Introducción a PEAP

PEAP no especifica ningún método de autenticación, sino que proporciona seguridad adicional para otros protocolos de autenticación EAP, como el Protocolo de autenticación extensible con Protocolo de autenticación por desafío mutuo de Microsoft versión 2 (EAP-MS-CHAP v2), que pueden operar a través del canal cifrado TLS que proporciona PEAP. PEAP se usa como un método de autenticación para clientes de acceso que tratan de conectarse a la red de la organización a través de los siguientes tipos de servidores de acceso a la red:

• Puntos de acceso inalámbrico 802.1X
  
  
• Conmutadores de autenticación 802.1X
  
  
• Servidores de red privada virtual (VPN) que ejecutan Windows Server® 2008 o Windows Server® 2008 R2 y el Servicio de enrutamiento y acceso remoto
  
  
• Equipos que ejecutan Windows Server 2008 y Puerta de enlace de Terminal Services (puerta de enlace de TS) o Windows Server® 2008 R2 y Puerta de enlace de Escritorio remoto
  
  

Para mejorar los protocolos EAP y la seguridad de red, PEAP proporciona:

• Un canal TLS que proporciona protección para la negociación del método EAP que se produce entre el cliente y el servidor. Este canal TLS ayuda a impedir que un atacante inserte paquetes entre el cliente y el servidor de acceso a la red para dar lugar a la negociación de un tipo de EAP menos seguro. El canal TLS cifrado también ayuda a evitar ataques por denegación de servicio contra el servidor NPS.
  
  
• Compatibilidad con la fragmentación y reensamblado de mensajes, lo que permite el uso de tipos de EAP que no proporcionan esta funcionalidad.
  
  
• Clientes con la capacidad de autenticar el servidor NPS u otro servidor RADIUS. Como el servidor también autentica el cliente, se produce una autenticación mutua.
  
  
• Protección frente a la implementación de un punto de acceso inalámbrico no autorizado en el momento en que el cliente EAP autentica el certificado proporcionado por el servidor NPS. Además, el secreto principal de TLS creado por el cliente y el autenticador PEAP no se comparte con el punto de acceso. Como consecuencia, el punto de acceso no puede descifrar los mensajes protegidos con PEAP.
  
  
• Reconexión rápida de PEAP, que reduce el retardo entre la solicitud de autenticación de un cliente y la respuesta del servidor NPS u otro servidor RADIUS. La reconexión rápida de PEAP también permite a los clientes inalámbricos moverse entre puntos de acceso configurados como clientes RADIUS en el mismo servidor RADIUS sin repetir las solicitudes de autenticación. De esta forma, se reducen los requisitos de recursos del cliente y el servidor, y se minimiza el número de veces que se solicitan las credenciales a los usuarios.
  
  

La siguiente tabla enumera los puntos fuertes de PEAP-MS-CHAP v2 y los compara con MS-CHAP v2.

Existen dos fases en el proceso de autenticación de PEAP entre el cliente PEAP y el autenticador. La primera fase establece un canal seguro entre el cliente PEAP y el servidor de autenticación. La segunda fase proporciona autenticación EAP entre el cliente PEAP y el autenticador.

Se puede elegir entre dos tipos de EAP, también denominados tipos de autenticación, para su uso con PEAP: EAP-MS-CHAP v2 o EAP-TLS. EAP-MS-CHAP v2 usa credenciales basadas en contraseña (nombre de usuario y contraseña) para la autenticación de usuarios y un certificado en el almacén de certificados del equipo servidor para la autenticación de servidores. EAP-TLS usa certificados instalados en el almacén de certificados del equipo cliente o una tarjeta inteligente para la autenticación de usuarios y de equipos cliente, y un certificado en el almacén de certificados del equipo servidor para la autenticación de servidores.

PEAP con EAP-MS-CHAPv2 (PEAP-MS-CHAP v2) es más fácil de implementar que EAP-TLS ya que la autenticación de usuarios se realiza usando credenciales basadas en contraseñas (nombre de usuario y contraseña) en lugar de certificados o tarjetas inteligentes. Sólo el servidor NPS u otro servidor RADIUS debe disponer de un certificado. El servidor NPS usa el certificado del servidor NPS durante el proceso de autenticación para demostrar su identidad a los clientes PEAP.

Una autenticación PEAP-MS-CHAP v2 correcta requiere que el cliente confíe en el servidor NPS después de examinar el certificado del servidor. Para que el cliente confíe en el servidor NPS, la entidad de certificación (CA) que emitió el certificado del servidor debe disponer de su certificado propio y distinto en el almacén de certificados de las entidades de certificación raíz de confianza de los equipos cliente.

El certificado de servidor que usa NPS puede estar emitido por la entidad de certificación raíz de confianza de su organización o una entidad de certificación pública, como Verisign o Thawte, en la que ya confíe el equipo cliente.

	Nota
	PEAP-MS-CHAP v2 ofrece una seguridad considerablemente mayor que MS-CHAP v2 al proporcionar generación de claves con TLS y por el uso de la autenticación mutua, que impide que un servidor no autorizado pueda negociar el método de autenticación menos seguro con el cliente PEAP.

Cuando se implementa una infraestructura de clave pública (PKI) con Servicios de certificados de Active Directory (AD CS), se puede usar PEAP con EAP-TLS (PEAP-TLS). Los certificados ofrecen un método de autenticación mucho más seguro que los métodos que usan credencias basadas en contraseñas. PEAP-TLS usa certificados para la autenticación de servidores y tarjetas inteligentes, que contienen un certificado incrustado, o certificados inscritos en los equipos cliente, almacenados en el almacén de certificados del equipo local, para la autenticación de usuarios y equipos cliente. Para usar PEAP-TLS, debe implementar una PKI.

La reconexión rápida de PEAP permite a los clientes inalámbricos moverse entre puntos de acceso inalámbricos de la misma red sin tener que volver a autenticarse cada vez que se asocian a un nuevo punto de acceso.

Los puntos de acceso inalámbricos están configurados como clientes RADIUS a servidores RADIUS. Si un cliente inalámbrico se desplaza entre puntos de acceso que están configurados como clientes del mismo servidor RADIUS, no será necesario que el cliente se autentique en cada nueva asociación. Cuando un cliente se mueve a un punto de acceso que está configurado como un cliente RADIUS de un servidor RADIUS distinto, si bien el cliente debe volver a autenticarse, este proceso se realiza de un modo más rápido y eficaz.

La reconexión rápida de PEAP reduce el tiempo de respuesta para la autenticación entre cliente y autenticador porque la solicitud de autenticación se reenvía desde el nuevo punto de acceso al servidor NPS que originalmente realizó la autenticación y autorización para la solicitud de conexión del cliente. Como tanto el cliente PEAP como el servidor NPS usan las propiedades de la conexión TLS previamente almacenadas en la memoria caché (la colección de dichas propiedades se denomina identificador de TLS), el servidor NPS puede determinar rápidamente que la conexión del cliente es una reconexión.

El cliente puede almacenar en la memoria caché identificadores TLS para varios autenticadores PEAP. Si el servidor NPS original no está disponible, deberá realizarse una autenticación completa entre el cliente y el nuevo autenticador. El identificador de TLS para el nuevo autenticador de PEAP se almacena en la memoria caché por el cliente. Para la autenticación mediante tarjetas inteligentes o PEAP-MS-CHAP v2, se solicita al usuario que proporcione el NIP o las credenciales, respectivamente.