EAP - Apa yang berubah di Windows 11

Windows 11 mendukung WPA3-Enterprise, standar keamanan Wi-Fi yang menentukan serangkaian persyaratan sekeliling validasi sertifikat server untuk autentikasi EAP. Windows 11 juga mendukung TLS 1.3 secara default. Artikel ini merinci perubahan perilaku EAP di Windows 11 karena fitur-fitur ini.

Perilaku validasi sertifikat server yang diperbarui di Windows 11

Dalam rilis Windows sebelumnya, termasuk Windows 10, logika validasi sertifikat server bervariasi di antara metode EAP. Di Windows 11, kami telah menyesuaikan semua metode EAP agar bereaksi dengan cara yang konsisten dan dapat diprediksi, yang juga konsisten dengan spesifikasi WPA3-Enterprise. Perilaku baru ini berlaku untuk autentikasi EAP apa pun menggunakan metode EAP pihak pertama yang dikirim dengan Windows, termasuk skenario Wi-Fi, Ethernet, dan VPN.

Windows akan mempercayai sertifikat server jika salah satu kondisi berikut terpenuhi:

• Sidik jari sertifikat server telah ditambahkan ke profil.

  Note

  Jika pengguna tersambung tanpa profil yang telah dikonfigurasi sebelumnya atau jika permintaan pengguna untuk validasi server diaktifkan di profil, sidik jari digital akan secara otomatis ditambahkan ke profil jika pengguna menerima server melalui prompt antarmuka pengguna.

• Semua kondisi berikut terpenuhi:
  1. Rantai sertifikat server dipercaya oleh komputer atau pengguna.
     • Kepercayaan ini didasarkan pada sertifikat akar yang ada di komputer atau penyimpanan akar tepercaya pengguna, tergantung pada OneX authMode.
  2. Sidik jari sertifikat akar tepercaya telah ditambahkan ke profil.
  3. Jika validasi nama server diaktifkan (disarankan), nama cocok dengan apa yang ditentukan dalam profil.
     • Untuk informasi selengkapnya, lihat Validasi server untuk informasi selengkapnya tentang mengonfigurasi validasi nama server di profil.

Potensi masalah peningkatan dari Windows 10 ke Windows 11

Di Windows 10, dalam keadaan tertentu, autentikasi PEAP dan EAP-TLS dapat berhasil memvalidasi server hanya berdasarkan keberadaan sertifikat akar tepercaya di penyimpanan akar tepercaya Windows. Jika Anda mengamati bahwa autentikasi EAP secara konsisten gagal setelah memutakhirkan ke Windows 11, periksa profil koneksi untuk memastikan mereka mematuhi persyaratan baru untuk perilaku yang dijelaskan sebelumnya.

Dalam kebanyakan kasus, menentukan sidik jari sertifikat akar tepercaya di profil sudah cukup untuk mengatasi masalah, dengan catatan sertifikat akar sudah ada di penyimpanan akar tepercaya.

Hal lain yang perlu diperhatikan adalah bahwa pencocokan nama server peka huruf besar/kecil di Windows 11 versi 21H2 (nomor build 22000). Pencocokan nama server telah disesuaikan kembali agar tidak membedakan huruf besar dan kecil di Windows 11 versi 22H2 (nomor build 22621). Jika Anda menggunakan validasi nama server, pastikan bahwa nama yang ditentukan dalam profil cocok dengan nama server dengan tepat atau tingkatkan ke Windows 11 versi 22H2 atau yang lebih baru.

Sertifikat kartubebas

Di Windows 11, Windows tidak lagi langsung menolak sertifikat server yang berisi wildcard (*) pada Nama Umum (CN) sertifikat. Namun, disarankan agar nama DNS di bidang ekstensi Nama Alternatif Subjek (SubjectAltName/SAN) digunakan, karena Windows akan mengabaikan komponen CN saat memeriksa kecocokan DNS jika SAN berisi pilihan nama DNS. Nama DNS SubjectAltName mendukung karakter pengganti di Windows 11, seperti pada versi Windows sebelumnya.

Note

Semua kondisi yang dijelaskan di atas untuk mempercayai sertifikat server masih berlaku untuk sertifikat wildcard.

Kebijakan WPA3-Enterprise Trust Override Disable (TOD)

WPA3-Enterprise mengharuskan perangkat mempercayai sertifikat server - jika validasi server gagal, Windows tidak akan masuk ke fase 2 pertukaran EAP. Jika sertifikat server tidak tepercaya, pengguna akan diminta untuk menerima sertifikat server. Perilaku ini disebut Penggantian Pengguna atas Sertifikat Server (UOSC). Untuk menonaktifkan UOSC untuk komputer tanpa profil yang telah dikonfigurasi sebelumnya, Anda dapat mengatur kebijakan Trust Override Disable (TOD) pada sertifikat server.

Kebijakan TOD ditunjukkan dalam ekstensi Kebijakan Sertifikat sertifikat server dengan menyertakan OID tertentu. Kebijakan berikut didukung:

• TOD-STRICT: Jika sertifikat server tidak tepercaya, pengguna tidak akan diminta untuk menerima sertifikat server. Autentikasi akan gagal. Kebijakan ini memiliki OID 1.3.6.1.4.1.40808.1.3.1.
• TOD-TOFU (Trust On First Use): Jika sertifikat server tidak tepercaya, pengguna akan diminta untuk menerima sertifikat server pada koneksi pertama saja. Jika pengguna menerima sertifikat server, sertifikat server akan ditambahkan ke profil, dan autentikasi berlanjut. Namun, koneksi berikutnya akan mengharuskan sertifikat server untuk diakui sebagai tepercaya dan tidak akan muncul permintaan lagi. Kebijakan ini memiliki OID 1.3.6.1.4.1.40808.1.3.2.

TLS 1.3

Windows 11 mengaktifkan TLS 1.3 secara default di seluruh sistem, dan sementara EAP-TLS menggunakan TLS 1.3, PEAP dan EAP-TTLS terus menggunakan TLS 1.2. Windows 11 versi 22H2 (nomor build 22621) memperbarui metode ini untuk menggunakan TLS 1.3 secara default.

Masalah umum dengan TLS 1.3 dan Windows 11

• NPS saat ini tidak mendukung TLS 1.3.
• Beberapa versi lama server RADIUS pihak ketiga mungkin salah mengiklankan dukungan TLS 1.3. Jika Anda mengalami masalah saat mengautentikasi EAP-TLS dengan TLS 1.3 dengan Windows 11 22H2, pastikan server RADIUS di-patch dan diperbarui atau TLS 1.3 dinonaktifkan.
• Pemulihan sesi saat ini tidak didukung. Klien Windows akan selalu melakukan autentikasi penuh.