WEP, WPA, WPA2 y WPA3: diferencias y cuál es el más seguro
Estos protocolos son distintos métodos que usan los dispositivos para cifrar la información que circula por la red Wi-Fi, y han evolucionado desde sistemas básicos como WEP hasta soluciones robustas como WPA3.
Conocer las ventajas y limitaciones de cada uno nos permite tomar decisiones más informadas al proteger nuestras redes Wi-Fi de casa o de la oficina. A continuación, vamos a hacer un repaso en el que explicaremos para qué sirve cada protocolo, cuáles son sus diferencias principales y cómo elegir el más adecuado según nuestras necesidades.
¿Qué son WEP, WPA, WPA2 y WPA3?
Son protocolos de seguridad inalámbrica que surgieron para proteger redes Wi-Fi de accesos no autorizados y robos de información. Cada uno representa un estándar distinto, con niveles de cifrado y protección que han ido mejorando con el paso de los años.
Evolución de los protocolos de seguridad Wi-Fi
La seguridad Wi-Fi arrancó en 1997 con WEP (Wired Equivalent Privacy). Buscaba ofrecer una protección parecida a una red cableada, aunque es bastante fácil de vulnerar.
En 2003 apareció WPA (Wi-Fi Protected Access), que mejoró la gestión de claves y la autenticación de usuarios. WPA utilizó TKIP para el cifrado, pero seguía teniendo ciertas limitaciones.
Un año después, en 2004, llegó WPA2, que introdujo el cifrado AES y el protocolo CCMP, elevando significativamente el nivel de seguridad.
Desde 2018, WPA3 es el último avance en protección Wi-Fi. Incorpora un cifrado más fuerte y mejores defensas contra ataques de fuerza bruta.
Si quieres saber más detalles de esta evolución, puedes consultar la página de Kaspersky sobre las diferencias entre WEP, WPA, WPA2 y WPA3.
Principales diferencias entre los protocolos
Cada protocolo emplea métodos de cifrado y autenticación distintos:
WEP: Cifrado débil, clave estática de 64 o 128 bits.
WPA: Mejor gestión de claves, usa TKIP y claves temporales.
WPA2: Utiliza AES como cifrado estándar y CCMP para integridad.
WPA3: Cifrado GCMP-256, autenticación más segura y cifrado individualizado.
La diferencia clave radica en la resistencia a ataques y la dificultad para romper las claves. WPA3, a diferencia de los anteriores, pone las cosas mucho más difíciles a los atacantes incluso si la contraseña es floja. Si te interesa una tabla comparativa, puedes visitar la página WEP vs WPA vs WPA2 vs WPA3 de FS.
Importancia de elegir el protocolo adecuado
El protocolo de seguridad que elijas afecta directamente la protección de tu red Wi-Fi. Si usas WEP, cualquiera puede colarse en tu Internet y acceder a tus datos sin demasiado esfuerzo.
WPA y WPA2 mejoran la protección, pero WPA3 ya es el estándar recomendado por la Wi-Fi Alliance. Los routers modernos y la mayoría de los dispositivos ya lo soportan, así que lo mejor es configurarlo siempre que se pueda.
Si tu equipo no es compatible con WPA3, al menos asegúrate de activar WPA2, como aconsejan los expertos en seguridad inalámbrica.
Características de WEP
WEP, o Wired Equivalent Privacy, fue el primer estándar importante de cifrado para WiFi. Aunque marcó un avance para la época, hoy se sabe que tiene fallas graves de seguridad.
Funcionamiento del cifrado en WEP
WEP utiliza el cifrado RC4 para proteger los datos que viajan por la red. Cada paquete se cifra con una clave que combina una contraseña principal y un vector de inicialización (IV). La clave puede ser de 40 o 104 bits, pero realmente es poco robusta. Al configurar WEP, todos los dispositivos comparten la misma contraseña, lo que se llama clave precompartida.
El cifrado actúa en tiempo real, codificando y decodificando los datos automáticamente. En teoría, esto debería garantizar que solo los usuarios autorizados accedan al tráfico de la red.
La idea era que WEP ofreciera una confidencialidad similar a una red cableada. Sin embargo, la forma en que crea y reutiliza las claves no cumple ese objetivo en la práctica.
Vulnerabilidades y riesgos de WEP
Las principales fallas de WEP vienen del uso de claves cortas y del manejo del vector de inicialización. El IV solo tiene 24 bits y se repite mucho si la red tiene bastante tráfico. Esto facilita que los atacantes recopilen suficientes paquetes cifrados para romper la clave, a veces en cuestión de pocos minutos. El cifrado RC4 también está muy estudiado y es vulnerable a varios tipos de ataques, como los de diccionario o los man-in-the-middle.
Cualquiera que intercepte el tráfico puede descifrar datos con herramientas gratuitas que están disponibles en Internet. Como la misma clave se comparte entre todos los usuarios, la seguridad cae aún más.
Estos problemas permiten que intrusos entren a la red, escuchen información privada, manipulen datos o incluso tomen el control de la conexión WiFi. Por eso, WEP ya se considera un protocolo obsoleto e inseguro.
Uso actual y limitaciones
Actualmente, WEP está prácticamente en desuso y nadie lo recomienda para redes que manejen información sensible. Los routers modernos prácticamente no ofrecen soporte para este protocolo, porque es demasiado fácil de atacar.
En su momento, WEP sirvió para dispositivos antiguos que no soportaban otros cifrados. Pero cualquier red o aparato que todavía lo utilice es un blanco fácil para ataques inmediatos.
La única razón para usar WEP hoy día sería por compatibilidad con un hardware muy, muy antiguo, pero en ese caso lo suyo sería cambiar de equipo. Lo mejor para proteger el tráfico inalámbrico es actualizarse a WPA2 o WPA3, como recomiendan los informes actuales de seguridad.
WPA: Mejoras sobre WEP
WPA (Wi-Fi Protected Access) llegó para tapar los agujeros de WEP. Se cambiaron aspectos clave en el cifrado y en la protección de datos para que fuera más difícil infiltrarse en las redes WiFi.
Temporal Key Integrity Protocol (TKIP)
TKIP es el principal avance técnico de WPA respecto a WEP. Este protocolo genera una clave única para cada paquete de datos, a diferencia de WEP, que en todo momento usaba claves estáticas.
Esto reduce mucho la posibilidad de que alguien descifre la clave de la red con técnicas de repetición o análisis de tráfico. Además, gracias a TKIP, los dispositivos viejos compatibles con WEP podían mejorar su seguridad con solo actualizar el software, sin necesidad de comprar hardware nuevo.
TKIP mezcla varios métodos de protección, como el uso de vectores de inicialización variables y el cambio frecuente de claves de sesión. Aunque es mucho más seguro que WEP, sigue sin llegar al nivel de cifrado moderno que ofrece AES, que se introdujo en WPA2.
Autenticación y clave compartida (PSK)
WPA Personal, o WPA-PSK (Pre-Shared Key), permite proteger la red Wi-Fi con una contraseña compartida. Para conectarse hay que conocer esa clave, que normalmente se configura en el router.
La clave precompartida es mucho más robusta que el sistema básico de «contraseña» de WEP. WPA exige una longitud mínima y una combinación de caracteres, así que adivinarla resulta complicado.
Además, la clave se usa para crear contraseñas de cifrado temporales mediante un proceso matemático seguro. Esto supone un paso adelante en la seguridad de cualquier red doméstica o de oficina pequeña.
Este método es sencillo de configurar y no requiere de infraestructura adicional. Se pueden conectar muchos dispositivos y mantener la seguridad básica de la red sin volverse loco con configuraciones avanzadas.
Integridad de los mensajes y seguridad adicional
WEP no podía garantizar que la información transmitida llegara confiable y sin cambios. En cambio, WPA incorpora un sistema de control de integridad de mensajes (Message Integrity Check, MIC) que protege contra la manipulación de datos.
El sistema MIC, llamado «Michael», detecta si alguien altera un mensaje entre el emisor y el receptor. Si ocurre, bloquea el tráfico y ayuda a frenar ataques de falsificación o manipulación de paquetes.
WPA también vigila la red y puede actuar rápido si nota demasiados intentos sospechosos.
WPA2: Avance en seguridad Wi-Fi
WPA2 marcó un salto importante en la protección de las redes Wi-Fi. Introdujo un cifrado más fuerte y nuevas opciones de autenticación, siendo más resistente a los ataques que las versiones anteriores.
Cifrado AES y protocolo CCMP
WPA2 reemplazó el cifrado TKIP de WPA por AES (Estándar de Cifrado Avanzado), aprobado incluso para información confidencial. AES cifra los datos de forma mucho más robusta, por lo que interceptar o modificar la información se vuelve muy difícil.
WPA2 también usa el protocolo CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol), que añade integridad a los datos y evita su manipulación durante la transmisión.
La unión de AES y CCMP hace que WPA2 supere por mucho la protección de WEP y WPA. Hoy por hoy, WPA2 sigue siendo recomendado para la mayoría de los entornos.
Modos Personal y Empresarial (PSK y RADIUS)
WPA2 puede configurarse en dos modos principales: personal y empresarial.
WPA2-Personal (PSK) utiliza una contraseña compartida por todos los usuarios. Es fácil de configurar y perfecto para hogares o pequeñas oficinas: solo se necesita definir una contraseña fuerte.
WPA2-Enterprise está pensado para empresas y utiliza un servidor RADIUS para la autenticación. Cada usuario introduce sus credenciales únicas, así que se tiene un mayor control y se pueden gestionar accesos y registros de forma mucho más precisa.
La autenticación RADIUS ofrece ventajas claras:
- Gestión centralizada de usuarios.
- Diferentes niveles de acceso.
- Revocación de permisos más sencilla.
- Registro detallado de accesos.
Ambos modos usan cifrado AES y CCMP para proteger los datos, así que la base de seguridad es la misma.
Vulnerabilidad KRACK (Key Reinstallation Attack)
A pesar de su seguridad, WPA2 tuvo una vulnerabilidad conocida como KRACK (Key Reinstallation Attack). Este fallo permitía que un atacante cercano pudiera interceptar y descifrar parte del tráfico, aprovechando fallos en la renegociación de claves.
El ataque no rompía el cifrado AES, sino que explotaba debilidades en la implementación del protocolo durante el intercambio de claves. Los dispositivos afectados necesitaban actualizaciones de software o firmware para corregir el problema.
Hoy en día, la mayoría de los dispositivos modernos tienen instalados los parches que corrigen esta vulnerabilidad. Si quieres profundizar sobre KRACK y WPA2 puedes leer este artículo de Ascentoptics.
WPA3: El estándar más seguro
WPA3 es el estándar más reciente para proteger redes WiFi. Se basa en tecnologías que dificultan ataques, mejoran el cifrado de datos y aumentan la privacidad de todos los usuarios conectados a la red.
Simultaneous Authentication of Equals (SAE)
El método SAE, también llamado Dragonfly, reemplaza el intercambio simple de contraseñas de los protocolos anteriores. Cada vez que un usuario se conecta a una red WPA3, se genera una llave de seguridad única mediante autenticación por pares.
Esto bloquea los ataques de diccionario, donde los ciberdelincuentes prueban contraseñas una y otra vez. Incluso si la contraseña es débil, el sistema obliga a que el atacante esté físicamente cerca y conecte el dispositivo cada vez que quiera probar una clave.
SAE también mejora la seguridad si algún dispositivo es comprometido, ya que el acceso anterior no ayuda a descifrar nuevas conexiones. Puedes leer más sobre esto y otros cambios en los protocolos de seguridad inalámbrica en esta publicación del blog de vadavo.
Cifrado individualizado de datos
En redes abiertas o con muchos usuarios, WPA3 da un salto importante: cifra de forma individual los datos de cada dispositivo conectado. Aunque la red sea compartida, los datos no pueden ser leídos por otros usuarios que usen el mismo WiFi.
El sistema utiliza cifrado AES-GCMP, más avanzado que los de WPA2. Esto complica aún más que un atacante pueda interceptar, modificar o leer la información que se transmite. Esta protección resulta especialmente útil en lugares públicos, como cafeterías o aeropuertos. Aporta privacidad extra incluso estando en una red compartida.
‘Opportunistic Wireless Encryption’ (OWE) y ‘Forward Secrecy’
OWE cifra conexiones en redes Wi-Fi abiertas, en las que antes no hacía falta contraseña y todo el tráfico quedaba visible. Ahora, aunque la red no tenga clave, los datos se cifran automáticamente entre el equipo y el punto de acceso.
Este sistema implementa Forward Secrecy, por lo que cada sesión de conexión tiene una clave distinta. Si alguien consigue una clave de una sesión pasada, no podrá usarla para descifrar sesiones futuras.
Forward Secrecy también evita que un ataque ocurrido en el futuro comprometa comunicaciones del pasado, así que la privacidad a largo plazo mejora.
Aplicaciones y recomendaciones según el tipo de red
Elegir el protocolo de seguridad más adecuado depende del entorno y de la sensibilidad de los datos que se manejan. La protección no solo depende del cifrado, sino también de las prácticas y herramientas que se utilizan junto a la red Wi-Fi.
Redes domésticas y empresariales
En casa, siempre se recomienda WPA2 o WPA3. Ofrecen cifrado sólido, son fáciles de configurar y la mayoría de los dispositivos actuales los soportan.
WPA3 resiste mejor los ataques de diccionario y es la mejor opción si todos los equipos que se emplean lo permiten. WPA2 sigue siendo fiable si se usa AES y una contraseña fuerte.
Para empresas, lo ideal es WPA2-Enterprise o WPA3-Enterprise. Estos modos utilizan autenticación avanzada y controlan el acceso de cada usuario, así que, si una contraseña se filtra, el daño se limita. Redefinir claves y auditar conexiones debería ser rutina.
Se debe evitar WEP y WPA (sobre todo TKIP) porque están obsoletos y tienen vulnerabilidades conocidas. Las empresas que aún los usan se exponen a ataques y robo de datos.
Seguridad en redes Wi-Fi públicas y de invitados
En redes Wi-Fi públicas o de invitados, el aislamiento de dispositivos y la facilidad de conexión son fundamentales. Lo ideal es habilitar una red separada para invitados. Para cafeterías, hoteles o bares, basta con WPA2 con una contraseña sencilla, renovada cada cierto tiempo.
Nunca se debe utilizar WEP ni dejar la red sin contraseña, porque los usuarios quedan expuestos a ataques y robo de datos personales. En redes públicas, incluso WPA2 puede quedarse corto, ya que la contraseña se comparte con mucha gente.
También es recomendable desactivar la comunicación entre dispositivos dentro de la red de invitados y monitorizar el tráfico para detectar posibles comportamientos raros. Asimismo, resulta de ayuda mostrar instrucciones visibles sobre prácticas seguras. Para una guía completa sobre cómo elegir el cifrado más adecuado para redes públicas, échale un ojo a este análisis de NetSpot.
Uso combinado con VPN
Usar una VPN, o Virtual Private Network, añade una capa relevante de seguridad. Esto cobra aún más sentido cuando el usuario se conecta en redes públicas o de invitados.
WPA2 y WPA3 cifran el tráfico entre el dispositivo y el router. Pero la VPN va más allá: protege toda la transmisión de datos hasta el servidor final.
En sitios como aeropuertos y hoteles, donde la seguridad de la red es una incógnita, esto resulta crucial. La VPN mantiene la confidencialidad, incluso si alguien ha comprometido la red Wi-Fi.
En empresas, normalmente se pide a los empleados que usen una VPN corporativa cuando estén fuera de la oficina. Así, la información sensible no queda expuesta a terceros, aunque el protocolo inalámbrico falle.
No hay duda de que WPA3 ofrece un nivel alto de seguridad, pero agregar una VPN ayuda a bloquear amenazas externas y evita que los administradores de red rastreen la actividad. Esto se vuelve clave para quienes trabajan en remoto o acceden a recursos delicados.
