IEEE 802.1Xとは？

IEEE 802.1Xの意味

LANのポート単位で利用者・端末を認証し、認証成功まで通信を遮断する枠組み。サプリカント（端末）、オーセンティケータ（スイッチやAP）、認証サーバ（RADIUS）の3者で構成され、認証方式にはEAPを用いる。

IEEE 802.1Xの具体例

社内の有線LANポートに私物PCをつないでも、802.1X認証を通らなければVLANに接続できない、あるいは検疫用VLANへ隔離される。

IEEE 802.1Xは試験でどう引っ掛けられる？

802.11（無線LAN）や802.1Q（VLANタグ）と番号を取り違えやすい。802.1Xは有線・無線を問わないポート認証の枠組みで、無線専用ではない。またMACアドレスフィルタリングとは別物で、認証が通るまでEAP以外のフレームを通さない点が異なる。EAP-TLSはクライアント証明書が必須、PEAP／EAP-TTLSはサーバ証明書だけで内側にID・パスワードを通す、という区別も問われる。

IEEE 802.1Xと関連する用語

• EAP-TLS
• RADIUS
• 検疫ネットワーク

IEEE 802.1Xが出た過去問

• IEEE 802.1Xで使われるEAP-TLSによって実現される認証はどれか。

  正解：ディジタル証明書による認証サーバとクライアントの相互認証

  要点：EAP-TLSは証明書によるサーバと端末の相互認証

  EAP-TLSは、サーバとクライアントの双方がディジタル証明書を提示し合って相互に認証する方式です。利用者にパスワードを持たせず、クライアント証明書で本人性を確認するため強固ですが、全端末への証明書配布が必要になります。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）

• 無線LANの情報セキュリティ対策に関する記述のうち，適切なものはどれか。

  正解：WPA2-Enterpriseでは，IEEE 802.1Xの規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実現できる。

  要点：WPA2-Enterpriseは802.1X認証と動的鍵配布を行う

  WPA2-Enterpriseは、IEEE 802.1XとEAPによる利用者認証をRADIUSサーバと連携して行い、認証成功ごとに利用者・セッションごとの暗号鍵を動的に配布する方式である。事前共有鍵を全端末で共有するPersonalモードと異なり、鍵の使い回しがなく、端末単位で接続許可を管理できる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問17（IPA）

• 利用者認証情報を管理するサーバ1台と複数のアクセスポイントで構成された無線LAN環境を実現したい。PCが無線LAN環境に接続するときの利用者認証とアクセス制御に…

  正解：アクセスポイントにはIEEE 802.1Xのオーセンティケータを実装し，かつ，RADIUSクライアントの機能をもたせる。

  要点：APがオーセンティケータ兼RADIUSクライアントになる

  IEEE 802.1XではPCがサプリカント、アクセスポイントがオーセンティケータ、認証情報を持つサーバが認証サーバになります。アクセスポイントはサプリカントから受け取った認証情報をRADIUSサーバへ中継するため、RADIUSクライアントとして動作します。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問17（IPA）

• 利用者認証情報を管理するサーバ1台と複数のアクセスポイントで構成された無線LAN環境を実現したい。PCが無線LAN環境に接続するときの利用者認証とアクセス制御に…

  正解：アクセスポイントにはIEEE 802.1Xのオーセンティケータを実装し,かつ,RADIUSクライアントの機能をもたせる。

  要点：APがオーセンティケータ兼RADIUSクライアント

  IEEE 802.1XではPCがサプリカント、アクセスポイントがオーセンティケータ、認証情報を保持するサーバが認証サーバの役割を担います。アクセスポイントは受け取った認証情報をRADIUSサーバへ中継するので、RADIUSクライアントとして動作します。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問17（IPA）

• IEEE 802.1Xで使われるEAP-TLSが行う認証はどれか。

  正解：ディジタル証明書による認証サーバとクライアントの相互認証

  要点：EAP-TLSは証明書によるサーバ・クライアントの相互認証

  EAP-TLSは、IEEE 802.1XのEAP方式のうち、認証サーバとクライアントの双方がディジタル証明書を提示して相互に認証する方式である。パスワードを用いないため辞書攻撃やフィッシングに強い一方、全クライアントに証明書を配布・管理する運用負荷が生じる。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）