EAP-TLS vs. PEAP : quel protocole d'authentification convient à votre réseau ?

Choisissez EAP-TLS lorsque vous contrôlez les appareils. Chaque appareil prouve son identité au moyen d'un certificat, il n'y a donc aucun mot de passe à hameçonner ou à pirater. Choisissez PEAP lorsque vous ne pouvez pas émettre de certificats, comme sur des appareils personnels, et imposez la validation du certificat serveur sur chaque client. Ni l'un ni l'autre ne convient aux visiteurs anonymes, utilisez plutôt un Captive Portal ou OpenRoaming.

Devez-vous choisir EAP-TLS ou PEAP ?

Les deux protocoles fonctionnent au sein d'IEEE 802.1X, la norme pour le contrôle d'accès au réseau basé sur les ports. 802.1X oblige un appareil à prouver son identité avant que le point d'accès ne transmette son trafic. Cette preuve voyage sous forme de messages EAP (Extensible Authentication Protocol) vers un serveur RADIUS, le service qui approuve ou rejette chaque connexion.

EAP-TLS et PEAP sont deux façons d'acheminer cette preuve. La différence réside dans ce que l'appareil présente.

• EAP-TLS est défini dans la RFC 5216 et mis à jour pour TLS 1.3 dans la RFC 9190. Le serveur et l'appareil présentent chacun un certificat numérique. L'identité repose sur une clé privée qui ne quitte jamais l'appareil.
• PEAP (Protected EAP) ne demande un certificat qu'au serveur. L'appareil crée un tunnel chiffré vers le serveur, puis y envoie un nom d'utilisateur et un mot de passe, presque toujours avec MSCHAPv2.

En résumé :

• Ordinateurs portables, tablettes, scanners et terminaux de paiement gérés : EAP-TLS.
• Téléphones personnels et appareils de prestataires externes que vous ne pouvez pas inscrire : PEAP, avec validation du certificat serveur activée.
• Visiteurs, fans, passagers et clients : aucun des deux. Utilisez un Captive Portal ou OpenRoaming via le WiFi visiteurs.

La plupart des infrastructures exécutent les deux méthodes sur un seul service RADIUS, séparées selon la propriété de l'appareil. La suite de ce guide montre où se situe cette limite et ce que coûte le fonctionnement de chaque option.

En pratique, comment EAP-TLS et PEAP diffèrent-ils ?

Comment fonctionne la poignée de main EAP-TLS

Le serveur RADIUS envoie d'abord son certificat. L'appareil le vérifie par rapport à une autorité de certification (CA) racine de confiance. L'appareil envoie ensuite son propre certificat et prouve qu'il détient la clé privée correspondante.

Le serveur confirme que le certificat de l'appareil est valide et n'a pas été révoqué. Il vérifie la révocation à l'aide d'une liste de révocation de certificats (CRL) ou du protocole OCSP (Online Certificate Status Protocol, RFC 6960). Ce n'est qu'à ce moment-là que le point d'accès autorise l'appareil.

Aucun mot de passe ne transite par le réseau à aucun moment. Un mot de passe hameçonné ne peut pas ouvrir le réseau, car le réseau n'en demande jamais.

Comment fonctionne la poignée de main PEAP

Le serveur RADIUS envoie son certificat et l'appareil le valide. Les deux parties créent un tunnel TLS. À l'intérieur de ce tunnel, l'appareil exécute MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2) par rapport à un annuaire tel qu'Active Directory. Si les identifiants correspondent, l'appareil obtient l'accès.

Microsoft, Cisco et RSA Security ont développé PEAP ensemble. Il n'est jamais devenu une norme IETF. Microsoft publie la version utilisée par la plupart des appareils dans sa spécification du protocole MS-PEAP.

Pourquoi la validation du certificat serveur détermine la sécurité de PEAP

Le tunnel protège le mot de passe uniquement si l'appareil vérifie qui se trouve à l'autre extrémité. Ignorez cette vérification, et un attaquant peut diffuser le nom de votre réseau depuis un point d'accès malveillant, connu sous le nom d'"evil twin". L'appareil effectue ensuite le processus MSCHAPv2 avec l'attaquant et lui transmet un défi et une réponse.

En 2012, l'avertissement de sécurité Microsoft 2743314 indiquait que les échanges MSCHAPv2 non encapsulés peuvent être crackés. La mesure d'atténuation de Microsoft consistait à les encapsuler dans PEAP avec validation obligatoire du certificat serveur. Cela reste la règle aujourd'hui.

EAP-TLS ne partage pas cette faiblesse. Un appareil qui se connecte à un point d'accès malveillant n'a aucun mot de passe réutilisable à céder.

Comparatif EAP-TLS vs PEAP

Deux changements de plateforme qui font pencher la balance

Windows. La documentation de Microsoft Credential Guard indique que les connexions WiFi et VPN basées sur MSCHAPv2 ne peuvent pas utiliser d'identifiants enregistrés lorsque Credential Guard est activé. Credential Guard est activé par défaut sur les appareils Windows 11 Enterprise et Education éligibles depuis la version 22H2. Microsoft recommande de passer à des méthodes basées sur des certificats telles que EAP-TLS.

Android. Les récentes versions d'Android ont supprimé l'option permettant d'ignorer la validation du certificat serveur. Les profils PEAP doivent désormais désigner un certificat d'AC et un domaine de serveur. Cela comble la faille des evil twins, mais rend la configuration manuelle plus difficile pour le personnel.

Quand EAP-TLS est-il le bon choix ?

Choisissez EAP-TLS lorsque trois conditions sont réunies : vous possédez les appareils, vous pouvez leur pousser une configuration, et un mot de passe compromis causerait un préjudice réel.

• Ordinateurs portables d'entreprise gérés via une plateforme MDM (gestion des appareils mobiles) telle que Microsoft Intune.
• Terminaux de point de vente et lecteurs portables sur les réseaux entrant dans le périmètre PCI DSS.
• Tablettes et chariots médicaux dans le secteur de la Santé, où un mot de passe partagé dans un service constitue un risque permanent.
• Appareils de back-office, de la réception et du service d'étage dans les hôtels.
• Réseaux conçus pour le mode WPA3-Enterprise 192 bits, que la spécification WPA3 associe aux suites de chiffrement EAP-TLS.

Les certificats rendent également le processus de départ extrêmement précis. Révroquez un certificat et un seul appareil perd son accès, tandis que les autres appareils de la personne continuent de fonctionner. Cela s'aligne parfaitement avec la gestion des arrivées, des transferts et des départs dans votre MDM et votre annuaire.

Stockez les clés privées en tant que non-exportables, dans le TPM (Trusted Platform Module) de l'appareil ou dans l'enclave sécurisée lorsque le matériel le prend en charge. Un certificat qui ne peut pas être copié à partir de l'appareil ne peut pas être réutilisé ailleurs.

Scénario pratique : un groupe hôtelier de 30 établissements

Les scénarios de ce guide sont des synthèses de déploiements courants et non des résultats de clients nommés.

Situation. Un groupe hôtelier gère 30 établissements d'environ 200 chambres chacun. Les ordinateurs portables du back-office, les tablettes du personnel de ménage et les PC de la réception partagent un seul réseau WiFi Personnel. Les appareils se connectent avec PEAP en utilisant une poignée de comptes Active Directory partagés. Lorsqu'une tablette disparaît, l'équipe informatique réinitialise le mot de passe partagé et reconfigure chaque appareil qui l'utilise.

Ce qui a été fait. Chaque appareil était déjà inscrit dans un MDM. L'équipe a mis en place une PKI cloud (infrastructure à clés publiques, le système qui émet et révoque les certificats). Elle a déployé les certificats d'appareil à l'aide du protocole SCEP (Simple Certificate Enrollment Protocol, RFC 8894). Le profil WiFi Personnel a ensuite basculé vers EAP-TLS. PEAP est resté actif sur le même service RADIUS pendant toute la durée de la transition. L'attribution dynamique de VLAN a placé les tablettes du personnel de ménage sur un segment différent de celui des ordinateurs de la comptabilité.

Résultat. Le nombre de comptes WiFi partagés est tombé à zéro. Une tablette perdue coûte désormais une seule révocations de certificat au lieu d'une réinitialisation de mot de passe sur des dizaines d'appareils. La rotation des mots de passe ne rompt plus le WiFi, car il n'existe plus aucun mot de passe WiFi. Vous trouverez plus d'informations sur les réseaux hôteliers sur notre page Hôtels.

Quand PEAP est-il le bon choix ?

Choisissez PEAP lorsque vous ne pouvez pas installer de certificat sur l'appareil et que la personne qui se connecte possède un compte d'annuaire.

• Le personnel utilisant des téléphones personnels dans le cadre d'une politique AVEC (apportez votre équipement personnel), où l'inscription au MDM n'est pas acceptable.
• Les prestataires, le personnel événementiel temporaire et les intérimaires disposant de comptes à durée de vie courte.
• Les parcs informatiques disposant d'Active Directory mais sans PKI, en tant qu'étape intermédiaire vers EAP-TLS.

PEAP est acceptable pour ces cas uniquement si trois contrôles sont mis en place.

1. Verrouillez la validation du certificat serveur sur chaque appareil. Nommez l'AC de confiance et le nom exact du serveur. Déployez-le via une stratégie de groupe (GPO), un profil MDM ou un outil d'intégration, jamais manuellement.
2. Conservez un certificat serveur prévisible. Émettez-le à partir d'une AC à laquelle vos appareils font déjà confiance et maintenez le nom du serveur stable au fil des renouvellements.
3. Renforcez le mot de passe de l'annuaire. PEAP n'est aussi solide que le mot de passe transmis dans le tunnel. Imposez une longueur minimale et bloquez les mots de passe compromis connus au niveau de l'annuaire.

Scénario pratique : un centre de conférence avec du personnel saisonnier

Situation. Un centre de conférences et d'événements en centre-ville embauche environ 300 employés temporaires à chaque haute saison. Ils utilisent leurs propres téléphones pour le planning et les applications radio. Le site ne peut pas leur demander d'inscrire leurs téléphones personnels dans un MDM. Jusqu'alors, un mot de passe WPA2-Personal partagé était affiché sur le panneau d'information de la salle du personnel.

Ce qui a été fait. L'équipe informatique a créé un compte d'annuaire avec une date de fin pour chaque travailleur temporaire. Le WiFi du personnel a migré vers PEAP. Un profil d'intégration à usage unique a fixé l'AC et le nom de serveur sur chaque téléphone. Les comptes se désactivent automatiquement à la date de fin du contrat. Les participants sont restés sur un réseau séparé avec Captive Portal.

Résultat. Le mot de passe partagé a été abandonné. Les personnes qui quittent l'entreprise perdent désormais leur accès à la date de fin de leur contrat, et non lors du prochain changement de mot de passe. Chaque connexion du personnel est associée à un compte nommé dans les journaux RADIUS, que l'équipe de sécurité peut auditer après chaque événement.

Combien coûtent l'exécution d'EAP-TLS et de PEAP ?

Aucun de ces deux protocoles ne nécessite de frais de licence. Tous deux sont intégrés dans Windows, macOS, iOS, Android et ChromeOS. Le coût réside dans l'infrastructure et le temps passé par le personnel.

Où se situent les dépenses pour EAP-TLS

EAP-TLS implique des coûts initiaux. Vous payez pour une IGP et le temps de travail nécessaire à la conception des modèles de certificats, à l'inscription et à la révocation. Si vous utilisez déjà un MDM, une grande partie du coût de déploiement est couverte. Après le lancement, la principale tâche récurrente est le renouvellement des certificats, qu'un MDM automatise.

Où se situent les dépenses pour PEAP

PEAP commence de manière économique mais coûte plus cher au fil du temps. Chaque changement de mot de passe peut laisser des identifiants obsolètes sur les téléphones et les ordinateurs portables. Des tentatives manquées répétées peuvent ensuite verrouiller le compte dans Active Directory, ce qui génère un ticket d'assistance informatique. Ces coûts évoluent en fonction de l'effectif et de la fréquence de rotation des mots de passe.

Surveillez la durée de vie du certificat de serveur

Si votre certificat de serveur RADIUS provient d'une AC publique, sa durée de vie se réduit. Le bulletin SC-081 du CA/Browser Forum réduit les durées de vie maximales des certificats TLS publics par étapes. La limite passe à 200 jours à partir de mars 2026 et à 47 jours à partir de mars 2029. De nombreuses équipes émettent plutôt le certificat RADIUS à partir d'une AC privée, ce qui permet de conserver les renouvellements selon leur propre calendrier.

Le coût des erreurs

Le rapport IBM sur le coût des violations de données 2024 indique que le coût moyen mondial d'une violation s'élève à 4,88 millions USD. Les identifiants volés ou compromis figuraient parmi les vecteurs d'attaque initiaux les plus courants dans ce rapport. EAP-TLS élimine les mots de passe WiFi de la surface d'attaque pour chaque appareil qu'il protège.

Scénario concret : un détaillant de 120 magasins

Situation. Un détaillant exploite 120 magasins équipés de lecteurs portables et d'appareils de point de vente mobiles fonctionnant sous PEAP. Ces appareils partagent un compte de service. Chaque rotation programmée de ce compte provoquait des échecs d'authentification pendant la nuit dans les magasins où les appareils conservaient l'ancien mot de passe.

Action réalisée. L'équipe informatique a fait passer les lecteurs et les appareils de paiement à EAP-TLS, en utilisant le MDM qu'elle exploitait déjà. Chaque appareil a reçu son propre certificat. Les téléphones du personnel sont restés sous PEAP, sur un VLAN séparé sans acheminement vers l'environnement des données de cartes de paiement.

Résultat. Les pannes le jour de la rotation ont cessé, car les appareils concernés ne dépendaient plus d'un mot de passe partagé. La révocation s'effectue désormais par appareil et non plus par magasin. Les contrôles trimestriels des points d'accès malveillants requis par la norme PCI-DSS 11.2.1 se sont poursuivis sans changement. Consultez notre page Secteur de la vente au détail pour en savoir plus sur les réseaux en magasin.

Qu'est-ce qui perturbe chaque protocole et comment l'éviter ?

Certificats expirés

Si le certificat de l'autorité de certification ou du serveur RADIUS expire, toutes les authentifications échouent simultanément. Cela affecte aussi bien EAP-TLS que PEAP. Configurez des alertes à 90, 30 et 7 jours avant chaque date d'expiration, et désignez un responsable pour chaque certificat.

Validation du serveur désactivée

Un profil PEAP qui omet la validation du serveur transmet des identifiants à n'importe quel point d'accès malveillant (evil twin). Auditez régulièrement les profils d'appareils et intégrez ce contrôle à votre revue de sécurité. Supprimez toute instruction de configuration manuelle demandant au personnel d'appuyer sur "Ne pas valider".

Latence RADIUS et points de défaillance uniques

L'authentification se trouve sur le parcours critique. Une latence élevée entre le contrôleur, le serveur RADIUS et l'annuaire entraîne des dépassements de délai EAP. Exécutez RADIUS avec de la redondance, ou utilisez un RADIUS cloud couvrant plusieurs régions. Pour les installations distribuées comme les gares et le matériel roulant des Transports ferroviaires, placez un proxy RADIUS local à proximité des points d'accès.

Points d'accès malveillants

Utilisez la détection d'intrusion sans fil intégrée à votre plateforme de points d'accès pour signaler les appareils non autorisés en continu. Si vous acceptez les paiements par carte, la exigence PCI-DSS 11.2.1 vous impose de tester la présence de points d'accès non autorisés au moins tous les trois mois.

Un réseau plat après l'authentification

Une connexion 802.1X réussie ne doit pas ouvrir l'ensemble du réseau. Utilisez l'attribution dynamique de VLAN, où RADIUS renvoie le VLAN (LAN virtuel) pour chaque appareil à l'aide des attributs définis dans la norme RFC 3580. Les appareils de paiement, les téléphones du personnel et les systèmes du bâtiment se retrouvent ainsi sur des segments distincts dotés de leurs propres contrôles d'accès.

Comment décider pour votre infrastructure ?

Partez de la propriété des appareils, et non de la préférence pour un protocole. Le tableau ci-dessous associe les situations courantes à une recommandation.

L'iPSK (identity pre-shared key, également appelé PPSK) attribue à chaque appareil ou groupe sa propre clé WiFi sur un seul nom de réseau. Utilisez-le pour les appareils qui ne peuvent pas exécuter de supplicant 802.1X.

Un parcours en quatre étapes pour prendre une décision

1. Inventoriez les appareils par propriété. Séparez-les en appareils gérés par l'entreprise, personnels, headless et visiteurs.
2. Vérifiez ce que vous utilisez déjà. Un MDM existant fait de l'EAP-TLS pour les appareils gérés un projet très accessible.
3. Définissez l'état cible. EAP-TLS pour chaque appareil géré, PEAP uniquement lorsque l'enrôlement est impossible.
4. Migrez sur place. Exécutez les deux méthodes sur un seul service RADIUS, déplacez les appareils gérés vers EAP-TLS, puis supprimez leurs profils PEAP.

Quelle est la place de Purple ?

Purple est indépendant du matériel. Nous fonctionnons comme une superposition cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Il n'y a pas de remplacement brutal. Purple s'ajoute par-dessus le réseau que vous utilisez aujourd'hui.

Pour le personnel et les résidents, les réseaux basés sur l'identité de Purple lient l'accès WiFi du personnel et le WiFi multi-occupants à l'identité. Ils fonctionnent via un RADIUS-as-a-Service cloud relié à Microsoft Entra ID, Okta ou Google Workspace. Les arrivées, changements de poste et départs sont ensuite gérés à partir de l'annuaire et non manuellement. Les appareils qui ne peuvent pas exécuter 802.1X reçoivent un iPSK.

Pour les visiteurs, le WiFi invités de Purple propose un Captive Portal - une page web affichée avant l'accès - avec des options d'adhésion par choix conscient. Il prend également en charge OpenRoaming, la fédération de la Wireless Broadband Alliance basée sur Passpoint. OpenRoaming permet aux appareils déjà enregistrés de se connecter automatiquement via une connexion chiffrée. Le forfait Connect de Purple comprend un fournisseur d'identité pour OpenRoaming. WiFi Analytics transforme ensuite ces connexions en données propriétaires sur le temps de séjour et les visites récurrentes.

Purple fonctionne sur plus de 80 000 sites actifs et a géré 440 millions de connexions en 2024 (données internes de Purple). Purple est certifié ISO 27001, conforme au GDPR et certifié Cyber Essentials.

Foire aux questions

L'EAP-TLS est-il plus sécurisé que le PEAP ?

Oui. EAP-TLS authentifie les deux parties avec des certificats, de sorte qu'il n'y a pas de mot de passe à pirater par hameçonnage, à deviner ou à intercepter depuis un point d'accès piraté. PEAP protège un mot de passe dans un tunnel chiffré. Sa sécurité dépend de la validation du certificat du serveur par chaque appareil. Bien configuré, PEAP est acceptable pour les appareils personnels. Pour les appareils appartenant à l'entreprise, les terminaux de paiement et les équipements cliniques, EAP-TLS élimine toute une catégorie d'attaques par identifiants.

La norme PCI-DSS exige-t-elle EAP-TLS pour les réseaux sans fil ?

Non. PCI-DSS v4.0 ne nomme pas de méthode EAP. Elle exige une cryptographie forte sur les réseaux sans fil véhiculant des données de cartes de paiement et des contrôles trimestriels des points d'accès non autorisés conformément à l'exigence 11.2.1. Elle définit également des contrôles de mots de passe partout où ils sont utilisés. EAP-TLS exclut les mots de passe WiFi du périmètre d'évaluation pour les appareils concernés, ce qui simplifie vos preuves de conformité. PEAP peut également être conforme si la validation du serveur et la politique de mots de passe sont appliquées et documentées.

Pouvons-nous passer de PEAP à EAP-TLS sans interruption de service ?

Oui. Un seul service RADIUS peut accepter les deux méthodes sur le même nom de réseau. Chaque appareil utilise la méthode spécifiée par son profil. Émettez les certificats et déployez le nouveau profil EAP-TLS via votre MDM, puis observez les journaux RADIUS au fur et à mesure que les appareils basculent. Lorsque plus aucun appareil géré ne s'authentifie avec PEAP, supprimez leurs profils PEAP. Conservez PEAP uniquement pour les appareils personnels que vous ne pouvez pas enrôler.

Avons-nous besoin d'un MDM pour utiliser EAP-TLS ?

Au-delà de quelques appareils, oui dans la pratique. Chaque appareil a besoin d'un certificat, d'une autorité de certification (CA) de confiance et d'un profil WiFi. Chaque certificat doit également être renouvelé avant son expiration. Un MDM tel que Microsoft Intune automatise cela via SCEP ou un protocole d'enrôlement similaire. Sans MDM, un outil d'intégration peut installer des certificats sur les appareils personnels, mais l'installation manuelle ne peut pas être généralisée au-delà d'un projet pilote.

Combien coûte EAP-TLS par rapport à PEAP ?

Aucun des deux protocoles ne nécessite de frais de licence. La différence réside dans l'infrastructure et le temps consacré par le personnel. PEAP a besoin d'un service RADIUS, d'un certificat serveur et d'un annuaire que vous utilisez probablement déjà. EAP-TLS ajoute une PKI, dans le cloud ou sur site, et un MDM pour délivrer et renouveler les certificats. Si vous payez déjà pour un MDM, le coût supplémentaire concerne principalement la PKI. En contrepartie, les réinitialisations de mots de passe WiFi et les blocages liés à leur renouvellement disparaissent.

Est-ce que Purple fonctionnera avec les points d'accès que nous possédons déjà ?

Oui. Purple est indépendant du matériel et fonctionne comme une superposition cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Tous ces équipements prennent en charge 802.1X avec un serveur RADIUS externe. Vos points d'accès ne limitent pas le choix entre EAP-TLS et PEAP. Aucun remplacement n'est nécessaire : Purple s'intègre directement au-dessus du réseau que vous utilisez aujourd'hui.

Les invités doivent-ils utiliser EAP-TLS ou PEAP ?

Non. Les deux protocoles supposent une personne connue ou un appareil géré, ce que les clients d'hôtels, de stades et de gares ne sont pas. Utilisez un Captive Portal pour les acceptations et les conditions d'utilisation. Utilisez OpenRoaming, basé sur Passpoint, afin que les appareils déjà enregistrés se connectent automatiquement via une liaison chiffrée. Le WiFi invités de Purple couvre les deux, et le forfait Connect inclut un fournisseur d'identité pour OpenRoaming.

Le protocole PEAP est-il toujours sûr à utiliser en 2026 ?

Oui, dans certaines limites. PEAP avec validation verrouillée du certificat de serveur et des mots de passe d'annuaire forts reste un choix raisonnable pour les appareils personnels. Son rôle diminue sur Windows, où Credential Guard bloque les identifiants MSCHAPv2 enregistrés. Microsoft recommande d'utiliser plutôt l'authentification basée sur des certificats. Planifiez EAP-TLS pour chaque appareil Windows géré, et conservez PEAP pour les appareils que vous ne contrôlez pas.