Beveiligde EAP (PEAP)-ondersteuning toegevoegd aan Windows XP SP1 en Windows Server 2003

Artikel ID: 325725 - Bekijk de producten waarop dit artikel van toepassing is.

Samenvatting

RFC 2284 is een EAP (Extensible Authentication Protocol) dat ondersteuning biedt voor meerdere verificatiemethoden. Hoewel EAP is ontwikkeld voor gebruik met PPP (Point-to-Point Protocol), wordt het ook gebruikt met IEEE 802.1x-netwerkpoortverificatie.

Er is een aantal problemen ontdekt in EAP sinds dit wordt gebruikt. Het gaat om de volgende problemen:

Gebrek aan beveiliging van de gebruikersidentiteit of de EAP-onderhandeling.
Geen standaardmethode voor sleuteluitwisseling.
Geen ingebouwde ondersteuning voor fragmentatie en samenvoegen.
Gebrek aan ondersteuning voor snel opnieuw verbinding maken.

Beveiligde EAP (PEAP) lost deze problemen op door het EAP-protocol te wikkelen in TLS (Transport Layer Security). Elke EAP-methode die wordt uitgevoerd in PEAP bevat ingebouwde ondersteuning voor sleuteluitwisseling, sessievoorzetting en fragmentatie en samenvoegen.

Meer informatie

PEAP met MS-CHAP v2 wordt geleverd met Windows XP Service Pack 1 (SP1) als deel van verbeterde EAP- en IEEE 802.1x-ondersteuning. Hierdoor kunnen draadloze clients van Windows XP PEAP gebruiken met MS-CHAP v2 voor veilige draadloze toegang met wachtwoorden in plaats van certificaten.

Het IAS-netwerkonderdeel (Internet Authentication Service) van Windows Server 2003 ondersteunt ook PEAP met MS-CHAP v2, waardoor een IAS-server draadloze clients kan verifi�ren die Windows XP SP1 gebruiken. IEEE 802.1x-verificatie met PEAP-ondersteuning is ook beschikbaar voor Windows 2000-clients en het IAS-onderdeel. Voor meer informatie over het toevoegen van IEEE 802.1x met PEAP-ondersteuning voor Windows 2000-clients en IAS-servers, klikt u het volgende artikelnummer in de Microsoft Knowledge Base:

313664

(http://support.microsoft.com/kb/313664/NL-NL/ )

802.1x-verificatie op computers met Windows 2000

Zie Q313664 voor meer informatie. Voor PEAP met MS-CHAP v2 zijn certificaten vereist op de IAS-servers maar niet op de draadloze clients. Op IAS-servers moet een certificaat zijn ge�nstalleerd in het certificaatarchief van de lokale computer. In plaats van een infrastructuur van openbare sleutels (PKI) uit te voeren, kunt u losse certificaten kopen van een certificeringsinstantie van derden om deze te installeren op de IAS-servers. Het basiscertificaat van de certificeringsinstantie die de IAS-servercertificaten uitgeeft moet op elke draadloze client zijn ge�nstalleerd als draadloze clients de certificaatketen van de IAS-server willen verifi�ren.

Windows XP bevat de basiscertificaten van veel andere certificeringsinstanties. Als IAS-servercertificaten worden gekocht bij een certificeringsinstantie van derden die overeenkomt met een opgenomen basiscertificaat, is er geen extra clientconfiguratie vereist. Als u IAS-servercertificaten bij een certificeringsinstantie van derden koopt waarvoor Windows XP geen overeenkomstig basiscertificaat bevat, moet u het basiscertificaat op elke draadloze client installeren.