la contraseña. Dado que la derivación de la PMK ocurre después de la consulta RADIUS, el AP puede sustituir una clave por dispositivo en ese punto. Al estándar no le importa, simplemente ve una PMK válida. WPA3-Personal reemplaza el saludo de cuatro vías con SAE (Simultaneous Authentication of Equals). SAE es un protocolo basado en Diffie-Hellman. Ambas partes se comprometen con un elemento de contraseña compartido derivado de la frase de contraseña antes de que se complete la asociación. La diferencia crítica: la contraseña debe ser conocida por ambas partes antes de que comience el intercambio SAE. No hay ningún punto en el protocolo donde un servidor RADIUS pueda inyectar una clave diferente por dispositivo. El AP y el cliente ya están realizando una danza criptográfica con un único valor compartido. Es por esto que WPA3 actualmente solo permite una clave por SSID en su forma estándar. No es una limitación de firmware. Es una limitación del protocolo. Las soluciones alternativas se dividen en tres categorías. Primero, el modo de transición WPA3, también llamado modo mixto WPA2 barra WPA3. El SSID anuncia tanto WPA2-PSK como WPA3-SAE. Los clientes WPA2 utilizan el saludo de cuatro vías y pueden recibir claves por dispositivo a través de RADIUS. Los clientes WPA3 utilizan SAE con una única contraseña compartida. Este es el enfoque más implementado hoy en día y es compatible con Cisco Meraki, HPE Aruba, Ruckus y otros. Segundo, las extensiones propietarias. Ruckus DPSK3 es el ejemplo más claro. Al ejecutarse en modo mixto WPA2 barra WPA3 con Cloudpath como backend de RADIUS, DPSK3 permite que los dispositivos compatibles con WPA3 utilicen SAE mientras el sistema gestiona la vinculación de claves por dispositivo a través de la integración con Cloudpath. El WPA3 RADIUS PSK de Juniper Access Assurance adopta un enfoque similar. El MPSK de Fortinet con modo WPA3-SAE Transition le permite mezclar claves WPA2-Personal y WPA3-SAE en el mismo perfil de MPSK. Tercero, pasar a 802.1X. Para puntos finales gestionados (portátiles corporativos, dispositivos del personal, cualquier cosa a la que se le pueda enviar un certificado), WPA3-Enterprise con EAP-TLS es la respuesta limpia. Es totalmente compatible con WPA3 y 6 GHz, proporciona identidad por dispositivo y se integra con Microsoft Entra ID, Okta y Google Workspace. La contrapartida es la complejidad del despliegue y la necesidad de una infraestructura de certificados. Recomendaciones de implementación y errores comunes. Entonces, ¿qué debería hacer realmente? Si gestiona un parque hotelero con una combinación de dispositivos de clientes, sensores IoT y dispositivos del personal, la respuesta pragmática en 2026 es un diseño de SSID híbrido. Mantenga un SSID WPA2-Personal con PSK por dispositivo para el IoT heredado y los dispositivos de los clientes. Utilice un SSID WPA3-Enterprise para los dispositivos del personal que usted controle. Use el modo de transición en su SSID de clientes principal para admitir clientes WPA2 y WPA3 sin fragmentar el número de SSID. Si utiliza Ruckus y dispone de hardware WiFi 6 o más reciente, vale la pena evaluar DPSK3 en modo mixto WPA2 / WPA3 con Cloudpath. Le ofrece lo más parecido a un PSK nativo por dispositivo de WPA3 disponible hoy en día. Si utiliza Fortinet, el perfil MPSK con transición WPA3-SAE es sencillo de configurar y le ofrece una ruta de migración limpia. Si utiliza UniFi, sea explícito con sus partes interesadas en que el PSK privado es solo para WPA2. Para los centros que desplieguen WiFi 6E o WiFi 7 con radios de 6 GHz, necesitará una estrategia de autenticación diferente para esa banda. El mayor error que vemos es que los equipos asumen que habilitar WPA3 en un SSID de PSK por dispositivo existente funcionará sin más. No es así. Realice primero una prueba en un centro piloto. Compruebe las versiones de firmware de sus puntos de acceso: DPSK3 requiere la versión de firmware 7.0 o posterior en Ruckus, por ejemplo. Y compruebe la compatibilidad de su servidor RADIUS: Ruckus DPSK3 en modo mixto requiere específicamente Cloudpath, no un servidor RADIUS genérico. Un segundo error es la proliferación descontrolada de claves. El PSK por dispositivo es excelente para la trazabilidad, pero solo si dispone de un proceso para revocar las claves cuando los dispositivos se retiren del servicio. Sin una gestión del ciclo de vida, acabará con miles de claves huérfanas y sin pista de auditoría. Integre el aprovisionamiento de sus claves con su flujo de trabajo de gestión de dispositivos desde el primer día. Preguntas y respuestas rápidas. ¿Puedo utilizar el PSK por dispositivo en un SSID de 6 GHz? No. La banda de 6 GHz exige de forma obligatoria WPA3, y WPA3 no admite de forma nativa PSK por dispositivo. Utilice 802.1X o un SSID de 2.4 / 5 GHz independiente para los dispositivos que necesiten PSK por dispositivo. ¿Cumple el PSK por dispositivo con los requisitos de PCI-DSS? El PSK por dispositivo en WPA2 puede cumplir con los requisitos de segmentación de red de PCI-DSS 4.0 si cada clave se asocia a una VLAN aislada. Sin embargo, PCI-DSS recomienda encarecidamente 802.1X para entornos de datos de titulares de tarjetas. Consulte con su QSA. ¿Cuál es el número máximo de claves por SSID? Varía significativamente. Cisco Meraki con ISE admite despliegues muy grandes. Ruckus DPSK admite decenas de miles de claves. Juniper Mist limita a 5.000 por centro. UniFi está limitado en la práctica por la memoria del controlador. Compruebe siempre la documentación del fabricante para su versión específica de firmware.¿Cómo encaja Purple en todo esto? Purple funciona como una capa superpuesta en la nube sobre su hardware existente. Nos integramos con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Para implementaciones de WiFi para invitados y WiFi para el personal, Purple gestiona la capa de identidad (autenticación, captura de datos, gestión de consentimiento) y devuelve la asignación de política o VLAN correspondiente a su hardware a través de RADIUS o API. Usted conserva su infraestructura PSK por dispositivo existente; Purple añade la capa de identidad y analítica por encima. Resumen y próximos pasos. Recapitulemos. La tecnología PSK por dispositivo - ya la llame iPSK, DPSK, MPSK o PPSK - es una funcionalidad madura y bien respaldada por los principales fabricantes de WiFi empresarial. Las implementaciones difieren en el lugar donde se almacenan las claves, cómo escalan y cómo se integran con RADIUS. El protocolo SAE de WPA3 crea una limitación técnica real para PSK por dispositivo. El estándar no lo admite de forma nativa. Las soluciones prácticas de hoy en día son el modo de transición, las extensiones de propietario como DPSK3 o la migración a 802.1X para los dispositivos que lo admitan. Resumen fabricante por fabricante: Cisco Meraki iPSK funciona bien con ISE en modo RADIUS; el soporte para WPA3 se realiza mediante el modo de transición. HPE Aruba MPSK con ClearPass es altamente escalable; WPA3 MPSK está en desarrollo activo. Ruckus DPSK3 es la solución PSK por dispositivo WPA3 más madura disponible. Juniper Mist Access Assurance añade WPA3 RADIUS PSK. Fortinet MPSK es compatible de forma explícita con WPA3-SAE en sus perfiles MPSK. Extreme PPSK es sólido para los modos local y RADIUS. UniFi Private PSK solo admite WPA2 y solo es local. Para sus próximos pasos: audite su implementación actual de PSK por dispositivo, identifique qué dispositivos son compatibles con WPA3 y diseñe una estrategia de SSID híbrida que sirva para ambos. Si está planeando una renovación de hardware, priorice los puntos de acceso WiFi 6 o WiFi 7 que tengan soporte confirmado para DPSK3 o WPA3 MPSK. Si desea comprender cómo se integra Purple con su fabricante de hardware específico para añadir gestión de identidad y analítica sobre su implementación de PSK por dispositivo, visite purple.ai o hable con su equipo de cuenta. Eso es todo por esta sesión informativa. Gracias por escucharnos.