EAP-TLS vs PEAP-MSCHAPv2

Normalmente cuando configuramos una red wireless en entornos empresariales suele tener estas características:

1-  Wireless Security method -> WPA2 o WPA3 ->  basado en algoritmo de encriptado AES (CCMP) que, por supuesto, es mucho más segura y menos vulnerable que su predecesores (TKIP,WEP, WPA)

2- Network authentication method -> 802.1x / EAP ->  Puede ser alguno de estos tipos

• EAP-TLS
• PEAP-MSCHAPv2
• EAP-TTLS
• etc
  

 

Sabiendo esto, a mi siempre me ha costado entender el concept de EAP. Las siglas significan Extensible Authentication Protocol y es el protocol encargado de enviar la información desde un Supplicant hacia un Authenticaton Server (normalmente un Cisco ISE o un Servidor RADIUS) de forma encriptada cuando un dispositivo (supplicant) solicita conectarse a una red (ya sea Wireless o LAN) configurada con el protocolo 802.1x

Como he Como he nombrado arriba, hay varios tipos de EAP cada uno con una función distinta pero voy a comentar las dos diferencias principales respecto a EAP-TLS y PEAP-MSCHAPv2 específicamente para windows

EAP-TLS -> Autenticación en base a certificados. El suplicante envia un certificado al Authentication Server (normalmente Cisco ISE) y este verifica que es el certificado correcto le autoriza el acceso a la red. Por el contrario, le denega a este el acceso a la red.

PEAP-MSCHAPv2 ->  Autenticación en base a credenciales de usuario. El suplicante envia las credenciales al Authentication Server (Normalmente un servidor RADIUS) y este verifica que el usuario y password es correcto por lo tanto autoriza el acceso a la red o no dependiendo si las credenciales son correctas.