Аутентификация 802.1X (и последующее генерирование ключа WPA) включает три объекта: соискатель (клиент), аутентификатор (точка доступа) и сервер аутентификации.
Как сказал Zoredache, связь между клиентом и сервером аутентификации защищена криптографией с открытым ключом (по крайней мере, если вы используете EAP-TTLS или EAP-PEAP). Невозможно выдать себя за оригинальный сервер аутентификации.
Однако не существует прямой аутентификации AP (аутентификатор на языке 802.1X) для клиента (соискателя) или наоборот. Аутентификатор передает сообщения только между соискателем и сервером аутентификации; вся причудливая криптография с открытым ключом и взаимная аутентификация, предоставляемая некоторыми методами EAP, прозрачна для аутентификатора и поэтому теоретически может быть перехвачена и воспроизведена мошеннической точкой доступа (MITM).
В базовом стандарте 802.1X действительно нет защиты от мошеннических аутентификаторов, но 802.1X при использовании для «шифрования предприятия WPA» (EAP) обеспечивает дополнительную безопасность:
Ключ шифрования WPA (который, помимо прочего, обеспечивает взаимную аутентификацию между клиентом и точкой доступа - это то, что вы хотите защитить от мошеннических точек доступа!) Для соединения, генерируется не точкой доступа, а сервером аутентификации и является передается клиенту по защищенному внутреннему каналу EAP. Конечно, чтобы точка доступа (= authenticator) могла взаимодействовать с клиентом, она также должна знать о ключе, но она получает ключ от сервера аутентификации, а не от клиента.
В обычной конфигурации сервер не будет принимать запросы на аутентификацию от третьих лиц; обычно он связывается только с ограниченным набором аутентификаторов, и связь обычно шифруется (парным секретом RADIUS). Таким образом, чтобы MITM успешно имитировал подходящую точку доступа, злоумышленнику пришлось бы имитировать роль действительной точки доступа на сервере аутентификации.
Короче говоря, защита от мошеннических AP так же хороша, как аутентификация и шифрование между аутентификаторами (например, AP) и сервером аутентификации.
Если бы вам пришлось создать мошенническую точку доступа, вы могли бы действительно успешно передать аутентификацию 802.1X; однако вы не сможете прочитать трафик клиентов, поскольку он будет зашифрован неизвестным вам ключом WPA. Аналогично, все, что отправлено клиенту вашей мошеннической точкой доступа, будет отклонено клиентом, поскольку ключ WPA также используется для аутентификации сообщений.