¿Qué es EAP-TLS?
EAP-TLS es un método de autenticación basado en EAP que utiliza TLS y certificados digitales para verificar las identidades de las partes que participan en el proceso. Se utiliza especialmente en redes empresariales y puede integrarse con 802.1X y servidores de autenticación como RADIUS.
¿Qué es EAP-TLS?
EAP-TLS es un método de autenticación que utiliza TLS y certificados digitales para comprobar la identidad del cliente y del servidor durante el proceso de autenticación.
Es uno de los métodos EAP utilizados en arquitecturas como IEEE 802.1X. Puede trabajar con un servidor de autenticación y utilizar RADIUS como mecanismo de comunicación entre el Authenticator y el sistema de autenticación.
¿Cómo funciona EAP-TLS?
EAP-TLS utiliza un intercambio basado en TLS y certificados para autenticar al servidor y al cliente dentro del proceso EAP.
Certificados digitales
Los certificados permiten asociar una clave pública con una identidad y forman una parte esencial del modelo de autenticación EAP-TLS.
TLS
TLS proporciona las funciones criptográficas necesarias para el establecimiento de la sesión y la autenticación durante el método EAP-TLS.
Autenticación mutua
EAP-TLS admite autenticación mutua, de modo que el servidor puede autenticarse ante el cliente y el cliente puede autenticarse ante el servidor mediante certificados.
EAP-TLS no depende de una contraseña como credencial principal
El método utiliza certificados y un intercambio TLS para autenticar a las partes y establecer material criptográfico para la sesión.
Demuestra su identidad
El servidor presenta un certificado que el cliente debe validar según la política de confianza configurada.
También puede autenticarse
EAP-TLS admite autenticación mutua, por lo que el cliente puede presentar un certificado para demostrar su identidad.
Protege el intercambio
El protocolo TLS participa en la negociación criptográfica y permite establecer las propiedades de seguridad necesarias para la sesión.
Principales componentes de EAP-TLS
| Componente | Función | Ejemplo | Característica |
|---|---|---|---|
| EAP-TLS | Realiza autenticación mediante TLS. | Red 802.1X. | Utiliza certificados digitales. |
| Supplicant | Participa como cliente. | Notebook empresarial. | Puede presentar un certificado de cliente. |
| Authenticator | Intermedia y controla el acceso. | Switch o Access Point. | Puede operar junto con un servidor RADIUS. |
| Certificado | Vincula una identidad con una clave pública. | Certificado X.509. | Debe poder validarse mediante una cadena de confianza. |
| TLS | Proporciona funciones criptográficas. | TLS 1.3. | Participa en la autenticación y establecimiento de claves. |
¿Qué papel cumplen los certificados en EAP-TLS?
Los certificados son uno de los elementos centrales de EAP-TLS porque permiten demostrar la identidad criptográfica de las partes que participan en la autenticación.
Certificado del servidor
El servidor presenta un certificado que el cliente valida antes de confiar en la identidad del servidor.
Certificado del cliente
En escenarios de autenticación mutua, el cliente también presenta un certificado que permite al servidor comprobar su identidad.
Clave privada
La entidad propietaria de un certificado debe proteger adecuadamente la clave privada asociada, ya que forma parte del proceso criptográfico de autenticación.
¿Qué relación existe entre EAP-TLS y TLS?
EAP-TLS utiliza Transport Layer Security como parte de su mecanismo de autenticación. TLS proporciona el intercambio criptográfico, la autenticación mediante certificados y la derivación de material de claves que utiliza el método.
Negociación
Las partes intercambian información para establecer los parámetros criptográficos que utilizarán durante la sesión TLS.
Certificados
Los certificados se utilizan durante el proceso para autenticar las identidades correspondientes.
Material de claves
EAP-TLS puede derivar material de claves a partir del intercambio criptográfico, que posteriormente puede ser utilizado por la arquitectura de acceso de red.
¿Cómo funciona EAP-TLS paso a paso?
El proceso comienza cuando un dispositivo intenta autenticarse mediante EAP-TLS y continúa con un intercambio TLS entre el cliente y el servidor de autenticación.
1. Inicio de EAP
El Supplicant y el Authenticator comienzan el intercambio EAP necesario para seleccionar y ejecutar EAP-TLS.
2. Inicio de TLS
Se inicia el intercambio TLS y las partes negocian los parámetros criptográficos que utilizarán.
3. Certificado del servidor
El servidor presenta su certificado y el cliente debe verificarlo de acuerdo con la política de confianza configurada.
4. Certificado del cliente
Cuando se utiliza autenticación mutua, el servidor solicita y valida el certificado presentado por el cliente.
5. Finalización
Después de completar correctamente la autenticación y la negociación criptográfica, EAP puede indicar que el proceso fue exitoso y la arquitectura de red puede aplicar el resultado de acceso.
¿Qué es EAP-TLS 1.3?
EAP-TLS puede utilizar TLS 1.3 mediante las especificaciones posteriores que actualizan el protocolo. TLS 1.3 moderniza el intercambio criptográfico utilizado durante la autenticación.
Actualización
RFC 9190 define el uso de EAP-TLS con TLS 1.3 y actualiza la especificación original del método.
Criptografía moderna
TLS 1.3 cambia el conjunto de mecanismos criptográficos y el flujo de negociación respecto de versiones anteriores de TLS.
Compatibilidad
La posibilidad de utilizar EAP-TLS con TLS 1.3 depende del soporte disponible en los clientes, servidores y demás componentes de la infraestructura.
¿Qué relación existe entre EAP-TLS y 802.1X?
EAP-TLS puede utilizarse como método de autenticación dentro de arquitecturas IEEE 802.1X para controlar el acceso de dispositivos a redes cableadas o inalámbricas.
Supplicant
El dispositivo cliente ejecuta o participa en el método EAP-TLS y utiliza su identidad y certificados para autenticarse.
Authenticator
El switch o punto de acceso controla el acceso y transporta la comunicación necesaria entre el cliente y el servidor.
Servidor de autenticación
El servidor procesa EAP-TLS y valida los certificados y la autenticación del cliente según la configuración de la infraestructura.
¿Qué relación existe entre EAP-TLS y RADIUS?
En una arquitectura 802.1X, el Authenticator puede utilizar RADIUS para transportar los mensajes de autenticación hacia un servidor que procese EAP-TLS.
Cliente
El Supplicant intercambia mensajes EAP con el Authenticator.
Servidor RADIUS
El Authenticator puede encapsular y transportar la información correspondiente mediante RADIUS hacia el servidor de autenticación.
Resultado
El servidor devuelve las respuestas necesarias para que el Authenticator pueda continuar el proceso y aplicar la decisión de acceso.
¿Qué relación tiene EAP-TLS con una PKI?
EAP-TLS depende de certificados digitales y, por tanto, puede requerir una infraestructura de clave pública o PKI para emitir y administrar los certificados utilizados por clientes y servidores.
Autoridad certificadora
Una autoridad certificadora puede emitir los certificados utilizados para representar identidades dentro de la infraestructura.
Cadena de confianza
Los dispositivos deben poder validar la cadena de confianza que permite determinar si un certificado pertenece a una autoridad que consideran confiable.
Revocación
La organización debe disponer de mecanismos adecuados para gestionar certificados que ya no deberían considerarse válidos.
¿Cómo se valida un certificado en EAP-TLS?
La validación de un certificado implica comprobar diferentes propiedades que permiten determinar si puede confiarse en la identidad presentada durante la autenticación.
Autoridad de confianza
El certificado debe formar parte de una cadena que termine en una autoridad certificadora confiable para el sistema que realiza la validación.
Vigencia
Debe comprobarse que el certificado se encuentre dentro de su período de validez.
Identidad
El sistema debe verificar que el certificado corresponde al uso e identidad esperados según la política de autenticación.
Clave privada
El propietario del certificado debe demostrar que dispone de la clave privada asociada cuando el método de autenticación lo requiere.
¿Para qué sirve EAP-TLS en redes Wi-Fi?
EAP-TLS puede utilizarse en redes Wi-Fi empresariales para autenticar clientes mediante certificados dentro de una arquitectura 802.1X.
Equipos administrados
Una organización puede desplegar certificados en los equipos administrados y utilizarlos como parte del proceso de autenticación de red.
Autenticación mutua
El cliente puede verificar la identidad del servidor mientras el servidor autentica al cliente mediante certificados.
Acceso empresarial
El proceso permite asociar el acceso de la red con identidades criptográficas administradas por la organización.
¿EAP-TLS funciona en redes cableadas?
Sí. EAP-TLS puede utilizarse mediante 802.1X en redes Ethernet donde un switch controla el acceso a los puertos.
Puerto controlado
El switch puede mantener el puerto en un estado de acceso controlado mientras se desarrolla la autenticación.
Certificado del equipo
El dispositivo puede utilizar un certificado administrado por la organización para demostrar su identidad.
Acceso
Después de una autenticación exitosa, el Authenticator puede conceder el acceso definido por la infraestructura de red.
¿Cuál es la diferencia entre EAP-TLS y autenticación con contraseña?
EAP-TLS utiliza certificados digitales como parte central de la autenticación, mientras otros métodos pueden basarse en credenciales introducidas por el usuario.
EAP-TLS
Puede autenticar dispositivos y servidores mediante certificados y permite autenticación mutua.
Contraseña
Los métodos basados en contraseña dependen de un secreto que el usuario debe proporcionar durante el proceso de autenticación.
Gestión
EAP-TLS requiere administrar certificados y claves privadas, mientras los métodos basados en credenciales requieren gestionar las cuentas y secretos correspondientes.
| Característica | EAP-TLS | Método basado en contraseña |
|---|---|---|
| Credencial principal | Certificado digital y clave privada. | Contraseña u otro secreto. |
| Autenticación del servidor | Sí, mediante certificado. | Depende del método utilizado. |
| Autenticación del cliente | Puede realizarse mediante certificado. | Depende del método utilizado. |
| Administración | PKI, certificados y claves. | Cuentas y credenciales. |
¿Por qué EAP-TLS es importante en ciberseguridad?
EAP-TLS proporciona un mecanismo de autenticación basado en certificados que permite verificar tanto al servidor como al cliente cuando se utiliza autenticación mutua.
Identidad criptográfica
El certificado permite vincular una identidad con una clave pública y utilizar esa relación durante el proceso de autenticación.
Autenticación mutua
El cliente puede verificar que está comunicándose con un servidor que posee una identidad certificada y el servidor puede autenticar al cliente.
Protección
TLS proporciona protección criptográfica durante el intercambio y permite derivar material de claves para la sesión EAP.
¿EAP-TLS garantiza por sí solo una red segura?
No. EAP-TLS proporciona un mecanismo robusto de autenticación, pero la seguridad depende también de la protección de las claves privadas, la infraestructura de certificados, las políticas y los dispositivos involucrados.
Certificados comprometidos
Un certificado o clave privada comprometida puede representar un riesgo para la identidad que representa.
PKI
Una infraestructura de certificados mal administrada puede generar problemas de confianza, renovación, revocación o distribución.
Configuración
El Supplicant, Authenticator y servidor deben compartir una configuración compatible para que la autenticación pueda completarse correctamente.
¿Qué se necesita para implementar EAP-TLS?
Una implementación EAP-TLS requiere clientes compatibles, un Authenticator, un servidor de autenticación y una infraestructura adecuada de certificados.
Supplicant
El equipo cliente debe soportar EAP-TLS y disponer del certificado y la clave necesarios para su autenticación cuando corresponda.
Authenticator
El switch o punto de acceso debe soportar 802.1X y permitir el intercambio EAP correspondiente.
Servidor
Debe existir un servidor capaz de procesar EAP-TLS y validar los certificados presentados por las partes.
PKI
La organización debe gestionar correctamente la emisión, distribución, renovación y revocación de los certificados utilizados.
EAP-TLS: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| EAP-TLS | Método EAP basado en TLS. | Autenticación 802.1X. | Autenticar mediante certificados. |
| Certificado | Credencial digital vinculada a una clave pública. | Certificado X.509. | Representar y validar una identidad. |
| TLS | Protocolo criptográfico. | TLS 1.3. | Proteger el intercambio y establecer claves. |
| Supplicant | Cliente de autenticación. | Notebook empresarial. | Presentar credenciales y participar en EAP-TLS. |
| PKI | Infraestructura de clave pública. | Autoridad certificadora. | Gestionar certificados e identidades criptográficas. |
Guías relacionadas sobre autenticación y redes
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre EAP-TLS
EAP-TLS es un método de autenticación basado en EAP que utiliza TLS y certificados digitales para verificar identidades.
Sirve para autenticar usuarios o dispositivos mediante certificados digitales, especialmente en arquitecturas de acceso como 802.1X.
Sí. Los certificados digitales son una parte central de EAP-TLS y permiten autenticar las partes que participan en el proceso.
Sí. EAP-TLS admite autenticación mutua, por lo que el servidor puede autenticarse ante el cliente y el cliente puede autenticarse ante el servidor mediante certificados.
EAP-TLS puede utilizarse como método de autenticación dentro de arquitecturas IEEE 802.1X para controlar el acceso a redes cableadas e inalámbricas.
En arquitecturas 802.1X, RADIUS puede transportar los mensajes entre el Authenticator y el servidor de autenticación que procesa EAP-TLS.
EAP-TLS 1.3 es la utilización de EAP-TLS con TLS 1.3, definida por la especificación RFC 9190.
Sí. EAP-TLS puede utilizarse mediante 802.1X tanto en redes inalámbricas empresariales como en redes Ethernet cableadas.
¿Qué es PEAP?
Continúa aprendiendo sobre autenticación EAP y descubre cómo PEAP utiliza un canal protegido para transportar otro método de autenticación.
Ver guía →