Visão geral do PEAP

O PEAP não especifica um método de autenticação, mas fornece segurança adicional a outros protocolos de autenticação EAP, como o EAP-MSCHAP v2 (Extensible Authentication Protocol-Microsoft Challenge Handshake Authentication Protocol versão 2), que possam operar pelo canal criptografado TLS fornecido pelo PEAP. O PEAP é usado como um método de autenticação de clientes de acesso que se conectam à rede da sua organização por meio dos seguintes tipos de servidores de acesso à rede:

• Pontos de acesso sem fio 802.1X
  
  
• Opções de autenticação 802.1X
  
  
• Servidores de rede privada virtual (VPN) executando Windows Server® 2008 ou Windows Server® 2008 R2 e o serviço de Roteamento e Acesso Remoto
  
  
• Computadores executando Windows Server 2008 e o Gateway de Serviços de Terminal (TS Gateway) ou Windows Server® 2008 R2 e o Gateway da Área de Trabalho Remota (RD Gateway).
  
  

Para aumentar a segurança dos protocolos EAP e da rede, o PEAP fornece:

• Um canal TLS que oferece proteção para a negociação de método EAP que ocorre entre cliente e servidor. Esse canal TLS ajuda a impedir que um invasor insira pacotes entre o cliente e servidor de acesso à rede para produzir a negociação de um tipo EAP menos seguro. O canal TLS criptografado também ajuda a impedir ataques de negação de serviço contra o servidor NPS.
  
  
• Suporte para fragmentação e reagrupamento de mensagens, permitindo o uso de tipos EAP que não oferecem essa funcionalidade.
  
  
• Clientes com a capacidade de autenticar o NPS ou outro servidor RADIUS. Como o servidor também autentica o cliente, ocorre uma autenticação mútua.
  
  
• Proteção contra a implantação de um ponto de acesso sem fio não autorizado quando o cliente EAP autentica o certificado fornecido pelo servidor NPS. Além disso, o segredo mestre TLS criado pelo cliente e autenticador PEAP não é compartilhado com o ponto de acesso. Por isso, o ponto de acesso não pode descriptografar as mensagens protegidas pelo PEAP.
  
  
• Reconexão rápida do PEAP, que reduz o atraso no tempo entre a solicitação de autenticação de um cliente e a resposta do NPS ou outro servidor RADIUS. A reconexão rápida do PEAP permite que clientes sem fio se movam entre os pontos de acesso configurados como clientes RADIUS para o mesmo servidor RADIUS, sem solicitações repetidas de autenticação. Isso reduz os requisitos de recursos para o cliente e para o servidor e minimiza o número de vezes que as credenciais dos usuários são solicitadas.
  
  

A tabela a seguir relaciona os pontos fortes do PEAP-MS-CHAP v2 e faz uma comparação com o MS-CHAP v2:

Há dois estágios no processo de autenticação PEAP entre o cliente PEAP e o autenticador: o primeiro estabelece um canal seguro entre o cliente PEAP e o servidor de autenticação; o segundo fornece a autenticação EAP entre o cliente PEAP e o autenticador.

Você pode escolher um dos dois tipos de EAP, também chamados de tipos de autenticação, para usar com o PEAP: EAP-MS-CHAP v2 ou EAP-TLS. O EAP-MS-CHAP v2 utiliza credenciais baseadas em senha (nome de usuário e senha) para a autenticação de usuário e um certificado no repositório de certificados do computador servidor para a autenticação de servidor. O EAP-TLS utiliza certificados instalados no repositório de certificados do computador cliente ou um cartão inteligente para a autenticação de usuário e de computador cliente, e um certificado do repositório de certificados do computador servidor para a autenticação de servidor.

O PEAP com EAP-MS-CHAPv2 (PEAP-MS-CHAP v2) é mais fácil de implantar que o EAP-TLS, porque a autenticação de usuário é realizada com credenciais baseadas em senha (nome de usuário e senha), em vez de certificados ou cartões inteligentes. Somente o NPS ou outro servidor RADIUS precisa ter um certificado. O certificado de servidor NPS é usado pelo servidor NPS durante o processo de autenticação para provar sua identidade para os clientes PEAP.

A autenticação bem-sucedida de PEAP-MS-CHAP v2 exige a confiança do cliente no servidor NPS após o exame do certificado do servidor. Para que o cliente confie no servidor NPS, a autoridade de certificação (CA) que emitiu o certificado do servidor deverá ter um certificado diferente próprio no repositório de certificados das Autoridades de Certificação Raiz Confiáveis nos computadores clientes.

O certificado de servidor usado pelo NPS pode ser emitido pela autoridade de certificação raiz confiável da sua organização ou por uma autoridade de certificação pública, como Verisign ou Thawte, que já contam com a confiança do computador cliente.

	Observação
	O PEAP-MS-CHAP v2 oferece uma segurança significativamente aprimorada em relação ao MS-CHAP v2, permitindo a geração de chaves com TLS e usando a autenticação mútua, que impede que um servidor não autorizado negocie o método de autenticação menos seguro com o cliente PEAP.

Ao implantar uma infraestrutura de chave pública (PKI) com os Serviços de Certificados do Active Directory (AD CS), você pode usar o PEAP com EAP-TLS (PEAP-TLS). Os certificados fornecem um método de autenticação mais seguro que os métodos que utilizam credenciais baseadas em senha. O PEAP-TLS utiliza certificados para a autenticação de servidor e cartões inteligentes, que contêm um certificado incorporado, ou certificados registrados nos computadores clientes contidos no repositório de certificados do computador local para a autenticação de usuário e de computador cliente. Para usar o PEAP-TLS, é necessário implantar a PKI.

A reconexão rápida do PEAP permite que clientes sem fio se movimentem entre os pontos de acesso sem fio na mesma rede, sem precisar de nova autenticação toda vez que se associam a um novo ponto de acesso.

Os pontos de acesso sem fio são configurados como clientes RADIUS para servidores RADIUS. Se um cliente sem fio se movimentar entre os pontos de acesso que estão configurados como clientes para o mesmo servidor RADIUS, esse cliente não precisará ser autenticado a cada nova associação. Quando um cliente muda para um ponto de acesso configurado como um cliente RADIUS para um servidor RADIUS diferente, embora o cliente seja autenticado novamente, esse processo ocorre de forma mais rápida e eficiente.

A reconexão rápida do PEAP reduz o tempo de resposta da autenticação entre cliente e autenticador, porque a solicitação de autenticação é encaminhada do novo ponto de acesso para o servidor NPS que originalmente executou a autenticação e a autorização da solicitação de conexão do cliente. Como o cliente PEAP e o servidor NPS utilizam propriedades da conexão TLS armazenadas anteriormente em cache (cuja coleção é chamada de identificador TLS), o servidor NPS pode determinar rapidamente se a conexão do cliente é uma reconexão.

O cliente pode armazenar em cache os identificadores TLS para vários autenticadores PEAP. Se o servidor NPS original não estiver disponível, a autenticação completa deverá ocorrer entre o cliente e o novo autenticador. O identificador TLS do novo autenticador PEAP é armazenado em cache pelo cliente. Para a autenticação de cartões inteligentes ou PEAP-MS-CHAP v2, o usuário é solicitado a fornecer o PIN ou as credenciais, respectivamente.