WPA2 Enterprise: La guía completa

Bienvenidos a la sesión informativa técnica de Purple. Soy su anfitrión, y hoy abordamos una transición de infraestructura crítica a la que se enfrenta casi cualquier empresa en crecimiento: pasar de WPA2-Personal a WPA2-Enterprise. Si es director de TI, arquitecto de redes o gestiona las operaciones de un gran recinto (ya sea una cadena de tiendas, un hotel o un estadio), conoce el dolor de cabeza que supone la contraseña de WiFi compartida. Se escribe en pizarras. Se comparte con contratistas. Y cuando un empleado se marcha, cambiarla en cientos de dispositivos es una pesadilla operativa. Lo que es más importante, desde el punto de vista del cumplimiento normativo, una clave compartida significa cero responsabilidad. No se puede superar una auditoría estricta de PCI DSS o ISO 27001 si no se puede demostrar exactamente quién estaba en la red en un momento dado. Ahí es donde entra en juego WPA2-Enterprise. Cambia fundamentalmente el paradigma. En lugar de autenticar la ubicación con una clave compartida, se autentica la identidad individual. Cada usuario, cada dispositivo, obtiene su propia credencial. Y cuando alguien se va, se desactiva su cuenta y queda fuera de la red al instante. Sin rotación de contraseñas. Sin tickets de soporte. Sin riesgos. Empecemos con un poco de contexto. WPA2 (Wi-Fi Protected Access 2) ha sido el estándar de seguridad inalámbrica dominante desde 2004. Se presenta en dos variantes. WPA2-Personal, también llamado PSK o clave precompartida, es lo que utilizan la mayoría de los hogares y pequeñas oficinas. Una contraseña, compartida por todos. WPA2-Enterprise es la versión diseñada para organizaciones. Utiliza el estándar IEEE 802.1X para autenticar a cada usuario o dispositivo de forma individual a través de un servidor de autenticación central. Ahora, profundicemos en la arquitectura técnica, porque entender esto es fundamental para desplegarlo correctamente. WPA2-Enterprise se basa en tres componentes que funcionan de forma concertada. En primer lugar, el suplicante: ese es el dispositivo cliente. El ordenador portátil, el teléfono inteligente, el sensor IoT. Es la entidad que solicita acceso a la red. En segundo lugar, el autenticador: ese es su punto de acceso inalámbrico o, en un contexto cableado, un conmutador gestionado. Se sitúa en el extremo de la red y aplica la política. Bloquea todo el tráfico excepto las solicitudes de autenticación hasta que el servidor central da luz verde. En tercer lugar, el servidor de autenticación: normalmente un servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. Es el cerebro de la operación. Recibe la solicitud de autenticación del punto de acceso, valida las credenciales contra un almacén de identidades como Active Directory o un directorio LDAP, y devuelve una respuesta de aceptación de acceso (Access-Accept) o rechazo de acceso (Access-Reject). Esta es la clave: el punto de acceso nunca ve su contraseña. Simplemente retransmite el intercambio de autenticación cifrado entre el cliente y el servidor RADIUS. Esta separación de funciones es lo que hace que la arquitectura sea tanto escalable como auditable. Ahora, dentro de este marco, el intercambio de credenciales real se gestiona mediante EAP (el protocolo de autenticación extensible). Y el método EAP que elija define tanto su postura de seguridad como la complejidad de su despliegue. Hay dos métodos que encontrará con más frecuencia en los despliegues empresariales. El primero es PEAP, o EAP protegido. Este es el método más desplegado. Así es como funciona: el servidor RADIUS presenta un certificado digital al dispositivo cliente. El cliente valida ese certificado, confirmando esencialmente que está hablando con la red real y no con un suplantador. Una vez establecida esa confianza, se crea un túnel TLS seguro. Dentro de ese túnel, el usuario se autentica con su nombre de usuario y contraseña estándar, normalmente sus credenciales de Active Directory. PEAP es popular porque su despliegue es relativamente sencillo. Los usuarios ya conocen sus contraseñas. No es necesario distribuir certificados a los dispositivos cliente. Sin embargo, tiene un punto débil: si un usuario se descuida y acepta un certificado de servidor fraudulento, podría estar conectándose a un punto de acceso no autorizado (lo que llamamos un ataque Evil Twin) y sus credenciales podrían ser robadas. El segundo método es EAP-TLS, y este es el estándar de oro para entornos de alta seguridad. EAP-TLS requiere autenticación mutua por certificado. Tanto el servidor como el dispositivo cliente deben presentar certificados válidos. No hay contraseñas en tránsito en absoluto. Al no haber contraseña que robar, los ataques de phishing quedan completamente neutralizados. La contrapartida es la complejidad del despliegue. Necesita una infraestructura de clave pública (PKI) para emitir y gestionar certificados de cliente. Y necesita una plataforma de gestión de dispositivos móviles para distribuir esos certificados de forma silenciosa a los dispositivos. Si depende de que los usuarios instalen los certificados manualmente, su servicio de asistencia se verá desbordado. Pero para entornos donde la seguridad es primordial (servicios financieros, administración pública, sanidad), EAP-TLS es la única opción defendible. Entonces, ¿cómo se implementa esto realmente? Permítame guiarle a través de las fases clave. La fase uno es la preparación de la infraestructura. Su servidor RADIUS es ahora una dependencia de ruta crítica. Si se cae, nadie puede acceder a la WiFi. Esto no es una redundancia opcional: es esencial. Para entornos distribuidos como cadenas de tiendas o grupos hoteleros, considere los servicios RADIUS alojados en la nube. Ofrecen redundancia integrada y eliminan la necesidad de gestionar servidores locales en cada sitio. Asegúrese de que su servidor RADIUS esté integrado con su proveedor de identidad central. Para la mayoría de las organizaciones, se trata de Azure Active Directory o Active Directory local a través de LDAP. La fase dos es la gestión de certificados, si opta por EAP-TLS. Automatice todo. Utilice su plataforma MDM (Intune, Jamf, la que tenga) para distribuir certificados de forma silenciosa a los dispositivos propiedad de la empresa. Para escenarios BYOD, considere un portal de incorporación. Productos como SecureW2 o Foxpass pueden automatizar la instalación del perfil de configuración para dispositivos personales, reduciendo drásticamente el volumen de trabajo del servicio de asistencia. La fase tres es el despliegue en sí. No realice una transición inmediata. No puedo insistir lo suficiente en esto. No apague la red PSK un lunes por la mañana esperando que todo funcione. Comience con un grupo piloto: el equipo de TI es la opción obvia. Luego expándalo a una sola planta, un solo departamento, un solo sitio. Supervise sus registros de RADIUS de forma obsesiva durante esta fase. Los tiempos de espera de autenticación suelen indicar un problema de enrutamiento de red entre sus puntos de acceso y el servidor RADIUS. Los errores de confianza de certificados significan que su certificado raíz de CA no se ha desplegado correctamente en los extremos. Ahora permítame hablar de una de las características más potentes y menos utilizadas de WPA2-Enterprise: la asignación dinámica de VLAN. En un entorno PSK, normalmente se transmiten múltiples SSIDs para separar diferentes grupos de usuarios. El personal en un SSID, los terminales de punto de venta en otro, los dispositivos IoT en un tercero. Cada SSID adicional añade sobrecarga a su entorno de radiofrecuencia. En una tienda minorista concurrida o en un estadio, esta contaminación de RF puede degradar realmente el rendimiento. Con WPA2-Enterprise y la asignación dinámica de VLAN, puede transmitir un único SSID y dejar que el servidor RADIUS decida en qué segmento de red aterriza cada dispositivo. Cuando un cajero se autentica, el servidor RADIUS devuelve atributos que indican al punto de acceso que coloque esa sesión en la VLAN 10, el segmento que cumple con PCI. Cuando el gerente de una tienda se autentica, accede a la VLAN 20, el segmento corporativo. Mismo SSID, diferente red, todo controlado por la identidad. Es elegante, es escalable y supone una simplificación operativa significativa. Específicamente para los operadores de recintos (hoteles, centros de conferencias, estadios), hay una consideración adicional: la red de invitados. WPA2-Enterprise es cada vez más relevante para el acceso gestionado de invitados, no solo para las redes del personal. Plataformas como Purple proporcionan gestión de identidades para un acceso WiFi seguro. Bajo la licencia Connect, Purple actúa como un proveedor de identidad gratuito y admite OpenRoaming, un estándar que permite a los usuarios desplazarse de forma fluida y segura entre las redes participantes sin tener que volver a autenticarse. Esto es especialmente potente para visitantes frecuentes, como delegados de conferencias o miembros de programas de fidelización. Permítame ahora cubrir los modos de fallo más comunes, porque saber qué falla es la mitad de la batalla. El primero es la advertencia de certificado de servidor no confiable. Si los clientes ven un aviso que dice que el certificado del servidor no se puede verificar, significa que el certificado de su servidor RADIUS ha caducado, está autofirmado sin que la CA raíz se haya desplegado en los clientes, o ha sido emitido por una CA en la que el dispositivo no confía. La solución: utilice un certificado de una CA pública que ya esté en el almacén raíz de confianza del dispositivo, o asegúrese de que su CA raíz interna se despliegue a través de directivas de grupo o MDM. El segundo son los tiempos de espera de RADIUS. Esto se manifiesta cuando los clientes se quedan colgados en la pantalla de autenticación antes de fallar finalmente. La causa casi siempre es un problema de ruta de red: el punto de acceso no puede comunicarse con el servidor RADIUS, o un cortafuegos está descartando la respuesta. Compruebe las reglas de su cortafuegos para los puertos UDP 1812 y 1813, que son los puertos estándar de autenticación y contabilidad de RADIUS. El tercero es el problema de IoT. Muchos dispositivos heredados (impresoras, controladores de climatización, lectores de control de acceso) simplemente no admiten 802.1X. Tendrá que mantener una estrategia independiente para ellos. Las opciones incluyen MAC Authentication Bypass, donde el dispositivo se autentica utilizando su dirección MAC en lugar de credenciales, o Multi-PSK, donde cada dispositivo obtiene una clave precompartida única. Ninguna de las dos opciones es tan segura como 802.1X, pero son soluciones pragmáticas para hardware heredado. Ahora, hablemos del impacto empresarial y el ROI, porque este no es solo un proyecto de seguridad: es un proyecto de eficiencia operativa. El ROI más inmediato proviene de la eliminación de la rotación de contraseñas. Cada vez que se cambia una contraseña de WiFi compartida, el departamento de TI debe actualizar cada dispositivo de la red. En una cadena de tiendas de 50 ubicaciones, eso supone potencialmente miles de actualizaciones de dispositivos. Con WPA2-Enterprise, dar de baja a un empleado es una única acción en Active Directory. El segundo motor del ROI es el cumplimiento normativo. Para cualquier organización sujeta a PCI DSS (lo que significa cualquiera que procese pagos con tarjeta), la capacidad de demostrar registros de acceso a la red por usuario es una ventaja de auditoría significativa. Lo mismo se aplica al GDPR, donde demostrar un acceso controlado a los sistemas que procesan datos personales está cada vez más bajo escrutinio. El tercero es la inteligencia de red. La autenticación por usuario alimenta con datos valiosos su plataforma de gestión de red. Puede ver exactamente qué dispositivos están en la red, cuándo se conectaron, cuánto ancho de banda consumieron y desde qué ubicación. Estos datos son inestimables para la planificación de la capacidad y para detectar comportamientos anómalos. Permítame cerrar con una sesión rápida de preguntas y respuestas sobre las dudas que escucho con más frecuencia. ¿Podemos ejecutar WPA2-Enterprise junto con nuestra red PSK existente? Absolutamente, y debería hacerlo durante la transición. Ejecútelas en paralelo, migre a los usuarios por lotes y retire la red PSK una vez completada la migración. ¿Necesitamos reemplazar nuestros puntos de acceso? No necesariamente. La mayoría de los puntos de acceso de nivel empresarial de proveedores como Cisco, Aruba, Ruckus y Ubiquiti admiten 802.1X. Compruebe su versión de firmware y asegúrese de que esté actualizada. ¿Qué pasa con WPA3-Enterprise? ¿Deberíamos esperar? WPA3-Enterprise añade requisitos criptográficos más sólidos, incluido el modo de seguridad de 192 bits para entornos de alta seguridad. Si va a desplegar una nueva infraestructura hoy, elija hardware compatible con WPA3. Pero no deje que lo perfecto sea enemigo de lo bueno: WPA2-Enterprise es una mejora de seguridad masiva con respecto a PSK y es el paso correcto ahora. ¿Cuánto tiempo suele tardar un despliegue típico? Para una organización con un único sitio y Active Directory existente, un despliegue básico de PEAP se puede completar en unos pocos días. Un despliegue de EAP-TLS en múltiples sitios con integración de MDM suele tardar de cuatro a ocho semanas, incluida la fase piloto. Para resumir los puntos clave de la sesión de hoy. Uno: WPA2-Enterprise autentica identidades individuales, no ubicaciones compartidas. Este es el cambio fundamental. Dos: Elija PEAP para entornos BYOD y basados en credenciales; elija EAP-TLS para entornos de alta seguridad con dispositivos gestionados. Tres: Su servidor RADIUS es una infraestructura crítica; incorpore redundancia desde el primer día. Cuatro: Utilice la asignación dinámica de VLAN para simplificar su entorno de RF manteniendo una segmentación de red estricta. Cinco: Planifique los dispositivos IoT por separado; no admitirán 802.1X. Seis: Nunca realice una transición inmediata. Realice el despliegue por fases y supervise de cerca los registros de RADIUS. Para obtener la guía de implementación completa, los diagramas de arquitectura y los ejemplos prácticos, consulte la guía escrita completa en el sitio web de Purple. Gracias por escuchar y buena suerte con su despliegue.