Crear un dominio de autenticación WiKID

Este artículo explica qué es un dominio de autenticación en el sistema WiKID, cómo se define mediante el código de 12 dígitos, y los parámetros claves que debe configurar un administrador. Incluye pasos operativos, listas de verificación por rol, criterios de aceptación y una guía rápida para decidir entre usar una IP pública o un prefijo wikidsystems.net.

Introducción

El sistema de autenticación WiKID organiza la autoridad de autenticación en unidades llamadas dominios de autenticación. Cada dominio define un conjunto de reglas y parámetros que rigen cómo los dispositivos y los usuarios se registran y autentican. Un mismo servidor WiKID puede alojar varios dominios, y los dispositivos pueden pertenecer a uno o más dominios simultáneamente.

Definición breve: un dominio de autenticación es una partición de la autoridad de autenticación que agrupa dispositivos, usuarios y políticas.

Cómo funciona el código de 12 dígitos

El dominio se identifica inicialmente por un código de provisión de 12 dígitos usado al configurar dispositivos. Ese código permite a un dispositivo no configurado localizar y registrar el dominio en un servidor WiKID. En la práctica, el código de 12 dígitos suele ser una dirección IP rellenada con ceros a la izquierda que es accesible por Internet (por ejemplo, la IP 27.232.7.14 se convierte en 027232007014).

Opcionalmente, el código puede ser un prefijo pre-registrado en el dominio wikidsystems.net (útil cuando no se quiere exponer una IP pública). Usando el servicio wikidsystems.net se pueden incluso usar códigos que representan direcciones IP no enroutables (por ejemplo, 999888777666) para escenarios de prueba o despliegues controlados.

Nota técnica: también es posible modificar la resolución DNS usada por el token de software desplegando un archivo jw.properties personalizado junto con el token.

Interfaz de administración: [Domains], [Create New Domain], [Main]

Seleccionar el encabezado [Domains] muestra los dominios actuales servidos por este servidor WiKID. A continuación se muestra la pantalla correspondiente.

Figura 12 – Pantalla de configuración de dominios

Al seleccionar [Create New Domain] el administrador obtiene el formulario para establecer un nuevo dominio. La pantalla de parámetros del dominio es la siguiente.

Figura 13 – Parámetros de configuración del dominio

Parámetros obligatorios del dominio

• Domain Name – Etiqueta descriptiva visible solo en el sistema de administración. Use un nombre claro que identifique la función o el área (por ejemplo, “VPN Corporativa” o “Oficinas LatAm”).

• Device Domain Name – Etiqueta que aparecerá en el menú del dispositivo cliente. Manténgala corta para facilitar su visualización en móviles.

• Minimum PIN Length – Longitud mínima permitida para el PIN en este dominio. Si un usuario intenta establecer un PIN más corto, el dispositivo generará un error.

• Passcode Lifetime – Duración máxima en segundos del código de un solo uso (one-time passcode). Tras N segundos el código deja de ser válido.

• Server Code – Dirección IP rellenada con ceros (12 dígitos) o el prefijo registrado en wikidsystems.net. Debe ser exactamente de 12 dígitos.

• Max Bad PIN Attempts – Número máximo de intentos de PIN incorrecto realizados por un dispositivo en este dominio antes de que el dispositivo quede deshabilitado.

• Max Bad Passcode Attempts – Número máximo de códigos de un solo uso incorrectos introducidos para un userid en este dominio antes de deshabilitar el userid.

• Max Sequential Offlines – Número máximo de veces que un dispositivo puede usar el desafío/respuesta en modo offline antes de requerir autenticación online. Esto se usa en la versión Enterprise para clientes inalámbricos fuera de cobertura.

• Use TACACS+ – Seleccione esta opción para habilitar TACACS+ en este dominio.

Después de especificar los parámetros, seleccione Create para añadir el dominio. Tras la creación exitosa, el dominio aparecerá en la lista de dominios actuales.

Figura 14 – Dominios actuales

Al seleccionar [Main] en la barra superior, la consola mostrará ahora que el servidor está atendiendo el nuevo dominio.

Figura 15 – Pantalla de resumen después de la configuración

Procedimiento operativo recomendado (SOP) para crear un dominio

1. Revisar requisitos del proyecto: definir alcance del dominio, usuarios y dispositivos incluidos.
2. Elegir el tipo de Server Code: IP pública o prefijo wikidsystems.net (ver cuadro de decisión abajo).
3. Acceder a la consola administrativa y abrir [Domains].
4. Seleccionar [Create New Domain].
5. Rellenar campos obligatorios y ajustar políticas de seguridad (PIN, intentos, Passcode Lifetime).
6. Guardar y comprobar que el dominio aparece en [Domains].
7. Probar registro de un dispositivo nuevo usando el código de 12 dígitos y verificar autenticación.
8. Documentar el dominio en el inventario de seguridad y actualizar copias de jw.properties si aplica.

Criterios de aceptación

• El dominio aparece en la lista de dominios actuales.
• Un dispositivo nuevo puede registrarse usando el código de 12 dígitos.
• Las políticas (PIN mínimo, límites de intentos, Passcode Lifetime) se aplican y generan errores cuando se incumplen.

Decisión: elegir Server Code (IP pública vs. prefijo wikidsystems.net)

Use este diagrama para decidir qué opción emplear.

flowchart TD
  A[¿Servidor con IP pública accesible?] -->|Sí| B[Usar IP rellenada '12 dígitos']
  A -->|No| C[¿Desea usar servicio DNS wikidsystems.net?]
  C -->|Sí| D[Usar prefijo wikidsystems.net]
  C -->|No| E[Deploy jw.properties personalizado o usar VPN/Proxy]
  B --> F[Configurar dominio y probar]
  D --> F
  E --> F

Listas de verificación por rol

Administrador de TI

• Verificar que la IP pública está en la lista blanca del firewall.
• Confirmar que el Server Code de 12 dígitos es correcto.
• Configurar Minimum PIN Length acorde a la política de contraseñas.
• Establecer límites razonables para Max Bad PIN Attempts y Max Bad Passcode Attempts.
• Documentar el dominio y sus parámetros en la CMDB.

Operaciones / Soporte

• Probar el registro de dispositivos con distintos tipos de cliente (iOS/Android/tokens de software).
• Validar el comportamiento offline (Max Sequential Offlines).
• Registrar y reproducir errores reportados por usuarios.

Seguridad / Auditoría

• Revisar Passcode Lifetime para minimizar ventana de reuso.
• Revisar logs de intentos fallidos y bloqueo de accounts.
• Verificar integraciones TACACS+ si están habilitadas.

Mini-metodología para diseñar dominios de autenticación

1. Mapear límites administrativos: agrupe dispositivos que comparten políticas y propiedad administrativa.
2. Aplicar el principio de menor privilegio: dominios con políticas más estrictas para activos sensibles.
3. Balancear la usabilidad: PIN demasiado largo reduce adopción; demasiado corto aumenta riesgo.
4. Probar en etapas: crear dominio de prueba, validar, luego migrar usuarios.

Alternativas y contraejemplos

• No separar dominios cuando todos los dispositivos comparten exactamente las mismas políticas y administración centralizada. En ese caso, un único dominio reduce complejidad.
• Evite usar un prefijo wikidsystems.net si necesita auditoría forense con dirección IP real del servidor.
• No confíe únicamente en Max Sequential Offlines para seguridad de dispositivos perdidos; combine con revocación remota.

Riesgos y mitigaciones

• Riesgo: exposición de IP pública en el código de 12 dígitos. Mitigación: aplicar firewall, limitar puertos y usar certificados TLS válidos.
• Riesgo: bloqueo masivo por límites estrictos de PIN. Mitigación: establecer umbrales razonables y un proceso de desbloqueo automático/administrativo.

Glosario (una línea cada término)

• Dominio de autenticación: partición administrativa que agrupa políticas y dispositivos.
• Server Code: cadena de 12 dígitos que identifica el dominio en la provisión de dispositivos.
• Passcode Lifetime: tiempo (segundos) de validez de un código de un solo uso.
• jw.properties: archivo de configuración que puede alterar la resolución DNS del token.

Notas importantes

• Asegúrese de que el Server Code tenga exactamente 12 dígitos.
• Para despliegues en entornos con NAT o sin IP pública, considere el uso de prefijos en wikidsystems.net o la provisión de un archivo jw.properties.
• Pruebe la experiencia en dispositivos móviles para garantizar que Device Domain Name sea legible.

Resumen

Crear y configurar un dominio de autenticación en WiKID implica elegir correctamente el Server Code, fijar políticas de seguridad (PIN, intentos, tiempo de código), y probar registros y autenticaciones en condiciones reales. Use las listas de verificación por rol y el SOP para asegurar un despliegue consistente y trazable.

Figura: consulte las imágenes incrustadas en las secciones anteriores para la visualización de pantallas y confirmación de opciones en la consola administrativa.