EAP-TLS vs. PEAP: quale protocollo di autenticazione è ideale per la tua rete?

Scegli EAP-TLS quando controlli i dispositivi. Ogni dispositivo dimostra la propria identità con un certificato, quindi non c'è alcuna password da sottrarre con il phishing o da violare. Scegli PEAP quando non puoi rilasciare certificati, ad esempio sui dispositivi personali, e imponi la convalida del certificato del server su ogni client. Nessuno dei due è adatto agli ospiti anonimi, quindi usa invece un Captive Portal o OpenRoaming.

Dovresti scegliere EAP-TLS o PEAP?

Entrambi i protocolli funzionano all'interno dello standard IEEE 802.1X per il controllo dell'accesso alla rete basato su porte. L'802.1X fa sì che un dispositivo dimostri la propria identità prima che l'access point inoltri il suo traffico. Tale prova viaggia sotto forma di messaggi EAP (Extensible Authentication Protocol) verso un server RADIUS, il servizio che approva o rifiuta ogni connessione.

EAP-TLS e PEAP sono due modi per trasportare tale prova. La differenza sta in ciò che il dispositivo presenta.

• EAP-TLS è definito nella RFC 5216 e aggiornato per TLS 1.3 nella RFC 9190. Il server e il dispositivo presentano ciascuno un certificato digitale. L'identità si basa su una chiave privata che non lascia mai il dispositivo.
• PEAP (Protected EAP) richiede un certificato solo al server. Il dispositivo crea un tunnel crittografato verso il server, quindi invia un nome utente e una password al suo interno, quasi sempre con MSCHAPv2.

In sintesi:

• Laptop, tablet, scanner e dispositivi di pagamento gestiti: EAP-TLS.
• Telefono personale e dispositivi di collaboratori esterni che non puoi registrare: PEAP, con la convalida del certificato del server attivata.
• Ospiti, fan, passeggeri e clienti: nessuno dei due. Usa un Captive Portal o OpenRoaming tramite Guest WiFi.

La maggior parte delle strutture esegue entrambi i metodi su un unico servizio RADIUS, separati in base alla proprietà del dispositivo. Il resto di questa guida mostra dove si colloca tale confine e quanto costa gestire ciascuna opzione.

Come si differenziano EAP-TLS e PEAP all'atto pratico?

Come funziona l'handshake EAP-TLS

Il server RADIUS invia prima il proprio certificato. Il dispositivo lo verifica rispetto a un'autorità di certificazione (CA) radice attendibile. Il dispositivo invia quindi il proprio certificato e dimostra di possedere la chiave privata corrispondente.

Il server conferma che il certificato del dispositivo sia valido e non sia stato revocato. Controlla la revoca tramite un elenco di revoca dei certificati (CRL) o OCSP (Online Certificate Status Protocol, RFC 6960). Solo a quel punto l'access point consente l'accesso al dispositivo.

Nessuna password attraversa la rete in qualsiasi momento. Una password rubata tramite phishing non può aprire la rete, perché la rete non ne richiede mai una.

Come funziona l'handshake PEAP

Il server RADIUS invia il proprio certificato e il dispositivo lo convalida. Le due parti creano un tunnel TLS. All'interno di tale tunnel, il dispositivo esegue MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol versione 2) rispetto a una directory come Active Directory. Se le credenziali corrispondono, il dispositivo ottiene l'accesso.

Microsoft, Cisco e RSA Security hanno sviluppato PEAP insieme. Non è mai diventato uno standard IETF. Microsoft pubblica la versione utilizzata dalla maggior parte dei dispositivi nella specifica del suo protocollo MS-PEAP.

Perché la convalida del certificato del server determina la sicurezza di PEAP

Il tunnel protegge la password solo se il dispositivo verifica chi si trova all'altra estremità. Se si salta tale controllo, un malintenzionato può trasmettere il nome della rete da un access point contraffatto, noto come "evil twin". Il dispositivo completa quindi l'autenticazione MSCHAPv2 con l'aggressore e invia una challenge e una response.

Nel 2012, il Microsoft Security Advisory 2743314 ha avvertito che gli scambi MSCHAPv2 non incapsulati possono essere violati. La soluzione di mitigazione di Microsoft è stata quella di racchiuderli in PEAP imponendo la convalida del certificato del server. Questa rimane la regola ancora oggi.

EAP-TLS non presenta questa debolezza. Un dispositivo che si collega a un access point contraffatto non ha alcuna password riutilizzabile da cedere.

Confronto affiancato tra EAP-TLS e PEAP

Due modifiche di piattaforma che orientano la decisione

Windows. La documentazione di Microsoft Credential Guard indica che le connessioni WiFi e VPN basate su MSCHAPv2 non possono utilizzare credenziali salvate quando Credential Guard è attivo. Credential Guard è abilitato per impostazione predefinita sui dispositivi Windows 11 Enterprise ed Education idonei a partire dalla versione 22H2. Microsoft raccomanda di passare a metodi basati su certificati come EAP-TLS.

Android. Le ultime versioni di Android hanno rimosso l'opzione per saltare la convalida del certificato del server. I profili PEAP devono ora specificare un certificato CA e un dominio server. Questo risolve la vulnerabilità evil twin, ma rende la configurazione manuale più complessa per il personale.

Quando EAP-TLS è la scelta corretta?

Scegli EAP-TLS quando si verificano tre condizioni: sei proprietario dei dispositivi, puoi distribuire loro la configurazione e una password compromessa causerebbe un danno reale.

• Laptop aziendali gestiti tramite una piattaforma MDM (mobile device management) come Microsoft Intune.
• Terminali POS e scanner portatili su reti incluse nell'ambito PCI-DSS.
• Tablet e carrelli clinici nel settore Healthcare, dove una password condivisa di reparto rappresenta un rischio costante.
• Dispositivi di back-office, reception e pulizie negli hotel.
• Rete progettate per la modalità WPA3-Enterprise 192-bit, che le specifiche WPA3 collegano alle suite di cifratura EAP-TLS.

I certificati rendono preciso anche l'offboarding. Revocando un solo certificato, un unico dispositivo perde l'accesso, mentre gli altri dispositivi della persona continuano a funzionare. Ciò si adatta perfettamente alla gestione di assunzioni, cambi di ruolo e uscite nel tuo MDM e nella directory.

Conserva le chiavi private come non esportabili, nel TPM (Trusted Platform Module) del dispositivo o nella secure enclave dove l'hardware lo supporta. Un certificato che non può essere copiato dal dispositivo non può essere riutilizzato altrove.

Scenario operativo: un gruppo alberghiero con 30 strutture

Gli scenari in questa guida sono sintesi di distribuzioni comuni, non risultati di specifici clienti citati.

Situazione. Un gruppo alberghiero gestisce 30 strutture di circa 200 camere ciascuna. I laptop del back-office, i tablet del servizio pulizie e i PC della reception condividono un'unica rete Staff WiFi. I dispositivi accedono tramite PEAP utilizzando un pugno di account Active Directory condivisi. Quando un tablet smarrito non si trova più, l'IT reimposta la password condivisa e riconfigura ogni dispositivo che la utilizza.

Cosa è stato fatto. Ogni dispositivo era già registrato in un MDM. Il team ha attivato una PKI in cloud (public key infrastructure, il sistema che emette e revoca i certificati). Hanno distribuito i certificati dispositivo utilizzando SCEP (Simple Certificate Enrollment Protocol, RFC 8894). Il profilo Staff WiFi è stato quindi convertito a EAP-TLS. PEAP è rimasto attivo sullo stesso servizio RADIUS durante l'intera transizione. L'assegnazione VLAN dinamica ha collocato i tablet del servizio pulizie su un segmento diverso rispetto ai laptop della contabilità.

Risultato. Gli account WiFi condivisi sono scesi a zero. Un tablet smarrito ora richiede una sola revoca del certificato invece di una reimpostazione della password su decine di dispositivi. La rotazione delle password non interrompe più la connessione WiFi, poiché non rimane alcuna password WiFi. Ulteriori dettagli sulle reti per il settore alberghiero sono disponibili nella nostra pagina Hotel.

Quando PEAP è la scelta giusta?

Scegli PEAP quando non puoi installare un certificato sul dispositivo e la persona che effettua l'accesso possiede un account di directory.

• Personale su telefoni personali nell'ambito di una politica BYOD (bring your own device), dove la registrazione all'MDM non è accettabile.
• Consulenti, personale temporaneo per eventi e lavoratori interinali con account a breve termine.
• Strutture con Active Directory ma senza PKI, come passaggio intermedio verso EAP-TLS.

PEAP è accettabile per questi casi solo a condizione che siano attivi tre controlli.

1. Blocca la convalida del certificato del server su ogni dispositivo. Specifica la CA affidabile e il nome esatto del server. Distribuiscilo tramite Criteri di gruppo, un profilo MDM o uno strumento di onboarding, mai manualmente.
2. Mantieni prevedibile il certificato del server. Emettilo da una CA di cui i tuoi dispositivi si fidano già e mantieni stabile il nome del server tra i vari rinnovi.
3. Rafforza la password della directory. PEAP è sicuro quanto la password all'interno del tunnel. Imponi la lunghezza e blocca le password note per essere state compromesse a livello di directory.

Scenario operativo: un centro congressi con personale stagionale

Situazione. Un centro congressi ed eventi in centro città assume circa 300 lavoratori temporanei a ogni alta stagione. I dipendenti utilizzano i propri telefoni per la turnistica e le app radio. La struttura non può chiedere loro di registrare i telefoni personali in un MDM. In precedenza, la password WPA2-Personal condivisa veniva appesa sulla bacheca della sala operatori.

Azione intrapresa. L'IT ha creato un account di directory con una data di fine per ciascun lavoratore temporaneo. La rete WiFi del personale è passata a PEAP. Un profilo di onboarding monouso ha impostato la CA e il nome del server su ciascun telefono. Gli account si disabilitano automaticamente alla data di scadenza del contratto. I partecipanti agli eventi sono rimasti su una rete Captive Portal separata.

Risultato. La password condivisa è stata eliminata. Chi lascia la struttura perde l'accesso alla data di fine contratto e non al successivo cambio password. Ogni connessione del personale corrisponde a un account nominativo nei log RADIUS, che il team di sicurezza può verificare dopo ogni evento.

Quanto costa gestire EAP-TLS e PEAP?

Nessuno dei due protocolli prevede costi di licenza. Entrambi sono integrati in Windows, macOS, iOS, Android e ChromeOS. Il costo risiede nell'infrastruttura e nel tempo del personale.

Dove si concentra la spesa di EAP-TLS

EAP-TLS richiede un investimento iniziale. Si paga per una PKI e per il tempo necessario alla progettazione dei modelli di certificato, dell'iscrizione e della revoca. Se si utilizza già un MDM, gran parte dei costi di implementazione è già coperta. Dopo il lancio, l'attività ricorrente principale è il rinnovo dei certificati, automatizzato dall'MDM.

Dove si concentra la spesa di PEAP

PEAP parte in modo economico, ma i costi aumentano nel tempo. Ogni modifica della password può lasciare credenziali obsolete su telefoni e laptop. I tentativi errati ripetuti possono quindi bloccare l'account in Active Directory, generando ticket di assistenza. Questi costi aumentano con l'aumentare del personale e della frequenza di rotazione delle password.

Attenzione alla durata del certificato del server

Se il certificato del server RADIUS proviene da una CA pubblica, la sua durata si sta riducendo. Il Ballot SC-081 del CA/Browser Forum riduce progressivamente la durata massima dei certificati TLS pubblici. Il limite scenderà a 200 giorni da marzo 2026 e a 47 giorni da marzo 2029. Molti team rilasciano invece il certificato RADIUS da una CA privata, mantenendo i rinnovi secondo la propria pianificazione.

Il costo di una configurazione errata

Il Cost of a Data Breach Report 2024 di IBM ha stimato il costo medio globale di una violazione dei dati in 4,88 milioni di USD. Le credenziali rubate o compromesse si sono confermate tra i vettori di attacco iniziali più comuni. L'EAP-TLS rimuove le password WiFi dalla superficie di attacco per ogni dispositivo protetto.

Scenario reale: un retailer con 120 punti vendita

Situazione. Un retailer gestisce 120 negozi con scanner portatili e dispositivi point-of-sale mobili basati su PEAP. I dispositivi condividono un unico account di servizio. Ogni rotazione programmata delle credenziali di tale account causava errori di autenticazione notturni nei punti vendita in cui i dispositivi conservavano la vecchia password.

Azione intrapresa. L'IT ha migrato gli scanner e i dispositivi di pagamento a EAP-TLS, sfruttando l'MDM già in uso. Ogni dispositivo ha ricevuto un proprio certificato. I telefoni del personale nei negozi sono rimasti su PEAP, attestati su una VLAN separata senza instradamento verso l'ambiente dei dati dei titolari di carta.

Risultato. Le interruzioni del servizio nei giorni di rotazione delle password si sono azzerate, poiché i dispositivi interessati non dipendevano più da una credenziale condivisa. La revoca è diventata puntuale per singolo dispositivo anziché per punto vendita. I controlli trimestrali sugli access point non autorizzati richiesti dal requisito 11.2.1 del PCI-DSS sono proseguiti regolarmente. Consulta la nostra pagina Retail per approfondire le architetture di rete per la grande distribuzione.

Quali fattori compromettono ciascun protocollo e come prevenirli?

Certificati scaduti

Se il certificato della CA o del server RADIUS scade, ogni autenticazione fallisce simultaneamente. Questo problema riguarda allo stesso modo sia EAP-TLS che PEAP. Imposta avvisi a 90, 30 e sette giorni prima di ciascuna data di scadenza e assegna un responsabile per ogni certificato.

Validazione del server disattivata

Un profilo PEAP che omette la validazione del server consegna le credenziali a qualsiasi evil twin. Esegui audit regolari sui profili dei dispositivi e integra questo controllo nella tua revisione di sicurezza. Rimuovi qualsiasi istruzione di configurazione manuale che indichi al personale di selezionare "Non convalidare".

Latenza RADIUS e single point of failure

L'autenticazione si trova sul percorso critico. Una latenza elevata tra controller, server RADIUS e directory causa il timeout di EAP. Implementa RADIUS in ridondanza o utilizza un RADIUS in cloud distribuito su più regioni. Per infrastrutture distribuite, come le stazioni e il materiale rotabile nel settore Trains, posiziona un proxy RADIUS locale in prossimità degli access point.

Access point non autorizzati (rogue AP)

Sfrutta le funzionalità di Wireless Intrusion Detection integrate nella tua piattaforma di access point per rilevare continuamente i dispositivi non autorizzati. Se gestisci pagamenti con carta, il requisito 11.2.1 del PCI-DSS impone di verificare la presenza di access point non autorizzati almeno ogni tre mesi.

Una rete piatta dopo l'autenticazione

Un accesso 802.1X riuscito non deve concedere l'accesso all'intera rete. Utilizza l'assegnazione dinamica della VLAN, in cui RADIUS restituisce la VLAN (virtual LAN) corretta per ciascun dispositivo utilizzando gli attributi definiti nella RFC 3580. I dispositivi di pagamento, i telefoni del personale e i sistemi di gestione dell'edificio vengono così instradati su segmenti separati con i relativi controlli di accesso.

Come scegliere la soluzione più adatta per la propria infrastruttura?

Parti dalla gestione e proprietà dei dispositivi, non dalla preferenza del protocollo. La matrice sottostante associa le situazioni più comuni alla relativa raccomandazione.

L'iPSK (identity pre-shared key, chiamata anche PPSK) assegna a ciascun dispositivo o gruppo la propria chiave WiFi su un unico nome di rete. Utilizzala per i dispositivi che non possono eseguire un supplicant 802.1X.

Un percorso in quattro fasi per prendere una decisione

1. Censisci i dispositivi in base alla proprietà. Subdividili in gestiti dall'azienda, personali, headless e ospiti.
2. Verifica ciò che è già in uso. Un MDM esistente rende EAP-TLS per i dispositivi gestiti un progetto contenuto.
3. Definisci lo stato di arrivo. EAP-TLS per ogni dispositivo gestito, PEAP solo dove l'iscrizione è impossibile.
4. Esegui la migrazione in loco. Esegui entrambi i metodi su un unico servizio RADIUS, sposta i dispositivi gestiti su EAP-TLS, quindi dismetti i relativi profili PEAP.

Come si inserisce Purple?

Purple è indipendente dall'hardware. Operiamo come overlay cloud su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Non c'è alcuna sostituzione dell'hardware esistente. Purple si sovrappone alla rete in uso oggi.

Per il personale e i residenti, le Identity-Based Networks di Purple collegano l'accesso WiFi del personale e il WiFi multi-tenant all'identità. Funzionano tramite RADIUS-as-a-Service nel cloud collegato a Microsoft Entra ID, Okta o Google Workspace. La gestione di nuovi assunti, cambi di ruolo e uscite viene quindi gestita dalla directory anziché manualmente. I dispositivi che non possono eseguire 802.1X ottengono iPSK.

Per gli ospiti, il Guest WiFi di Purple offre un Captive Portal, una pagina web mostrata prima dell'accesso, con opt-in di scelta consapevole. Supporta anche OpenRoaming, la federazione della Wireless Broadband Alliance basata su Passpoint (Hotspot 2.0). OpenRoaming consente ai dispositivi che ritornano di connettersi automaticamente tramite una connessione crittografata. Il piano Connect di Purple include un provider di identità per OpenRoaming. I WiFi Analytics trasformano poi tali connessioni in dati di prima parte sul tempo di permanenza e sulle visite ripetute.

Purple è attivo in oltre 80.000 sedi live e ha gestito 440 milioni di accessi nel 2024 (dati interni di Purple). Purple è certificato ISO 27001, conforme al GDPR e certificato Cyber Essentials.

Domande frequenti

EAP-TLS è più sicuro di PEAP?

Sì. L'EAP-TLS autentica entrambe le parti tramite certificati, quindi non ci sono password da catturare tramite phishing, da indovinare o da intercettare da un access point malevolo. Il PEAP protegge una password all'interno di un tunnel crittografato. La sua sicurezza dipende dal fatto che ogni dispositivo convalidi il certificato del server. Se ben configurato, il PEAP è accettabile per i dispositivi personali. Per i dispositivi aziendali, i terminali di pagamento e le apparecchiature cliniche, l'EAP-TLS elimina un'intera classe di attacchi alle credenziali.

Il PCI-DSS richiede l'EAP-TLS per le reti wireless?

No. Il PCI-DSS v4.0 non cita un metodo EAP specifico. Richiede una crittografia forte sulle reti wireless che trasportano i dati dei titolari di carta e controlli trimestrali per gli access point non autorizzati ai sensi del requisito 11.2.1. Impone inoltre controlli sulle password ovunque esse vengano utilizzate. L'EAP-TLS esclude le password WiFi dall'ambito di conformità per i dispositivi interessati, riducendo le prove da fornire. Anche il PEAP può essere conforme, a condizione che la convalida del server e i criteri relative alle password siano applicati e documentati.

È possibile passare da PEAP a EAP-TLS senza tempi di inattività?

Sì. Un unico servizio RADIUS può accettare entrambi i metodi sullo stesso nome di rete. Ogni dispositivo utilizza il metodo specificato dal proprio profilo. È sufficiente emettere i certificati e distribuire il nuovo profilo EAP-TLS tramite l'MDM, per poi monitorare i log RADIUS mentre i dispositivi si riconnettono. Quando nessun dispositivo gestito si autentica più con il PEAP, è possibile rimuovere i relativi profili PEAP. Mantieni il PEAP solo per i dispositivi personali che non puoi registrare.

È necessario un MDM per eseguire l'EAP-TLS?

Per più di una manciata di dispositivi, la risposta pratica è sì. Ogni dispositivo necessita di un certificato, di una CA attendibile e di un profilo WiFi. Ogni certificato deve inoltre essere rinnovato prima della scadenza. Un MDM come Microsoft Intune automatizza questo processo tramite SCEP o un protocollo di registrazione simile. In sua assenza, uno strumento di onboarding può installare i certificati sui dispositivi personali, ma l'installazione manuale non è scalabile oltre una fase pilota.

Quanto costa l'EAP-TLS rispetto al PEAP?

Nessuno dei due protocolli prevede costi di licenza. La differenza risiede nell'infrastruttura e nel tempo del personale. Il PEAP richiede un servizio RADIUS, un certificato server e una directory probabilmente già in uso. L'EAP-TLS aggiunge una PKI, in cloud o on-premise, e un MDM per distribuire e rinnovare i certificati. Se si paga già per un MDM, il costo aggiuntivo riguarda principalmente la PKI. In cambio, i ripristini delle password WiFi e i blocchi dovuti alla rotazione delle credenziali scompaiono.

Purple funzionerà con gli access point già in nostro possesso?

Sì. Purple è indipendente dall'hardware e funziona come overlay cloud su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Tutti questi marchi supportano l'802.1X con un server RADIUS esterno. Gli access point non limitano la scelta tra EAP-TLS e PEAP. Non c'è alcuna necessità di sostituire l'infrastruttura: Purple si integra perfettamente al di sopra della rete attualmente in uso.

Gli ospiti dovrebbero utilizzare EAP-TLS o PEAP?

No. Entrambi i protocolli presuppongono una persona nota o un dispositivo gestito, mentre gli ospiti di hotel, stadi e stazioni non sono né l'uno né l'altro. Utilizza un Captive Portal per gli opt-in e i termini di utilizzo. Utilizza OpenRoaming, basato su Passpoint, in modo che i dispositivi che ritornano si colleghino automaticamente tramite un link crittografato. Il Guest WiFi di Purple copre entrambi e il piano Connect include un provider di identità per OpenRoaming.

PEAP è ancora sicuro da usare nel 2026?

Sì, entro certi limiti. PEAP con convalida del certificato server bloccata e password di directory solide rimane una scelta ragionevole per i dispositivi personali. Il suo ruolo si sta riducendo su Windows, dove Credential Guard blocca le credenziali MSCHAPv2 salvate. Microsoft consiglia invece l'autenticazione basata su certificati. Pianifica EAP-TLS per ogni dispositivo Windows gestito e mantieni PEAP per i dispositivi che non controlli.