PPSK WiFi: comparación de funciones y modelos de despliegue

Bienvenido al Technical Briefing de Purple. Hoy analizaremos el WiFi PPSK - Private Pre-Shared Key - qué es, cómo se compara con las alternativas y dónde tiene sentido implementarlo. [medium pause] Empecemos por el problema que resuelve. En una red WPA2 Personal tradicional, todos los dispositivos de la red comparten la misma contraseña. Eso está bien para un hogar. Es un riesgo para una promoción Build to Rent de 200 viviendas, un bloque de residencias de estudiantes o un hotel con 300 habitaciones. Cuando un residente se muda, o bien se cambia la contraseña para todos - lo que interrumpe la conexión de las televisiones inteligentes, termostatos y consolas del resto de residentes - o bien se deja el acceso al antiguo residente. Ninguna de las dos opciones es aceptable. [short pause] PPSK resuelve esto asignando a cada residente, a cada piso o a cada grupo de dispositivos su propia clave de WiFi única. Todos se conectan al mismo SSID - el mismo nombre de red - pero cada clave se asigna a una VLAN independiente. El piso 12 está en la VLAN 10. El piso 13 está en la VLAN 20. Los dispositivos IoT están en la VLAN 99. El punto de acceso gestiona la asignación de la clave a la VLAN de forma automática. Sin necesidad de servidor RADIUS. Sin infraestructura de certificados. Sin suplicante 802.1X en el dispositivo. [medium pause] Ahora hablemos de la terminología, porque varía según el proveedor y eso genera una verdadera confusión en el mercado. Aruba lo llama PPSK - Private Pre-Shared Key. Cisco Meraki lo llama iPSK - Identity PSK o Red Privada Personal. Juniper Mist utiliza ePSK. Extreme Networks, que desarrolló originalmente el concepto bajo la marca Aerohive, lo llama Private PSK. Ubiquiti UniFi simplemente lo llama PPSK. Cambium también utiliza ePSK. El mecanismo subyacente es idéntico en todos ellos: un SSID, múltiples claves únicas y cada clave vinculada a una VLAN o a un grupo de políticas. [short pause] Técnicamente, esto es lo que ocurre en la capa de asociación. Cuando un dispositivo se conecta, presenta su clave precompartida durante el saludo de cuatro vías de WPA2. El punto de acceso - o el controlador en la nube que hay detrás - busca esa clave en el almacén de PPSK, identifica a qué VLAN se asigna y etiqueta el tráfico del dispositivo en consecuencia a partir de ese momento. El dispositivo experimenta una conexión WiFi normal. No tiene idea de que ha sido colocado en un segmento aislado. Su Chromecast funciona. Su altavoz inteligente se empareja. Su consola obtiene el tipo de NAT correcto. Todo se comporta como una red doméstica - porque, desde la perspectiva del dispositivo, lo es. [medium pause] Esta es la distinción clave respecto a 802.1X, que es el estándar empresarial para redes de personal y entornos corporativos. 802.1X requiere un servidor RADIUS, un proveedor de identidad - como Microsoft Entra ID, Okta o Google Workspace - y un suplicante en cada dispositivo. Ese suplicante es el componente de software que gestiona el intercambio de autenticación EAP. Cada portátil gestionado, cada teléfono corporativo, tiene uno. La nevera inteligente de su residente no lo tiene. El controlador de climatización de su edificio no lo tiene. Sus sensores IoT no lo tienen. PPSK funciona con todos ellos porque opera en la capa WPA Personal, no en la capa WPA Enterprise.[short pause] Dicho esto, PPSK no es un sustituto de 802.1X en entornos corporativos. Es una herramienta diferente para un problema diferente. Si gestiona una red de personal donde la responsabilidad individual es clave - donde necesita saber que una persona específica se autenticó a una hora específica, y necesita revocar su acceso en el momento en que deja la organización - 802.1X es la respuesta correcta. Si gestiona una red residencial donde necesita aislamiento por vivienda, soporte para IoT y simplicidad operativa a escala, PPSK es la respuesta correcta. [medium pause] Analicemos los modelos de despliegue. Existen tres patrones principales en producción hoy en día. [short pause] El primero es el modelo de controlador en la nube, que es el más común para nuevos despliegues. Sus puntos de acceso - ya sean Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme o Fortinet - se conectan a una plataforma de gestión en la nube. El almacén de claves PPSK reside en el controlador de la nube. Cuando da de alta a un nuevo residente, crea una clave en el portal, la asigna a una VLAN, y el controlador envía la política a cada punto de acceso del edificio. El residente recibe su clave - por correo electrónico, SMS o un código QR en un paquete de bienvenida - y se conecta. Cuando se marcha, usted elimina la clave. Sus dispositivos dejan de conectarse. Nadie más se ve afectado. [short pause] El segundo modelo es PPSK con un backend RADIUS local. Algunos despliegues empresariales utilizan un servidor RADIUS para almacenar y validar las credenciales PPSK, lo que le proporciona un registro centralizado, pistas de auditoría e integración con su plataforma de gestión de identidad. Esto añade una sobrecarga de infraestructura, pero le ofrece la trazabilidad de 802.1X con la compatibilidad de dispositivos de PPSK. Es el modelo adecuado para entornos mixtos - por ejemplo, un espacio de coworking donde tiene tanto dispositivos corporativos gestionados como equipos IoT propiedad de los miembros. [short pause] El tercer modelo es el híbrido: PPSK para residentes e IoT, 802.1X para el personal y los sistemas de gestión. Esta es la arquitectura que Purple recomienda para promociones de Build to Rent y edificios de viviendas multifamiliares. Los residentes utilizan PPSK. Los sistemas de gestión del edificio, la videovigilancia y el control de accesos obtienen su propia VLAN de IoT con PPSK. Los dispositivos del equipo de gestión de la propiedad utilizan 802.1X contra Microsoft Entra ID u Okta. Tres modelos de autenticación distintos, tres VLANs distintas, una infraestructura física. Ahora entremos en la implementación. Si está desplegando PPSK para una promoción de Build to Rent o una propiedad de viviendas multifamiliares, esta es la secuencia que funciona. [short pause] Comience con su diseño lógico antes de tocar el hardware. Planifique su número de residentes, sus categorías de dispositivos IoT y cualquier sistema de personal o gestión. Asigne las VLANs. Un despliegue típico de BTR tiene este aspecto: desde la VLAN 10 hasta la que requiera el número de unidades para los residentes, una VLAN por piso o una VLAN por planta dependiendo de su densidad. VLAN 99 para IoT. VLAN 100 para la gestión del edificio. VLAN 200 para WiFi de invitados en zonas comunes. [short pause] A continuación, documente su esquema de direccionamiento IP. En un edificio de 200 viviendas, se prevé una media de 3.000 a 5.000 dispositivos conectados a la red en cualquier momento. Esa es la cifra de 15 a 25 dispositivos por hogar según el estudio de la British Property Federation. Sus rangos de DHCP deben poder alojar esa carga. Utilice direccionamiento privado RFC 1918 con tamaños de subred suficientes por VLAN. Una barra 24 le proporciona 254 direcciones útiles. Una barra 23 le proporciona 510. Dimensione en consecuencia. [medium pause] Sobre la selección de hardware: PPSK es compatible con las principales plataformas de puntos de acceso empresariales. Cisco Meraki lo llama iPSK y lo gestiona a través del panel de Meraki con políticas de claves por SSID. HPE Aruba lo implementa de forma nativa en ArubaOS y Aruba Central. Ruckus lo admite a través de SmartZone y la plataforma Ruckus Cloud. Juniper Mist utiliza ePSK con gestión de RF impulsada por IA. Ubiquiti UniFi cuenta con PPSK desde 2023, aunque tenga en cuenta que actualmente es solo WPA2 y no funcionará en la banda de 6 gigahercios. Cambium y Extreme lo admiten a través de sus respectivas plataformas en la nube. [short pause] Una limitación crítica a tener en cuenta: la implementación de PPSK de UniFi es solo WPA2. Si está especificando puntos de acceso WiFi 6E y desea utilizar la banda de 6 gigahercios para clientes PPSK, necesitará una plataforma que admita WPA3-SAE con PPSK, o tendrá que restringir los clientes PPSK a las bandas de 2,4 y 5 gigahercios. Aruba, Ruckus y Meraki admiten PPSK en configuraciones WPA3. [medium pause] Ahora hablemos de los errores comunes. Estos son los modos de fallo que veo repetidamente en los despliegues de producción. [short pause] El primero es la proliferación de SSID. Cada SSID que se emite consume tiempo de transmisión para las tramas de baliza (beacon). En un edificio residencial denso, si está emitiendo seis u ocho SSIDs por punto de acceso, estará degradando el rendimiento para todos. Limítelo a un máximo de cuatro SSIDs por radio. Utilice PPSK para dar servicio a múltiples segmentos de residentes desde un único SSID en lugar de crear un SSID independiente por piso o por planta. [short pause] El segundo error es una configuración insuficiente del puerto troncal. Se diseña un esquema de VLAN limpio, se despliegan los puntos de acceso y, de repente, el tráfico se cae de forma silenciosa porque alguien olvidó permitir las VLAN correspondientes en un enlace troncal entre el conmutador de distribución y la capa de acceso. Valide cada puerto troncal durante la puesta en marcha. Documéntelo. Pruébelo con un dispositivo en cada VLAN antes de que se muden los residentes. [short pause] El tercer error es la distribución de claves. Generar claves es fácil. Entregarlas a los residentes de forma segura y manejable a nivel operativo es más difícil. Un código QR en el paquete de bienvenida funciona bien para el día de la mudanza. Un portal para residentes donde puedan recuperar su clave y añadir nuevos dispositivos es mejor para el día a día. Diseñe el flujo de trabajo de distribución de claves antes del despliegue, no después. [short pause] El cuarto error, específico de IoT, es colocar los dispositivos domésticos inteligentes en el segmento PPSK del residente sin considerar las implicaciones. Un dispositivo IoT comprometido en la VLAN de un residente puede potencialmente atacar a otros dispositivos en esa misma VLAN. Para categorías de IoT de alto riesgo, considere una VLAN de IoT separada con filtrado de salida, incluso si eso significa que los residentes deben configurar sus aplicaciones de hogar inteligente para usar una red diferente. [medium pause] Veamos dos escenarios del mundo real. [short pause] Escenario uno: una promoción de Build to Rent de 180 unidades en el centro de la ciudad. El operador quería que el WiFi estuviera incluido en el alquiler como un servicio, con activación el día de la mudanza y compatibilidad total con el hogar inteligente. Desplegaron puntos de acceso de HPE Aruba gestionados a través de Aruba Central. Cada piso recibe una clave PPSK única generada al firmar el contrato de arrendamiento. La clave se envía por correo electrónico al residente con un código QR. Lo escanean, todos sus dispositivos se conectan y su Chromecast, altavoz inteligente y consola funcionan de inmediato. Cuando un residente se muda, el administrador de la propiedad elimina la clave en el portal. El nuevo residente recibe una clave nueva al mudarse. Cero dramas de rotación de contraseñas. El operador informa de una reducción del 30% en los tiques de soporte relacionados con WiFi en comparación con su despliegue anterior de contraseña compartida. [short pause] Escenario dos: un bloque de alojamiento para estudiantes de 400 camas. El desafío aquí es la semana de mudanza del grupo, con cientos de estudiantes que llegan simultáneamente, todos intentando conectar decenas de dispositivos a la vez. El operador utilizó puntos de acceso Ruckus con SmartZone, desplegando PPSK con una clave por habitación. Las claves se generaron previamente y se incluyeron en el paquete de bienvenida enviado antes de la llegada. Los estudiantes escanearon el código QR a su llegada y se conectaron en segundos. La red manejó el pico de la mudanza sin degradación porque el tráfico de cada estudiante estaba aislado en su propio segmento de VLAN. [medium pause] Ahora, una sesión de preguntas y respuestas rápidas sobre los temas que surgen con más frecuencia. [short pause] ¿Cuántas claves PPSK puede manejar un solo punto de acceso? La mayoría de las plataformas empresariales admiten miles de claves por SSID. Cisco Meraki admite hasta 5.000 entradas iPSK por red. Aruba admite una escala similar. Ubiquiti UniFi admite hasta 1.000 entradas PPSK por red. Para un edificio de 200 unidades, está muy dentro de los límites en cualquier plataforma. [short pause] ¿Funciona PPSK con WPA3? Sí, en la mayoría de las plataformas empresariales. WPA3-SAE proporciona una protección más sólida contra ataques de diccionario fuera de línea en comparación con WPA2-PSK, por lo que desplegar PPSK en WPA3 donde sus dispositivos cliente lo admitan es el enfoque correcto. La excepción es UniFi, que actualmente es solo WPA2 para PPSK. [short pause] ¿Puedo integrar PPSK con mi sistema de gestión de propiedades? Sí, a través de la API del proveedor. Aruba Central, Meraki, Ruckus y Mist exponen APIs REST para la gestión de claves PPSK. Puede automatizar la creación y revocación de claves como parte de su flujo de trabajo de gestión de arrendamientos. [short pause] ¿Cuál es la diferencia de seguridad entre PPSK y 802.1X? La diferencia fundamental es que PPSK es un modelo de secreto compartido. La clave es una cadena de caracteres que se puede compartir o interceptar. 802.1X con EAP-TLS utiliza certificados digitales, que no se pueden compartir de la misma manera y proporcionan autenticación mutua. Para entornos residenciales donde el modelo de amenaza es principalmente el aislamiento entre residentes, PPSK proporciona una seguridad adecuada. Para redes de personal corporativo, 802.1X es la opción correcta. [medium pause] Para resumir: PPSK WiFi es el modelo de autenticación adecuado para despliegues residenciales multiinquilino, entornos con un uso intensivo de IoT y cualquier escenario donde se necesite aislamiento por usuario o por hogar sin la sobrecarga de infraestructura de 802.1X. Funciona en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Se integra con sistemas de gestión de propiedades a través de API. Y resuelve los tres problemas operativos principales que las redes de contraseñas compartidas no pueden solucionar: mudanzas sin afectar a todos los demás, compatibilidad con dispositivos domésticos inteligentes y rendición de cuentas por residente. [short pause] El marco de decisión es sencillo. Si sus dispositivos son compatibles con 802.1X y dispone de una infraestructura RADIUS, utilice 802.1X para el personal y los dispositivos gestionados. Si gestiona una propiedad residencial multiinquilino, utilice PPSK. Si tiene dispositivos IoT que no admiten 802.1X, utilice PPSK con una VLAN dedicada para IoT. Si necesita WiFi para invitados en las zonas comunes, utilice una PSK estándar o una red abierta con un captive portal por encima. [short pause] Como siguientes pasos: revise el diagrama de descripción general de la arquitectura en la guía, que muestra toda la pila de despliegue de PPSK desde el enlace ascendente del ISP hasta el dispositivo del residente. Utilice el diagrama de flujo de decisión para asignar su entorno específico al modelo de autenticación adecuado. Y si está planificando un despliegue de BTR o MDU y desea comprender cómo la plataforma Multi-Tenant WiFi de Purple se integra sobre su hardware existente para proporcionar la gestión de claves, el portal de residentes y la capa de análisis, el enlace está en la guía. [medium pause] Eso es todo por el boletín de hoy. Gracias por escucharnos. Permítame profundizar en el modelo de seguridad, porque aquí es donde veo la mayor confusión en el mercado. [short pause] PPSK funciona en la capa WPA Personal. Cada clave es un secreto precompartido. La garantía de seguridad que ofrece PPSK es el aislamiento entre residentes: el dispositivo A con la clave A no puede comunicarse con el dispositivo B con la clave B, incluso cuando están asociados al mismo punto de acceso físico. Ese aislamiento se aplica en la capa VLAN, no en la capa de cifrado. El cifrado entre cada dispositivo y el punto de acceso utiliza el mismo conjunto de cifrado WPA2 o WPA3 independientemente de qué clave PPSK haya utilizado el dispositivo para autenticarse. [short pause] Lo que PPSK no proporciona es la autenticación mutua que ofrece 802.1X. En una implementación de 802.1X con EAP-TLS, el cliente se autentica en la red y la red se autentica en el cliente. Ambas partes presentan certificados. Esto evita los ataques de puntos de acceso no autorizados. Con PPSK, el cliente no tiene forma de verificar si está conectado a la red legítima en lugar de a un punto de acceso no autorizado que emita el mismo SSID. Para un edificio residencial donde el modelo de amenaza consiste principalmente en aislar a los residentes entre sí, esta es una concesión aceptable. Para un entorno corporativo que maneja datos confidenciales, no lo es. [medium pause] Ahora hablemos de la vía de actualización a WPA3. WPA3-SAE, que significa Autenticación Simultánea de Iguales, reemplaza el intercambio de cuatro vías de WPA2 con un protocolo de intercambio de claves más seguro llamado Dragonfly. La mejora crítica para las implementaciones de PPSK es la seguridad hacia adelante (forward secrecy): incluso si un atacante captura el tráfico WiFi y posteriormente obtiene la clave precompartida, no podrá descifrar el tráfico capturado. WPA2-PSK no proporciona seguridad hacia adelante. WPA3-SAE sí lo hace. Si está implementando hardware nuevo hoy mismo, especifique el soporte para WPA3-SAE y actívelo para su SSID de PPSK. Los clientes que no admitan WPA3 volverán a WPA2 en modo de transición, por lo que no es necesario forzar un cambio drástico. [short pause] Vale la pena abordar directamente el enfoque de la GDPR. En una implementación residencial multiinquilino, usted está procesando datos personales; específicamente, la asociación entre una clave WiFi y un residente identificado. Esa asociación constituye datos personales según la UK GDPR y la GDPR de la UE. Necesita una base legal para procesarlos. En un contexto de BTR, la base legal suele ser la ejecución de un contrato - el contrato de arrendamiento - o intereses legítimos. Necesita un aviso de privacidad que cubra el procesamiento de datos de WiFi. Necesita una política de retención de datos para los registros de conexión. Y debe ser capaz de responder a las solicitudes de acceso de los interesados, lo que significa que su plataforma de gestión de PPSK debe ser capaz de exportar todos los datos asociados con la clave de un residente específico. [short pause] La plataforma de WiFi multiinquilino de Purple se ha creado teniendo esto en cuenta. Los datos se almacenan en una infraestructura con certificación ISO 27001. Cumplimos con la GDPR y la CCPA. La residencia de los datos es seleccionable - Reino Unido, UE o EE. UU. - para que pueda cumplir con sus obligaciones normativas independientemente de dónde se encuentren sus propiedades. Y nuestra plataforma proporciona el registro de auditoría y las capacidades de exportación de datos que necesita para el cumplimiento normativo. Permítame abordar la cuestión del ROI, ya que esto surge en todas las conversaciones de adquisición de BTR. [short pause] Las investigaciones de la British Property Federation muestran constantemente que la calidad del WiFi es uno de los cinco factores de comodidad más importantes en las decisiones de alquiler de Build to Rent. Los operadores que incluyen WiFi gestionado como un servicio adicional declaran primas de alquiler de entre quince y treinta libras por unidad al mes en comparación con propiedades equivalentes que no incluyen conectividad. En un edificio de 200 unidades, esto supone entre treinta y seis mil y setenta y dos mil libras al año en ingresos por alquiler adicionales. Frente al coste de despliegue típico de PPSK - hardware amortizado en cinco años más una licencia de software superpuesta - el periodo de amortización suele ser inferior a 18 meses. [short pause] El ahorro operativo es igualmente significativo. Una red de contraseña compartida en un edificio de 200 unidades genera un volumen predecible de solicitudes de asistencia: residentes que no pueden conectar su Chromecast, residentes cuyos altavoces inteligentes no se emparejan, residentes cuya consola muestra un tipo de NAT estricto. Resolver estas solicitudes cuesta tiempo y dinero. Una red PPSK correctamente desplegada elimina la mayoría de ellas. Un operador con el que trabajamos declaró una reducción del 30% en los contactos de soporte relacionados con el WiFi en los primeros seis meses tras migrar de una contraseña compartida a un despliegue de PPSK. [short pause] Los periodos de desocupación son la otra palanca. Un edificio donde el WiFi está activo y funciona el día de la mudanza reduce la fricción para los nuevos residentes. Un edificio donde un nuevo residente tiene que esperar a la cita con un técnico de banda ancha - que suele tardar de siete a catorce días en el Reino Unido - genera una primera impresión negativa que afecta a la retención. PPSK con activación el día de la mudanza elimina esa fricción por completo. [medium pause] Un área más a cubrir: la aplicación de coworking y uso mixto. PPSK no es solo para uso residencial. También es el modelo adecuado para espacios de coworking donde se desea un aislamiento por miembro o por empresa sin la sobrecarga de 802.1X. Un operador de coworking con 200 miembros puede dar a cada miembro su propia clave PPSK, mapearla a una VLAN dedicada y garantizar que los dispositivos del miembro A sean invisibles para el miembro B. Cuando una membresía caduca, la clave se revoca. Cuando se une un nuevo miembro, se genera una nueva clave. La experiencia del miembro es idéntica a la de una red doméstica. [short pause] Para el coworking, el modelo híbrido funciona especialmente bien. Los miembros obtienen PPSK. Los visitantes de los miembros - clientes que asisten a reuniones, por ejemplo - obtienen un SSID de WiFi de invitados independiente con un captive portal. El personal del edificio obtiene 802.1X frente al proveedor de identidad del operador. Tres modelos de autenticación, una infraestructura física, separación limpia entre los tres grupos de usuarios. [medium pause] Eso cubre todo el panorama. PPSK WiFi es una tecnología madura y bien respaldada que resuelve un problema específico e importante: el aislamiento por usuario o por vivienda en entornos multi-inquilino, sin la sobrecarga de infraestructura de 802.1X. Es agnóstica respecto al hardware, se basa en API y se puede implementar hoy mismo en los puntos de acceso que ya posee. Los criterios de decisión son claros. Los patrones de implementación están probados. Y el caso de negocio, especialmente en Build to Rent y residencias de estudiantes, está plenamente respaldado.