Puntos de acceso no autorizados, cómo se reconocen

El nombre de una red (SSID) lo escribe quien configura el equipo, y cualquiera puede escribir el mismo. Lo que identifica una radio concreta es su BSSID, la dirección que lleva cada SSID en cada punto de acceso. Por eso el trabajo de reconocer un punto de acceso ajeno se hace comparando los BSSID oídos con el inventario del cliente: lo autorizado es lo que está en la lista, no lo que se llama igual.

Un SSID del cliente anunciado por un BSSID que no figura en el inventario, con otra seguridad o con la señal más fuerte que la de los equipos reales, es la combinación que un controlador moderno marca como «posible gemelo». Es un indicio fuerte; la prueba la completan los demás datos.

Abre el resumen del barrido y la lista de lo que no está en el inventario. Entre las radios ausentes, busca la que anuncia un SSID del hotel. Fíjate también en su seguridad y en su señal: son lo que el informe va a citar.

Dos precisiones de método. SAE, el mecanismo de WPA3-Personal, solo comprueba que los dos extremos conocen la misma clave: no demuestra que el punto de acceso sea el del hotel. Y un resumen de balizas dice qué se anuncia, no quién lo puso: el informe describe la radio, no acusa a nadie.

Un punto de acceso ajeno es distinto según toque o no la red del cliente. El que se conecta por cable ofrece una entrada inalámbrica a la red interna, y eso es lo que más pesa en el informe. Para saberlo se cruza el barrido con la tabla de direcciones del conmutador: una radio que aparece allí está cableada; una que no, solo se oye.

Ejecuta el cruce y localiza el puerto donde se aprendió la radio ausente del inventario que sí está cableada.

No estar en el inventario es una condición necesaria para llamar «no autorizado» a una radio, pero no es suficiente. En una ciudad, el barrido recoge redes de los locales vecinos: nombre distinto, señal débil, sin cable y sin relación con el cliente. Reportarlas como hallazgo contra el cliente es un falso positivo que le cuesta tiempo y credibilidad al informe.

Lo que sí hace falta es registrarlas: son parte del entorno radioeléctrico y su aparición o desaparición puede importar más adelante.

Reconocer un punto de acceso ajeno es la mitad del trabajo; la otra mitad es dejar al cliente en condiciones de reconocerlo solo. Eso se hace con tres piezas que se refuerzan: un inventario al día, el sistema de detección del controlador alertando por cada BSSID nuevo, y una autenticación que no dependa solo del nombre de la red (802.1X con validación del certificado del servidor, que ya viste en la sala 1).

Los eventos del sistema de detección del hotel muestran que la herramienta ya registra el hecho; lo que falta es que alguien reciba el aviso y actúe. Ocultar el nombre de la red no es un control: el SSID sigue en cada baliza.