Seguridad del Wi-Fi del hotel en un Mac: lo que realmente importa

El Wi-Fi del hotel es razonablemente seguro para un uso ordinario en un Mac actualizado, y mucho más seguro de lo que sugiere su reputación. La advertencia clásica, de que alguien a dos habitaciones está leyendo tus contraseñas en el aire, está casi obsoleta: prácticamente todo el tráfico que importa está encriptado de extremo a extremo antes de salir de tu máquina, y macOS más un navegador actual gestionan eso sin que hagas nada.

Esa es la versión sencilla. La nuance es que la encriptación protege el contenido, no el contexto. Nadie en la red del hotel lee tu correo, pero la red aún puede ver que tu Mac contactó con un proveedor de correo en particular, una nube en particular, y una VPN de empresa en particular, a las 6:40 de la mañana, cada mañana, durante cinco días. En una estancia larga, eso suma un registro de comportamiento, y ninguno de estos datos requiere romper una sola conexión.

Dos cosas diferencian un hotel de un café. La primera es identidad: la página de inicio de sesión suele pedir tu apellido y número de habitación, para que el operador pueda vincular cada dispositivo y conexión a un huésped con nombre en lugar de a una persona anónima con un café. La segunda es duración: una visita a un café dura cuarenta minutos, una estancia en un hotel son días de reconexión automática y sincronización en segundo plano que funciona mientras no estás cerca de la máquina.

Por lo tanto, el modelo de amenaza honesto no es la interceptación de secretos. Es tres cosas: un Mac expuesto a una red plana llena de desconocidos durante días, una línea de tiempo detallada del tráfico vinculada a tu nombre, y la posibilidad de unirse a una red que solo parece la del hotel. Las tres tienen respuestas sencillas, y ninguna requiere pánico.

Todos en el edificio están en una red plana. La Wi‑Fi para huéspedes del hotel se despliega con frecuencia sin aislamiento de clientes, lo que pone al huésped en la 412 y al huésped en la 118 en el mismo dominio de broadcast que tú. Tu Mac se anuncia a través de Bonjour con el nombre que le diste, muy a menudo tu nombre real y el modelo de la máquina, y cualquier servicio de compartición activado desde un proyecto anterior es accesible para todos los demás. Algunas cadenas sí aíslan a los clientes correctamente, pero no puedes saber cuáles desde fuera, así que asume que no.

El portal cautivo vincula el tráfico a una identidad de huésped. Número de habitación y apellido, a veces un número de fidelidad o una dirección de correo electrónico para la categoría más rápida. Eso no es siniestro; es así como el hotel hace cumplir una cuenta por habitación, y en varias jurisdicciones el operador está obligado a conservar los registros de conexión. Solo significa que la expresión red pública anónima no se aplica aquí. Lo que registre la red, lo registra contra ti por nombre.

El equipo suele ser viejo y rara vez se toca. La Wi‑Fi del hotel generalmente se instala una vez por un contratista, se gestiona de forma remota y se deja en paz durante años porque funciona. Los puntos de acceso y los dispositivos de puerta de enlace no se actualizan, el firmware está varias versiones atrasado y las configuraciones predeterminadas permanecen. Eso no es un ataque en sí, pero significa que las protecciones de la red, incluyendo el aislamiento que prometía el folleto, pueden estar mal configuradas o simplemente rotas.

Los portales interfieren con DNS por diseño. Para que aparezca la página de inicio de sesión, la puerta de enlace tiene que interceptar tus primeras solicitudes y redirigirlas, lo que implica interceptar DNS. Algunos portales siguen haciéndolo incluso después de que te has autenticado, y algunos resuelven nombres con sus propias respuestas durante toda la estancia. Por eso también el DNS cifrado causa problemas en los hoteles: si tu Mac está configurado con un perfil DNS privado o un resolutor personalizado, el portal con frecuencia no puede redirigirte y la página de inicio de sesión nunca carga, que es la queja más común sobre la Wi‑Fi de los hoteles.

Y luego te quedas. La función de conexión automática hace que el Mac se reconecte en cada apertura de tapa sin preguntar. Multiplica la actividad de fondo normal de macOS y una docena de aplicaciones instaladas por cuatro o cinco días de eso, y la exposición no es una sola sesión en una red no confiable, sino una residencia continua en ella.

Empieza con las buenas noticias, porque son sustanciales. HTTPS encripta el contenido de una conexión: contenidos de páginas, campos de formularios, contraseñas, cuerpos de mensajes, cargas útiles de API. Los navegadores ahora usan por defecto HTTPS y se niegan a degradar silenciosamente; TLS 1.3 es la norma, y la gran mayoría de las aplicaciones para Mac encriptan su propio tráfico. Alguien en la red del hotel con una captura de paquetes ve texto cifrado. La vieja técnica de cosechar credenciales en una red abierta dejó de funcionar hace años.

Lo que la encriptación no oculta es el hecho y la forma de cada conexión. La dirección IP de destino siempre es visible, porque los paquetes tienen que ser enrutados. Las búsquedas DNS son visibles a menos que uses DNS encriptado, que los portales a menudo bloquean. El nombre del servidor en el handshake TLS es visible en la mayoría de las conexiones hoy en día, ya que Encrypted Client Hello todavía no es universal. Y el tiempo, tamaño y frecuencia de cada intercambio son visibles para cualquiera en el camino, sin importar qué tan fuerte sea el cifrado.

Reunidos durante varias noches, esos metadatos son más reveladores de lo que la gente espera. Muestran qué servicios usas, cuándo te despertaste, cuándo saliste del edificio y regresaste, cuánto duraron tus videollamadas y a qué red del empleador te conectaste. Un cliente de correo que consulta cada cinco minutos es una señal de presencia precisa. Nada de eso requiere leer un solo mensaje. Los metadatos son la verdadera exposición en una red de hotel, no el contenido.

También queda un residuo de tráfico que no está protegido en absoluto. Algunas aplicaciones antiguas o abandonadas todavía comprueban actualizaciones por HTTP sin encriptar, y el descubrimiento en la red local es sin cifrar por naturaleza, así que mDNS y Bonjour anuncian el nombre de tu dispositivo y sus servicios a toda la red de huéspedes. La detección de impresoras, el uso compartido de medios y cualquier cosa que espere una LAN de confianza funciona exactamente igual en un hotel, porque tu Mac no sabe que la red cambió de carácter.

La única situación en la que HTTPS falla realmente es cuando una persona lo anula. Si aparece una advertencia de certificado, no la aceptes, y si alguna red te pide instalar un perfil o un certificado raíz antes de concederte acceso, recházalo y usa la red móvil en su lugar. Un hotel necesita tu número de habitación para dejarte en línea. No necesita la capacidad de emitir certificados en los que tu Mac confiará.

Mantén el firewall de Mac activado y deja de compartir cualquier cosa. Este es el paso de mayor valor porque apunta directamente a la red plana. Activa el firewall en Configuración del Sistema, Red, Firewall, y habilita el modo sigiloso en sus opciones para que Mac deje de responder a sondeos no solicitados. Luego abre Configuración del Sistema, General, Compartir y confirma que Compartir archivos, Compartir pantalla, Compartir impresora, Inicio de sesión remoto y Administración remota estén todos desactivados, y configura AirDrop en Solo contactos. Nota lo que el firewall de macOS no hace: filtra solo las conexiones entrantes, y nada en él restringe lo que tus propias apps envían.

Corta la sincronización en segundo plano durante tu estancia. Activa el Modo de Datos bajos para la red del hotel específicamente, en Configuración del Sistema, Wi-Fi, Detalles junto a la red a la que te uniste. Esto pausa de manera confiable el trabajo en segundo plano de Apple: descargas de actualizaciones de software, descargas de App Store, sincronización de Fotos en iCloud y varias tareas diferidas. Para apps de terceros, solo es una señal de advertencia que muchos desarrolladores nunca implementaron, así que también cierra o pausa tus clientes de sincronización en la nube y configura Time Machine para hacer copias de seguridad manualmente. Menos tráfico en segundo plano significa menos metadatos y menos sorpresas si los medidores del hotel o los throttles limitan la conexión.

Usa un VPN para la encriptación que de otra forma no obtienes. Un VPN envuelve todo, incluyendo DNS y los metadatos de conexión discutidos arriba, en un solo túnel hacia una sola dirección, de modo que la línea de tiempo detallada se colapsa en una sesión encriptada. Dos advertencias honestas: estás moviendo la confianza del hotel al operador del VPN en lugar de eliminarla, así que elige uno cuya política de registros hayas leído realmente, y un VPN no detiene que cualquier app se conecte. Cambia el camino, no a los participantes. Conéctalo después de limpiar el portal cautivo, y activa un interruptor de apagado si el cliente ofrece uno.

Decide qué apps pueden acceder a la red en absoluto. Esto es lo que un VPN no puede hacer. La encriptación trata sobre el transporte; el control de apps trata sobre el alcance. En una red en la que estarás días, la mayoría de lo instalado en tu Mac no tiene razón para hablar: un navegador, un cliente de correo y el cliente VPN generalmente cubren todo lo que planeas hacer. Todo lo demás puede permanecer en silencio hasta que hagas el check-out, lo que reduce tanto la huella de metadatos como el número de procesos expuestos a lo que sea que esté en esa red.

Únete a la red correcta y déjala adecuadamente. Pide en recepción el nombre exacto de la red en lugar de adivinar desde la lista, porque un punto de acceso fraudulento que transmite un nombre de hotel plausible cuesta casi nada configurarlo y es uno de los pocos ataques genuinamente comunes que aún existen. Trata una red de hotel sin portal, o un portal que pide un número de tarjeta en lugar de un número de habitación y apellido, como una razón para detenerse. Prefiere una red de invitado con una contraseña WPA2 o WPA3 sobre una totalmente abierta. Al hacer check-out, abre Configuración del Sistema, Wi-Fi, Detalles y selecciona Olvidar esta red, de lo contrario tu Mac se volverá a unir silenciosamente a cualquier red con ese nombre en cualquier parte del mundo.

Una tapa cerrada no es lo mismo que estar desconectado. macOS despierta periódicamente para acceder a la red, realiza mantenimiento programado, busca actualizaciones y permite que las apps se actualicen en segundo plano. En cuatro noches, eso son cientos de conexiones que nunca iniciaste, hechas mientras dormías o estabas fuera, en una red que llamarías no confiable si alguien preguntara. Nada de eso es malicioso. Es macOS asumiendo que cada red Wi-Fi es tuya, que es la configuración predeterminada correcta en casa y la incorrecta en la habitación 412.

Por eso, el control por app es la forma de responder a este problema. Un VPN encripta el túnel, pero cada app aún habla, y el Modo de Datos bajos pide cortésmente mientras muchas apps rechazan. Lo que realmente reduce la exposición es decidir, antes de conectarte, qué pocas apps pueden salir, y aplicar esa decisión automáticamente en lugar de recordarla cada noche.

Este es el caso para el que fue creado NetMute. Su protección de hotspot detecta que te has unido a una red desconocida o no confiable y aplica un perfil estricto inmediatamente, sin que tengas que pensarlo, y maneja portales cautivos para que la página de inicio de sesión del hotel aún cargue en lugar de bloquearse junto con todo lo demás. Los perfiles de red están vinculados al nombre de Wi-Fi, así que el perfil del hotel vuelve por sí solo la próxima vez que te conectes a esa red, y tu perfil normal de casa regresa en cuanto llegas a casa.

Día a día, los controles permanecen simples. Cualquier app puede ser bloqueada con un clic, las reglas temporales expiran por sí mismas, así que dejar un actualizador en marcha por diez minutos no deja un agujero permanente, y el modo lista blanca invierte toda la configuración: nada llega a la red salvo lo que tú nombraste. Si los medidores o throttles del hotel limitan la conexión, los límites de datos por app frenan a los infractores antes de que se conviertan en un problema.

La parte que la gente encuentra más útil después de un viaje es la evidencia. El monitor de tráfico en tiempo real y el registro a nivel de dominio responden a la pregunta que todo este artículo gira en torno: qué exactamente habló mientras dormías. Vale la pena revisarlo una vez, porque la lista suele ser más larga de lo que cualquiera espera, y facilita escribir el perfil para la próxima estadía.