EAP-TLS vs. PEAP: Qual Protocolo de Autenticação é o Ideal para sua Rede?

Escolha EAP-TLS quando você tiver o controle dos dispositivos. Cada dispositivo comprova sua identidade com um certificado, para que não haja senha a ser vitimada por phishing ou quebrada. Escolha PEAP quando não for possível emitir certificados, como em dispositivos pessoais, e exija a validação do certificado do servidor em cada cliente. Nenhum dos dois é adequado para convidados anônimos; portanto, use um captive portal ou OpenRoaming.

Você deve escolher EAP-TLS ou PEAP?

Ambos os protocolos são executados dentro do IEEE 802.1X, o padrão para controle de acesso à rede baseado em porta. O 802.1X faz com que o dispositivo comprove quem ele é antes que o ponto de acesso encaminhe seu tráfego. Essa comprovação trafega como mensagens EAP (Extensible Authentication Protocol) para um servidor RADIUS, o serviço que aprova ou rejeita cada conexão.

EAP-TLS e PEAP são duas maneiras de transportar essa comprovação. A diferença está no que o dispositivo apresenta.

• EAP-TLS é definido na RFC 5216 e atualizado para TLS 1.3 na RFC 9190. O servidor e o dispositivo apresentam, cada um, um certificado digital. A identidade baseia-se em uma chave privada que nunca sai do dispositivo.
• O PEAP (Protected EAP) solicita um certificado apenas ao servidor. O dispositivo cria um túnel criptografado para o servidor e, em seguida, envia um nome de usuário e uma senha dentro dele, quase sempre com MSCHAPv2.

A recomendação resumida:

• Laptops geridos, tablets, scanners e dispositivos de pagamento: EAP-TLS.
• Telefones pessoais e dispositivos de terceiros que você não pode cadastrar: PEAP, com a validação do certificado do servidor ativada obrigatoriamente.
• Visitantes, torcedores, passageiros e clientes: nenhum dos dois. Use um captive portal ou OpenRoaming por meio do Guest WiFi.

A maioria das infraestruturas executa ambos os métodos em um único serviço RADIUS, separados pela propriedade do dispositivo. O restante deste guia mostra onde essa linha é traçada e quanto custa operar cada lado.

Como o EAP-TLS e o PEAP diferem na prática?

Como funciona o handshake do EAP-TLS

O servidor RADIUS envia seu certificado primeiro. O dispositivo o verifica em relação a uma autoridade certificadora (CA) raiz confiável. O dispositivo envia seu próprio certificado e comprova que possui a chave privada correspondente.

O servidor confirma que o certificado do dispositivo é válido e não foi revogado. Ele verifica a revogação com uma lista de revogação de certificados (CRL) ou OCSP (Online Certificate Status Protocol, RFC 6960). Somente então o ponto de acesso permite a entrada do dispositivo.

Nenhuma senha cruza a rede em momento algum. Uma senha capturada por phishing não pode abrir a rede, pois a rede nunca solicita uma.

Como funciona o handshake do PEAP

O servidor RADIUS envia seu certificado e o dispositivo o valida. Os dois lados criam um túnel TLS. Dentro desse túnel, o dispositivo executa o MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol versão 2) em relação a um diretório, como o Active Directory. Se as credenciais corresponderem, o dispositivo obtém acesso.

Microsoft, Cisco e RSA Security desenvolveram o PEAP juntos. Ele nunca se tornou um padrão IETF. A Microsoft publica a versão que a maioria dos dispositivos usa em sua especificação do protocolo MS-PEAP.

Por que a validação do certificado do servidor define a segurança do PEAP

O túnel protege a senha apenas se o dispositivo verificar quem está na outra extremidade. Se ignorar essa verificação, um invasor poderá transmitir o nome da sua rede a partir de um ponto de acesso não autorizado, conhecido como "evil twin". O dispositivo conclui o MSCHAPv2 com o invasor e entrega um desafio e uma resposta.

Em 2012, o Microsoft Security Advisory 2743314 alertou que trocas MSCHAPv2 não encapsuladas podem ser descifradas. A mitigação da Microsoft foi envolvê-las em PEAP com validação de certificado de servidor forçada. Essa continua sendo a regra hoje.

O EAP-TLS não compartilha dessa fraqueza. Um dispositivo que alcança um ponto de acesso não autorizado não tem uma senha reutilizável para fornecer.

EAP-TLS vs PEAP lado a lado

Duas alterações de plataforma que mudam a decisão

Windows. A documentação do Microsoft Credential Guard afirmativa que conexões de WiFi e VPN baseadas em MSCHAPv2 não podem usar credenciais salvas quando o Credential Guard está ativo. O Credential Guard é ativado por padrão em dispositivos Windows 11 Enterprise e Education elegíveis a partir da versão 22H2. A Microsoft recomenda migrar para métodos baseados em certificado, como o EAP-TLS.

Android. Versões recentes do Android removeram a opção de ignorar a validação do certificado do servidor. Os perfis PEAP agora devem nomear um certificado de CA e um domínio de servidor. Isso fecha a lacuna do evil twin, mas torna a configuração manual mais difícil para a equipe.

Quando o EAP-TLS é a escolha certa?

Escolha o EAP-TLS quando três condições forem atendidas. Você é proprietário dos dispositivos, pode enviar configurações para eles e uma senha comprometida causaria danos reais.

• Laptops corporativos gerenciados por meio de uma plataforma MDM (gerenciamento de dispositivos móveis), como o Microsoft Intune.
• Terminais de ponto de venda e leitores portáteis em redes no escopo do PCI-DSS.
• Tablets e carrinhos clínicos na área de Saúde, onde uma senha compartilhada de enfermaria é um risco permanente.
• Dispositivos de back-office, recepção e governança em hotéis.
• Redes construídas para o modo WPA3-Enterprise 192-bit, que a especificação WPA3 vincula às suítes de criptografia EAP-TLS.

Os certificados também tornam o desligamento preciso. Revogue um certificado e um dispositivo perderá o acesso, enquanto os outros dispositivos da pessoa continuarão funcionando. Isso se conecta perfeitamente aos processos de entrada, movimentação e saída de funcionários no seu MDM e diretório.

Armazene chaves privadas como não exportáveis, no TPM (Trusted Platform Module) do dispositivo ou no enclave seguro onde o hardware oferecer suporte. Um certificado que não pode ser copiado do dispositivo não pode ser reutilizado em outro lugar.

Cenário prático: um grupo hoteleiro de 30 propriedades

Os cenários neste guia são combinações de implantações comuns, não resultados de clientes específicos.

Situação. Um grupo hoteleiro opera 30 propriedades de cerca de 200 quartos cada. Laptops do back-office, tablets da governança e PCs da recepção compartilham uma única rede WiFi de funcionários. Os dispositivos fazem login com PEAP usando um pequeno número de contas compartilhadas do Active Directory. Quando um tablet desaparece, a equipe de TI redefine a senha compartilhada e reconfigura todos os dispositivos que a utilizam.

O que foi feito. Todos os dispositivos já estavam registrados em um MDM. A equipe implantou uma PKI na nuvem (infraestrutura de chaves públicas, o sistema que emite e revoga certificados). Eles enviaram certificados de dispositivo usando SCEP (Simple Certificate Enrollment Protocol, RFC 8894). O perfil de WiFi de funcionários foi então alterado para EAP-TLS. O PEAP permaneceu ativo no mesmo serviço RADIUS durante toda a migração. A atribuição dinâmica de VLAN colocou os tablets da governança em um segmento diferente dos laptops da equipe financeira.

Resultado. As contas de WiFi compartilhadas caíram para zero. Um tablet perdido agora custa uma revogação de certificado em vez de uma redefinição de senha em dezenas de dispositivos. A rotação de senhas não interrompe mais o WiFi, porque nenhuma senha de WiFi permanece. Mais informações sobre redes na hotelaria estão disponíveis em nossa página de Hotéis.

Quando o PEAP é a escolha certa?

Escolha o PEAP quando não for possível colocar um certificado no dispositivo e a pessoa que estiver fazendo login tiver uma conta no diretório.

• Funcionários em telefones pessoais sob uma política de BYOD (traga seu próprio dispositivo), onde o registro no MDM não é aceitável.
• Prestadores de serviços, equipe temporária de eventos e trabalhadores terceirizados com contas de curta duração.
• Ambientes com Active Directory, mas sem PKI, como uma etapa intermediária em direção ao EAP-TLS.

O PEAP é aceitável para esses casos apenas com três controles em vigor.

1. Bloqueie a validação do certificado do servidor em todos os dispositivos. Nomeie a CA confiável e o nome exato do servidor. Implante por meio de Diretiva de Grupo, um perfil de MDM ou uma ferramenta de integração, nunca manualmente.
2. Mantenha o certificado do servidor previsível. Emita-o a partir de uma CA em que seus dispositivos já confiam e mantenha o nome do servidor estável durante as renovações.
3. Reforce a senha do diretório. O PEAP é apenas tão forte quanto a senha dentro do túnel. Imponha comprimento e bloqueie senhas sabidamente comprometidas no diretório.

Cenário prático: um centro de convenções com equipe sazonal

Situação. Um local de eventos e conferências no centro da cidade contrata cerca de 300 funcionários temporários a cada alta temporada. Eles usam seus próprios telefones para aplicativos de rádio e escala de trabalho. O local não pode exigir que eles inscrevam telefones pessoais em um MDM. Até então, uma senha WPA2-Personal compartilhada ficava pendurada no quadro de avisos da sala de funcionários.

O que foi feito. O setor de TI criou uma conta de diretório com uma data de término para cada trabalhador temporário. O WiFi da equipe mudou para PEAP. Um perfil de integração único fixou a CA e o nome do servidor em cada telefone. As contas são desativadas automaticamente na data de término do contrato. Os participantes permaneceram em uma rede de Captive Portal separada.

Resultado. A senha compartilhada foi aposentada. Quem sai agora perde o acesso na sua data de término, não na próxima alteração de senha. Cada conexão de funcionário é mapeada para uma conta nomeada nos logs do RADIUS, que a equipe de segurança pode auditar após cada evento.

Quanto custa para executar o EAP-TLS e o PEAP?

Nenhum dos dois protocolos exige taxa de licença. Ambos estão embutidos no Windows, macOS, iOS, Android e ChromeOS. O custo está na infraestrutura e no tempo da equipe.

Onde o EAP-TLS exige investimentos

O EAP-TLS concentra os custos no início. Você paga por uma PKI e pelo tempo da equipe para projetar modelos de certificados, integração e revogação. Se você já executa um MDM, grande parte do custo de entrega está coberta. Após o lançamento, a principal tarefa recorrente é a renovação de certificados, que um MDM automatiza.

Onde o PEAP exige investimentos

O PEAP começa barato, mas custa mais com o passar do tempo. Cada alteração de senha pode deixar credenciais desatualizadas em telefones e laptops. Tentativas incorretas repetidas podem bloquear a conta no Active Directory, o que gera um chamado no suporte técnico. Esses custos aumentam de acordo com o número de funcionários e a frequência de rotação de senhas.

Observe o tempo de vida do certificado do servidor

Se o seu certificado de servidor RADIUS vem de uma CA pública, seu tempo de vida está ficando mais curto. O Ballot SC-081 do CA/Browser Forum reduz o tempo máximo de vida dos certificados TLS públicos em etapas. O limite cai para 200 dias a partir de março de 2026 e para 47 dias a partir de março de 2029. Muitas equipes emitem o certificado RADIUS a partir de uma CA privada, o que mantém as renovações em seu próprio cronograma.

O custo de errar

O Relatório de Custo de Violação de Dados de 2024 da IBM estimou o custo médio global de uma violação em US$ 4,88 milhões. Credenciais roubadas ou comprometidas estiveram entre os vetores de ataque iniciais mais comuns nesse relatório. O EAP-TLS remove as senhas de WiFi da superfície de ataque para cada dispositivo que ele cobre.

Cenário prático: um varejista com 120 lojas

Situação. Um varejista opera 120 lojas com scanners portáteis e dispositivos móveis de ponto de venda no PEAP. Os dispositivos compartilham uma conta de serviço. Cada rotação programada dessa conta causava falhas de autenticação durante a noite em lojas onde os dispositivos mantinham a senha antiga.

O que foi feito. A TI migrou os scanners e dispositivos de pagamento para o EAP-TLS, usando o MDM que já utilizava. Cada dispositivo recebeu seu próprio certificado. Os telefones da equipe da loja permaneceram no PEAP, em uma VLAN separada, sem rota para o ambiente de dados do portador do cartão.

Resultado. As interrupções no dia de rotação pararam, pois os dispositivos no escopo não dependiam mais de uma senha compartilhada. A revogação passou a ser por dispositivo, em vez de por loja. As verificações trimestrais de pontos de acesso não autorizados sob o requisito 11.2.1 do PCI-DSS continuaram inalteradas. Veja nossa página de Varejo para saber mais sobre redes em lojas.

O que interrompe cada protocolo e como você pode prevenir isso?

Certificados expirados

Se o certificado da CA ou o certificado do servidor RADIUS expirar, todas as autenticações falham de uma só vez. Isso afeta tanto o EAP-TLS quanto o PEAP. Configure alertas para 90, 30 e sete dias antes de cada data de expiração e defina um responsável para cada certificado.

Validação de servidor desativada

Um perfil PEAP que ignora a validação do servidor entrega credenciais a qualquer evil twin. Audite os perfis de dispositivos regularmente e adicione a verificação à sua análise de segurança. Remova quaisquer instruções de configuração manual que orientem a equipe a tocar em "Não validar".

Latência do RADIUS e pontos únicos de falha

A autenticação está no caminho crítico. Alta latência entre o controlador, o servidor RADIUS e o diretório causa timeouts no EAP. Execute o RADIUS com redundância ou use o RADIUS na nuvem com mais de uma região. Para ambientes distribuídos, como estações e material rodante em Trens, posicione um proxy RADIUS local próximo aos pontos de acesso.

Pontos de acesso não autorizados

Use a detecção de intrusão sem fio integrada à sua plataforma de pontos de acesso para sinalizar dispositivos não autorizados continuamente. Se você aceita pagamentos com cartão, o requisito 11.2.1 do PCI-DSS exige que você teste a presença de pontos de acesso não autorizados pelo menos a cada três meses.

Uma rede plana após a autenticação

Um login 802.1X bem-sucedido não deve abrir toda a rede. Use a atribuição dinâmica de VLAN, onde o RADIUS retorna a VLAN (LAN virtual) para cada dispositivo usando os atributos definidos na RFC 3580. Dispositivos de pagamento, telefones da equipe e sistemas prediais são então direcionados para segmentos separados com seus próprios controles de acesso.

Como decidir para a sua infraestrutura?

Comece pela propriedade do dispositivo, não pela preferência do protocolo. A matriz abaixo mapeia situações comuns para uma recomendação.

O iPSK (identity pre-shared key, também chamado de PPSK) fornece a cada dispositivo ou grupo sua própria chave de WiFi em um único nome de rede. Use-o para dispositivos que não podem executar um suplicante 802.1X.

Rota de quatro etapas para uma decisão

1. Faça o inventário dos dispositivos por propriedade. Divida-os em gerenciados pela empresa, pessoais, sem tela (headless) e convidados.
2. Verifique o que você já executa. Um MDM existente torna o EAP-TLS para dispositivos gerenciados um projeto simples.
3. Defina o estado de destino. EAP-TLS para cada dispositivo gerenciado, PEAP apenas onde o registro for impossível.
4. Faça a migração no local. Execute ambos os métodos em um único serviço RADIUS, mude os dispositivos gerenciados para o EAP-TLS e, em seguida, desative seus perfis PEAP.

Onde a Purple se encaixa?

A Purple é agnóstica em relação ao hardware. Operamos como uma sobreposição em nuvem no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Não há necessidade de trocar tudo. A Purple se sobrepõe à rede que você executa hoje.

Para funcionários e residentes, as Redes Baseadas em Identidade da Purple vinculam o acesso ao WiFi de funcionários e WiFi multilocatário à identidade. Elas funcionam por meio do RADIUS-as-a-Service vinculado ao Microsoft Entra ID, Okta ou Google Workspace. Admissões, transferências e desligamentos são tratados diretamente pelo diretório, em vez de manualmente. Dispositivos que não podem executar 802.1X recebem iPSK.

Para convidados, o Guest WiFi da Purple oferece um Captive Portal, uma página da web exibida antes do acesso, com opções de consentimento por escolha consciente. Ele também suporta o OpenRoaming, a federação da Wireless Broadband Alliance construída sobre o Passpoint (Hotspot 2.0). O OpenRoaming permite que os dispositivos que retornam se conectem automaticamente por meio de uma conexão criptografada. O plano Connect da Purple inclui um provedor de identidade para OpenRoaming. O WiFi Analytics transforma essas conexões em dados proprietários sobre tempo de permanência e visitas recorrentes.

A Purple opera em mais de 80.000 locais ativos e gerenciou 440 milhões de logins em 2024 (dados próprios da Purple). A Purple possui certificação ISO 27001, conformidade com o GDPR e certificação Cyber Essentials.

Perguntas frequentes

O EAP-TLS é mais seguro do que o PEAP?

Sim. O EAP-TLS autentica ambos os lados com certificados, portanto não há senha para ser capturada via phishing, adivinhada ou interceptada por um access point malicioso. O PEAP protege uma senha dentro de um túnel criptografado. Sua segurança depende de cada dispositivo validar o certificado do servidor. Bem configurado, o PEAP é aceitável para dispositivos pessoais. Para dispositivos corporativos, terminais de pagamento e equipamentos clínicos, o EAP-TLS elimina toda uma classe de ataques a credenciais.

O PCI-DSS exige EAP-TLS para redes sem fio?

Não. O PCI-DSS v4.0 não especifica um método EAP. Ele exige criptografia forte em redes WiFi que trafegam dados de portadores de cartão e verificações trimestrais para access points não autorizados sob o requisito 11.2.1. Ele também estabelece controles de senha onde quer que senhas sejam usadas. O EAP-TLS remove as senhas de WiFi do escopo para os dispositivos cobertos, o que reduz a necessidade de evidências. O PEAP também pode estar em conformidade, desde que a validação do servidor e a política de senhas sejam aplicadas e documentadas.

Podemos migrar do PEAP para o EAP-TLS sem interrupções?

Sim. Um único serviço RADIUS pode aceitar ambos os métodos no mesmo nome de rede. Cada dispositivo usa o método especificado em seu perfil. Emita certificados e envie o novo perfil EAP-TLS por meio do seu MDM; em seguida, acompanhe os logs do RADIUS à medida que os dispositivos realizam a transição. Quando nenhum dispositivo gerenciado estiver mais se autenticando com PEAP, remova os perfis PEAP deles. Mantenha o PEAP apenas para os dispositivos pessoais que você não pode registrar.

Precisamos de um MDM para executar o EAP-TLS?

Na prática, para mais do que um pequeno grupo de dispositivos, sim. Cada dispositivo precisa de um certificado, uma CA confiável e um perfil de WiFi. Cada certificado também deve ser renovado antes de expirar. Um MDM como o Microsoft Intune automatiza esse processo por meio de SCEP ou um protocolo de registro semelhante. Sem ele, uma ferramenta de integração pode instalar certificados em dispositivos pessoais, mas a instalação manual não ganha escala além de um projeto piloto.

Qual é o custo do EAP-TLS em comparação com o PEAP?

Nenhum dos dois protocolos possui taxa de licença. A diferença está na infraestrutura e no tempo da equipe. O PEAP precisa de um serviço RADIUS, um certificado de servidor e um diretório que você provavelmente já executa. O EAP-TLS adiciona uma PKI, na nuvem ou local, e um MDM para entregar e renovar certificados. Se você já paga por um MDM, o custo extra é principalmente a PKI. Em troca, as redefinições de senha de WiFi e os bloqueios por rotação de senha desaparecem.

O Purple funcionará com os access points que já possuímos?

Sim. O Purple é agnóstico em relação ao hardware e roda como uma camada em nuvem sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Todos eles suportam 802.1X com um servidor RADIUS externo. Seus access points não limitam a escolha entre EAP-TLS e PEAP. Não há necessidade de descartar e substituir equipamentos: o Purple se integra perfeitamente sobre a rede que você já opera hoje.

Os visitantes devem usar EAP-TLS ou PEAP?

Não. Ambos os protocolos pressupõem uma pessoa conhecida ou um dispositivo gerenciado, e os hóspedes de hotéis, estádios e estações não são nenhum dos dois. Use um Captive Portal para opt-ins e termos de uso. Use o OpenRoaming, construído sobre o Passpoint, para que os dispositivos que retornam se conectem automaticamente por meio de um link criptografado. O Guest WiFi da Purple abrange ambos, e o plano Connect inclui um provedor de identidade para OpenRoaming.\n\n### O PEAP ainda é seguro para uso em 2026?\n\nSim, dentro de certos limites. O PEAP com validação de certificado de servidor bloqueada e senhas de diretório fortes continua sendo uma escolha razoável para dispositivos pessoais. Seu papel está diminuindo no Windows, onde o Credential Guard bloqueia credenciais MSCHAPv2 salvas. A Microsoft recomenda autenticação baseada em certificado. Planeje o EAP-TLS para cada dispositivo Windows gerenciado e mantenha o PEAP para os dispositivos que você não controla.