EAP (Extensible Authentication Protocol) para acesso à rede

O Protocolo de Autenticação Extensível (EAP) é uma estrutura de autenticação que permite o uso de diferentes métodos de autenticação para tecnologias de acesso seguro à rede. Exemplos dessas tecnologias incluem acesso sem fio usando IEEE 802.1X, acesso com fio usando IEEE 802.1X e conexões PPP (Point-to-Point Protocol), como VPN (Virtual Private Networking). O EAP não é um método de autenticação específico como o MS-CHAP v2, mas sim uma estrutura que permite que os fornecedores de rede desenvolvam e instalem novos métodos de autenticação, conhecidos como métodos EAP no cliente de acesso e no servidor de autenticação. A estrutura EAP é originalmente definida pela RFC 3748 e estendida por várias outras RFCs e padrões.

Métodos de autenticação

Os métodos de autenticação EAP que são usados dentro de métodos EAP encapsulados são comumente conhecidos como métodos internos ou tipos EAP. Os métodos que são configurados como métodos internos têm as mesmas definições de configuração que teriam quando usados como um método externo. Este artigo contém informações de configuração específicas para os seguintes métodos de autenticação no EAP.

EAP-Transport Layer Security (EAP-TLS): Método EAP baseado em padrões que usa TLS com certificados para autenticação mútua. Aparece como cartão inteligente ou outro certificado (EAP-TLS) no Windows. EAP-TLS pode ser implantado como um método interno para outro método EAP ou como um método EAP autônomo.

EAP-Microsoft Challenge Handshake Authentication Protocol versão 2 (EAP-MSCHAP v2): método EAP definido pela Microsoft que encapsula o protocolo de autenticação MSCHAP v2, que usa nome de usuário e senha, para autenticação. Aparece como Senha segura (EAP-MSCHAP v2) no Windows. EAP-MSCHAPv2 pode ser usado como um método independente para VPN, mas apenas como um método interno para conexões com fio/sem fio.

EAP protegido (PEAP): método EAP definido pela Microsoft que encapsula EAP dentro de um túnel TLS. O túnel TLS protege o método EAP interno, que poderia estar desprotegido de outra forma. O Windows suporta EAP-TLS e EAP-MSCHAP v2 como métodos internos.

EAP-Tunneled Transport Layer Security (EAP-TTLS): Isso é descrito pela RFC 5281, encapsula uma sessão TLS que executa autenticação mútua usando outro mecanismo de autenticação interna. Esse método interno pode ser um protocolo EAP, como EAP-MSCHAP v2, ou um protocolo não-EAP, como o Protocolo de Autenticação de Senha (PAP). No Windows Server 2012, a inclusão de EAP-TTLS fornece suporte apenas no lado do cliente (no Windows 8). O NPS não suporta EAP-TTLS no momento. O suporte ao cliente permite a interoperação com servidores RADIUS comumente implantados que suportam EAP-TTLS.

EAP-Subscriber Identity Module (EAP-SIM), EAP-Authentication and Key Agreement (EAP-AKA) e EAP-AKA Prime (EAP-AKA'): Isso é descrito por várias RFCs, permite a autenticação usando cartões SIM e é implementado quando um cliente compra um plano de serviço de banda larga sem fio de uma operadora de rede móvel. Como parte do plano, o cliente geralmente recebe um perfil sem fio pré-configurado para autenticação do SIM.

Tunnel EAP (TEAP): Isso é descrito pelo RFC 7170, método EAP encapsulado que estabelece um túnel TLS seguro e executa outros métodos EAP dentro desse túnel. Suporta encadeamento EAP - autenticando a máquina e o usuário em uma sessão de autenticação. No Windows Server 2022, a inclusão do TEAP fornece suporte apenas para o lado do cliente - Windows 10, versão 2004 (compilação 19041). O NPS não suporta TEAP no momento. O suporte ao cliente permite a interoperação com servidores RADIUS comumente implantados que suportam TEAP. O Windows suporta EAP-TLS e EAP-MSCHAP v2 como métodos internos.

A tabela a seguir lista alguns métodos EAP comuns e seus números de tipo de método atribuído pela IANA.

Configurando propriedades EAP

Você pode acessar as propriedades EAP para acesso com e sem fio autenticado 802.1X das seguintes maneiras:

• Configurando as extensões de Diretivas de Rede com Fio (IEEE 802.3) e Diretivas de Rede Sem Fio (IEEE 802.11) na Diretiva de Grupo.
  • Configuração do> ComputadorPolíticas>Configurações do> WindowsConfigurações de Segurança
• Utilizar software de Gestão de Dispositivos Móveis (MDM), como o Intune (Wi-Fi/Wired)
  • Wi-Fi CSP
  • WiredNetwork CSP
• Configuração manual de conexões com ou sem fio em computadores cliente.

Você pode acessar as propriedades EAP para conexões de rede virtual privada (VPN) das seguintes maneiras:

• Usando o software de Gerenciamento de Dispositivos Móveis (MDM), como o Intune
  • VPNv2 CSP
  • Opções de perfil VPN
• Configuração manual de conexões VPN em computadores cliente.
• Usando o Kit de Administração do Gerenciador de Conexões (CMAK) para configurar conexões VPN.

Para obter mais informações sobre como configurar propriedades EAP, consulte Configurar perfis e configurações EAP no Windows.

Perfis XML para EAP

Os perfis usados para diferentes tipos de conexões são arquivos XML que contêm as opções de configuração para essa conexão. Cada tipo de conexão diferente segue um esquema específico:

• Wi-Fi perfis (WLAN)
• Perfis de rede com fios (Ethernet)
• Perfis VPN

No entanto, quando configurado para usar EAP, cada esquema de perfil tem um elemento filho EapHostConfig elemento.

• Wired/Wireless: EapHostConfig é um elemento filho do elemento EAPConfig . Segurança MSM > (sem fios/)>OneX> EAPConfig
• VPN: EapHostConfig é um elemento filho do NativeProfile > Authentication > Eap > Configuration

Essa sintaxe de configuração é definida na especificação Diretiva de Grupo: Extensão de Protocolo Sem Fio/Sem Fio .

Mais informações sobre como configurar perfis XML podem ser encontradas em Perfis XML. Um exemplo de uso de um perfil XML contendo configurações EAP pode ser encontrado em Provisionar um perfil Wi-Fi por meio de um site.

Configurações de segurança

A tabela a seguir explica as configurações de segurança configuráveis para um perfil que usa 802.1X. Essas configurações são mapeadas para o OneX.

Configurações > avançadas de segurança IEEE 802.1X

Se a opção Impor configurações avançadas do 802.1X estiver marcada, todas as configurações a seguir serão configuradas. Se estiver desmarcada, aplicam-se as predefinições. Em XML, todos os elementos são opcionais, com os valores padrão usados se não estiverem presentes.

Configurações > avançadas de segurança Logon único

A tabela a seguir explica as configurações para o logon único (SSO), anteriormente conhecido como provedor de acesso pré-logon (PLAP).

Definições de configuração do método de autenticação

A tabela a seguir explica as configurações configuráveis para cada método de autenticação.

Validação de certificado do servidor

Muitos métodos EAP incluem uma opção para o cliente validar o certificado do servidor. Se o certificado do servidor não for validado, o cliente não poderá ter certeza de que está se comunicando com o servidor correto. Isso expõe o cliente a riscos de segurança, incluindo a possibilidade de que o cliente possa se conectar inadvertidamente a uma rede não autorizada.

A tabela a seguir lista as opções de validação de servidor aplicáveis a cada método EAP. O Windows 11 atualizou a lógica de validação do servidor para ser mais consistente. Para saber mais, consulte Comportamento de validação de certificado de servidor atualizado no Windows 11. Em caso de conflito, as descrições na tabela a seguir descrevem o comportamento do Windows 10 e versões anteriores.

Prompt do usuário de validação do servidor

A tabela a seguir descreve as opções de prompt do usuário de validação do servidor disponíveis para cada método EAP. Quando um certificado de servidor não é confiável, essas opções determinam se:

• A conexão falha imediatamente.
• O usuário é solicitado a aceitar ou rejeitar manualmente a conexão.

Definições de configuração de autenticação celular

A seguir estão listadas as definições de configuração para EAP-SIM, EPA-AKA e EPA-AKA', respectivamente.

WPA3-Enterprise modo de 192 bits

WPA3-Enterprise modo de 192 bits é um modo especial para WPA3-Enterprise que impõe certos requisitos de alta segurança na conexão sem fio para fornecer um mínimo de 192 bits de segurança. Esses requisitos se alinham com o Commercial National Security Algorithm (CNSA) Suite, CNSSP 15, que é um conjunto de algoritmos criptográficos aprovado para proteger informações classificadas e ultrassecretas pela Agência de Segurança Nacional dos Estados Unidos (NSA). O modo de 192 bits às vezes pode ser referido como "modo Suite B", que é uma referência à especificação NSA Suite B Cryptography, que foi substituída pelo CNSA em 2016.

O modo WPA3-Enterprise e WPA3-Enterprise de 192 bits estão disponíveis a partir do Windows 10, versão 2004 (compilação 19041) e Windows Server 2022. No entanto, WPA3-Enterprise foi destacado como um algoritmo de autenticação separado no Windows 11. Em XML, isso é especificado no elemento authEncryption .

A tabela a seguir lista os algoritmos exigidos pelo CNSA Suite.

Para cumprir os requisitos do CNSA, WPA3-Enterprise modo de 192 bits exige o uso de EAP-TLS com estes pacotes de codificação restritos:

• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

  • ECDHE e ECDSA usando a curva de módulo primo de 384 bits P-384

• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 / TLS_DHE_RSA_AES_256_GCM_SHA384

  • ECDHE usando a curva de módulo primo de 384 bits P-384

  • RSA = módulo de >3072 bits

O Windows suporta apenas os TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 pacotes de codificação para TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 WPA3-Enterprise modo de 192 bits. O TLS_DHE_RSA_AES_256_GCM_SHA384 conjunto de codificação não é suportado.

O TLS 1.3 usa novos pacotes TLS simplificados, dos quais apenas TLS_AES_256_GCM_SHA384 é compatível com WPA3-Enterprise modo de 192 bits. Como o TLS 1.3 requer (EC)DHE e permite certificados ECDSA ou RSA, juntamente com o AES-256 AEAD e SHA384 hash, TLS_AES_256_GCM_SHA384 é equivalente a TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 e TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384. No entanto, o RFC 8446 requer que os aplicativos compatíveis com TLS 1.3 suportem P-256, o que é proibido pelo CNSA. Portanto, WPA3-Enterprise modo de 192 bits não pode ser totalmente compatível com TLS 1.3. No entanto, não há problemas conhecidos de interoperabilidade com o TLS 1.3 e WPA3-Enterprise modo de 192 bits.

Para configurar uma rede para WPA3-Enterprise modo de 192 bits, EAP-TLS Windows requer ser usado com um certificado que atenda aos requisitos descritos anteriormente.

Consulte também

• Gerenciando as novas configurações de políticas de rede sem fio (IEEE 802.11)

• Gerenciando as configurações de novas políticas de rede com fio (IEEE 802.3)

• Configurações avançadas de segurança para diretivas de rede com e sem fio