IEEE802.1X

（機 能）
無線LAN のアクセスポイントやLAN スイッチで認証を行い、接続ポートごとに管理を行うもの
 
（特 徴）
① クライアントのサプリカントが認証装置に認証開始要求をする
② 認証装置が利用する認証方法などを通知
③ サプリカントは、認証方法を選択して通知
④ サプリカントは、EAP メッセージをMAC フレームに乗せ認証装置へ送信(EAPOL) する。サプリカントがMAC フレームのタイプに「888E」を記述する
⑤ 認証装置は、EAP メッセージを取り出し、UDP(RADIUS)ヘッダ、IP ヘッダ、MAC ヘッダをつけて認証サーバへ送信
⑥ 認証サーバは、認証が終わると認証装置へユーザ情報や暗号鍵（無線LAN）を通知するこれをもとに、WEP、TKIP などの暗号方式で利用する鍵を生成し、クライアントとアクセスポイントで共有する。

TLS を使用するPEAP やEAP-TLS では、TLS 通信で利用したマスターシークレットを使用して共通鍵を生成できる。これをもとに、WEP、TKIP などの暗号方式で利用する鍵を生成し、クライアントとアクセスポイントで共有する。


チェック！
リピータハブは、一台が認証されると、認証装置はポートを開放するのですべて通信可能となってしまう。


【EAP-MD5 における通信の流れ】
① サプリカントは、接続要求をする
② 認証サーバは、チャレンジ（ランダム値）をサプリカントへ送る
③ サプリカントは、チャレンジとパスワードを結合し、MD5 でハッシュ化して、ユーザID と共に送信する
④ 認証サーバは、自身で持っている対応表より、ユーザID からパスワードを取り出してハッシュ値を計算し、送られてきたハッシュ値と比較する


チェック！
チャレンジ・レスポンスを大量に盗聴され、パスワードが簡単なものだとパスワードを破られる可能性がある


【EAP-TLS における通信の流れ】
① 認証サーバからサプリカントへディジタル証明書を送付
② サプリカントは、認証局の署名を確認し、ディジタル証明書の正当性を確認
③ サプリカントからサーバへディジタル証明書を送付
④ 認証サーバは、認証局の署名を確認し、ディジタル証明書の正当性を確認
⑤ サプリカントは、それまでの通信の内容をサプリカントの秘密鍵で暗号化してサーバへ送付
⑥ 認証サーバは、署名をサプリカントの公開鍵で復号し、署名を検証して認証を行う


【EAP-PEAP における通信の流れ】
① サプリカントは、接続要求をする
② サプリカントと認証サーバはTLS による暗号化通信を行うための処理を行い、共通鍵を生成する
③ 生成した暗号鍵を利用して、EAP-MD5 と同様に、チャレンジ・レスポンス方式による認証作業を行う

※ サーバから送られるチャレンジ、クライアントから送られるID、ハッシュ値は暗号化され、盗聴されても安全


EAP のフォーマット

コード(1)

ID(1) 長さ(2)

タイプ(1)

Date

コード： 1:Request 2:Response 3:Success 4:Failure
※ 認証サーバからサプリカントへの通信が「Request」、サプリカントから認証サーバへの通信が「Response」
ID： Request とResponse を対応付けるための番号
タイプ： 1:Identity（ID 送付） 2:Notification（情報通知） 3:Nak（認証方式の否認） 4:MD5 13：TLS 21：TTLS 25：PEAP
データ： 実際の認証で使われるユーザ名や証明書が入る部分


EAPOL のフォーマット

バージョン(1)

タイプ(1)

長さ(2)

データ（EAP パケット）

タイプ： 0:EAP-Packet（データ送信用） 1:EAPOL-Start（通信の開始） 2:EAPOL-Logoff（通信の終了） 3:EAPOL-Key（暗号通信用の鍵情報の通知）
 

RADIUS のフォーマット

コード(1)

識別子(1)

パケット長(2)

属性データ

【参考画像】