EAPとは？

EAPの意味

認証方式を差し替えられる汎用の認証フレームワーク。方式としてEAP-TLS、PEAP、EAP-TTLS、EAP-MD5などがある。LAN上ではEAPOLというカプセル化で運ばれる。

EAPの具体例

証明書運用ができる環境ではEAP-TLS、ID・パスワード運用を残したい環境ではPEAP（MSCHAPv2）を選ぶ。

EAPは試験でどう引っ掛けられる？

EAP自体は認証方式ではなく枠組みで、認証の中身はEAP-TLSなどが担う。EAP-TLSはクライアントにも証明書が要るが、PEAP／EAP-TTLSはサーバ証明書だけでトンネルを作りその中でID・パスワードを使う（クライアント証明書が要るかが分岐点）。運ぶ経路も、端末〜認証装置はEAPOL、認証装置〜認証サーバはRADIUSと区間で変わる。

EAPと関連する用語

• EAP-TLS
• IEEE 802.1X
• RADIUS

EAPが出た過去問

• 無線LANで使用される規格IEEE802.1Xが定めているものはどれか。

  正解：アクセスポイントがEAPを使用して、利用者を認証する枠組み

  要点：IEEE802.1XはEAPを用いた接続前認証の枠組み

  IEEE802.1Xは、LANポートや無線LANアクセスポイントに接続してきた端末を、認証が成功するまで通信させないようにするアクセス制御の枠組みである。認証にはEAPを用い、アクセスポイントは認証装置として、端末と背後のRADIUSサーバとの間で認証情報を中継する役割を担う。

  出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）

• 認証にクライアント証明書を用いるプロトコルはどれか。

  正解：EAP-TLS

  要点：EAP-TLSは証明書による相互認証を行う方式

  EAP-TLSは、サーバとクライアントの双方がディジタル証明書を提示して相互認証を行う方式である。パスワードを用いないため盗聴や辞書攻撃に強い反面、利用者ごとにクライアント証明書を発行・配布・管理する必要があり、運用の負担は大きい。

  出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問17（IPA）

• 利用者認証情報を管理するサーバ1台と複数のアクセスポイントで構成された無線LAN環境を実現したい。PCが無線LAN環境に接続するときの利用者認証とアクセス制御に…

  正解：アクセスポイントにはIEEE 802.1Xのオーセンティケータを実装し、かつ、RADIUSクライアントの機能をもたせる。

  要点：PC＝サプリカント、AP＝オーセンティケータ兼RADIUSクライアント

  IEEE802.1XとRADIUSを組み合わせる標準的な構成では、PCがサプリカント、アクセスポイントがオーセンティケータ、認証情報を持つサーバが認証サーバとなる。アクセスポイントは、PCとの間ではEAPをやり取りし、認証サーバに対してはRADIUSクライアントとして認証要求を中継する。

  出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）

• 無線LANで使用される規格IEEE 802.1Xが定めているものはどれか。

  正解：アクセスポイントがEAPを使用して、利用者を認証する枠組み

  要点：802.1XはEAPを使うポートベース認証の枠組み

  IEEE 802.1Xはポートベースのネットワークアクセス制御の規格で、認証が成功するまでそのポートでの通信を許さない仕組みを定める。無線LANではアクセスポイントがオーセンティケータとなり、端末（サプリカント）とRADIUSなどの認証サーバとの間でEAPのやり取りを中継する。認証方式そのものはEAP-TLSやPEAPなど個別に選べる。

  出典：令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）

• 認証にクライアント証明書を必要とするプロトコルはどれか。

  正解：EAP-TLS

  要点：クライアント証明書が必須なのはEAP-TLS

  EAP-TLSは、サーバとクライアントの双方がデジタル証明書を提示して相互に認証する方式で、クライアント証明書が必須である。パスワードを使わないため盗聴やリスト型攻撃に強い反面、利用者ごとに証明書を発行・配布・失効管理するPKIの運用が必要になる。他のEAP方式はサーバ証明書だけで済むものが多い。

  出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）