Zero Trust WiFi Architecture: Applying Zero Trust to Venue Networks

Arquitectura de WiFi Zero Trust: Aplicación de Zero Trust a redes de recintos. Un informe de Purple Enterprise. Bienvenido. Si es arquitecto de redes, responsable de seguridad de TI o CTO a cargo de un grupo hotelero, una red de tiendas, un estadio o un centro de conferencias, este informe es para usted. Durante los próximos diez minutos, iremos al grano con respecto a Zero Trust y le ofreceremos un marco práctico y desplegable para aplicarlo a su infraestructura inalámbrica. Sin teorías innecesarias. Solo lo que necesita para tomar una decisión acertada este trimestre. Comencemos con el contexto. El término "Zero Trust" lleva circulando desde que John Kindervag lo acuñó en Forrester allá por 2010. Pero para la mayoría de los operadores de recintos, ha seguido siendo un concepto abstracto asociado a los centros de datos empresariales y a la seguridad en la nube. La realidad es que su red inalámbrica —aquella que comparten sus invitados, personal, contratistas y dispositivos IoT— es precisamente donde los principios de Zero Trust ofrecen la reducción de riesgos más inmediata. Y las herramientas para implementarlo están disponibles hoy mismo, sin necesidad de una renovación completa de la infraestructura. Entonces, ¿qué significa realmente Zero Trust para el WiFi? En su esencia, Zero Trust es un modelo de seguridad basado en tres principios: nunca confiar, siempre verificar; asumir la brecha de seguridad; y aplicar el acceso con el menor privilegio posible. Aplicado a una red inalámbrica, esto significa que se deja de tratar la conectividad de red como un sustituto de la confianza. El hecho de que un dispositivo se haya asociado correctamente con su punto de acceso y se haya autenticado en su SSID no significa que deba ser de confianza para acceder a sus sistemas internos, a su red de POS o a su infraestructura de gestión de edificios. La seguridad perimetral tradicional asumía que todo lo que estaba dentro de la red era seguro. En el entorno de un recinto —donde puede tener cientos de dispositivos de invitados, decenas de portátiles de contratistas, sensores IoT, terminales de pago y dispositivos portátiles del personal, todos en la misma infraestructura física— esa suposición es catastróficamente errónea. Hablemos de los cuatro pilares del WiFi Zero Trust. El primer pilar es la verificación continua. Esto va más allá del intercambio de autenticación único en el que se basan la mayoría de los despliegues de WiFi. Cuando un dispositivo se conecta a su red a través de WPA2-Enterprise o WPA3, se autentica una vez. Pero ¿qué ocurre treinta minutos después cuando el estado de ese dispositivo cambia (un cliente VPN se desconecta, un agente de seguridad deja de ejecutarse o el dispositivo se entrega a otra persona)? En un modelo Zero Trust, la verificación es continua. Se utilizan temporizadores de reautenticación de sesión en su configuración RADIUS, combinados con políticas de control de acceso a la red, para evaluar periódicamente si un dispositivo debe mantener su nivel de acceso actual. El segundo pilar es el acceso de mínimo privilegio. Cada dispositivo y usuario de su red debe recibir el acceso mínimo necesario para realizar su función. El smartphone de un huésped de hotel necesita acceso a internet y nada más. Un terminal de punto de venta (POS) necesita llegar a la pasarela de pago y nada más. La tablet de un gestor de instalaciones necesita acceso al sistema de gestión del edificio y nada más. Esto se aplica mediante la asignación dinámica de VLAN: su servidor RADIUS devuelve un atributo de VLAN basado en la identidad autenticada o en el perfil del dispositivo, colocando cada dispositivo en un segmento de red lógicamente aislado. El tercer pilar es la microsegmentación. Esta es la expresión arquitectónica del mínimo privilegio en la capa de red. En lugar de una red plana donde todos los dispositivos pueden comunicarse lateralmente, usted divide su infraestructura inalámbrica en segmentos discretos (normalmente asignados a VLAN), cada uno con su propia política de firewall. En un entorno de retail, esto significa que su WiFi de invitados, su WiFi de personal, sus terminales de pago y sus sistemas de gestión de stock están en segmentos separados con rutas explícitas y controladas por políticas entre ellos. Un dispositivo de invitado comprometido no puede pivotar hacia su red de POS porque no existe una ruta permitida entre esos segmentos. El cuarto pilar es la aplicación de la postura del dispositivo. Aquí es donde el WiFi Zero Trust se vuelve verdaderamente potente. Utilizando una solución de Control de Acceso a la Red (NAC) integrada con su infraestructura RADIUS, puede evaluar la postura de seguridad de un dispositivo en el momento de la conexión, y de forma continua a partir de entonces. ¿Está el dispositivo registrado en su plataforma MDM? ¿Está el sistema operativo actualizado a una versión reciente? ¿Está ejecutándose el agente de seguridad del endpoint? Los dispositivos que no superan los controles de postura se colocan en una VLAN de cuarentena con acceso únicamente a recursos de remediación, en lugar de ser rechazados por completo, lo que crearía fricciones operativas. Ahora entremos en la arquitectura. La base del WiFi Zero Trust es IEEE 802.1X, el estándar de control de acceso a la red basado en puertos. Cuando un dispositivo intenta conectarse, el punto de acceso actúa como autenticador, reenviando las credenciales a un servidor RADIUS (el servidor de autenticación), que valida la identidad y devuelve los atributos de la política de acceso. Este es el plano de control para la aplicación de su modelo Zero Trust. Para la identidad del dispositivo, dispone de dos opciones principales. La autenticación basada en certificados mediante EAP-TLS es el estándar de oro: elimina por completo el riesgo de phishing de credenciales y es obligatoria para cualquier dispositivo que controle a través de un MDM o una plataforma de gestión de endpoints. Para escenarios de invitados y BYOD, PEAP con MSCHAPv2 sigue estando ampliamente implantado, aunque debería migrar hacia EAP-TLS siempre que sea viable. Si desea comprender en detalle las ventajas y desventajas técnicas entre estos métodos, vale la pena revisar la guía de Purple que compara los métodos EAP (que cubre PEAP, EAP-TLS, EAP-TTLS y EAP-FAST) antes de finalizar su arquitectura de autenticación. WPA3 es la capa de cifrado que sustenta el WiFi Zero Trust moderno. WPA3-Enterprise con modo de 192 bits proporciona la solidez criptográfica requerida para entornos que manejan datos de tarjetas de pago o información personal confidencial. El protocolo de enlace Simultaneous Authentication of Equals de WPA3 elimina la vulnerabilidad a los ataques de diccionario sin conexión que hacía que las redes WPA2-Personal fuesen tan fáciles de comprometer. Si todavía utiliza WPA2-Personal con una frase de contraseña compartida en cualquier segmento que gestione algo más que el mero acceso a internet para invitados, eso debe cambiar. Permítame guiarle a través de dos escenarios de implementación del mundo real. En primer lugar, un grupo hotelero de 350 habitaciones con propiedades en todo el Reino Unido. El desafío: una arquitectura de red plana donde los dispositivos de los huéspedes, los del personal, las cámaras IP, las televisiones inteligentes y el sistema de gestión hotelera (PMS) estaban todos en la misma VLAN. Un solo dispositivo de invitado comprometido tenía el potencial de llegar al PMS y filtrar registros de huéspedes, una pesadilla para el GDPR. La solución desplegó cuatro VLAN: Internet de Invitados, Corporativa del Personal, IoT y Sistemas del Edificio, y Acceso al PMS. Se implementó 802.1X con autenticación basada en certificados para los dispositivos del personal a través de la plataforma MDM del hotel. Los dispositivos de los huéspedes se autenticaban a través de un Captive Portal con una política RADIUS basada en MAC que obligaba al acceso exclusivo a internet. Los dispositivos IoT se clasificaron por MAC OUI y se colocaron automáticamente en la VLAN de IoT con reglas de firewall que permitían únicamente los puertos específicos requeridos por cada tipo de dispositivo. La VLAN del PMS se restringió a una lista blanca de direcciones MAC conocidas con autenticación de certificado 802.1X. Tras el despliegue, la superficie de ataque para el movimiento lateral se redujo en más del noventa por ciento, y el establecimiento logró alinearse con los requisitos de minimización de datos del GDPR para los datos personales accesibles a través de la red. Segundo escenario: una importante cadena de tiendas del Reino Unido con 200 establecimientos. El motor de cumplimiento aquí fue PCI DSS, específicamente el requisito de aislar los entornos de datos de los titulares de tarjetas de otros segmentos de la red. La arquitectura existente tenía los terminales de punto de venta (POS) en la misma infraestructura inalámbrica que la red de productividad del personal y el WiFi de los clientes. El despliegue de Zero Trust creó tres segmentos: WiFi de Invitados para Clientes con acceso exclusivo a internet impuesto en la capa RADIUS, WiFi del Personal con asignación de VLAN basada en roles (los gerentes de tienda recibían un acceso más amplio que los dependientes) y un segmento POS dedicado con WPA3-Enterprise, autenticación de certificado EAP-TLS y reglas de firewall estrictas que permitían únicamente el tráfico hacia la pasarela de pago. Los registros de contabilidad de RADIUS se integraron en la plataforma SIEM para proporcionar la pista de auditoría requerida por el Requisito 10 de PCI DSS. El resultado fue una reducción clara del alcance para la evaluación anual del QSA, disminuyendo sustancialmente la carga de cumplimiento. Ahora, recomendaciones de implementación y los errores que se deben evitar. Comience con una auditoría de red antes de tocar una sola configuración. Mapee cada tipo de dispositivo en su red, su método de autenticación y su asignación de VLAN actual. No puede diseñar una arquitectura de mínimo privilegio sin saber qué está segmentando. Despliegue RADIUS en una configuración de alta disponibilidad desde el primer día. Un único servidor RADIUS es un punto único de fallo para toda su infraestructura de autenticación. Dos servidores en configuración activo-pasivo o activo-activo es el despliegue mínimo viable para cualquier entorno de producción. No intente migrar todos los SSIDs simultáneamente. Comience con su segmento de mayor riesgo (normalmente el más cercano a los sistemas de pago o datos confidenciales) y mígrelo a 802.1X con aplicación de VLAN. Valide la política, resuelva los casos extremos y luego expándase. El error más común que veo en los despliegues de recintos es el problema de la omisión de la dirección MAC. Muchos dispositivos IoT (impresoras, televisores inteligentes, sensores de edificios) no son compatibles con 802.1X. La tentación es incluirlos en una lista blanca por dirección MAC. Esto es aceptable como medida de transición, pero las direcciones MAC son fácilmente falsificables. El objetivo a medio plazo debe ser el perfilado de dispositivos, utilizando huellas dactilares DHCP, análisis de user-agent HTTP y análisis de comportamiento del tráfico para clasificar los dispositivos de forma dinámica, en lugar de depender únicamente de la dirección MAC. Un segundo error común es la sobresegmentación. Crear demasiadas VLAN aumenta la complejidad operativa y puede provocar fallos inesperados en las aplicaciones cuando se bloquea el tráfico legítimo. Comience con cuatro a seis segmentos, valide a fondo y solo añada granularidad cuando el perfil de riesgo lo justifique. Ahora, una sesión rápida de preguntas y respuestas sobre las dudas que escucho con más frecuencia. ¿Puede funcionar el WiFi Zero Trust con dispositivos heredados que no admiten 802.1X? Sí, a través de la omisión de autenticación MAC (MAC Authentication Bypass) combinada con el perfilado de dispositivos. El dispositivo se coloca en una VLAN restringida en función de su perfil, con el acceso limitado a los recursos específicos que requiere. ¿Requiere el WiFi Zero Trust reemplazar los puntos de acceso existentes? En la mayoría de los casos, no. Cualquier punto de acceso de calidad empresarial fabricado en los últimos cinco años admite 802.1X, asignación dinámica de VLAN y múltiples SSIDs. La inversión se realiza principalmente en la infraestructura RADIUS, la política NAC y las reglas de firewall, no en el hardware. ¿Cómo interactúa esto con SD-WAN? De forma muy directa. SD-WAN proporciona la segmentación a nivel de WAN y la aplicación de políticas que complementan su microsegmentación inalámbrica. El tráfico que sale de un segmento VLAN puede dirigirse a través de políticas de SD-WAN a la ruta ascendente adecuada, un tema que se trata en profundidad en la guía de Purple sobre los beneficios de SD-WAN para las empresas modernas. ¿Cuál es el intervalo de reautenticación de sesión adecuado? Para los dispositivos del personal con autenticación basada en certificados, ocho horas es un punto de partida razonable. Para los dispositivos de invitados, alinéelo con su política de tiempo de espera de sesión, normalmente de dos a cuatro horas. Para los dispositivos IoT, la reautenticación debe activarse mediante eventos de cambio de estado en lugar de un temporizador fijo. Para resumir los puntos clave de esta sesión informativa. Zero Trust WiFi no es un producto; es una arquitectura basada en 802.1X, asignación dinámica de VLAN, aplicación de la postura del dispositivo y verificación continua. Los estándares que lo habilitan son IEEE 802.1X, WPA3-Enterprise y RADIUS con retorno de atributos dinámicos. La microsegmentación es la expresión práctica del mínimo privilegio en una red inalámbrica: de cuatro a seis segmentos bien definidos cubren la gran mayoría de los casos de uso de los establecimientos. La autenticación basada en certificados a través de EAP-TLS es el estado objetivo para todos los dispositivos gestionados. El MAC Authentication Bypass es un puente aceptable para el IoT heredado, pero el perfilado de dispositivos debería ser el objetivo a medio plazo. Comience con su segmento de mayor riesgo, valide y luego expanda. Sus próximos pasos: realizar un inventario de dispositivos y VLAN, evaluar su infraestructura RADIUS actual para comprobar su preparación para la alta disponibilidad e identificar su segmento de red de mayor riesgo como el objetivo del despliegue piloto. La plataforma de Purple proporciona el motor de políticas RADIUS, la aplicación de VLAN y los controles basados en MAC que sustentan esta arquitectura, y la capa de análisis de WiFi le brinda la visibilidad para validar que sus políticas están funcionando según lo previsto. Gracias por su atención. Esta ha sido una sesión informativa para empresas de Purple sobre la arquitectura Zero Trust WiFi.