Protocolo EAP para acesso à rede

O EAP (Protocolo de Autenticação Extensível) é uma estrutura de autenticação que permite o uso de diferentes métodos de autenticação para tecnologias seguras de acesso à rede. Exemplos dessas tecnologias incluem acesso sem fio usando IEEE 802.1X, acesso com fio usando IEEE 802.1X e conexões de protocolo PPP como VPN (Rede Virtual Privada). O EAP não é um método de autenticação específico, como o MS-CHAP v2, mas sim uma estrutura que permite que os fornecedores de rede desenvolvam e instalem novos métodos de autenticação, conhecidos como métodos EAP no cliente de acesso e no servidor de autenticação. A estrutura EAP é originalmente definida pelo RFC 3748 e estendida por vários outros RFCs e padrões.

Métodos de autenticação

Métodos de autenticação EAP usados em métodos EAP túnel são comumente conhecidos como métodos internos ou tipos EAP. Os métodos configurados como métodos internos têm as mesmas configurações que quando usados como um método externo. Este artigo contém informações específicas sobre configuração dos seguintes métodos de autenticação em EAP.

EAP-TLS (EAP-Transport Layer Security): método EAP baseado em padrões que usa TLS com certificados para autenticação mútua. Aparece como Cartão Inteligente ou outro certificado (EAP-TLS) no Windows. EAP-TLS pode ser implantado como um método interno para outro método EAP ou como um método EAP autônomo.

EAP-MSCHAP v2 (EAP-Microsoft Challenge Handshake Authentication Protocol versão 2): método EAP definido pela Microsoft que encapsula o protocolo de autenticação MSCHAP v2, que usa nome de usuário e senha, para autenticação. Aparece como Senha segura (EAP-MSCHAP v2) no Windows. EAP-MSCHAPv2 pode ser usado como um método autônomo para VPN, mas apenas como um método interno para conexões com/sem fio.

PEAP (EAP Protegido): método EAP definido pela Microsoft que encapsula o EAP em um túnel TLS. O túnel TLS protege o método EAP interno que, caso contrário, poderia ficar desprotegido. O Windows dá suporte ao EAP-TLS e ao EAP-MSCHAP v2 como métodos internos.

EAP-Tunneled Transport Layer Security (EAP-TTLS): isso é descrito pelo RFC 5281, encapsula uma sessão TLS que executa a autenticação mútua usando outro mecanismo de autenticação interna. Esse método interno pode ser um protocolo EAP, como EAP-MSCHAP v2, ou um protocolo diferente de EAP, como o PAP (Protocolo de Autenticação de Senha). No Windows Server 2012, a inclusão do EAP-TTLS dá suporte somente no lado do cliente (no Windows 8). O NPS não dá suporte ao EAP-TTLS no momento. O suporte ao cliente habilita a interoperação com servidores RADIUS comumente implantados que dão suporte ao EAP-TTLS.

EAP-SIM (Módulo de Identidade do Assinante), EAP-AKA (Autenticação e Acordo de Chaves) e EAP-AKA' (EAP-AKA Prime): isso é descrito por diversos RFCs, habilita a autenticação usando cartões SIM e é implementado quando um cliente adquire um plano de serviço de banda larga sem fio de um operador de rede móvel. Como parte do plano, o cliente normalmente recebe um perfil móvel que é pré-configurado para autenticação SIM.

EAP em túnel (TEAP): isso é descrito pelo RFC 7170, um método de EAP em túnel que estabelece um túnel TLS seguro e executa outros métodos de EAP dentro dele. Compatível com o encadeamento de EAP – autenticando o computador e o usuário em uma sessão de autenticação. No Windows Server 2022, a inclusão do TEAP fornece suporte apenas para o lado do cliente – Windows 10, versão 2004 (build 19041). O NPS não dá suporte ao TEAP no momento. O suporte ao cliente permite a interoperação com servidores RADIUS comumente implantados que dão suporte ao TEAP. O Windows dá suporte ao EAP-TLS e ao EAP-MSCHAP v2 como métodos internos.

A tabela a seguir lista alguns métodos EAP comuns e seus números de Tipo de método atribuído à IANA.

Configurar propriedades de EAP

Você pode acessar as propriedades do EAP para acesso sem fio e com fio autenticado 802.1X das seguintes formas:

• Ao configurar as extensões das Políticas de Rede com Fio (IEEE 802.3) e das Políticas de Rede sem Fio (IEEE 802.11) na Política de Grupo.
  • Configuração> do computadorPolíticas>Configurações do> WindowsConfigurações de segurança
• Usando software de MDM (Gerenciamento de Dispositivo Móvel), como o Intune (Wi-Fi/Wired)
  • Wi-Fi CSP
  • WiredNetwork CSP
• Ao configurar manualmente conexões com ou sem fio em computadores cliente.

Você pode acessar as propriedades do EAP para conexões VPN das seguintes formas:

• Usando software de MDM (Gerenciamento de Dispositivo Móvel), como o Intune
  • VPNv2 CSP
  • Opções de perfil de VPN
• Ao configurar manualmente conexões VPN em computadores cliente.
• Ao usar o CMAK (Kit de Administração do Gerenciador de conexões) para configurar as conexões VPN.

Para saber como configurar propriedades de EAP, confira Configurar perfis e configurações de EAP no Windows.

Perfis XML para EAP

Os perfis usados para diferentes tipos de conexões são arquivos XML que contêm as opções de configuração para a conexão. Cada tipo de conexão diferente segue um esquema específico:

• Perfis de Wi-Fi (WLAN)
• Perfis de rede com fio (Ethernet)
• Perfis de VPN

No entanto, quando configurado para usar o EAP, cada esquema de perfil tem um elemento filho EapHostConfig .

• Com fio/sem fio: EapHostConfig é um elemento filho do elemento EAPConfig . MSM > segurança (Com fio/Sem fio) >OneX> EAPConfig
• VPN: EapHostConfig é um elemento filho de NativeProfile > Autenticação > Eap > Configuração

Essa sintaxe de configuração é definida na especificação Política de grupo: extensão de protocolo sem fio/com fio.

Mais informações sobre como configurar perfis XML podem ser encontradas em perfis XML. Um exemplo de como usar um perfil XML contendo configurações de EAP pode ser encontrado em Provisionar um perfil de Wi-Fi por meio de um site.

Configurações de segurança

A tabela a seguir explica as definições de segurança configuráveis para um perfil que usa 802.1X. Essas configurações são mapeadas para o OneX.

Configurações avançadas de segurança > IEEE 802.1X

Se a opção Aplicar configurações avançadas de 802.1X estiver marcada, todas as configurações a seguir serão definidas. Se estiver desmarcada, as configurações padrão serão aplicadas. Em XML, todos os elementos são opcionais e, quando não estão presentes, os valores padrão são usados.

Configurações avançadas de segurança > Logon único

A tabela a seguir explica as configurações de SSO (logon único), anteriormente conhecido como PLAP (provedor de acesso pré-logon).

Definições de configuração do método de autenticação

A tabela a seguir explica as definições configuráveis para cada método de autenticação.

Validação do certificado do servidor

Muitos métodos de EAP incluem uma opção para o cliente validar o certificado do servidor. Se o certificado do servidor não for validado, o cliente não poderá ter certeza de que está se comunicando com o servidor correto. Isso expõe o cliente a riscos de segurança, incluindo a possibilidade de se conectar inadvertidamente a uma rede não autorizada.

A tabela a seguir lista as opções de validação do servidor aplicáveis a cada método de EAP. O Windows 11 atualizou a lógica de validação do servidor para ser mais consistente. Para saber mais, confira o comportamento de validação de certificado do servidor atualizado no Windows 11. Em caso de conflito, as descrições na tabela a seguir descrevem o comportamento no Windows 10 e nas versões anteriores.

Prompt de validação do servidor para o usuário

A tabela a seguir descreve as opções de prompt de usuário de validação de servidor disponíveis para cada método EAP. Quando um certificado de servidor não é confiável, estas opções determinam se:

• A conexão falha imediatamente.
• O usuário é solicitado a aceitar ou rejeitar manualmente a conexão.

Definições de configuração de autenticação de celular

Abaixo estão listadas as configurações de EAP-SIM, EPA-AKA e EPA-AKA', respectivamente.

Modo WPA3-Enterprise de 192 bits

O modo WPA3-Enterprise de 192 bits é um modo especial para WPA3-Enterprise que impõe certos requisitos de alta segurança na conexão sem fio para fornecer um mínimo de 192 bits de segurança. Esses requisitos estão alinhados com o Conjunto de CNSA (Algoritmos de Segurança Nacional Comercial), CNSSP 15, que é um conjunto de algoritmos criptográficos aprovado para proteger informações confidenciais e ultrassecretas pela NSA (Agência de Segurança Nacional) dos Estados Unidos. Às vezes, o modo de 192 bits pode ser chamado de "modo Suite B", que é uma referência à especificação de criptografia Suite B da NSA, que foi substituída por CNSA em 2016.

Os modos WPA3-Enterprise e WPA3-Enterprise de 192 bits estão disponíveis a partir do Windows 10, versão 2004 (compilação 19041) e no Windows Server 2022. No entanto, o WPA3-Enterprise foi apontado como um algoritmo de autenticação separado no Windows 11. No XML, isso é especificado no elemento authEncryption .

A tabela a seguir lista os algoritmos exigidos pelo Conjunto de CNSA.

Para atender aos requisitos de CNSA, o modo de 192 bits WPA3-Enterprise exige o uso de EAP-TLS com estes conjuntos de criptografia restritos:

• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

  • ECDHE e ECDSA usando a curva de módulo principal de 384 bits P-384

• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 / TLS_DHE_RSA_AES_256_GCM_SHA384

  • ECDHE usando a curva de módulo principal de 384 bits P-384

  • RSA >= módulo de 3072 bits

O Windows dá suporte somente aos conjuntos de cifras TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 e TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 para o modo WPA3-Enterprise de 192 bits. O conjunto de cifras TLS_DHE_RSA_AES_256_GCM_SHA384 não é compatível.

O TLS 1.3 usa novos conjuntos de TLS simplificados, dos quais somente TLS_AES_256_GCM_SHA384 é compatível com o modo WPA3-Enterprise de 192 bits. Como o TLS 1.3 requer (EC)DHE e permite certificados ECDSA ou RSA, além dos hashes AES-256 AEAD e SHA384, TLS_AES_256_GCM_SHA384 é equivalente a TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 e TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384. No entanto, o RFC 8446 exige que aplicativos compatíveis com TLS 1.3 ofereçam suporte a P-256, o que é proibido pelo CNSA. Portanto, o modo WPA3-Enterprise de 192 bits não pode ser totalmente compatível com o TLS 1.3. No entanto, não há problemas de interoperabilidade conhecidos com o modo TLS 1.3 e WPA3-Enterprise de 192 bits.

Para configurar uma rede com o modo WPA3-Enterprise de 192 bits, o Windows requer que o EAP-TLS seja usado com um certificado que atenda aos requisitos descritos anteriormente.

Consulte também

• Gerenciando as configurações de políticas de nova rede sem fio (IEEE 802.11)

• Gerenciamento das Configurações de Políticas da Nova Rede Com Fio (IEEE 802.3)

• Configurações de segurança avançadas para políticas de rede com e sem fio