RFC 3748 – Extensible Authentication Protocol (EAP)

RFC 3748 definiert das Extensible Authentication Protocol (EAP) als ein Authentifizierungs-Framework, das die Verwendung mehrerer unterschiedlicher Authentifizierungsverfahren (Methods) unterstützt. EAP operiert typischerweise direkt auf Sicherungsschicht-Protokollen wie PPP (Point-to-Point Protocol) oder IEEE 802, ohne auf IP angewiesen zu sein. Das Protokoll übernimmt die Duplikaterkennung und Wiederholung von Paketen, setzt jedoch auf die Reihenfolgegarantien der darunterliegenden Schicht. Fragmentierung wird nicht durch EAP selbst, sondern nur durch einzelne Authentifizierungsverfahren bereitgestellt.

Der Kern des Protokolls besteht aus einem Austausch von Request- und Response-Paketen zwischen einem Authentifikator und einem Peer. Der Authentifikator sendet Requests, auf die der Peer mit Responses antwortet. Die Kommunikation endet mit einem Success- oder Failure-Paket. Ein zentrales Element ist die Aushandlung des konkreten Authentifizierungsverfahrens: Der Peer kann über einen Nak-Type (5.3) ein von ihm unterstütztes Verfahren vorschlagen, während initiale Verfahren wie Identity (5.1), MD5-Challenge (5.4), OTP (5.5) und GTC (5.6) standardisiert sind. EAP erlaubt zudem den Einsatz eines Backend-Authentifizierungsservers, sodass der Authentifikator als reiner Durchleiter (Pass-Through) agieren kann, ohne jedes Verfahren selbst implementieren zu müssen.

Historisch löste RFC 3748 den Vorgänger RFC 2284 ab und etablierte EAP als grundlegenden Standard für flexible Netzwerkauthentifizierung. Es ist besonders bedeutend für den Einsatz in IEEE-802.1X (Port-Based Network Access Control) und drahtlosen Netzwerken nach IEEE 802.11i, wo es als Rahmen für Verfahren wie EAP-TLS oder EAP-PEAP dient. Auch heute noch ist es die Grundlage vieler AAA-Implementierungen, etwa mit RADIUS, und ermöglicht eine klare Trennung zwischen Authentifikator und Authentifizierungsserver, was Sicherheit und Erweiterbarkeit verbessert.