EAP (Extensible Authentication Protocol) ist ein Rahmenwerk für Authentifizierungsverfahren im Netzwerkzugang, definiert in RFC 3748. EAP transportiert die eigentliche Anmeldung zwischen Endgerät (Supplicant) und Authentifizierungsserver — etwa in WLAN- und LAN-Umgebungen über 802.1X. Es legt nur den Austausch von Request/Response-Nachrichten fest; welches Verfahren darin läuft, ist austauschbar („extensibel“).
EAP und 802.1X
In der Praxis läuft EAP zwischen Supplicant und Authenticator (Switch oder Access Point) in EAPOL-Frames (EAP over LAN, EtherType 0x888E) direkt auf Schicht 2. Der Authenticator verpackt die EAP-Nachrichten in RADIUS-Pakete und leitet sie an den zentralen Server weiter — das Endgerät kommuniziert also nie direkt mit dem Server. Der Zugang bleibt gesperrt, bis der Server den Erfolg meldet.
Wichtige EAP-Verfahren
- EAP-TLS: gegenseitige Zertifikats-Authentifizierung — gilt als sicherste Methode, verlangt aber Zertifikate auf beiden Seiten (Standard für WPA3-Enterprise).
- PEAP (Protected EAP): baut zuerst einen TLS-Tunnel mit Serverzertifikat auf und schützt darin eine weitere Authentifizierung (etwa Benutzername/Passwort).
- EAP-TTLS: ähnlich wie PEAP, unterstützt zusätzlich ältere Verfahren (PAP/CHAP) im Tunnel.
- EAP-PSK, EAP-AKA: Varianten für gemeinsame Schlüssel bzw. Mobilfunk-SIM (Authentifizierung im LTE/5G-Kontext).
Je nach Verfahren kommen Passwörter, Zertifikate, Token oder SIM-Karten als Nachweis zum Einsatz. EAP selbst kümmert sich nicht um die Datenverschlüsselung — die übernimmt im WLAN der Sicherheitsstandard (WPA2/WPA3) mit seinem eigenen Schlüsselmanagement.
Verwandte Grundlagen: wpa_supplicant-Befehle, 802.1X, RADIUS, WPA2.