Loading article…
IEEE 802.1X は、ポートベースのネットワーク アクセス制御(PNAC )のIEEE 標準です。IEEE 802.1グループのネットワーク プロトコルの一部です。LANまたはWLANに接続するデバイスに認証メカニズムを提供します。
この規格は、ハードウェア追加[1]と呼ばれる攻撃手法に直接対処するものであり、攻撃者はゲスト、顧客、またはスタッフを装ってハッキングデバイスを建物内に持ち込み、それをネットワークに接続して完全なアクセス権を取得します。この問題の顕著な例は、2005年にウォルマートのネットワークに接続されたマシンが数千台のサーバーをハッキングしたことです。[2]
IEEE 802.1X は、有線IEEE 802ネットワーク[3]および 802.11 無線ネットワーク[4]上での拡張認証プロトコル(EAP) のカプセル化を定義しており、これは「EAP over LAN」または EAPOL として知られています。[5] EAPOL は、もともと 802.1X-2001 でIEEE 802.3イーサネット、IEEE 802.5トークン リング、およびFDDI (ANSI X3T9.5/X3T12 および ISO 9314)向けに指定されていましたが、 [6] 802.1X-2004 ではIEEE 802.11無線などの他の IEEE 802 LAN テクノロジに合わせて拡張されました。 [7] EAPOLは、802.1X-2010 [8] [9]でIEEE 802.1AE ("MACsec") およびIEEE 802.1AR (セキュアデバイスアイデンティティ、DevID) で使用するために変更され、内部LANセグメント上のサービス識別とオプションのポイントツーポイント暗号化をサポートしました。802.1Xは、802参照モデルの論理リンク制御(LLC) サブレイヤーの一部です。[10]
概要
802.1X 認証には、サプリカント、認証装置、認証サーバーの 3 つのパーティが関与します。サプリカントは、LAN/WLAN への接続を希望するクライアントデバイス (ラップトップなど)です。また、「サプリカント」という用語は、認証装置に資格情報を提供するクライアントで実行されているソフトウェアを指す場合にも互換的に使用されます。認証装置は、イーサネット スイッチやワイヤレス アクセス ポイントなど、クライアントとネットワーク間のデータ リンクを提供し、両者間のネットワーク トラフィックを許可またはブロックできるネットワーク デバイスです。認証サーバーは通常、ネットワーク アクセス要求を受信して応答し、接続を許可するかどうか、およびそのクライアントの接続または設定に適用するさまざまな設定を認証装置に通知できる信頼できるサーバーです。認証サーバーは通常、RADIUSおよびEAPプロトコルをサポートするソフトウェアを実行します。場合によっては、認証サーバー ソフトウェアが認証装置のハードウェアで実行されることもあります。
認証子は、保護されたネットワークの警備員のような役割を果たします。サプリカント (つまり、クライアント デバイス) は、サプリカントの ID が検証され、承認されるまで、認証子を介してネットワークの保護された側にアクセスすることはできません。802.1X ポートベース認証では、サプリカントは最初に認証子に必要な資格情報を提供する必要があります。資格情報はネットワーク管理者によって事前に指定されており、ユーザー名/パスワードまたは許可されたデジタル証明書を含めることができます。認証子はこれらの資格情報を認証サーバーに転送し、アクセスを許可するかどうかを決定します。認証サーバーが資格情報が有効であると判断した場合、認証子に通知し、認証子はサプリカント (クライアント デバイス) がネットワークの保護された側にあるリソースにアクセスできるようにします。[11]
プロトコル操作
EAPOL はデータ リンク層で動作し、Ethernet II フレーミングプロトコルではEtherType値が 0x888E になります。
ポートエンティティ
802.1X-2001 は、認証ポートの 2 つの論理ポート エンティティ (「制御ポート」と「非制御ポート」) を定義します。制御ポートは、802.1X PAE (ポート アクセス エンティティ) によって操作され、制御ポートへのネットワーク トラフィックの入出力を許可 (許可状態) または防止 (非許可状態) します。非制御ポートは、802.1X PAE によって EAPOL フレームの送受信に使用されます。
802.1X-2004 は、サプリカントの同等のポート エンティティを定義します。そのため、802.1X-2004 を実装するサプリカントは、認証が正常に完了したという内容でない場合、上位レベルのプロトコルが使用されないようにすることができます。これは、相互認証を提供する EAP 方式を使用する場合に特に役立ちます。サプリカントは、許可されていないネットワークに接続したときにデータ漏洩を防ぐことができるためです。
典型的な認証の進行
一般的な認証手順は次のようになります。
- 初期化新しいサプリカントが検出されると、スイッチ (認証者) のポートが有効になり、「無許可」状態に設定されます。この状態では、802.1X トラフィックのみが許可され、インターネット プロトコル( TCPおよびUDPを含む) などの他のトラフィックはドロップされます。
- 開始認証を開始するために、認証者はローカル ネットワーク セグメント上の特別なレイヤー 2 アドレス (01:80:C2:00:00:03) に EAP-Request Identity フレームを定期的に送信します。サプリカントはこのアドレスでリッスンし、EAP-Request Identity フレームを受信すると、ユーザ ID などのサプリカントの識別子を含む EAP-Response Identity フレームで応答します。次に、認証者はこの Identity 応答をRADIUS Access-Request パケットにカプセル化し、認証サーバに転送します。サプリカントは、認証者に EAPOL-Start フレームを送信して認証を開始または再開することもできます。認証者はこれに対して EAP-Request Identity フレームで応答します。
- ネゴシエーション (技術的には EAP ネゴシエーション)認証サーバーは、EAP メソッド (サプリカントに実行させたい EAP ベースの認証のタイプ) を指定する EAP 要求を含む応答 ( RADIUSアクセス チャレンジ パケットにカプセル化) を認証サーバーに送信します。認証サーバーは、EAP 要求を EAPOL フレームにカプセル化し、サプリカントに送信します。この時点で、サプリカントは要求された EAP メソッドの使用を開始するか、NAK (「否定応答」) を実行して、実行したい EAP メソッドで応答することができます。
- 認証認証サーバーとサプリカントが EAP 方式に同意すると、認証サーバーが EAP-Success メッセージ (RADIUS Access-Accept パケットにカプセル化) または EAP-Failure メッセージ (RADIUS Access-Reject パケットにカプセル化) で応答するまで、サプリカントと認証サーバーの間で EAP 要求と応答が送信されます (認証者によって変換されます) 。認証が成功すると、認証者はポートを「許可」状態に設定し、通常のトラフィックが許可されます。認証が失敗すると、ポートは「未許可」状態のままになります。サプリカントがログオフすると、認証者に EAPOL-logoff メッセージが送信され、認証者はポートを「未許可」状態に設定して、再びすべての非 EAP トラフィックをブロックします。
実装
Open1Xというオープンソースプロジェクトは、クライアントであるXsupplicantを開発しています。このクライアントは現在、LinuxとWindowsの両方で利用可能です。Open1Xクライアントの主な欠点は、分かりやすく詳細なユーザードキュメントが提供されていないことと、ほとんどのLinuxベンダーがパッケージを提供していないことです。より一般的なwpa_supplicantは、 802.11ワイヤレスネットワークと有線ネットワークで使用できます。どちらも非常に幅広いEAPタイプをサポートしています。[12]
iPhoneとiPod TouchはiOS 2.0の リリース以降802.1Xをサポートしています。Androidは1.6 Donutのリリース以降802.1Xをサポートしています。ChromeOS は2011年半ばから802.1Xをサポートしています。[13]
macOSは10.3以降ネイティブサポートを提供しています。[14]
Avenda Systemsは、Windows、Linux、macOS用のサプリカントを提供しています。また、Microsoft NAPフレームワーク用のプラグインも提供しています。[15] Avendaはヘルスチェックエージェントも提供しています。
ウィンドウズ
Windows は、認証に失敗した後、デフォルトで 20 分間 802.1X 認証要求に応答しません。これにより、クライアントに重大な混乱が生じる可能性があります。
ブロック期間は、レジストリのHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dot3svc\BlockTime [16] DWORD値（ワイヤレスネットワークの場合はHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\wlansvc\BlockTime）を使用して設定できます（分単位で入力）。期間を設定できるようにするには、Windows XP SP3およびWindows Vista SP2で修正プログラムが必要です。 [17]
ワイルドカードサーバー証明書は、オペレーティングシステムでEAPサポートを提供するWindowsコンポーネントであるEAPHostではサポートされていません。[18]これは、商用証明機関を使用する場合は個別の証明書を購入する必要があることを意味します。
ウィンドウズ
Windows XPには、VLANとクライアントのサブネットを変更するユーザーベースの802.1X認証によるIPアドレスの変更の処理に大きな問題があります。[19] Microsoftは、これらの問題を解決するVistaのSSO機能をバックポートしないと発表しました。[20]
ユーザーがローミングプロファイルを使用してログインしていない場合、PEAP-MSCHAPv2を使用してPEAP経由で認証する場合は、修正プログラムをダウンロードしてインストールする必要があります。[21]
ウィンドウズビスタ
IP電話経由で接続されたWindows Vistaベースのコンピュータは、期待どおりに認証されない可能性があり、その結果、クライアントが間違ったVLANに配置される可能性があります。これを修正するための修正プログラムが利用可能です。[22]
ウィンドウズ7
IP電話経由で接続されたWindows 7ベースのコンピュータは期待通りに認証されない可能性があり、その結果、クライアントが間違ったVLANに配置される可能性があります。これを修正するための修正プログラムが利用可能です。[22]
Windows 7は、最初の802.1X認証が失敗した後、802.1X認証要求に応答しません。これにより、クライアントに重大な障害が発生する可能性があります。これを修正するための修正プログラムが利用可能です。[23]
Windows PE
リモートでオペレーティングシステムを展開および展開するほとんどの企業にとって、Windows PEには 802.1X のネイティブサポートがないことに注意してください。ただし、Microsoft から入手できる修正プログラムを通じて、WinPE 2.1 [24]および WinPE 3.0 [25]にサポートを追加できます。完全なドキュメントはまだ入手できませんが、これらの修正プログラムの使用に関する予備的なドキュメントは、Microsoft ブログから入手できます。[26]
リナックス
ほとんどのLinux ディストリビューションは、wpa_supplicantとNetworkManagerなどのデスクトップ統合を介して 802.1X をサポートしています。
Appleデバイス
iOS 17およびmacOS 14以降、AppleデバイスはTLS 1.3（EAP-TLS 1.3）を使用したEAP-TLSを使用した802.1Xネットワークへの接続をサポートしています。さらに、iOS / iPadOS / tvOS 17以降を実行しているデバイスは有線802.1Xネットワークをサポートしています。[27] [28]
連盟
eduroam（国際ローミングサービス）では、eduroam対応の他の機関から訪れるゲストにネットワークアクセスを提供する際に802.1X認証の使用を義務付けています。[29]
BT（ブリティッシュ・テレコム、PLC）は、さまざまな業界や政府に提供されるサービスの認証にアイデンティティ・フェデレーションを採用しています。[30]
独自の拡張機能
MAB (MAC 認証バイパス)
すべてのデバイスが 802.1X 認証をサポートしているわけではありません。例としては、ネットワーク プリンタ、環境センサー、カメラ、ワイヤレス フォンなどのイーサネット ベースの電子機器が挙げられます。これらのデバイスを保護されたネットワーク環境で使用するには、認証するための代替メカニズムを提供する必要があります。
1 つのオプションは、そのポートで 802.1X を無効にすることですが、そのポートは保護されず、悪用される可能性があります。もう 1 つのもう少し信頼性の高いオプションは、MAB オプションを使用することです。ポートで MAB が設定されている場合、そのポートは最初に接続デバイスが 802.1X に準拠しているかどうかを確認し、接続デバイスから応答がない場合は、接続デバイスのMAC アドレスをユーザー名とパスワードとして使用して AAA サーバーで認証を試みます。その後、ネットワーク管理者は、 RADIUSサーバーでそれらの MAC アドレスを認証するための準備を行う必要があります。そのためには、それらのアドレスを通常のユーザーとして追加するか、ネットワーク インベントリ データベースで解決するための追加ロジックを実装します。
多くのマネージドイーサネットスイッチ[31]は 、これに対するオプションを提供しています。
802.1X-2001 および 802.1X-2004 の脆弱性
共有メディア
2005 年の夏、マイクロソフトの Steve Riley 氏は、中間者攻撃を伴う 802.1X プロトコルの重大な脆弱性について詳述した記事 (Microsoft MVP Svyatoslav Pidgorny 氏のオリジナル調査に基づく) を投稿しました。要約すると、この欠陥は、802.1X が接続の開始時にのみ認証を行うという事実に起因しますが、その認証後、攻撃者が認証されたコンピューターとポートの間に物理的に (おそらくワークグループ ハブを使用して) 割り込めば、認証されたポートを使用することができます。Riley 氏は、有線ネットワークではIPsecを使用するか、IPsec と 802.1X を組み合わせて使用する方が安全であると示唆しています。[32]
802.1X サプリカントによって送信される EAPOL-Logoff フレームは平文で送信され、クライアントを最初に認証した資格情報交換から得られたデータは含まれません。[33]そのため、共有メディア上で簡単に偽装でき、有線 LAN と無線 LAN の両方で標的型DoS攻撃の一部として使用できます。EAPOL-Logoff 攻撃では、認証子が接続されているメディアにアクセスできる悪意のある第三者が、ターゲット デバイスの MAC アドレスから偽造された EAPOL-Logoff フレームを繰り返し送信します。認証子は (ターゲット デバイスが認証セッションを終了したいと想定して) ターゲットの認証セッションを閉じ、ターゲットからのトラフィックの流入をブロックして、ネットワークへのアクセスを拒否します。
802.1afとして始まった802.1X-2010仕様は、MACsec IEEE 802.1AEを使用して論理ポート（物理ポート上で実行）とIEEE 802.1AR（セキュアデバイスアイデンティティ/DevID）認証デバイス間のデータを暗号化することにより、以前の802.1X仕様の脆弱性に対処します。[8] [9] [34] [35]
これらの拡張機能が広く実装されるまでの暫定措置として、一部のベンダーは 802.1X-2001 および 802.1X-2004 プロトコルを拡張し、1 つのポートで複数の同時認証セッションを実行できるようにしています。これにより、認証されていない MAC アドレスを持つデバイスからのトラフィックが 802.1X 認証ポートに侵入することは防止されますが、認証されたデバイスからのトラフィックをスヌーピングする悪意のあるデバイスは阻止されず、MAC スプーフィングや EAPOL-Logoff 攻撃に対する保護も提供されません。
代替案
IETFが支援する代替案は、ネットワークアクセス認証プロトコル（PANA）であり、これもEAPを伝送しますが、UDPを使用してレイヤー3で動作するため、802インフラストラクチャに縛られません。[36]
参照
参考文献
- ^ 「ハードウェア追加、テクニック T1200」。attack.mitre.org 2018-04-18 。 2024-04-10閲覧。
- ^ ゼッター、キム。「ビッグボックス侵害：ウォルマートへのハッカー攻撃の内幕」 。Wired。ISSN 1059-1028 。2024年2月7日閲覧。
- ^ 「IEEE 802 内での EAP の使用」。拡張認証プロトコル (EAP)。第 3.3 節。doi : 10.17487/ RFC3748。RFC 3748 。
- ^ 「リンク層」。拡張認証プロトコル (EAP)。7.12 節。doi : 10.17487/ RFC3748。RFC 3748。
- ^ IEEE 802.1X-2001、§7
- ^ IEEE 802.1X-2001、§ 7.1 および 7.2
- ^ IEEE 802.1X-2004、§7.6.4
- ^ ab IEEE 802.1X-2010、ページ iv
- ^ IEEE 802.1X-2010、§ 5より
- ^ IEEEローカルおよびメトロポリタン エリア ネットワークの標準: 概要とアーキテクチャ。IEEE。2014年。doi :10.1109/IEEESTD.2014.6847097。802。802.1Xは
LLC サブレイヤーの一部を形成し、MAC サブレイヤーのすぐ上に安全なコネクションレス サービスを提供します
。 - ^ 「802.1X ポートベース認証の概念」。2012 年 10 月 14 日にオリジナルからアーカイブ。2008年 7 月 30 日に取得。
- ^ 「eap_testing.txt from wpa_supplicant」2010年2月10日閲覧。
- ^ Sheth, Rajen (2011 年 8 月 10 日)。「進化し続けるコンピューター」。Google Cloud 公式ブログ。2022 年 7 月 2 日閲覧。
- ^ ネグリノ、トム、スミス、ドリ (2003)。『Mac OS X Unwired: 家庭、オフィス、外出先でのガイド』オライリーメディア、p. 19。ISBN 978-0596005085. 2022年7月2日閲覧。
- ^ 「Linux および Macintosh 用の NAP クライアントが利用可能」。ネットワーク アクセス保護 (NAP) チーム ブログ。2008 年 12 月 16 日。
- ^ 「802.1x で Windows 7 を展開するのに 20 分も遅延しますか? ここで修正してください!」。Dude where's my PFE? ブログ。2013 年 1 月 24 日。
- ^ 「Windows XP ベース、Windows Vista ベース、または Windows Server 2008 ベースのコンピューターが、認証に失敗してから 20 分間、802.1X 認証要求に応答しません」。Microsoftサポート。2009 年 9 月 17 日。2022年 7 月 3 日に取得。
- ^ 「Windows Vista および Longhorn の EAPHost (2006 年 1 月 18 日)」。Microsoft Docs。2007年 1 月 18 日。2022年 7 月 3 日に取得。
- ^ 「Windows Server 2003 ベースのドメイン コントローラからグループ ポリシー オブジェクト、移動プロファイル、およびログオン スクリプトを取得しようとすると、問題が発生します」。Microsoft サポート。2007 年 9 月 14 日。2008 年 4 月 22 日にオリジナルからアーカイブ。2010年 2 月 10 日に取得。
- ^ 「802.1x と動的 VLAN スイッチング - ローミング プロファイルの問題」。Microsoft TechNet フォーラム。2011 年 8 月 24 日にオリジナルからアーカイブ。2010年 2 月 10 日に取得。Vista
では、SSO 機能ではまったく問題になりませんが、この機能は XP には存在せず、変更が複雑すぎるため、残念ながらこの機能を XP にバックポートする予定はありません。
- ^ 「ドメインで PEAP を PEAP-MSCHAPv2 で使用する場合、Windows XP Service Pack 3 ベースのクライアント コンピュータは IEEE 802.1X 認証を使用できません」。Microsoftサポート。2009 年 4 月 23 日。2010 年 3 月 16 日にオリジナルからアーカイブ。2010年 3 月 23 日に取得。
- ^ ab 「VOIP 電話を介して IEEE 802.1X 認証ネットワークに接続されているコンピューターが、休止状態モードまたはスリープ モードから再開した後に正しいネットワークに接続されない」。Microsoftサポート。2010 年 2 月 8 日。2022年 7 月 3 日に取得。
- ^ 「Windows 7 または Windows Server 2008 R2 を実行しているコンピューターで認証に失敗した後、802.1X 認証要求に応答しない」。Microsoftサポート。2010 年 3 月 8 日。2010 年 11 月 14 日にオリジナルからアーカイブ。2010年 3 月 23 日に取得。
- ^ 「Windows PE 2.1 は IEEE 802.1X 認証プロトコルをサポートしていません」。Microsoftサポート。2009 年 12 月 8 日。2010 年 3 月 5 日にオリジナルからアーカイブ。2010年 2 月 10 日に取得。
- ^ 「IEEE 802.1X 認証プロトコルは、Windows プレインストール環境 (PE) 3.0 ではサポートされていません」。Microsoftサポート。2009 年 12 月 8 日。2022年 7 月 3 日に取得。
- ^ 「WinPE に 802.1X のサポートを追加する」。Deployment Guys ブログ。2010 年 3 月 2 日。2011 年 6 月 17 日にオリジナルからアーカイブ。2010年 3 月 3 日に取得。
- ^ 「iOS 17 beta 4 開発者向けリリースノート」。Apple Developer。2023年7月25日。 2023年7月25日閲覧。
- ^ 「macOS 14 beta 4 開発者向けリリースノート」。Apple Developer。2023年7月25日。 2023年7月25日閲覧。
- ^ 「eduroamはどのように機能しますか？」eduroam。2022年7月3日閲覧。
- ^ 「BT Identity and Access Management」（PDF） 。 2011年6月13日時点のオリジナル（PDF）からアーカイブ。 2010年8月17日閲覧。
- ^ 「Dell PowerConnect 6200 シリーズ CLI ガイド」(PDF) 。p. 622、改訂: A06-2011 年 3 月。2012 年 11 月 18 日時点のオリジナル(PDF)からアーカイブ。2013年1 月 26 日閲覧。
- ^ Riley, Steve (2005-08-09). 「不正マシンの脅威を軽減する - 802.1X または IPsec?」Microsoft Docs . 2022-07-03に取得。
- ^ IEEE 802.1X-2001、§7.1
- ^ 「2010年2月2日早期検討承認」IEEE。2010年7月6日時点のオリジナルよりアーカイブ。2010年2月10日閲覧。
- ^ 「IEEE 802.1: 802.1X-2010 - 802.1X-2004 の改訂版」 Ieee802.org. 2010-01-21。2010-03-04 にオリジナルからアーカイブ。2010-02-10に取得。
- ^ Philip Golden、Hervé Dedieu、Krista S. Jacobsen (2007)。DSL テクノロジの実装とアプリケーション。Taylor & Francis。pp. 483–484。ISBN 978-1-4200-1307-8。
外部リンク
- 802.1X に関する IEEE ページ
- GetIEEE802 802.1X-2020 をダウンロード
- GetIEEE802 802.1X-2010 をダウンロード
- GetIEEE802 802.1X-2004 をダウンロード
- GetIEEE802 802.1X-2001 をダウンロード
- 究極のワイヤレス セキュリティ ガイド: RADIUS サーバー用の自己署名証明書
- WIRE1x 2015-08-22ウェイバックマシンにアーカイブされました
- Microsoft TechNet の 802.1X 認証による有線ネットワーク