EAP (Extensible Authentication Protocol) คืออะไร?
EAP เป็น Authentication Framework (ไม่ใช่ Protocol เฉพาะเจาะจง) ที่ขยายความสามารถของ PPP (Point-to-Point Protocol) ใช้ใน Wireless Networks (WPA-Enterprise/WPA2-Enterprise/WPA3-Enterprise), 802.1X, VPN, Dial-up
คุณสมบัติหลัก: Extensible (รองรับหลาย Authentication Methods), Negotiation (Client/Server ตกลงวิธีการร่วมกัน), Encapsulation (EAP over RADIUS, EAP over LAN - EAPOL)
🔐 ประเภท EAP Methods (EAP Types) - เรียงตามความปลอดภัย
| EAP Method | Mechanism | Security Level | Requirements | Use Case |
|---|---|---|---|---|
| EAP-TLS | Mutual Certificates (Client + Server) | ⭐⭐⭐⭐⭐ Highest | PKI, Client Certs (Smart Card/TPM), CA | High Security, Gov, Finance, Zero Trust |
| EAP-TTLS | Server Cert + Inner Auth (PAP, CHAP, MS-CHAPv2, EAP) | ⭐⭐⭐⭐ High | Server Cert Only, Legacy Inner Methods | Enterprise, Legacy Client Support |
| PEAP (PEAPv0/EAP-MSCHAPv2) | Server Cert + Inner MS-CHAPv2 (Username/Password) | ⭐⭐⭐⭐ High | Server Cert, AD/LDAP Backend | Microsoft Shops, Most Common Enterprise |
| EAP-FAST | PAC (Protected Access Credential) แทน Certs | ⭐⭐⭐ Medium-High | PAC Provisioning, Cisco Ecosystem | Cisco Environments, No PKI |
| EAP-PEAP (PEAPv1/EAP-GTC) | Server Cert + Inner GTC (Token/OTP) | ⭐⭐⭐ Medium | Server Cert, Token Server | OTP/Token Environments |
| LEAP (Cisco) | Modified MS-CHAP (Username/Password) | ⭐ Low (Broken) | None (Legacy) | Deprecated - ห้ามใช้ |
| EAP-MD5 | Challenge-Response (MD5 Hash) | ⭐ Low (No Mutual Auth, No Encryption) | None | Deprecated - ห้ามใช้ |
🏆 EAP Method ใดปลอดภัยที่สุด? (Most Secure EAP Method)
EAP-TLS = ปลอดภัยที่สุด เพราะ:
- Mutual Authentication: Client และ Server Verify Certificates กัน (Two-way Trust)
- No Passwords: ใช้ Certificates/Private Keys (Smart Card, TPM, YubiKey) ไม่มี Credential Theft/Phishing
- Strong Crypto: TLS 1.2/1.3, Perfect Forward Secrecy (ECDHE)
- Non-repudiation: Client Cert ผูกติด Identity
⚠️ Trade-off: ต้องมี PKI (CA, Certificate Lifecycle Management, Revocation) ซับซ้อนและค่าใช้จ่ายสูง
🔄 PEAP vs EAP-TLS vs EAP-TTLS - เลือกแบบไหนดี?
| Factor | EAP-TLS | PEAP (MSCHAPv2) | EAP-TTLS |
|---|---|---|---|
| Security | Highest (Mutual Certs) | High (Server Cert + Password) | High (Server Cert + Flexible Inner) |
| Client Credential | Certificate (Smart Card/TPM) | Username/Password (AD) | Username/Password (AD) หรือ Inner EAP |
| PKI Required | Yes (Full Client PKI) | Server Cert Only | Server Cert Only |
| Deployment Complexity | High | Medium | Medium |
| Legacy Support | Low (Modern OS Only) | High (Windows Native) | High (Flexible Inner Methods) |
| แนะนำสำหรับ | High Security, Zero Trust, Gov | General Enterprise (Microsoft AD) | Mixed Environments, Legacy Apps |
📡 EAP ใน RADIUS (RADIUS-EAP)
- RADIUS ใช้ EAP-Message Attribute (Type 79) ทunnels EAP Packets ระหว่าง NAS (Authenticator) และ AAA Server
- EAP-TTLS/PEAP: สร้าง TLS Tunnel (Outer) → ใน Tunnel ส่ง Inner Authentication (Inner Method)
- RADIUS Proxy/Chaining: Forward EAP ไปยัง Upstream RADIUS (eduroam, Roaming)
📶 EAP ใน Wi-Fi Enterprise (WPA2/WPA3-Enterprise)
-
1. Client (Supplicant) ↔ AP (Authenticator): EAPOL (EAP over LAN)
- AP ↔ RADIUS Server: RADIUS/EAP (EAP-Message Attributes)
- RADIUS Server: ตรวจสอบ Credentials (AD, LDAP, Certificate Store, Token Server)
- Success: RADIUS ส่ง MPPE Keys (WPA2) / SAE (WPA3) กลับ AP → Derive Session Keys
- AP/Client: 4-Way Handshake (WPA2) / SAE Commit/Confirm (WPA3) → Data Encryption
🔧 Cisco LEAP / EAP-FAST / EAP-AKA
- LEAP: Cisco Proprietary, MS-CHAPv2 Variant, Vulnerable to Dictionary Attacks → Deprecated
- EAP-FAST: Cisco, ใช้ PAC แทน Certs, เร็วกว่า PEAP, รองรับ Provisioning (Manual/Authenticated)
- EAP-AKA / EAP-AKA': 3GPP/5G, ใช้ USIM (Universal Subscriber Identity Module) สำหรับ Mobile Network Authentication
❓ คำถามที่พบบ่อย
❓ EAP-TLS ต้องมี Smart Card บังคับไหม?
ไม่บังคับ ใส่ Client Cert + Private Key ใน OS Certificate Store (Windows Cert Store, macOS Keychain, Linux NSS/OpenSSL) ได้ แต่ Smart Card/TPM/YubiKey ปลอดภัยกว่า (Non-exportable Key)
❓ PEAPv0 vs PEAPv1 ต่างกันยังไง?
PEAPv0 = Inner Method: EAP-MSCHAPv2 (Username/Password). PEAPv1 = Inner Method: EAP-GTC (Generic Token Card - OTP/Token). PEAPv0 เป็นมาตรฐาน Microsoft
❓ WPA3-Enterprise ใช้ EAP อะไร?
WPA3-Enterprise = WPA2-Enterprise + SAE (Simultaneous Authentication of Equals) แทน 4-Way Handshake + Mandatory PMF (Protected Management Frames) + EAP-TLS Preferred (192-bit Security Suite Optional)
❓ RADIUS กับ EAP ต่างกันยังไง?
RADIUS = AAA Protocol (Transport, Policy Enforcement). EAP = Authentication Framework (Credential Exchange) รันบน RADIUS (EAP over RADIUS) หรือ LAN (EAPOL)
สรุป: EAP เป็น Framework สำหรับ Enterprise Authentication EAP-TLS ปลอดภัยที่สุด (Mutual Certs) แต่ต้องมี PKI PEAP-MSCHAPv2 ยอดนิยม Enterprise (AD Integration) EAP-TTLS ยืดหยุ่นกว่า ห้ามใช้ LEAP, EAP-MD5 (Broken) เลือกตาม Security Requirements, Infrastructure, และ Client Capability
