ЭДАП — что это такое¶

ЭДАП (также встречается написание «ЕДАП», от англ. EAP — Extensible Authentication Protocol) — в русскоязычной технической среде распространённое сокращённое или искажённое написание аббревиатуры EAP, обозначающей расширяемый протокол аутентификации, применяемый в компьютерных сетях. Под этим термином чаще всего понимают семейство методов аутентификации, используемых в беспроводных сетях Wi-Fi (стандарты IEEE 802.11) и в проводных сетях (IEEE 802.1X). Поскольку единого устоявшегося термина «эдап» в официальной документации нет, в зависимости от контекста под ним могут подразумеваться как сам протокол EAP, так и конкретные его реализации — EAP-TLS, EAP-TTLS, PEAP, EAP-SIM и другие.

¶Происхождение и суть протокола

Протокол EAP был разработан в 1998 году и описан в документе RFC 2284, который позднее был заменён RFC 3748 (2004 год) и дополнен RFC 5247. Изначально он создавался как расширение для протокола PPP (Point-to-Point Protocol), чтобы обеспечить гибкую аутентификацию при подключении к сети. Название «Extensible» («расширяемый») отражает главную идею: EAP сам по себе не выполняет аутентификацию, а лишь предоставляет каркас, в который можно «встраивать» различные методы проверки подлинности.

Именно поэтому EAP называют не протоколом аутентификации в строгом смысле, а «протоколом для протоколов аутентификации». Он определяет формат обмена сообщениями между клиентом (supplicant), точкой доступа или коммутатором (authenticator) и сервером аутентификации (обычно RADIUS).

¶Как это работает

Схема работы EAP в сетях 802.1X включает три стороны:

• Клиент (supplicant) — устройство пользователя (ноутбук, смартфон), которое хочет подключиться к сети.
• Аутентификатор (authenticator) — точка доступа Wi-Fi или сетевой коммутатор, который контролирует доступ.
• Сервер аутентификации — как правило, сервер RADIUS, хранящий учётные данные.

Обмен сообщениями строится по схеме «запрос — ответ». Аутентификатор транслирует сообщения между клиентом и сервером, не вникая в их содержание. В зависимости от выбранного метода проверка может выполняться с помощью логина и пароля, цифрового сертификата, SIM-карты или биометрических данных.

¶Основные методы EAP

Существует несколько десятков методов EAP; наиболее распространённые перечислены в таблице.

¶Применение

Основная сфера применения — корпоративные беспроводные сети. В организациях, где требуется разграничение доступа сотрудников и гостей, EAP в сочетании с 802.1X позволяет выдавать доступ только прошедшим проверку устройствам. Также протокол используется в сетях мобильной связи (EAP-AKA), в VPN-решениях и в системах сетевого доступа (NAC).

В домашних сетях EAP применяется реже: там обычно достаточно WPA2/WPA3-Personal с общим паролем. Однако режим WPA-Enterprise, построенный на EAP, доступен и в потребительских роутерах.

¶Безопасность

Защищённость EAP зависит от выбранного метода. Наиболее уязвимым считается EAP-MD5, не обеспечивающий взаимной аутентификации и защиты от атак «человек посередине». Наиболее стойкими признаны EAP-TLS и его производные, использующие сертификаты и шифрованные туннели. Отдельную угрозу представляет создание злоумышленниками поддельных точек доступа, имитирующих легитимную сеть, — для противодействия применяется проверка сертификата сервера на стороне клиента.

¶Терминологическая путаница

Написание «эдап» не является нормативным. В русскоязычных источниках встречаются варианты «EAP», «ЕАП», реже — транслитерации вроде «эдап». Такое разнообразие связано с тем, что аббревиатура читается по-разному: по буквам (и-эй-пи) или как слово. В официальной технической документации, стандартах IEEE и RFC используется исключительно латинское написание EAP, поэтому при поиске информации по запросу «эдап» корректнее ориентироваться на источники, посвящённые EAP и 802.1X.