IEEE 802.1X 認証
IEEE 802.1X を用いた LAN 接続時の認証に関する記述として，適切なものはどれか。
- アサプリカントは，LAN スイッチや無線 LAN アクセスポイントに実装され，端末から受け取った認証情報を RADIUS サーバに転送する。
- イEAP-TLS では，認証サーバだけがデジタル証明書を提示し，端末側は利用者 ID とパスワードによって認証される。
- ウオーセンティケータは，認証が完了するまで端末からの EAPOL 以外のフレームを転送せず，端末との間の EAP メッセージを RADIUS パケットに格納して認証サーバとの間で中継する。
- エRADIUS では，オーセンティケータと認証サーバとの間のパケット全体が共有鍵によって暗号化されるので，属性情報が盗聴されることはない。
正解と解説を見る
正解 ウ
この問題の基礎知識
- IEEE 802.1X の構成要素は，認証を受ける端末側のサプリカント，LAN スイッチや無線 LAN アクセスポイントに実装されるオーセンティケータ，認証を行う認証サーバ（一般に RADIUS サーバ）の三つである。
- 端末とオーセンティケータの間は EAPOL（EAP over LAN）で，オーセンティケータと認証サーバの間は RADIUS で EAP メッセージを運ぶ。
- EAP の方式には，双方がデジタル証明書で認証する EAP-TLS や，サーバ証明書で TLS のトンネルを確立し，その中で ID とパスワードによって認証する PEAP，EAP-TTLS などがある。
- RADIUS では共有鍵で秘匿されるのは User-Password 属性などに限られ，TACACS+ はパケット本体全体を共有鍵で秘匿する点が異なる。
アサプリカントは，LAN スイッチや無線 LAN アクセスポイントに実装され，端末から受け取った認証情報を RADIUS サーバに転送する。
サプリカントは認証を受ける端末側のソフトウェアである。LAN スイッチや無線 LAN アクセスポイントに実装され，認証サーバとの間で認証情報を中継するのはオーセンティケータである。
イEAP-TLS では，認証サーバだけがデジタル証明書を提示し，端末側は利用者 ID とパスワードによって認証される。
EAP-TLS は，認証サーバと端末の双方がデジタル証明書を用いて相互認証する方式である。サーバ証明書で TLS トンネルを確立し，その中で ID とパスワードによって認証するのは PEAP や EAP-TTLS である。
ウオーセンティケータは，認証が完了するまで端末からの EAPOL 以外のフレームを転送せず，端末との間の EAP メッセージを RADIUS パケットに格納して認証サーバとの間で中継する。正解
オーセンティケータは，認証が成功するまでポートを未認証状態とし，EAPOL のフレームだけを通す。端末とは EAPOL で EAP メッセージをやり取りし，認証サーバとは EAP メッセージを RADIUS の属性に格納して中継する。
エRADIUS では，オーセンティケータと認証サーバとの間のパケット全体が共有鍵によって暗号化されるので，属性情報が盗聴されることはない。
RADIUS で共有鍵を用いて秘匿されるのは User-Password 属性などに限られ，そのほかの属性は平文で送られる。共有鍵によってパケット本体全体を秘匿するのは TACACS+ の特徴である（ただし RFC 8907 ではこの方式は暗号化ではなく難読化と位置付けられている）。
検証用の出典出典照合済み
RFC 3580 IEEE 802.1X RADIUS Usage Guidelines ／ RFC 2865 RADIUS ／ RFC 5216 EAP-TLS照合の根拠（7 件）
- ア（誤り）: サプリカントは認証を受ける側であり，中継するのはオーセンティケータ
A Supplicant is an entity that is being authenticated by an Authenticator.
RFC 3580 · Section 1.1（新しいタブで開きます） - ウ（正解）: 認証が成功するまで制御ポートへのアクセスは拒否され，非制御ポートの限られた通信（EAPOL）だけが通る
Similarly, while an authentication failure will result in denied access to the controlled port in [IEEE-802.1X], limited traffic may be permitted on the uncontrolled port.
RFC 3748 · Section 7.16（新しいタブで開きます） - ウ（正解）: オーセンティケータ（NAS）は EAP を RADIUS の EAP-Message 属性に格納して中継する
In the proposed scheme, the Network Access Server (NAS) forwards EAP packets to and from the RADIUS server, encapsulated within EAP-Message attributes.
RFC 3579 · Abstract（新しいタブで開きます） - イ（誤り）: EAP-TLS は証明書による相互認証
This document defines EAP-TLS, which includes support for certificate-based mutual authentication and key derivation.
RFC 5216 · Abstract（新しいタブで開きます） - イ（誤り）: TLS トンネル内で別の方式（パスワード等）でクライアントを認証するのは EAP-TTLS
During the data phase, the client is authenticated to the server (or client and server are mutually authenticated) using an arbitrary authentication mechanism encapsulated within the secure tunnel.
RFC 5281 · Abstract（新しいタブで開きます） - エ（誤り）: RADIUS で秘匿されるのは User-Password 属性などでありパケット全体ではない
When a User-Password is present, it is hidden using a method based on the RSA Message Digest Algorithm MD5 [3].
RFC 2865 · Section 4.1（新しいタブで開きます） - エ（誤り）: パケット本体全体を共有鍵で秘匿するのは TACACS+
The obfuscation mechanism relies on a secret key, a shared secret value that is known to both the client and the server.
RFC 8907 · Section 4.5（新しいタブで開きます）
IEEE 802.1X 本文は読めないため，802.1X を参照する RFC 3748・RFC 3580 で代替。RFC 8907 は TACACS+ の本体秘匿を「暗号化」ではなく「難読化」と呼ぶため解説を合わせた。