¿Qué es la autenticación RADIUS y cómo funciona?

### ¿Qué es la autenticación RADIUS y cómo funciona? — Sesión técnica de Purple **[INTRODUCCIÓN — 1 minuto]** Bienvenidos a la sesión técnica de Purple. Soy su anfitrión y, en los próximos diez minutos, vamos a desmitificar una de las tecnologías más críticas para la seguridad de las redes corporativas: la autenticación RADIUS. Si es usted responsable de TI, arquitecto de redes o director de tecnología responsable del WiFi en un gran recinto (un hotel, una cadena de tiendas, un estadio o un centro de conferencias), esta sesión es específicamente para usted. Iremos directos al grano, explicaremos la arquitectura con claridad y le ofreceremos la información práctica que necesita para tomar decisiones informadas este trimestre. Empecemos con una visión general. ¿Por qué es importante todo esto? Si todavía gestiona el WiFi de sus invitados o de su personal con una única contraseña compartida (una clave precompartida o PSK), está operando con un riesgo de seguridad significativo y creciente. Esa contraseña se comparte, se escribe en recibos, se fotografía en pizarras y se reenvía a través de aplicaciones de mensajería. Una vez que se difunde, pierde la visibilidad de quién está en su red, la capacidad de revocar el acceso a un solo usuario sin interrumpir a todos los demás y el registro de auditoría si algo sale mal. Para las organizaciones sujetas a PCI DSS, GDPR o HIPAA, esto no es solo un problema técnico. Es una responsabilidad de cumplimiento normativo. RADIUS es la solución en la que ha convergido el sector para abordar este problema. Así que comprendamos exactamente qué es y cómo funciona. **[ANÁLISIS TÉCNICO DETALLADO — 5 minutos]** RADIUS son las siglas de Remote Authentication Dial-In User Service. El nombre es un vestigio histórico de los primeros días de internet por marcación telefónica, pero el protocolo ha evolucionado significativamente y sigue siendo la columna vertebral del control de acceso a redes corporativas en la actualidad. En su esencia, RADIUS es un sistema centralizado basado en servidor que gestiona el acceso a la red utilizando un marco denominado AAA: autenticación, autorización y contabilidad. Estos tres pilares son la base de todo lo que analizaremos hoy. La autenticación es el primer pilar: verificar quién es alguien. La autorización es el segundo: determinar qué se le permite hacer. Y la contabilidad es el tercero: registrar lo que realmente hizo. Exploremos cada uno de ellos. Autenticación. Cuando un usuario intenta conectarse a una red WiFi protegida con WPA2-Enterprise o WPA3-Enterprise, su dispositivo (al que llamamos suplicante) envía una solicitud de conexión al punto de acceso inalámbrico. El punto de acceso, al que llamamos autenticador, no toma la decisión de autenticación por sí mismo. Actúa como un intermediario, reenviando la solicitud al servidor RADIUS. A continuación, el servidor RADIUS valida la identidad del usuario frente a una fuente de identidad configurada. Esta podría ser Microsoft Active Directory, Azure Active Directory, Google Workspace, Okta o una base de datos de usuarios local. La fuente de identidad es la única fuente de verdad para determinar quién tiene permitido acceder a su red. El servidor RADIUS puede validar la identidad de varias maneras. Las más comunes en entornos corporativos son los métodos basados en credenciales, en los que el usuario proporciona un nombre de usuario y una contraseña, y los métodos basados en certificados, en los que el dispositivo del usuario presenta un certificado digital. Hablaremos de las implicaciones de seguridad de cada uno de ellos en breve. Autorización. Una vez que el usuario está autenticado, el servidor RADIUS no se limita a decir que sí y desentenderse. También le indica al punto de acceso exactamente qué hacer con este usuario. Envía de vuelta un conjunto de atributos (instrucciones, esencialmente) que definen la experiencia de red del usuario. El más importante de ellos suele ser la asignación de VLAN. El servidor RADIUS podría decir: este usuario es miembro del grupo de personal corporativo, asígnelo a la VLAN diez, que tiene acceso a los servidores de archivos e impresoras internos. O bien: este usuario es un invitado, asígnelo a la VLAN veinte, que solo tiene acceso a internet y está completamente aislada de la red corporativa. Esta asignación dinámica de VLAN es una de las funciones más potentes de RADIUS y es el mecanismo que permite una segmentación de red adecuada. Contabilidad. El tercer pilar a menudo se pasa por alto, pero es críticamente importante para el cumplimiento normativo y las operaciones. A medida que avanza la sesión de un usuario, el servidor RADIUS registra información clave: la hora a la que se conectó, la hora a la que se desconectó, la duración total de la sesión, la cantidad de datos que transfirió y la dirección MAC de su dispositivo. Esto crea un registro de auditoría detallado para cada conexión en su red. Bajo PCI DSS 4.0, este tipo de registro no es opcional: es un requisito estricto. Y en caso de un incidente de seguridad, estos registros son inestimables para la investigación forense. Ahora, hablemos del estándar técnico que hace que todo esto funcione: IEEE 802.1X. 802.1X es el estándar que define el control de acceso a la red basado en puertos. Es el protocolo que permite a un punto de acceso bloquear todo el tráfico de red de un dispositivo hasta que el servidor RADIUS haya confirmado que el dispositivo está autorizado. La comunicación entre el dispositivo del usuario y el punto de acceso utiliza un protocolo llamado EAP (Protocolo de Autenticación Extensible). EAP es esencialmente un marco que admite múltiples métodos de autenticación. Los tres métodos EAP más comunes en el WiFi corporativo son: PEAP, que significa Protocolo de Autenticación Extensible Protegido; EAP-TTLS; y EAP-TLS. PEAP y EAP-TTLS son métodos basados en credenciales. Crean un túnel cifrado entre el dispositivo y el servidor RADIUS, y luego el nombre de usuario y la contraseña del usuario se verifican dentro de ese túnel. Son relativamente fáciles de desplegar y funcionan bien en entornos en los que aún no se está preparado para una infraestructura de certificados completa. EAP-TLS es el estándar de oro. Se basa en certificados, lo que significa que tanto el servidor como el dispositivo cliente presentan certificados digitales para autenticarse mutuamente. No hay ninguna contraseña de por medio. Esto elimina por completo el riesgo de robo de credenciales, ataques de phishing y ataques de intermediario (man-in-the-middle). Para los dispositivos corporativos, EAP-TLS es el método de autenticación hacia el que debería orientarse. **[IMPLEMENTACIÓN Y ERRORES COMUNES — 2 minutos]** ¿Cómo se despliega realmente todo esto? Permítame guiarle a través de los pasos clave. Primero, elija su servidor RADIUS. Puede desplegar un servidor local (el Servidor de políticas de red de Microsoft es una opción común en entornos Windows) o utilizar un servicio RADIUS basado en la nube. Las plataformas RADIUS en la nube, como la que ofrece Purple, proporcionan una infraestructura totalmente gestionada y de alta disponibilidad sin los costes operativos asociados. Para organizaciones con múltiples sedes, el enfoque en la nube es casi siempre la opción correcta. Segundo, integre su fuente de identidad. Conecte su servidor RADIUS al directorio de identidades de su organización. La mayoría de las plataformas RADIUS en la nube modernas admiten la integración directa con Azure AD, Google Workspace y Okta. Tercero, configure el hardware de su red. Cree un nuevo SSID configurado para WPA2-Enterprise o WPA3-Enterprise y apúntelo a su servidor RADIUS. También configurará un secreto compartido, una contraseña que cifra la comunicación entre el punto de acceso y el servidor RADIUS. Este secreto compartido debe coincidir exactamente en ambos lados. Una discrepancia aquí es una de las causas más comunes de fallos de autenticación durante el despliegue inicial. Cuarto, defina sus políticas de autorización. Asocie grupos de usuarios a políticas de red: el personal obtiene acceso completo en la VLAN diez, los invitados obtienen acceso exclusivo a internet en la VLAN veinte. Quinto, incorpore a sus usuarios. Para el personal corporativo, despliegue perfiles de WiFi a través de su plataforma MDM. Para los invitados, utilice un Captive Portal. La plataforma de Purple automatiza el flujo de incorporación de invitados, admitiendo inicios de sesión con redes sociales, formularios de registro y códigos de cupones. **[PREGUNTAS Y RESPUESTAS RÁPIDAS — 1 minuto]** Hagamos una ronda rápida de preguntas y respuestas sobre las dudas que escuchamos con más frecuencia. Primera: ¿Cuál es la diferencia entre RADIUS y un Captive Portal? Un Captive Portal es la página de inicio de sesión que ven los invitados cuando se conectan. Funciona en combinación con RADIUS. El portal es la interfaz de usuario; RADIUS es el motor de back-end. Segunda: ¿Puedo utilizar RADIUS para redes cableadas? Absolutamente. El estándar 802.1X se aplica por igual a redes Ethernet cableadas e inalámbricas. Tercera: ¿Es difícil de configurar RADIUS? Tiene fama de complejo, pero las plataformas en la nube modernas han cambiado esto drásticamente. Con un servicio gestionado como el de Purple, puede tener un despliegue de RADIUS listo para producción y en funcionamiento rápidamente. **[RESUMEN Y PRÓXIMOS PASOS — 1 minuto]** En resumen: RADIUS es el protocolo centralizado que impulsa la seguridad del WiFi corporativo. Implementa el marco AAA para ofrecerle un control detallado sobre quién puede acceder a su red, qué puede hacer y un registro de auditoría completo de su actividad. Para operadores de recintos, hoteleros, minoristas y organizaciones del sector público, el despliegue de RADIUS es el paso fundamental para construir una infraestructura WiFi segura, conforme a las normativas y gestionada profesionalmente. Su siguiente paso está claro: si todavía utiliza claves precompartidas, empiece a planificar su migración hoy mismo. Revise su hardware actual para comprobar la compatibilidad con WPA3-Enterprise, evalúe sus opciones de integración con directorios de identidad y explore una plataforma RADIUS en la nube que pueda escalar con su organización. Esto es todo por hoy en esta sesión técnica de Purple. Gracias por escucharnos. Para obtener más información sobre cómo Purple puede ayudarle a desplegar un WiFi seguro e inteligente en sus recintos, visítenos en purple dot ai. Hasta la próxima, manténgase seguro.