EAP-TLS (EAP mit Transport Layer Security, RFC 5216) ist eine EAP-Methode, die die Authentifizierung über Zertifikate abwickelt. Es gilt als die sicherste Variante des Extensible Authentication Protocol und ist der Standard für WPA3-Enterprise.
So funktioniert EAP-TLS
Bei EAP-TLS besitzen beide Seiten ein X.509-Zertifikat: das Endgerät (Supplicant) und der RADIUS-Server. Während des TLS-Handshakes über EAP-Nachrichten tauschen sie ihre Zertifikate aus und validieren sie gegenseitig gegen eine vertrauenswürdige Zertifizierungsstelle (CA). Erst wenn beide Signaturen gültig sind, gilt die Authentifizierung als erfolgreich.
Vorteile und Anforderungen
- Kein Passwort wird übertragen — nur die Zertifikats-Prüfung entscheidet.
- Resistent gegen Phishing und Passwort-Angriffe, da ein gestohlenes Passwort allein nicht genügt.
- Voraussetzung ist eine funktionierende PKI: Ausstellen, Verteilen und Erneuern von Client-Zertifikaten.
- Im WLAN läuft EAP-TLS üblicherweise zusammen mit 802.1X und WPA3-Enterprise.
Abgrenzung zu PEAP und EAP-TTLS
Anders als PEAP und EAP-TTLS benötigt EAP-TLS auch auf Client-Seite ein Zertifikat. Die Tunnel-Verfahren verlangen nur ein Server-Zertifikat und schützen die eigentliche Anmeldung (Passwort oder ältere Verfahren) in einem TLS-Tunnel.
Verwandte Grundlagen: EAP, 802.1X, RADIUS, WLAN, WPA2, wpa_supplicant-Befehle.