とことこロゴス
EAP
複数の認証方式を共通のメッセージ形式と手順で扱えるようにする認証の枠組み。IEEE 802.1Xなどで使われ、証明書やパスワードなどを用いる認証方式に対応する。
イマシルちゃんの解説
EAPは、証明書やパスワードなどを使う複数の方式に対応した認証の枠組みだよ。
たとえば会社の無線LANでは、接続しようとする端末を確かめるやり取りに使われるんだ。
EAPでは、認証の要求と応答や、成功・失敗を伝えるメッセージの形を共通にしているよ。
実際に何を使って確かめるかは「EAPメソッド」という個別の方式が受け持つんだ。
端末と認証サーバが対応する方式で、その方式に必要な情報をやり取りするよ。
共通のやり取りを保ちながら、必要に応じて認証方式を追加できるのが特徴なんだ。
この解説はわかりやすかったですか？
より深い解説
定義
EAP（Extensible Authentication Protocol）は、RFC 3748で定められた認証の枠組みである。EAP自体は、認証のメッセージ（要求、応答、成功、失敗）のやり取りの形を決めるだけで、具体的な認証の方法は「EAPの方式（EAPメソッド）」として別に定める。
EAPは認証のための仕組みであり、それ自体が通信を暗号化するものでも、あらかじめ登録した共通鍵で暗号化する規格でもない。
主なEAPの方式
| 方式 | サーバの認証 | クライアントの認証 | 特徴 |
|---|---|---|---|
| EAP-TLS | サーバ証明書 | クライアント証明書 | 双方を証明書で認証する。最も安全だが、全利用者に証明書を配る必要がある |
| PEAP | サーバ証明書 | ID・パスワード（MS-CHAPv2など） | TLSのトンネルの中でパスワード認証を行う。証明書の配布はサーバ側だけで済む |
| EAP-TTLS | サーバ証明書 | ID・パスワードなど | PEAPと同様にトンネルを作る。中で使える認証方式が多い |
| EAP-SIM / EAP-AKA | SIMカードの情報 | 携帯電話事業者のWi-Fiなどで使う | |
| EAP-MD5 | なし | パスワード（チャレンジレスポンス） | サーバを認証できず、鍵も作れないので無線LANには向かない |
サーバ証明書を確認する意味
PEAPやEAP-TTLSでは、端末がサーバ証明書を正しく確認しないと、攻撃者が用意した偽のアクセスポイントと偽の認証サーバに接続し、パスワードのやり取りを盗まれるおそれがある。端末側で、信頼するCAとサーバ名を設定しておくことが重要である。
使われる場所
| 場所 | 運び方 |
|---|---|
| 無線LAN・有線LAN（IEEE 802.1X） | 端末とアクセスポイントの間はEAPOL、アクセスポイントと認証サーバの間はRADIUSで運ぶ |
| PPP | PPPの認証フェーズでも使える |
| VPN（IKEv2） | 利用者の認証に使える |