PPSK WiFi: comparación de funciones y modelos de despliegue

Bienvenido al Technical Briefing de Purple. Hoy cubriremos PPSK WiFi - Private Pre-Shared Key - qué es, cómo se compara con las alternativas y dónde tiene sentido implementarlo. [medium pause] Empecemos con el problema que resuelve. En una red WPA2 Personal tradicional, cada dispositivo de la red comparte la misma contraseña. Eso está bien para una casa. Es un riesgo para una promoción de Build to Rent de 200 viviendas, una residencia de estudiantes o un hotel con 300 habitaciones. Cuando un residente se muda, o bien cambias la contraseña para todos - rompiendo la conexión de la smart TV, el termostato y la consola de todos los demás residentes en el proceso - o bien dejas al antiguo residente con acceso. Ninguna de las dos opciones es aceptable. [short pause] PPSK resuelve esto asignando a cada residente, a cada piso o a cada grupo de dispositivos su propia clave WiFi única. Todos se conectan al mismo SSID - el mismo nombre de red - pero cada clave se asocia a una VLAN independiente. El piso 12 está en la VLAN 10. El piso 13 está en la VLAN 20. Los dispositivos IoT están en la VLAN 99. El punto de acceso gestiona la asociación de clave a VLAN automáticamente. Sin necesidad de servidor RADIUS. Sin infraestructura de certificados. Sin suplicante 802.1X en el dispositivo. [medium pause] Ahora hablemos de la terminología, porque varía según el fabricante y eso causa una confusión real en el mercado. Aruba lo llama PPSK - Private Pre-Shared Key. Cisco Meraki lo llama iPSK - Identity PSK, o Personal Private Network. Juniper Mist utiliza ePSK. Extreme Networks, que originalmente desarrolló el concepto bajo la marca Aerohive, lo llama Private PSK. Ubiquiti UniFi lo llama simplemente PPSK. Cambium también utiliza ePSK. El mecanismo subyacente es idéntico en todos ellos: un SSID, múltiples claves únicas, cada clave vinculada a una VLAN o a un grupo de políticas. [short pause] Técnicamente, esto es lo que ocurre en la capa de asociación. Cuando un dispositivo se conecta, presenta su clave precompartida durante el saludo de cuatro vías de WPA2. El punto de acceso - o el controlador en la nube que hay detrás - busca esa clave en el almacén de PPSK, identifica a qué VLAN se asocia y etiqueta el tráfico del dispositivo en consecuencia a partir de ese momento. El dispositivo ve una conexión WiFi normal. No tiene idea de que ha sido ubicado en un segmento aislado. Su Chromecast funciona. Su altavoz inteligente se empareja. Su consola obtiene el tipo de NAT correcto. Todo se comporta como una red doméstica - porque desde la perspectiva del dispositivo, lo es. [medium pause] Esta es la distinción clave respecto a 802.1X, que es el estándar empresarial para redes de personal y entornos corporativos. 802.1X requiere un servidor RADIUS, un proveedor de identidad - Microsoft Entra ID, Okta o Google Workspace - y un suplicante en cada dispositivo. Ese suplicante es el componente de software que gestiona el intercambio de autenticación EAP. Cada portátil gestionado, cada teléfono corporativo, tiene uno. La nevera inteligente de su residente no lo tiene. El controlador de climatización de su edificio no lo tiene. Sus sensores de IoT no lo tienen. PPSK funciona con todos ellos porque opera en la capa WPA Personal, no en la capa WPA Enterprise. [short pause] Dicho esto, PPSK no es un sustituto de 802.1X en entornos corporativos. Es una herramienta diferente para un problema diferente. Si gestiona una red para el personal donde la responsabilidad individual es clave - donde necesita saber que una persona específica se autenticó a una hora concreta y necesita revocar su acceso en el momento en que deja la organización - 802.1X es la respuesta correcta. Si gestiona una red residencial donde necesita aislamiento por vivienda, soporte para IoT y simplicidad operativa a escala, PPSK es la respuesta correcta. [medium pause] Analicemos los modelos de despliegue. Existen tres patrones principales en producción hoy en día. [short pause] El primero es el modelo de controlador en la nube, que es el más común para nuevos despliegues. Sus puntos de acceso - ya sean Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme o Fortinet - se conectan a una plataforma de gestión en la nube. El almacén de claves PPSK reside en el controlador en la nube. Cuando da de alta a un nuevo residente, crea una clave en el portal, la asigna a una VLAN y el controlador envía la política a cada punto de acceso del edificio. El residente recibe su clave - por correo electrónico, SMS o un código QR en un paquete de bienvenida - y se conecta. Cuando se muda, usted elimina la clave. Sus dispositivos dejan de conectarse. Nadie más se ve afectado. [short pause] El segundo modelo es PPSK con un backend RADIUS local. Algunos despliegues empresariales utilizan un servidor RADIUS para almacenar y validar las credenciales PPSK, lo que proporciona registro centralizado, pistas de auditoría e integración con su plataforma de gestión de identidades. Esto añade costes de infraestructura, pero le ofrece la trazabilidad de 802.1X con la compatibilidad de dispositivos de PPSK. Es el modelo adecuado para entornos mixtos - por ejemplo, un espacio de coworking donde tiene tanto dispositivos corporativos gestionados como equipos IoT propiedad de los miembros. [short pause] El tercer modelo es el híbrido: PPSK para residentes e IoT, 802.1X para el personal y los sistemas de gestión. Esta es la arquitectura que Purple recomienda para promociones Build to Rent y unidades multifamiliares. Los residentes obtienen PPSK. Los sistemas de gestión del edificio, la videovigilancia y el control de accesos obtienen su propia VLAN de IoT con PPSK. Los dispositivos del equipo de gestión de la propiedad utilizan 802.1X contra Microsoft Entra ID u Okta. Tres modelos de autenticación distintos, tres VLAN distintas, una infraestructura física. Ahora entremos en la implementación. Si va a desplegar PPSK para una promoción Build to Rent o una propiedad de unidades multifamiliares, esta es la secuencia que funciona. [short pause] Comience con su diseño lógico antes de tocar el hardware. Planifique su número de residentes, sus categorías de dispositivos IoT y cualquier sistema de gestión o personal. Asigne las VLAN. Un despliegue típico de BTR tiene este aspecto: VLAN 10 hasta lo que requiera su número de unidades para los residentes, una VLAN por apartamento o una VLAN por planta en función de su densidad. VLAN 99 para IoT. VLAN 100 para la gestión del edificio. VLAN 200 para WiFi de invitados en las zonas comunes. [short pause] Luego, documente su esquema de direccionamiento IP. En un edificio de 200 viviendas, se pueden prever de 3,000 a 5,000 dispositivos en la red en cualquier momento dado. Esa es la cifra de 15 a 25 dispositivos por hogar según las investigaciones de la British Property Federation. Sus alcances de DHCP deben adaptarse a eso. Utilice el direccionamiento privado RFC 1918 con tamaños de subred suficientes por VLAN. Un /24 le ofrece 254 direcciones utilizables. Un /23 le ofrece 510. Dimensione en consecuencia. [medium pause] En cuanto a la selección de hardware: PPSK es compatible con las principales plataformas de puntos de acceso empresariales. Cisco Meraki lo llama iPSK y lo gestiona a través del panel de Meraki con políticas de claves por SSID. HPE Aruba lo implementa de forma nativa en ArubaOS y Aruba Central. Ruckus lo admite a través de SmartZone y la plataforma Ruckus Cloud. Juniper Mist utiliza ePSK con gestión de RF impulsada por IA. Ubiquiti UniFi cuenta con PPSK desde 2023, aunque tenga en cuenta que actualmente es solo para WPA2 y no funcionará en la banda de 6 gigahercios. Cambium y Extreme lo admiten a través de sus respectivas plataformas en la nube. [short pause] Una limitación crítica a tener en cuenta: la implementación de PPSK de UniFi es solo para WPA2. Si está especificando puntos de acceso WiFi 6E y desea utilizar la banda de 6 gigahercios para clientes PPSK, necesitará una plataforma que admita WPA3-SAE con PPSK, o tendrá que restringir los clientes PPSK a las bandas de 2.4 y 5 gigahercios. Aruba, Ruckus y Meraki admiten PPSK en configuraciones WPA3. [medium pause] Ahora hablemos de los errores comunes. Estos son los modos de fallo que veo repetidamente en las implementaciones de producción. [short pause] El primero es la proliferación de SSID. Cada SSID que transmite consume tiempo de aire para las tramas de baliza (beacon frames). In un edificio residencial denso, si está transmitiendo seis u ocho SSIDs por punto de acceso, estará degradando el rendimiento de todos. Manténgalo en un máximo de cuatro SSIDs por radio. Utilice PPSK para dar servicio a múltiples segmentos de residentes desde un único SSID en lugar de crear un SSID separado por piso o por planta. [short pause] El segundo error común es la configuración insuficiente de los puertos troncales. Diseña un esquema de VLAN limpio, implementa los puntos de acceso y luego el tráfico se pierde silenciosamente porque alguien olvidó permitir las VLAN correspondientes en un enlace troncal entre el conmutador de distribución y la capa de acceso. Valide cada puerto troncal durante la puesta en marcha. Documéntelo. Pruébelo con un dispositivo en cada VLAN antes de que se muden los residentes. [short pause] El tercer error común es la distribución de claves. Generar claves es fácil. Entregarlas a los residentes de forma segura y operativamente manejable es más difícil. Un código QR en el paquete de bienvenida funciona bien para el día de la mudanza. Un portal de residentes donde puedan recuperar su clave y añadir nuevos dispositivos es mejor para las operaciones diarias. Diseñe el flujo de trabajo de distribución de claves antes de la implementación, no después. [short pause] El cuarto error, específico de IoT, consiste en colocar los dispositivos domésticos inteligentes en el segmento PPSK del residente sin reflexionar sobre las consecuencias. Un dispositivo IoT comprometido en la VLAN de un residente puede potencialmente atacar a otros dispositivos en esa misma VLAN. Para las categorías de IoT de alto riesgo, considere una VLAN de IoT independiente con filtrado de salida, incluso si eso significa que los residentes tengan que configurar sus aplicaciones de hogar inteligente para utilizar una red diferente. [medium pause] Analicemos dos escenarios del mundo real. [short pause] Escenario uno: una promoción Build to Rent de 180 viviendas en el centro de una ciudad. El operador quería incluir el WiFi en el alquiler como un servicio, con activación el día de la mudanza y compatibilidad total con hogares inteligentes. Implementaron puntos de acceso de HPE Aruba gestionados a través de Aruba Central. Cada piso obtiene una clave PPSK única generada al firmar el contrato de arrendamiento. La clave se envía por correo electrónico al residente con un código QR. Lo escanean, todos sus dispositivos se conectan y su Chromecast, altavoz inteligente y consola funcionan de inmediato. Cuando un residente se muda, el administrador de la propiedad elimina la clave en el portal. El nuevo residente recibe una clave nueva al mudarse. Cero dramas con la rotación de contraseñas. El operador informa de una reducción del 30% en los tickets de soporte relacionados con WiFi en comparación con su despliegue anterior de contraseña compartida. [short pause] Escenario dos: un complejo de residencias de estudiantes de 400 camas. El reto aquí es la semana de mudanza de la cohorte, con cientos de estudiantes que llegan simultáneamente, todos intentando conectar docenas de dispositivos a la vez. El operador utilizó puntos de acceso Ruckus con SmartZone, desplegando PPSK con una clave por habitación. Las claves se generaron previamente y se incluyeron en el paquete de bienvenida enviado antes de la llegada. Los estudiantes escanearon el código QR a su llegada y se conectaron en cuestión de segundos. La red gestionó la oleada de mudanzas sin degradación porque el tráfico de cada estudiante estaba aislado en su propio segmento VLAN. [medium pause] Pasemos ahora a una sesión rápida de preguntas y respuestas sobre los temas que surgen con más frecuencia. [short pause] ¿Cuántas claves PPSK puede gestionar un único punto de acceso? La mayoría de las plataformas empresariales admiten miles de claves por SSID. Cisco Meraki admite hasta 5000 entradas iPSK por red. Aruba admite una escala similar. Ubiquiti UniFi admite hasta 1000 entradas PPSK por red. Para un edificio de 200 unidades, está muy dentro de los límites en cualquier plataforma. [short pause] ¿Funciona PPSK con WPA3? Sí, en la mayoría de las plataformas empresariales. WPA3-SAE ofrece una protección más sólida contra ataques de diccionario fuera de línea en comparación con WPA2-PSK, por lo que desplegar PPSK en WPA3 cuando sus dispositivos de cliente lo admitan es el enfoque correcto. La excepción es UniFi, que actualmente solo admite WPA2 para PPSK. [short pause] ¿Puedo integrar PPSK con mi sistema de gestión de propiedades? Sí, a través de la API del proveedor. Aruba Central, Meraki, Ruckus y Mist exponen APIs REST para la gestión de claves PPSK. Puede automatizar la creación y revocación de claves como parte de su flujo de trabajo de gestión de arrendamientos. [short pause] ¿Cuál es la diferencia de seguridad entre PPSK y 802.1X? La diferencia fundamental es que PPSK es un modelo de secreto compartido. La clave es una cadena de caracteres que se puede compartir o interceptar. 802.1X con EAP-TLS utiliza certificados digitales, que no se pueden compartir de la misma manera y proporcionan autenticación mutua. Para entornos residenciales donde el modelo de amenazas es principalmente el aislamiento entre residentes, PPSK proporciona una seguridad adecuada. Para redes de personal corporativo, 802.1X es la opción correcta. [medium pause] Para resumir: PPSK WiFi es el modelo de autenticación adecuado para despliegues residenciales multiinquilino, entornos con un uso intensivo de IoT y cualquier escenario en el que necesite aislamiento por usuario o por hogar sin la sobrecarga de infraestructura de 802.1X. Se ejecuta en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Se integra con sistemas de gestión de propiedades a través de API. Y resuelve los tres problemas operativos principales que las redes de contraseñas compartidas no pueden: mudanzas sin afectar a todos los demás, compatibilidad con dispositivos domésticos inteligentes y rendición de cuentas por residente. [short pause] El marco de decisión es sencillo. Si sus dispositivos son compatibles con 802.1X y dispone de infraestructura RADIUS, utilice 802.1X para el personal y los dispositivos gestionados. Si gestiona una propiedad residencial multiinquilino, utilice PPSK. Si tiene dispositivos IoT que no admiten 802.1X, utilice PPSK con una VLAN de IoT dedicada. Si necesita WiFi para invitados en zonas comunes, utilice una red PSK estándar o abierta con un Captive Portal de base. [short pause] Para los siguientes pasos: revise el diagrama general de arquitectura de la guía, que muestra toda la pila de despliegue de PPSK, desde el enlace ascendente del ISP hasta el dispositivo del residente. Utilice el diagrama de flujo de decisiones para asociar su entorno específico con el modelo de autenticación adecuado. Y si está planeando un despliegue de BTR o MDU y quiere entender cómo la plataforma de WiFi multiinquilino de Purple se sitúa sobre su hardware existente para proporcionar la gestión de claves, el portal del residente y la capa de análisis, el enlace está en la guía. [medium pause] Eso es todo por el boletín de hoy. Gracias por escuchar. Permítame profundizar en el modelo de seguridad, porque aquí es donde veo la mayor confusión en el mercado. [short pause] PPSK funciona en la capa WPA Personal. Cada clave es un secreto precompartido. La garantía de seguridad que proporciona PPSK es el aislamiento entre residentes: el dispositivo A con la clave A no puede comunicarse con el dispositivo B con la clave B, incluso cuando están asociados al mismo punto de acceso físico. Ese aislamiento se aplica en la capa VLAN, no en la capa de cifrado. El cifrado entre cada dispositivo y el punto de acceso utiliza el mismo conjunto de cifrado WPA2 o WPA3, independientemente de la clave PPSK que haya utilizado el dispositivo para autenticarse. [short pause] Lo que PPSK no proporciona es la autenticación mutua que ofrece 802.1X. En un despliegue de 802.1X con EAP-TLS, el cliente se autentica ante la red y la red se autentica ante el cliente. Ambas partes presentan certificados. Esto evita los ataques de puntos de acceso no autorizados. Con PPSK, el cliente no tiene forma de verificar si está conectado a la red legítima o a un AP no autorizado que emite el mismo SSID. Para un edificio residencial donde el modelo de amenaza se centra principalmente en aislar a los residentes entre sí, esta es una concesión aceptable. Para un entorno corporativo que maneja datos confidenciales, no lo es. [medium pause] Ahora hablemos de la vía de actualización a WPA3. WPA3-SAE, que significa Autenticación Simultánea de Iguales, sustituye el intercambio de cuatro vías de WPA2 por un protocolo de intercambio de claves más seguro llamado Dragonfly. La mejora crítica para los despliegues de PPSK es la confidencialidad directa: incluso si un atacante captura el tráfico WiFi y posteriormente obtiene la clave precompartida, no podrá descifrar el tráfico capturado. WPA2-PSK no proporciona confidencialidad directa. WPA3-SAE sí lo hace. Si va a desplegar hardware nuevo hoy en día, especifique la compatibilidad con WPA3-SAE y actívela para su SSID de PPSK. Los clientes que no admitan WPA3 volverán a WPA2 en modo de transición, por lo que no tendrá que forzar un cambio drástico. [short pause] Vale la pena abordar directamente la perspectiva de la GDPR. En un despliegue residencial multi-tenant, usted está procesando datos personales, específicamente, la asociación entre una clave WiFi y un residente identificado. Esa asociación constituye datos personales en virtud de la UK GDPR y la GDPR de la UE. Necesita una base jurídica para procesarlos. En un contexto de BTR, la base jurídica suele ser la ejecución de un contrato - el contrato de alquiler - o los intereses legítimos. Necesita un aviso de privacidad que cubra el procesamiento de datos de WiFi. Necesita una política de retención de datos para los registros de conexión. Y debe poder responder a las solicitudes de acceso de los interesados, lo que significa que su plataforma de gestión de PPSK debe poder exportar todos los datos asociados a la clave de un residente específico. [short pause] La plataforma Multi-Tenant WiFi de Purple está diseñada con esto en mente. Los datos se almacenan en una infraestructura certificada en ISO 27001. Cumplimos con la GDPR y la CCPA. La residencia de los datos es seleccionable - Reino Unido, UE o EE. UU. - para que pueda cumplir con sus obligaciones reglamentarias independientemente de dónde se encuentren sus propiedades. Y nuestra plataforma proporciona la pista de auditoría y las capacidades de exportación de datos que necesita para el cumplimiento normativo. Permítame abordar la cuestión del ROI, porque surge en todas las conversaciones de adquisición de BTR. [short pause] Las investigaciones de la British Property Federation muestran de manera constante que la calidad del WiFi es uno de los cinco factores de equipamiento más importantes en las decisiones de alquiler en el sector Build to Rent. Los operadores que incluyen WiFi gestionado como un equipamiento reportan primas de alquiler de entre quince y treinta libras por unidad al mes en comparación con propiedades equivalentes sin conectividad incluida. En un edificio de 200 unidades, esto supone entre treinta y seis mil y setenta y dos mil libras al año de ingresos por alquiler adicionales. Frente a un coste de despliegue de PPSK típico - hardware amortizado a lo largo de cinco años más una licencia de software superpuesta - el periodo de recuperación de la inversión suele ser inferior a 18 meses. [short pause] El ahorro operativo es igualmente significativo. Una red con contraseña compartida en un edificio de 200 unidades genera un volumen predecible de solicitudes de soporte: residentes que no pueden conectar su Chromecast, residentes cuyos altavoces inteligentes no se emparejan, residentes cuyas consolas muestran un tipo de NAT estricto. Resolver estas incidencias cuesta tiempo y dinero. Una red PPSK correctamente desplegada elimina la mayoría de ellas. Un operador con el que trabajamos reportó una reducción del 30% en los contactos de soporte relacionados con WiFi en los primeros seis meses tras migrar de una contraseña compartida a un despliegue PPSK. [short pause] Los periodos de desocupación son el otro factor clave. Un edificio donde el WiFi está activo y funcionando el día de la mudanza reduce las dificultades para los nuevos residentes. Un edificio donde un nuevo residente tiene que esperar la cita de un técnico de banda ancha - normalmente de siete a catorce días en el Reino Unido - genera una primera impresión negativa que afecta a la retención. El sistema PPSK con activación el día de la mudanza elimina esa fricción por completo. [medium pause] Un área más a cubrir: la aplicación en espacios de coworking y de uso mixto. El sistema PPSK no es solo para el sector residencial. También es el modelo adecuado para espacios de coworking donde se busca un aislamiento por miembro o por empresa sin la sobrecarga de 802.1X. Un operador de coworking con 200 miembros puede dar a cada miembro su propia clave PPSK, asignarla a una VLAN dedicada y garantizar que los dispositivos del miembro A sean invisibles para el miembro B. Cuando una suscripción caduca, la clave se revoca. Cuando un nuevo miembro se une, se genera una nueva clave. La experiencia del miembro es idéntica a la de una red doméstica. [short pause] Para el coworking, el modelo híbrido funciona especialmente bien. Los miembros obtienen PPSK. Los visitantes de los miembros - por ejemplo, clientes que asisten a reuniones - obtienen un SSID de WiFi para invitados independiente con un Captive Portal. El personal del edificio obtiene 802.1X frente al proveedor de identidad del operador. Tres modelos de autenticación, una infraestructura física y una separación clara entre los tres grupos de usuarios. [medium pause] Con esto se completa el panorama general. PPSK WiFi es una tecnología madura y bien respaldada que resuelve un problema específico e importante: el aislamiento por usuario o por vivienda en entornos multi-inquilino, sin la sobrecarga de infraestructura de 802.1X. Es independiente del hardware, se basa en API y se puede implementar hoy mismo en los puntos de acceso que ya posee. Los criterios de decisión están claros. Los patrones de implementación están probados. Y el modelo de negocio, especialmente en el sector de Build to Rent y en las residencias de estudiantes diseñadas a tal efecto, está más que demostrado.