PEAP (Protected Extensible Authentication Protocol, „geschütztes EAP“) ist eine EAP-Methode, die eine Authentifizierung in einen TLS-Tunnel verpackt. Entwickelt von Cisco, Microsoft und RSA, ist es besonders in bestehenden WLAN-Infrastrukturen mit 802.1X verbreitet.
So funktioniert PEAP
Zuerst baut der Client mit dem RADIUS-Server einen TLS-Tunnel auf. Dabei prüft der Client das Zertifikat des Servers gegen eine vertrauenswürdige Zertifizierungsstelle (CA). Im geschützten Tunnel läuft dann eine zweite, innere Authentifizierung — meist MSCHAPv2 mit Benutzername und Passwort. Die Zugangsdaten sind dadurch von außen nicht lesbar.
PEAP-Versionen
- PEAPv0: innere Methode MSCHAPv2 (verbreitetster Einsatz).
- PEAPv1: innere Methode EAP-GTC (z. B. für Einmalpasswörter).
Abgrenzung zu EAP-TLS und EAP-TTLS
Anders als EAP-TLS benötigt PEAP kein Client-Zertifikat — nur der Server muss sich ausweisen. Im Gegensatz zu EAP-TTLS unterstützt PEAP als innere Methode nur weitere EAP-Verfahren, keine älteren Protokolle wie PAP oder CHAP.