EAP-TTLS (Tunneled Transport Layer Security, RFC 5281) ist eine EAP-Methode, die einen TLS-Tunnel zum RADIUS-Server aufbaut und darin eine zweite Authentifizierung ausführt. Ihr besonderes Merkmal: Im Tunnel sind auch ältere Verfahren erlaubt, die nicht auf EAP basieren.
So funktioniert EAP-TTLS
Wie bei PEAP prüft der Client zuerst das Server-Zertifikat (validiert gegen eine Zertifizierungsstelle). Im verschlüsselten TLS-Tunnel läuft dann die eigentliche Anmeldung mit Benutzername und Passwort — als PAP, CHAP, MSCHAPv2 oder als EAP-Methode. Dadurch lassen sich auch Altsysteme sicher anbinden, deren Protokolle unverschlüsselt übertragen würden.
Vorteile
- Nur der Server benötigt ein Zertifikat — keine Client-Zertifikats-Verwaltung.
- Unterstützt Legacy-Verfahren (PAP/CHAP) sicher im Tunnel.
- Flexibel für gemischte Umgebungen mit älteren Clients.
Abgrenzung und Nachfolger
Im Unterschied zu EAP-TLS ist kein Client-Zertifikat nötig; anders als PEAP kann die innere Authentifizierung auch ohne EAP laufen. Der moderne Nachfolger TEAP (RFC 7170) fasst die Tunnel-Verfahren zusammen und ersetzt PEAPv0 und EAP-TTLSv0 zunehmend.