Redes inalámbricas empresariales: 802.1X y RADIUS

WPA2-Personal utiliza una única frase de contraseña compartida que conocen todos los usuarios autorizados. Si un empleado abandona la organización o comparte la frase de contraseña con una persona no autorizada, toda la red queda comprometida y es necesario cambiar la frase de contraseña para todos. 802.1X elimina este problema al proporcionar credenciales únicas a cada usuario o dispositivo, de modo que revocar el acceso de un empleado no afecta a los demás. Esta es la razón fundamental por la que los entornos empresariales utilizan 802.1X en lugar de PSK: un control de acceso granular y basado en cada identidad.

El marco 802.1X tiene tres roles. El supplicant es el dispositivo cliente (portátil o teléfono) que solicita acceso a la red. El authenticator es el dispositivo de red (AP inalámbrico o switch) que aplica el control de acceso: reenvía las credenciales, pero no las valida directamente. El Authentication Server (AS), normalmente un servidor RADIUS, valida las credenciales e indica al authenticator si debe conceder o denegar el acceso. Este diseño de tres partes separa el punto de aplicación de la lógica de validación, lo que permite administrar las políticas de forma centralizada.

RADIUS (Remote Authentication Dial-In User Service) utiliza los puertos UDP 1812 (autenticación) y 1813 (contabilidad). Los mensajes RADIUS están protegidos mediante un secreto compartido entre el authenticator y el servidor RADIUS; solo se cifra el atributo User-Password, mientras que los demás campos se envían en texto claro. Una alternativa más segura es RADIUS over TLS (RadSec), que cifra todo el intercambio RADIUS. Entre las implementaciones habituales de RADIUS se incluyen Microsoft NPS (Network Policy Server), Cisco ISE, FreeRADIUS y Aruba ClearPass.

EAP (Extensible Authentication Protocol) define cómo se intercambian las credenciales dentro del marco 802.1X. Existen varios métodos EAP con distintos niveles de seguridad. EAP-TLS utiliza autenticación mutua mediante certificados (tanto el cliente como el servidor presentan certificados) y es el método más seguro. PEAP (Protected EAP) crea un túnel TLS y envía dentro de él el nombre de usuario y la contraseña; solo el servidor necesita un certificado. EAP-TTLS es similar a PEAP, pero más flexible. LEAP y EAP-MD5 están obsoletos y son vulnerables a ataques de diccionario sin conexión.

EAP-TLS se considera el estándar de referencia para la autenticación inalámbrica empresarial porque proporciona autenticación mutua: tanto el cliente como el servidor RADIUS demuestran su identidad mediante certificados digitales. El certificado del cliente lo proporciona la PKI de la organización mediante MDM o un registro manual. Incluso si se implementa un AP evil twin, el cliente rechazará el certificado del servidor RADIUS si no está firmado por la CA corporativa de confianza. Esto elimina el phishing de credenciales mediante infraestructura inalámbrica fraudulenta.

RADIUS puede hacer algo más que conceder o denegar el acceso: puede asignar dinámicamente el cliente a una VLAN específica según la identidad del usuario, su pertenencia a un grupo o el tipo de dispositivo. Esto se denomina asignación dinámica de VLAN. Por ejemplo, un empleado podría situarse en la VLAN 10 (corporativa), un invitado en la VLAN 20 y un dispositivo que no cumpla los requisitos en la VLAN 99 (cuarentena). La respuesta RADIUS Access-Accept incluye los atributos Tunnel-Type, Tunnel-Medium-Type y Tunnel-Private-Group-ID, que especifican la VLAN. Esto permite que un único SSID físico sirva a varias zonas de seguridad.

La contabilidad RADIUS registra los eventos de conexión: cuándo se conectó un cliente, cuánto duró la sesión, cuántos datos se transfirieron y qué VLAN se asignó. Estos registros son de gran valor para las investigaciones forenses: si se produce un incidente de seguridad, los registros de contabilidad pueden identificar qué usuario estaba conectado, desde qué IP y en qué momento. Los mensajes de contabilidad se envían por el puerto UDP 1813. Muchas organizaciones reenvían los registros de contabilidad RADIUS a su SIEM para correlacionarlos con otros eventos de seguridad, como la exfiltración de datos anómala o las conexiones fuera del horario laboral.

El NPS (Network Policy Server) de Microsoft es la implementación de RADIUS integrada en Windows Server. NPS se integra de forma nativa con Active Directory, lo que permite basar las políticas RADIUS en la pertenencia a grupos de AD, los atributos de los usuarios y el estado de los dispositivos (mediante NAP o la cuarentena RADIUS). NPS admite EAP-TLS, PEAP-MS-CHAPv2 y PEAP-TLS. Para redes inalámbricas, NPS se configura como servidor RADIUS y los puntos de acceso inalámbricos se agregan como clientes RADIUS con un secreto compartido. Las Connection Request Policies y las Network Policies controlan quién obtiene acceso y qué VLAN recibe.

Los dispositivos sin interfaz (impresoras, cámaras IP y sensores IoT) a menudo no pueden realizar la autenticación EAP porque carecen de una pila de software supplicant o de un almacén de certificados. Para estos dispositivos, las organizaciones pueden utilizar MAC Authentication Bypass (MAB), donde la dirección MAC del dispositivo se envía a RADIUS como credencial. MAB es menos seguro que 802.1X porque las direcciones MAC pueden suplantarse, pero, combinado con el aislamiento mediante VLAN y la evaluación de la postura mediante NAC, ofrece un enfoque viable para los dispositivos que no admiten 802.1X completo. Coloque siempre los dispositivos IoT en una VLAN independiente y restringida.

RADIUS es un componente crítico de la infraestructura: si el servidor RADIUS no está disponible, ningún cliente inalámbrico puede autenticarse. Entre las prácticas recomendadas se incluyen implementar servidores RADIUS principal y secundario configurados en todos los AP y utilizar un orden de conmutación por error de servidores para que el secundario se contacte automáticamente. El secreto compartido entre los AP y los servidores RADIUS debe ser seguro (como mínimo, 22 caracteres aleatorios) y mantenerse confidencial. Utilice RADIUS over TLS (RadSec) cuando el tráfico RADIUS atraviese redes que no sean de confianza. Supervise los registros RADIUS para detectar aumentos repentinos de fallos de autenticación que puedan indicar intentos de fuerza bruta o un ataque de credential stuffing.

802.1X no se limita a las redes inalámbricas; también es esencial en los puertos de switches cableados de los entornos donde importa la seguridad física de los puertos. Sin 802.1X en los puertos cableados, cualquiera que conecte un cable Ethernet a un puerto de la oficina obtiene acceso a la red. Con 802.1X en los switches, el puerto permanece bloqueado hasta que el dispositivo se autentica. Esto impide que los atacantes conecten dispositivos no autorizados a las tomas de red de salas de reuniones, pasillos o zonas para visitantes. Los usuarios invitados pueden dirigirse a una VLAN de invitados, mientras que los dispositivos corporativos se sitúan en el segmento correspondiente.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que 802.1X utiliza un modelo de tres partes (supplicant, authenticator y servidor RADIUS) para proporcionar autenticación inalámbrica individual por usuario sin una frase de contraseña compartida; EAP-TLS ofrece la mayor seguridad mediante autenticación mutua con certificados, mientras que PEAP es una alternativa práctica que solo requiere un certificado de servidor; y la contabilidad RADIUS registra datos de las sesiones que son de gran valor para las investigaciones forenses. A continuación, exploraremos las amenazas inalámbricas de Bluetooth y de IoT.