WPA2, WPA3, personal y empresarial, leídos en la configuración

En una red personal, todas las personas comparten una misma clave. Con WPA2-Personal esa clave (PSK) permite derivar las claves de sesión, y quien capte el saludo inicial de un equipo puede intentar adivinar la clave fuera de línea, sin tocar la red, a la velocidad que le dé su hardware. WPA3-Personal reemplaza ese mecanismo por SAE (autenticación simultánea de iguales), un intercambio de claves basado en contraseña que resiste ese ataque fuera de línea y da secreto hacia adelante. Una clave débil sigue siendo débil, pero ya no se puede probar sin conexión.

WPA3 además exige la protección de las tramas de gestión (PMF): sin ella, las tramas con las que un equipo se une o se separa de la red no están autenticadas. Y existe el modo de transición, que acepta a la vez WPA2-PSK y WPA3-SAE en el mismo SSID para no dejar fuera a los equipos viejos: es útil, pero los equipos WPA2 conservan su protección más débil.

La variante empresarial (802.1X) no usa una clave compartida: cada persona se autentica con su propia cuenta contra un servidor RADIUS, y el punto de acceso solo hace de intermediario. Eso cambia lo que se puede decir en un informe: dar de baja a una persona es desactivar su cuenta, no cambiar la clave de toda la red.

Abre la consola del laboratorio y busca en la exportación el SSID que usa esa variante.

Una clave compartida tiene un ciclo de vida: se entrega a mucha gente, se escribe en carteles y en mensajes, y sigue valiendo para todas las personas que alguna vez la conocieron. Por eso un hallazgo útil no dice «usa una clave compartida» sino cuánto tiempo lleva sin cambiarse y a quién alcanza.

La exportación trae la fecha de la última rotación de cada SSID con clave compartida. Ordénalas y mira cuál queda primero.

Con la protección de tramas de gestión desactivada, la unión y la separación de equipos no están autenticadas. No es, por sí solo, un acceso a la red: es una defensa que falta y que WPA3 exige. En el informe va como una cifra y una recomendación, no como una alarma.

En una red empresarial con PEAP, la cuenta de cada persona viaja protegida dentro de un túnel con el servidor. Pero el túnel solo protege si el equipo comprueba el certificado del servidor antes de entregar sus credenciales. Si el perfil que se reparte a los equipos no lo exige, el equipo puede aceptar a cualquier punto de acceso que se anuncie con el mismo nombre.

Abre la tabla del servidor RADIUS y lee la última columna.