0Pricing
Cyber Security Academy · Lekcja

Firmowe sieci Wi-Fi: EAP i RADIUS

Skonfigurują Państwo WPA2-Enterprise z EAP-TLS, poznają uwierzytelnianie oparte na certyfikatach i zabezpieczą serwery RADIUS.

Firmowe sieci Wi-Fi: EAP i RADIUS to bezpłatna lekcja Cyber Security Academy na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Cyber Security Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Dlaczego firmowe sieci Wi-Fi?

WPA2-Personal używa wspólnego hasła — wszyscy znają ten sam sekret. WPA2/WPA3-Enterprise korzysta z 802.1X oraz indywidualnych danych uwierzytelniających lub certyfikatów, umożliwiając uwierzytelnianie poszczególnych użytkowników, unieważnianie dostępów i prowadzenie dzienników audytowych.

Struktura 802.1X

802.1X definiuje trzy role: suplikant (urządzenie klienta), uwierzytelniacz (AP/przełącznik) oraz serwer uwierzytelniania (RADIUS). AP przekazuje dane uwierzytelniające do RADIUS, sam ich nie znając.

# 802.1X flow:
# 1. Client connects to AP
# 2. AP blocks all traffic (uncontrolled port)
# 3. AP proxies EAP to RADIUS server
# 4. RADIUS authenticates client
# 5. RADIUS sends accept + session keys
# 6. AP opens controlled port for client

Porównanie metod EAP

Różne metody EAP zapewniają różne poziomy zabezpieczeń. EAP-TLS (certyfikaty) jest najbezpieczniejsza, a PEAP i EAP-TTLS są często używane z danymi uwierzytelniającymi opartymi na haśle, przesyłanymi wewnątrz tunelu TLS.

# EAP Methods (least to most secure):
# EAP-MD5: no server auth, vulnerable (avoid)
# PEAP: server cert + password in tunnel (common)
# EAP-TTLS: server cert + various inner methods
# EAP-TLS: mutual certificates (most secure)

Konfiguracja serwera RADIUS (FreeRADIUS)

FreeRADIUS to implementacja RADIUS o otwartym kodzie źródłowym. Należy skonfigurować klientów (punkty dostępowe), użytkowników (lub integrację z LDAP/AD) oraz certyfikaty. Większość wdrożeń firmowych integruje się z Active Directory za pośrednictwem PEAP-MSCHAPv2.

# Install FreeRADIUS
apt install freeradius

# Configure AP as client in:
# /etc/freeradius/3.0/clients.conf
client ap1 {
    ipaddr = 192.168.1.10
    secret = shared_secret_with_ap
    shortname = AP1
}

Centrum certyfikacji dla EAP-TLS

EAP-TLS wymaga infrastruktury PKI: centrum certyfikacji wydaje certyfikaty serwera (RADIUS) oraz certyfikaty klientów (urządzeń). Klienci weryfikują certyfikat serwera RADIUS, co zapobiega atakom nieautoryzowanych punktów dostępowych.

# Generate CA and server cert (simplified)
openssl req -new -x509 -keyout ca.key -out ca.pem -days 3650

# Generate RADIUS server cert
openssl req -new -key server.key -out server.csr
openssl x509 -req -in server.csr -CA ca.pem \
  -CAkey ca.key -out server.pem -days 365

Konfiguracja PEAP-MSCHAPv2

PEAP-MSCHAPv2 to najczęściej spotykana konfiguracja firmowej sieci Wi-Fi: serwer przedstawia certyfikat (tunel TLS), a następnie uwierzytelnia użytkownika za pomocą jego danych domenowych AD wewnątrz tunelu.

# FreeRADIUS eap.conf excerpt:
peap {
    default_eap_type = mschapv2
    copy_request_to_tunnel = no
    use_tunneled_reply = no
}

# Client validates server cert CN
# before submitting credentials

Integracja z kontrolerem sieci bezprzewodowej

Firmowe punkty dostępowe łączą się z kontrolerem sieci bezprzewodowej (Cisco WLC, Aruba, Ruckus), który obsługuje przekazywanie żądań do RADIUS, przypisywanie sieci VLAN poszczególnym użytkownikom lub grupom oraz centralne egzekwowanie zasad.

Ataki na PEAP: wykradanie danych uwierzytelniających

Jeśli klienci nie weryfikują certyfikatu serwera RADIUS, nieautoryzowany punkt dostępowy z certyfikatem samopodpisanym może wykradać dane domenowe. hostapd-wpe implementuje ten atak, pokazując, dlaczego weryfikacja certyfikatu jest obowiązkowa.

# hostapd-wpe: PEAP credential harvesting
# (authorized lab use only)
hostapd-wpe /etc/hostapd-wpe/hostapd-wpe.conf

# Defense: enforce server certificate validation
# and pin the CA cert on all clients

Dystrybucja certyfikatów klientów

Certyfikaty klientów należy wdrażać za pośrednictwem MDM (Microsoft Intune, Jamf), aby zapewnić ich automatyczną dystrybucję i odnawianie. Certyfikaty można unieważniać pojedynczo — w przeciwieństwie do wspólnych haseł unieważnienie jest natychmiastowe i dotyczy konkretnego certyfikatu.

Kontrola dostępu do sieci (NAC)

NAC rozszerza 802.1X o sprawdzanie stanu urządzenia: czy system operacyjny ma zainstalowane poprawki i czy działa program antywirusowy? NAC przyznaje różne poziomy dostępu do sieci na podstawie zgodności urządzenia z wymaganiami.

Monitorowanie i rejestrowanie

RADIUS rejestruje każde uwierzytelnienie: użytkownika, urządzenie, czas, wynik i przypisaną sieć VLAN. Należy zintegrować go z SIEM, aby wykrywać ataki brute force, nietypowe godziny logowania oraz przejęte dane uwierzytelniające używane z nieoczekiwanych lokalizacji.

Szybkie sprawdzenie

Która metoda EAP wykorzystuje wzajemne uwierzytelnianie certyfikatami, zapewniając najwyższy poziom bezpieczeństwa?

Podsumowanie: firmowe sieci Wi-Fi

WPA2/WPA3-Enterprise z 802.1X zapewnia uwierzytelnianie poszczególnych użytkowników, ścieżki audytowe i natychmiastowe unieważnianie dostępów. EAP-TLS z wzajemnym uwierzytelnianiem certyfikatami to złoty standard. Na klientach zawsze należy wymuszać weryfikację certyfikatu serwera, aby zapobiegać wykradaniu danych uwierzytelniających PEAP przez nieautoryzowane punkty dostępowe. RADIUS należy zintegrować z SIEM w celu ciągłego monitorowania zdarzeń uwierzytelniania.

Często zadawane pytania

Czy lekcja „Firmowe sieci Wi-Fi: EAP i RADIUS” jest bezpłatna?

Tak — pełny tekst „Firmowe sieci Wi-Fi: EAP i RADIUS” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Cyber Security Academy, przejdź na CoddyKit PRO. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Firmowe sieci Wi-Fi: EAP i RADIUS”?

Skonfigurują Państwo WPA2-Enterprise z EAP-TLS, poznają uwierzytelnianie oparte na certyfikatach i zabezpieczą serwery RADIUS. Ćwiczysz Cyber Security Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć Cyber Security Academy?

Nie wymagamy żadnego doświadczenia. Cyber Security Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.

Ile czasu zajmuje lekcja „Firmowe sieci Wi-Fi: EAP i RADIUS”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji Cyber Security Academy?

Tak. Każda lekcja Cyber Security Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

  1. Protokoły bezpieczeństwa 802.11: WEP, WPA2 i WPA3
  2. Przechwytywanie i łamanie uzgadniania WPA2
  3. Ataki Evil Twin i fałszywe captive portale
  4. Firmowe sieci Wi-Fi: EAP i RADIUS
← Powrót do Cyber Security Academy