Implementación de la autenticación 802.1X en dispositivos móviles

GUION DE PODCAST: Implementación de la autenticación 802.1X en dispositivos móviles Duración: ~10 minutos | Voz: Español de México, tono de consultor senior Estructura: Introducción y contexto (1 min) → Inmersión técnica profunda (5 min) → Recomendaciones de implementación y errores comunes (2 min) → Preguntas y respuestas rápidas (1 min) → Resumen y próximos pasos (1 min) --- [INTRODUCCIÓN Y CONTEXTO — ~1 minuto] Bienvenidos de nuevo. Hoy nos adentraremos en un tema que surge constantemente en los proyectos de WiFi empresariales: la autenticación 802.1X en dispositivos móviles. Si administra la red de un hotel, un comercio minorista, un estadio o cualquier espacio del sector público donde el personal y los invitados se conectan desde iPhones y dispositivos Android, este es el estándar que debe comprender a fondo. 802.1X no es nuevo. Ha sido la columna vertebral de la seguridad inalámbrica empresarial durante más de dos décadas. Sin embargo, los dispositivos móviles han cambiado significativamente el panorama de la implementación. La gestión de certificados, la selección del método EAP, los flujos de trabajo de aprovisionamiento de MDM; todas estas son áreas donde los proyectos suelen fallar, y donde hacerlo bien ofrece una mejora significativa en la seguridad y la operación. Así que repasemos la arquitectura, los pasos de implementación tanto para Apple como para Android, y los modos de falla comunes que le cuestan semanas de resolución de problemas a los equipos. --- [INMERSIÓN TÉCNICA PROFUNDA — ~5 minutos] Comencemos con lo fundamental. IEEE 802.1X es un estándar de control de acceso a la red basado en puertos. Define tres roles: el suplicante (que es su dispositivo móvil), el autenticador (que suele ser su punto de acceso inalámbrico o controlador de LAN inalámbrica) y el servidor de autenticación (casi siempre un servidor RADIUS). Cuando un dispositivo intenta conectarse a un SSID protegido por 802.1X, el punto de acceso no otorga acceso completo a la red de inmediato. En su lugar, abre un puerto controlado e inicia un intercambio EAP, es decir, el Protocolo de Autenticación Extensible. El dispositivo presenta las credenciales, el punto de acceso las transmite al servidor RADIUS y este último acepta o rechaza la conexión. Solo tras la aceptación, el punto de acceso abre el puerto no controlado y permite el tráfico de red completo. Ahora bien, el método EAP que elija es fundamental, y aquí es donde las implementaciones móviles difieren de las redes empresariales tradicionales centradas en laptops. EAP-TLS es el estándar de oro. Utiliza una autenticación mutua basada en certificados: tanto el servidor como el cliente presentan certificados. No hay nombre de usuario ni contraseña en el intercambio. Es resistente al phishing de credenciales, a los ataques de intermediario (man-in-the-middle) y a la fuerza bruta. Tanto iOS como Android lo admiten de forma nativa. El desafío radica en la gestión del ciclo de vida de los certificados: se necesita una PKI en funcionamiento y se deben instalar los certificados de cliente en los dispositivos, lo que significa que el uso de un MDM es prácticamente obligatorio. PEAP con MSCHAPv2 es el método más implementado en la práctica. Envuelve MSCHAPv2 dentro de un túnel TLS, por lo que las credenciales están protegidas en tránsito. iOS y Android lo admiten de forma nativa. La desventaja es que depende de un nombre de usuario y contraseña, lo que introduce una carga administrativa de credenciales y un riesgo de exposición si el certificado del servidor no se valida correctamente en el lado del cliente. EAP-TTLS con PAP es común en entornos con directorios LDAP heredados. Android lo admite de forma nativa; iOS requiere un perfil de configuración. Vale la pena señalar que PAP transmite la contraseña en texto claro dentro del túnel TLS, por lo que la integridad del túnel lo es todo en este caso. EAP-FAST es principalmente una solución de Cisco. iOS lo admite de forma nativa; el soporte en Android es inconsistente entre los diferentes fabricantes y versiones del sistema operativo. Para la mayoría de las implementaciones móviles empresariales actuales, la recomendación es usar EAP-TLS donde se tenga cobertura de MDM, y PEAP-MSCHAPv2 donde no se tenga, aplicando una validación estricta del certificado del servidor. Hablemos ahora de la infraestructura. El servidor RADIUS es el corazón de la implementación. Microsoft NPS, FreeRADIUS, Cisco ISE y Aruba ClearPass son las opciones principales. Para implementaciones nativas de la nube, JumpCloud, Foxpass y Portnox ofrecen RADIUS como servicio, lo que elimina la carga de la infraestructura local. Su servidor RADIUS debe estar configurado con el método EAP correcto, el secreto compartido para cada punto de acceso o WLC, y el almacén de usuarios, ya sea Active Directory, LDAP o una base de datos local. Para EAP-TLS, también necesita la cadena de certificados de la CA para validar los certificados de cliente. Por el lado de la autoridad de certificación, tiene tres opciones. Una PKI interna que utilice Microsoft ADCS o una CA independiente le brinda un control total y cero costos de certificados, pero requiere madurez operativa para su gestión. Un servicio de PKI en la nube (como SCEPman, Smallstep o similar) se integra bien con las plataformas de MDM modernas y reduce significativamente la carga operativa. Los certificados públicos de una CA comercial rara vez se utilizan para la autenticación de clientes debido a su costo y complejidad. Ahora, la configuración del dispositivo. En iOS, la ruta de implementación más limpia es Apple Configurator o una plataforma de MDM como Jamf, Microsoft Intune o Mosyle. Se envía un perfil de configuración de WiFi que especifica el SSID, el método EAP, el certificado de servidor en el que se debe confiar y, para EAP-TLS, el certificado de cliente. El perfil se encarga de todo de forma silenciosa. Los usuarios se conectan sin necesidad de realizar pasos manuales. La configuración manual en iOS es posible pero inestable. Los usuarios deben ir a Configuración, WiFi, tocar el SSID, ingresar las credenciales y luego se les presenta un aviso de confianza del certificado. Si el certificado del servidor no proviene de una CA de confianza, iOS muestra una advertencia. Los usuarios suelen tocar "Confiar" sin leer, lo que anula por completo el propósito de la validación del certificado. Es por esto que el aprovisionamiento mediante MDM no es opcional para implementaciones serias. En Android, el panorama está más fragmentado. Android 11 y versiones posteriores requieren que se especifique un certificado de CA al conectarse a una red 802.1X; ya no se puede seleccionar "No validar" en las versiones modernas de Android sin una advertencia. Este es un cambio de seguridad positivo, pero significa que debe distribuir su certificado de CA a los dispositivos Android, ya sea a través de un MDM (Android Enterprise con Intune o VMware Workspace ONE) o instalándolo manualmente desde el almacenamiento del dispositivo. Android también presenta particularidades según el fabricante. Los dispositivos Samsung que ejecutan One UI manejan los certificados de forma ligeramente diferente a Android puro. Algunos dispositivos Huawei más antiguos presentan problemas de compatibilidad de EAP-TLS con suites de cifrado específicas. Realizar pruebas en su población de dispositivos objetivo antes del lanzamiento es indispensable. Para la infraestructura inalámbrica, sus puntos de acceso o WLC deben estar configurados con el SSID establecido en WPA2-Enterprise o WPA3-Enterprise, la IP del servidor RADIUS y el secreto compartido, y, fundamentalmente, la contabilidad RADIUS si desea visibilidad de la sesión por usuario. WPA3-Enterprise con modo de 192 bits es la mejor práctica actual para entornos de alta seguridad y se complementa muy bien con EAP-TLS. Si aún no está planeando su migración a WPA3, vale la pena leer la guía sobre la implementación de WPA3-Enterprise para mejorar la seguridad inalámbrica junto con esta. --- [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — ~2 minutos] Permítanme compartirles las tres situaciones que más comúnmente descarrilan las implementaciones móviles de 802.1X. Primero: fallas de confianza en los certificados. Este es el principal generador de tickets de soporte. En iOS, si el certificado del servidor RADIUS no está incluido en la lista de certificados de confianza del perfil de WiFi, los usuarios reciben un aviso de confianza en la primera conexión. En Android, si el certificado de la CA no está instalado, las versiones modernas se negarán a conectarse o mostrarán una advertencia persistente. La solución es incluir siempre la cadena de certificados completa (CA raíz y cualquier CA intermedia) en sus perfiles de MDM. No dependa del almacén de confianza del sistema del dispositivo para su CA interna. Segundo: tiempo de espera y latencia de RADIUS. Los dispositivos móviles son impacientes. Si su servidor RADIUS tarda más de dos o tres segundos en responder, tanto iOS como Android reintentarán la conexión y eventualmente fallarán. Esto es particularmente crítico en entornos de alta densidad (estadios, centros de convenciones) donde cientos de dispositivos se autentican simultáneamente. Asegúrese de que su infraestructura RADIUS esté dimensionada adecuadamente, considere implementar servidores proxy RADIUS a nivel regional y ajuste los parámetros de reintento y tiempo de espera en la WLC. Tercero: discrepancia en el método EAP. Esto suena obvio, pero es sorprendentemente común. El método EAP configurado en la WLC debe coincidir con el que anuncia el servidor RADIUS, el cual a su vez debe coincidir con el que especifica el perfil del cliente. Una discrepancia da como resultado una falla de autenticación silenciosa con un diagnóstico mínimo. Valide siempre la negociación EAP completa mediante una captura de paquetes en el servidor RADIUS durante las pruebas iniciales. Por el lado del MDM, la recomendación práctica es utilizar la autenticación basada en certificados para los dispositivos propiedad de la empresa y PEAP para los escenarios BYOD donde no se pueden enviar certificados de cliente. Esto le brinda los beneficios de seguridad de EAP-TLS donde más importa, sin la carga administrativa de la gestión de certificados para la larga lista de dispositivos personales. --- [PREGUNTAS Y RESPUESTAS RÁPIDAS — ~1 minuto] ¿Puedo ejecutar 802.1X y un SSID de invitados en la misma infraestructura? Por supuesto. Utilice SSIDs separados: uno WPA2/3-Enterprise para 802.1X y otro para el acceso de invitados con un Captive Portal. La segmentación por VLAN mantiene el tráfico aislado. ¿Necesito un servidor RADIUS local? Ya no. Los servicios RADIUS en la nube son maduros y confiables. Para lugares con conectividad a internet inestable, aún vale la pena considerar una instancia RADIUS local como respaldo. ¿Qué pasa con los dispositivos IoT que no admiten 802.1X? Utilice la omisión de autenticación MAC (MAB) para esos dispositivos y colóquelos en una VLAN restringida con reglas de firewall. No permita que accedan al mismo segmento que sus dispositivos autenticados con 802.1X. ¿Es suficiente 802.1X para cumplir con PCI DSS? Es un control sólido, pero PCI DSS requiere un enfoque por capas. 802.1X aborda el control de acceso a la red; aún se necesita cifrado, monitoreo y segmentación para cumplir con todos los requisitos. --- [RESUMEN Y PRÓXIMOS PASOS — ~1 minuto] Para resumir: la autenticación 802.1X en dispositivos móviles es un estándar maduro y bien respaldado que ofrece una mejora significativa en la seguridad en comparación con las redes de claves precompartidas. La complejidad de la implementación es real, pero manejable con las herramientas adecuadas, específicamente un MDM para la distribución de perfiles y un servidor RADIUS local o en la nube que esté correctamente dimensionado. Sus próximos pasos inmediatos: audite su infraestructura inalámbrica actual para verificar su compatibilidad con WPA2-Enterprise, evalúe su cobertura de MDM en toda la flota de dispositivos y decida su método EAP en función de si cuenta con capacidad de PKI. Si está comenzando desde cero, PEAP-MSCHAPv2 con integración de Active Directory es la ruta más rápida para una implementación funcional. Si cuenta con MDM y PKI, vaya directamente a EAP-TLS. Para una lectura más profunda, la guía de implementación de WPA3-Enterprise y los recursos de Purple sobre arquitectura de WiFi empresarial son excelentes opciones para continuar. Gracias por escuchar; nos vemos en la próxima entrega. --- FIN DEL GUION