什麼是 PEAP 驗證？PEAP 如何保護您的 WiFi 安全

什麼是 PEAP 驗證？PEAP 如何保護您的 WiFi。Purple 企業級 WiFi 智慧簡報。 歡迎。如果您負責飯店集團、零售物業、體育場館或公共部門組織的網路安全，這份簡報正是為您準備的。在接下來的十分鐘內，我們將探討 PEAP 驗證 - 包括它的實際定義、後台運作方式、它在您的安全架構中所處的位置，以及最關鍵的：何時是正確的選擇，而何時您應該考慮更強大的方案。讓我們開始吧。 第一部分：背景脈絡以及為什麼這在當下至關重要。 當今大多數企業級 WiFi 部署仍依賴兩種驗證模型之一。您要麼使用預共用金鑰 - 在整個組織中共享的單一密碼 - 要麼使用 802.1X，這是用於基於連接埠之網路存取控制的 IEEE 標準。PEAP 牢牢屬於 802.1X 陣營，並且是迄今為止在全球企業和機構環境中部署最廣泛的 EAP 方法。 PEAP 變得如此主導的原因非常簡單：它解決了實際的營運問題。在 PEAP 出現之前，部署基於憑證的 WiFi 驗證意味著要向每台裝置 - 每台筆記型電腦、每部手機、每台平板電腦 - 發放用戶端憑證。對於一家擁有五百名員工並實行 BYOD 政策的組織來說，這是一項 PKI 部署難題，大多數 IT 團隊根本沒有預算或時間來處理。PEAP 提供了一條折衷之路：透過 TLS 進行強大的伺服器端驗證，並在用戶端使用使用者名稱和密碼憑證。不需要用戶端憑證。 這種折衷使 PEAP 成為 2000 年代和 2010 年代企業 WiFi 驗證的業界標準，並且在今天仍然非常普遍。了解其架構 - 及其局限性 - 對於在 2024 年及以後做出基礎設施決策的任何人來說都至關重要。 第二部分：技術深度探討。 讓我們詳細瞭解一下裝置透過 PEAP 進行驗證時究竟發生了什麼。該過程有兩個不同的階段，理解這兩個階段至關重要。 在此交換過程中的三個角色是：要求端 (supplicant) - 即用戶端裝置，無論是筆記型電腦、智慧型手機還是 IoT 終端；驗證器 (authenticator) - 通常是無線存取點或無線區域網路控制器；以及驗證伺服器 (authentication server) - 幾乎總是 RADIUS 伺服器，例如 Microsoft NPS、FreeRADIUS 或雲端代管的 RADIUS 服務。 第一階段是 TLS 通道建立。當要求端嘗試連線時，驗證器不會立即授予存取權限。相反，它會透過本地網路發起 EAP 交換 - 這就是 EAPOL (EAP over LAN)。驗證器將此轉發到 RADIUS 伺服器，後者向用戶端出示其伺服器端 TLS 憑證。用戶端會根據其信任的憑證存放區驗證該憑證。如果驗證成功，則會在用戶端和 RADIUS 伺服器之間建立 TLS 通道。此通道是加密的 - 在現代部署中通常為 TLS 1.2 或 1.3。 第二階段是內部驗證。在該加密通道內，會進行實際憑證的交換。在最常見的部署 - PEAP-MSCHAPv2 - 中，用戶端會使用 Microsoft Challenge Handshake Authentication Protocol 版本 2 傳送使用者名稱和密碼。RADIUS 伺服器會比對其身分識別庫（可能是 Active Directory、LDAP 或雲端身分識別提供者）驗證這些憑證。如果憑證通過驗證，RADIUS 伺服器會透過驗證器傳回 Access-Accept 訊息，並授予用戶端網路存取權限。 這裡的核心安全性特徵在於 MSCHAPv2 交換是在 TLS 通道內進行。被動監控無線通道的攻擊者無法看到傳輸中的憑證。這就是 PEAP 的核心價值主張。 那麼，PEAP-MSCHAPv2 在哪些地方有所不足？有兩個重要的問題是任何具有安全意識的架構師都需要瞭解的。 第一：伺服器憑證驗證。PEAP 僅要求伺服器出示憑證 - 它不要求用戶端出示憑證。這創造了一個已被詳盡記錄的攻擊向量。如果用戶端裝置設定錯誤，接受任何憑證 - 或接受來自任何 CA 的憑證 - 攻擊者就可以建立惡意存取點，出示欺詐性憑證，並攔截 MSCHAPv2 訊號交換。像 hostapd-wpe 這樣的工具使得這種攻擊變得極易實施。緩解措施是進行嚴格的用戶端（supplicant）設定：強制執行伺服器憑證驗證、綁定預期的 CA，並指定伺服器的一般名稱（Common Name）。在任何嚴肅的部署中，這都是不容妥協的。 第二：MSCHAPv2 是一種已知存在漏洞的較舊協定。Moxie Marlinspike 在 2012 年的研究表明，只要有足夠的運算能力，就可以離線破解 MSCHAPv2 盤問回應對。如果攻擊者確實擷取了內部驗證交換 - 例如透過上述的惡意 AP 攻擊 - 他們可以嘗試離線復原純文字密碼。因此，您的密碼原則強度直接影響您的曝險程度。冗長、複雜且隨機產生的密碼可以顯著降低此風險。 將此與 EAP-TLS 進行比較，在 EAP-TLS 中，伺服器和用戶端都會出示憑證。沒有密碼可供竊取。攻擊面大大減少。折衷方案是營運複雜性：您需要 PKI，您需要發行和管理用戶端憑證，並且需要一種將它們發佈到每個裝置的機制。對於擁有成熟 MDM 部署和管理完善的 PKI 的組織而言，EAP-TLS 是黃金標準。對於其他所有人，經過嚴格設定的 PEAP-MSCHAPv2 仍然是一個防禦性強且實用的選擇。 第三部分：實施建議與陷阱。 讓我為您提供實用的部署指南。這些是區分安全 PEAP 部署與易受攻擊部署的關鍵因素。 第一：在每個 supplicant 上強制執行伺服器憑證驗證。這是最關鍵的設定項目。在 Windows 中，這是無線網路設定檔中的「驗證伺服器憑證」核取方塊。在 iOS 和 Android 中，則是 EAP 設定中的 CA 憑證欄位。如果未進行此設定，不論其他設定有多完善，您的 PEAP 部署都容易受到惡意 AP 的攻擊。 第二：透過 MDM 或 GPO 部署，而非手動設定。由終端使用者進行手動設定並不可靠。使用者會跳過憑證警告，也可能會設定錯誤的 CA 欄位。請透過 Microsoft Intune、Jamf 或群組原則推送您的無線設定檔。這可確保在您的所有設備上實現一致且符合原則的 supplicant 設定。 第三：在 RADIUS 伺服器上至少使用 TLS 1.2。停用 TLS 1.0 和 1.1。大多數現代的 RADIUS 實作都支援此功能，但這仍值得驗證 - 尤其是在較舊的地端部署中。 第四：與您的身分識別提供者整合。PEAP-MSCHAPv2 會針對認證儲存庫進行驗證。該儲存庫應為您的權威身分識別提供者 - Active Directory、透過 NPS 延伸模組的 Azure AD，或具有 LDAP 整合的雲端 RADIUS 服務。這意味著當員工離職時，停用其帳戶會立即撤銷其 WiFi 存取權限。無需輪換共享密鑰，也無需手動取消佈署。 第五：將您的訪客網路分開考慮。PEAP 是一種企業級驗證方法。對於訪客 WiFi - 即您需要引導訪客、客戶或活動參與者上網的場景 - 您需要採用不同的方法。像 Purple 這樣的平台提供了專門構建的訪客 WiFi 層，可處理 Captive Portal 驗證、資料收集和分析，而無需在訪客 SSID 上使用 RADIUS 基礎架構。請讓您的企業 SSID 保持使用 PEAP 的 802.1X，並將您的訪客 SSID 置於具有適當引導流程的獨立、隔離網路上。 第六：規劃憑證輪換。您的 RADIUS 伺服器憑證將會過期。一旦過期，每個綁定了該憑證的用戶端都將無法進行驗證，直到分發新憑證為止。請將憑證更新納入您的營運日程表中 - 至少在過期前 90 天 - 並在推廣到實際生產環境之前在測試環境中測試輪換流程。 我在實務中最常看到的失敗模式包括：未強制執行憑證驗證，導致容易受到惡意 AP 攻擊；RADIUS 伺服器憑證在無警告的情況下過期，導致大規模驗證失敗；以及由於可從錯誤的網路區段存取 RADIUS 伺服器，導致 MSCHAPv2 內部驗證外洩。只要有妥善的規劃，這三種情況都是可以避免的。 第四部分：快速問答。 PEAP 是否可以搭配 Azure AD 等雲端身分識別提供者運作？是的。微軟專為 Azure AD MFA 推出的 NPS 延伸模組，可讓您透過 Azure AD 代理 PEAP 驗證，進而在您的 WiFi 上啟用多因素驗證。或者，像 Cisco ISE、Aruba ClearPass 或 JumpCloud RADIUS 等雲端 RADIUS 服務，也可以直接與 Azure AD 或 Okta 整合。 PEAP 是否符合 PCI DSS 規範？PEAP-MSCHAPv2 可用於 PCI DSS 環境，但您必須確保強制執行伺服器憑證驗證、使用 TLS 1.2 或更高版本，且 RADIUS 伺服器已妥善進行網路區隔。PCI DSS 4.0 緊縮了網路存取控制的相關要求 - 請與您的 QSA 一同審查相關要求。 我應該從 PEAP 遷移到 EAP-TLS 嗎？如果您的 MDM 部署已成熟，且具備管理 PKI 的營運能力，那麼是的 - EAP-TLS 是更強大的選擇。如果您管理的是混合資產，包含個人裝置、舊型硬體或 MDM 覆蓋範圍有限，那麼搭配嚴格設定的 PEAP-MSCHAPv2 依然適用。這是一個基於風險評估的決定，而非非黑即白的二分法。 WPA3-Enterprise 呢？WPA3-Enterprise 針對高安全性環境規定了 192 位元安全性模式，但它仍然支援包括 PEAP 在內的 EAP 方法。WPA3 改善了無線空中傳輸加密，但不會改變 EAP 驗證交換本身。 第五節：總結與後續步驟。 綜合以上所述：PEAP 是一種雙階段驗證協定，它將內部的憑證（通常是 MSCHAPv2）封裝在 TLS 通道中。它是部署最廣泛的 802.1X EAP 方法，因為它免除了用戶端憑證的需求，同時仍提供強大的伺服器驗證。其主要漏洞在於因請求方設定錯誤、未驗證伺服器憑證，而導致容易受到惡意 AP 攻擊。請透過 MDM 強制執行的無線設定檔、CA 釘選（pinning）以及伺服器名稱驗證來減輕此風險。 對於大多數企業 WiFi 部署 - 企業辦公室、飯店後勤網路、零售員工網路 - 經過妥善設定的 PEAP-MSCHAPv2 是一個健全且防禦力足夠的選擇。對於高安全性環境、受監管行業或擁有成熟 PKI 基礎架構的組織，EAP-TLS 可提供顯著更強的安全性，並應作為目標架構。 如果您在執行企業網路的同時也運行訪客 WiFi（大多數人都是如此），請記住 PEAP 並非訪客上網引導的合適工具。請參考 Purple 等平台，其提供專為訪客 WiFi 驗證打造的解決方案，並整合了分析、數據收集與行銷功能，可妥善隔離您的訪客與企業流量，並維持您的合規性標準。 如需進一步閱讀，請參閱 Purple 關於 RADIUS 伺服器架構與企業 WiFi 驗證的指南。連結已附於節目資訊欄中。 感謝您的收聽。以上是 Purple 企業級 WiFi 智慧簡報。