無線LANの認証・暗号化と移動通信

無線LANの認証・暗号化とは、無線区間に接続する端末を確認し、その通信を第三者に読み取られないようにする仕組みである。IEEE 802.1Xは、アクセスポイントを介して接続を要求する端末を認証する枠組みを定める規格であり、EAPを用いて認証情報をやり取りする。

原理と仕組み

IEEE 802.1Xはポートベースのネットワークアクセス制御を定め、認証が完了するまではポートを通じた通信を許可しない仕組みである。認証に関わる役割は三つに分かれる。認証を要求するクライアント側の装置やソフトウェアがサプリカントであり、認証の中継を担うのがオーセンティケータ、利用者の正当性を判定するのが認証サーバである。

無線LANでは、アクセスポイントがオーセンティケータとして動作し、RADIUSクライアントの機能をもつ構成が標準的である。 端末はサプリカントとして認証要求を行い、アクセスポイントが認証情報をRADIUSサーバへ中継する。RADIUSサーバの判定に基づいて、アクセスポイントが接続を許可または拒否する。

無線LANの通信方式として、IEEE 802.11は衝突を検出するCSMA/CDではなく、衝突を回避するCSMA/CAを用いる。無線では送信中に衝突を検出することが難しいため、送信前の回避が前提となる。

互いの電波が届かずキャリアを検出できない端末同士が、同じアクセスポイントには通信できる状況では、同時送信による衝突が起きやすくなる。これを隠れ端末問題と呼ぶ。

パスフレーズを入力せずに利用する公衆無線LANでは、通信の暗号化だけを行う仕様が必要になる。Enhanced OpenはRFC 8110に基づくOWEを用い、パスワードを入力させずに端末とアクセスポイント間の通信を暗号化する。 この仕様で新たに規定されたのは通信の暗号化であり、利用者の認証は行わない。

判断の基準と方式の選択

方式の選択は、利用者の認証をどこまで必要とするかで決まる。社内の無線LANのように利用者ごとの認証と通信の暗号化が必要な場合は、IEEE 802.1XとRADIUSを組み合わせるWPA2-EnterpriseやWPA3-Enterpriseが適する。これらはIEEE 802.1Xに基づく利用者認証を行い、認証に応じて動的に配布される鍵で無線通信を暗号化する方式である。

証明書で認証を行うのか、IDとパスワードで行うのかも判断の基準になる。EAP-TLSはディジタル証明書を用い、認証サーバとクライアントが相互に認証する方式である。 IDとパスワードだけによる利用者認証は、この相互認証とは別の方式である。