Comparatif des méthodes EAP : PEAP, EAP-TLS, EAP-TTLS et EAP-FAST

Résumé opérationnel

Pour les responsables informatiques et les architectes réseau d'entreprise, le choix de la bonne méthode EAP (Extensible Authentication Protocol) est une décision critique qui équilibre la posture de sécurité, la complexité du déploiement et l'expérience utilisateur. Alors que les organisations abandonnent les clés pré-partagées (PSK) vulnérables au profit de l'authentification 802.1X, le choix se limite généralement à quatre méthodes principales : PEAP, EAP-TLS, EAP-TTLS et EAP-FAST. Ce guide propose une comparaison technique directe de ces méthodes, vous permettant de prendre des décisions architecturales éclairées pour votre WiFi invité et vos réseaux d'entreprise internes. Nous examinerons les différences de sécurité entre les méthodes tunnelisées basées sur mot de passe et l'authentification mutuelle par certificat, évaluerons quand des méthodes spécifiques sont appropriées et fournirons des conseils de mise en œuvre concrets pour les environnements d'entreprise modernes.

Analyse technique approfondie : Comparatif des méthodes EAP

PEAP (Protected EAP)

PEAP est largement considéré comme la solution d'entreprise par excellence pour l'authentification 802.1X. Co-développé par Cisco, Microsoft et RSA Security, il crée un tunnel TLS chiffré à l'aide d'un certificat côté serveur. Au sein de ce tunnel sécurisé, le client s'authentifie à l'aide d'une méthode héritée, le plus souvent MSCHAPv2.

Le principal avantage de PEAP est sa prise en charge native quasi universelle sur les systèmes d'exploitation modernes, notamment Windows, macOS, iOS et Android. Comme il ne nécessite qu'un certificat sur le serveur RADIUS et non sur les appareils clients, le déploiement est nettement moins complexe que les alternatives basées sur des certificats. Cela rend PEAP très attractif pour les environnements BYOD ou les grands espaces publics comme les hubs de Transport où la gestion des certificats clients n'est pas pratique.

Cependant, la dépendance de PEAP vis-à-vis des mots de passe (via MSCHAPv2) introduit des risques de sécurité. Si un appareil client n'est pas strictement configuré pour valider le certificat du serveur, les utilisateurs peuvent être incités à se connecter à un point d'accès pirate (une attaque de type « jumeau maléfique » ou « evil twin »). Le point d'accès pirate peut alors capturer le défi-réponse MSCHAPv2, qui peut être cassé hors ligne pour récupérer le mot de passe de l'utilisateur. Par conséquent, l'application d'une validation stricte du certificat du serveur via une stratégie de groupe ou un MDM est un contrôle de sécurité obligatoire lors du déploiement de PEAP.

EAP-TLS (EAP-Transport Layer Security)

EAP-TLS représente la référence absolue en matière de sécurité sans fil d'entreprise. Contrairement à PEAP, EAP-TLS nécessite une authentification mutuelle par certificat. Le serveur RADIUS et l'appareil client doivent tous deux présenter un certificat numérique valide avant qu'un accès au réseau ne soit accordé.

Cette authentification mutuelle élimine totalement le besoin de mots de passe, rendant inefficaces le vol d'identifiants, les attaques par dictionnaire et les attaques par point d'accès pirate. Si un appareil ne dispose pas du bon certificat client, il ne peut tout simplement pas se connecter au réseau. Pour les organisations soumises à des exigences réglementaires strictes, telles que la norme PCI DSS dans le secteur de la Vente au détail ou HIPAA dans la Santé , EAP-TLS est la méthode fortement recommandée.

Le compromis de cette sécurité renforcée est la complexité du déploiement. La mise en œuvre d'EAP-TLS nécessite une infrastructure à clés publiques (PKI) robuste pour émettre, renouveler et révoquer les certificats. Elle nécessite également une solution de gestion des appareils mobiles (MDM), telle que Microsoft Intune ou Jamf, pour distribuer ces certificats en toute sécurité aux terminaux. Pour obtenir des conseils sur les environnements Apple, consultez notre guide sur Jamf et RADIUS : Authentification WiFi basée sur certificat pour les flottes d'appareils Apple . EAP-TLS est le choix optimal pour les flottes d'appareils gérés appartenant à l'entreprise où la sécurité est primordiale.

EAP-TTLS (EAP Tunneled TLS)

EAP-TTLS, co-développé par Funk Software et Certicom, fonctionne de manière similaire à PEAP en établissant un tunnel TLS chiffré à l'aide d'un certificat côté serveur. La principale différence réside dans sa flexibilité concernant la méthode d'authentification interne. Alors que PEAP est fortement lié à MSCHAPv2, EAP-TTLS peut encapsuler presque n'importe quel protocole d'authentification, y compris PAP, CHAP ou MSCHAP, de manière sécurisée à l'intérieur du tunnel.

Cette flexibilité rend EAP-TTLS très précieux dans les environnements qui doivent s'authentifier auprès d'annuaires LDAP plus anciens, de proxys RADIUS ou de référentiels d'identité non-Microsoft qui ne prennent pas en charge MSCHAPv2 nativement. C'est notamment le protocole sous-jacent d'eduroam, le service mondial d'accès en itinérance pour la communauté internationale de la recherche et de l'éducation. Historiquement, la prise en charge native d'EAP-TTLS par les clients était moins répandue que celle de PEAP, nécessitant souvent des supplicants tiers sur les anciennes versions de Windows, mais les systèmes d'exploitation modernes offrent désormais une prise en charge native robuste.

EAP-FAST (Flexible Authentication via Secure Tunneling)

Développé par Cisco pour remplacer rapidement le protocole LEAP hautement vulnérable, EAP-FAST a été conçu pour fournir une authentification sécurisée sans l'exigence stricte de déployer des certificats numériques. Au lieu d'utiliser un certificat de serveur pour établir le tunnel sécurisé, EAP-FAST s'appuie sur des identifiants d'accès protégés (PAC) — des blocs de données opaques attribués dynamiquement aux clients par le serveur d'authentification.

EAP-FAST se caractérise par ses capacités de reprise rapide de session. Bien qu'il fournisse un tunnel sécurisé et chiffré, sa dépendance vis-à-vis des PAC plutôt que des certificats X.509 standard le rend quelque peu propriétaire et moins aligné avec les architectures modernes Zero Trust et neutres vis-à-vis des constructeurs. Aujourd'hui, EAP-FAST est principalement pertinent dans les environnements hérités centrés sur Cisco, certains déploiements IoT ou les appareils durcis spécialisés. Pour la plupart des nouveaux déploiements d'entreprise, PEAP ou EAP-TLS sont préférés.

Guide d'implémentation

Le déploiement de l'authentification 802.1X nécessite une planification minutieuse sur l'ensemble de la pile réseau, des points d'accès sans fil à l'infrastructure RADIUS et aux fournisseurs d'identité. Lors de l'intégration avec la plateforme de Purple, nos serveurs RADIUS prennent en charge toutes les principales méthodes EAP, garantissant une authentification fluide avant que les utilisateurs n'interagissent avec des fonctionnalités telles que le Wayfinding ou le WiFi Analytics .

Étape 1 : Définir la stratégie d'authentification

Évaluez votre parc de terminaux. Si les appareils appartiennent à l'entreprise et sont gérés via MDM, ciblez EAP-TLS. Si vous prenez en charge le BYOD, PEAP est le choix pragmatique. Assurez-vous que votre fournisseur d'identité (Active Directory, Google Workspace, Okta) prend en charge les protocoles requis (par exemple, MSCHAPv2 pour PEAP).

Étape 2 : Gestion des certificats

Pour toutes les méthodes à l'exception d'EAP-FAST, vous devez déployer un certificat de serveur sur votre serveur RADIUS. Ce certificat doit idéalement être émis par une autorité de certification (CA) publique de confiance afin de minimiser les avertissements de sécurité côté client, bien qu'une CA d'entreprise interne puisse être utilisée si vous contrôlez tous les terminaux. Pour EAP-TLS, établissez votre PKI et configurez votre MDM pour provisionner automatiquement les certificats clients avec les mappages de nom alternatif du sujet (SAN) corrects.

Étape 3 : Configuration du RADIUS et des points d'accès

Configurez vos points d'accès sans fil pour utiliser WPA2-Enterprise ou WPA3-Enterprise, en les orientant vers les adresses IP de votre serveur RADIUS avec les secrets partagés corrects. Sur le serveur RADIUS, définissez vos politiques réseau, en spécifiant les méthodes EAP autorisées et en associant les authentifications réussies aux VLAN appropriés en fonction de l'appartenance à un groupe d'utilisateurs ou d'appareils.

Étape 4 : Configuration du suppliant du terminal

C'est l'étape la plus critique pour la sécurité. Pour PEAP, utilisez un MDM ou une stratégie de groupe pour pousser un profil WiFi préconfiguré sur les appareils. Ce profil DOIT explicitement spécifier les noms des serveurs RADIUS de confiance et la CA racine de confiance qui a émis le certificat du serveur. Surtout, désactivez l'option qui invite les utilisateurs à faire confiance à de nouveaux serveurs ou certificats.

Bonnes pratiques

1. Ne vous fiez jamais au jugement de l'utilisateur pour les certificats : Lors du déploiement de PEAP ou d'EAP-TTLS, préconfigurez toujours les suppliants des terminaux pour qu'ils fassent confiance à des certificats de serveur spécifiques. Compter sur les utilisateurs pour cliquer sur « Accepter » lors d'un avertissement de certificat compromet l'ensemble du modèle de sécurité et expose le réseau à des attaques de points d'accès malveillants.
2. Automatisez la gestion du cycle de vie des certificats : L'expiration des certificats est l'une des principales causes d'interruption du 802.1X. Mettez en œuvre des processus automatisés de surveillance et de renouvellement pour les certificats de serveur RADIUS et les certificats clients dans les déploiements EAP-TLS.
3. Implémentez WPA3-Enterprise : Lorsque la compatibilité des clients le permet, passez à WPA3-Enterprise. Il impose l'utilisation de trames de gestion protégées (PMF) et propose une option de suite de sécurité 192 bits, offrant des protections cryptographiques plus fortes que le WPA2.
4. Segmentez le réseau : Utilisez les attributs RADIUS (comme Filter-Id ou Tunnel-Private-Group-Id) to attribuer dynamiquement les utilisateurs authentifiés à des VLAN spécifiques en fonction de leur rôle, isolant ainsi le trafic invité des actifs de l'entreprise. Pour en savoir plus sur la conception de réseaux modernes, consultez Les avantages clés du SD-WAN pour les entreprises modernes .

Dépannage et atténuation des risques

Les modes de défaillance courants dans les déploiements EAP concernent généralement la validation des certificats et l'intégration des fournisseurs d'identité.

• Symptôme : Les clients ne parviennent pas à se connecter après une mise à jour du serveur RADIUS.
  • Risque : Le nouveau certificat de serveur n'a pas été émis par la CA racine approuvée par les clients, ou le nom du serveur a changé.
  • Atténuation : Testez toujours les renouvellements de certificats dans un environnement de préproduction. Assurez-vous que la nouvelle chaîne de certificats est entièrement approuvée par tous les profils de terminaux avant de la mettre en production.
• Symptôme : Les appareils iOS se connectent correctement, mais les appareils Windows échouent.
  • Risque : Les suppliants Windows sont souvent plus stricts concernant la validation de l'indication du nom du serveur (SNI) ou des attributs EKU (Extended Key Usage) spécifiques sur le certificat du serveur.
  • Atténuation : Vérifiez que le certificat du serveur inclut l'EKU « Authentification du serveur » et que le SAN correspond au nom configuré dans le profil WiFi Windows.

ROI et impact commercial

La transition vers une méthode EAP robuste apporte une valeur commerciale significative bien au-delà de la simple sécurité. En éliminant les mots de passe partagés, les équipes informatiques réduisent la charge opérationnelle des tickets d'assistance liés aux réinitialisations de mots de passe ou aux clés PSK compromises. Dans des environnements comme l' Hôtellerie , où la rotation du personnel peut être élevée, l'authentification basée sur des certificats (EAP-TLS) garantit que l'accès est automatiquement révoqué lorsqu'un appareil est effacé ou qu'un certificat expire, sans qu'il soit nécessaire de modifier un mot de passe global.

De plus, une authentification forte est un prérequis pour les cadres de conformité tels que PCI DSS et le GDPR. En démontrant des contrôles d'accès robustes, les organisations atténuent le risque d'amendes réglementaires et d'atteinte à la réputation associées aux violations de données. Pour une vision plus large de la mise à niveau de l'infrastructure des établissements, consultez Des solutions WiFi hôtelières modernes que vos clients méritent .

Briefing Podcast

Écoutez notre briefing technique de 10 minutes sur les méthodes EAP, couvrant les stratégies d'implémentation et les pièges courants :