¿Qué es EAP? Una guía clara para profesionales de seguridad
¿Qué es EAP? Una guía clara para profesionales de seguridad
Escrito por: Lizzie Danielson
Publicado: 03/10/25
Extensible Authentication Protocol (EAP) es un marco de seguridad que permite a las redes admitir múltiples métodos de autenticación, como contraseñas, certificados y tarjetas inteligentes. EAP es fundamental para controlar quién obtiene acceso a redes inalámbricas, VPN y más, por lo que es indispensable para los profesionales de la ciberseguridad.
Encontrarás EAP en todas partes donde la autenticación importa: desde inicios de sesión Wi-Fi y VPN corporativas hasta redes móviles y más allá. A continuación, descubrirás cómo funciona EAP, por qué importa, sus aplicaciones en el mundo real y cómo elegir, configurar y proteger EAP en tu entorno.
EAP significa Extensible Authentication Protocol (EAP). En esencia, es un marco flexible que permite que las redes admitan muchos métodos de autenticación distintos, no solo contraseñas. Piensa en EAP como el "adaptador universal" para la autenticación de red, que funciona detrás de escena cada vez que un dispositivo intenta demostrar que pertenece a la red.
En lugar de ser un único método de autenticación, EAP es un contenedor para intercambios seguros entre un cliente (como tu laptop o celular) y el servidor de autenticación de la red (normalmente un servidor RADIUS). Por eso EAP está en todas partes: desde Wi-Fi WPA2-Empresarial hasta VPN, conexiones cableadas e incluso redes de datos móviles.
Controlar quién accede a tu red es la primera línea de defensa contra todo, desde filtraciones de datos hasta usuarios no autorizados de Wi-Fi. EAP ayuda a las organizaciones a:
Adaptar la autenticación a sus necesidades, desde contraseñas simples hasta tarjetas inteligentes o biometría
Habilitar estrategias de "confianza cero" al verificar usuarios y dispositivos en cada punto de conexión
Cumplir con los requisitos de autenticación sólida
Reducir el riesgo de ataques como el robo de credenciales y los ataques de intermediario, al admitir métodos más sólidos como los certificados
Si tu organización se toma en serio la ciberseguridad, querrás entender EAP, sus métodos y su papel en la seguridad de redes del mundo real.
EAP se trata de cómo un dispositivo demuestra su identidad ante una red. Sigue un diálogo de solicitud-respuesta entre varios roles clave:
Solicitante
El dispositivo que intenta acceder a la red (la laptop, el celular del usuario, etc.).
Autenticador
El guardián (piensa en un punto de acceso inalámbrico, un switch o un concentrador VPN). Transmite los mensajes de un lado a otro, pero no verifica las credenciales en sí.
Servidor de autenticación
Normalmente, un servidor RADIUS es el que verifica si las credenciales son válidas y decide si se permite o se niega el acceso.
El solicitante se conecta y solicita acceso.
El autenticador solicita las credenciales del usuario mediante EAP.
El solicitante responde según lo requiera el método EAP.
El autenticador reenvía esto al servidor de autenticación.
El servidor y el solicitante pueden intercambiar mensajes varias veces para completar el protocolo de autenticación (contraseña, escaneo de certificado, etc.).
Éxito = se concede el acceso a la red. Falla = se deniega.
A EAP no le importa si estás en Wi-Fi, en una conexión cableada 802.1X o en una VPN. Todo se reduce a ese protocolo universal de negociación.
La verdadera magia de EAP está en su compatibilidad con muchos métodos de autenticación distintos. Se conocen como "tipos de EAP" o "métodos de autenticación EAP". Estos son los principales:
Usa certificados tanto en el cliente como en el servidor para la autenticación mutua
Prácticamente inmune al robo de contraseñas
El mejor de su clase para entornos empresariales/regulados
Requerido para el modo WPA3-Enterprise de 192 bits (compatible con el conjunto CNSA de la NSA)
Envuelve los métodos EAP internos (a menudo credenciales) en un túnel TLS seguro
Se usa comúnmente con nombres de usuario y contraseñas (EAP-MSCHAPv2 como método interno)
Simplifica la experiencia del usuario sin necesidad de implementar una PKI completa
Similar a PEAP, pero aún más flexible en cuanto al método de autenticación interno
Admite tanto métodos EAP como métodos antiguos (por ejemplo, PAP, CHAP, MS-CHAPv2)
Facilita migrar fuera de métodos inseguros (en comparación con PEAP)
Desarrollado por Cisco
Reemplaza los certificados por credenciales de acceso protegidas (PAC)
Adecuado para grandes organizaciones que buscan un túnel seguro sin gestionar una PKI
Diseñados para la autenticación de operadores móviles (basada en tarjeta SIM)
Omnipresentes en el acceso a redes móviles, no tanto en Wi-Fi empresarial
Basado en contraseña, se usa dentro de PEAP/EAP-TTLS
No se recomienda como método independiente debido a sus vulnerabilidades
EAP no garantiza la seguridad por sí sola. Su solidez depende del método que elijas y de tu configuración, pero existen características de seguridad y buenas prácticas esenciales:
Admite autenticación mutua (tanto el cliente como el servidor se verifican entre sí)
Cifrado mediante túneles seguros (consulta TLS en EAP-TLS, PEAP, EAP-TTLS)
Flexible para incluir autenticación multifactor (MFA)
Permite la autenticación basada en certificados para fortalecer la postura de seguridad
Elegir métodos EAP débiles u obsoletos (como EAP-MD5 o MSCHAPv2 por sí solo) crea riesgos de seguridad graves. Utiliza EAP-TLS, PEAP (con EAP-TLS interno) o EAP-TTLS.
EAP es el núcleo de la seguridad Wi-Fi empresarial (piensa en WPA2-Enterprise, WPA3-Enterprise). El estándar 802.1X usa EAP para controlar quién puede conectarse.
El cliente se conecta al Wi-Fi.
El punto de acceso actúa como autenticador, transmitiendo mensajes EAP hacia y desde el servidor RADIUS.
El servidor RADIUS ejecuta el método EAP, verifica las credenciales y concede o deniega el acceso.
Consulta la documentación de configuración de EAP de Microsoft para detalles técnicos relevantes para implementaciones empresariales.
¡No es solo para Wi-Fi! EAP protege redes cableadas mediante switches 802.1X. Cuando conectas una laptop, EAP asegura que solo los usuarios o dispositivos de confianza obtengan acceso.
Muchas VPN admiten métodos EAP, incluyendo EAP-TLS y EAP-MSCHAPv2, dando flexibilidad en cómo los usuarios se autentican en redes remotas.
No necesitas un doctorado para configurar EAP, pero hay algunos conceptos básicos que debes conocer:
Elige el tipo correcto de EAP
Elige la opción que se ajuste a las necesidades de seguridad y operación de tu red. EAP-TLS es el estándar de referencia para la mayoría.
Certificados
Si usas EAP-TLS, configura autoridades certificadoras y distribuye certificados (¡las herramientas de automatización ayudan aquí!).
Configura el servidor RADIUS
Indica a tu servidor qué tipos de EAP admitir y cómo validar credenciales o certificados.
Configuración del cliente
Los dispositivos (laptops, teléfonos, etc.) deben saber qué método EAP usar y tener configuradas las credenciales correctas (certificado, nombre de usuario, etc.).
Supervisa y audita
Vigila los eventos y registros de autenticación. Busca inicios de sesión fallidos, errores de configuración o cualquier indicio de intentos no autorizados.
EAP fue diseñado para ser más seguro y flexible que métodos de autenticación más antiguos como PAP (Password Authentication Protocol) y CHAP (Challenge Handshake Authentication Protocol).
PAP: envía contraseñas en texto claro. Auch.
CHAP: las contraseñas se aplican con hash, pero pueden repetirse o ser atacadas.
EAP: agrega negociación, admite métodos más sólidos (certificados, autenticación mutua) y envuelve las credenciales en cifrado cuando es posible.
En pocas palabras, EAP deja muy atrás a PAP y CHAP en cuanto a seguridad de red.
Capa de enlace de datos: EAP se ubica una capa por debajo de IP (como un portero en la puerta), así que los dispositivos deben pasar la autenticación antes de obtener una dirección IP.
EAP sobre LAN (EAPOL): transporta mensajes en redes locales.
EAP sobre RADIUS: transporta mensajes entre puntos de acceso o switches y servidores de autenticación.
Wi-Fi empresarial (red inalámbrica corporativa segura)
Acceso VPN para trabajadores remotos
Protección de puertos de red cableada o de campus
Autenticación de usuarios en redes móviles o celulares
Incluso en dispositivos IoT y de comunicación máquina a máquina
Usa métodos sólidos como EAP-TLS o PEAP (con EAP-TLS interno)
Rota y revoca certificados con regularidad
Exige autenticación mutua
Supervisa los registros de RADIUS y autenticación en busca de actividad inusual
Capacita a los usuarios para identificar y evitar redes fraudulentas
EAP es una herramienta de autenticación flexible y esencial para la seguridad de redes moderna.
La elección del método EAP (como EAP-TLS o PEAP) afecta directamente la postura de seguridad.
Encontrarás EAP en el acceso a redes Wi-Fi, VPN, cableadas y móviles o celulares.
Comprender la configuración y el monitoreo de EAP es crucial para mantener alejados a los atacantes.
Para el estándar de referencia, opta por EAP-TLS basado en certificados y supervisa esos registros como si tu trabajo dependiera de ello (porque podría ser así).
Recursos adicionales
Descubre cómo los actores de amenazas evaden la visibilidad de endpoints, ocultan la ejecución y abusan de herramientas legítimas, y cómo Huntress Managed EDR te ayuda a investigar y responder.
Aprende sobre el estándar de cifrado avanzado (AES), un protocolo de cifrado de primer nivel confiable para proteger datos sensibles. Explora su historia, funcionalidad, características y aplicaciones prácticas.
Descubre por qué los vectores de inicialización son fundamentales para la seguridad de los datos en esta guía de Huntress. Comprende cómo funcionan, su papel en la criptografía y las mejores prácticas para administrarlos.
