WPA2 Enterprise: La guía completa

Bienvenido al informe técnico de Purple. Soy su anfitrión, y hoy abordamos una transición de infraestructura crítica a la que se enfrenta casi cualquier empresa en crecimiento: el paso de WPA2-Personal a WPA2-Enterprise. Si es director de TI, arquitecto de red o gestiona las operaciones de un gran recinto - ya sea una cadena de retail, un hotel o un estadio - conoce el dolor que supone una contraseña de WiFi compartida. Está escrita en pizarras. Se comparte con contratistas. Y cuando un empleado se va, cambiarla en cientos de dispositivos es una pesadilla operativa. Lo que es más importante, desde el punto de vista del cumplimiento, una clave compartida significa cero rendición de cuentas. No puede superar una auditoría estricta de PCI-DSS o ISO 27001 si no puede demostrar exactamente quién estaba en la red en un momento dado. Ahí es donde entra en juego WPA2-Enterprise. Cambia fundamentalmente el paradigma. En lugar de autenticar la ubicación con una clave compartida, se autentica la identidad individual. Cada usuario, cada dispositivo, obtiene su propia credencial. Y cuando alguien se va, se desactiva su cuenta, y se queda fuera de la red al instante. Sin rotación de contraseñas. Sin solicitudes de soporte técnico. Sin riesgos. Comencemos con un poco de contexto. WPA2 (Wi-Fi Protected Access 2) ha sido el estándar de seguridad inalámbrica dominante desde 2004. Se presenta en dos versiones. WPA2-Personal, también llamado PSK o Pre-Shared Key, es lo que utilizan la mayoría de los hogares y pequeñas oficinas. Una contraseña, compartida por todos. WPA2-Enterprise es la versión diseñada para organizaciones. Utiliza el estándar 802.1X para autenticar a cada usuario o dispositivo de forma individual a través de un servidor de autenticación central. Ahora, profundicemos en la arquitectura técnica, porque entender esto es fundamental para desplegarlo correctamente. WPA2-Enterprise se basa en tres componentes que funcionan de forma coordinada. En primer lugar, el Suplicante: ese es el dispositivo cliente. El ordenador portátil, el smartphone, el sensor IoT. Es la entidad que solicita acceso a la red. En segundo lugar, el Autenticador: ese es su punto de acceso inalámbrico, o en un contexto cableado, un switch gestionado. Se sitúa en el extremo de la red y aplica la política. Bloquea todo el tráfico excepto las solicitudes de autenticación hasta que el servidor central da luz verde. En tercer lugar, el Servidor de Autenticación: normalmente un servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. Es el cerebro de la operación. Recibe la solicitud de autenticación desde el punto de acceso, valida las credenciales contra un almacén de identidades como Active Directory o un directorio LDAP, y devuelve una respuesta de Access-Accept o Access-Reject. Esta es la clave: el punto de acceso nunca ve su contraseña. Simplemente transmite el intercambio de autenticación cifrado entre el cliente y el servidor RADIUS. Esta separación de funciones es lo que hace que la arquitectura sea tanto escalable como auditable. Ahora, dentro de este marco, el intercambio real de credenciales se gestiona mediante EAP, el Protocolo de Autenticación Extensible. Y el método EAP que elija define tanto su nivel de seguridad como la complejidad de su despliegue. Hay dos métodos que encontrará con mayor frecuencia en los despliegues empresariales. El primero es PEAP, o EAP Protegido. Este es el método más extendido. Así es como funciona: el servidor RADIUS presenta un certificado digital al dispositivo cliente. El cliente valida ese certificado, confirmando esencialmente que se está comunicando con la red real y no con un suplantador. Una vez establecida esa confianza, se crea un túnel TLS seguro. Dentro de ese túnel, el usuario se autentica con su nombre de usuario y contraseña habituales, normalmente sus credenciales de Active Directory. PEAP es popular porque es relativamente sencillo de desplegar. Los usuarios ya conocen sus contraseñas. No es necesario distribuir certificados a los dispositivos clientes. Sin embargo, tiene un punto débil: si un usuario es descuidado y acepta un certificado de servidor fraudulento, podría estar conectándose a un punto de acceso no autorizado - lo que llamamos un ataque Evil Twin - y sus credenciales podrían ser robadas. El segundo método es EAP-TLS, y este es el estándar de oro para entornos de alta seguridad. EAP-TLS requiere una autenticación mutua por certificado. Tanto el servidor como el dispositivo cliente deben presentar certificados válidos. No se transmiten contraseñas en absoluto. Al no haber contraseña que robar, los ataques de phishing quedan completamente neutralizados. La contrapartida es la complejidad del despliegue. Necesita una Infraestructura de Clave Pública - una PKI - para emitir y gestionar los certificados de cliente. Y necesita una plataforma de gestión de dispositivos móviles para instalar esos certificados de forma silenciosa en los dispositivos. Si depende de que los usuarios instalen los certificados manualmente, su servicio de soporte técnico se verá desbordado. Pero para entornos donde la seguridad es primordial - servicios financieros, sector gubernamental, sanidad - EAP-TLS es la única opción defendible. Entonces, ¿cómo se implementa realmente esto? Permítame guiarle a través de las fases clave. La fase uno es la preparación de la infraestructura. Su servidor RADIUS es ahora una dependencia crítica en el camino. Si se cae, nadie se conecta a la WiFi. Esto no es una redundancia opcional - es esencial. Para entornos distribuidos como cadenas de tiendas o grupos hoteleros, considere los servicios RADIUS alojados en la nube. Ofrecen redundancia integrada y eliminan la necesidad de gestionar servidores locales en cada ubicación. Asegúrese de que su servidor RADIUS esté integrado con su proveedor de identidad central. Para la mayoría de las organizaciones, se trata de Azure Active Directory o Active Directory local a través de LDAP. La fase dos es la gestión de certificados, si opta por EAP-TLS. Automatice todo. Utilice su plataforma de MDM - Intune, Jamf o la que tenga - para distribuir certificados de forma silenciosa a los dispositivos propiedad de la empresa. Para situaciones de BYOD, considere la posibilidad de utilizar un portal de incorporación. Productos como SecureW2 o Foxpass pueden automatizar la instalación del perfil de configuración para dispositivos personales, reduciendo drásticamente el volumen de tickets de soporte. La fase tres es el despliegue en sí. No realice una transición brusca de golpe. Nunca insistiré lo suficiente en esto. No apague la red PSK un lunes por la mañana esperando que todo funcione. Empiece con un grupo piloto - el equipo de TI es la opción obvia. Luego amplíe el despliegue a una sola planta, a un único departamento o a una sola sede. Supervise sus registros de RADIUS de forma obsesiva durante esta fase. Los tiempos de espera de autenticación suelen indicar un problema de enrutamiento de red entre sus puntos de acceso y el servidor RADIUS. Los errores de confianza de certificados significan que el certificado raíz de su CA no se ha desplegado correctamente en los terminales. Permítame hablar ahora de una de las funciones más potentes - y menos utilizadas - de WPA2-Enterprise: la asignación dinámica de VLAN (Dynamic VLAN Assignment). En un entorno PSK, normalmente se transmiten múltiples SSIDs para separar los diferentes grupos de usuarios. El personal en un SSID, los terminales de punto de venta en otro y los dispositivos IoT en un tercero. Cada SSID adicional añade sobrecarga a su entorno de radiofrecuencia. En una tienda minorista concurrida o en un estadio, esta contaminación de RF puede degradar el rendimiento de forma real. Con WPA2-Enterprise y la asignación dinámica de VLAN, puede transmitir un único SSID y dejar que el servidor RADIUS decida en qué segmento de red cae cada dispositivo. Cuando un cajero se autentica, el servidor RADIUS devuelve atributos que indican al punto de acceso que coloque esa sesión en la VLAN 10 - el segmento que cumple con la normativa PCI-DSS. Cuando un gerente de tienda se autentica, entra en la VLAN 20 - el segmento corporativo. El mismo SSID, diferente red, todo controlado por la identidad. Es elegante, es escalable y supone una simplificación operativa muy importante. Para los operadores de recintos específicamente - hoteles, centros de conferencias, estadios - hay una consideración adicional: la red de invitados. WPA2-Enterprise es cada vez más relevante para el acceso gestionado de invitados, no solo para las redes del personal. Plataformas como Purple proporcionan gestión de identidad para un acceso seguro a la WiFi. Bajo la licencia Connect, Purple actúa como un proveedor de identidad gratuito y es compatible con OpenRoaming - un estándar que permite a los usuarios desplazarse de forma segura y sin interrupciones entre las redes participantes sin tener que volver a autenticarse. Esto es especialmente potente para los visitantes frecuentes, como los delegados de conferencias o los miembros de programas de fidelización. Permítame cubrir ahora los modos de fallo más comunes, porque saber qué puede salir mal es la mitad de la batalla. El primero es la advertencia de certificado de servidor no fiable. Si los clientes ven un aviso que indica que no se puede verificar el certificado del servidor, significa que el certificado de su servidor RADIUS ha caducado, está autofirmado sin que la CA raíz se haya desplegado en los clientes, o ha sido emitido por una CA en la que el dispositivo no confía. La solución: use un certificado de una CA pública que ya esté en el almacén de raíces fiables del dispositivo, o asegúrese de que la raíz de su CA interna se despliegue a través de una directiva de grupo o MDM. El segundo son los tiempos de espera de RADIUS. Esto se manifiesta cuando los clientes se quedan colgados en la pantalla de autenticación antes de fallar finalmente. La causa casi siempre es un problema en la ruta de red: el punto de acceso no puede comunicarse con el servidor RADIUS, o un cortafuegos está descartando la respuesta. Compruebe las reglas de su cortafuegos para los puertos UDP 1812 y 1813, que son los puertos estándar de autenticación y contabilidad de RADIUS. El tercero es el problema de IoT. Muchos dispositivos heredados - impresoras, controladores de climatización, lectores de control de acceso - simplemente no son compatibles con 802.1X. Deberá mantener una estrategia independiente para ellos. Las opciones incluyen la omisión de autenticación MAC (MAC Authentication Bypass), donde el dispositivo se autentica utilizando su dirección MAC en lugar de credenciales, o Multi-PSK, donde cada dispositivo recibe una clave precompartida única. Ninguna es tan segura como 802.1X, pero son soluciones pragmáticas para el hardware heredado. Ahora, hablemos del impacto empresarial y el ROI, porque este no es solo un proyecto de seguridad - es un proyecto de eficiencia operativa. El ROI más inmediato proviene de eliminar la rotación de contraseñas. Cada vez que se cambia una contraseña de WiFi compartida, el departamento de TI debe actualizar cada dispositivo de la red. En una cadena minorista con 50 ubicaciones, eso supone potencialmente miles de actualizaciones de dispositivos. Con WPA2-Enterprise, desaprovisionar a un empleado es una única acción en Active Directory. El segundo factor de ROI es el cumplimiento normativo. Para cualquier organización sujeta a PCI-DSS - lo que significa cualquiera que procese pagos con tarjeta - la capacidad de demostrar registros de acceso a la red por usuario es una ventaja de auditoría significativa. Lo mismo se aplica al GDPR, donde demostrar un acceso controlado a los sistemas que procesan datos personales está cada vez más bajo lupa. El tercero es la inteligencia de red. La autenticación por usuario aporta datos valiosos a su plataforma de gestión de red. Puede ver exactamente qué dispositivos están en la red, cuándo se conectaron, cuánto ancho de banda consumieron y desde qué ubicación. Estos datos son inestimables para la planificación de capacidad y para detectar comportamientos anómalos. Permítame cerrar con una ronda rápida de preguntas y respuestas sobre las dudas que escucho con más frecuencia. ¿Podemos ejecutar WPA2-Enterprise junto con nuestra red PSK existente? Por supuesto, y debería hacerlo durante la transición. Ejecútelas en paralelo, migre a los usuarios por lotes y retire la red PSK una vez completada la migración. ¿Necesitamos reemplazar nuestros puntos de acceso? No necesariamente. La mayoría de los puntos de acceso de nivel empresarial de proveedores como Cisco, Aruba, Ruckus y Ubiquiti son compatibles con 802.1X. Compruebe la versión de su firmware y asegúrese de que esté actualizada. ¿Qué pasa con WPA3-Enterprise? ¿Deberíamos esperar? WPA3-Enterprise añade requisitos criptográficos más estrictos, incluido el modo de seguridad de 192 bits para entornos de alta seguridad. Si va a desplegar una nueva infraestructura hoy mismo, elija hardware que admita WPA3. Pero no deje que lo perfecto sea enemigo de lo bueno: WPA2-Enterprise es una mejora de seguridad enorme en comparación con PSK y es la decisión correcta ahora. ¿Cuánto suele tardar un despliegue típico? Para una organización de un solo sitio con un Active Directory existente, un despliegue básico de PEAP puede completarse en unos pocos días. Un despliegue de EAP-TLS multisitio con integración de MDM suele tardar de cuatro a ocho semanas, incluida la fase piloto. Para resumir los puntos clave de la sesión de hoy. Primero: WPA2-Enterprise autentica identidades individuales, no ubicaciones compartidas. Este es el cambio fundamental. Segundo: elija PEAP para entornos BYOD y basados en credenciales; elija EAP-TLS para entornos de dispositivos gestionados de alta seguridad. Tercero: su servidor RADIUS es una infraestructura crítica; incorpore redundancia desde el primer día. Cuarto: utilice la asignación dinámica de VLAN para simplificar su entorno de RF manteniendo una segmentación de red estricta. Quinto: planifique los dispositivos IoT por separado, ya que no serán compatibles con 802.1X. Sexto: nunca realice una transición repentina. Realice el despliegue por fases y supervise de cerca los registros de RADIUS. Para consultar la guía de implementación completa, los diagramas de arquitectura y los ejemplos prácticos, consulte la guía escrita completa en el sitio web de Purple. Gracias por su atención y buena suerte con su despliegue.