Questão de Segurança da Informação — Tópicos Mesclados de Protocolos Seguros — VUNESP 2023

Protocolo EAP (Extensible Authentication Protocol)

Gabarito: letra D. O EAP é chamado de "extensível" porque foi projetado como um framework que suporta diversos métodos de autenticação — ou seja, a estrutura do protocolo permanece fixa, mas os mecanismos de autenticação que ele carrega podem ser plugados e substituídos conforme a necessidade. Essa é a essência do termo "extensível": a capacidade de incorporar novos métodos sem redesenhar o protocolo base.

O EAP (Extensible Authentication Protocol) nasceu como um protocolo de autenticação ponto a ponto, originalmente pensado para conexões PPP (Point-to-Point Protocol), e depois foi adotado em larga escala nas redes sem fio IEEE 802.11 (Wi-Fi) e em redes cabeadas IEEE 802.1X. A palavra-chave do nome — "extensível" — não se refere a onde ele roda, nem a quantos usuários atende, nem a quantos sistemas operacionais o implementam. Refere-se, precisamente, à sua arquitetura de métodos: o EAP define apenas o envelope de comunicação (como as mensagens de request/response são trocadas entre o suplicante e o autenticador), e delega a lógica de autenticação em si a métodos específicos, como EAP-TLS, EAP-TTLS, EAP-PEAP, EAP-MSCHAPv2, EAP-SIM, entre outros.

Para entender por que isso é "extensível", imagine um tomador de pedidos em um restaurante: o garçom (EAP) tem um papel fixo — anotar o pedido e levar à cozinha — mas o prato (método de autenticação) pode ser qualquer um do cardápio, e o cardápio pode crescer sem que o garçom precise ser treinado de novo. Da mesma forma, o EAP carrega o método de autenticação escolhido dentro de suas mensagens, e novos métodos podem ser definidos e adicionados ao protocolo sem alterar a estrutura básica de troca de mensagens. É exatamente essa separação entre o "transporte" (EAP) e o "conteúdo" (método) que torna o protocolo extensível.

Na prática, quando um cliente Wi-Fi tenta se autenticar em uma rede corporativa protegida por WPA2-Enterprise, o que acontece é: o cliente e o servidor RADIUS negociam qual método EAP usarão (por exemplo, EAP-PEAP com MSCHAPv2), e então o EAP encapsula as mensagens desse método dentro de seus próprios pacotes. Se amanhã surgir um novo método de autenticação mais seguro, ele pode ser implementado e usado com o mesmo EAP — sem precisar mudar o protocolo base. Essa é a razão pela qual o EAP sobreviveu por décadas e se tornou o padrão para autenticação em redes sem fio empresariais.

A pegadinha que a banca explora aqui é justamente a confusão entre "extensível" e outras características que o EAP possui, mas que não explicam o nome. O EAP realmente é usado em redes 802.11 e também em redes cabeadas 802.1X (contrariando a alternativa B), realmente roda em múltiplos sistemas operacionais (alternativa A), e realmente pode atender muitos usuários (alternativa E) — mas nenhuma dessas características é o que o termo "extensível" significa. A palavra "extensível" aponta para a capacidade de estender o protocolo com novos métodos de autenticação, e é essa a definição que a alternativa D captura com precisão.

Guarde o critério decisivo: "extensível" = capacidade de adicionar novos métodos de autenticação ao framework. É nesse ponto que as alternativas se dividem — as incorretas descrevem características verdadeiras do EAP, mas que não respondem à pergunta feita.

Alternativa A — ❌ Incorreta

Ser implementado em múltiplos sistemas operacionais é uma característica de praticamente qualquer protocolo de rede consolidado, mas não tem relação com o significado de "extensível". O termo se refere à arquitetura do protocolo, não à sua portabilidade entre plataformas. Um protocolo pode rodar em vários sistemas operacionais sem ser extensível, e vice-versa.

Alternativa B — ❌ Incorreta

O EAP é usado em redes sem fio 802.11 (WPA2-Enterprise, WPA3-Enterprise), mas a afirmação contém dois erros: primeiro, o EAP também pode ser usado em redes cabeadas — o padrão IEEE 802.1X define o uso do EAP sobre redes Ethernet (802.3) para autenticação de portas. Segundo, e mais importante, a capacidade de operar em diferentes variações do 802.11 não explica o termo "extensível". A banca mistura uma característica verdadeira (uso em redes sem fio) com uma falsa (não poder ser usado em redes cabeadas) para confundir o candidato.

Alternativa C — ❌ Incorreta

O EAP não atua em qualquer camada do modelo OSI. Ele é um protocolo de autenticação que opera tipicamente na camada de enlace (camada 2) — encapsulado diretamente em quadros 802.1X ou em PPP — ou, em algumas implementações, sobre UDP na camada de transporte (como no EAP sobre RADIUS). A afirmação de que pode atuar em "qualquer camada" é uma generalização incorreta e não tem relação com o significado de "extensível".

Alternativa D — ✅ Correta ⟵ GABARITO

Esta é a definição precisa do termo "extensível" no EAP. O protocolo foi projetado como um framework de autenticação que suporta múltiplos métodos (EAP-TLS, EAP-TTLS, EAP-PEAP, EAP-MSCHAPv2, EAP-SIM, etc.), permitindo que novos métodos sejam adicionados sem alterar a estrutura base do protocolo. A palavra "extensível" refere-se exatamente a essa capacidade de incorporar e suportar diversos métodos de autenticação.

Alternativa E — ❌ Incorreta

Suportar um grande número de usuários simultâneos é uma característica de escalabilidade, que depende da infraestrutura (servidores RADIUS, capacidade de processamento), não do protocolo em si. O EAP não define limites de usuários, e essa característica não tem relação com o significado de "extensível". A banca usa uma característica genérica de sistemas de rede para desviar a atenção do conceito central.

Gabarito: letra D