EAP-TLS vs. PEAP: quale protocollo di autenticazione è ideale per la tua rete?

EAP-TLS vs PEAP: quale protocollo di autenticazione è ideale per la tua rete? Un briefing tecnico firmato Purple [INTRODUZIONE - circa 1 minuto] Benvenuti al briefing tecnico di Purple. Sono il vostro presentatore e oggi affronteremo una delle decisioni più cruciali che vi troverete a prendere durante la progettazione o l'aggiornamento della vostra infrastruttura wireless aziendale: la scelta tra EAP-TLS e PEAP per il vostro framework di autenticazione 802.1X. Se siete un IT manager, un progettista di rete o un CTO responsabile di un gruppo alberghiero, di un patrimonio retail, di uno stadio o di un'organizzazione del settore pubblico, questa decisione influisce sulla vostra postura di sicurezza, sulla conformità e sul carico di lavoro operativo quotidiano del vostro team. Andiamo quindi dritti al punto. Sia EAP-TLS che PEAP sono metodi di autenticazione 802.1X. Entrambi si affidano a un server RADIUS per gestire le richieste di autenticazione ed entrambi offrono una sicurezza notevolmente superiore rispetto a una passphrase WPA2 condivisa. Tuttavia, il modo in cui verificano l'identità è fondamentalmente diverso - e questa differenza ha implicazioni importanti sulle modalità di implementazione, gestione e scalabilità della rete. [APPROFONDIMENTO TECNICO - circa 5 minuti] Iniziamo con EAP-TLS - Extensible Authentication Protocol Transport Layer Security. EAP-TLS rappresenta il gold standard dell'autenticazione WiFi aziendale. La caratteristica distintiva è l'autenticazione reciproca basata su certificati. All'atto pratico, questo significa che quando un dispositivo tenta di connettersi alla rete, il server RADIUS presenta un certificato digitale al dispositivo. Il dispositivo verifica tale certificato confrontandolo con le proprie Autorità di Certificazione attendibili. Ma ecco la differenza fondamentale rispetto a PEAP - il dispositivo presenta a sua volta il proprio certificato al server. Il server convalida questo certificato client e l'accesso alla rete viene concesso solo se entrambi i certificati sono validi e attendibili. Non ci sono password di mezzo. Nessuna. L'autenticazione si basa interamente sui certificati. Questo rende EAP-TLS straordinariamente resistente al furto di credenziali, agli attacchi a dizionario e agli attacchi Man-in-the-Middle. È semplicemente impossibile rubare una password che non esiste all'interno del flusso di autenticazione. Il compromesso, d'altra parte, risiede nella complessità di implementazione. Per gestire EAP-TLS su vasta scala, è necessaria una Public Key Infrastructure - una PKI - per emettere, gestire e revocare i certificati per ogni singolo dispositivo presente sulla rete. È inoltre necessaria una soluzione di Mobile Device Management per inviare questi certificati in modo silenzioso agli endpoint. Se gestite un parco dispositivi aziendale con Microsoft Intune o Jamf, questo è assolutamente fattibile. In caso contrario, l'adozione di EAP-TLS diventa un'impresa significativa. L'altra considerazione operativa riguarda la gestione del ciclo di vita dei certificati. I certificati scadono. Se il certificato del server RADIUS scade, l'autenticazione di ogni singolo dispositivo sulla rete fallirà nello stesso momento. Si tratta di un disservizio catastrofico. I processi di monitoraggio e rinnovo dei certificati sono assolutamente indispensabili. Ora esaminiamo PEAP - Protected Extensible Authentication Protocol. PEAP è stato progettato per risolvere la complessità di implementazione di EAP-TLS, offrendo al contempo una sicurezza robusta. L'intuizione chiave alla base di PEAP è questa: solo il server ha bisogno di un certificato. Il client non ne ha bisogno. Ecco come funziona. Il server RADIUS presenta il suo certificato al dispositivo client. Il client valida il server - proprio come in EAP-TLS. Questo stabilisce un tunnel TLS crittografato. All'interno di quel tunnel, il client esegue quindi l'autenticazione standard basata su password, solitamente utilizzando MSCHAPv2, rispetto al tuo archivio di identità - Active Directory, LDAP, Google Workspace, qualunque cosa tu stia utilizzando. La password non viaggia mai in chiaro. È sempre protetta all'interno del tunnel crittografato. Quindi PEAP è realmente sicuro - a condizione che sia configurato correttamente. Ed è qui che dobbiamo parlare della configurazione errata più comune e più pericolosa nelle distribuzioni PEAP. Se un dispositivo client non è configurato per convalidare rigorosamente il certificato del server RADIUS, un utente malintenzionato può configurare un access point fittizio con lo stesso nome di rete, presentare un certificato fraudolento e il dispositivo si connetterà senza problemi. L'autore dell'attacco acquisisce quindi lo scambio di autenticazione MSCHAPv2, che può essere decifrato offline. Questo non è un attacco teorico - è una tecnica ampiamente documentata utilizzata nei penetration test del mondo reale. La soluzione è semplice: utilizzare Group Policy, profili MDM o strumenti di onboarding per imporre una rigorosa convalida del certificato del server su ogni dispositivo client. Ma la realtà operativa è che negli ambienti BYOD, garantire che questa configurazione sia applicata in modo coerente su migliaia di dispositivi personali non gestiti è davvero difficile. Lascia che ti faccia un confronto concreto. Considera una catena di negozi con 500 sedi. Hanno tablet aziendali e scanner portatili, tutti gestiti tramite Microsoft Intune. EAP-TLS è la scelta giusta. Intune distribuisce i certificati automaticamente. Se uno scanner viene smarrito, l'IT revoca il suo certificato e questo viene rimosso dalla rete in pochi minuti - nessun ripristino della password, nessuna modifica della passphrase condivisa in 500 negozi. La sicurezza è assoluta. Ora considera un grande centro congressi che gestisce il WiFi per 3.000 membri del personale sui loro dispositivi personali. Nessun MDM. Il personale utilizza Google Workspace. PEAP integrato con Google Secure LDAP è la scelta pragmatica. Il personale si autentica con le proprie credenziali standard. Il team IT fornisce la documentazione di onboarding per configurare la convalida del certificato. È distribuibile in pochi giorni, non mesi. L'architettura alla base di entrambi i protocolli è lo stesso modello 802.1X a tre componenti: il supplicant - cioè il dispositivo client - l'authenticator, che è il tuo access point o switch, e il server RADIUS. L'authenticator funge da guardiano, bloccando tutto il traffico fino a quando il server RADIUS non segnala che l'autenticazione è andata a buon fine. [CONSIGLI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE - circa 2 minuti] Quali sono quindi le raccomandazioni pratiche? Primo: se disponete di una soluzione MDM e di dispositivi aziendali, distribuite EAP-TLS. L'investimento iniziale in PKI e gestione dei certificati ripaga con una riduzione dei rischi e audit di conformità semplificati. Per gli ambienti regolamentati - sanità, finanza, settore pubblico - questo non è opzionale. È l'architettura che i vostri auditor si aspettano di vedere. Secondo: se gestite un ambiente BYOD o non disponete di un'infrastruttura MDM, distribuite PEAP. Ma non saltate la configurazione di convalida del certificato del server. Utilizzate strumenti di onboarding, portali di controllo dell'accesso alla rete o profili MDM, ove possibile, per imporla. Consideratela come una fase di implementazione obbligatoria, non come una misura di hardening opzionale. Terzo: indipendentemente dal protocollo scelto, integrate la ridondanza RADIUS nella vostra architettura. L'autenticazione è un percorso critico. Un singolo guasto del server RADIUS significa che nessuno può accedere alla rete. Le soluzioni RADIUS in cloud possono offrire resilienza senza l'onere di gestire un'infrastruttura on-premises ridondante. Quarto: segmentate la rete dopo l'autenticazione. Un'autenticazione 802.1X riuscita non dovrebbe garantire un accesso illimitato a tutta la rete aziendale. Utilizzate i criteri di assegnazione VLAN per collocare gli utenti nei segmenti di rete appropriati con i relativi controlli di accesso. Le insidie comuni da evitare: la scadenza dei certificati che causa errori di autenticazione di massa nelle implementazioni EAP-TLS; i dispositivi client che non convalidano i certificati del server nelle implementazioni PEAP; e i problemi di timeout RADIUS causati dall'elevata latenza tra il controller wireless e il server di autenticazione - particolarmente rilevanti in realtà distribuite geograficamente. [DOMANDE E RISPOSTE RAPIDE - circa 1 minuto] Permettetemi di passare in rassegna alcune domande che sento di frequente. Posso eseguire sia EAP-TLS che PEAP sulla stessa rete? Sì. Molte organizzazioni eseguono EAP-TLS per i dispositivi aziendali su un SSID e PEAP per il BYOD o l'accesso ospiti su un SSID separato, con un'appropriata segmentazione della rete tra di essi. La tecnologia WPA3 cambia questa decisione? WPA3 Enterprise impone la modalità di sicurezza a 192 bit per le distribuzioni ad alta sicurezza, che si allinea con EAP-TLS. WPA3 Personal utilizza SAE anziché PSK, ma per le distribuzioni aziendali 802.1X, la selezione del metodo EAP rimane pertinente. PEAP è conforme a PCI-DSS? Sì, se configurato correttamente con la convalida del certificato del server imposta. Tuttavia, per gli ambienti che gestiscono i dati dei titolari di carta, EAP-TLS è sempre più l'approccio raccomandato nelle valutazioni di sicurezza. E per quanto riguarda OpenRoaming? OpenRoaming utilizza l'autenticazione basata su certificati dietro le quinte, allineandosi ai principi EAP-TLS. Piattaforme come Purple possono fungere da identity provider per OpenRoaming, consentendo un roaming sicuro e trasparente tra le sedi senza ripetere l'autenticazione. [RIASSUNTO E PROSSIMI PASSI - circa 1 minuto] Per riassumere: EAP-TLS è l'opzione con il livello di sicurezza più elevato, che elimina completamente le password grazie all'autenticazione reciproca tramite certificato. Richiede un'infrastruttura PKI e MDM ma offre la postura di conformità più solida e il controllo degli accessi a livello di dispositivo più granulare. PEAP è la scelta pragmatica per il BYOD e per gli ambienti privi di infrastruttura di gestione dei certificati, in quanto fornisce una solida autenticazione crittografata utilizzando le credenziali esistenti - ma solo quando la convalida del certificato del server viene applicata in modo rigoroso. Il quadro decisionale è semplice: se gestisci i tuoi dispositivi, usa EAP-TLS. Se i tuoi utenti utilizzano i propri dispositivi personali, usa PEAP - ma configuralo correttamente. Per i prossimi passi: esegui un audit della tua attuale configurazione di autenticazione, valuta lo stato di preparazione di PKI e MDM e analizza la tua infrastruttura RADIUS per verificarne la ridondanza e la latenza. Se stai distribuendo o aggiornando il WiFi per gli ospiti insieme alla tua rete aziendale, valuta come una piattaforma come Purple possa integrarsi con il tuo framework di autenticazione per fornire sia sicurezza che analisi utili direttamente dalla tua rete. Grazie per aver ascoltato il Purple Technical Briefing. Alla prossima.