Frames Protegidas vs. No Protegidas

Element ID: 76 (1 byte)
Length: 16 (1 byte)
Key ID: 2 bytes (identifica IGTK activo)
IPN: 6 bytes &mdash; Integrity Protocol Number (contador 48 bits, anti-replay)
MIC: 8 bytes &mdash; AES-128-CMAC calculado con IGTK

802.11w protege las robust management frames post-asociación. Los frames pre-asociación quedan fuera del alcance por diseño.

Frame	Tipo	¿Protegida por PMF?	Mecanismo
Deauthentication	Gestión	✓ Sí (post-asoc)	Unicast: CCMP/TK Broadcast: BIP/IGTK
Disassociation	Gestión	✓ Sí (post-asoc)	Unicast: CCMP/TK Broadcast: BIP/IGTK
Action (robusto)	Gestión	✓ Sí — BA, SA Query, SM	Unicast: CCMP/TK
Beacon	Gestión	✗ No (broadcast pre-asoc)	Sin protección — diseño
Probe Req/Resp	Gestión	✗ No (pre-asociación)	Sin protección — diseño
Authentication	Gestión	✗ No (pre-asociación)	Sin PMK aún disponible
Association Req/Resp	Gestión	✗ No (pre-asociación)	Sin protección — diseño

💡 Razón: la protección de frames requiere claves derivadas del 4-way handshake (PTK/IGTK). Los frames pre-asociación ocurren antes de que exista la PMK — protegerlos requeriría un mecanismo distinto (802.11ai / FILS cubre esto parcialmente).