WPA2 Enterprise: La guía completa

Bienvenido al resumen técnico de Purple. Soy su anfitrión, y hoy abordaremos una transición de infraestructura crítica a la que se enfrenta casi toda empresa en crecimiento: pasar de WPA2-Personal a WPA2-Enterprise. Si usted es director de TI, arquitecto de redes o gestiona las operaciones de un gran recinto - ya sea una cadena minorista, un hotel o un estadio - conoce el dolor de cabeza que representa tener una contraseña de WiFi compartida. Está escrita en pizarrones. Se comparte con contratistas. Y cuando un empleado se va, cambiarla en cientos de dispositivos es una pesadilla operativa. Más importante aún, desde el punto de vista del cumplimiento, una clave compartida significa cero rendición de cuentas. No se puede pasar una auditoría estricta de PCI-DSS o ISO 27001 si no se puede demostrar exactamente quién estaba en la red en un momento dado. Ahí es donde entra WPA2-Enterprise. Cambia fundamentalmente el paradigma. En lugar de autenticar la ubicación con una clave compartida, se autentica la identidad individual. Cada usuario, cada dispositivo, obtiene su propia credencial. Y cuando alguien se va, se deshabilita su cuenta - y queda fuera de la red al instante. Sin rotación de contraseñas. Sin tickets de soporte técnico. Sin riesgos. Comencemos con un poco de contexto. WPA2 - Wi-Fi Protected Access 2 - ha sido el estándar de seguridad inalámbrica dominante desde 2004. Viene en dos modalidades. WPA2-Personal, también llamado PSK o Pre-Shared Key, es el que utiliza la mayoría de los hogares y oficinas pequeñas. Una contraseña, compartida por todos. WPA2-Enterprise es la versión diseñada para organizaciones. Utiliza el estándar IEEE 802.1X para autenticar a cada usuario o dispositivo de forma individual a través de un servidor de autenticación central. Ahora, profundicemos en la arquitectura técnica, porque entender esto es fundamental para implementarlo correctamente. WPA2-Enterprise se basa en tres componentes que funcionan en conjunto. Primero, el Supplicant - que es el dispositivo cliente. La laptop, el teléfono inteligente, el sensor de IoT. Es la entidad que solicita acceso a la red. Segundo, el Authenticator - que es su punto de acceso inalámbrico o, en un contexto cableado, un switch administrado. Se ubica en el borde de la red y hace cumplir la política. Bloquea todo el tráfico excepto las solicitudes de autenticación hasta que el servidor central da luz verde. Tercero, el Authentication Server - típicamente un servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. Es el cerebro de la operación. Recibe la solicitud de autenticación desde el punto de acceso, valida las credenciales frente a un almacén de identidades como Active Directory o un directorio LDAP, y devuelve una respuesta de Access-Accept o Access-Reject. Este es el punto clave: el punto de acceso nunca ve su contraseña. Simplemente retransmite el intercambio de autenticación cifrado entre el cliente y el servidor RADIUS. Esta separación de funciones es lo que hace que la arquitectura sea tanto escalable como auditable. Ahora, dentro de este marco, el intercambio real de credenciales se maneja mediante EAP (el Protocolo de Autenticación Extensible). Y el método EAP que elija define tanto su postura de seguridad como la complejidad de su implementación. Hay dos métodos que encontrará con mayor frecuencia en las implementaciones empresariales. El primero es PEAP, o EAP Protegido. Este es el método más implementado. Así es como funciona: el servidor RADIUS presenta un certificado digital al dispositivo cliente. El cliente valida ese certificado (básicamente confirmando que se está comunicando con la red real y no con un suplantador). Una vez que se establece esa confianza, se crea un túnel TLS seguro. Dentro de ese túnel, el usuario se autentica con su usuario y contraseña estándar - por lo general, sus credenciales de Active Directory. PEAP es popular porque es relativamente sencillo de implementar. Los usuarios ya conocen sus contraseñas. No es necesario distribuir certificados a los dispositivos cliente. Sin embargo, tiene una debilidad: si un usuario es descuidado y acepta un certificado de servidor fraudulento, podría estar conectándose a un punto de acceso no autorizado (lo que llamamos un ataque Evil Twin) y sus credenciales podrían ser recolectadas. El segundo método es EAP-TLS, y este es el estándar de oro para entornos de alta seguridad. EAP-TLS requiere autenticación de certificado mutua. Tanto el servidor como el dispositivo cliente deben presentar certificados válidos. No hay contraseñas en tránsito en absoluto. Al no haber contraseña que robar, los ataques de phishing quedan completamente neutralizados. La desventaja es la complejidad de la implementación. Se necesita una Infraestructura de Clave Pública (una PKI) para emitir y administrar certificados de cliente. Y se necesita una plataforma de gestión de dispositivos móviles para enviar esos certificados de forma silenciosa a los dispositivos. Si depende de que los usuarios instalen los certificados manualmente, su equipo de soporte se verá abrumado. Pero para entornos donde la seguridad es primordial - servicios financieros, gobierno, sector salud - EAP-TLS es la única opción defendible. Entonces, ¿cómo se implementa esto realmente? Permítame guiarlo a través de las fases clave. La fase uno es la preparación de la infraestructura. Su servidor RADIUS es ahora una dependencia de ruta crítica. Si se cae, nadie se conecta a la WiFi. Esta no es una redundancia opcional - es esencial. Para entornos distribuidos como cadenas de tiendas o grupos hoteleros, considere los servicios RADIUS alojados en la nube. Ofrecen redundancia integrada y eliminan la necesidad de administrar servidores locales en cada sitio. Asegúrese de que su servidor RADIUS esté integrado con su proveedor de identidad central. Para la mayoría de las organizaciones, eso es Azure Active Directory o Active Directory local a través de LDAP. La fase dos es la gestión de certificados, si va a optar por EAP-TLS. Automatice todo. Utilice su plataforma de MDM (Intune, Jamf, la que tenga) para insertar certificados de forma silenciosa en los dispositivos propiedad de la empresa. Para situaciones de BYOD, considere un portal de incorporación. Los productos como SecureW2 o Foxpass pueden automatizar la instalación del perfil de configuración para dispositivos personales, lo que reduce drásticamente el volumen de solicitudes al equipo de soporte técnico. La fase tres es la implementación en sí. No realice un cambio repentino. No me cansaré de insistir en esto. No apague la red PSK un lunes por la mañana esperando que todo funcione. Comience con un grupo piloto; el equipo de TI es la opción obvia. Luego expándase a un solo piso, un solo departamento o un solo sitio. Supervise sus registros de RADIUS de forma obsesiva durante esta fase. Los tiempos de espera de autenticación generalmente indican un problema de enrutamiento de red entre sus puntos de acceso y el servidor RADIUS. Los errores de confianza de certificados significan que su certificado raíz de CA no se ha implementado correctamente en los endpoints. Ahora permítame hablar sobre una de las funciones más potentes (y subutilizadas) de WPA2-Enterprise: la asignación dinámica de VLAN (Dynamic VLAN Assignment). En un entorno PSK, normalmente se transmiten múltiples SSIDs para separar a los diferentes grupos de usuarios. El personal en un SSID, las terminales de punto de venta en otro y los dispositivos IoT en un tercero. Cada SSID adicional añade sobrecarga a su entorno de radiofrecuencia. En una tienda minorista concurrida o en un estadio, esta contaminación de RF realmente puede degradar el rendimiento. Con WPA2-Enterprise y la asignación dinámica de VLAN, puede transmitir un solo SSID y dejar que el servidor RADIUS decida en qué segmento de red cae cada dispositivo. Cuando un cajero se autentica, el servidor RADIUS devuelve atributos que indican al punto de acceso que coloque esa sesión en la VLAN 10, el segmento que cumple con PCI-DSS. Cuando el gerente de una tienda se autentica, ingresa a la VLAN 20, el segmento corporativo. El mismo SSID, diferente red, todo controlado por la identidad. Es elegante, es escalable y representa una simplificación operativa significativa. Específicamente para los operadores de recintos (hoteles, centros de conferencias, estadios), existe una consideración adicional: la red de invitados. WPA2-Enterprise es cada vez más relevante para el acceso gestionado de invitados, no solo para las redes del personal. Plataformas como Purple proporcionan gestión de identidad para un acceso seguro a WiFi. Bajo la licencia de Purple Connect, Purple actúa como un proveedor de identidad gratuito y es compatible con OpenRoaming, un estándar que permite a los usuarios desplazarse de forma segura y sin interrupciones entre las redes participantes sin tener que volver a autenticarse. Esto es especialmente potente para los visitantes frecuentes, como los delegados de conferencias o los miembros de programas de fidelización. Permítame ahora cubrir los modos de falla más comunes, porque saber qué es lo que sale mal es la mitad de la batalla. El primero es la advertencia de certificado de servidor no confiable. Si los clientes ven un aviso que indica que el certificado del servidor no se puede verificar, significa que el certificado de su servidor RADIUS está vencido, está autofirmado sin que la CA raíz esté desplegada en los clientes, o fue emitido por una CA en la que el dispositivo no confía. La solución: use un certificado de una CA pública que ya se encuentre en el almacén de raíces confiables del dispositivo, o asegúrese de que la raíz de su CA interna se despliegue a través de directivas de grupo o MDM. El segundo son los tiempos de espera de RADIUS. Esto se manifiesta cuando los clientes se quedan congelados en la pantalla de autenticación antes de fallar finalmente. La causa casi siempre es un problema en la ruta de red: el punto de acceso no puede comunicarse con el servidor RADIUS, o un firewall está bloqueando la respuesta. Verifique sus reglas de firewall para los puertos UDP 1812 y 1813, que son los puertos estándar de autenticación y contabilidad de RADIUS. El tercero es el problema de IoT. Muchos dispositivos heredados - impresoras, controladores de HVAC, lectores de control de acceso - simplemente no son compatibles con 802.1X. Necesitará mantener una estrategia independiente para estos. Las opciones incluyen la omisión de autenticación MAC, donde el dispositivo se autentica usando su dirección MAC en lugar de credenciales, o Multi-PSK, donde cada dispositivo recibe una clave precompartida única. Ninguna es tan segura como 802.1X, pero son soluciones pragmáticas para hardware heredado. Ahora, hablemos del impacto empresarial y el ROI, porque esto no es solo un proyecto de seguridad - es un proyecto de eficiencia operativa. El ROI más inmediato proviene de eliminar la rotación de contraseñas. Cada vez que se cambia una contraseña de WiFi compartida, el departamento de TI debe actualizar cada dispositivo en la red. En una cadena minorista de 50 ubicaciones, eso representa potencialmente miles de actualizaciones de dispositivos. Con WPA2-Enterprise, desaprovisionar a un empleado es una sola acción en Active Directory. El segundo motor del ROI es el cumplimiento. Para cualquier organización sujeta a PCI-DSS - lo que significa cualquiera que procese pagos con tarjeta - la capacidad de demostrar registros de acceso a la red por usuario es una ventaja de auditoría significativa. Lo mismo se aplica a GDPR, donde demostrar el acceso controlado a los sistemas que procesan datos personales es cada vez más supervisado. El tercero es la inteligencia de red. La autenticación por usuario alimenta de datos valiosos a su plataforma de gestión de red. Puede ver exactamente qué dispositivos están en la red, cuándo se conectaron, cuánto ancho de banda consumieron y desde qué ubicación. Estos datos son invaluables para la planificación de capacidad y para detectar comportamientos anómalos. Permítame cerrar con una sección rápida de preguntas y respuestas sobre las dudas que escucho con más frecuencia. ¿Podemos ejecutar WPA2-Enterprise junto con nuestra red PSK existente? Absolutamente, y debería hacerlo durante la transición. Ejecútelas en paralelo, migre a los usuarios por lotes y retire la red PSK una vez completada la migración. ¿Necesitamos reemplazar nuestros puntos de acceso? No necesariamente. La mayoría de los puntos de acceso de nivel empresarial de proveedores como Cisco, Aruba, Ruckus y Ubiquiti son compatibles con 802.1X. Verifique su versión de firmware y asegúrese de que esté actualizada. ¿Qué pasa con WPA3-Enterprise? ¿Deberíamos esperar? WPA3-Enterprise añade requisitos criptográficos más sólidos, incluido el modo de seguridad de 192 bits para entornos de alta seguridad. Si está implementando una nueva infraestructura hoy, elija hardware que admita WPA3. Pero no deje que lo perfecto sea enemigo de lo bueno - WPA2-Enterprise es una mejora de seguridad enorme en comparación con PSK y es la decisión correcta ahora. ¿Cuánto tiempo toma una implementación típica? Para una organización con una sola sede y un Active Directory existente, una implementación básica de PEAP se puede completar en unos pocos días. Una implementación de EAP-TLS multisitio con integración de MDM normalmente toma de cuatro a ocho semanas, incluida la fase piloto. Para resumir los puntos clave de la sesión de hoy. Primero: WPA2-Enterprise autentica identidades individuales, no ubicaciones compartidas. Este es el cambio fundamental. Segundo: elija PEAP para entornos BYOD y basados en credenciales; elija EAP-TLS para entornos de alta seguridad y dispositivos administrados. Tercero: su servidor RADIUS es una infraestructura crítica - incorpore redundancia desde el primer día. Cuarto: use la asignación dinámica de VLAN para simplificar su entorno de RF mientras mantiene una segmentación de red estricta. Quinto: planifique los dispositivos IoT por separado - no admitirán 802.1X. Sexto: nunca realice una transición inmediata. Realice su implementación por fases y supervise de cerca los registros de RADIUS. Para obtener la guía de implementación completa, los diagramas de arquitectura y los ejemplos prácticos, consulte la guía escrita completa en el sitio web de Purple. Gracias por escuchar y buena suerte con su implementación.