Apa itu Protected Extensible Authentication Protocol (PEAP)?
Protected Extensible Authentication Protocol (PEAP) adalah protokol keamanan yang umum digunakan untuk melindungi jaringan nirkabel. PEAP memperluas Extensible Authentication Protocol (EAP) dengan cara membungkus koneksi EAP di dalam sebuah tunnel Transport Layer Security (TLS). PEAP dirancang untuk menyediakan autentikasi pada jaringan lokal nirkabel 802.11 (WLAN) agar lebih aman dibanding hanya menggunakan EAP.
EAP awalnya dikembangkan untuk jaringan kabel dengan dukungan koneksi point-to-point, di mana keamanan fisik biasanya diasumsikan sudah cukup. Belakangan, EAP diadopsi untuk autentikasi berbasis port IEEE 802.1X. Namun, kemudian ditemukan beberapa kelemahan, seperti tidak adanya proteksi integritas per-paket, tidak ada mekanisme standar untuk pertukaran kunci, serta tidak mendukung fast reconnect, fragmentasi dan reassembly, maupun acknowledgment untuk sukses/gagal autentikasi.
PEAP mengatasi kelemahan EAP dengan cara membungkus sesi EAP di dalam channel TLS. Berdasarkan draft awal PEAP, encapsulation ini memungkinkan proteksi terhadap hal-hal berikut:
- Identitas user dan proses negosiasi.
- Header EAP, metode autentikasi, dan urutan metode.
- Notifikasi, acknowledgment, dan pertukaran hasil.
- Pertukaran parameter antara client dan server.
Selain itu, PEAP juga menyediakan autentikasi server, mekanisme standar untuk key exchange, key derivation, dan manajemen kunci. PEAP juga mendukung session resumption, fragmentasi dan reassembly, serta reauthentication cepat ketika user berpindah antar access point.
PEAP melindungi kredensial client dengan cara mengenkripsi proses pertukaran identitas di dalam sesi TLS. Mekanisme ini membantu mencegah dictionary attack dengan cara melindungi metode EAP yang dipakai dalam proses autentikasi.
Proteksi ini juga mencakup penghentian percakapan EAP, yang dapat mengurangi risiko denial-of-service. Selain itu, PEAP memanfaatkan metode key derivation bawaan TLS, yang menghasilkan key material yang dibutuhkan oleh metode EAP di dalam TLS tunnel. Dengan begitu, PEAP menghilangkan kebutuhan untuk membangun hierarki kunci baru seperti yang dibutuhkan EAP secara mandiri.
Bagaimana cara kerja PEAP?
Saat proses PEAP dimulai, EAP server dan EAP peer (client) melakukan komunikasi dan menyepakati penggunaan PEAP. Setelah itu, EAP server berperan sebagai PEAP server, sedangkan EAP client berperan sebagai PEAP peer. Komunikasi ini berlangsung dalam dua fase:
- Fase 1. Pada fase ini, PEAP server diautentikasi dan sebuah sesi TLS dibangun antara server dan PEAP peer. Komunikasi biasanya dimulai dengan pertukaran identitas, di mana authenticator mengirim request/identity packet ke client, lalu client merespons dengan response/identity packet. Server dan peer saling bertukar pesan TLS dengan meletakkan record TLS ke dalam payload pesan.
- Fase 2. Fase ini berjalan di dalam sesi TLS, di mana percakapan EAP lengkap dilakukan. Percakapan hanya bisa berlangsung jika sesi TLS di fase pertama berhasil dibangun. Pada fase ini, PEAP server melakukan autentikasi terhadap PEAP peer di dalam sesi TLS, sehingga data autentikasi lebih terlindungi. Dalam proses ini, server dan client juga menyepakati inner EAP method yang akan dipakai. Setelah autentikasi selesai, fase kedua berakhir dan sesi PEAP ditutup.
Di fase kedua, PEAP server mengeksekusi inner EAP method yang sudah disepakati. Inner method inilah yang menjalankan proses autentikasi sebenarnya di dalam sesi TLS. PEAP mendukung berbagai inner method, namun yang paling umum digunakan adalah EAP Microsoft Challenge Handshake Authentication Protocol versi 2 (EAP-MSCHAPv2).
EAP-MSCHAPv2 adalah metode EAP buatan Microsoft yang membungkus MSCHAPv2, yaitu protokol autentikasi berbasis username dan password. Sistem operasi Windows menyediakan dukungan bawaan untuk EAP-MSCHAPv2, bersama dengan metode EAP lain. Jika MSCHAPv2 digunakan sebagai inner method dalam komunikasi PEAP, biasanya disebut sebagai PEAP-MSCHAPv2.
PEAP sering dibandingkan dengan EAP-TLS, sebuah variasi EAP yang menggunakan autentikasi berbasis sertifikat alih-alih password seperti PEAP. Autentikasi berbasis sertifikat umumnya dianggap lebih aman dibanding berbasis password, karena password bisa hilang, dicuri, dibagi, atau disadap, sehingga membahayakan jaringan perusahaan. Namun, sistem berbasis sertifikat juga memiliki tantangan tersendiri, seperti implementasi yang lebih sulit dan mahal, terutama jika harus mendukung banyak client. Karena alasan inilah, banyak organisasi tetap menggunakan PEAP.