Está revisando un cambio de WLAN un viernes por la tarde. El controlador le ofrece tres configuraciones para tramas de gestión protegidas: desactivado, opcional y requerido, y cada dispositivo en ese SSID sentirá la elección el lunes por la mañana. Si lo configura de forma demasiado laxa, las desconexiones falsificadas seguirán funcionando. Si lo configura de forma demasiado estricta, las impresoras, escáneres y laptops más antiguas del edificio no se conectarán en absoluto. Esta guía trata esa elección como lo que realmente es: una decisión de aplicación por SSID con un costo de compatibilidad que puede planificar.
Qué hacen las Protected Management Frames
En una WLAN con mucho tráfico, un dispositivo puede perder su conexión sin que nadie toque su contraseña ni rompa su cifrado. La causa puede ser una trama de administración falsificada: un mensaje de radio que le ordena al dispositivo desconectarse. Los Protected Management Frames (PMF) ayudan a evitar que ese tipo de mensajes se acepten como legítimos.
La vulnerabilidad que PMF fue diseñado para resolver
Las tramas de administración transportan las instrucciones que establecen, mantienen y finalizan una conexión inalámbrica. No transportan el correo electrónico, el expediente médico ni la videollamada en sí. Antes de PMF, un atacante dentro del alcance de radio podía falsificar un mensaje de desautenticación o desasociación. Un dispositivo que lo recibiera podía abandonar la red, aunque su tráfico de usuario cifrado no se hubiera visto comprometido.
PMF proviene de la enmienda IEEE 802.11w, publicada en 2009, que abordó las tramas de gestión falsificadas, particularmente los mensajes que desconectan por la fuerza a los usuarios legítimos, como se describe en la descripción general de Tramas de Gestión Protegidas de la Wi-Fi Alliance. Agrega verificaciones de integridad y autenticación de origen al tráfico de control protegido. El punto de acceso o cliente puede verificar quién envió un mensaje protegido y rechazar uno que no pase la verificación, en lugar de actuar ciegamente en función de él.
Las tramas de administración unicast protegidas también se pueden cifrar, manteniendo las instrucciones uno a uno privadas y verificadas. PMF cubre tramas de desautenticación y desasociación, junto con tramas de acción utilizadas para medición de radio, acuse de recibo en bloque, Fast BSS Transition, gestión de espectro y calidad de servicio. Estos mensajes pueden finalizar una sesión, informar condiciones de radio, confirmar bloques de datos, respaldar un traslado a otro punto de acceso o gestionar el tráfico de voz y video.
Lo que PMF no es
PMF protege el tráfico de control, no los datos de usuario. Funciona junto con WPA2 o WPA3, en lugar de reemplazar la autenticación, el cifrado o la autorización. La Wi-Fi Alliance describe PMF como una forma de ayudar a resistir ataques de desconexión, honeypot y evil twin. No establece la identidad de un usuario ni decide quién puede acceder a la red.
PMF es un control complementario. Su autenticación decide quién tiene acceso permitido, su cifrado protege los datos y PMF protege las instrucciones que mantienen viva la sesión.
El punto de acceso y el cliente deben ser compatibles con PMF, y la configuración se aplica por separado a cada SSID cifrado. Esto hace que la aplicación sea una decisión red por red, no un solo conmutador para todo el sitio. Las redes en modo de transición a menudo permiten PMF sin requerirlo, por lo que los clientes más antiguos aún pueden conectarse. El costo es que los clientes que no pueden usar PMF no reciben su protección en ese SSID. Considere la mezcla de clientes y los requisitos de roaming de la red antes de elegir qué tan estrictamente aplicarlo.
Cómo elegir el modo Deshabilitado, Opcional o Requerido
PMF se ejecuta en uno de tres modos por WLAN, y ese modo decide quién permanece conectado y quién queda expuesto. Utilice esta tabla como referencia antes de modificar un perfil de producción.
| Modo | Qué sucede | Impacto en dispositivos heredados | Exposición a desautenticación falsificada | Mejor utilizado para |
|---|---|---|---|---|
| Deshabilitado | Sin protección de tramas de gestión | Se conecta en todas partes | Exposición total | Redes heredadas aisladas próximas a ser retiradas |
| Opcional | PMF se usa solo cuando el cliente y la WLAN lo admiten | Los dispositivos más antiguos se siguen conectando | Expuesto para clientes sin PMF | SSIDs de transición WPA2 y WPA3 |
| Requerido | Asociación solo con clientes compatibles con PMF | Los dispositivos incompatibles no logran unirse | Protegido para cada cliente asociado | SSIDs exclusivos para WPA3 y de alta seguridad |
Deshabilitado
La opción desactivada no ofrece ninguna protección ni genera costos de compatibilidad. Todos los clientes que podían unirse antes aún pueden hacerlo, y todos los marcos de desautenticación falsificados que funcionaban antes siguen funcionando. Mantenga esta configuración únicamente para una red heredada aislada que haya segmentado, documentado y a la que le haya asignado una fecha de retiro. Si no hay una fecha establecida, la desactivación se vuelve permanente gradualmente.
Opcional
En el modo opcional, un cliente usa PMF solo cuando tanto la WLAN como el cliente lo admiten, por lo que los dispositivos más antiguos conservan la conectividad, pero las asociaciones sin PMF permanecen expuestas a ataques de tramas de administración falsificadas. Esa es la compensación honesta durante la transición. Sus teléfonos y laptops modernos obtienen protección, sus dispositivos más antiguos siguen funcionando y no debe reportar el SSID como protegido sin calificar a qué clientes se aplica esto.
Requerido
En el modo requerido, la asociación se permite únicamente cuando el cliente negocia PMF. Esa es la configuración adecuada para SSIDs exclusivos de WPA3 y entornos de alta seguridad, pero los dispositivos heredados incompatibles no podrán conectarse. Esto no es un modo degradado. El dispositivo no se unirá con un nivel de seguridad inferior; se mantendrá fuera del SSID hasta que corrija el controlador, actualice el firmware o lo mueva a otra parte.
Dos puntos técnicos suelen tomar por sorpresa a los administradores. Primero, la guía de configuración 802.11w de Cisco establece como requisito previo que el PMF opcional u obligatorio requiere WPA con una configuración adecuada de autenticación y gestión de claves, junto con el elemento de información RSN habilitado al lado de un cifrado AES. Si su cifrado o la configuración RSN no coinciden, el modo no se comportará como indica la etiqueta. Segundo, la documentación técnica de Xerox advierte que una incompatibilidad entre la configuración de la red y del dispositivo puede causar fallos de comunicación, y señala que WPA3 Personal y WPA3 Enterprise suelen utilizar PMF como obligatorio, mientras que las configuraciones de transición pueden dejarlo como opcional.
Regla predeterminada: Requerido en SSIDs exclusivos de WPA3 y de alta seguridad, opcional en SSIDs mixtos de WPA2 y WPA3 durante la transición, deshabilitado únicamente en redes heredadas aisladas que tengan una fecha programada de retiro.
Si está evaluando esto en comparación con su diseño de autenticación más amplio, la elección del modelo de autenticación empresarial va de la mano con el modo PMF, y vale la pena revisar sus opciones de configuración de WPA Enterprise antes de fijar cualquiera de los dos ajustes. Aborde ambas decisiones juntas y evitará imponer PMF en un SSID cuyos clientes nunca fueron evaluados para ello.
Por qué PMF es importante para el roaming y los ataques de desautenticación
Una trama de desautenticación falsificada puede hacer que un cliente cercano se desconecte de un punto de acceso. El cliente intenta entonces reconectarse, y las tramas falsificadas repetidas pueden impedir que se estabilice. Los usuarios experimentan caídas de WiFi aparentemente aleatorias, mientras que el soporte técnico ve un problema de conexión sin una falla de cobertura evidente.
Cómo se ven las interrupciones en la operación
Una tableta en una sala de hospital puede perder su conexión cuando el personal médico se desplaza entre áreas. Los estudiantes pueden perder el acceso durante una clase. En ambos casos, el cifrado puede mantenerse intacto y las contraseñas seguir siendo privadas, pero el servicio se interrumpe. PMF permite que una estación o punto de acceso rechace instrucciones falsificadas al verificar que los mensajes de gestión protegidos sean auténticos.
El roaming hace que estas tramas sean importantes para algo más que las desconexiones. A medida que un teléfono se desplaza entre puntos de acceso, las tramas de acción Fast BSS Transition ayudan a coordinar la transferencia. Si un atacante falsifica o interrumpe esos mensajes, una llamada puede entrecortarse o finalizar mientras el usuario se desplaza por un pasillo. PMF protege las tramas de acción relevantes, incluidas las utilizadas para la medición de radio, el reconocimiento de bloques, la gestión del espectro y las operaciones de calidad de servicio. El dispositivo receptor puede verificar las instrucciones de transferencia en lugar de aceptarlas a ciegas.
El perfil estándar y sus límites
La configuración del SSID es una decisión que se toma por red. En un SSID utilizado para roaming, evalúe la protección que añade PMF frente a si todos los clientes pueden asociarse y completar las transferencias con esa configuración. Esto también es importante para Passpoint: el método de autenticación no elimina la necesidad de verificar la compatibilidad con PMF en los clientes que se unirán a la red.
Para obtener detalles sobre los algoritmos, consulte la guía de configuración de PMF 802.11w de Cisco. El límite práctico es igual de importante: la protección de tramas de gestión por sí sola no evita todos los ataques de desautenticación. Mantenga el monitoreo de radio y la prevención de intrusiones inalámbricas en el diseño de seguridad, y planifique PMF junto con la autenticación y el monitoreo en una estrategia de seguridad WiFi empresarial.
PMF protege el tráfico de administración a través del salto inalámbrico. Los datos de los visitantes también necesitan protección a medida que viajan más allá del punto de acceso. TLS y IPsec para datos de visitantes explica los protocolos que ayudan a asegurar ese tráfico.
Impactos de compatibilidad por clase de dispositivo
La pregunta que sus usuarios se harán es más sencilla que la norma. ¿Qué dispositivos fallarán? La respuesta comienza por saber dónde reside realmente el soporte para PMF. Se negocia entre el punto de acceso y el controlador y suplicante de WiFi del cliente, por lo que un punto de acceso compatible con PMF por sí solo no garantiza nada. Una computadora portátil con un controlador antiguo puede fallar en un SSID al que un teléfono más nuevo se une sin inconvenientes.
| Clase de dispositivo | Soporte habitual de PMF | Riesgo si se establece como obligatorio | Configuración sugerida |
|---|---|---|---|
| Teléfonos y laptops modernos con soporte para WPA3 | Generalmente compatible | Bajo | Obligatorio en SSIDs con WPA3 |
| Laptops y teléfonos con WiFi 5 y controladores de la era WPA2 | A menudo compatible, depende del controlador | Medio | Opcional en SSIDs mixtos, actualizar controladores |
| Sensores IoT y enchufes inteligentes más antiguos solo con WPA2 | Frecuentemente no compatible | Alto | SSID independiente o iPSK |
| Impresoras y escáneres heredados | A menudo no compatible | Alto | Conexión por cable o SSID heredado dedicado |
| Escáneres portátiles con firmware antiguo | Depende del firmware | De medio a alto | Probar el firmware antes de aplicar |
Tome esas filas como patrones típicos, no como garantías. Confirme cada modelo con la documentación del fabricante y con su propio inventario, ya que dos dispositivos de la misma clase pueden comportarse de forma distinta tras una actualización de controlador. La tabla le indica dónde buscar primero. Sus pruebas de asociación le dirán la verdad.
La regla de asociación empresarial
Para redes 802.1X la negociación es explícita. El organismo de redes educativas del Reino Unido, Jisc, afirma que WPA3-Enterprise requiere PMF en modo exclusivo WPA3-Enterprise, donde el punto de acceso anuncia la capacidad Management Frame Protection Required y una estación compatible debe negociar PMF durante la asociación, como se establece en la guía de WPA3, Wi-Fi 6E y eduroam de Jisc. Si la estación no puede negociarlo, la asociación no procede.
Eso es especialmente relevante si opera eduroam u otra red basada en certificados, porque WPA3-Enterprise puede evolucionar desde WPA2-Enterprise manteniendo la autenticación basada en certificados. Sus certificados pueden ser perfectos mientras que un suplicante antiguo aún falla con PMF. Valide tanto los puntos de acceso como los suplicantes de los clientes antes de aplicar la regla, y luego monitoree las fallas de asociación y su inventario de dispositivos heredados después del cambio.
Esté atento al síntoma clásico. Un dispositivo aún se conecta sin problemas al SSID antiguo pero nunca se une al nuevo, sin un error evidente de contraseña o certificado. Ese patrón apunta a una incompatibilidad de capacidades más que a un problema de credenciales.
Si se une a la red anterior y rechaza la nueva sin mostrar alertas, verifique la capacidad PMF antes de volver a emitir un solo certificado.
Esa señal es su indicación para inventariar el entorno correctamente antes de cambiar cualquier otra cosa. Adivinar en esta etapa solo traslada la falla de su grupo piloto a todo el edificio.
Cómo implementar el PMF requerido paso a paso
Siga estos pasos en orden, ya que cada uno protege al siguiente. Omitir el inventario para ahorrar un día por lo general le costará una semana de tickets sin explicación más adelante.
Inventaríe cada dispositivo en el SSID de destino. Registre el modelo, el sistema operativo, la versión del controlador de WiFi y el firmware de cada uno, ya que el soporte de PMF a menudo depende del controlador más que de la insignia del hardware. Marque cualquier cosa que no pueda identificar, ya que los dispositivos desconocidos son los que lo sorprenderán al momento de aplicar la norma.
Confirme los requisitos previos del controlador. Verifique que la WLAN admita PMF con un cifrado AES y el elemento de información RSN habilitado, ya que los modos opcional y obligatorio dependen de ambos. Haga esto antes del piloto para probar el comportamiento del cliente, no para corregir un error de perfil.
Cree un SSID piloto configurado como opcional. Haga coincidir su autenticación exactamente con la de producción, de modo que la única variable que esté probando sea PMF. Los usuarios no deberían notar nada aún, y ese es el punto. Está recopilando evidencia, no anunciando un cambio.
Mueva un grupo de prueba al piloto durante al menos una semana laboral. Elija laptops y teléfonos corporativos que realmente realicen roaming por el edificio, luego registre diariamente los fallos de asociación y las caídas de roaming. Un dispositivo que permanece en un solo escritorio toda la semana prueba muy poco sobre el comportamiento de Fast BSS Transition.
Corrija, separe y luego aplique
Arregle lo que pueda y separe lo que no. Aplique primero las actualizaciones de controladores y firmware, vuelva a probar cada dispositivo y coloque los equipos heredados verdaderamente irremplazables en un SSID segmentado independiente con controles de red más estrictos. No debilite el SSID principal para dar cabida a una sola impresora.
Cambie el SSID de producción a obligatorio. Aplíquelo a su SSID WPA3 o de alta seguridad, mantenga los SSIDs mixtos en opcional y verifique cada grupo de puntos de acceso con el mismo perfil. Un grupo que se deje con la configuración antigua crea la falla desesperante en la que un dispositivo funciona en recepción y falla en el piso de arriba.
Monitoree durante dos semanas después de la aplicación. Observe los fallos de asociación y las caídas de roaming, y compárelos con sus registros del piloto. Si falla un grupo de dispositivos críticos, revierta el cambio modificando solo la configuración de PMF en lugar de reconstruir la WLAN.
Por qué es importante realizar un cambio a la vez: Cuando PMF es lo único que modificó, la reversión consiste en una sola configuración en un solo perfil. Si cambia el cifrado, la autenticación y PMF al mismo tiempo, nunca sabrá cuál de ellos afectó a los escáneres.
Mantenga activo el SSID piloto después del lanzamiento. Se convertirá en su entorno de pruebas para la próxima renovación de dispositivos, la siguiente versión de firmware y el próximo SSID que planee migrar de opcional a obligatorio. Un despliegue que se puede repetir con calma vale mucho más que un cambio heroico de fin de semana que nadie quiere volver a tocar.
Resolución de problemas de conexiones fallidas tras habilitar PMF
La mayoría de los fallos tras habilitar PMF no se deben a una seguridad defectuosa. Son problemas de desajuste: un cliente sin soporte para PMF, un perfil de WLAN que difiere entre grupos de puntos de acceso, ajustes de itinerancia desalineados o una actualización de firmware que cambió una configuración predeterminada sin previo aviso. Comience con el síntoma que pueda observar.
| Síntoma | Causa probable | Solución |
|---|---|---|
| El dispositivo se niega a unirse a un SSID obligatorio | El cliente carece de soporte PMF o el controlador lo tiene desactivado | Actualice el controlador o mueva el dispositivo a un SSID opcional |
| El dispositivo se une en un punto de acceso pero no en otros | Diferente configuración de PMF en los perfiles de la controladora o grupos de AP | Alinee el perfil WLAN en cada grupo de AP |
| Desconexiones repetidas durante la iteración (roaming) | La configuración de transición rápida no coincide entre el cliente y la WLAN | Verifique la configuración 802.11r y revise los registros de roaming del cliente |
| Aparecen fallos tras una actualización de firmware | La actualización del proveedor cambió el modo PMF predeterminado | Vuelva a verificar la configuración de seguridad de la WLAN tras cada actualización |
Trabaje en este orden de diagnóstico
Verifique primero el cliente. Confirme la capacidad PMF del dispositivo y la versión del controlador que está ejecutando, no la versión que implementó el trimestre pasado. Una sola laptop que no recibió una actualización puede generar tickets que parezcan una falla de infraestructura.
A continuación, compare el perfil WLAN entre los grupos de controladores. Exporte el perfil de seguridad y verifique que el modo PMF, el cifrado y la autenticación coincidan en cada grupo de puntos de acceso que brinde servicio a ese SSID. La variación entre perfiles explica la mayoría de las fallas dependientes de la ubicación, donde el mismo dispositivo funciona en un área del edificio y falla en otra.
Revise los registros de roaming durante la transferencia fallida. Si el dispositivo se asocia sin problemas al estar estático pero pierde la conexión al moverse, revise sus configuraciones de transición rápida 802.11r y las decisiones de roaming del cliente en el momento de la falla. PMF protege los marcos de transición, por lo que cualquier desacuerdo ahí se manifiesta como un roaming que nunca se completa.
Dos causas menos evidentes merecen una revisión. Los perfiles de Passpoint aprovisionados con seguridad heredada pueden conectarse y luego desconectarse, debido a que el perfil que posee el dispositivo ya no coincide con lo que la WLAN espera ahora. El soporte de la controladora para la Modificación de Autorización de RADIUS (RADIUS CoA) también afecta la reautenticación, por lo que una sesión que falla tras un cambio de directiva puede no ser un fallo de PMF en absoluto.
Antes de cualquier cambio, conserve una exportación de la configuración previa a comenzar. De este modo, una reversión se convierte en una simple restauración en lugar de una tarde entera reconstruyendo ajustes de memoria. Sabrá que ha resuelto el problema cuando su grupo piloto genere un registro de asociación limpio durante un día hábil completo, incluida la hora pico matutina cuando todos llegan, realizan roaming y se unen a llamadas al mismo tiempo. No declare el éxito basándose en una prueba realizada un domingo tranquilo.
Despliegues de Passpoint, OpenRoaming y Purple
La configuración de PMF no funciona de forma aislada. Define la manera en que los invitados y el personal acceden a la red, especialmente donde la conexión debe realizarse automáticamente sin un Captive Portal cada vez.
Passpoint, también llamado Hotspot 2.0 o IEEE 802.11u, permite que los dispositivos descubran una red y se autentiquen en ella automáticamente mediante consultas ANQP. Funciona sobre WPA2 o WPA3-Enterprise, por lo que el modo PMF en esa WLAN define directamente qué tan bien se traslada la protección contra tramas falsificadas a esas conexiones fluidas. Un SSID de Passpoint configurado como opcional protege únicamente a los clientes compatibles, exactamente igual que un SSID al que se conecta manualmente. Si está planeando ese proceso, revisar cómo funciona la autenticación y roaming de Passpoint junto con el perfil de seguridad de su WLAN le ayudará a identificar inconsistencias antes de que lo hagan los invitados.
OpenRoaming se basa en perfiles de tipo Passpoint, por lo que los dispositivos aprovisionados a través de él heredan la misma ruta de seguridad que cualquier otro cliente Passpoint. El perfil en el dispositivo y la configuración de PMF en su WLAN deben coincidir. Cuando no es así, el fallo parece un problema de roaming en lugar de un ajuste de seguridad, motivo por el cual las pruebas de perfil deben formar parte de su prueba piloto de PMF y no realizarse después de esta.
Comprobaciones antes de aplicar la exigencia en una WLAN Passpoint
Antes de configurar PMF como requerido en una WLAN de Passpoint, confirme más que solo el conmutador de PMF. La compatibilidad depende del soporte de RADIUS, cambio de autorización y walled garden en el controlador del recinto, y una falla en cualquiera de ellos interrumpirá la experiencia del visitante sin importar cuán acertada sea su elección de PMF. Verifique las respuestas ANQP, pruebe la reautenticación después de un cambio de política y recorra el sitio con un dispositivo aprovisionado para confirmar que el roaming se mantenga entre los puntos de acceso.
El aspecto del hardware es más sencillo de lo que muchos recintos temen. Ejecutamos Purple como una superposición en la nube sobre los puntos de acceso que el recinto ya posee, por lo que no se requiere reemplazar infraestructura. El cambio de PMF se realiza directamente en el perfil WLAN de su infraestructura existente. Esto significa que su prueba piloto, su reversión y su aplicación se llevan a cabo en el equipo que ya gestiona, mientras que la capa de autenticación se ubica por encima.
Para los dispositivos del personal se aplica el mismo principio. El WiFi del personal incorpora los dispositivos de los empleados con certificados EAP-TLS gestionados, por lo que no hay una frase de paso compartida que rotar tras un cambio de seguridad. Los certificados y PMF resuelven problemas diferentes, identidad e integridad de las tramas de gestión, y se combinan perfectamente en un SSID WPA3-Enterprise. Cualquiera que sea su plataforma, confirme el modo PMF previsto para cada SSID gestionado con su proveedor antes de cambiarlo a requerido, y registre la configuración acordada por SSID para que una futura reconstrucción del perfil no la deshaga silenciosamente.
Aplique PMF primero en SSIDs de alta seguridad
PMF es una parte de la seguridad inalámbrica, no un sustituto del resto. Protege tramas de gestión unicast y multicast específicas, pero no autentica usuarios, no reemplaza el cifrado WPA2 o WPA3, no detecta puntos de acceso no autorizados ni convierte una red de invitados abierta en una red empresarial cifrada. La guía del Reino Unido identifica a WPA3 como el estándar preferido para las nuevas implementaciones inalámbricas y distingue las redes personales con frase de contraseña de las redes empresariales basadas en la autenticación individual. El modo empresarial es particularmente relevante para las organizaciones más grandes y reguladas, como se resume en la guía de negocios de Irlanda del Norte para el Acceso Protegido a WiFi.
Las capas que cierran las brechas restantes
- El acceso basado en certificados verifica la identidad del dispositivo y del usuario; PMF no lo hace.
- La aislación de red entre los SSID de invitados, personal y dispositivos limita lo que puede alcanzar un cliente comprometido o heredado.
- La detección de AP no autorizados ayuda a identificar puntos de acceso gemelos maliciosos que PMF no puede eliminar del aire.
- El monitoreo de incidentes de fallas de asociación y ráfagas de desautenticación ayuda a distinguir los ataques de los problemas de configuración.
Planifique PMF por SSID, sopesando el requisito de seguridad frente a los dispositivos que necesitan conectarse. WPA3 se está convirtiendo en la línea base para dispositivos en la banda de 6 GHz, lo que hace que las comprobaciones de compatibilidad y la planificación de la transición sean más difíciles de posponer. En las redes del personal, Passpoint, xPSK, Certificate WiFi y WiFi via MDM ofrecen diferentes métodos de conexión, por lo que puede adaptar la autenticación a la clase de dispositivo en lugar de forzar a todos los clientes a seguir un solo camino.
Configure el PMF requerido en WPA3-Enterprise y en otros SSIDs de alta seguridad una vez que apruebe su prueba piloto. Mantenga los SSIDs de modo mixto en opcional mientras planifica el retiro de dispositivos heredados y elimine el tráfico del personal de cualquier SSID abierto. Registre los resultados de asociación por tipo de dispositivo: esto le brinda evidencia de qué SSIDs pueden pasar a requerido y en dónde los clientes más antiguos aún imponen un costo de compatibilidad.
Purple proporciona certificados EAP-TLS gestionados para el WiFi del personal, evitando el uso de una frase de contraseña compartida que deba rotarse. Su acceso para invitados y el WiFi del personal funcionan en una plataforma en la nube sobre los puntos de acceso existentes del establecimiento. Para planificar un despliegue adaptado a su hardware y proveedor de identidad, visite Purple.
