Главное, что при evil twin именно отсутствие проверки сертификата клиента даёт дыры, а не сам протокол. Можно выстроить крутую инфраструктуру, но если на клиенте профили криво выставлены — вся защита коту под хвост. Особенно кайф дают старые Андроиды, там вообще пользователи сами соглашаются на что попало. Проверяйте CA-сертификаты на клиенте обязательно, иначе ловить credentials — почти как брать конфету у ребёнка.