IEEE 802.1X と EAP（EAP-TLS、PEAP）

IEEE 802.1XとEAPは、有線LANや無線LANで、認証に成功した端末だけをネットワークに接続させる仕組みです。

■ 試験で押さえるポイント

• IEEE 802.1Xでは、スイッチやアクセスポイントが、認証が済むまで端末の通信を止めます。

• EAP-TLSは、サーバと端末の両方に電子証明書を入れて相互に認証する方式です。

• PEAPは、サーバの証明書でTLSの通信路を作り、その内側で設定された方式により利用者等を認証します。IDとパスワードを用いる方式は代表例です。

■ 過去問での着眼点

EAP-TLSは証明書による相互認証、PEAPはTLSの内側で別の認証方式を使う構成です。実際の方式と証明書検証の設定を確認します。

例: 社員のPCに電子証明書を配布し、EAP-TLSで認証したPCだけを社内の無線LANに接続させます。

■ 認証主体と偽アクセスポイントへの対策

• supplicantは接続端末、authenticatorはスイッチやAP、認証サーバは認証を判断する側である。端末とAPのEAP交換を、APがRADIUSなどで認証サーバへ運ぶ。端末がRADIUSへ直接接続する意味ではない。

• EAP-TLSでは認証サーバの証明書と、端末・利用者に対応するクライアント証明書を検証する。端末が信頼するCAだけでなく、許可する認証サーバ名を確認しないと偽認証基盤へ接続する危険がある。

• PEAPの内側の認証方式は設定によって異なり、ID・パスワード方式は代表例である。サーバ証明書の検証を省略せず、方式・証明書・鍵保管・失効を組み合わせて管理する。

• 同じSSIDでも正規APとは限らない。RADIUSの成功と、想定した端末・AP・VLANへの接続をログでつなぎ、証明書更新や端末紛失後の失効も確認する。