什么是 PEAP 认证？PEAP 如何保障您的 WiFi 安全

什么是 PEAP 认证？PEAP 如何保障您的 WiFi 安全。Purple 企业级 WiFi 智能简报。 欢迎。如果您负责酒店集团、零售物业、体育场馆或公共部门组织的网络安全，这份简报就是为您准备的。在接下来的十分钟里，我们将探讨 PEAP 认证 - 它究竟是什么、它的底层工作原理、它在您的安全架构中所处的位置，以及至关重要的是，何时它是正确的选择，而何时您应该寻找更强大的方案。让我们开始吧。 第一部分：背景以及为什么这在当下至关重要。 如今，大多数企业级 WiFi 部署仍依赖于两种认证模型之一。您要么使用预共享密钥（整个组织共享单个密码），要么使用 802.1X（基于端口的网络访问控制的 IEEE 标准）。PEAP 牢牢属于 802.1X 阵营，并且它是迄今为止在全球企业和机构环境中部署最广泛的 EAP 方法。 PEAP 变得如此主导的原因很简单：它解决了一个实际的运营问题。在 PEAP 出现之前，部署基于证书的 WiFi 认证意味着要向每个设备（每台笔记本电脑、每部手机、每台平板电脑）颁发客户端证书。对于一个拥有 500 名员工并实行 BYOD 政策的组织来说，这是一个大多数 IT 团队根本没有预算或时间去处理的 PKI 部署难题。PEAP 提供了一条折中路线：通过 TLS 进行强大的服务器端认证，而在客户端则使用用户名和密码凭据。不需要客户端证书。 这种折中方案使 PEAP 成为本世纪前二十年企业 WiFi 认证的事实标准，并且在今天仍然极其常见。对于在 2024 年及以后做出基础设施决策的任何人来说，理解其架构及其局限性都是必不可少的。 第二部分：技术深度剖析。 让我们详细了解一下设备通过 PEAP 进行认证时究竟会发生什么。该过程有两个不同的阶段，理解这两个阶段至关重要。 此次交换中的三个角色是：申请者（supplicant，即客户端设备，无论是笔记本电脑、智能手机还是物联网终端）；认证者（authenticator，通常是无线接入点或无线局域网控制器）；以及认证服务器（authentication server，几乎总是 RADIUS 服务器，例如 Microsoft NPS、FreeRADIUS 或云端托管的 RADIUS 服务）。 第一阶段是 TLS 隧道建立。当申请者尝试连接时，认证者不会立即授予访问权限。相反，它会在本地网络上发起 EAP 交换 - 即 EAPOL（局域网上的 EAP）。认证者将其转发给 RADIUS 服务器，后者向客户端出示其服务器端 TLS 证书。客户端根据其受信任的证书存储区验证该证书。如果验证成功，则在客户端和 RADIUS 服务器之间建立一条 TLS 隧道。该隧道是加密的 - 在现代部署中通常为 TLS 1.2 或 1.3。 第二阶段是内部认证。在加密隧道内，交换实际的凭据。在最常见的部署方式 - PEAP-MSCHAPv2 - 中，客户端使用 Microsoft 挑战握手认证协议版本 2 发送用户名和密码。RADIUS 服务器会针对其身份库验证这些凭据，该身份库可以是 Active Directory、LDAP 或云身份提供商。如果凭据验证通过，RADIUS 服务器将通过认证器发送回 Access-Accept 消息，并向客户端授予网络访问权限。 这里的核心安全属性是 MSCHAPv2 交换发生在 TLS 隧道内部。被动监控无线信道的攻击者无法看到传输中的凭据。这就是 PEAP 的核心价值主张。 现在，PEAP-MSCHAPv2 在哪些地方存在不足？任何具有安全意识的架构师都需要了解两个重大问题。 第一：服务器证书验证。PEAP 仅要求服务器出示证书，而不要求客户端出示证书。这创造了一个已有详细记录的攻击向量。如果客户端设备配置错误，接受任何证书，或接受来自任何 CA 的证书，攻击者就可以建立一个流氓接入点，出示欺诈证书，并拦截 MSCHAPv2 握手。像 hostapd-wpe 这样的工具使得这种攻击变得轻而易举。缓解措施是严格的客户端配置：强制进行服务器证书验证、锁定预期的 CA 并指定服务器的通用名称。在任何严肃的部署中，这都是不可妥协的。 第二：MSCHAPv2 是一种存在已知缺陷的较旧协议。Moxie Marlinspike 在 2012 年的研究表明，只要有足够的计算能力，就可以离线破解 MSCHAPv2 挑战应答对。如果攻击者确实捕获了内部认证交换 - 例如通过上述流氓 AP 攻击 - 他们可以尝试离线恢复明文密码。因此，您的密码策略强度会直接影响您的风险暴露。长、复杂且随机生成的密码可以显著降低这种风险。 将此与 EAP-TLS 进行对比，在 EAP-TLS 中，服务器和客户端都会出示证书。没有可以窃取的密码。攻击面急剧减小。权衡之下是运营的复杂性：您需要一个 PKI，您需要颁发和管理客户端证书，并且需要一种将它们分发到每个设备的机制。对于拥有成熟 MDM 部署和管理良好的 PKI 的企业，EAP-TLS 是黄金标准。对于其他所有人，配合严格配置的 PEAP-MSCHAPv2 仍然是一个可行且实际的选择。 第三部分：实施建议和常见陷阱。 让我为您提供实际的部署指南。这些是将安全的 PEAP 部署与脆弱的部署区分开来的关键要素。 第一：在每个客户端上强制执行服务器证书验证。这是最核心的配置项。在 Windows 中，这是无线网络配置文件中的“验证服务器证书”复选框。在 iOS 和 Android 中，这是 EAP 配置中的 CA 证书字段。如果未配置此项，无论其他各项设置得多么完美，您的 PEAP 部署都容易受到流氓 AP 攻击。 第二：通过 MDM 或 GPO 部署，而非手动配置。终端用户进行的手动配置是不可靠的。用户会跳过证书警告，也可能会配置错 CA 字段。请通过 Microsoft Intune、Jamf 或组策略推送您的无线配置文件。这可确保在您的整个企业资产中实现一致、符合策略的客户端配置。 第三：在您的 RADIUS 服务器上至少使用 TLS 1.2。禁用 TLS 1.0 和 1.1。大多数现代 RADIUS 实现都支持这一点，但仍值得验证 - 特别是在较旧的本地部署中。 第四：与您的身份提供商集成。PEAP-MSCHAPv2 针对凭据库进行身份验证。该存储库应是您的权威身份提供商 - Active Directory、通过 NPS 扩展的 Azure AD，或具有 LDAP 集成的云 RADIUS 服务。这意味着当员工离职时，禁用其账户将立即撤销其 WiFi 访问权限。无需轮换共享密钥，无需手动注销。 第五：单独考虑您的访客网络。PEAP 是一种企业级身份验证方法。对于访客 WiFi - 即您需要引导访客、客户或活动参与者接入的网络 - 您需要采用不同的方法。像 Purple 这样的平台提供了专为访客 WiFi 设计的层，可处理 Captive Portal 身份验证、数据采集和分析，而无需在访客 SSID 上配置 RADIUS 基础设施。让您的企业 SSID 保持使用带 PEAP 的 802.1X，并将您的访客 SSID 放在一个独立的、带有适当引导接入的隔离网络上。 第六：规划证书轮换。您的 RADIUS 服务器证书将会过期。过期时，每个固定了该证书的客户端都将无法通过身份验证，直到分发新证书。将证书更新纳入您的运行日程表中 - 至少在到期前 90 天 - 并在推向生产环境之前在暂存环境中测试轮换流程。 我在现场看到的最常见故障模式包括：未强制执行证书验证，导致容易受到流氓 AP 攻击；RADIUS 服务器证书无预警过期，导致大范围的身份验证失败；以及由于可以从错误的网段访问 RADIUS 服务器，导致 MSCHAPv2 内部身份验证暴露。通过合理的规划，这三种情况都是可以避免的。 第四部分：快速问答。 PEAP 能否与 Azure AD 等云身份提供商配合使用？可以。微软用于 Azure AD MFA 的 NPS 扩展允许您通过 Azure AD 代理 PEAP 认证，从而在您的 WiFi 上实现多因素认证。或者，像 Cisco ISE、Aruba ClearPass 或 JumpCloud RADIUS 等云 RADIUS 服务可以直接与 Azure AD 或 Okta 集成。 PEAP 是否符合 PCI-DSS？PEAP-MSCHAPv2 可以在 PCI-DSS 环境中使用，但您需要确保强制执行服务器证书验证、使用 TLS 1.2 或更高版本，并且 RADIUS 服务器已正确进行分段。PCI-DSS 4.0 收紧了对网络访问控制的要求 - 请与您的 QSA 共同评估相关要求。 我应该从 PEAP 迁移到 EAP-TLS 吗？如果您拥有成熟的 MDM 部署以及管理 PKI 的运营能力，那么是的 - EAP-TLS 是更强大的选择。如果您管理的是一个包含个人设备、传统硬件或 MDM 覆盖范围有限的混合环境，那么经过严格配置的 PEAP-MSCHAPv2 仍然是合适的。这是一个基于风险的决策，而非非黑即白的抉择。 那 WPA3-Enterprise 呢？WPA3-Enterprise 针对高安全环境强制要求使用 192 位安全模式，但它仍然支持包括 PEAP 在内的 EAP 方法。WPA3 提高了空中加密强度，但并未改变 EAP 认证交换本身。 第五部分：总结与后续步骤。 总结一下：PEAP 是一种双阶段认证协议，它将内部凭据（通常是 MSCHAPv2）封装在 TLS 隧道内。它是部署最广泛的 802.1X EAP 方法，因为它消除了对客户端证书的需求，同时仍能提供强有力的服务器认证。其主要漏洞是由于客户端配置不当、未验证服务器证书而导致的流氓 AP 攻击。可以通过 MDM 强制执行无线配置文件、CA 钉扎以及服务器名称验证来缓解此问题。 对于大多数企业 WiFi 部署 - 公司办公室、酒店后勤网络、零售员工网络 - 经过正确配置的 PEAP-MSCHAPv2 是一个合理且安全的选择。对于高安全环境、受监管行业或拥有成熟 PKI 基础设施的组织，EAP-TLS 提供了明显更强的安全性，应该作为目标架构。 如果您的企业网络同时也在运行访客 WiFi（大多数企业都是如此），请记住 PEAP 并不是访客接入的合适工具。可以了解一下 Purple 等平台，它们提供专为访客设计的 WiFi 认证，具备分析、数据捕获和营销集成功能，使您的访客流量与企业流量保持正确隔离，并确保您的合规性不受影响。 如需阅读更多内容，请查看 Purple 关于 RADIUS 服务器架构和企业 WiFi 认证的指南。链接已在节目简报中提供。 感谢收听。以上是 Purple 企业 WiFi 情报简报。