Implementación de WPA3-Enterprise para una seguridad inalámbrica mejorada

Implementación de WPA3-Enterprise para una seguridad inalámbrica mejorada. Un informe de inteligencia de Purple WiFi. Bienvenido a la serie de informes técnicos de Purple. Hoy iremos directo a lo que importa: WPA3-Enterprise — qué significa realmente para su red, por qué el momento actual es crítico y cómo pasar de donde se encuentra hoy a una infraestructura inalámbrica totalmente compatible y preparada para el futuro. Si usted administra un grupo hotelero, un complejo comercial, un centro de conferencias o una instalación del sector público, este informe es para usted. No nos perderemos en teorías académicas. Hablaremos de decisiones reales, configuraciones reales y resultados reales. WPA3-Enterprise se convirtió en un requisito obligatorio para los dispositivos Wi-Fi CERTIFIED en 2020 y, sin embargo, la mayoría de los entornos empresariales siguen ejecutando WPA2. Esa brecha es su exposición al riesgo. PCI DSS 4.0, que entró en vigor en su totalidad en marzo de 2024, hace referencia explícita a estándares de autenticación más sólidos. Las obligaciones del GDPR en torno a la protección de datos por diseño se interpretan cada vez más para incluir la seguridad a nivel de red. La ventana para tratar a WPA3 como algo "deseable" se ha cerrado. Entremos en materia. Entonces, ¿qué cambia realmente con WPA3-Enterprise? Comencemos con la capa de autenticación. WPA2-Enterprise se basa en IEEE 802.1X con EAP — Protocolo de Autenticación Extensible — y esa parte no cambia con WPA3. Lo que cambia es todo lo que lo rodea: el saludo de conexión (handshake), el cifrado y la protección de tramas de gestión. Bajo WPA2, el saludo de conexión de cuatro vías utilizado para derivar las claves de sesión es vulnerable a ataques de diccionario fuera de línea. Un atacante captura el saludo de conexión, lo procesa fuera de línea y lo ejecuta contra una lista de palabras. Esta es la base del ataque KRACK — Key Reinstallation Attack — revelado en 2017. WPA3 reemplaza esto con SAE — Simultaneous Authentication of Equals —, que es un intercambio de claves basado en Diffie-Hellman. La diferencia crítica es que SAE proporciona secreto perfecto hacia adelante (forward secrecy). Incluso si un atacante captura cada paquete de una sesión y luego compromete una clave a largo plazo, no puede descifrar retroactivamente esa sesión. Cada sesión tiene sus propias claves efímeras. En el lado del cifrado, WPA2 utiliza CCMP-128 — Counter Mode con Cipher Block Chaining Message Authentication Code Protocol — basado en AES-128. WPA3-Enterprise exige GCMP-256 — Galois Counter Mode Protocol con claves de 256 bits — para su modo de seguridad de 192 bits. Este es el modo que usted desea para cualquier entorno que maneje datos confidenciales: registros médicos, datos de tarjetas de pago, información gubernamental. Luego está la Protección de Tramas de Gestión — PMF —, definida bajo IEEE 802.11w. Bajo WPA2, PMF es opcional. Bajo WPA3, es obligatorio. Las tramas de gestión son las señales de control que gestionan la asociación, desasociación y autenticación entre los clientes y los puntos de acceso. Sin PMF, un atacante puede falsificar tramas de desautenticación — forzando a los clientes a salir de la red — como un ataque de denegación de servicio o como un precursor de un ataque de intermediario (man-in-the-middle). La obligatoriedad de PMF cierra esa vía por completo.Ahora, la configuración del servidor RADIUS. Aquí es donde la mayoría de las implementaciones tienen éxito o se estancan. Su servidor RADIUS —ya sea Microsoft NPS, FreeRADIUS, Cisco ISE o Aruba ClearPass— debe estar configurado para admitir EAP-TLS como el método de autenticación principal para WPA3-Enterprise. EAP-TLS utiliza autenticación mutua basada en certificados. El cliente presenta un certificado, el servidor presenta un certificado y ambos se validan mutuamente. No hay contraseñas en este intercambio. Esto elimina por completo los ataques basados en credenciales. La infraestructura de certificados —su PKI— es la columna vertebral de esto. Necesita una Autoridad de Certificación (CA), ya sea interna mediante Microsoft Active Directory Certificate Services o un servicio de PKI basado en la nube. Cada dispositivo cliente necesita un certificado registrado, normalmente a través de su plataforma MDM —Intune, Jamf o similar. El servidor RADIUS necesita su propio certificado de servidor de una CA en la que confíen sus clientes. Y necesita un punto de conexión OCSP o CRL para que los clientes puedan validar la revocación de certificados en tiempo real. Para entornos donde el EAP-TLS completo no se puede lograr de inmediato —tal vez porque tiene una combinación de dispositivos administrados y no administrados—, EAP-TTLS o PEAP con MSCHAPv2 siguen siendo una opción como medida de transición. Pero quiero ser directo: los métodos EAP basados en credenciales son un trampolín, no el destino final. La postura de seguridad de EAP-TLS es categóricamente superior, y su hoja de ruta debería apuntar a ella. Una cosa más en el aspecto técnico: el modo de transición. La mayoría de los controladores inalámbricos modernos admiten el modo de transición WPA3, que permite que los clientes WPA2 y WPA3 se asocien al mismo SSID simultáneamente. Esta es su ruta de migración. Habilite el modo de transición, valide que los clientes WPA3 se estén autenticando correctamente, supervise sus registros y luego —una vez que tenga confianza en el parque de dispositivos clientes— cambie a WPA3-only. No intente realizar un corte abrupto el primer día. El modo de transición existe precisamente para evitar ese riesgo. Ahora permítame presentarle los tres modos de falla más comunes que veo en las implementaciones de WPA3-Enterprise y cómo evitarlos. Primero: la gestión del ciclo de vida de los certificados. Las organizaciones implementan PKI, emiten certificados y luego olvidan que los certificados caducan. El vencimiento de un certificado en su servidor RADIUS interrumpirá la autenticación de cada uno de los clientes de su red de forma simultánea. Necesita una renovación automatizada, alertas de monitoreo a los 90, 60 y 30 días antes del vencimiento, y un manual de procedimientos de renovación probado. Esto no es opcional. He visto a grandes grupos hoteleros perder todo el acceso inalámbrico corporativo porque un certificado RADIUS caducó durante un fin de semana festivo. Segundo: suposiciones de compatibilidad de clientes. No todos los dispositivos en su propiedad serán compatibles con WPA3. Los dispositivos IoT heredados (sistemas de gestión de edificios, terminales de punto de venta más antiguos, algunos sistemas de CCTV) pueden admitir únicamente WPA2 o incluso WPA. La respuesta es la segmentación de red. Coloque sus dispositivos corporativos compatibles con WPA3 en un SSID exclusivo para WPA3. Coloque su IoT heredado en una VLAN separada y aislada con WPA2, con reglas de firewall estrictas que eviten el movimiento lateral. No comprometa la postura de seguridad de su red principal para dar cabida a dispositivos heredados. Tercero: redundancia del servidor RADIUS. Un solo servidor RADIUS es un punto único de falla. En una implementación multisitio (una cadena minorista con 200 tiendas, por ejemplo), necesita como mínimo un servidor RADIUS primario y uno secundario, con conmutación por error configurada a nivel del controlador inalámbrico. Pruebe su conmutación por error. Pruébela activamente. Simule una falla del RADIUS primario en una ventana de mantenimiento y confirme que los clientes se autentiquen contra el secundario dentro de su umbral de tiempo de espera aceptable. Específicamente para entornos de hospitalidad (cualquiera que ejecute una plataforma de WiFi para invitados), tiene un desafío de red dual. Su red corporativa transporta dispositivos del personal y sistemas de back-office, y debería ser WPA3-Enterprise con EAP-TLS. Su red de invitados es un problema completamente diferente, que normalmente se maneja a través de un Captive Portal con autenticación social o por correo electrónico. Estos son SSIDs separados, VLANs separadas y políticas de seguridad separadas. No los mezcle. Algunas preguntas que me hacen con frecuencia. ¿Necesito nuevos puntos de acceso? Probablemente no. La mayoría de los puntos de acceso fabricados después de 2019 son compatibles con WPA3 mediante una actualización de firmware. Verifique las notas de la versión de su proveedor. Ruckus, Cisco Meraki, Aruba y Ubiquiti tienen soporte para WPA3 en sus firmwares actuales. ¿Cuánto tiempo toma una implementación completa? Para una propiedad minorista de 50 sitios con un MDM y Active Directory existentes, presupueste de 12 a 16 semanas. La creación de la PKI y la distribución de certificados es la tarea que toma más tiempo. ¿Cuánto cuesta esto? Es probable que ya cuente con los componentes de infraestructura (RADIUS, PKI, MDM). El costo incremental corresponde a los servicios profesionales de configuración y pruebas, más cualquier costo de reemplazo o actualización de firmware de los puntos de acceso. Para la mayoría de las organizaciones, la mitigación del riesgo de cumplimiento por sí sola justifica la inversión. ¿Afecta WPA3 al rendimiento? De manera insignificante. GCMP-256 es computacionalmente eficiente. En la práctica, no notará una diferencia de rendimiento en el hardware moderno. Para concluir: WPA3-Enterprise no es una consideración a futuro. Es un requisito actual para cualquier organización que se tome en serio la seguridad de la red, el cumplimiento normativo y la protección de los datos de las personas que utilizan sus instalaciones. Sus siguientes pasos inmediatos: audite las versiones actuales de firmware de sus puntos de acceso y confirme la compatibilidad con WPA3. Evalúe su preparación de PKI: ¿tiene una CA interna o necesita crear una? Revise la configuración y redundancia de su servidor RADIUS. Y mapee su propiedad de dispositivos cliente para identificar cualquier dispositivo heredado que deba ser segmentado. La plataforma de Purple se integra directamente con su infraestructura inalámbrica para proporcionar la capa de análisis y gestión sobre la base de su red segura. Ya sea que dirija un grupo hotelero, una cadena de retail o un recinto público, la combinación de WPA3-Enterprise para su red corporativa y una capa de WiFi para invitados debidamente protegida le brinda tanto la postura de seguridad como la inteligencia de datos que su negocio necesita. Gracias por escuchar. Si desea profundizar en cualquiera de estos temas (autenticación de certificados, configuración de RADIUS o arquitectura de red de invitados), la guía escrita completa está disponible en el sitio web de Purple, junto con nuestra biblioteca más amplia de material de referencia técnica. Hasta la próxima.