Implementación de la autenticación 802.1X en dispositivos móviles

GUION DE PODCAST: Implementación de la autenticación 802.1X en dispositivos móviles Duración: ~10 minutos | Voz: Inglés británico, masculino, tono de consultor sénior Estructura: Introducción y contexto (1 min) → Inmersión técnica profunda (5 min) → Recomendaciones de implementación y errores comunes (2 min) → Preguntas y respuestas rápidas (1 min) → Resumen y próximos pasos (1 min) --- [INTRODUCCIÓN Y CONTEXTO — ~1 minuto] Bienvenidos de nuevo. Hoy abordaremos un tema que surge constantemente en los proyectos de WiFi empresariales: la autenticación 802.1X en dispositivos móviles. Si gestionas una red hotelera, un entorno minorista, un estadio o cualquier recinto del sector público donde el personal y los invitados se conectan desde iPhones y dispositivos Android, este es el estándar que necesitas comprender a fondo. El estándar 802.1X no es nuevo. Ha sido la columna vertebral de la seguridad inalámbrica empresarial durante más de dos décadas. Sin embargo, los dispositivos móviles han cambiado significativamente el panorama de la implementación. La gestión de certificados, la selección del método EAP, los flujos de trabajo de aprovisionamiento de MDM; todas estas son áreas donde los proyectos suelen fallar, y donde hacerlo bien ofrece una mejora operativa y de seguridad sumamente significativa. Así que analicemos la arquitectura, los pasos de implementación tanto para Apple como para Android, y los fallos comunes que les cuestan semanas de solución de problemas a los equipos. --- [INMERSIÓN TÉCNICA PROFUNDA — ~5 minutos] Comencemos con los fundamentos. IEEE 802.1X es un estándar de control de acceso a la red basado en puertos. Define tres roles: el suplicante - que es tu dispositivo móvil -, el autenticador - que suele ser tu punto de acceso inalámbrico o controlador de LAN inalámbrica - y el servidor de autenticación, que casi siempre es un servidor RADIUS. Cuando un dispositivo intenta conectarse a un SSID protegido por 802.1X, el punto de acceso no otorga acceso total a la red de inmediato. En su lugar, abre un puerto controlado e inicia un intercambio EAP - el Protocolo de Autenticación Extensible. El dispositivo presenta las credenciales, el punto de acceso las retransmite al servidor RADIUS y este último acepta o rechaza la conexión. Solo tras la aceptación, el punto de acceso abre el puerto no controlado y permite el tráfico de red completo. Ahora bien, el método EAP que elijas es fundamental, y aquí es donde las implementaciones móviles difieren de las redes empresariales tradicionales centradas en computadoras portátiles. EAP-TLS es el estándar de oro. Utiliza autenticación mutua basada en certificados; tanto el servidor como el cliente presentan certificados. No hay nombre de usuario ni contraseña en el intercambio. Es resistente al phishing de credenciales, a los ataques de intermediario (man-in-the-middle) y a la fuerza bruta. Tanto iOS como Android lo admiten de forma nativa. El desafío es la gestión del ciclo de vida de los certificados: necesitas una PKI en funcionamiento y debes instalar los certificados de cliente en los dispositivos, lo que significa que el uso de un MDM es prácticamente obligatorio. PEAP con MSCHAPv2 es el método más implementado en la práctica. Envuelve MSCHAPv2 dentro de un túnel TLS, por lo que las credenciales están protegidas en tránsito. iOS y Android lo soportan de forma nativa. La desventaja es que depende de un usuario y contraseña, lo que introduce una carga de gestión de credenciales y riesgo de exposición si el certificado del servidor no se valida correctamente en el lado del cliente. EAP-TTLS con PAP es común en entornos con directorios LDAP heredados. Android lo soporta de manera nativa; iOS requiere un perfil de configuración. Vale la pena señalar que PAP transmite la contraseña en texto plano dentro del túnel TLS, por lo que la integridad del túnel lo es todo en este caso. EAP-FAST es principalmente una solución de Cisco. iOS lo soporta de forma nativa; el soporte de Android es inconsistente entre los diferentes fabricantes y versiones del sistema operativo. Para la mayoría de las implementaciones móviles empresariales hoy en día, la recomendación es EAP-TLS donde se tenga cobertura de MDM, y PEAP-MSCHAPv2 donde no se tenga, aplicando una validación estricta del certificado del servidor. Ahora hablemos del lado de la infraestructura. Su servidor RADIUS es el corazón de la implementación. Microsoft NPS, FreeRADIUS, Cisco ISE y Aruba ClearPass son las opciones principales. Para implementaciones nativas de la nube, JumpCloud, Foxpass y Portnox ofrecen RADIUS-as-a-Service, lo que elimina la carga de la infraestructura local. Su servidor RADIUS debe estar configurado con el método EAP correcto, el secreto compartido para cada punto de acceso o WLC, y el almacén de usuarios, ya sea Active Directory, LDAP o una base de datos local. Para EAP-TLS, también necesita la cadena de certificados de la CA para validar los certificados de los clientes. Por el lado de la autoridad de certificación, tiene tres opciones. Una PKI interna que utilice Microsoft ADCS o una CA independiente le brinda control total y cero costo de certificados, pero requiere madurez operativa para su gestión. Un servicio de PKI en la nube (SCEPman, Smallstep o similar) se integra bien con las plataformas MDM modernas y reduce significativamente la carga operativa. Los certificados públicos de una CA comercial rara vez se utilizan para la autenticación de clientes debido al costo y la complejidad. Ahora, la configuración del dispositivo. En iOS, la ruta de implementación más limpia es Apple Configurator o una plataforma MDM como Jamf, Microsoft Intune o Mosyle. Se envía un perfil de configuración de WiFi que especifica el SSID, el método EAP, el certificado del servidor en el que se debe confiar y, para EAP-TLS, el certificado del cliente. El perfil se encarga de todo de forma silenciosa. Los usuarios se conectan sin necesidad de realizar pasos manuales. La configuración manual en iOS es posible pero frágil. Los usuarios deben ir a Ajustes, WiFi, tocar el SSID, ingresar las credenciales y luego se les presenta una solicitud de confianza del certificado. Si el certificado del servidor no proviene de una CA confiable, iOS muestra una advertencia. Los usuarios suelen tocar "Confiar" sin leerlo, lo que anula por completo el propósito de la validación del certificado. Es por esto que el aprovisionamiento mediante MDM no es opcional para implementaciones serias. En Android, el panorama está más fragmentado. Android 11 y versiones posteriores requieren que se especifique un certificado CA al conectarse a una red 802.1X; ya no se puede seleccionar "No validar" en dispositivos Android modernos sin recibir una advertencia. Este es un cambio de seguridad positivo, pero significa que debe distribuir su certificado CA a los dispositivos Android, ya sea a través de MDM (Android Enterprise con Intune o VMware Workspace ONE) o instalándolo manualmente desde el almacenamiento del dispositivo. Android también tiene particularidades específicas del fabricante. Los dispositivos Samsung con One UI tienen un manejo de certificados ligeramente diferente al de Android nativo. Algunos dispositivos Huawei más antiguos presentan problemas de compatibilidad con EAP-TLS con conjuntos de cifrado específicos. Probar en toda la población de dispositivos de destino antes del despliegue es innegociable. Para la infraestructura inalámbrica, sus puntos de acceso o WLC deben estar configurados con el SSID establecido en WPA2-Enterprise o WPA3-Enterprise, la IP del servidor RADIUS y el secreto compartido, y - de manera crítica - el registro RADIUS si desea visibilidad de la sesión por usuario. WPA3-Enterprise con modo de 192 bits es la mejor práctica actual para entornos de alta seguridad y combina muy bien con EAP-TLS. Si aún no está planeando su migración a WPA3, vale la pena leer la guía sobre cómo implementar WPA3-Enterprise para una seguridad inalámbrica mejorada junto con esta. - [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - ~2 minutos] Permítame compartirle las tres situaciones que con mayor frecuencia descarrilan los despliegues móviles de 802.1X. Primero: fallas de confianza en los certificados. Este es el generador número uno de tickets de soporte. En iOS, si el certificado del servidor RADIUS no está incluido en la lista de certificados de confianza del perfil de WiFi, los usuarios reciben un aviso de confianza al conectarse por primera vez. En Android, si el certificado CA no está instalado, las versiones modernas rechazarán la conexión o mostrarán una advertencia persistente. La solución es incluir siempre la cadena de certificados completa (CA raíz y cualquier CA intermedia) en sus perfiles de MDM. No dependa del almacén de confianza del sistema del dispositivo para su CA interna. Segundo: tiempo de espera y latencia de RADIUS. Los dispositivos móviles son impacientes. Si su servidor RADIUS tarda más de dos a tres segundos en responder, tanto iOS como Android volverán a intentarlo y eventualmente fallará la conexión. Esto es particularmente agudo en entornos de alta densidad (estadios, centros de conferencias) donde cientos de dispositivos se están autenticando simultáneamente. Asegúrese de que su infraestructura RADIUS tenga el tamaño adecuado, considere implementar servidores proxy RADIUS a nivel regional y ajuste sus parámetros de reintento y tiempo de espera en el WLC. Tercero: discordancia en el método EAP. Esto suena obvio, pero es sorprendentemente común. El método EAP configurado en el WLC debe coincidir con lo que el servidor RADIUS está anunciando, lo cual a su vez debe coincidir con lo que especifica el perfil del cliente. Una discordancia resulta en una falla de autenticación silenciosa con un diagnóstico mínimo. Valide siempre la negociación completa de EAP utilizando una captura de paquetes en el servidor RADIUS durante las pruebas iniciales. En el lado del MDM, la recomendación práctica es usar autenticación basada en certificados para dispositivos propiedad de la empresa y PEAP para escenarios de BYOD donde no se puedan distribuir certificados de cliente. Esto le brinda los beneficios de seguridad de EAP-TLS donde más importa, sin la sobrecarga de gestión de certificados para el resto de los dispositivos personales. - [PREGUNTAS Y RESPUESTAS RÁPIDAS - ~1 minuto] ¿Puedo tener 802.1X y un SSID de invitados en la misma infraestructura? Absolutamente. Utilice SSIDs separados: uno WPA2/3-Enterprise para 802.1X y otro para acceso de invitados con un Captive Portal. La segmentación por VLAN mantiene el tráfico aislado. ¿Necesito un servidor RADIUS local? Ya no. Los servicios de RADIUS en la nube son maduros y confiables. Para establecimientos con conectividad a internet inestable, todavía vale la pena considerar una instancia de RADIUS local como respaldo. ¿Qué pasa con los dispositivos IoT que no son compatibles con 802.1X? Utilice la derivación de autenticación MAC (MAB) para esos dispositivos y colóquelos en una VLAN restringida con reglas de firewall. No permita que entren en el mismo segmento que sus dispositivos autenticados por 802.1X. ¿Es 802.1X suficiente para cumplir con PCI-DSS? Es un control sólido, pero PCI-DSS requiere un enfoque por capas. El estándar 802.1X aborda el control de acceso a la red; aún necesita cifrado, monitoreo y segmentación para cumplir con todos los requisitos. - [RESUMEN Y PRÓXIMOS PASOS - ~1 minuto] Para resumir: la autenticación 802.1X en dispositivos móviles es un estándar maduro y bien soportado que ofrece una mejora de seguridad significativa en comparación con las redes de clave precompartida. La complejidad de la implementación es real pero manejable con las herramientas adecuadas; específicamente, un MDM para la distribución de perfiles y un servidor RADIUS en la nube o local que esté dimensionado correctamente. Sus próximos pasos inmediatos: audite su infraestructura inalámbrica actual para verificar la compatibilidad con WPA2-Enterprise, evalúe la cobertura de su MDM en todo el parque de dispositivos y decida su método EAP en función de si tiene capacidad de PKI. Si empieza desde cero, PEAP-MSCHAPv2 con integración de Active Directory es el camino más rápido para una implementación funcional. Si cuenta con MDM y PKI, vaya directamente a EAP-TLS. Para una lectura más profunda, la guía de implementación de WPA3-Enterprise y los recursos de Purple sobre arquitectura de WiFi empresarial son excelentes próximos pasos. Gracias por escuchar, nos vemos en la próxima sesión. - FIN DEL GUION