EAP-TLS
De veiligste EAP-methode: wederzijdse certificaatauthenticatie, zonder wachtwoorden. Vaak verplicht voor gereguleerde netwerken (overheid, zorg).
RFC 5216. Zowel client als server presenteren X.509-certificaten. Phishing is daarmee uitgesloten, want er is geen wachtwoord om te onderscheppen. Prijs: er moet een PKI bestaan en elk apparaat heeft een eigen certificaat nodig via Group Policy, MDM of Intune. Praktische uitdaging: intrekking (OCSP/CRL) binnen de RADIUS-keten. Nieuwere variant: EAP-TEAP combineert een TLS-tunnel met een innerlijke methode voor eenvoudigere onboarding.