Tema 12
Las redes inalámbricas extienden la conectividad más allá del cableado y aportan flexibilidad, pero también amplían la superficie de ataque. Proteger Wi-Fi implica mucho más que elegir una contraseña: requiere controlar autenticación, cifrado, cobertura, dispositivos asociados y puntos de acceso no autorizados.
La red Wi-Fi tiene una característica que la vuelve especialmente sensible desde el punto de vista de seguridad: el medio es compartido y no se limita físicamente al interior de un gabinete o de un cable. La señal puede ser detectada desde áreas adyacentes, y eso convierte a la red inalámbrica en un frente de exposición muy particular.
Además, las decisiones de seguridad en Wi-Fi impactan directamente en usuarios, dispositivos móviles, invitados, BYOD y entornos corporativos donde la conectividad inalámbrica es crítica. Por eso no alcanza con "poner una clave". Hace falta elegir un estándar de protección adecuado, segmentar, autenticar correctamente y vigilar el entorno radioeléctrico.
La seguridad inalámbrica busca proteger varios aspectos en simultáneo:
WPA2 fue durante muchos años el estándar dominante para proteger redes Wi-Fi. Introdujo mecanismos mucho más sólidos que opciones anteriores y permitió un cifrado adecuado para numerosos entornos.
En términos prácticos, WPA2 puede aparecer en dos enfoques principales:
La diferencia entre ambos no es menor: uno confía en una clave común; el otro permite identidad individual, trazabilidad y políticas por usuario o dispositivo.
WPA2-Personal es útil en entornos pequeños o domésticos, pero presenta limitaciones importantes para organizaciones:
Por eso, en entornos corporativos, suele preferirse WPA2-Enterprise o su evolución moderna.
WPA2-Enterprise combina la seguridad inalámbrica con autenticación centralizada, normalmente mediante 802.1X y RADIUS. Cada usuario o dispositivo puede autenticarse individualmente, lo que mejora control, revocación, trazabilidad y segmentación dinámica.
Sus ventajas son claras:
WPA3 fue diseñado para mejorar aspectos de seguridad respecto de WPA2, especialmente en escenarios modernos. Entre sus objetivos están robustecer el proceso de autenticación, mejorar protección frente a ciertos intentos de adivinación de contraseñas y elevar el nivel general de seguridad en redes inalámbricas.
Desde una mirada práctica, WPA3 representa una evolución recomendable cuando el hardware y el ecosistema lo soportan adecuadamente. Aun así, muchas organizaciones siguen conviviendo con WPA2 por compatibilidad, por lo que la transición debe evaluarse con criterio.
| Aspecto | WPA2 | WPA3 |
|---|---|---|
| Madurez de despliegue | Muy extendido | Más moderno, depende de compatibilidad |
| Modelo básico de protección | Robusto si está bien configurado | Mejoras adicionales sobre el modelo anterior |
| Contexto recomendado | Ambientes compatibles o heredados | Entornos nuevos o actualizados |
Más allá del estándar elegido, la seguridad real depende también de cómo se integran autenticación, segmentación y operación.
Un principio básico del diseño inalámbrico seguro es no tratar del mismo modo a todos los usuarios. La red corporativa y la red de invitados no deberían compartir el mismo nivel de acceso ni de confianza.
Una red de invitados bien diseñada debería:
Un rogue access point es un punto de acceso no autorizado dentro o cerca del entorno corporativo. Puede tratarse de un dispositivo conectado por un usuario sin aprobación, de un AP malicioso o de una infraestructura improvisada que crea una puerta no controlada hacia la red.
Su peligrosidad es alta porque rompe el modelo oficial de acceso y puede eludir controles de autenticación, segmentación o monitoreo.
Una variante especialmente peligrosa es el punto de acceso falso que imita a una red legítima. A veces se lo asocia con la idea de evil twin: una red que aparenta ser la original para atraer a los clientes y capturar credenciales, sesiones o tráfico.
Estos escenarios pueden facilitar:
Endurecer una red inalámbrica significa tomar decisiones técnicas y operativas que reduzcan exposición y mejoren control.
La seguridad inalámbrica también tiene una dimensión física. La ubicación de los access points, la potencia de emisión y el diseño de cobertura influyen sobre la exposición fuera del área esperada.
Un despliegue sin criterio puede generar:
Las redes Wi-Fi suelen ser el punto de entrada de gran variedad de equipos: laptops corporativas, teléfonos personales, impresoras inalámbricas, tablets, sensores y dispositivos IoT. No todos esos activos merecen el mismo nivel de confianza.
Por eso conviene diferenciar:
Esa diferenciación puede traducirse en SSID distintos, políticas distintas o asignación dinámica de segmentos.
La seguridad inalámbrica se conecta directamente con el tema anterior. WPA2-Enterprise o WPA3-Enterprise suelen apoyarse en 802.1X y RADIUS, lo que permite usar identidad individual y políticas centralizadas también en Wi-Fi.
Eso hace que la red inalámbrica deje de ser un entorno separado o "más liviano" y pase a formar parte del mismo modelo de acceso gobernado que el resto de la infraestructura.
La seguridad Wi-Fi requiere una mirada más amplia que la simple protección de la señal. Involucra identidad, control de acceso, segmentación, gobernanza del entorno inalámbrico y capacidad de detectar infraestructuras no autorizadas. Cuando estas piezas se combinan bien, la red inalámbrica puede integrarse de forma segura al resto de la arquitectura.
En el próximo tema estudiaremos VPN, acceso remoto seguro y conexiones entre sedes para ampliar el análisis sobre conectividad más allá de la red local.