Не прошло и сотни лет как коллективно было принято решение что атака Evil Twin применительно к EAP-TLS требует, таки, вмешательства со стороны supplicant (со стороны клиента).
Что отключение проверки сертификата сервера - порочная практика.
Но на всякий случай оставили это как опцию.
Ладно хоть теперь можно однозначно задать принудительную проверку.
Я надеюсь в новые версии Android это втащат незамедлительно.