SSID (Service Set Identifier)

El SSID (Service Set Identifier) es un código alfanumérico único de hasta 32 octetos (caracteres) que funciona como el nombre público de una red inalámbrica Wi-Fi (estándar IEEE 802.11). Su función principal es identificar y diferenciar un conjunto de servicios inalámbricos para que los dispositivos clientes puedan reconocer la red y conectarse a ella.

Cuando activas la antena Wi-Fi en tu teléfono móvil o portátil, la lista de redes disponibles que ves en pantalla muestra precisamente los SSIDs que los puntos de acceso (AP) o routers Wi-Fi de la zona están anunciando mediante tramas de control de red.

¿Cómo funciona la identificación y anuncio del SSID?

La presencia del SSID en un entorno inalámbrico se gestiona a través de dos mecanismos principales:

  • 1. Anuncio pasivo (Beacon Frames): El punto de acceso emite periódicamente (habitualmente cada 100 ms) tramas especiales llamadas Beacon Frames que contienen el SSID en texto plano junto con la configuración de seguridad, velocidades soportadas y canales de radio.
  • 2. Sondeo activo (Probe Request / Response): El dispositivo cliente envía una solicitud de sondeo (Probe Request) buscando un SSID concreto con el que ya se ha conectado anteriormente, y el AP responde directamente confirmando su presencia (Probe Response).
  • 3. Ocultación del SSID (SSID Hiding): Es posible configurar el AP para que omita el nombre del SSID en las tramas Beacon. En este caso, la red no aparece automáticamente en los escaneos estándar y los usuarios deben introducir manualmente el nombre exacto para iniciar el proceso de asociación.

Tipos de Service Sets en redes 802.11

Modo / Identificador Descripción y Topología Mecanismo de Identificación
BSSID (Basic Service Set ID) Identifica a un único punto de acceso físico y a su celda de cobertura local. Dirección MAC física de la radio del AP.
ESSID (Extended Service Set ID) Identifica a una red distribuida compuesta por múltiples APs interconectados por cable. El mismo nombre de **SSID** compartido en todos los APs para permitir Roaming.
IBSSID (Independent BSSID) Utilizado en redes ad-hoc (conexión directa de punto a punto entre dispositivos sin AP). Dirección MAC generada aleatoriamente por el equipo creador de la red.

Multiservicio: Múltiples SSIDs en un mismo Punto de Acceso

Los routers y Puntos de Acceso corporativos o domésticos avanzados permiten emitir múltiples SSIDs virtuales sobre la misma radio física. Esto se utiliza para segmentar el tráfico mediante VLANs:

SSID Anunciado VLAN Asociada Mecanismos de Seguridad / Uso
Empresa_Corp VLAN 10 (Empleados) WPA3-Enterprise (802.1X / RADIUS) con acceso a recursos internos.
Empresa_Invitados VLAN 20 (Visitas) Portal Cautivo + WPA2/WPA3-Personal aislado con solo acceso a Internet.
Empresa_IoT VLAN 30 (Sensores/Cámaras) WPA2-PSK restringido sin acceso a la red corporativa.

Características principales:

  • Tiene una longitud máxima de 32 caracteres y distingue entre mayúsculas y minúsculas (case-sensitive).
  • Es el identificador visible a nivel de capa de enlace (802.11), pero no proporciona seguridad por sí mismo.
  • Ocultar el SSID (SSID Hiding) no es una medida de seguridad eficaz, ya que el nombre se sigue transmitiendo en texto plano en las tramas de asociación e intercambios de datos.
  • Soporta caracteres alfanuméricos y símbolos según la codificación UTF-8.
  • Un mismo SSID configurado en varios APs contiguos facilita la transición transparente del cliente sin corte de sesión (Roaming).

Actividad práctica

Objetivo:

Analizar los SSIDs, BSSIDs y niveles de señal de las redes Wi-Fi al alcance mediante comandos de consola o herramientas de escaneo inalámbrico.

Tareas:

  1. Abre la consola de comandos de tu sistema operativo y ejecuta el comando de escaneo inalámbrico:
    • En Windows (CMD): netsh wlan show networks mode=bssid
    • En Linux: nmcli dev wifi list o iwlist scan
  2. Identifica el SSID de tu red y comprueba cuántos BSSIDs (direcciones MAC) están emitiendo ese mismo nombre.
  3. Comprueba la intensidad de señal y el canal de radio utilizado por cada SSID detectado.
  4. Instala una aplicación de análisis Wi-Fi en tu dispositivo móvil (como Wi-Fi Analyzer) para visualizar gráficamente los SSIDs que compiten en las bandas de 2,4 GHz y 5 GHz.
  5. Identifica si tu router doméstico utiliza el mismo SSID para las bandas de 2.4 GHz y 5 GHz (tecnología Band Steering) o si utiliza nombres diferenciados.

Preguntas de reflexión:

  1. ¿Por qué la ocultación del SSID (SSID Hiding) no se considera una medida de seguridad adecuada frente a un atacante experimentado?
  2. ¿Qué diferencia existe entre un SSID y un BSSID en una arquitectura de red inalámbrica?
  3. ¿Cómo permite la asignación de múltiples SSIDs a un único Punto de Acceso mejorar la seguridad de una red corporativa?
  4. ¿Qué ocurre con la conexión de un usuario que camina por un pasillo si todos los Puntos de Acceso de la planta comparten el mismo SSID?
  5. ¿Por qué el SSID puede tener una longitud máxima de 32 caracteres?
Haz clic aquí para ver las soluciones y explicaciones

1. ¿Por qué la ocultación del SSID (SSID Hiding) no se considera una medida de seguridad adecuada frente a un atacante experimentado?

Porque el SSID se sigue transmitiendo en texto plano dentro de las tramas de respuesta de sondeo (Probe Response) y en los paquetes de asociación cuando un cliente legítimo se conecta a la red. Cualquier analizador de tráfico de red inalámbrica (como Wireshark o Aircrack-ng) puede capturar estas tramas y revelar el SSID oculto en cuestión de segundos.

2. ¿Qué diferencia existe entre un SSID y un BSSID en una arquitectura de red inalámbrica?

El SSID es el nombre lógico de la red (legible por humanos, ej. MiRed_WiFi). El BSSID es la identificación física y única del punto de acceso que emite esa celda de cobertura, correspondiéndose directamente con la dirección MAC de la tarjeta de radio del AP.

3. ¿Cómo permite la asignación de múltiples SSIDs a un único Punto de Acceso mejorar la seguridad de una red corporativa?

Permite aplicar segmentación de red. Cada SSID virtual se vincula a una VLAN diferente. De este modo, se pueden separar completamente los usuarios invitados de los empleados o de los dispositivos IoT, aplicando políticas de cortafuegos y niveles de cifrado independientes para cada perfil sin necesidad de instalar múltiples antenas físicas.

4. ¿Qué ocurre con la conexión de un usuario que camina por un pasillo si todos los Puntos de Acceso de la planta comparten el mismo SSID?

Se activa el proceso de Roaming inalámbrico (o itinerancia). El cliente se desconecta de un AP y se asocia al siguiente AP con mejor nivel de señal de forma prácticamente transparente y sin cambiar de red ni perder la configuración IP.

5. ¿Por qué el SSID puede tener una longitud máxima de 32 caracteres?

Porque el estándar original IEEE 802.11 definió el campo de cabecera reservado para el elemento de información del SSID (SSID Information Element) con un tamaño fijo de hasta 32 octetos (bytes) de datos.