Extensible Authentication Protocol

Zastosowanie

Protokół EAP jest najczęściej używany w połączeniach:

• korzystających z protokołu PPP,
• korzystających z protokołu IEEE802 (wymagane są urządzenia sieciowe wspierające obsługę tego protokołu):
  • dla sieci przewodowych – IEEE802.1X,
  • dla sieci bezprzewodowych – IEEE802.11i.

Protokół EAP posiada wbudowane mechanizmy pozwalające na eliminację pojawiających się duplikatów pakietów i ponowną retransmisję zagubionych pakietów. Za retransmisję pakietów odpowiedzialny jest serwer uwierzytelniający, natomiast suplikant musi zajmować się eliminacją duplikatów pakietów.

Bezpośrednio w protokole brakuje obsługi mechanizmu fragmentacji. Jeśli jakaś metoda uwierzytelniania potrzebuje przesyłać porcje danych, które są większe niż maksymalny rozmiar ramki łącza danych, to fragmentacja musi być zrealizowana w ramach tej metody.

Zalety

Wśród zalet protokołu EAP należy wymienić:

• obsługa różnorodnych metod uwierzytelniania,
• istnieje możliwość negocjacji używanej metody uwierzytelniania,
• ponieważ urządzenie dostępowe może pracować w roli pośrednika, możliwe jest wdrożenie nowej (lub aktualizacja) metody uwierzytelniania, bez ingerowania w jego konfigurację – wymagana jest jedynie aktualizacja oprogramowania po stronie suplikanta i zewnętrznego serwera uwierzytelniania,
• separacja pomiędzy urządzeniem dostępowym a zewnętrznym serwerem uwierzytelniania ułatwia zarządzanie danymi poufnymi, takimi jak np. loginy i hasła użytkowników.

Wady

Najistotniejsze wady protokołu EAP to:

• nie wszystkie implementacje PPP wspierają uwierzytelnianie z wykorzystaniem protokołu EAP,
• sprzęt sieciowy (przełączniki, punkty dostępu) musi posiadać obsługę protokołu IEEE802,
• ze względu na separacje urządzenia dostępowego od zewnętrznego serwera uwierzytelniania komplikuje się analiza zagadnień bezpieczeństwa.

Metody EAP

Dokument RFC 3748 wprowadza następujące obowiązkowe metody uwierzytelniania:

• MD5 Challange,
• One Time Password (OTP),
• Generic Token Card (GTC).

Oprócz wyżej wymienionych metod istnieje wiele innych które są opisane w odrębnych dokumentach, np.:

• EAP-TLS – RFC 2716,
• EAP-TTLS – draft-ietf-pppext-eap-ttls-01.txt,
• EAP-IKEv2 – RFC 5106.