¿Qué es EAP-TTLS?
EAP-TTLS es un método de autenticación EAP que utiliza una sesión TLS para crear un túnel protegido donde puede realizarse otra autenticación. Puede utilizarse en arquitecturas 802.1X y trabajar con servidores RADIUS para autenticar usuarios o dispositivos en redes empresariales.
¿Qué es EAP-TTLS?
EAP-TTLS significa Extensible Authentication Protocol-Tunneled Transport Layer Security y es un método EAP que crea un túnel TLS para proteger el intercambio posterior de autenticación.
Dentro del túnel puede utilizarse otro método, incluyendo mecanismos EAP o protocolos como PAP, CHAP, MS-CHAP y MS-CHAPv2. Esto permite separar la protección del canal del mecanismo utilizado para autenticar al usuario.
¿Cómo funciona EAP-TTLS?
EAP-TTLS divide la autenticación en dos grandes fases: una fase TLS inicial y una segunda fase en la que se transporta información dentro del túnel protegido.
Fase TLS
Primero se establece la sesión TLS y se autentica el servidor frente al cliente, pudiendo existir también autenticación mutua.
Túnel protegido
Después de completar el handshake, se dispone de un canal protegido que puede utilizarse para intercambiar información de autenticación.
Autenticación interna
Dentro del túnel puede ejecutarse un método EAP o un protocolo de autenticación compatible con la arquitectura.
EAP-TTLS protege la autenticación dentro de un túnel
Su funcionamiento permite crear primero una conexión TLS y utilizar posteriormente ese canal para transportar la autenticación interna.
Establece el túnel
El handshake TLS crea el canal protegido y permite autenticar al servidor frente al cliente.
Autenticación protegida
Dentro del túnel puede ejecutarse otro mecanismo de autenticación para comprobar la identidad del usuario o dispositivo.
Acceso controlado
EAP-TTLS puede formar parte de una arquitectura 802.1X donde el resultado de la autenticación determina el acceso a la red.
Principales componentes de EAP-TTLS
| Componente | Función | Ejemplo | Característica |
|---|---|---|---|
| EAP-TTLS | Establece un túnel TLS. | EAP-TTLSv0. | Protege una autenticación interna. |
| Supplicant | Participa como cliente. | Notebook empresarial. | Inicia el proceso de autenticación. |
| Authenticator | Intermedia y controla el acceso. | Switch o Access Point. | Puede transportar EAP hacia el servidor. |
| TTLS Server | Termina la sesión TLS. | Servidor de autenticación. | Procesa el túnel y la autenticación interna. |
| Método interno | Autentica dentro del túnel. | PAP o MS-CHAPv2. | Puede ser EAP o no EAP. |
¿Qué papel cumple TLS en EAP-TTLS?
TLS forma la primera capa del proceso EAP-TTLS. Durante el handshake se negocian los parámetros criptográficos y el servidor se autentica ante el cliente mediante los mecanismos definidos por TLS.
Certificado del servidor
El servidor normalmente utiliza un certificado para demostrar su identidad frente al cliente.
Negociación criptográfica
El handshake permite establecer los parámetros y secretos necesarios para proteger las comunicaciones posteriores.
Túnel
Después del handshake, TLS proporciona el canal protegido donde puede desarrollarse la fase de autenticación interna.
¿Cuáles son las fases de EAP-TTLS?
EAP-TTLSv0 describe una negociación dividida en una fase de handshake TLS y una fase de túnel TLS.
Fase 1: handshake
Se establece la sesión TLS y se autentica al servidor frente al cliente. También puede existir autenticación mutua según la configuración.
Fase 2: túnel
La capa TLS establecida se utiliza para transportar información dentro del túnel protegido.
Autenticación interna
En la segunda fase puede realizarse la autenticación del cliente mediante un mecanismo EAP o un protocolo como PAP, CHAP, MS-CHAP o MS-CHAPv2.
¿Qué métodos de autenticación puede utilizar EAP-TTLS?
Una de las características de EAP-TTLS es que permite transportar distintos mecanismos de autenticación dentro del túnel TLS.
PAP
Password Authentication Protocol puede utilizarse como mecanismo interno dentro del túnel EAP-TTLS.
CHAP
CHAP puede utilizarse como mecanismo de autenticación interno según las capacidades del servidor y del cliente.
MS-CHAP y MS-CHAPv2
EAP-TTLS puede transportar estos mecanismos dentro del túnel, permitiendo aprovechar infraestructuras existentes de autenticación.
¿Qué relación existe entre EAP-TTLS y RADIUS?
RADIUS puede actuar como protocolo de transporte entre el dispositivo de acceso y el servidor que procesa la autenticación EAP-TTLS.
Authenticator
El switch o punto de acceso recibe los mensajes EAP del cliente y puede enviarlos hacia el servidor mediante RADIUS.
Servidor TTLS
El servidor termina el túnel TLS y procesa la información encapsulada durante la fase interna.
Infraestructura AAA
EAP-TTLS puede integrarse con una infraestructura AAA existente que utilice RADIUS para transportar solicitudes de autenticación.
¿Qué relación existe entre EAP-TTLS y 802.1X?
EAP-TTLS puede utilizarse como método EAP dentro de una arquitectura IEEE 802.1X para autenticar usuarios o dispositivos antes de permitir el acceso normal a la red.
Supplicant
El cliente ejecuta EAP-TTLS y participa en el intercambio de autenticación con el servidor.
Authenticator
El switch o punto de acceso controla el acceso y transporta los mensajes entre el cliente y el servidor.
Servidor
El servidor procesa la sesión EAP-TTLS y devuelve el resultado de la autenticación al Authenticator.
¿Cómo protege EAP-TTLS la identidad del usuario?
EAP-TTLS permite transportar la autenticación interna dentro del túnel TLS, por lo que la información de identidad utilizada en esa fase puede mantenerse dentro del canal protegido.
Identidad externa
El proceso EAP puede utilizar una identidad externa durante la fase inicial antes de que se realice la autenticación interna.
Identidad interna
La identidad utilizada para la autenticación real puede transmitirse dentro del túnel TLS durante la segunda fase.
Protección
Esta separación puede ayudar a evitar que determinados datos de identidad y credenciales queden expuestos directamente en el intercambio externo.
¿Cuál es la diferencia entre EAP-TTLS y PEAP?
Ambos son métodos EAP que utilizan TLS para crear un túnel protegido, pero tienen diferencias en los mecanismos que pueden transportar dentro de ese túnel.
EAP-TTLS
Puede encapsular métodos EAP y protocolos de autenticación que no son EAP, como PAP, CHAP, MS-CHAP y MS-CHAPv2.
PEAP
PEAP encapsula EAP dentro de un túnel TLS y las implementaciones definen qué métodos EAP internos pueden utilizarse.
Arquitectura
Ambos pueden utilizarse en redes 802.1X y trabajar junto con servidores RADIUS, aunque sus métodos internos y detalles de implementación son diferentes.
| Característica | EAP-TTLS | PEAP |
|---|---|---|
| Túnel TLS | Sí. | Sí. |
| Método interno | EAP o protocolos no EAP. | EAP. |
| Ejemplo | PAP o MS-CHAPv2. | PEAP-MS-CHAPv2. |
| Uso | Redes empresariales y acceso basado en EAP. | Redes empresariales y acceso basado en EAP. |
¿EAP-TTLS puede utilizar TLS 1.3?
Sí. RFC 9427 actualiza los métodos EAP basados en TLS, incluyendo EAP-TTLS, para utilizar las funciones de derivación de claves necesarias con TLS 1.3.
Actualización
La especificación original de EAP-TTLS se diseñó alrededor de versiones anteriores de TLS. RFC 9427 define las modificaciones necesarias para los métodos EAP basados en TLS 1.3.
Implementación
El soporte efectivo depende de que el Supplicant y el servidor de autenticación implementen las versiones y extensiones correspondientes.
Compatibilidad
Antes de desplegar TLS 1.3 en una infraestructura EAP-TTLS deben comprobarse las capacidades de los clientes, servidores y dispositivos de acceso.
¿EAP-TTLS es seguro?
EAP-TTLS utiliza TLS para crear un canal protegido, pero la seguridad de una implementación depende de la versión utilizada, los métodos internos, la validación de certificados y la configuración del entorno.
Validación del servidor
El cliente debe validar correctamente la identidad del servidor durante el establecimiento de la sesión TLS.
Método interno
La protección del método interno depende del túnel TLS y de cómo se haya configurado la autenticación encapsulada.
Limitaciones de la especificación original
RFC 5281 documenta limitaciones de EAP-TTLSv0, entre ellas la ausencia de cryptographic binding entre la autenticación externa e interna. La propia RFC indica que existen extensiones destinadas a solucionar esta limitación.
¿Qué problemas pueden ocurrir con EAP-TTLS?
Los errores de EAP-TTLS pueden deberse a certificados, métodos internos, credenciales, configuración del cliente, servidor RADIUS o compatibilidad entre los componentes.
Certificado
Un certificado vencido, no confiable o configurado incorrectamente puede impedir que el cliente establezca correctamente el túnel TLS.
Método interno
El cliente y servidor deben utilizar un método interno compatible y correctamente configurado.
RADIUS
Problemas de conectividad o configuración entre el Authenticator y el servidor RADIUS también pueden impedir que el proceso finalice.
Credenciales
Cuando el método interno utiliza nombre de usuario y contraseña, credenciales incorrectas pueden producir un rechazo de la autenticación.
¿Para qué sirve EAP-TTLS en redes Wi-Fi?
EAP-TTLS puede utilizarse en redes Wi-Fi empresariales como método de autenticación dentro de una arquitectura 802.1X.
Acceso basado en identidad
Los usuarios pueden autenticarse mediante identidades individuales en lugar de depender únicamente de una clave Wi-Fi compartida.
Servidor RADIUS
El punto de acceso puede utilizar RADIUS para comunicarse con el servidor que procesa la autenticación EAP-TTLS.
Políticas
El resultado de la autenticación puede utilizarse junto con las políticas de acceso definidas para usuarios, dispositivos o grupos.
¿Qué se necesita para implementar EAP-TTLS?
Una implementación EAP-TTLS requiere clientes compatibles, un Authenticator, un servidor de autenticación y un método interno definido por la infraestructura.
Supplicant
El equipo cliente debe soportar EAP-TTLS y el método interno utilizado por la organización.
Authenticator
El switch o punto de acceso debe soportar 802.1X y poder transportar las comunicaciones necesarias hacia el servidor.
Servidor
El servidor debe ser capaz de procesar EAP-TTLS, terminar el túnel TLS y gestionar el método interno correspondiente.
Certificado
El servidor debe disponer de un certificado que los clientes puedan validar según la infraestructura de confianza configurada.
EAP-TTLS: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| EAP-TTLS | Método EAP basado en túnel TLS. | EAP-TTLSv0. | Proteger una autenticación interna. |
| TLS | Protocolo criptográfico. | TLS 1.3. | Establecer el canal protegido. |
| Método interno | Mecanismo de autenticación encapsulado. | PAP o MS-CHAPv2. | Autenticar al cliente dentro del túnel. |
| RADIUS | Protocolo AAA. | Servidor RADIUS. | Transportar solicitudes hacia el servidor. |
| 802.1X | Control de acceso basado en puertos. | Wi-Fi empresarial. | Controlar el acceso de clientes a la red. |
Guías relacionadas sobre autenticación y redes
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre EAP-TTLS
EAP-TTLS es un método EAP que utiliza una sesión TLS para crear un túnel protegido donde puede realizarse otra autenticación.
Sirve para proteger mediante TLS una autenticación interna y puede utilizarse en arquitecturas 802.1X para controlar el acceso a redes.
Puede transportar métodos EAP y mecanismos que no son EAP, como PAP, CHAP, MS-CHAP y MS-CHAPv2, dentro del túnel TLS.
Normalmente el servidor utiliza un certificado para autenticarse durante el establecimiento del túnel TLS. Una implementación que utilice un método interno basado en contraseña no necesita necesariamente un certificado de cliente.
EAP-TTLS puede utilizarse como método EAP dentro de una arquitectura 802.1X para autenticar usuarios o dispositivos antes de conceder acceso a la red.
RADIUS puede transportar las solicitudes entre el Authenticator y el servidor que procesa la autenticación EAP-TTLS.
Sí. RFC 9427 actualiza EAP-TTLS y otros métodos EAP basados en TLS para utilizar los mecanismos necesarios con TLS 1.3.
Ambos crean un túnel TLS, pero EAP-TTLS puede transportar métodos EAP y protocolos no EAP dentro del túnel, mientras PEAP encapsula EAP.
¿Qué es EAP-FAST?
Continúa aprendiendo sobre métodos EAP y descubre cómo EAP-FAST utiliza un túnel protegido para la autenticación de red.
Ver guía →