WPA-PSK explicado: qué es, cómo funciona y sus riesgos de seguridad

Bienvenido al boletín de redes empresariales de Purple. Hoy profundizaremos en un protocolo que probablemente se esté ejecutando en algún lugar de su entorno en este momento, tal vez donde no debería: WPA-PSK. Analizaremos qué es, exactamente cómo funciona internamente y, lo más importante, por qué confiar en él en un entorno empresarial representa un riesgo operativo y de seguridad significativo. Comencemos con lo básico. WPA-PSK, o WiFi Protected Access Pre-Shared Key. Es la contraseña que todos usamos en casa. Pero en un contexto empresarial - por ejemplo, una cadena de tiendas de retail, un gran hotel o un centro de convenciones - ¿por qué sigue siendo tan frecuente este estándar de nivel residencial? Todo se reduce a una percepción de simplicidad. Cuando un establecimiento necesita conectar dispositivos rápidamente - ya sean terminales de punto de venta, escáneres portátiles o incluso dispositivos de invitados - ingresar una sola contraseña parece el camino con menor resistencia. No necesita implementar un servidor RADIUS, ni requiere un proveedor de identidad. Simplemente configura el punto de acceso, entrega la contraseña y listo. Pero esa simplicidad es una trampa. Es una enorme deuda operativa disfrazada de solución rápida. Pasemos a lo técnico. ¿Cómo asegura realmente la conexión WPA-PSK? Existe la idea errónea de que la contraseña en sí cifra el tráfico. No es así. La contraseña - la PSK - no es la clave de cifrado. Es el material de origen. Cuando configura una PSK, el punto de acceso y el dispositivo cliente utilizan esa contraseña, junto con el SSID de la red, para calcular lo que se denomina una clave maestra por pares, o PMK. Esto se realiza mediante un algoritmo de hash llamado PBKDF2, que ejecuta el cálculo cuatro mil noventa y seis veces. Esta intensidad computacional se diseñó para ralentizar los ataques de fuerza bruta. Pero la PMK todavía no se utiliza para el cifrado de datos. Entonces, ¿cómo llegamos al cifrado real? A través del protocolo de enlace de 4 vías (4-Way Handshake). Este es el mecanismo crítico. El cliente y el punto de acceso deben demostrarse mutuamente que ambos conocen la PMK, pero no pueden transmitirla por el aire - eso sería una falla de seguridad masiva. Por lo tanto, intercambian nonces criptográficos - básicamente números aleatorios. El punto de acceso envía un nonce, llamado ANonce. El cliente devuelve otro nonce - el SNonce - junto con un código de integridad de mensaje, o MIC. Utilizando estos nonces, ambas partes calculan de forma independiente la clave transitoria por pares, o PTK. Esa PTK es la que realmente cifra los datos de su sesión. Luego, el punto de acceso envía la clave temporal de grupo - utilizada para el tráfico de difusión - cifrada bajo la PTK, y el cliente confirma la recepción. Comienza la comunicación cifrada. Ahora bien, las matemáticas aquí son sólidas. El cifrado AES utilizado en WPA moderno es robusto. Entonces, ¿dónde se quiebra el modelo de seguridad para una empresa? El fallo no es el cifrado. Es la gestión de claves y la naturaleza del saludo de conexión. En primer lugar, ese saludo de 4 vías ocurre en texto plano. Si soy un atacante sentado en el lobby de tu hotel con un sniffer de paquetes, puedo capturar ese saludo. Ni siquiera necesito estar conectado a tu red. Una vez que tengo el saludo, lo llevo fuera de línea. Utilizo un equipo con una GPU potente para ejecutar un ataque de diccionario, adivinando contraseñas rápidamente, generando la PMK y comprobando si produce el mismo Código de Integridad del Mensaje que capturé. Como muchos establecimientos utilizan contraseñas débiles - como el nombre del lugar y el año - puedo descifrarla en minutos. ¿Y qué pasa con los ataques de desautenticación? Si no se están conectando nuevos dispositivos, el atacante no puede capturar un saludo. Por lo tanto, falsifican una trama de desautenticación, indicándole a un cliente legítimo que se desconecte. El cliente se vuelve a conectar inmediatamente, realiza el saludo de 4 vías y el atacante lo captura. Es un ataque ruidoso, pero altamente efectivo si no lo estás monitoreando con un Sistema de Detección de Intrusos Inalámbricos. Ahora pasemos de los riesgos criptográficos a las realidades operativas. Porque WPA2-PSK crea dos problemas adicionales que son igual de perjudiciales que el riesgo de seguridad. Primero: el vacío de identidad. WPA2-PSK autentica al dispositivo, no al usuario. Te dice que un dispositivo con una dirección MAC específica conoce la contraseña. No te dice si ese dispositivo pertenece al gerente de tu tienda, a un invitado o a un atacante. Sin identidad, no tienes un registro de auditoría. Si estás sujeto a PCI-DSS para el comercio minorista, o a GDPR para cualquier operación orientada a la UE, esa falta de rendición de cuentas es un fallo grave de cumplimiento. No puedes demostrar quién accedió a qué, cuándo y desde dónde. Segundo: la pesadilla de la revocación. Si un gerente se va y conoce la PSK de tu red corporativa, tienes que cambiarla. Pero cambiar la PSK significa que ahora tienes que actualizar manualmente cada uno de los dispositivos legítimos en esa ubicación - cada escáner, cada tableta, cada terminal de punto de venta. En una cadena de retail con quinientas tiendas, eso representa potencialmente decenas de miles de dispositivos. Es operativamente inviable, así que ¿qué suele pasar? La contraseña nunca se cambia. La postura de seguridad simplemente se degrada con el tiempo. Entonces, ¿cuál es la solución? ¿Cómo se alejan las empresas de esto? Tienes que segmentar tu enfoque según el tipo de usuario. Para los activos corporativos - laptops del personal, terminales seguras, dispositivos gestionados - debes migrar a WPA-Enterprise o 802.1X. Esto requiere que los usuarios o dispositivos se autentiquen individualmente contra un directorio central, como Active Directory, utilizando un servidor RADIUS y un método EAP como EAP-TLS o PEAP. Si se roba una laptop o un empleado se va, revocas su certificado o cuenta específica. El resto de la red permanece completamente intacto. No hay ninguna contraseña que cambiar. Para guest WiFi - obviamente, no vamos a poner a los huéspedes de un hotel en 802.1X - entregar una PSK en un pizarrón es una oportunidad perdida. Usted pasa a una red Open, pero asegura la capa de acceso mediante un Captive Portal. El usuario se conecta, se le redirige a un portal y se autentica mediante inicio de sesión social, correo electrónico o SMS. Ahora sabe exactamente quién está en su red. Tiene un registro de auditoría, puede aplicar límites de ancho de banda por usuario y, lo que es más importante, transforma ese WiFi de un centro de costos en un activo de marketing. Captura datos de primera mano, comprende las analíticas del lugar, los tiempos de permanencia y las tasas de retorno. Nada de eso es posible con una PSK compartida. ¿Y qué pasa con los dispositivos IoT heredados? A veces se tiene un sensor de HVAC antiguo o una terminal de pago heredada que solo admite PSK. Esa es una realidad a la que todos nos enfrentamos. Si debe utilizar PSK, la contención es su estrategia. Coloque esos dispositivos en una VLAN dedicada y fuertemente restringida. Implemente un aislamiento estricto de clientes para que no puedan comunicarse entre sí y bloquéelos con un firewall de la subred corporativa. Trate a esa red PSK como territorio hostil, porque desde el punto de vista de la seguridad, lo es. Hablemos de las prioridades de implementación. Si está planeando una migración este trimestre, aquí tiene la secuencia recomendada. Primero, audite su red actual. Identifique cada SSID, cada método de autenticación y cada tipo de dispositivo. Segundo, segmente sus SSIDs por tipo de usuario: personal corporativo, invitados y IoT. Tercero, implemente 802.1X para dispositivos corporativos. Si cuenta con una infraestructura de puntos de acceso administrada en la nube, la mayoría de los proveedores modernos admiten la integración con RADIUS de forma nativa. Cuarto, implemente un Captive Portal para el acceso de invitados. Quinto, aísle cualquier dispositivo PSK restante en una VLAN dedicada. Desde la perspectiva del cumplimiento, esta arquitectura aborda directamente el requisito 1.3 de PCI DSS sobre segmentación de red, el requisito 8.2 sobre identificación única de usuarios y el Artículo 32 del GDPR sobre medidas técnicas de seguridad adecuadas para el procesamiento de datos personales. Ahora, un resumen rápido de los puntos clave. Primero: PSK autentica el dispositivo; Enterprise autentica al usuario. Si necesita un registro de auditoría, PSK es la herramienta incorrecta. Punto final. Segundo: El saludo de 4 vías es público. Si su contraseña es débil, su red está comprometida, independientemente del algoritmo de cifrado. Una frase de contraseña compleja y generada aleatoriamente es el estándar mínimo. Tercero: Deje de regalar el guest WiFi con una contraseña compartida. Utilice un Captive Portal para asegurar el acceso y capturar los datos analíticos que su negocio necesita. El retorno de la inversión es inmediato. Cuarto: Los dispositivos PSK heredados deben aislarse. Trate cualquier segmento de red PSK como no confiable. El aislamiento de VLAN y el aislamiento de clientes son no negociables. Cinco: WPA3 introduce la Autenticación Simultánea de Iguales, que proporciona protección contra ataques de diccionario fuera de línea incluso en modo PSK. Si su hardware es compatible con WPA3, actívelo. Pero esto no resuelve los problemas de identidad o revocación; estos requieren 802.1X o un captive portal. En resumen: WPA-PSK se diseñó para una era diferente y una escala diferente. Para cualquier entorno empresarial - ya sea que opere una cadena de hoteles, un sector de retail, un estadio o una instalación del sector público - la combinación de WPA-Enterprise para dispositivos corporativos y un captive portal administrado para invitados es la única arquitectura que ofrece tanto seguridad como inteligencia de negocios. El siguiente paso es una auditoría de red. Mapée cada dispositivo, cada SSID y cada método de autenticación en su propiedad. Los hallazgos casi seguro revelarán implementaciones de PSK que deben abordarse con urgencia. Gracias por escuchar el Purple Enterprise Networking Briefing. Para obtener más guías técnicas, marcos de implementación y casos de estudio, visite purple.ai.