Explicación de la autenticación 802.1X para redes corporativas

Explicación de la autenticación 802.1X para redes corporativas. Un informe de inteligencia de Purple WiFi. Bienvenido. Si eres responsable de la seguridad de la red en una organización multisitio (ya sea un grupo hotelero, una cadena de tiendas de retail, un estadio o un patrimonio del sector público), este informe es para ti. En los próximos diez minutos, cubriremos todo lo que necesitas saber sobre la autenticación 802.1X: qué es, cómo funciona bajo el cofre, cómo implementarla correctamente y los errores comunes en los que caen la mayoría de las organizaciones. Comencemos. Sección uno: Contexto y por qué esto importa ahora mismo. El panorama de amenazas para el WiFi corporativo ha cambiado drásticamente. Las redes de claves precompartidas - el tipo de red donde todos conocen la contraseña de WiFi - ya no son aceptables para las redes de personal en entornos regulados. Bajo PCI-DSS versión 4.0, que entró en pleno vigor en 2024, las organizaciones que manejan datos de tarjetas de pago deben implementar controles de acceso sólidos en cualquier red que toque el entorno de datos de los tarjetahabientes. El GDPR impone obligaciones similares a cualquier red que transporte datos personales. Y con el trabajo híbrido, que significa que el personal se conecta desde dispositivos administrados y no administrados en docenas de ubicaciones, el antiguo modelo de perímetro simplemente ya no se sostiene. 802.1X es el estándar IEEE que resuelve esto. Proporciona control de acceso a la red basado en puertos, lo que significa que un dispositivo no puede unirse a la red en absoluto hasta que se haya autenticado contra un almacén de identidad central. No solo una contraseña compartida, sino una identidad real verificada. Ese es el cambio fundamental. Sección dos: Análisis técnico profundo. Analicemos la arquitectura. 802.1X define tres roles. El suplicante - ese es el dispositivo final, la laptop o el teléfono inteligente que intenta conectarse. El autenticador - ese es el punto de acceso inalámbrico o el switch de red. Y el servidor de autenticación - que en prácticamente cualquier implementación empresarial es un servidor RADIUS. Así es como funciona el saludo de conexión. Cuando un dispositivo intenta conectarse a un SSID protegido, el punto de acceso coloca a ese dispositivo en un estado no autenticado. No puede acceder a la red. El AP envía una trama EAP Request Identity al dispositivo. EAP significa Extensible Authentication Protocol (Protocolo de Autenticación Extensible) - es el marco que transporta las credenciales reales. El dispositivo responde con su identidad. El AP reenvía esto al servidor RADIUS, encapsulado en un paquete RADIUS Access-Request. El servidor RADIUS luego desafía al dispositivo (el desafío específico depende del método EAP que estés utilizando). El dispositivo responde con sus credenciales. El servidor RADIUS valida esas credenciales contra tu almacén de identidad (Active Directory, LDAP o un IdP en la nube) y envía de vuelta un Access-Accept o un Access-Reject. Si es un Accept, el AP abre el puerto y el dispositivo obtiene acceso a la red. Si es un Reject, el dispositivo permanece bloqueado. Todo el intercambio toma menos de un segundo.Ahora bien, la selección del método EAP es donde la mayoría de los arquitectos pasan su tiempo. Tienes cuatro opciones principales. EAP-TLS es el estándar de oro. Requiere un certificado de cliente en cada dispositivo, lo que significa que necesitas una infraestructura de PKI, pero proporciona autenticación mutua: el servidor demuestra su identidad al cliente y el cliente demuestra su identidad al servidor. No se pueden suplantar credenciales por phishing porque no hay contraseñas involucradas. Esta es la elección correcta para flotas de dispositivos totalmente administradas. PEAP (Protected EAP) es el método más implementado en la práctica. Crea un túnel TLS utilizando únicamente un certificado de servidor, luego pasa las credenciales de usuario y contraseña dentro de ese túnel. Es significativamente más fácil de implementar que EAP-TLS porque no necesitas certificados de cliente, y es compatible de forma nativa en todos los sistemas operativos principales. La desventaja es que depende de que los usuarios validen el certificado del servidor, lo que en la práctica a menudo no hacen. Una implementación adecuada de PEAP requiere bloquear la configuración del suplicante para que solo confíe en el certificado específico de tu servidor RADIUS. EAP-TTLS es similar a PEAP pero más flexible en el método de autenticación interna. Es particularmente útil en entornos con dispositivos heredados o terminales que no son de Windows. EAP-FAST fue desarrollado por Cisco como una alternativa más rápida que utiliza credenciales de acceso protegido en lugar de certificados, pero se implementa con menos frecuencia en instalaciones nuevas. El servidor RADIUS en sí merece atención. Las dos opciones de código abierto dominantes son FreeRADIUS, que impulsa una proporción significativa de las implementaciones empresariales a nivel mundial, y Microsoft NPS (Network Policy Server), que se incluye con Windows Server y se integra de forma nativa con Active Directory. Las opciones comerciales incluyen Cisco ISE, Aruba ClearPass y Portnox Cloud, que ofrece un modelo RADIUS-as-a-service nativo de la nube que elimina por completo la necesidad de una infraestructura de servidor local. La asignación de VLAN es una de las funciones más potentes de una implementación de 802.1X configurada correctamente. El servidor RADIUS puede devolver atributos de VLAN en la respuesta Access-Accept, asignando dinámicamente el dispositivo autenticado al segmento de red adecuado. Un miembro del personal se autentica y aterriza en la VLAN del personal. Un contratista se autentica con credenciales diferentes y aterriza en una VLAN restringida con acceso limitado. Un dispositivo que falla en la validación del certificado se coloca en una VLAN de cuarentena. Esto es la segmentación dinámica, y es un control de seguridad significativo. Sección tres: Recomendaciones de implementación y los errores que se deben evitar. Permítame darle la secuencia de implementación que funciona. Comience con una auditoría de red. Antes de tocar una sola configuración, documente cada dispositivo que necesitará autenticarse. Esto incluye impresoras, teléfonos IP, sistemas de gestión de edificios, cámaras de CCTV - cualquier dispositivo que se conecte a la red. Estos dispositivos sin pantalla ni interfaz de usuario no tienen un suplicante y no pueden realizar 802.1X. Necesitará una estrategia para ellos, normalmente MAC Authentication Bypass con una lista blanca estricta de direcciones MAC y su asignación en una VLAN aislada. Paso dos: configure su infraestructura RADIUS. Para garantizar la resiliencia, necesita como mínimo un servidor RADIUS primario y uno secundario. Configure sus puntos de acceso para que realicen la conmutación por error de forma automática. Una interrupción de RADIUS que bloquee a todo el personal de la red es un incidente de prioridad 1 (P1). No permita que esto suceda por haber implementado un solo servidor. Paso tres: implemente su PKI si va a utilizar EAP-TLS. Use su Active Directory Certificate Services existente o un proveedor de PKI en la nube. El autorregistro a través de Directivas de grupo hace que la implementación de certificados de cliente sea manejable a gran escala. Paso cuatro: configure sus políticas de red. Defina sus políticas de autenticación en RADIUS: qué usuarios o grupos de dispositivos reciben qué asignaciones de VLAN, qué sucede con las autenticaciones fallidas y cómo maneja el tráfico de invitados frente al del personal. Aquí es donde se aplica el principio de mínimo privilegio en la capa de red. Paso cinco: realice una prueba piloto antes del lanzamiento general. Tome una ubicación, un piso, un SSID. Pruebe cada tipo de dispositivo. Pruebe escenarios de falla. Pruebe qué sucede cuando el servidor RADIUS no está disponible. Solo entonces expanda la implementación. Ahora, los errores comunes. El más frecuente que veo es la configuración incorrecta de la validación de certificados en las implementaciones de PEAP. Si su política de suplicante no exige la validación del certificado del servidor, quedará expuesto a ataques de puntos de acceso no autorizados, donde un atacante configura un punto de acceso falso y recopila credenciales. Asegure los perfiles de sus suplicantes a través de Directivas de grupo o MDM. El segundo error común es ignorar los dispositivos que no son de 802.1X hasta el día del lanzamiento. Los dispositivos IoT, las impresoras y los sistemas heredados arruinarán su implementación si no los ha planificado. MAC Authentication Bypass es su mejor aliado en este caso, pero debe configurarse antes de activar el sistema. El tercer error común son los puntos únicos de falla en RADIUS. He visto organizaciones que implementan un solo servidor NPS y descubren que toda la red de su personal se cae durante el reinicio de una actualización de Windows. Implemente siempre una infraestructura RADIUS redundante. Sección cuatro: Preguntas rápidas. ¿Puede 802.1X funcionar junto con una red WiFi para invitados? Absolutamente. Su SSID de invitados funciona por separado - normalmente utilizando un enfoque de Captive Portal - mientras que su SSID de personal exige 802.1X. Son SSIDs completamente independientes con VLANs separadas. La plataforma de Purple se encarga del lado de los invitados, con herramientas de analítica y de engagement integradas, mientras que su infraestructura 802.1X protege el lado del personal.¿802.1X reemplaza a una VPN? No. 802.1X controla la admisión a la red - quién puede unirse a ella. Una VPN cifra el tráfico en tránsito y extiende la red corporativa a través de conexiones no confiables. Sirven para propósitos diferentes y a menudo se utilizan juntas. ¿Cuál es el impacto en el rendimiento de roaming? Con 802.1X, cada vez que un dispositivo realiza roaming entre puntos de acceso, necesita volver a autenticarse. Para la mayoría de las implementaciones empresariales esto es imperceptible. El almacenamiento en caché de PMK y OKC - Opportunistic Key Caching - reducen la sobrecarga de reautenticación de manera significativa. Para entornos de alta densidad como estadios o centros de conferencias, vale la pena configurar esto de forma explícita. ¿Es WPA3-Enterprise un reemplazo para 802.1X? No - WPA3-Enterprise utiliza 802.1X para la autenticación. WPA3 mejora la capa de cifrado, exigiendo específicamente el modo de seguridad de 192 bits para las implementaciones más sensibles. 802.1X es el marco de autenticación subyacente. Sección cinco: Resumen y próximos pasos. Esto es lo que debe llevarse de esta sesión informativa. 802.1X es el ùnico mecanismo de autenticación de nivel empresarial para WiFi corporativo. Las claves precompartidas no son aceptables para entornos regulados. Elija su método EAP en función de su flota de dispositivos: EAP-TLS si tiene dispositivos administrados y una PKI, PEAP si necesita una compatibilidad más amplia. Planifique para dispositivos que no sean de 802.1X antes de realizar la implementación, no después. Implemente una infraestructura RADIUS redundante: un sólo servidor es un punto ùnico de falla. Utilice la asignación dinámica de VLAN para aplicar la segmentación de la red en el momento de la autenticación. Y realice una prueba piloto exhaustiva antes de implementarlo en todo su patrimonio. Si está creando una implementación multisitio y necesita analizar la arquitectura, el equipo técnico de Purple trabaja todos los días con arquitectos de red en los sectores de hotelería, comercio minorista y sector pùblico. La combinación de WiFi seguro para el personal a través de 802.1X y WiFi de invitados inteligente a través de la plataforma de Purple le brinda una estrategia de red segmentada y completa que cumple tanto con sus obligaciones de seguridad como con sus requisitos de experiencia de invitados. Eso es todo para esta sesión informativa. Gracias por escuchar.