企業無線の認証経路

社員アリスのWS-41が企業SSID CorpNetへ接続します。正規APに似せたEvil Twinも同じSSIDを広告しているとき、WPA2/WPA3、PSK/Enterprise、802.1X、EAP-TLSのどの検証が接続先を決めるのでしょうか。接続ログとRADIUS認証の境界を一つの事案で読みます。

読む順序は、用語と配置→正常な処理→異常ログ→調査と対策→復旧→演習です。接続・検知・遮断・被害を別々の事実として扱います。以下の構成、時刻、アドレス、ログ、設定値は教材用の架空例です。

1. 用語と役割を構成に結び付ける

用語	この事例での意味と限界
無線LAN/SSID/BSSID	SSIDはネットワーク名、BSSIDはAPの無線インターフェース識別子。どちらも見た目だけで正規APの証明にはならない。
WPA2-Personal/PSK	共有パスフレーズを使う方式。全員で同じ秘密を持つと個人ごとの失効が難しい。弱いパスフレーズは盗聴したハンドシェイクから推測され得る。
WPA3-Personal/SAE	パスワード認証付き鍵交換SAEを使う。WPA2-PSKよりオフライン辞書攻撃への耐性を高めるが、弱いパスワードや偽サイト誘導を無害にしない。
Enterprise/802.1X	端末supplicant、AP/authenticator、認証サーバ（多くはRADIUS）の三者でEAP認証を行う。WPA2/WPA3のEnterpriseで使う。
EAP-TLS	端末と認証サーバが証明書を用いて相互に認証するEAP方式。端末はサーバ証明書の信頼先と名前を検証する。
不正AP/Evil Twin	許可されないAP、または正規SSIDを模倣するAP。無線信号・SSIDだけで信頼せず、認証方式とサーバ検証を確認する。
PMF	Protected Management Frames。一部の管理フレームを保護する。未認証のビーコンなど全ての無線フレームを保護するわけではない。

2. 構成と信頼境界

CorpNetはWPA3-Enterpriseの802.1X/EAP-TLSを使います。WS-41には企業CAと端末証明書を配り、正規AP AP-1は認証要求をRADIUS-1へ転送します。不正AP AP-Xは同じCorpNetを広告します。ゲスト用GuestNetは別SSID・別VLANで、内部APP-1へ直接接続させません。

企業無線の認証経路

APは認証を仲介し、端末はRADIUS側の証明書を検証する。

図のWS-41とRADIUS-1の矢印はAPがEAPを運ぶ論理的な認証交換です。WS-41がRADIUS-1へ無線で直接送るわけではありません。サーバ証明書を正しく検証して初めて、Evil Twinの偽認証基盤を拒否できます。

3. 正常な処理を順に追う

WS-41がCorpNetのSSID、選択されたWPA3-Enterprise方式、BSSID、チャネルを認識する。SSID一致だけでは正規APと決めない。
AP-1が802.1XのauthenticatorとしてEAPをRADIUS-1へ中継する。端末はRADIUS-1の証明書のCAと名前を確認する。
EAP-TLSで端末証明書も検証され、RADIUS-1が許可VLAN・ポリシーをAPへ渡す。
接続後の暗号鍵が確立し、WS-41は割り当てられたVLANでIP設定を取得し、アプリ側の認証を別に受ける。

WPA3という表示だけでEAP-TLSが動いているとは限りません。PersonalのSAEとEnterpriseの802.1Xは別です。WPA2-EnterpriseでもEAP-TLSは利用できます。実際のAKM、EAP方式、サーバ証明書検証結果を確認します。

4. 設定値・ログの読み方

項目	値の意味と判断の限界
ssid/bssid/channel	SSIDとAP識別子・チャネル。BSSIDは偽装可能なので単独では信頼根拠にならない。
akm/cipher	PSK、SAE、802.1Xなどの鍵管理方式と暗号方式。移行モードでは実際に合意した方式を見る。
eap_method	EAP-TLSかパスワード系EAPか。リスクと調査対象が異なる。
radius_server/cert	端末が検証した認証サーバ証明書の名前とCA。検証を無効化すると偽サーバを受け入れ得る。
vlan/result	認証後の割当と通信結果。RADIUS acceptでもDHCP失敗やACL拒否があり得る。

以下の架空ログでは、AP-Xへ接続を試みたWS-41が偽RADIUS証明書を拒否し、その後AP-1へ正常接続します。

text

16:00:00 client=WS-41 ssid=CorpNet bssid=02:00:00:00:aa:66
  eap=EAP-TLS radius_cert=untrusted action=reject
16:01:00 client=WS-41 ssid=CorpNet bssid=02:00:00:00:aa:01
  akm=802.1X eap=EAP-TLS radius_cert=ok
16:01:01 radius=RADIUS-1 client=WS-41 result=accept
  vlan=10 ap=AP-1

最初の`reject`はWS-41が偽の認証基盤へ接続しなかったことを示しますが、AP-Xを誰が設置したかは分かりません。次のacceptもAPP-1への業務アクセス許可ではなく、無線接続認証の結果です。

5. 攻撃・障害時の差分

異常・攻撃条件	観測、成立条件、対策の位置
Evil Twin	同じSSIDを広告し、端末を接続させる。EAPサーバ証明書の厳格な検証と管理端末の構成配布で防ぐ。
弱いPSK	共有パスフレーズを推測される。長くランダムな値、SAE移行、共有範囲縮小を検討。
移行モード	WPA2とWPA3の両対応で、端末が旧方式を選ぶ可能性。実際のAKMとPMFを監視し移行期限を決める。
不正APの内部接続	社内LANに勝手なAPがつながる。SWの802.1Xやポート管理、WIDSによる発見と現物確認が必要。
証明書検証無効	正規CAや名前を確認しなければ偽RADIUSへ誘導。EAP-TLSの端末秘密鍵は漏れなくても接続先信頼が壊れる。

PMFは一部の管理フレームへの偽装・切断攻撃を抑えますが、電波妨害や未認証の広告を全て防ぎません。Evil Twinを「SSIDが同じだから接続された」と断定せず、端末の証明書検証と接続ログを確認します。

6. 切り分けに必要な証拠

WS-41の接続先BSSID、AKM、EAP方式、RADIUS証明書の検証結果を保全する。
AP-1とRADIUS-1の認証時刻、端末証明書、割当VLANを照合する。
WIDSのAP-X観測だけでなく、社内有線ポートへ接続されているか現物・スイッチログで確認する。
誤接続した端末のDNS、HTTP、認証情報入力、業務アプリへの接続を調べる。

WIDSが同名SSIDを見つけても不正APとは限らず、近隣組織のAPかもしれません。RADIUS acceptは無線認証の成功であり、利用者本人がAPP-1へログインしたことではありません。

6.1 判断を誤りやすい境界と詳しい確認

確認点	具体的な判断
SSIDとBSSID	SSIDはネットワーク名で身元証明ではない。BSSIDは通常APの無線インターフェース識別子だが、偽装や近隣APの存在もあり、単独では正規性を証明しない。
WPA2-Personal	共有PSKを知る端末が接続する。弱いパスフレーズは取得されたハンドシェイクからオフライン推測され得る。退職者・委託先へ共有した鍵の更新が難しい。
WPA3-Personal	SAEはパスワードに基づく認証で、単純なPSKハンドシェイクのオフライン辞書攻撃への耐性を高める。弱いパスワードや端末側の不備を無視してよいわけではない。
Enterprise	802.1X/EAPで端末・利用者と認証サーバを結ぶ。EAP-TLSなら端末証明書とサーバ証明書を検証し、RADIUSが認証結果やVLAN等の属性を返す。
Evil Twin	偽APは同じSSIDを広告できる。Enterprise端末が偽RADIUSのサーバ証明書を検証しなければ、偽認証画面や危険なEAP方式へ誘導され得る。
PMF	Protected Management Framesは一部の管理フレームを保護する。電波妨害や未認証の広告を防ぐ機能ではない。端末が実際にPMFを使ったかを確認する。
接続後の分離	無線認証に成功しても、割当VLANとFW、APP-1側の認証・認可が別に必要。GuestNetから内部へ届かないことを実通信で確かめる。

EAP-TLSの証明書検証では、端末が信頼するCAだけでなく、接続するRADIUSサーバの名前、有効期限、用途、失効方針を確認します。『不明な証明書を承認して接続』を利用者に許すと、同名SSIDの偽APからの誘導に弱くなります。管理済み端末には正しいプロファイルを配布します。

不正AP調査では、WIDSのSSID/BSSID/電波強度を発見の手掛かりとし、有線スイッチのMAC・ポート情報と現物確認で設置場所を絞ります。同名SSIDを近隣企業が使う場合もあるため、検知だけで社内侵入を断定しません。端末が接続した場合は、DNSやWebの通信先、認証情報入力の有無を別に調べます。

WPA2/WPA3移行モードではSSIDがWPA3対応と表示されても、古い端末がWPA2で接続し得ます。APと端末の双方のAKMとPMFの合意値を確認します。移行期間を延ばすほど旧方式の残存範囲が広がるため、機器更新計画、旧PSKの廃止日、接続失敗時の問い合わせ手順を決めます。

7. 設定変更と例外運用

変更・例外	失敗しやすい点と確認
WPA3移行	古い端末の対応を調べ、移行モードの期間と旧PSKの廃止日を決める。実接続方式を監視。
証明書更新	RADIUS-1の新証明書のCA・名前を端末へ配布してから切替。失敗時のロールバックを準備。
端末紛失	端末証明書・アカウントを失効し、無線セッションとアプリセッションも確認する。
ゲスト網	GuestNetのVLANとFWで内部APP-1を拒否。SSID名だけを隔離とみなさない。

RADIUSサーバ証明書の検証を一時的に無効化して接続障害を隠すと、Evil Twinへの耐性を失います。原因のCA・名前・期限を直し、証明書検証を維持します。

8. 封じ込めと復旧条件

AP-XのBSSID、位置、電波情報、接続端末とスイッチポートを保全する。
社内接続の不正APなら有線ポートを隔離し、正規APと区別する。
誤接続端末の認証情報入力・セッション・通信先を調べ、必要な資格情報と証明書を失効する。
RADIUSサーバ証明書検証、WPA3/WPA2選択、PMF方針を端末で再確認する。
CorpNetへ正規接続でき、GuestNetから内部へ到達できず、不正APへ認証しないことを確認する。

AP-Xを撤去しても、既に盗まれた認証情報や業務セッションは残り得ます。無線接続とアプリ側の調査を分けます。

9. 科目B（午後）での解答手順

SSID、BSSID、AKM、EAP方式、RADIUS証明書、割当VLANを順番に読みます。PSK・SAE・802.1Xを混同せず、Evil Twinの成立条件と証拠を示します。

PersonalとEnterpriseの認証主体を分ける。
EAP-TLSのサーバ証明書検証を確認する。
無線接続成功と業務アプリ認証を分ける。

10. 短答演習

演習1：SSID

条件：同じCorpNetを広告するAP-X。質問：正規APと断定できるか。

解答：できない。認証と管理情報を確認。誤答の理由：SSIDを身元証明にしている。

演習2：SAE

条件：WPA3-Personalを使用。質問：PSK型と同じオフライン推測か。

解答：SAEは耐性を高める。誤答の理由：方式差を無視している。

演習3：EAP-TLS

条件：RADIUS証明書がuntrusted。質問：接続を続けるか。

解答：拒否し設定を調べる。誤答の理由：検証無効化で偽サーバを受け入れる。

演習4：移行モード

条件：SSIDはWPA3対応。質問：全端末がWPA3か。

解答：実際のAKMを確認する。誤答の理由：対応表示と合意方式を混同している。

演習5：RADIUS accept

条件：WS-41が認証成功。質問：APP-1も許可か。

解答：別のアプリ認証・認可が必要。誤答の理由：ネットワーク認証を業務認可と混同している。

演習6：不正AP

条件：WIDSが同名SSIDを検知。質問：社内設置と断定できるか。

解答：できない。位置と有線接続を確認。誤答の理由：近隣APの可能性を無視している。

11. 一次資料

NIST SP 800-153：無線LANの設計・監視

RFC 9190：EAP-TLS 1.3

Cisco：WPA3のSAE・Enterprise・PMF

無線LAN・WPA2/WPA3とEvil Twin