EAP-FAST
siglaredessegurançafornecedores e produtos
Significa: Flexible Authentication via Secure Tunneling (RFC 4851, EAP Type 43)
Flexible Authentication via Secure Tunneling, o EAP Type 43 da Cisco na RFC 4851: um túnel TLS que pode ser estabelecido com uma Protected Access Credential em vez de um certificado de servidor, com a autenticação real carregada em TLVs dentro dele.
A RFC 4851 (Cam-Winget, McGrew, Salowey e Zhou, da Cisco, maio de 2007, Informational) especifica o EAP-FAST em duas fases: um túnel TLS e, dentro dele, uma troca de objetos tipo-comprimento-valor que carrega a autenticação interna. O que o distingue é a Protected Access Credential, a PAC: uma PAC-Key, segredo de 32 octetos compartilhado entre par e servidor; uma PAC-Opaque, um tíquete que o servidor decodifica e o par não; e a PAC-Info, com a identidade da autoridade e a validade da credencial. Com uma PAC o túnel pode ser restabelecido sem estado no servidor e sem troca de certificados, que era o objetivo para dispositivos limitados e para sites que não operavam uma PKI. A RFC lista como objetivos de projeto autenticação mútua, imunidade a ataques passivos de dicionário, proteção contra intermediários e eficiência para dispositivos com poucos recursos. A RFC 7170 registra que o EAP-FAST foi amplamente adotado e que o grupo de trabalho EMU do IETF o tomou como base do TEAP, o método de túnel em trilha de padrão. Seu ponto fraco em operação sempre foi o provisionamento da PAC: como a primeira PAC chega com segurança a um dispositivo é uma decisão de implantação, não algo que o método garante sozinho.
O EAP-FAST foi a resposta da Cisco a um problema que ela em parte criara. A autenticação sem fio por senha precisava de um túnel, e os métodos tunelados da época, PEAP e EAP-TTLS, ancoravam esse túnel num certificado de servidor, o que significava uma autoridade certificadora, uma âncora de confiança em cada cliente e uma configuração de validação que os usuários podiam desligar. A RFC 4851, publicada em maio de 2007 por Cam-Winget, McGrew, Salowey e Zhou, todos da Cisco, como documento Informational, especifica o Flexible Authentication via Secure Tunneling no EAP Type 43. A fase um estabelece um túnel TLS; a fase dois roda, dentro dele, uma troca de TLVs, objetos tipo-comprimento-valor, e a autenticação interna, o resultado e quaisquer dados adicionais viajam como TLVs. A estrutura é próxima da do PEAP, mas o modo de construir o túnel não é.
A Protected Access Credential é a ideia que assina o método. A RFC define a PAC em três partes: a PAC-Key, um segredo de 32 octetos compartilhado entre o par e o servidor; a PAC-Opaque, um tíquete que o servidor criou e só o servidor interpreta, que o par guarda e apresenta; e a PAC-Info, que carrega a identidade da autoridade emissora e a validade da credencial. Um par que possui uma PAC pode restabelecer o túnel com ela, sem troca de certificados e, nas palavras da RFC, sem que o servidor precise manter estado para aquele par, já que tudo de que o servidor precisa está dentro do tíquete opaco que ele mesmo escreveu. Os objetivos de projeto que a RFC lista são autenticação mútua, imunidade a ataques passivos de dicionário, proteção contra ataques de intermediário e eficiência para dispositivos com recursos limitados, e a PAC serve diretamente ao último.
A PAC também criou o problema operacional característico do método. A primeira PAC tem de chegar ao dispositivo de algum jeito e, seja como for, essa primeira entrega é o momento em que toda a confiança do esquema se estabelece. Implantações provisionavam PACs fora de banda, ou admitiam uma troca de provisionamento em banda cujas propriedades de segurança dependiam do modo escolhido, e a configuração dessa etapa, nos servidores e nos suplicantes, virou o lugar em que os engenheiros gastavam seu tempo. O método também permaneceu uma especificação de fabricante: status Informational, autoria da Cisco e suporte mais forte nos clientes e servidores da própria Cisco.
Seu legado é o TEAP. A RFC 7170, o Tunnel Extensible Authentication Protocol de maio de 2014 e um documento em trilha de padrão, diz no próprio texto que o EAP-FAST foi amplamente adotado e que foi adotado pelo grupo de trabalho EMU como base do método de túnel padronizado. O TEAP mantém o túnel TLS e a estrutura de TLVs, mantém o provisionamento de PAC como uma opção ao lado do provisionamento de certificado, acrescenta um Crypto-Binding TLV obrigatório e admite vários métodos internos em sequência, que é como a autenticação de usuário e a de máquina podem ser encadeadas numa só conversa. Quem encontra EAP-FAST hoje em geral está diante de um parque Cisco mais antigo, e a pergunta é se migrá-lo para TEAP ou, onde os clientes podem portar certificados, para EAP-TLS.
Também conhecido como: protected access credential, eap-fast pac