TEAP
siglaSignifica: Tunnel Extensible Authentication Protocol (RFC 7170, EAP Type 55)
O Tunnel Extensible Authentication Protocol da RFC 7170, EAP Type 55: o método de túnel em trilha de padrão que roda zero ou mais métodos EAP internos dentro de um túnel TLS mutuamente autenticado, amarra-os criptograficamente a ele e pode provisionar credenciais pelo caminho.
A RFC 7170 (Zhou, Cam-Winget e Salowey, da Cisco, e Hanna, da Infineon, maio de 2014, trilha de padrão) define o TEAP versão 1 como um método EAP baseado em túnel que permite comunicação segura entre um par e um servidor usando TLS para estabelecer um túnel mutuamente autenticado. Dentro do túnel, objetos tipo-comprimento-valor carregam zero ou mais métodos EAP, que é o recurso que o mercado chama de encadeamento de EAP: um certificado de máquina e uma credencial de usuário podem ser autenticados numa só conversa, de modo que uma política distingue um notebook corporativo com um funcionário logado de qualquer um dos dois sozinhos. O túnel também pode provisionar uma Protected Access Credential ou um certificado ao par, e pode carregar uma senha. Duas proteções vêm embutidas em vez de opcionais: um Crypto-Binding TLV que amarra o resultado de cada método interno ao túnel externo, derrotando o intermediário de túnel, e o channel binding do EAP, que deixa par e servidor confirmarem que concordam sobre a rede em que estão. O TEAP é o sucessor, pelo IETF, do PEAP, do EAP-TTLS e do EAP-FAST, e a RFC registra que o EAP-FAST foi a base de que o grupo de trabalho partiu.
Em 2014 o IETF tinha três métodos EAP tunelados em uso amplo, dois deles nunca publicados como padrão, e uma lista do que faltava aos três. A RFC 7170, publicada em maio de 2014 por Zhou, Cam-Winget e Salowey, da Cisco, e Hanna, da Infineon, como documento em trilha de padrão, é o resultado do esforço do grupo de trabalho EMU para substituí-los por um só. Ela define o TEAP versão 1 no EAP Type 55 como um método EAP baseado em túnel que permite comunicação segura entre um par e um servidor usando o protocolo TLS para estabelecer um túnel mutuamente autenticado. A própria RFC nomeia a ascendência: o EAP-FAST foi amplamente adotado e foi adotado pelo grupo de trabalho EMU como base do método de túnel padronizado. Quem leu o verbete do EAP-FAST reconhece a forma, um túnel TLS seguido de TLVs.
O que acontece dentro do túnel é onde o TEAP vai além dos antecessores. A RFC admite zero ou mais métodos EAP dentro do túnel protegido, executados em sequência, cada um com seu resultado. Essa sequência é o que os fabricantes vendem como encadeamento de EAP: um dispositivo pode provar que é uma máquina gerenciada, com um certificado, e depois o usuário pode provar quem é, com uma senha ou um segundo certificado, numa única conversa 802.1X, e o servidor pode autorizar sobre a combinação. Antes do TEAP os dois fatos tinham de ser estabelecidos em autenticações separadas e correlacionados por inferência, e é por isso que políticas do tipo "dispositivo corporativo e usuário conhecido" eram tão difíceis de escrever honestamente.
O túnel é também um canal de provisionamento. O TEAP pode provisionar uma Protected Access Credential, a PAC herdada do EAP-FAST, ou um certificado, dentro do túnel, de modo que um dispositivo que chega só com uma senha saia com uma credencial mais forte para a próxima vez. As próprias senhas podem ser carregadas, o que mantém em jogo a retaguarda só de diretório. E duas proteções que eram opcionais ou ausentes nos métodos anteriores vêm embutidas. O Crypto-Binding TLV amarra o resultado de cada método interno ao túnel que o carregou, de modo que um atacante não consegue retransmitir uma troca interna entre uma vítima e um servidor enquanto mantém o túnel externo com cada um; a exposição da geração anterior a esse intermediário foi uma das motivações do trabalho. O channel binding do EAP deixa par e servidor conferirem que concordam sobre a rede a que o par está ligado, o que fecha uma classe de ataques em que uma rede impostora retransmite uma autenticação legítima.
A adoção seguiu a curva usual de um método que precisa de suplicantes e de servidores: os suplicantes dos sistemas operacionais e os principais servidores AAA o acrescentaram, com o encadeamento como atrativo, e parques com PEAP ou EAP-FAST migraram conforme seus clientes permitiram. Para quem projeta, a decisão hoje é entre o EAP-TLS para dispositivos que podem portar certificados e o TEAP onde encadeamento, provisionamento ou retaguarda de senha são exigidos; PEAP e EAP-TTLS permanecem por compatibilidade, e a matriz de métodos do artigo sobre 802.1X e métodos EAP põe os quatro lado a lado.
Também conhecido como: tunnel eap, eap chaining, teap v1