什麼是 PEAP 驗證？PEAP 如何保護您的 WiFi

什麼是 PEAP 驗證？PEAP 如何保護您的 WiFi。Purple 企業 WiFi 情報簡報。 歡迎。如果您負責飯店集團、零售物業、體育場或公部門組織的網路安全，本簡報就是為您準備的。在接下來的十分鐘內，我們將涵蓋 PEAP 驗證——它實際上是什麼、它如何運作、它在您的安全架構中的定位，以及關鍵的是，何時它是正確的選擇，而何時您應該考慮更強大的方案。讓我們開始吧。 第一節：背景脈絡以及為什麼現在這件事很重要。 現今大多數企業 WiFi 部署仍然依賴兩種驗證模型之一。您要么使用預先共用金鑰——一個在整個組織內共用的單一密碼——要么使用 802.1X，這是基於連接埠的網路存取控制的 IEEE 標準。PEAP 堅定地屬於 802.1X 陣營，並且它是迄今為止全球企業和機構環境中部署最廣泛的 EAP 方法。 PEAP 變得如此主導的原因很簡單：它解決了一個真實的營運問題。在 PEAP 之前，部署基於憑證的 WiFi 驗證意味著要為每台設備——每台筆記型電腦、每部手機、每台平板電腦——發行用戶端憑證。對於一個擁有五百名員工和 BYOD 政策的組織來說，這是一個 PKI 部署的難題，大多數 IT 團隊根本沒有預算或時間來處理。PEAP 提供了一條中間道路：透過 TLS 進行強大的伺服器端驗證，而在用戶端使用使用者名稱和密碼憑證。無需用戶端憑證。 這種妥協使 PEAP 在 2000 年代和 2010 年代成為企業 WiFi 驗證的事實標準，並且至今仍然非常普遍。了解其架構——以及其局限性——對於任何在 2024 年及以後做出基礎架構決策的人來說至關重要。 第二節：技術深入探討。 讓我們逐步了解設備透過 PEAP 進行驗證時究竟發生了什麼。這個過程有兩個不同的階段，理解兩者至關重要。 此交換中的三個角色是：請求者——即用戶端設備，無論是筆記型電腦、智慧型手機或物聯網終端；驗證器——通常是無線存取點或無線 LAN 控制器；以及驗證伺服器——幾乎總是 RADIUS 伺服器，例如 Microsoft NPS、FreeRADIUS 或雲端託管的 RADIUS 服務。 第一階段是 TLS 通道建立。當請求者嘗試連接時，驗證器不會立即授予存取權。相反，它會透過本地網路啟動一個 EAP 交換——這就是 EAPOL，基於 LAN 的 EAP。驗證器將其轉發給 RADIUS 伺服器，伺服器向用戶端出示其伺服器端 TLS 憑證。用戶端根據其信任的憑證存放區驗證該憑證。如果驗證成功，則在用戶端和 RADIUS 伺服器之間建立 TLS 通道。此通道是加密的——在現代部署中通常為 TLS 1.2 或 1.3。 第二階段是內部驗證。在那個加密通道內，實際的憑證被交換。在最常見的部署——PEAP-MSCHAPv2——中，用戶端使用 Microsoft 挑戰握手驗證協定版本 2 傳送使用者名稱和密碼。RADIUS 伺服器根據其身分存放區驗證這些憑證，身分存放區可能是 Active Directory、LDAP 或雲端身分提供者。如果憑證驗證通過，RADIUS 伺服器會透過驗證器傳回一個 Access-Accept 訊息，用戶端即獲得網路存取權。 這裡的關鍵安全屬性是，MSCHAPv2 交換發生在 TLS 通道內部。被動監控無線通道的攻擊者無法看到傳輸中的憑證。這就是 PEAP 的核心價值主張。 現在，PEAP-MSCHAPv2 的不足之處在哪裡？有兩個重要的問題是任何具有安全意識的架構師都需要了解的。 第一：伺服器憑證驗證。PEAP 僅要求伺服器出示憑證——它不要求用戶端出示憑證。這創建了一個有據可查的攻擊向量。如果用戶端設備設定不當，接受任何憑證——或接受來自任何 CA 的憑證——攻擊者可以架設一個流氓存取點，出示偽造的憑證，並攔截 MSCHAPv2 握手。像 hostapd-wpe 這樣的工具使這種攻擊變得輕而易舉。緩解措施是嚴格的請求者設定：強制執行伺服器憑證驗證，固定預期的 CA，並指定伺服器的通用名稱。在任何嚴肅的部署中，這都是沒有商量餘地的。 第二：MSCHAPv2 是一個較舊的通訊協定，存在已知的弱點。Moxie Marlinspike 在 2012 年的研究表明，MSCHAPv2 的挑戰-回應對可以透過足夠的計算在離線狀態下被破解。如果攻擊者確實捕獲了內部驗證交換——例如透過上述的流氓 AP 攻擊——他們可以嘗試離線恢復明文密碼。因此，您的密碼原則的強度直接影響您的暴露風險。長度、複雜且隨機生成的密碼可以顯著降低這種風險。 將此與 EAP-TLS 進行比較，其中伺服器和用戶端都出示憑證。沒有密碼可供竊取。攻擊面大幅減少。取捨在於營運複雜性：您需要一個 PKI，您需要發行和管理用戶端憑證，並且您需要一個機制將其分發到每台設備。對於擁有成熟 MDM 部署和良好管理 PKI 的組織，EAP-TLS 是黃金標準。對於其他人來說，具有嚴格設定的 PEAP-MSCHAPv2 仍然是一個可防禦且實用的選擇。 第三節：實作建議與陷阱。 讓我為您提供實用的部署指導。這些是將安全的 PEAP 部署與易受攻擊的部署區分開來的事項。 第一：對每個請求者強制執行伺服器憑證驗證。這是最重要的設定項目。在 Windows 中，這是無線網路設定檔中的「驗證伺服器憑證」核取方塊。在 iOS 和 Android 中，它是 EAP 設定中的 CA 憑證欄位。如果未設定此項，無論其他設定多麼完善，您的 PEAP 部署都容易受到流氓 AP 攻擊。 第二：透過 MDM 或 GPO 部署，而不是手動設定。終端使用者的手動設定不可靠。使用者會點擊通過憑證警告。他們會錯誤設定 CA 欄位。透過 Microsoft Intune、Jamf 或群組原則推送您的無線設定檔。這可以確保在您的資產中實現一致、符合原則的請求者設定。 第三：在您的 RADIUS 伺服器上至少使用 TLS 1.2。停用 TLS 1.0 和 1.1。大多數現代 RADIUS 實作都支援這一點，但值得驗證——尤其是在較舊的本地部署上。 第四：與您的身分提供者整合。PEAP-MSCHAPv2 是針對憑證存放區進行驗證的。該存放區應是您的權威身分提供者——Active Directory、透過 NPS 擴展的 Azure AD，或具有 LDAP 整合的雲端 RADIUS 服務。這意味著當員工離職時，停用其帳戶將立即撤銷其 WiFi 存取權。無需輪換共用機密，無需手動取消佈建。 第五：單獨考慮您的訪客網路。PEAP 是一種企業驗證方法。對於訪客 WiFi——您為訪客、客戶或活動參與者提供引導的地方——您需要一種不同的方法。像 Purple 這樣的平台提供了一個專用的訪客 WiFi 層，它處理 Captive Portal 驗證、資料擷取和分析，而無需在訪客 SSID 上使用 RADIUS 基礎架構。讓您的企業 SSID 繼續使用帶有 PEAP 的 802.1X，並將訪客 SSID 放在一個單獨的隔離網路上，並採用適當的引導流程。 第六：規劃憑證輪換。您的 RADIUS 伺服器憑證將會到期。一旦到期，每個固定了該憑證的用戶端都將無法進行驗證，直到新的憑證被分發。將憑證續訂納入您的營運行事曆——至少在到期前 90 天——並在推出到生產環境之前，在預備環境中測試輪換過程。 我在業界看到的最常見的失敗模式是：未強制執行憑證驗證，導致流氓 AP 漏洞；RADIUS 伺服器憑證在沒有警告的情況下到期，導致大規模驗證失敗；以及因為 RADIUS 伺服器可以從錯誤的網路區段存取，而暴露了 MSCHAPv2 內部驗證。這三者都可以透過適當的規劃來避免。 第四節：快問快答。 PEAP 可以與 Azure AD 等雲端身分提供者一起使用嗎？可以。適用於 Azure AD MFA 的 Microsoft NPS 擴展功能允許您透過 Azure AD 代理 PEAP 驗證，從而在您的 WiFi 上啟用多重要素驗證。或者，像 Cisco ISE、Aruba ClearPass 或 JumpCloud RADIUS 這樣的雲端 RADIUS 服務可以直接與 Azure AD 或 Okta 整合。 PEAP 符合 PCI DSS 嗎？PEAP-MSCHAPv2 可以在 PCI DSS 環境中使用，但您需要確保強制執行伺服器憑證驗證、使用 TLS 1.2 或更高版本，並且 RADIUS 伺服器被正確分段。PCI DSS 4.0 收緊了網路存取控制相關的要求——請與您的 QSA 一起審查相關要求。 我應該從 PEAP 遷移到 EAP-TLS 嗎？如果您擁有成熟的 MDM 部署和管理 PKI 的營運能力，那麼是的——EAP-TLS 是更強大的選擇。如果您管理的是混合資產，包含個人設備、舊版硬體或有限的 MDM 覆蓋範圍，則具有嚴格設定的 PEAP-MSCHAPv2 仍然適用。這是基於風險的決策，而不是二元選擇。 WPA3-Enterprise 呢？WPA3-Enterprise 對高安全性環境強制要求 192 位元安全模式，但它仍然支援包括 PEAP 在內的 EAP 方法。WPA3 改進了無線加密，但不會改變 EAP 驗證交換本身。 第五節：總結與後續步驟。 總結一下：PEAP 是一種兩階段驗證通訊協定，它將內部憑證（通常是 MSCHAPv2）封裝在 TLS 通道內。它是部署最廣泛的 802.1X EAP 方法，因為它消除了對用戶端憑證的需求，同時仍提供強大的伺服器驗證。其主要漏洞是，由於設定不當的請求者未驗證伺服器憑證，從而導致的流氓 AP 攻擊。透過 MDM 強制的無線設定檔、CA 固定和伺服器名稱驗證來緩解這一問題。 對於大多數企業 WiFi 部署——公司辦公室、飯店後勤網路、零售員工網路——具有適當設定的 PEAP-MSCHAPv2 是一個合理且可防禦的選擇。對於高安全性環境、受監管的行業或擁有成熟 PKI 基礎架構的組織，EAP-TLS 提供了有意義的更強安全性，並且應該是目標架構。 如果您同時在企業網路旁邊運行訪客 WiFi——而且大多數人都會這樣做——請記住，PEAP 不是訪客引導的正確工具。看看像 Purple 這樣的平台，它提供了專用的訪客 WiFi 驗證，具有分析、資料擷取和行銷整合功能，使您的訪客和企業流量得以適當分隔，並保持您的合規態勢完好無損。 如需進一步閱讀，請查閱 Purple 關於 RADIUS 伺服器架構和企業 WiFi 驗證的指南。連結在節目筆記中。 感謝收聽。這是 Purple 企業 WiFi 情報簡報。