¿Qué es EAP-FAST y cómo funciona?
EAP-FAST significa Flexible Authentication via Secure Tunneling y es un método EAP que utiliza TLS para establecer un túnel protegido entre un cliente y un servidor de autenticación. Dentro de ese túnel pueden intercambiarse datos de autenticación y utilizarse mecanismos como PAC para facilitar posteriores conexiones.
¿Qué es EAP-FAST?
EAP-FAST, o Flexible Authentication via Secure Tunneling, es un método de autenticación EAP que utiliza TLS para establecer un túnel protegido entre el peer o cliente y el servidor de autenticación.
Una vez establecido el túnel, EAP-FAST puede transportar información de autenticación mediante TLV y proteger métodos internos. También puede utilizar una PAC (Protected Access Credential) para facilitar el establecimiento de futuras sesiones.
¿Cómo funciona EAP-FAST?
EAP-FAST divide el proceso de autenticación en una fase destinada a establecer el túnel protegido y una segunda fase en la que se intercambia información de autenticación dentro de ese túnel.
Fase 1: túnel seguro
En la primera fase se utiliza TLS para establecer un túnel protegido entre el peer y el servidor EAP.
Fase 2: autenticación interna
Una vez creado el túnel, las partes pueden intercambiar información adicional de autenticación dentro del canal protegido.
PAC
EAP-FAST puede utilizar Protected Access Credentials para facilitar el establecimiento del túnel y determinados procesos posteriores de autenticación.
EAP-FAST combina TLS y autenticación interna
La característica central de EAP-FAST es la creación de un túnel protegido antes de realizar las operaciones adicionales de autenticación.
Túnel protegido
TLS establece el canal protegido utilizado durante la primera fase del proceso EAP-FAST.
Autenticación interna
Dentro del túnel pueden intercambiarse mensajes y mecanismos destinados a completar la autenticación.
Credencial protegida
Una PAC puede utilizarse para ayudar al peer a establecer posteriormente el túnel EAP-FAST.
Principales componentes de EAP-FAST
| Componente | Función | Ejemplo | Característica |
|---|---|---|---|
| EAP-FAST | Proporciona el método de autenticación. | Autenticación empresarial. | Utiliza un túnel TLS. |
| Peer | Participa como cliente en la autenticación. | Notebook. | Inicia el proceso EAP-FAST. |
| Servidor EAP | Procesa el método de autenticación. | Servidor de autenticación. | Establece la otra terminación del túnel. |
| TLS | Protege el canal de autenticación. | Túnel TLS. | Proporciona confidencialidad e integridad al canal. |
| PAC | Facilita el establecimiento de futuras sesiones. | Tunnel PAC. | Contiene información y credenciales utilizadas por EAP-FAST. |
¿Qué es el Peer en EAP-FAST?
El Peer es la entidad que participa como cliente en el proceso de autenticación EAP-FAST. Puede corresponder a un dispositivo o software que necesita autenticarse ante el servidor.
Dispositivo cliente
Puede tratarse de un notebook, teléfono, servidor u otro equipo compatible con el método EAP-FAST.
Inicio de autenticación
El Peer participa en el intercambio EAP y en el establecimiento del túnel TLS utilizado por EAP-FAST.
Credenciales
El Peer puede utilizar credenciales previamente provisionadas o mecanismos de aprovisionamiento compatibles con EAP-FAST.
¿Qué función cumple el servidor en EAP-FAST?
El servidor EAP es la contraparte que participa en la autenticación y establece el otro extremo del túnel protegido utilizado por EAP-FAST.
Autenticación
El servidor procesa el intercambio necesario para comprobar la identidad del Peer.
Políticas
La infraestructura de autenticación puede determinar qué métodos internos, credenciales y condiciones deben utilizarse.
Resultado
Al finalizar el intercambio, el servidor determina el resultado de la autenticación y comunica su resultado mediante el proceso EAP.
¿Qué función cumple TLS en EAP-FAST?
TLS es el mecanismo utilizado por EAP-FAST para establecer un túnel autenticado y protegido durante la primera fase del método.
Túnel
El intercambio TLS crea un canal protegido entre el Peer y el servidor EAP.
Protección
El túnel permite proteger los intercambios de autenticación que se producen posteriormente dentro de EAP-FAST.
Fase 1
El establecimiento del túnel TLS corresponde a la primera fase de autenticación definida para EAP-FAST.
¿Qué ocurre en la segunda fase de EAP-FAST?
Una vez establecido el túnel TLS, EAP-FAST inicia una segunda fase destinada a realizar intercambios adicionales de autenticación y a aplicar las políticas correspondientes.
TLV
Los datos intercambiados dentro del túnel se encapsulan mediante objetos TLV, que permiten transportar información relacionada con el proceso.
Método interno
Dentro del túnel pueden ejecutarse mecanismos de autenticación destinados a comprobar las credenciales del usuario o dispositivo.
Protección
El túnel TLS protege estos intercambios frente a la exposición directa sobre el medio de transporte.
¿Qué es una PAC en EAP-FAST?
PAC significa Protected Access Credential y es un conjunto de credenciales e información utilizado por EAP-FAST para facilitar el establecimiento de un túnel seguro en posteriores autenticaciones.
PAC-Key
El PAC-Key es la clave secreta utilizada como parte del proceso para establecer el túnel EAP-FAST.
PAC-Opaque
PAC-Opaque contiene información protegida generada para que el servidor pueda utilizarla durante posteriores procesos de establecimiento del túnel.
PAC-Info
PAC-Info puede contener información adicional que el Peer puede interpretar de acuerdo con la política y la implementación utilizada.
¿Cómo se aprovisionan las credenciales de EAP-FAST?
EAP-FAST contempla mecanismos para aprovisionar información necesaria para el establecimiento del túnel, incluyendo credenciales que permitan al Peer autenticarse posteriormente.
Aprovisionamiento previo
Determinadas credenciales pueden configurarse o distribuirse previamente en el dispositivo antes de iniciar una conexión.
Aprovisionamiento dinámico
EAP-FAST también define mecanismos de aprovisionamiento dinámico mediante el túnel protegido. El RFC 5422 describe específicamente este procedimiento.
Protección
El objetivo es facilitar la distribución de información necesaria para autenticaciones posteriores sin exponerla directamente fuera del canal protegido.
¿EAP-FAST puede utilizar MSCHAPv2?
Sí. EAP-FAST puede utilizar mecanismos de autenticación basados en credenciales dentro del túnel protegido. Uno de los mecanismos asociados a este escenario es MSCHAPv2.
Dentro del túnel
El mecanismo de autenticación se ejecuta dentro del túnel TLS establecido durante la primera fase.
Protección
El objetivo del diseño es proteger el mecanismo interno mediante el canal seguro creado por EAP-FAST.
EAP-FAST-MSCHAPv2
El nombre EAP-FAST-MSCHAPv2 se utiliza para describir el uso de MSCHAPv2 como mecanismo interno dentro de una arquitectura EAP-FAST.
¿Cuál es la diferencia entre EAP-FAST y EAP-TLS?
EAP-FAST y EAP-TLS son métodos EAP relacionados con TLS, pero su arquitectura de credenciales y autenticación no es la misma.
EAP-FAST
Utiliza un túnel TLS y puede emplear PAC para facilitar el establecimiento del túnel y mecanismos de autenticación internos.
EAP-TLS
EAP-TLS utiliza certificados digitales como elemento central de la autenticación y depende normalmente de una infraestructura de certificados.
Arquitectura
La elección entre métodos depende de la infraestructura, las credenciales disponibles, las políticas de seguridad y las capacidades de los dispositivos.
| Característica | EAP-FAST | EAP-TLS |
|---|---|---|
| Túnel | Utiliza TLS. | Utiliza TLS como parte del método. |
| Credencial | Puede utilizar PAC. | Certificados digitales. |
| Autenticación interna | Sí, dentro del túnel. | La autenticación se basa en certificados. |
| Infraestructura | Puede requerir aprovisionamiento de PAC. | Requiere gestión adecuada de certificados. |
¿Para qué sirve EAP-FAST en redes Wi-Fi?
EAP-FAST puede utilizarse como método de autenticación dentro de arquitecturas de acceso a redes empresariales, incluidas aquellas basadas en 802.1X.
Autenticación de usuarios
Permite realizar un proceso de autenticación antes de conceder acceso normal a los recursos de la red.
Access Point
En una red Wi-Fi empresarial, el punto de acceso puede actuar como Authenticator y transportar el intercambio entre el cliente y el servidor.
Servidor de autenticación
El servidor puede procesar el método EAP-FAST y determinar el resultado de la autenticación.
¿Qué relación existe entre EAP-FAST y 802.1X?
EAP-FAST puede utilizarse como método EAP dentro de una arquitectura 802.1X. En este escenario, el cliente participa como Supplicant y el switch o punto de acceso puede actuar como Authenticator.
Supplicant
El dispositivo inicia y participa en el proceso de autenticación EAP-FAST.
Authenticator
El switch o Access Point controla el acceso y facilita el intercambio de mensajes de autenticación.
Servidor
El servidor procesa la autenticación y responde al Authenticator con el resultado correspondiente.
¿Qué relación tienen EAPOL y RADIUS con EAP-FAST?
EAP-FAST es el método de autenticación. Cuando se utiliza dentro de 802.1X, EAPOL puede transportar los mensajes EAP entre el cliente y el Authenticator, mientras RADIUS puede transportar información EAP entre el Authenticator y el servidor.
EAPOL
EAP over LAN permite transportar mensajes EAP sobre una red local entre las partes correspondientes de la arquitectura.
RADIUS
RADIUS puede transportar solicitudes y respuestas relacionadas con la autenticación entre el dispositivo de acceso y el servidor.
EAP-FAST
EAP-FAST define el método de autenticación utilizado dentro de esa arquitectura.
¿EAP-FAST es seguro?
EAP-FAST fue diseñado para proteger el proceso de autenticación mediante un túnel TLS y para permitir que mecanismos internos de autenticación funcionen dentro de ese canal protegido.
Protección del canal
TLS proporciona las propiedades criptográficas utilizadas para proteger el túnel establecido entre el Peer y el servidor.
Métodos internos
Los mecanismos internos pueden beneficiarse de la protección proporcionada por el túnel en lugar de intercambiarse directamente sobre el medio.
Configuración
La seguridad efectiva también depende de las credenciales utilizadas, el aprovisionamiento, la validación del servidor, las políticas de autenticación y la configuración de los dispositivos.
¿Qué problemas pueden ocurrir con EAP-FAST?
Los fallos de EAP-FAST pueden estar relacionados con las credenciales, el túnel TLS, la PAC, el método interno, el servidor o la configuración del cliente.
PAC
Una PAC ausente, incorrecta o no compatible con la configuración del servidor puede impedir el establecimiento esperado del túnel.
TLS
Las incompatibilidades durante el establecimiento del túnel TLS pueden impedir que la autenticación avance hacia la segunda fase.
Credenciales
Las credenciales utilizadas por el método interno pueden ser incorrectas, estar bloqueadas o no cumplir las políticas del servidor.
Servidor
Una configuración incorrecta del servidor de autenticación o de la comunicación con el Authenticator también puede impedir la conexión.
¿Qué se necesita para implementar EAP-FAST?
Una implementación de EAP-FAST requiere compatibilidad en el cliente, el sistema de acceso y el servidor de autenticación, además de definir cómo se provisionan las credenciales y qué método interno se utilizará.
Cliente
El dispositivo debe ser compatible con EAP-FAST y con las credenciales o mecanismos de aprovisionamiento utilizados.
Authenticator
El switch o Access Point debe soportar la arquitectura de acceso y transportar correctamente el proceso de autenticación.
Servidor
Debe existir un servidor capaz de procesar EAP-FAST y aplicar las políticas de autenticación correspondientes.
Credenciales
Deben definirse PAC, certificados de confianza u otras credenciales requeridas por la configuración concreta del método.
EAP-FAST: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| EAP-FAST | Flexible Authentication via Secure Tunneling. | Autenticación empresarial. | Establecer un túnel TLS y realizar autenticación protegida. |
| TLS | Transport Layer Security. | Túnel protegido. | Proteger el intercambio entre Peer y servidor. |
| PAC | Protected Access Credential. | Tunnel PAC. | Facilitar el establecimiento de futuras sesiones. |
| Peer | Cliente de autenticación. | Notebook. | Participar en la autenticación EAP-FAST. |
| Fase 2 | Autenticación dentro del túnel. | Método interno. | Completar el proceso de autenticación. |
Guías relacionadas sobre EAP y autenticación
Profundiza en otros conceptos relacionados con EAP-FAST:
Preguntas frecuentes sobre EAP-FAST
EAP-FAST es un método de autenticación EAP que utiliza TLS para establecer un túnel protegido entre un Peer y un servidor de autenticación.
EAP-FAST significa Flexible Authentication via Secure Tunneling, es decir, autenticación flexible mediante túnel seguro.
Sí. EAP-FAST utiliza TLS para establecer un túnel protegido durante la primera fase de la autenticación.
PAC significa Protected Access Credential y es una credencial que puede utilizarse para facilitar el establecimiento de futuras sesiones EAP-FAST.
EAP-FAST-MSCHAPv2 describe el uso de MSCHAPv2 como mecanismo de autenticación dentro del túnel protegido de EAP-FAST.
EAP-FAST establece primero un túnel TLS y después realiza intercambios adicionales de autenticación dentro de ese canal protegido.
Sí. EAP-FAST puede utilizarse en arquitecturas de autenticación de redes Wi-Fi empresariales, incluidas implementaciones basadas en 802.1X.
EAP-FAST utiliza un túnel TLS y puede utilizar PAC y métodos internos de autenticación, mientras EAP-TLS utiliza certificados digitales como elemento central de la autenticación.
¿Qué es EAP-TLS?
Continúa aprendiendo sobre autenticación basada en certificados y descubre cómo funciona EAP-TLS dentro de redes empresariales y arquitecturas 802.1X.
Ver guía →