Métodos EAP Comparados: PEAP, EAP-TLS, EAP-TTLS e EAP-FAST
Este guia de referência técnica oficial fornece uma comparação detalhada de PEAP, EAP-TLS, EAP-TTLS e EAP-FAST para autenticação WiFi empresarial. Ele oferece orientações práticas sobre postura de segurança, complexidade de implantação e compatibilidade de dispositivos para ajudar gerentes de TI e arquitetos de rede a escolherem a estratégia de implantação 802.1X ideal.
Resumo Executivo
Para gerentes de TI e arquitetos de rede corporativos, selecionar o método Extensible Authentication Protocol (EAP) correto é uma decisão crítica que equilibra postura de segurança, complexidade de implantação e experiência do usuário. À medida que as organizações abandonam as vulneráveis chaves pré-compartilhadas (PSKs) em direção à autenticação 802.1X, a escolha geralmente se resume a quatro métodos principais: PEAP, EAP-TLS, EAP-TTLS e EAP-FAST. Este guia fornece uma comparação técnica direta desses métodos, capacitando você a tomar decisões arquiteturais informadas para seu Guest WiFi e redes corporativas internas. Examinaremos as diferenças de segurança entre métodos tunelados baseados em senha e autenticação mútua por certificado, avaliaremos quando métodos específicos são apropriados e forneceremos orientações de implementação acionáveis para ambientes corporativos modernos.
Mergulho Técnico: Métodos EAP Comparados
PEAP (Protected EAP)
O PEAP é amplamente considerado a principal solução corporativa para autenticação 802.1X. Desenvolvido em conjunto pela Cisco, Microsoft e RSA Security, ele cria um túnel TLS criptografado usando um certificado do lado do servidor. Dentro deste túnel seguro, o cliente se autentica usando um método legado, mais comumente o MSCHAPv2.
A principal vantagem do PEAP é seu suporte nativo quase universal em sistemas operacionais modernos, incluindo Windows, macOS, iOS e Android. Como ele requer apenas um certificado no servidor RADIUS e não nos dispositivos clientes, a implantação é significativamente menos complexa do que as alternativas baseadas em certificado. Isso torna o PEAP altamente atraente para ambientes Bring Your Own Device (BYOD) ou grandes locais públicos, como hubs de Transporte , onde o gerenciamento de certificados de cliente é impraticável.
No entanto, a dependência do PEAP em senhas (via MSCHAPv2) introduz riscos de segurança. Se um dispositivo cliente não estiver configurado rigorosamente para validar o certificado do servidor, os usuários podem ser enganados e conectar-se a um ponto de acesso malicioso (um ataque "evil twin"). O AP malicioso pode então capturar o desafio-resposta MSCHAPv2, que pode ser quebrado offline para recuperar a senha do usuário. Portanto, aplicar a validação estrita do certificado do servidor via Política de Grupo ou MDM é um controle de segurança obrigatório ao implantar o PEAP.
EAP-TLS (EAP-Transport Layer Security)
O EAP-TLS representa o padrão ouro para segurança sem fio corporativa. Ao contrário do PEAP, o EAP-TLS exige autenticação mútua de certificados. Tanto o servidor RADIUS quanto o dispositivo cliente devem apresentar um certificado digital válido antes que qualquer acesso à rede seja concedido.
Essa autenticação mútua elimina inteiramente a necessidade de senhas, tornando ineficazes o roubo de credenciais, ataques de dicionário e ataques de AP malicioso. Se um dispositivo não possuir o certificado de cliente correto, ele simplesmente não conseguirá se conectar à rede. Para organizações sujeitas a requisitos regulatórios rigorosos, como PCI DSS no setor de Varejo ou HIPAA na Saúde , o EAP-TLS é a abordagem fortemente recomendada.
O contraponto para essa segurança aprimorada é a complexidade de implantação. A implementação do EAP-TLS requer uma infraestrutura de chave pública (PKI) robusta para emitir, renovar e revogar certificados. Também necessita de uma solução de Mobile Device Management (MDM), como Microsoft Intune ou Jamf, para distribuir esses certificados com segurança aos endpoints. Para orientações sobre ambientes Apple, consulte nosso guia sobre Jamf e RADIUS: Autenticação WiFi Baseada em Certificado para Frotas de Dispositivos Apple . O EAP-TLS é a escolha ideal para frotas de dispositivos gerenciados de propriedade da empresa, onde a segurança é primordial.
EAP-TTLS (EAP Tunneled TLS)
O EAP-TTLS, desenvolvido em conjunto pela Funk Software e Certicom, opera de forma semelhante ao PEAP, estabelecendo um túnel TLS criptografado usando um certificado do lado do servidor. O principal diferencial é sua flexibilidade em relação ao método de autenticação interno. Enquanto o PEAP está fortemente ligado ao MSCHAPv2, o EAP-TTLS pode encapsular quase qualquer protocolo de autenticação, incluindo PAP, CHAP ou MSCHAP, de forma segura dentro do túnel.
Essa flexibilidade torna o EAP-TTLS altamente valioso em ambientes que precisam se autenticar em diretórios LDAP mais antigos, proxies RADIUS ou repositórios de identidade não-Microsoft que não suportam nativamente o MSCHAPv2. É famosamente o protocolo subjacente para o eduroam, o serviço global de acesso em roaming para a comunidade internacional de pesquisa e educação. Historicamente, o suporte nativo do cliente para EAP-TTLS era menos onipresente que o PEAP, muitas vezes exigindo suplicantes de terceiros em versões mais antigas do Windows, mas os sistemas operacionais modernos agora oferecem suporte nativo robusto.
EAP-FAST (Flexible Authentication via Secure Tunneling)
Desenvolvido pela Cisco como uma substituição rápida para o protocolo LEAP altamente vulnerável, o EAP-FAST foi projetado para fornecer autenticação segura sem a exigência estrita de implantar certificados digitais. Em vez de usar um certificado de servidor para estabelecer o túnel seguro, o EAP-FAST depende de Protected Access Credentials (PACs) — blocos opacos de dados provisionados dinamicamente para os clientes pelo servidor de autenticação.
O EAP-FAST é caracterizado por suas capacidades de retomada rápida de sessão. Embora forneça um túnel seguro e criptografado, sua dependência de PACs em vez de certificados X.509 padrão o torna um tanto proprietário e menos alinhado com arquiteturas zero-trust modernas e neutras em relação ao fornecedor. Hoje, o EAP-FAST é relevante principalmente em ambientes legados centrados na Cisco, implantações específicas de IoT ou dispositivos robustecidos especializados. Para a maioria das novas implantações corporativas, PEAP ou EAP-TLS são preferidos.
Guia de Implementação
A implantação da autenticação 802.1X requer um planejamento cuidadoso em toda a pilha de rede, desde os pontos de acesso sem fio até a infraestrutura RADIUS e provedores de identidade. Ao integrar-se com a plataforma da Purple, nossos servidores RADIUS suportam todos os principais métodos EAP, garantindo uma autenticação perfeita antes que os usuários interajam com recursos como Wayfinding ou WiFi Analytics .
Passo 1: Definir a Estratégia de Autenticação
Avalie sua frota de endpoints. Se os dispositivos forem de propriedade da empresa e gerenciados via MDM, foque no EAP-TLS. Se você estiver suportando BYOD, o PEAP é a escolha pragmática. Certifique-se de que seu provedor de identidade (Active Directory, Google Workspace, Okta) suporte os protocolos necessários (ex: MSCHAPv2 para PEAP).
Passo 2: Gerenciamento de Certificados
Para todos os métodos, exceto EAP-FAST, você deve implantar um certificado de servidor em seu servidor RADIUS. Idealmente, este certificado deve ser emitido por uma Autoridade Certificadora (CA) pública confiável para minimizar avisos de confiança no lado do cliente, embora uma CA corporativa interna possa ser usada se você controlar todos os endpoints. Para EAP-TLS, estabeleça sua PKI e configure seu MDM para provisionar automaticamente certificados de cliente com os mapeamentos de Subject Alternative Name (SAN) corretos.
Passo 3: Configuração de RADIUS e Pontos de Acesso
Configure seus pontos de acesso sem fio para usar WPA2-Enterprise ou WPA3-Enterprise, apontando-os para os endereços IP do seu servidor RADIUS com os segredos compartilhados corretos. No servidor RADIUS, defina suas políticas de rede, especificando os métodos EAP permitidos e mapeando autenticações bem-sucedidas para as VLANs apropriadas com base na associação de grupo de usuário ou dispositivo.
Passo 4: Configuração do Suplicante de Endpoint
Este é o passo mais crítico para a segurança. Para PEAP, use MDM ou Política de Grupo para enviar um perfil WiFi pré-configurado aos dispositivos. Este perfil DEVE especificar explicitamente os nomes dos servidores RADIUS confiáveis e a CA Raiz confiável que emitiu o certificado do servidor. Crucialmente, desative a opção que solicita aos usuários que confiem em novos servidores ou certificados.
Melhores Práticas
- Nunca Dependa do Julgamento do Usuário para Certificados: Ao implantar PEAP ou EAP-TTLS, sempre pré-configure os suplicantes de endpoint para confiar em certificados de servidor específicos. Depender de usuários clicando em "Aceitar" em um aviso de certificado compromete todo o modelo de segurança e expõe a rede a ataques de AP malicioso.
- Automatize o Gerenciamento do Ciclo de Vida dos Certificados: A expiração de certificados é uma das principais causas de interrupções no 802.1X. Implemente processos automatizados de monitoramento e renovação tanto para certificados de servidor RADIUS quanto para certificados de cliente em implantações EAP-TLS.
- Implemente WPA3-Enterprise: Onde o suporte do cliente permitir, faça a transição para o WPA3-Enterprise. Ele exige o uso de Protected Management Frames (PMF) e oferece uma opção de suíte de segurança de 192 bits, fornecendo proteções criptográficas mais fortes que o WPA2.
- Segmente a Rede: Use atributos RADIUS (como Filter-Id ou Tunnel-Private-Group-Id) para atribuir dinamicamente usuários autenticados a VLANs específicas com base em sua função, isolando o tráfego de convidados dos ativos corporativos. Para saber mais sobre design de rede moderno, revise Os Principais Benefícios do SD WAN para Negócios Modernos .
Resolução de Problemas e Mitigação de Riscos
Os modos de falha comuns em implantações EAP geralmente giram em torno da validação de certificados e da integração com o provedor de identidade.
- Sintoma: Clientes não conseguem se conectar após uma atualização do servidor RADIUS.
- Risco: O novo certificado do servidor não foi emitido pela CA Raiz confiada pelos clientes, ou o nome do servidor mudou.
- Mitigação: Sempre teste as substituições de certificados em um ambiente de homologação. Certifique-se de que a nova cadeia de certificados seja totalmente confiável para todos os perfis de endpoint antes de aplicá-la à produção.
- Sintoma: Dispositivos iOS conectam-se bem, mas dispositivos Windows falham.
- Risco: Os suplicantes do Windows costumam ser mais rigorosos quanto à validação do Server Name Indication (SNI) ou dos atributos específicos de EKU (Extended Key Usage) no certificado do servidor.
- Mitigação: Verifique se o certificado do servidor inclui o EKU 'Server Authentication' e se o SAN corresponde ao nome configurado no perfil WiFi do Windows.
ROI e Impacto nos Negócios
A transição para um método EAP robusto entrega um valor comercial significativo além da segurança bruta. Ao eliminar senhas compartilhadas, as equipes de TI reduzem a carga operacional de chamados de suporte relacionados a redefinições de senha ou PSKs comprometidos. Em ambientes como a Hospitalidade , onde a rotatividade de funcionários pode ser alta, a autenticação baseada em certificado (EAP-TLS) garante que o acesso seja revogado automaticamente quando um dispositivo é limpo ou um certificado expira, sem a necessidade de alterar uma senha global.
Além disso, a autenticação forte é um pré-requisito para frameworks de conformidade como PCI DSS e GDPR. Ao demonstrar controles de acesso robustos, as organizações mitigam o risco de multas regulatórias e danos à reputação associados a violações de dados. Para uma visão mais ampla sobre a atualização da infraestrutura de locais, veja Soluções Modernas de WiFi para Hospitalidade que Seus Convidados Merecem .
Podcast Briefing
Ouça nosso briefing técnico de 10 minutos sobre métodos EAP, cobrindo estratégias de implementação e armadilhas comuns:
Termos-Chave e Definições
802.1X
An IEEE standard for port-based network access control that provides an authentication mechanism to devices wishing to attach to a LAN or WLAN.
IT teams implement 802.1X to replace insecure shared passwords (PSKs) with individualised, enterprise-grade authentication.
RADIUS (Remote Authentication Dial-In User Service)
A networking protocol that provides centralised Authentication, Authorization, and Accounting (AAA) management for users who connect and use a network service.
The RADIUS server acts as the central brain of an 802.1X deployment, verifying credentials against an identity provider and telling the access point whether to allow the connection.
Supplicant
The software client on an endpoint device (laptop, smartphone) that communicates with the authenticator (access point) to negotiate network access via 802.1X.
Misconfigured supplicants are the primary cause of security vulnerabilities in PEAP deployments, particularly when server certificate validation is disabled.
Mutual Authentication
A security process in which both entities in a communications link authenticate each other (e.g., the client verifies the server, and the server verifies the client).
Crucial for preventing rogue AP attacks; EAP-TLS enforces this inherently, while PEAP requires strict supplicant configuration to achieve the client-to-server verification.
PKI (Public Key Infrastructure)
A set of roles, policies, hardware, software and procedures needed to create, manage, distribute, use, store and revoke digital certificates.
A robust PKI is the prerequisite for deploying EAP-TLS, often representing the largest barrier to entry for smaller IT teams.
Evil Twin Attack
A rogue wireless access point that masquerades as a legitimate enterprise network to eavesdrop on wireless communications or steal credentials.
This is the primary threat vector against poorly configured PEAP deployments where clients do not validate the RADIUS server certificate.
PAC (Protected Access Credential)
A strong shared secret dynamically provisioned to a client by an authentication server, used specifically in EAP-FAST to establish a secure tunnel.
PACs allow EAP-FAST to provide secure authentication without requiring the deployment of digital certificates.
MDM (Mobile Device Management)
Security software used by an IT department to monitor, manage, and secure employees' mobile devices across multiple mobile service providers and across multiple mobile operating systems.
MDM is essential for modern EAP-TLS deployments, allowing IT to silently push client certificates and strict WiFi profiles to corporate devices.
Estudos de Caso
A national retail chain needs to deploy secure WiFi for point-of-sale (POS) tablets across 500 stores. The tablets are corporate-owned and managed via Microsoft Intune. They must comply with PCI DSS requirements. Which EAP method should they deploy and how?
The organisation should deploy EAP-TLS. Using Microsoft Intune, they will configure a Simple Certificate Enrollment Protocol (SCEP) profile to automatically provision unique client certificates to each POS tablet. They will then push a Wi-Fi profile via Intune that configures the tablets to connect using WPA2/WPA3-Enterprise, specifying EAP-TLS as the authentication method and selecting the provisioned client certificate. The RADIUS servers will be configured to authenticate the devices based on these certificates, mapping them to a restricted PCI-compliant VLAN.
A large university needs to provide secure WiFi for 20,000 students using a mix of personal laptops, smartphones, and tablets (BYOD). The university uses Active Directory for identity management. How should they approach 802.1X?
The university should deploy PEAP with MSCHAPv2. They will install a server certificate from a well-known public Certificate Authority (e.g., DigiCert, Let's Encrypt) on their RADIUS servers. To ensure security, they must provide an onboarding tool (like SecureW2 or a custom app) that automatically configures the students' devices. This tool will create the WiFi profile, explicitly define the trusted RADIUS server names, and enforce server certificate validation, preventing students from connecting to rogue APs.
Análise de Cenário
Q1. Your organisation is migrating from Google Workspace to a new cloud-based identity provider that only supports LDAP and does not support MSCHAPv2. You need to maintain your existing password-based 802.1X WiFi for legacy devices. Which EAP method must you configure on your RADIUS server?
💡 Dica:Consider which tunneled method allows for inner authentication protocols other than MSCHAPv2.
Mostrar Abordagem Recomendada
You must configure EAP-TTLS. Unlike PEAP, which is heavily reliant on MSCHAPv2 for inner authentication, EAP-TTLS can encapsulate older protocols like PAP or CHAP within its secure TLS tunnel, allowing it to interface with LDAP directories that lack MSCHAPv2 support.
Q2. A security audit reveals that users' Active Directory passwords are being compromised when they connect their smartphones to public WiFi networks at coffee shops. The attackers are broadcasting the corporate SSID. Your current deployment uses PEAP. How do you mitigate this without changing the EAP method?
💡 Dica:The issue is that the client devices are blindly trusting the rogue AP. How do you force the client to verify it's talking to the real corporate network?
Mostrar Abordagem Recomendada
You must configure the endpoint supplicants (via MDM or Group Policy) to enforce strict server certificate validation. The WiFi profile must explicitly specify the names of the trusted corporate RADIUS servers and the specific Root CA that issued their certificates. Additionally, you must disable the setting that prompts users to trust unknown certificates, ensuring the connection fails silently if the server is not authenticated.
Q3. You are deploying a fleet of ruggedised barcode scanners in a warehouse. The devices run a legacy embedded OS that does not support WPA2-Enterprise or standard 802.1X certificates, but they do support Cisco Compatible Extensions (CCX). You need secure authentication. What is the most likely EAP method to use?
💡 Dica:Look for the protocol developed specifically by Cisco for environments where certificate deployment is challenging or impossible.
Mostrar Abordagem Recomendada
EAP-FAST is the appropriate choice here. It was designed by Cisco specifically for environments where deploying certificates is impractical. It uses dynamically provisioned Protected Access Credentials (PACs) to establish the secure tunnel, making it suitable for legacy or specialised hardware that supports CCX but lacks robust PKI capabilities.
Principais Conclusões
- ✓PEAP is the versatile workhorse, ideal for BYOD environments due to broad native support, but requires strict client-side configuration to prevent credential theft.
- ✓EAP-TLS is the gold standard for security, mandating mutual certificate authentication and eliminating passwords entirely, making it perfect for PCI DSS compliance.
- ✓EAP-TLS requires significant deployment infrastructure, specifically a robust PKI and MDM solution to manage client certificates.
- ✓EAP-TTLS provides a secure tunnel similar to PEAP but offers flexibility to use older inner authentication protocols (like PAP), making it useful for non-Microsoft identity stores.
- ✓EAP-FAST uses Protected Access Credentials (PACs) instead of certificates, remaining relevant primarily in legacy Cisco-centric or specific IoT environments.
- ✓Regardless of the method chosen, automating certificate lifecycle management is critical to preventing network outages.
- ✓Purple's platform integrates seamlessly with RADIUS servers supporting all major EAP methods, enabling secure foundations for advanced venue analytics.
