EAP-TLS 與 PEAP：哪種驗證協定最適合您的網路？

當您能完全管控設備時，請選擇 EAP-TLS。每台設備都會透過憑證證明其身分，因此不存在可被釣魚或破解的密碼。當您無法發放憑證時（例如在個人設備上），請選擇 PEAP，並在每個用戶端上強制實施伺服器憑證驗證。這兩種方式都不適合匿名訪客，因此請改用 Captive Portal 或 OpenRoaming。

您應該選擇 EAP-TLS 還是 PEAP？

這兩種協定都在 IEEE 802.1X 內部執行，這是基於連接埠之網路存取控制的標準。802.1X 會在基地台轉發其流量之前，要求設備證明其身分。該證明會作為 EAP（可擴充驗證協定）訊息傳送至 RADIUS 伺服器，即核准或拒絕每個連線的服務。

EAP-TLS 和 PEAP 是承載該證明的兩種方式。兩者的差異在於設備所出示的內容。

• EAP-TLS 定義於 RFC 5216，並在 RFC 9190 中針對 TLS 1.3 進行了更新。伺服器和設備各自出示數位憑證。身分識別建立在絕不離開設備的私鑰上。
• PEAP（受保護的 EAP）僅要求伺服器提供憑證。設備會建立連至伺服器的加密通道，然後在該通道內傳送使用者名稱和密碼，幾乎總是使用 MSCHAPv2。

簡短建議：

• 託管的筆記型電腦、平板電腦、掃描器和支付設備： EAP-TLS。
• 您無法註冊的個人手機和承包商設備： PEAP，並鎖定伺服器憑證驗證。
• 訪客、粉絲、乘客和購物者： 皆不適用。請透過 Guest WiFi 使用 Captive Portal 或 OpenRoaming。

大多數企業會在同一個 RADIUS 服務上執行這兩種方法，並按設備所有權進行區分。本指南的其餘部分將展示該界線落於何處，以及運作每一側所需的成本。

EAP-TLS 和 PEAP 在實務上有何不同？

EAP-TLS 握手流程如何運作

RADIUS 伺服器會先傳送其憑證。設備會對照受信任的根憑證授權單位 (CA) 來檢查該憑證。然後，設備會傳送自己的憑證，並證明其擁有對應的私鑰。

伺服器會確認設備憑證有效且未被撤銷。它會透過憑證撤銷清單 (CRL) 或 OCSP（線上憑證狀態協定，RFC 6960）來檢查撤銷狀態。只有在完成這些步驟後，基地台才會允許設備進入。

任何時間點都不會有密碼跨越網路傳輸。被釣魚取得的密碼無法開啟網路，因為網路根本不會索取密碼。

PEAP 握手流程如何運作

RADIUS 伺服器傳送其憑證，設備對其進行驗證。雙方建立一個 TLS 通道。在該通道內部，設備會對照 Active Directory 等目錄執行 MSCHAPv2（微軟挑戰握手驗證協定第 2 版）。如果憑證資訊相符，設備即可獲得存取權限。

Microsoft、Cisco 和 RSA Security 共同開發了 PEAP。它從未成為 IETF 標準。Microsoft 在其 MS-PEAP 協定規格中發布了大多數設備所使用的版本。

為何伺服器憑證驗證決定了 PEAP 的安全性

通道只有在裝置檢查另一端身分時才能保護密碼。如果跳過該檢查，攻擊者就可以從惡意存取點（即所謂的 "evil twin"）廣播您的網路名稱。接著裝置會與攻擊者完成 MSCHAPv2，並交出質詢與回應。

2012 年，Microsoft 安全公告 2743314 警告未封裝的 MSCHAPv2 交換可能會被破解。Microsoft 的補救措施是將其包裹在 PEAP 中，並強制執行伺服器憑證驗證。這至今仍是基本規則。

EAP-TLS 沒有這個弱點。連接到惡意存取點的裝置沒有可重複使用的密碼可以洩漏。

EAP-TLS 與 PEAP 並排比較

Windows。 Microsoft 的 Credential Guard 文件指出，啟用 Credential Guard 時，基於 MSCHAPv2 的 WiFi 和 VPN 連線無法使用已儲存的憑據。從 22H2 版本開始，符合條件的 Windows 11 Enterprise 和 Education 裝置預設啟用 Credential Guard。Microsoft 建議改用基於憑證的方法，例如 EAP-TLS。

Android。 近期的 Android 版本已移除跳過伺服器憑證驗證的選項。PEAP 設定檔現在必須指定 CA 憑證和伺服器網域。這縮小了 evil twin 的漏洞，但增加了員工手動設定的難度。

何時選擇 EAP-TLS 是正確的做法？

當滿足三個條件時，請選擇 EAP-TLS：您擁有這些裝置、您可以將設定推送至這些裝置，且密碼遭破解會造成實質損害。

• 透過 MDM（行動裝置管理）平台（例如 Microsoft Intune）管理的企業持有筆記型電腦。
• 位於 PCI DSS 範圍內網路的 POS 終端機與手持掃描機。 -醫療照護 領域的臨床平板電腦與護理車，在這些情境下，共用的病房密碼是長期存在的風險。
• 飯店的後勤、櫃檯與房務裝置。
• 為 WPA3-Enterprise 192-bit 模式建立的網絡，WPA3 規範將其與 EAP-TLS 加密套件綁定。

證書也讓離職流程更加精準。撤銷一張證書只會使單一裝置失去存取權限，而該使用者的其他裝置則不受影響。這能完美對應 MDM 與目錄服務中的人員入職、調職與離職作業。

在硬體支援的情況下，請將私鑰以不可匯出的方式儲存在裝置的 TPM（可信賴平台模組）或安全圍域（secure enclave）中。無法從裝置複製出來的證書，就無法在其他地方重複使用。

實作案例：擁有 30 間物業的飯店集團

本指南中的案例為常見部署方式的綜合情境，非特定客戶的實際結果。

背景。 一家飯店集團營運 30 間物業，每間約有 200 間客房。後勤筆記型電腦、房務平板電腦和櫃檯 PC 共用同一個員工 WiFi 網絡。裝置使用 PEAP 搭配少數共用的 Active Directory 帳號登入。當平板電腦遺失時，IT 人員必須重設共用密碼，並重新設定使用該密碼的每一台裝置。

執行內容。 每台裝置都已註冊於 MDM 中。團隊建立了雲端 PKI（公鑰基礎設施，即核發與撤銷證書的系統）。他們透過 SCEP（簡單證書註冊協定，RFC 8894）推送裝置證書。隨後，員工 WiFi 設定檔切換至 EAP-TLS。在整個轉換過程中，PEAP 在同一個 RADIUS 服務上保持運作。動態 VLAN 分配將房務平板電腦置於與財務筆記型電腦不同的網段。

結果。 共用 WiFi 帳號歸零。遺失平板電腦現在只需撤銷一張證書，不必在數十台裝置上重設密碼。密碼定期輪替不再會導致 WiFi 中斷，因為已不再使用任何 WiFi 密碼。更多關於旅宿業網絡的資訊，請造訪我們的 飯店 頁面。

何時適合使用 PEAP？

當您無法在裝置上安裝證書，且登入的使用者擁有目錄帳號時，請選擇 PEAP。

• 在 BYOD（攜帶個人裝置）政策下使用個人手機的員工，且無法接受 MDM 註冊。
• 擁有短期帳號的包商、臨時活動人員與派遣員工。
• 擁有 Active Directory 但尚未建置 PKI 的機構，可作為過渡至 EAP-TLS 的階段性作法。

僅在具備以下三項控制措施的情況下，上述情況才適合使用 PEAP。

1. 在每台裝置上鎖定伺服器證書驗證。 指定可信賴的 CA 與確切的伺服器名稱。透過群組原則（Group Policy）、MDM 設定檔或導引工具（onboarding tool）進行部署，絕不要手動設定。
2. 維持伺服器證書的可預測性。 由您的裝置已信賴的 CA 核發，並在更新證書時維持伺服器名稱一致。
3. 強化目錄密碼。 PEAP 的安全性完全取決於通道內的密碼強度。請強制執行密碼長度要求，並在目錄端阻擋已知已遭洩漏的密碼。

實作案例：擁有季節性員工的會議中心

狀況。 一家位於市中心的會議與活動場地在每個旺季都會僱用約 300 名臨時員工。他們使用自己的手機來使用排班和無線電應用程式。場地無法要求員工將個人手機註冊到 MDM 中。在那之前，員工休息室的佈告欄上掛著一個共用的 WPA2-Personal 密碼。

做法。 IT 為每位臨時員工建立了一個設有結束日期的目錄帳號。員工 WiFi 遷移至 PEAP。一次性的引導設定檔在每支手機上固定了 CA 和伺服器名稱。帳號會在合約結束日期自動停用。與會者則保持在獨立的 Captive Portal 網路中。

結果。 淘汰了共用密碼。離職者現在會在結束日期當天失去存取權限，而不是在下一次修改密碼時。每筆員工連線都會對應到 RADIUS 記錄中的具名帳號，資安團隊可在每場活動後進行稽核。

EAP-TLS 與 PEAP 的運作成本為何？

兩種協定均不收取授權費用。兩者皆已內建於 Windows、macOS、iOS、Android 和 ChromeOS 中。成本主要在於基礎架構和人員時間。

EAP-TLS 的支出重點

EAP-TLS 前期投入成本較高。您需要支付 PKI 以及設計憑證範本、註冊與撤銷的人員時間費用。如果您已經在使用 MDM，大部分的交付成本就已經涵蓋在內。上線後，主要的定期任務是憑證更新，這可以透過 MDM 自動化進行。

PEAP 的支出重點

PEAP 起步成本低，但隨著時間推移費用會更高。每次變更密碼都可能在手機和筆記型電腦上留下過期的憑證。重複嘗試失敗可能會導致 Active Directory 中的帳號被鎖定，從而產生客服支援單。這些成本會隨著員工人數和密碼輪替頻率而增加。

注意伺服器憑證的有效期

如果您的 RADIUS 伺服器憑證來自公開 CA，其有效期正在縮短。CA/Browser Forum 的 Ballot SC-081 分階段縮短了公開 TLS 憑證的最長有效期。自 2026 年 3 月起限制降至 200 天，自 2029 年 3 月起降至 47 天。許多團隊改為由私有 CA 發行 RADIUS 憑證，這樣可以將更新保持在自己的時程規劃內。

設定錯誤的代價

IBM 的《2024 年資料外洩成本報告》指出，全球平均外洩成本達 488 萬美元。在該報告中，遭竊或遭破解的憑證是最常見的初始攻擊向量之一。EAP-TLS 能為所涵蓋的每一台裝置從攻擊面中移除 WiFi 密碼。

實際案例：擁有 120 家分店的零售商

情況。 一家零售商營運 120 家分店，其手持掃描機與行動 POS 裝置均採用 PEAP。這些裝置共用一個服務帳號。每次排定輪替該帳號時，保留舊密碼的分店裝置都會在夜間發生驗證失敗。

做法。 IT 部門利用既有的 MDM，將掃描機與支付裝置轉移至 EAP-TLS。每台裝置皆收到專屬的憑證。門市員工的手機則保持採用 PEAP，並位於獨立的 VLAN，無法路由至持卡人資料環境。

結果。 輪替日的停機情況不再發生，因為受控範圍內的裝置不再依賴共用密碼。撤銷權限改為針對單一裝置，而非整家分店。PCI DSS 規範 11.2.1 要求每季進行的流氓存取點檢查仍維持不變。請參閱我們的 零售 頁面，瞭解更多關於門市網路的資訊。

是什麼原因導致協定失效？該如何預防？

憑證過期

如果 CA 憑證或 RADIUS 伺服器憑證過期，所有驗證都會立即失敗。這對 EAP-TLS 和 PEAP 的影響相同。請在每個到期日前 90 天、30 天及 7 天設定警示，並為每張憑證指定負責人。

未開啟伺服器驗證

若 PEAP 設定檔略過伺服器驗證，就會將憑證雙手奉給任何邪惡雙生 (evil twin) 存取點。請定期稽核裝置設定檔，並將此檢查加入您的資安審查中。請移除所有指示員工點擊 "不驗證" 的手動設定說明。

RADIUS 延遲與單點故障

驗證部位於關鍵路徑上。控制器、RADIUS 伺服器與目錄之間的的高延遲會導致 EAP 超時。請具備備援機制地執行 RADIUS，或使用跨多個區域的雲端 RADIUS。對於分散式資產，例如 鐵路 上的車站與列車車廂，請在靠近存取點的地方部署本機 RADIUS 代理伺服器。

流氓存取點 (Rogue access points)

請利用存取點平台內建的無線入侵偵測功能，持續標記未經授權的裝置。如果您接受卡片付款，PCI DSS 規範 11.2.1 要求您至少每三個月測試一次未經授權的存取點。

驗證後的扁平化網路

成功的 802.1X 登入不應開放整個網路。請使用動態 VLAN 分配，讓 RADIUS 透過 RFC 3580 定義的屬性傳回每台裝置的 VLAN (虛擬區域網路)。如此，支付裝置、員工手機與建築系統就能進入具備各自存取控制的獨立網段。

如何為您的資產環境做決定？

請從裝置所有權出發，而非協定偏好。下表將常見情況對應至建議做法。

iPSK（身分預共享金鑰，也稱為 PPSK）可在單一網路名稱上為每個設備或群組提供專屬的 WiFi 金鑰。請將其用於無法執行 802.1X 請求者的設備。

做出決策的四步驟路線

1. 依所有權清點設備。 將其分為企業管理、個人、無頭設備（Headless）和訪客。
2. 檢查您現有運行的項目。 現有的 MDM 能讓管理的設備部署 EAP-TLS 成為一個輕量級專案。
3. 設定目標狀態。 為每台託管設備採用 EAP-TLS，僅在無法註冊時使用 PEAP。
4. 就地遷移。 在一個 RADIUS 服務上運行兩種方法，將託管設備遷移至 EAP-TLS，然後淘汰其 PEAP 設定檔。

Purple 適用於何處？

Purple 與硬體無關。我們作為雲端重疊層運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。無需拔除與替換。Purple 可直接重疊於您現有的網路之上。

針對員工和居民，Purple 的身分識別網路（Identity-Based Networks）將員工 WiFi 和多租戶 WiFi 存取權限與身分綁定。它們透過連結至 Microsoft Entra ID、Okta 或 Google Workspace 的雲端 RADIUS 運作。新進、異動與離職人員均由目錄管理，而非人工處理。無法執行 802.1X 的設備則使用 iPSK。

針對訪客，Purple 的 Guest WiFi 提供 Captive Portal - 存取前顯示的網頁，帶有知情選擇的訂閱選項。它還支援 OpenRoaming，這是基於 Passpoint (Hotspot 2.0) 建置的 Wireless Broadband Alliance 聯盟。OpenRoaming 允許再次存取的設備透過加密連線自動連線。Purple 的 Connect 方案包含適用於 OpenRoaming 的身分提供者。WiFi Analytics 隨後會將這些連線轉化為關於停留時間與重複造訪的第一方數據。

Purple 在 80,000 多個實體場域運行，並在 2024 年處理了 4.4 億次登入（Purple 內部數據）。Purple 通過 ISO 27001 認證，符合 GDPR，並獲得 Cyber Essentials 認證。

常見問題

EAP-TLS 是否比 PEAP 更安全？

是的。EAP-TLS 使用憑證進行雙向驗證，因此不會有密碼被網路釣魚、猜測或遭惡意基地台擷取的風險。PEAP 則是在加密通道內保護密碼，其安全性取決於每台裝置是否能確實驗證伺服器憑證。若設定得當，PEAP 適用於個人裝置。而對於企業自有裝置、支付終端機與醫療設備，EAP-TLS 則能直接消除整套憑證攻擊風險。

PCI-DSS 是否要求無線網路必須使用 EAP-TLS？

否。PCI-DSS v4.0 未指定具體的 EAP 方法。依據要求 11.2.1，它要求傳輸持卡人資料的無線網路必須採用強加密技術，並每季檢查是否有未授權的基地台。此外，只要使用密碼，就必須實施密碼管制。EAP-TLS 能讓適用範圍內的裝置無需處理 WiFi 密碼，進而簡化合規證明。若能落實並記錄伺服器驗證與密碼策略，PEAP 同樣可以合規。

我們可以在不停機的情況下從 PEAP 移轉至 EAP-TLS 嗎？

是的。單一 RADIUS 服務可以在同一個網路名稱上同時接受這兩種方法，每台裝置會依據其設定檔指定的格式進行驗證。您只需透過 MDM 發放憑證並推播新的 EAP-TLS 設定檔，接著在裝置切換時監控 RADIUS 紀錄即可。當沒有任何受控裝置繼續使用 PEAP 驗證時，即可移除其 PEAP 設定檔。PEAP 僅需保留給無法註冊的個人裝置使用。

運行 EAP-TLS 需要 MDM 嗎？

如果裝置數量超過少數幾台，實務上是需要的。每台裝置都需要一張憑證、一個受信任的 CA 與一份 WiFi 設定檔，且每張憑證都必須在過期前更新。像是 Microsoft Intune 這類 MDM 可以透過 SCEP 或類似的註冊協定將此過程自動化。如果沒有 MDM，雖然可以使用引導管道工具在個人裝置上安裝憑證，但手動安裝無法擴展至試運行階段之外。

與 PEAP 相比，EAP-TLS 的成本如何？

這兩種協定都沒有授權費用，差異在於基礎設施與人員時間。PEAP 需要 RADIUS 服務、一張伺服器憑證，以及您可能已經在運行的目錄服務。EAP-TLS 則額外需要雲端或地端的 PKI，以及用來發放和更新憑證的 MDM。如果您已經為 MDM 付費，額外成本主要在於 PKI。作為回報，WiFi 密碼重置與定期變更導致的帳號鎖定將不復存在。

Purple 可以與我們現有的基地台搭配使用嗎？

是的。Purple 與硬體無關，可以作為雲端覆蓋層運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 之上。這些設備全數支援搭配外部 RADIUS 伺服器的 802.1X。您的基地台不會限制您在 EAP-TLS 與 PEAP 之間的選擇，完全不需要砍掉重練：Purple 可以直接覆蓋在您現有的網絡之上。

訪客應該使用 EAP-TLS 還是 PEAP？

不適用。這兩種協定都假設使用者身份已知或為已管理裝置，但飯店、體育場和車站的訪客兩者皆非。請使用 Captive Portal 來處理選擇性同意與使用條款。請使用建置於 Passpoint 之上的 OpenRoaming，讓再次造訪的裝置能透過加密連線自動連線。Purple 的 Guest WiFi 同時支援這兩者，且 Connect 方案已包含 OpenRoaming 的身份提供者。

PEAP 在 2026 年使用仍然安全嗎？

是的，但在一定限制內。採用鎖定伺服器憑證驗證與強密碼目錄的 PEAP，對於個人裝置來說仍是合理的選擇。但它在 Windows 上的作用正在縮減，因為 Credential Guard 會封鎖已儲存的 MSCHAPv2 憑證。Microsoft 建議改用以憑證為基礎的驗證。請為每台已管理的 Windows 裝置規劃 EAP-TLS，並將 PEAP 留給您無法控制的裝置。