Auditoría de seguridad Wi-Fi

Una auditoría radioeléctrica no es una herramienta que se apunta a una red y devuelve un informe: son cuatro mediciones consecutivas, cada una con un producto distinto y un tiempo de ejecución distinto. Las tres primeras son de solo lectura y en la mayoría de las sedes se pueden hacer en horario laboral. La cuarta cambia el comportamiento de los equipos y necesita una ventana acordada y una persona al teléfono.

La primera pasada es el inventario. Recorremos la planta y registramos cada BSSID al alcance: sus redes, las del vecino, una impresora en el almacén, un radio en una sala de reuniones a la que nadie ha entrado desde la última mudanza. Después cotejamos esa lista de lo observado con los puntos de acceso que usted cree tener. El cotejo es el resultado, no el barrido: una oficina con 120 empleados y 28 puntos de acceso aprobados suele terminar en 34 radios emitiendo, y detrás de cada radio sobrante hay un propietario, un cable y una decisión de compra.

La segunda pasada es la autenticación por SSID. Registramos qué método negoció realmente cada clase de dispositivo, no qué método está configurado en el controlador, porque ambos registros coinciden menos de lo que se supone: una red corporativa configurada en WPA3 en modo transición sigue negociando WPA2 con un escáner de almacén, y una red 802.1X cuyos clientes no validan el certificado del servidor recoge credenciales de cualquiera que emita el mismo nombre.

La tercera pasada es el alcance. Desde cada SSID comprobamos a dónde llega un equipo asociado: hosts internos, puertos, la red de impresoras, la de gestión y la de invitados en sentido inverso. El resultado se presenta como matriz de destinos y puertos medidos, no como una cualidad. La cuarta pasada es el comportamiento del cliente: qué equipo gestionado se une solo a una red guardada que emite otro punto de acceso y cuáles avisan al usuario antes de hacerlo.

La autorización es el primer entregable del trabajo, no un formulario que llega después de la factura. Antes de encender un adaptador llevamos un alcance escrito: la persona jurídica propietaria de la red, las sedes y plantas incluidas, los SSID y BSSID autorizados por nombre y no solo por edificio, la ventana de prueba, quién puede detener la prueba y las reglas de tratamiento de los datos capturados. Quien firma debe poder autorizar la red: un proveedor de servicios gestionados solo puede contratar una auditoría de la red de un cliente con el consentimiento escrito de ese cliente, así que pedimos ese documento en lugar de aceptar una orden de compra como prueba.

El trabajo pasivo va primero: escuchar no requiere credenciales, ni asociación, ni interrumpe el servicio, de modo que el inventario y el barrido se pueden hacer en horario laboral sin que nadie lo note. El trabajo activo, desde asociarse como cliente hasta probar una clave compartida contra material capturado, probar el alcance o inyectar tramas, se ejecuta dentro de la ventana acordada, preferiblemente fuera del horario, porque las técnicas de desautenticación tiran equipos reales de una planta de producción, y un escáner de almacén que pierde la conexión a mitad de una preparación de pedidos es una parada operativa, no una prueba.

Las condiciones de parada también se acuerdan por escrito: un sistema crítico para la seguridad debe seguir conectado, una clase de equipos médicos no se toca, una planta alquilada queda fuera del alcance. El ingeniero que ejecuta lleva esa lista consigo y el informe registra cada acción con su hora, de modo que una interrupción inesperada en el cliente se pueda atribuir a la prueba o descartar con evidencia.

Cada hallazgo nombra la medición que lo produjo, el lugar donde se midió y el artefacto que lo sostiene. Un hallazgo sobre la clave compartida no es una línea que afirma que la contraseña es débil, sino el método de captura, el coste de derivación, el espacio de claves de esa clase de frase y la aritmética que muestra el tiempo de búsqueda completa a una tasa declarada. La diferencia importa comercialmente: una clave que resiste 232 años de cómputo no es el hallazgo; el hallazgo es que un secreto compartido lo lleva cada cliente conectado desde 2019 y no se puede rotar sin tocar todos los equipos.

Un hallazgo de segmentación es una fila de una matriz, no una afirmación: desde la red de invitados respondieron tres de tres impresoras probadas en la red corporativa, es decir, el aislamiento de invitados es una política escrita y no un control aplicado. Un hallazgo de punto de acceso rogue nombra el puerto del switch, el acceso PoE y el OUI que une el radio al cable, porque un identificador emitido sin ubicación es una foto y no un hallazgo. Un hallazgo de comportamiento nombra la clase de equipo, la versión del sistema y el ajuste que permitió la unión al nombre idéntico.

Cada hallazgo lleva además un responsable y una corrección verificable desde fuera. Un equipo no autorizado retirado se verifica con un segundo barrido. Un perfil de certificado desplegado se verifica leyendo la configuración del suplicante en el equipo, no confiando en que el perfil llegó. Una rotación de clave se verifica comprobando que la clave anterior ya no asocia. Si una corrección no se puede comprobar así, lo decimos y proponemos la comprobación antes de aceptar el trabajo.

Una evaluación radioeléctrica no puede informar de lo que no oyó. Un punto de acceso rogue que funcionó dos horas un domingo y desapareció el martes no aparece en el barrido del martes; ese hueco lo cierran un registro WIDS en el controlador y la monitorización continua, que es otra compra. La evaluación es una muestra del espacio radioeléctrico en un instante y el informe lo dice, en lugar de sugerir una garantía permanente.

Tampoco ve detrás del cifrado moderno. Si una red funciona con WPA3, tramas de gestión protegidas y certificados por equipo, no existe un ataque sin conexión contra la captura, y cualquier afirmación de descifrar el tráfico de clientes en una red así configurada es una descripción equivocada o la prueba de que la configuración no era la que declara el controlador. Lo que sí se demuestra en una red así es el alcance, el comportamiento de los clientes, la limpieza de credenciales y el inventario, y ahí suelen estar los hallazgos reales.

Tres límites más se escriben en el informe y no en la conversación comercial: el lado cableado detrás del punto de acceso, la seguridad física y el acceso al cableado, y la cadena de suministro de los propios puntos de acceso, es decir el origen del firmware, la cuenta del controlador en la nube y las credenciales de fábrica. La cuenta del controlador merece mención propia, porque hoy es un acceso administrativo expuesto a internet que puede empujar una configuración a cada radio de la sede; capturarla es una vía más rápida a un SSID ajeno que cualquier técnica radioeléctrica de esta página.

El trabajo radioeléctrico está más cerca del límite legal que la mayoría del trabajo de seguridad, porque el espacio radioeléctrico llega a superficies que no son suyas. Cada encargo se limita a redes que el cliente posee o autoriza por escrito, y la autorización nombra SSID y BSSID, no solo el edificio. Una red vecina, la red de una administración de fincas compartida o el wifi de una sala de conferencias fuera de alcance no se evalúan por interesante que sea la señal; el barrido que ve esas redes registra la observación y nada más. Una red doméstica solo se evalúa para quien es titular de la línea y del router.