WPA2 Enterprise: La guía completa

Bienvenido al Technical Briefing de Purple. Soy su anfitrión y hoy abordaremos una transición de infraestructura crítica que casi todas las empresas en crecimiento enfrentan: la migración de WPA2-Personal a WPA2-Enterprise. Si usted es director de TI, arquitecto de redes o gestiona operaciones para un recinto de gran tamaño —ya sea una cadena de retail, un hotel o un estadio—, conoce el dolor de cabeza que representa una contraseña de WiFi compartida. Está escrita en pizarrones. Se comparte con contratistas. Y cuando un empleado se va, cambiarla en cientos de dispositivos es una pesadilla operativa. Lo que es más importante, desde la perspectiva del cumplimiento, una clave compartida significa cero rendición de cuentas. No se puede aprobar una auditoría estricta de PCI DSS o ISO 27001 si no se puede demostrar exactamente quién estaba en la red en un momento dado. Ahí es donde entra WPA2-Enterprise. Cambia fundamentalmente el paradigma. En lugar de autenticar la ubicación con una clave compartida, se autentica la identidad individual. Cada usuario, cada dispositivo, obtiene su propia credencial. Y cuando alguien se va, se deshabilita su cuenta y queda fuera de la red al instante. Sin rotación de contraseñas. Sin tickets de soporte técnico. Sin riesgos. Comencemos con algo de contexto. WPA2 —Wi-Fi Protected Access 2— ha sido el estándar de seguridad inalámbrica dominante desde 2004. Viene en dos variantes. WPA2-Personal, también llamado PSK o Pre-Shared Key, es lo que utiliza la mayoría de los hogares y oficinas pequeñas. Una sola contraseña, compartida por todos. WPA2-Enterprise es la versión diseñada para organizaciones. Utiliza el estándar IEEE 802.1X para autenticar a cada usuario o dispositivo de forma individual a través de un servidor de autenticación centralizado. Ahora, profundicemos en la arquitectura técnica, ya que comprender esto es fundamental para implementarla correctamente. WPA2-Enterprise se basa en tres componentes que funcionan en conjunto. Primero, el Supplicant (Suplicante): ese es el dispositivo cliente. La laptop, el smartphone, el sensor de IoT. Es la entidad que solicita acceso a la red. Segundo, el Authenticator (Autenticador): ese es su punto de acceso inalámbrico o, en un contexto cableado, un switch administrado. Se ubica en el límite de la red y aplica la política. Bloquea todo el tráfico, excepto las solicitudes de autenticación, hasta que el servidor central da luz verde. Tercero, el Authentication Server (Servidor de Autenticación): que suele ser un servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. Es el cerebro de la operación. Recibe la solicitud de autenticación del punto de acceso, valida las credenciales frente a un almacén de identidades como Active Directory o un directorio LDAP, y devuelve una respuesta Access-Accept o Access-Reject. Este es el punto clave: el punto de acceso nunca ve su contraseña. Simplemente transmite el intercambio de autenticación cifrado entre el cliente y el servidor RADIUS. Esta separación de funciones es lo que hace que la arquitectura sea tanto escalable como auditable. Ahora bien, dentro de este marco, el intercambio real de credenciales se gestiona mediante EAP (Protocolo de Autenticación Extensible). El método EAP que elija definirá tanto su postura de seguridad como la complejidad de su implementación. Existen dos métodos que encontrará con mayor frecuencia en implementaciones empresariales. El primero es PEAP, o EAP Protegido. Este es el método más utilizado. Así es como funciona: el servidor RADIUS presenta un certificado digital al dispositivo cliente. El cliente valida ese certificado, confirmando esencialmente que se está comunicando con la red real y no con un imitador. Una vez establecida esa confianza, se crea un túnel TLS seguro. Dentro de ese túnel, el usuario se autentica con su nombre de usuario y contraseña estándar, que normalmente son sus credenciales de Active Directory. PEAP es popular porque su implementación es relativamente sencilla. Los usuarios ya conocen sus contraseñas y no es necesario distribuir certificados a los dispositivos clientes. Sin embargo, tiene una debilidad: si un usuario es descuidado y acepta un certificado de servidor fraudulento, podría estar conectándose a un punto de acceso no autorizado (lo que llamamos un ataque de gemelo malvado o Evil Twin) y sus credenciales podrían ser comprometidas. El segundo método es EAP-TLS, que representa el estándar de oro para entornos de alta seguridad. EAP-TLS requiere autenticación mutua mediante certificados; tanto el servidor como el dispositivo cliente deben presentar certificados válidos. No se transmiten contraseñas en absoluto. Al no haber contraseñas que robar, los ataques de phishing quedan completamente neutralizados. La desventaja es la complejidad de la implementación. Necesita una Infraestructura de Clave Pública (PKI) para emitir y gestionar los certificados de los clientes, así como una plataforma de Mobile Device Management para distribuir silenciosamente esos certificados a los dispositivos. Si depende de que los usuarios instalen los certificados manualmente, su soporte técnico se verá saturado. Sin embargo, para entornos donde la seguridad es primordial (como servicios financieros, gobierno y sector salud), EAP-TLS es la única opción viable. Entonces, ¿cómo se implementa esto en la práctica? Permítame guiarle a través de las fases clave. La fase uno es la preparación de la infraestructura. Su servidor RADIUS es ahora una dependencia de ruta crítica. Si se cae, nadie podrá acceder a la WiFi. No se trata de una redundancia opcional: es esencial. Para entornos distribuidos, como cadenas de tiendas o grupos hoteleros, considere los servicios RADIUS alojados en la nube. Ofrecen redundancia integrada y eliminan la necesidad de gestionar servidores locales en cada sitio. Asegúrese de que su servidor RADIUS esté integrado con su proveedor de identidad central. Para la mayoría de las organizaciones, este es Azure Active Directory o un Active Directory local a través de LDAP. La fase dos es la gestión de certificados, si vas a utilizar EAP-TLS. Automatiza todo. Utiliza tu plataforma de MDM (Intune, Jamf, lo que tengas) para enviar certificados de forma silenciosa a los dispositivos propiedad de la empresa. Para escenarios de BYOD, considera un portal de incorporación. Productos como SecureW2 o Foxpass pueden automatizar la instalación del perfil de configuración para dispositivos personales, reduciendo drásticamente el volumen de soporte técnico. La fase tres es la implementación en sí. No hagas una transición abrupta. No puedo enfatizar esto lo suficiente. No apagues la red PSK un lunes por la mañana esperando que todo funcione. Comienza con un grupo piloto; el equipo de TI es la opción obvia. Luego, expándelo a un solo piso, un solo departamento, un solo sitio. Monitorea obsesivamente tus registros de RADIUS durante esta fase. Los tiempos de espera de autenticación generalmente indican un problema de enrutamiento de red entre tus Access Points y el servidor RADIUS. Los errores de confianza de certificados significan que tu certificado raíz de CA no se ha implementado correctamente en los endpoints. Ahora permíteme hablar sobre una de las funciones más potentes y subutilizadas de WPA2-Enterprise: la asignación dinámica de VLAN. En un entorno PSK, normalmente transmites múltiples SSIDs para separar a los diferentes grupos de usuarios. El personal en un SSID, las terminales de punto de venta en otro, los dispositivos IoT en un tercero. Cada SSID adicional añade sobrecarga a tu entorno de radiofrecuencia. En una tienda minorista concurrida o en un estadio, esta contaminación de RF puede degradar genuinamente el rendimiento. Con WPA2-Enterprise y la asignación dinámica de VLAN, puedes transmitir un solo SSID y dejar que el servidor RADIUS decida en qué segmento de red se ubica cada dispositivo. Cuando un cajero se autentica, el servidor RADIUS devuelve atributos que le indican al Access Point que coloque esa sesión en la VLAN 10 (el segmento que cumple con PCI). Cuando el gerente de una tienda se autentica, accede a la VLAN 20 (el segmento corporativo). Mismo SSID, diferente red, todo controlado por la identidad. Es elegante, es escalable y representa una simplificación operativa significativa. Específicamente para los operadores de recintos (hoteles, centros de conferencias, estadios), hay una consideración adicional: la red de invitados. WPA2-Enterprise es cada vez más relevante para el acceso gestionado de invitados, no solo para las redes del personal. Plataformas como Purple proporcionan gestión de identidad para un acceso WiFi seguro. Bajo la licencia Connect, Purple actúa como un proveedor de identidad gratuito y es compatible con OpenRoaming, un estándar que permite a los usuarios hacer roaming de forma fluida y segura entre las redes participantes sin tener que volver a autenticarse. Esto es especialmente potente para visitantes frecuentes, como delegados de conferencias o miembros de programas de fidelización. Ahora permíteme cubrir los modos de falla más comunes, porque saber qué puede salir mal es la mitad de la batalla. El primero es la advertencia de certificado de servidor no confiable. Si los clientes ven un aviso que indica que el certificado del servidor no se puede verificar, significa que el certificado de su servidor RADIUS está vencido, está autofirmado sin que la CA raíz esté implementada en los clientes, o fue emitido por una CA en la que el dispositivo no confía. La solución: use un certificado de una CA pública que ya esté en el almacén de raíces confiables del dispositivo, o asegúrese de que la raíz de su CA interna se implemente a través de Group Policy o MDM. El segundo son los tiempos de espera (timeouts) de RADIUS. Esto se manifiesta cuando los clientes se quedan congelados en la pantalla de autenticación antes de fallar. La causa casi siempre es un problema de ruta de red: el Access Point no puede comunicarse con el servidor RADIUS o un firewall está descartando la respuesta. Verifique las reglas de su firewall para los puertos UDP 1812 y 1813, que son los puertos estándar de autenticación y contabilidad de RADIUS. El tercero es el problema de IoT. Muchos dispositivos heredados (impresoras, controladores de HVAC, lectores de control de acceso) simplemente no son compatibles con 802.1X. Deberá mantener una estrategia independiente para estos. Las opciones incluyen la omisión de autenticación MAC (MAC Authentication Bypass), donde el dispositivo se autentica usando su dirección MAC en lugar de credenciales, o Multi-PSK, donde cada dispositivo obtiene una clave precompartida única. Ninguna es tan segura como 802.1X, pero son soluciones pragmáticas para hardware heredado. Ahora, hablemos del impacto empresarial y el ROI, porque este no es solo un proyecto de seguridad, es un proyecto de eficiencia operativa. El ROI más inmediato proviene de la eliminación de la rotación de contraseñas. Cada vez que se cambia una contraseña de WiFi compartida, TI debe actualizar cada dispositivo en la red. En una cadena minorista con 50 ubicaciones, eso representa potencialmente miles de actualizaciones de dispositivos. Con WPA2-Enterprise, desaprovisionar a un empleado es una sola acción en Active Directory. El segundo motor del ROI es el cumplimiento. Para cualquier organización sujeta a PCI DSS (es decir, cualquiera que procese pagos con tarjeta), la capacidad de demostrar registros de acceso a la red por usuario es una ventaja de auditoría significativa. Lo mismo se aplica a GDPR, donde demostrar el acceso controlado a los sistemas que procesan datos personales está cada vez más bajo la lupa. El tercero es la inteligencia de red. La autenticación por usuario alimenta su plataforma de gestión de red con datos valiosos. Puede ver exactamente qué dispositivos están en la red, cuándo se conectaron, cuánto ancho de banda consumieron y desde qué ubicación. Estos datos son invaluables para la planificación de capacidad y para detectar comportamientos anómalos. Permítame cerrar con una sección de preguntas frecuentes rápidas sobre las dudas que escucho con más frecuencia. ¿Podemos ejecutar WPA2-Enterprise junto con nuestra red PSK existente? Por supuesto, y debería hacerlo durante la transición. Ejecútelas en paralelo, migre a los usuarios en lotes y retire la red PSK una vez completada la migración. ¿Necesitamos reemplazar nuestros Access Points? No necesariamente. La mayoría de los Access Points de nivel empresarial de proveedores como Cisco, Aruba, Ruckus y Ubiquiti son compatibles con 802.1X. Verifique la versión de su firmware y asegúrese de que esté actualizada. ¿Qué pasa con WPA3-Enterprise? ¿Deberíamos esperar? WPA3-Enterprise añade requisitos criptográficos más sólidos, incluido el modo de seguridad de 192 bits para entornos de alta seguridad. Si está implementando una nueva infraestructura hoy, elija hardware que admita WPA3. Pero no permita que lo perfecto sea enemigo de lo bueno: WPA2-Enterprise es una mejora de seguridad enorme en comparación con PSK y es la decisión correcta ahora. ¿Cuánto tiempo toma una implementación típica? Para una organización de un solo sitio con un Active Directory existente, una implementación básica de PEAP se puede completar en pocos días. Una implementación de EAP-TLS multisitio con integración de MDM suele tardar de cuatro a ocho semanas, incluyendo la fase piloto. Para resumir los puntos clave de la sesión de hoy. Uno: WPA2-Enterprise autentica identidades individuales, no ubicaciones compartidas. Este es el cambio fundamental. Dos: Elija PEAP para entornos de BYOD y basados en credenciales; elija EAP-TLS para entornos de alta seguridad y dispositivos administrados. Tres: Su servidor RADIUS es una infraestructura crítica; incorpore redundancia desde el primer día. Cuatro: Utilice la asignación dinámica de VLAN para simplificar su entorno de RF mientras mantiene una segmentación de red estricta. Cinco: Planifique los dispositivos IoT por separado; no serán compatibles con 802.1X. Seis: Nunca realice una transición directa e inmediata. Realice su implementación por fases y supervise de cerca los registros de RADIUS. Para obtener la guía de implementación completa, los diagramas de arquitectura y ejemplos prácticos, consulte la guía escrita completa en el sitio web de Purple. Gracias por escuchar y buena suerte con su implementación.