Confronto tra Metodi EAP (PEAP, EAP-TLS, EAP-TTLS, EAP-FAST): Guida a 802.1X Enterprise
Confronta i protocolli di autenticazione EAP per 802.1X enterprise: livelli di sicurezza, requisiti dei certificati client, complessità PKI e integrazione RADIUS per WPA3-Enterprise.
Video overview
Parte della nostra serie principale: Guida alla Sicurezza delle Reti WiFi Enterprise →
Executive summary - Confronto tra protocolli EAP
- EAP-TLS (Extensible Authentication Protocol - Transport Layer Security): Offre la massima sicurezza zero-trust attraverso l'autenticazione reciproca dei certificati X.509. Elimina il furto di password e gli attacchi RADIUS non autorizzati.
- PEAP-MSCHAPv2 (Protected EAP): Ampiamente distribuito negli ambienti legacy Active Directory, ma vulnerabile alla raccolta di password se i client non convalidano rigorosamente i certificati del server.
- EAP-TTLS (Tunneled TLS): Stabilisce un tunnel TLS esterno crittografato per l'autenticazione interna (PAP, MSCHAPv2). Ideale per i provider di identità cloud come Okta e Google Workspace su dispositivi BYOD.
- EAP-FAST (Flexible Authentication via Secure Tunneling): Sviluppato da Cisco per sostituire LEAP utilizzando le Protected Access Credentials (PAC). Sostituito da EAP-TLS nelle moderne architetture WPA3-Enterprise.
Che cos'è l'Extensible Authentication Protocol (EAP)?
Extensible Authentication Protocol (EAP) è un framework di autenticazione definito da RFC 3748 che consente la verifica sicura dell'identità sulle reti wireless aziendali 802.1X. Piuttosto che specificare un singolo meccanismo di autenticazione, l'EAP supporta molteplici metodi di autenticazione - che vanno dalle password e dai token ai certificati digitali - trasportati tra il dispositivo client (supplicant), l'access point wireless (authenticator) e il server RADIUS (authentication server).
La selezione del corretto metodo EAP determina il livello di sicurezza della rete, l'esperienza utente e il sovraccarico operativo della public key infrastructure (PKI) durante l'implementazione di reti WiFi WPA2-Enterprise o WPA3-Enterprise.
Panoramica comparativa dei protocolli di autenticazione EAP 802.1X
La tabella seguente riassume le principali differenze architetturali, i requisiti dei certificati e i livelli di sicurezza tra i principali metodi EAP aziendali:
| Metodo EAP | Tunnel esterno | Certificato client | Certificato server | Livello di sicurezza |
|---|---|---|---|---|
| EAP-TLS | TLS mutuo (RFC 5216) | Richiesto | Richiesto | Massimo (Zero-Trust) |
| PEAP-MSCHAPv2 | Tunnel TLS (Fase 1) | Non richiesto | Richiesto | Moderato (dipendente da password) |
| EAP-TTLS | Tunnel TLS (RFC 5281) | Opzionale | Richiesto | Alto |
| EAP-FAST | Scambio chiavi PAC (RFC 4851) | Non richiesto | Opzionale (In-band) | Legacy (Deprecato) |
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.
EAP-TLS: Lo standard di riferimento per la sicurezza WiFi aziendale zero-trust
EAP-TLS (definito nella specifica RFC 5216) utilizza l'autenticazione reciproca dei certificati. Sia il dispositivo client che il server RADIUS presentano certificati digitali X.509 firmati da un'autorità di certificazione (CA) attendibile prima che venga concesso l'accesso alla rete.
I principali vantaggi di EAP-TLS includono:
- Eliminazione completa delle password: Gli utenti non inseriscono mai le password di Active Directory o del provider di identità via etere.
- Immunità agli AP non autorizzati: Anche se un utente malintenzionato distribuisce un access point non autorizzato, il dispositivo client verifica la catena dell'autorità di certificazione del server RADIUS e rifiuta la connessione se non è valida.
- Distribuzione MDM fluida: Le piattaforme MDM aziendali - come Microsoft Intune, Jamf e Kandji - emettono automaticamente i certificati client tramite SCEP (Simple Certificate Enrollment Protocol).
PEAP-MSCHAPv2: Autenticazione Active Directory legacy e fattori di rischio
Protected EAP (PEAP) incapsula le credenziali dell'utente all'interno di un tunnel TLS crittografato. Nella Fase 1, il server RADIUS dimostra la propria identità utilizzando un certificato server. Nella Fase 2, il client si autentica utilizzando gli hash delle password MSCHAPv2.
Sebbene PEAP-MSCHAPv2 rimanga diffuso a causa del supporto nativo per Windows Active Directory, i team IT si trovano ad affrontare rischi di vulnerabilità critici. Se gli utenti finali collegano dispositivi BYOD non gestiti senza convalidare il certificato del server RADIUS, i malintenzionati possono lanciare attacchi Evil Twin per acquisire le risposte di verifica MSCHAPv2 e decifrare gli hash delle password NTLM offline.
EAP-TTLS: Autenticazione interna flessibile per identity provider cloud
EAP-TTLS (RFC 5281) funziona in modo simile a PEAP creando un tunnel esterno TLS sicuro, ma supporta una gamma più ampia di protocolli di autenticazione interna, tra cui PAP, CHAP, MSCHAPv2 e token personalizzati.
Per le organizzazioni che migrano da Active Directory on-premises a identity provider cloud (come Okta Universal Directory o Google Workspace), EAP-TTLS consente l'autenticazione sicura tramite le API cloud attraverso integrazioni RADIUS specializzate, senza la necessità di registrare un'intera PKI client sui dispositivi BYOD.
EAP-FAST: Autenticazione PAC legacy di Cisco
Cisco ha introdotto EAP-FAST (RFC 4851) come alternativa proprietaria a LEAP. Utilizza le Protected Access Credentials (PAC) - chiavi simmetriche fornite fuori banda o dinamicamente - per stabilire un tunnel sicuro senza richiedere certificati server.
A causa dell'adozione universale delle infrastrutture di certificati X.509 e delle moderne piattaforme RADIUS, EAP-FAST è ora classificato come protocollo legacy. I team IT aziendali che migrano a 802.11ax (WiFi 6) e 802.11be (WiFi 7) dovrebbero trasferire le configurazioni EAP-FAST esistenti a EAP-TLS o EAP-TTLS.
Come Purple Cloud RADIUS semplifica i protocolli 802.1X e WPA3-Enterprise
La distribuzione dell'autenticazione aziendale 802.1X richiedeva storicamente complessi cluster di server RADIUS in locale, Active Directory Network Policy Server (NPS) e un'infrastruttura PKI dedicata. Purple Cloud RADIUS elimina i costi generali dell'hardware offrendo un'autenticazione 802.1X nativa del cloud integrata direttamente con l'hardware wireless Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti UniFi e Mist.
Con Purple Cloud RADIUS, i team IT aziendali ottengono la registrazione automatizzata dei certificati SCEP/PKI, l'assegnazione dinamica delle VLAN e la sincronizzazione diretta con Microsoft Entra ID, Google Workspace e Okta.
Definizioni chiave
EAP-TLS (EAP Transport Layer Security)
Un metodo Extensible Authentication Protocol che richiede sia al server RADIUS sia al dispositivo client di presentare certificati digitali X.509 validi, eliminando la dipendenza dalle password degli utenti.
Protocollo di autenticazione reciproca 802.1X basato su certificati.
PEAP (Protected Extensible Authentication Protocol)
Un protocollo di autenticazione che stabilisce un tunnel TLS crittografato utilizzando un certificato lato server, all'interno del quale vengono autenticate le credenziali dell'utente (come MSCHAPv2).
Protocollo di autenticazione 802.1X basato su tunnel e password.
EAP-TTLS (Tunneled Transport Layer Security)
Un metodo EAP simile a PEAP che crea un tunnel TLS sicuro con certificati server, consentendo vari protocolli di autenticazione interni, comprese le credenziali legacy non-EAP.
Protocollo di autenticazione flessibile 802.1X basato su tunnel.
EAP-FAST (Flexible Authentication via Secure Tunneling)
Un metodo EAP sviluppato da Cisco che sostituisce i certificati dell'infrastruttura a chiave pubblica (PKI) con credenziali di accesso protetto (PAC) per stabilire il tunnel TLS.
Protocollo di autenticazione 802.1X sviluppato da Cisco.
Protected Management Frames (PMF / 802.11w)
Uno standard IEEE che crittografa i frame di gestione unicast e broadcast per prevenire la deautenticazione wireless, la disassociazione e l'impersonificazione da parte di AP non autorizzati.
Standard obbligatorio di protezione dei frame nelle reti WPA3.
Esempi pratici
Un fornitore di servizi sanitari che gestisce 3.500 tablet clinici deve selezionare un metodo di autenticazione 802.1X. La politica di sicurezza impone la totale assenza di affidamento sulle password degli utenti e una protezione rigorosa contro l'intercettazione delle credenziali da parte di access point non autorizzati. Quale metodo EAP dovrebbe essere implementato e perché?
- Distribuire EAP-TLS su tutta la flotta di tablet clinici utilizzando la registrazione automatizzata dei certificati PKI tramite MDM (Microsoft Intune o Jamf). 2. EAP-TLS impone l'autenticazione reciproca: il server RADIUS autentica il certificato del client e il tablet autentica il certificato del server. 3. Poiché non vengono trasmesse password o hash degli utenti, gli aggressori che gestiscono access point non autorizzati non possono raccogliere credenziali. 4. EAP-TLS soddisfa i requisiti HIPAA e PCI-DSS v4.0 (Requisito 4.2.1) per un controllo degli accessi sicuro.
Il team di rete di un'università supporta 12.000 dispositivi BYOD non gestiti degli studenti che si connettono al WiFi del campus. L'assistenza IT non può gestire l'installazione dei certificati sul lato client per ogni studente. Quale metodo EAP offre il miglior compromesso tra sicurezza e facilità di onboarding?
- Implementare EAP-TTLS (o PEAP) sulla rete 802.1X degli studenti. 2. EAP-TTLS richiede solo un certificato lato server sul server RADIUS, evitando il sovraccarico di installazione dei certificati sui client. 3. Gli studenti si autenticano utilizzando le loro credenziali esistenti dell'università tramite Active Directory o Microsoft Entra ID all'interno del tunnel TLS crittografato. 4. Distribuire i profili di configurazione di rete tramite un portale di onboarding automatizzato per imporre la convalida del certificato CA del server sui dispositivi degli studenti.
Domande di esercitazione
Q1. Perché EAP-TLS è considerato significativamente più sicuro contro gli attacchi Man-in-the-Middle (MitM) rispetto a PEAP-MSCHAPv2?
Suggerimento: Considera i tipi di credenziali di autenticazione e i profili di vulnerabilità legati agli AP non autorizzati.
Visualizza risposta modello
EAP-TLS utilizza l'autenticazione reciproca dei certificati, in cui sia il client sia il server presentano certificati X.509 emessi da una CA attendibile. PEAP-MSCHAPv2 trasmette le password degli utenti all'interno di un tunnel autenticato dal server; se un client non convalida rigorosamente il certificato del server, un AP non autorizzato può intercettare gli hash di tipo challenge-response MSCHAPv2 per decifrarli offline.
Q2. Quale meccanismo unico utilizza EAP-FAST per stabilire un tunnel sicuro senza richiedere certificati server?
Suggerimento: Concentrati sul meccanismo di gestione delle chiavi utilizzato al posto dei certificati PKI.
Visualizza risposta modello
EAP-FAST utilizza le Protected Access Credentials (PAC), che sono chiavi simmetriche fornite in modo dinamico o out-of-band per stabilire un tunnel TLS tra il client e il server di autenticazione senza la distribuzione di certificati PKI.
Continua a leggere questa serie
Guida per amministratori di rete alla configurazione dell'autenticazione RADIUS per il WiFi ospiti
Un riferimento tecnico completo per gli amministratori di rete sulla distribuzione dell'autenticazione RADIUS per il WiFi ospiti. Copre l'architettura, i passaggi di configurazione indipendenti dal fornitore, le migliori pratiche di sicurezza e la risoluzione dei problemi comuni di implementazione.
Implementazione di SCEP per BYOD sicuro e WiFi 802.1X nell'istruzione superiore
Questa guida tecnica illustra come i team IT dell'istruzione superiore possono automatizzare la registrazione dei certificati 802.1X per migliaia di dispositivi BYOD tramite SCEP. Copre l'architettura, i vantaggi in termini di sicurezza e i passaggi pratici di distribuzione per sostituire il provisioning manuale con un modello di accesso alla rete sicuro e zero-touch.
Configuring RADIUS Authentication for Guest and Staff WiFi Networks
Questa guida di riferimento tecnica descrive l'architettura, la configurazione e l'implementazione dell'autenticazione RADIUS per le reti WiFi aziendali per ospiti e personale. Fornisce ai network architect e ai manager IT i protocolli esatti, gli standard di sicurezza e le metodologie di risoluzione dei problemi necessari per creare sistemi di controllo degli accessi wireless sicuri e scalabili.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.