PSK por dispositivo por proveedor: Comparación de iPSK, DPSK, MPSK y PPSK (y soporte WPA3)

PSK por dispositivo según el fabricante: comparativa de iPSK, DPSK, MPSK y PPSK, y compatibilidad con WPA3. Un informe técnico de Purple. Introducción y contexto. Le damos la bienvenida a la serie de informes técnicos de Purple. Le guiaré a través de uno de los temas más importantes desde el punto de vista práctico - y que con frecuencia se malinterpreta - en el entorno de WiFi empresarial actual: las claves precompartidas por dispositivo. Específicamente, compararemos cómo implementa esta función cada uno de los principales fabricantes, cómo la denominan, cómo funciona realmente a nivel interno y - lo que es crítico - qué ocurre cuando intenta realizar la transición a WPA3. Si es un gerente de TI, arquitecto de redes o director de operaciones de un recinto que gestiona WiFi en un complejo hotelero, una cadena minorista, un estadio o un campus del sector público, este informe es para usted. Probablemente ya se haya topado con esta sopa de letras: iPSK, DPSK, MPSK, PPSK. Todos estos términos hacen referencia al mismo concepto - asignar a cada dispositivo o usuario su propia contraseña única en un solo SSID -, pero las implementaciones varían de forma significativa, y esas diferencias son importantes al planificar su próxima actualización de infraestructura. Comencemos con los fundamentos básicos, después analizaremos a cada fabricante y terminaremos con la cuestión de WPA3 con la que todos están lidiando en este momento. Análisis técnico detallado. ¿Qué es la PSK por dispositivo y por qué existe? El WPA2-Personal tradicional utiliza una única frase de contraseña compartida para todo un SSID. Todos los usuarios de su red de invitados utilizan la misma contraseña. Esto genera dos inconvenientes. En primer lugar, no puede revocar el acceso de un solo dispositivo sin cambiar la contraseña de todos los demás. En segundo lugar, no tiene visibilidad por dispositivo ni aplicación de políticas. La PSK por dispositivo resuelve ambos problemas. Cada dispositivo o usuario recibe una credencial única. Puede revocar una sola credencial sin afectar a las demás. Puede asignar diferentes VLAN, políticas de ancho de banda o programaciones de acceso por cada clave. Es el punto medio entre la simplicidad de WPA2-Personal y la complejidad de la autenticación completa de grado empresarial 802.1X. Ahora analicemos cómo implementa esto cada fabricante. Cisco Meraki lo denomina iPSK - Identity Pre-Shared Key. Meraki admite dos modos. Sin RADIUS, puede configurar hasta cinco PSK únicas directamente en el panel de Meraki, cada una asignada a una VLAN. Es rápido de configurar y no requiere infraestructura externa. Con RADIUS - normalmente Cisco ISE -, puede escalar a miles de claves. El cliente se asocia, el punto de acceso envía la dirección MAC y una pista de PSK al servidor RADIUS, el servidor devuelve la clave correcta por dispositivo y el protocolo de enlace de cuatro vías estándar de WPA2 se completa utilizando esa clave como la Clave Maestra por Pares (PMK). El aspecto clave aquí es que el servidor RADIUS es el que realiza la búsqueda, no el punto de acceso. El punto de acceso solo facilita el intercambio. HPE Aruba lo denomina MPSK - Multiple Pre-Shared Key. Aruba Central y Aruba Instant son compatibles con MPSK en dos modos: MPSK Local, donde las claves se almacenan en el controlador o clúster de AP, y MPSK con ClearPass, el motor de políticas y RADIUS de Aruba. ClearPass puede contener decenas de miles de claves, asignar VLANs dinámicas y aplicar políticas basadas en roles por clave. El flujo de autenticación es esencialmente el mismo que el modo RADIUS de Meraki - la búsqueda basada en MAC devuelve la clave por dispositivo antes del saludo de cuatro vías. Ruckus - ahora parte de CommScope - lo llama DPSK, Dynamic Pre-Shared Key. Esta es posiblemente la implementación más madura del mercado. Ruckus DPSK ha estado disponible desde los primeros días de SmartZone. En modo local, el servicio DPSK se ejecuta en el controlador y contiene la base de datos de claves. En modo RADIUS, se integra con Cloudpath, la propia plataforma de control de acceso a la red de Ruckus. Lo que hace notable a Ruckus es DPSK3 - su extensión WPA3 de DPSK, a la que volveremos en breve. DPSK3 está disponible en puntos de acceso WiFi 6, 6E y 7 que ejecutan firmware 7.0 o posterior, y opera en modo mixto WPA2 / WPA3. Juniper Mist lo llama PPSK - Private Pre-Shared Key - o a veces Multi-PSK. Mist almacena claves en la nube, en la base de datos de claves de la organización o sitio de Mist, con un límite de 5,000 claves por sitio. Las claves se pueden asignar por usuario, por dispositivo o por grupo. Mist también se integra con su servicio Access Assurance - el NAC nativo de la nube - que agrega búsqueda de PSK basada en RADIUS. De manera crucial, Juniper ha anunciado soporte para WPA3 RADIUS PSK a través de Access Assurance, lo que permite que un solo SSID WPA3-Personal sirva para múltiples contraseñas. Esta es una de las implementaciones más orientadas al futuro del mercado. Extreme Networks - que adquirió Aerohive - lo llama PPSK, Private Pre-Shared Key, a través de ExtremeCloud IQ. La implementación de Extreme admite el almacenamiento local de claves en el propio AP, lo cual es útil para sucursales o sitios remotos con conectividad limitada. También admite la búsqueda basada en RADIUS a través del servicio RADIUS en la nube de ExtremeCloud IQ. La vinculación de MAC está disponible, lo que asocia una PPSK a una dirección MAC de dispositivo específica para mayor seguridad. Fortinet lo llama MPSK, Multiple Pre-Shared Key, administrado a través de FortiAP y el controlador inalámbrico FortiGate. La implementación de Fortinet es destacable porque es compatible explícitamente con los modos de seguridad WPA3-SAE y la transición a WPA3-SAE en sus perfiles MPSK - a partir del firmware FortiAP 8.0. Puede crear un perfil MPSK con claves WPA3-SAE, asignarlas a una VAP y habilitar la asignación dinámica de VLAN por clave. Esta es una de las implementaciones de WPA3 MPSK más limpias disponibles hoy en día. Ubiquiti UniFi lo llama Private Pre-Shared Keys, o Private PSK. La implementación de UniFi es únicamente local - las claves se almacenan en el controlador de UniFi Network, no en un servidor RADIUS externo. Puede asignar diferentes VLANs por clave y establecer límites de clientes por clave. La limitación significativa: a partir de mediados de 2026, UniFi Private PSK solo funciona en redes WPA2 en 2.4 GHz y 5 GHz. WPA3 y 6 GHz no son compatibles. Para implementaciones más pequeñas esto está bien, pero es una restricción que vale la pena conocer antes de comprometerse con un entorno UniFi a gran escala. Ahora, la pregunta de WPA3. Aquí es donde se pone técnicamente interesante. WPA2-Personal utiliza un saludo de cuatro vías (four-way handshake). El cliente y el AP derivan una Pairwise Transient Key a partir de una Pairwise Master Key compartida, la cual a su vez se deriva de la frase de contraseña. Debido a que la derivación de la PMK ocurre después de la consulta RADIUS, el AP puede sustituir una clave por dispositivo en ese momento. Al estándar no le importa - simplemente ve una PMK válida. WPA3-Personal reemplaza el saludo de cuatro vías con SAE - Simultaneous Authentication of Equals. SAE es un protocolo basado en Diffie-Hellman. Ambas partes se comprometen a un elemento de contraseña compartido derivado de la frase de contraseña antes de que se complete la asociación. La diferencia crítica: la contraseña debe ser conocida por ambas partes antes de que comience el intercambio SAE. No hay ningún punto en el protocolo donde un servidor RADIUS pueda inyectar una clave diferente por dispositivo. El AP y el cliente ya están realizando una danza criptográfica con un único valor compartido. Esta es la razón por la cual WPA3 actualmente solo permite una clave por SSID en su formato estándar. No es una limitación de firmware. Es una restricción de protocolo. Las soluciones alternativas se dividen en tres categorías. Primero, el modo de transición WPA3 - también llamado modo mixto WPA2 barra WPA3. El SSID anuncia tanto WPA2-PSK como WPA3-SAE. Los clientes WPA2 utilizan el saludo de cuatro vías y pueden recibir claves por dispositivo a través de RADIUS. Los clientes WPA3 utilizan SAE con una sola contraseña compartida. Este es el enfoque más ampliamente implementado hoy en día y es compatible con Cisco Meraki, HPE Aruba, Ruckus y otros. Segundo, las extensiones propietarias. Ruckus DPSK3 es el ejemplo más claro. Al funcionar en modo mixto WPA2 barra WPA3 con Cloudpath como el backend de RADIUS, DPSK3 permite que los dispositivos compatibles con WPA3 utilicen SAE mientras el sistema gestiona la vinculación de claves por dispositivo a través de la integración con Cloudpath. El Access Assurance WPA3 RADIUS PSK de Juniper adopta un enfoque similar. El MPSK de Fortinet con el modo WPA3-SAE Transition le permite mezclar claves WPA2-Personal y WPA3-SAE en el mismo perfil MPSK. Tercero, pasar a 802.1X. Para puntos finales gestionados - laptops corporativas, dispositivos del personal, cualquier cosa a la que se le pueda enviar un certificado - WPA3-Enterprise con EAP-TLS es la respuesta limpia. Es totalmente compatible con WPA3 y 6 GHz, proporciona identidad por dispositivo y se integra con Microsoft Entra ID, Okta y Google Workspace. La contrapartida es la complejidad de la implementación y la necesidad de una infraestructura de certificados. Recomendaciones de Implementación y Errores Comunes. Entonces, ¿qué debería hacer realmente? Si administra un complejo hotelero con una combinación de dispositivos de huéspedes, sensores IoT y dispositivos del personal, la respuesta pragmática en 2026 es un diseño de SSID híbrido. Mantenga un SSID WPA2-Personal con PSK por dispositivo para los dispositivos IoT y de huéspedes heredados. Ejecute un SSID WPA3-Enterprise para los dispositivos del personal que usted controle. Utilice el modo de transición en su SSID de huéspedes principal para admitir clientes WPA2 y WPA3 sin fragmentar su recuento de SSID. Si utiliza Ruckus y cuenta con hardware WiFi 6 o más reciente, vale la pena evaluar DPSK3 en modo mixto WPA2 / WPA3 con Cloudpath. Le ofrece lo más cercano al PSK por dispositivo nativo de WPA3 disponible hoy en día. Si utiliza Fortinet, el perfil MPSK con transición WPA3-SAE es sencillo de configurar y le brinda una ruta de migración limpia. Si utiliza UniFi, sea explícito con sus partes interesadas de que el PSK privado es exclusivo de WPA2. Para los establecimientos que implementan WiFi 6E o WiFi 7 con radios de 6 GHz, necesitará una estrategia de autenticación diferente para esa banda. El mayor error que vemos es que los equipos asumen que habilitar WPA3 en un SSID con PSK por dispositivo existente funcionará sin más. No será así. Realice pruebas en un sitio piloto primero. Verifique las versiones de firmware de sus AP - por ejemplo, DPSK3 requiere la versión de firmware 7.0 o posterior en Ruckus. Y verifique la compatibilidad de su servidor RADIUS - Ruckus DPSK3 en modo mixto requiere específicamente Cloudpath, no un servidor RADIUS genérico. Un segundo error es la proliferación descontrolada de claves. El PSK por dispositivo es excelente para la rendición de cuentas, pero solo si cuenta con un proceso para revocar las claves cuando los dispositivos se retiran de servicio. Sin una gestión del ciclo de vida, terminará con miles de claves huérfanas y sin un registro de auditoría. Integre el aprovisionamiento de sus claves con su flujo de trabajo de gestión de dispositivos desde el primer día. Preguntas y respuestas rápidas. ¿Puedo usar PSK por dispositivo en un SSID de 6 GHz? No. La banda de 6 GHz exige de forma obligatoria el uso exclusivo de WPA3, y WPA3 no admite de forma nativa el PSK por dispositivo. Utilice 802.1X o un SSID independiente de 2.4 / 5 GHz para los dispositivos que requieran PSK por dispositivo. ¿El PSK por dispositivo cumple con los requisitos de PCI-DSS? El PSK por dispositivo en WPA2 puede cumplir con los requisitos de segmentación de red de PCI-DSS 4.0 si cada clave se asigna a una VLAN aislada. Sin embargo, PCI-DSS recomienda encarecidamente 802.1X para entornos de datos de titulares de tarjetas. Verifique con su QSA. ¿Cuál es el número máximo de claves por SSID? Varía significativamente. Cisco Meraki con ISE admite implementaciones muy grandes. Ruckus DPSK admite decenas de miles de claves. Juniper Mist tiene un límite de 5,000 por sitio. UniFi está limitado efectivamente por la memoria del controlador. Siempre consulte la documentación del proveedor para su versión específica de firmware. ¿Cómo encaja Purple en esto? Purple se sitúa como una capa en la nube sobre su hardware existente. Nos integramos con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks y Fortinet. Para implementaciones de WiFi para invitados y WiFi para el personal, Purple gestiona la capa de identidad - autenticación, captura de datos, gestión de consentimiento - y devuelve la VLAN correspondiente o la asignación de políticas a su hardware a través de RADIUS o API. Usted conserva su infraestructura de PSK por dispositivo existente; Purple añade la capa de identidad y analítica en la parte superior. Resumen y próximos pasos. Recapitulemos. La PSK por dispositivo - ya sea que la llame iPSK, DPSK, MPSK o PPSK - es una capacidad madura y bien respaldada por todos los principales proveedores de WiFi empresarial. Las implementaciones difieren en dónde se almacenan las claves, cómo escalan y cómo se integran con RADIUS. El protocolo SAE de WPA3 crea una limitación técnica real para la PSK por dispositivo. El estándar no la admite de forma nativa. Las respuestas prácticas de hoy son el modo de transición, las extensiones propietarias como DPSK3 o la migración a 802.1X para los dispositivos que lo admiten. El resumen por proveedor: Cisco Meraki iPSK funciona bien con ISE en modo RADIUS; el soporte de WPA3 es a través del modo de transición. HPE Aruba MPSK con ClearPass es altamente escalable; WPA3 MPSK está en desarrollo activo. Ruckus DPSK3 es la solución de PSK por dispositivo WPA3 más madura disponible. Juniper Mist Access Assurance añade PSK de RADIUS WPA3. Fortinet MPSK es compatible explícitamente con WPA3-SAE en sus perfiles MPSK. Extreme PPSK es sólida para los modos local y RADIUS. UniFi Private PSK es solo para WPA2 y solo local. Para sus próximos pasos: audite su implementación actual de PSK por dispositivo, identifique qué dispositivos son compatibles con WPA3 y diseñe una estrategia de SSID híbrida que sirva para ambos. Si está planeando una actualización de hardware, priorice los puntos de acceso WiFi 6 o WiFi 7 con soporte confirmado para DPSK3 o WPA3 MPSK. Si desea comprender cómo se integra Purple con su proveedor de hardware específico para añadir gestión de identidad y analítica sobre su implementación de PSK por dispositivo, visite purple.ai o hable con su equipo de cuenta. Eso es todo por esta sesión informativa. Gracias por escuchar.