PEAP (Protected Extensible Authentication Protocol)

Kurzfassung

PEAP (Protected Extensible Authentication Protocol) stärkt die Sicherheit von Drahtlosnetzwerken, indem es den herkömmlichen Authentifizierungsprozess des Extensible Authentication Protocol (EAP) in einen Transport Layer Security (TLS)-Tunnel einbettet. Im Gegensatz zu einfachem EAP schützt PEAP den Austausch von Anmeldeinformationen während seiner beiden Authentifizierungsphasen vor dem Abfangen. Es wird in Microsoft-Umgebungen über EAP-MSCHAPv2 nativ unterstützt, was es zu einer praktischen und weit verbreiteten Wahl gegenüber Alternativen wie Extensible Authentication Protocol-Tunneled Transport Layer Security (EAP-TTLS) macht.

Was ist PEAP?

PEAP ist ein Sicherheitsprotokoll, das verwendet wird, um WLAN-Netzwerke besser abzusichern.

Wie viele Mitarbeiter:innen in Ihrem Unternehmen tippen an Computern, die in Ihrem Hauptsitz an die Wand angeschlossen sind? 

Es ist gut möglich, dass einige (oder sogar) alle Mitarbeiter:innen Ihres Unternehmens von Zeit zu Zeit außerhalb des Gebäudes arbeiten. Tatsächlich weist die Stanford University darauf hin, dass die Arbeit im Homeoffice die neue Normalität ist, da sich während der Pandemie mehr als 42 % der Menschen remote angemeldet haben. Und selbst wenn wir wieder im Büro sind, werden wir zum Arbeiten wahrscheinlich Laptops und Smartphones nutzen. 

Wenn Sie WLAN nutzen, um diesen Mitarbeiter:innen eine Verbindung zu ermöglichen, unabhängig davon, ob sie sich im Gebäude oder außerhalb befinden, könnten Sie auf erhebliche Sicherheitsrisiken stoßen.

PEAP wurde entwickelt, um zu helfen. Seit Jahren nutzen Programmierer:innen das sogenannte EAP, um drahtlose Verbindungen zu verwalten. PEAP ist eine Version dieser Technologie und bietet erweiterte Sicherheitsfunktionen. 

Warum weist Standard-EAP Sicherheitslücken auf?

In einem herkömmlichen EAP verwenden Systeme ein Public-Key-System, um eine Verbindung herzustellen. Wenn ein:e Benutzer:in Anmeldedaten nachweisen kann (z. B. durch Eingabe von Benutzername/Passwort), übergibt der Server anschließend einen öffentlichen Schlüssel, um die Transaktion abzuschließen, und die Benutzer:innen verfügen über einen Verschlüsselungsschlüssel, um sie zu entschlüsseln. 

Leider können die Eingabe von Passwörtern und der Austausch von Schlüsseln in einem EAP in ungeschützten Bereichen stattfinden. Dadurch ist Ihr System völlig ungeschützt vor Hackerangriffen. 

PEAP kombiniert die Geschwindigkeit von EAP mit einem TLS-Tunnel. Die gesamte Kommunikation zwischen einem Client und dem Server ist innerhalb dieses TLS-Tunnels geschützt. PEAP beschreibt keine spezifische Methode. Stattdessen erfordert es die Verkettung mehrerer EAP-Mechanismen.

Wie funktioniert PEAP? 

Ein allgemeiner Überblick über die PEAP-Authentifizierung

Die Programmierung und Technologie hinter PEAP sind komplex. Selbst Microsoft gibt an, dass der durchschnittliche Benutzer in einem kleinen Büro die Feinheiten derart komplexer Sicherheitsfunktionen nicht verstehen muss. 

Aber sich einen allgemeinen Überblick über die Technologie zu verschaffen, könnte Ihnen helfen zu verstehen, wie PEAP Daten schützt, während sie zwischen zwei Parteien übertragen werden. 

Sich mit einem Server zu verbinden und Zugriff zu erhalten, wird als Authentifizierung bezeichnet und umfasst in der Regel mehrere Schritte. Das PEAP-Protokoll umfasst zwei Phasen.

1. Phase 1: Der mit dem Gerät der Benutzer:in verbundene Authentifikator sendet eine EAP-Request/Identity-Nachricht. Der Client kann mit einer echten Identität oder einer anonymisierten Version antworten, sodass diese schwerer zu stehlen ist.

   Der Handshake zwischen den beiden Geräten beginnt. Im Wesentlichen bewältigen die beiden Systeme in dieser Phase eine grundlegende Herausforderung, aber es bleibt noch einiges zu tun.

2. Phase 2: Der EAP-Server sendet eine weitere Nachricht, um die wahre Identität der Benutzer:in abzufragen. Die beiden stärken ihre Verbindung und ein Kanal öffnet sich.

   Hier wird eine tiefere Verbindung hergestellt und die Systeme tauschen Schlüssel aus. Da dieser Schritt so spät im Prozess unter dem Schutz des TLS-Tunnels stattfindet, ist er sehr schwer zu knacken oder zu manipulieren. 

Sehen Sie sich die Abbildung an, um eine detaillierte Beschreibung aller Schritte der Authentifizierung zu erhalten. Als Benutzer:in sehen Sie vielleicht nie die gesamte Arbeit, die hinter den Kulissen stattfindet.

Und die Zeitverzögerung ist minimal. Mit der richtigen Programmierung warten Sie nur Sekunden, bis die beiden Systeme kommunizieren, sich verbinden und Ihnen Zugriff gewähren. 

Welche Tools werden in Phase 2 der PEAP-Authentifizierung verwendet? 

Wenn Sie PEAP-Protokolle verwenden, erfolgt die Authentifizierung in zwei Phasen. Sie benötigen ein sekundäres Tool, um den Sprung von Phase eins zu Phase zwei zu schaffen. 

Ihre Optionen umfassen:

• EAP-MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol Version 2). Gebündelt mit PEAPv0 (Version 0) ist dies eine der heute am häufigsten verwendeten Formen von PEAP. Es ist als Standard in Microsoft-Produkten enthalten und übernimmt die Details des zweiten Handshakes in Phase 2 der Authentifizierung.
   
• EAP-GTC (Generic Token Card). Dieses Produkt ist für die Bündelung mit PEAPv1 (Version 1) vorgesehen und funktioniert mit Produkten außerhalb der Microsoft-Umgebung. Da die Implementierung Programmierkenntnisse erfordert, das Gegenstück jedoch nicht, wird dies selten verwendet. 

Wie PEAP-Anmeldedaten nach der Authentifizierung gespeichert werden

Das Gewirr aus Buchstaben und Zahlen kann verwirrend sein. Aber die Vorteile sind eindeutig. 

Wenn Sie eine PEAP-Methode mit einem dieser Hilfsmittel verwenden, weisen Sie nach, dass Sie für den Zugriff auf den Server berechtigt sind. Sie müssen dies nur einmal nachweisen, da Ihre Anmeldedaten im System gespeichert sind. Während Ihrer Laufbahn im Unternehmen müssen Sie Ihr Passwort möglicherweise nie wieder aktualisieren (oder sich merken). Ihre Zeitersparnis könnte immens sein.

Wie verhält sich PEAP im Vergleich zu EAP-TTLS?

Wie bereits erwähnt, verwendet PEAP TLS, um Nachrichten zu sichern und zu schützen. Aber auch andere Systeme verwenden TLS. Als Netzwerkadministrator:in haben Sie Optionen. 

Beispielsweise verzichten einige Unternehmen auf PEAP und verwenden stattdessen etwas namens EAP-TTLS. Dieses Produkt bietet eine zertifikatbasierte Authentifizierung über einen Tunnel, ganz ähnlich wie PEAP. 

Lassen Sie Okta dabei helfen, Ihre Daten zu schützen 

WLAN macht Verbindungen einfach. Personen in Reichweite müssen nur die richtigen Anmeldedaten kennen, und schon können sie sich verbinden.

Aber WLAN bringt einige Sicherheitsrisiken mit sich, und diese zu finden, ist nicht immer einfach. Wir helfen Ihnen dabei.

Wir bei Okta können Ihnen helfen, Ihre Konfigurationen zu überprüfen und Patches für Lücken anzuwenden, die Ihre Sicherheit gefährden. 

Häufig gestellte Fragen

Was macht PEAP (Protected Extensible Authentication Protocol) sicherer als das Standard Extensible Authentication Protocol (EAP)?

Standard-EAP tauscht Anmeldedaten und Schlüssel in ungeschützten Bereichen aus, wodurch der Prozess anfällig für das Abfangen wird. PEAP löst dies, indem es die gesamte Client-Server-Kommunikation in einen Transport Layer Security (TLS)-Tunnel einschließt und so sicherstellt, dass der Austausch sensibler Anmeldeinformationen in einer geschützten Umgebung stattfindet.

Was sind die zwei Phasen der PEAP-Authentifizierung (Protected Extensible Authentication Protocol)?

In Phase 1 sendet der Authentifikator eine Identitätsanfrage und der Client antwortet – optional mit einer anonymisierten Identität –, wodurch ein grundlegender Handshake initiiert wird. In Phase 2 fordert der Server die wahre Identität des Benutzers an, eine tiefere Verbindung wird aufgebaut und kryptografische Schlüssel werden sicher innerhalb des TLS-Tunnels ausgetauscht.

Was ist EAP-MSCHAPv2 und warum wird es häufig mit PEAP (Protected Extensible Authentication Protocol) verwendet?

EAP-MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol Version 2) ist das sekundäre Tool, das in Phase 2 der PEAPv0-Authentifizierung verwendet wird. Es ist eine der am häufigsten eingesetzten PEAP-Konfigurationen, da sie nativ in Microsoft-Produkten enthalten ist, wodurch der Bedarf an zusätzlicher Installation oder Konfiguration verringert wird.

Wann würden Sie EAP-GTC (Generic Token Card) anstelle von EAP-MSCHAPv2 verwenden?

EAP-GTC (Generic Token Card) wurde für die Verwendung mit PEAPv1 entwickelt und ist für Nicht-Microsoft-Umgebungen vorgesehen. Da die Implementierung jedoch – im Gegensatz zu EAP-MSCHAPv2 – zusätzliche Programmierkenntnisse erfordert, wird es in der Praxis relativ selten eingesetzt.

Wie unterscheidet sich PEAP (Protected Extensible Authentication Protocol) von Extensible Authentication Protocol-Tunneled Transport Layer Security (EAP-TTLS)?

Sowohl PEAP als auch EAP-TTLS (Extensible Authentication Protocol – Tunneled Transport Layer Security) verwenden einen TLS-Tunnel für die zertifikatbasierte Authentifizierung. Der Hauptunterschied besteht darin, dass PEAP nativ in Microsoft-Produkte integriert ist, während EAP-TTLS ein proprietäres Protokoll ist, das auf jedem Gerät manuell installiert werden muss. Dadurch ist PEAP für die meisten Organisationen die praktischere Wahl.

Müssen Benutzer:innen bei der Verwendung von PEAP (Protected Extensible Authentication Protocol) Passwörter verwalten oder sich diese merken?

Sobald sich ein:e Benutzer:in erfolgreich über PEAP authentifiziert, werden die Anmeldedaten im System gespeichert. Das bedeutet, dass Nutzer:innen ihr Passwort während ihrer gesamten Zeit in der Organisation möglicherweise nicht mehr aktualisieren oder sich merken müssen, was die Reibungsverluste bei der Authentifizierung erheblich reduziert.

Referenzen

Eine Stanford-Studie liefert eine Momentaufnahme der neuen Homeoffice-Ökonomie. (Juni 2020). Stanford University. 

802.1X-Übersicht und EAP-Typen. (Oktober 2020). Intel. 

1.3 Übersicht. (Oktober 2020). Microsoft. 

Microsofts Windows ist weiterhin ein Synonym für Computer. (März 2020). Statista.