無線LANの暗号化と認証

無線LANの暗号化と認証は、無線区間の通信を盗聴から守る暗号化と、接続しようとする利用者や端末が正規であるかを確かめる認証を組み合わせて実現する仕組みである。企業の無線LANでは、利用者ごとに認証を行い、その結果に基づいて通信用の鍵を動的に配布する方式が中心になる。以下では、認証の枠組み、EAP方式の違い、企業向け規格の位置づけ、試験で混同されやすい用語の順に整理する。

認証の枠組みとIEEE 802.1X

IEEE 802.1Xは、ネットワークへの接続時に利用者や端末を認証し、認証に成功した場合だけ通信を許可するポートベースのアクセス制御の規格である。無線LANでは、接続を要求する端末をサプリカント、接続を受け付けるアクセスポイントをオーセンティケータと呼び、アクセスポイントは端末と認証サーバの間で認証のやり取りを中継する。

認証が完了するまで、接続を要求する端末は認証に必要な通信以外を流せない。この仕組みにより、認証に失敗した端末が無線LANの内部ネットワークへ入り込むことを防げる。

認証サーバには一般にRADIUSサーバが用いられ、アクセスポイントはRADIUSクライアントとして認証情報をサーバへ転送する。判定をサーバに集中させるため、アクセスポイントごとに利用者情報を個別に持つ必要がなくなる。

RADIUSは、リモートアクセスの環境で認証、認可、アカウンティングの情報をやり取りするプロトコルである。

EAP方式の違いとクライアント証明書

EAPは認証の方式を差し替えられるようにした枠組みであり、それ自体が通信を暗号化する共通鍵を定めるものではない。

EAP方式を選ぶときは、クライアント証明書を端末に配布して管理できるかが大きな判断材料になる。EAP-TLSはTLSによる相互認証を行い、サーバ側だけでなくクライアント側にも証明書が必要である。 証明書は発行や失効の管理が必要になるため、端末の台数が多い環境では運用の負担も考慮しなければならない。