拡張認証プロトコル

拡張認証プロトコル( EAP ) は、ネットワークおよびインターネット接続で頻繁に使用される認証フレームワークです。RFC 2284 を廃止したRFC  3748で定義され、 RFC 5247 で更新されています 。 EAP は、EAP メソッドによって生成されたマテリアルとパラメータの転送と使用を提供するための認証フレームワークです。 RFC によって定義されているメソッドは多数あり、ベンダー固有のメソッドや新しい提案も多数存在します。 EAP はワイヤ プロトコルではなく、インターフェイスからの情報と形式のみを定義します。 EAP を使用する各プロトコルは、そのプロトコルのメッセージ内でユーザー EAP メッセージをカプセル化する方法を定義します。

EAP は幅広く使用されています。たとえば、IEEE 802.11 (Wi-Fi) では、WPA および WPA2 標準で、IEEE 802.1X (さまざまな EAP タイプを含む) が標準的な認証メカニズムとして採用されています。

EAP は認証フレームワークであり、特定の認証メカニズムではありません。^[1] EAPメソッドと呼ばれる認証方法の共通機能とネゴシエーションを提供します。現在、約 40 種類のメソッドが定義されています。IETF RFC で定義されているメソッドには、EAP-MD5、EAP-POTP、EAP-GTC、EAP-TLS、EAP-IKEv2、EAP-SIM、EAP-AKA、EAP-AKA' などがあります。さらに、ベンダー固有のメソッドや新しい提案も多数存在します。ワイヤレス ネットワークで動作可能な一般的な最新のメソッドには、EAP-TLS、EAP-SIM、EAP-AKA、LEAP、EAP-TTLS などがあります。ワイヤレス LAN 認証で使用される EAP メソッドの要件は、RFC  4017 で説明されています。EAP で使用されるタイプとパケット コードの一覧は、IANA EAP レジストリから入手できます。^[2]

この標準では、 RFC  4962 で説明されている AAA キー管理要件を満たす 条件についても説明しています。

LEAP ( Lightweight Extensible Authentication Protocol ) 方式は、 IEEEが802.11iセキュリティ標準を承認する前にCisco Systemsによって開発されました。 ^{[3] Cisco は、標準がない中で 802.1X と動的}WEP を業界に導入する一環として、CCX (Cisco Certified Extensions) を通じてこのプロトコルを配布しました。どのWindows オペレーティング システムでも LEAP はネイティブ サポートされていませんが、WLAN (ワイヤレス LAN) デバイスに最も一般的に含まれるサードパーティ クライアント ソフトウェアによって広くサポートされています。Microsoft Windows 7 および Microsoft Windows Vista のLEAPサポートは、LEAP と EAP-FAST の両方をサポートするクライアント アドインを Cisco からダウンロードすることによって追加できます。ネットワーク業界で LEAP が広く採用されているため、他の多くの WLAN ベンダー^{[誰? ] も}LEAP のサポートを主張しています。

LEAP は、ユーザ認証情報が強固に保護されておらず、簡単に侵害される認証プロトコルであるMS-CHAPの修正版を使用します。ASLEAP と呼ばれるエクスプロイト ツールは、2004 年初頭に Joshua Wright によってリリースされました。 ^{[4] Cisco では、LEAP を絶対に使用する必要があるお客様には、十分に複雑なパスワードのみを使用することを推奨していますが、複雑なパスワードは管理および強制が困難です。Cisco が現在推奨しているのは、EAP-FAST、} PEAP 、EAP-TLSなどの新しく強力な EAP プロトコルを使用することです。

RFC 5216で定義されている EAP トランスポート層セキュリティ (EAP-TLS)は、トランスポート層セキュリティ(TLS) プロトコルを使用する IETFオープン スタンダードであり、ワイヤレス ベンダーの間で広くサポートされています。EAP-TLS は、オリジナルの標準ワイヤレス LAN EAP 認証プロトコルです。

EAP-TLS は、現在でも最も安全な EAP 標準の 1 つと考えられていますが、TLS が強力なセキュリティを提供するのは、ユーザーが偽の資格情報に関する潜在的な警告を理解している場合に限られ、無線 LAN ハードウェアおよびソフトウェアのすべてのメーカーによって広くサポートされています。2005 年 4 月までは、EAP-TLS は、WPA または WPA2 ロゴの認定を受ける必要のある唯一の EAP タイプのベンダーでした。^[5] EAP-TLS のクライアントおよびサーバーの実装は、3Com、Apple、Avaya、Brocade Communications、Cisco、Enterasys Networks、Fortinet、Foundry、Hirschmann、HP、Juniper、Microsoft、およびオープンソースのオペレーティングシステムにあります。EAP- TLSは、Mac OS X 10.3 以上、wpa_supplicant、Windows 2000 SP4、Windows XP 以上、Windows Mobile 2003 以上、Windows CE 4.2、および Apple の iOS モバイルオペレーティングシステムでネイティブにサポートされています。

ワールドワイドウェブなどのHTTPSのほとんどの TLS 実装とは異なり、EAP-TLS の実装の大部分は、標準でその使用が義務付けられていなくても、クライアント側のX.509証明書を使用した相互認証を必要とし、その要件を無効にするオプションは提供されていません。 ^{[6] [7]}一部の人々は、これが EAP-TLS の採用を大幅に減らし、「オープン」だが暗号化されたアクセスポイントを妨げる可能性があると指摘しています。^{[6] [7]} 2012 年 8 月 22 日に、 hostapd (および wpa_supplicant) は、 Gitリポジトリにベンダー固有の UNAUTH-TLS EAP タイプ (hostapd/wpa_supplicant プロジェクトのRFC  5612 プライベート エンタープライズ番号を使用) のサポートを追加しました。^{[8]また、2014 年 2 月 25 日には、ベンダー固有の WFA-UNAUTH-TLS EAP タイプ (} Wi-Fi Allianceプライベート エンタープライズ番号を使用) のサポートを追加しました。 ^{[9] [10]}これらはサーバー認証のみを行います。これにより、HTTPS とよく似た状況が可能になります。つまり、無線ホットスポットは自由なアクセスを許可し、ステーション クライアントを認証しませんが、ステーション クライアントは暗号化 ( IEEE 802.11i-2004 、つまりWPA2 ) を使用して、無線ホットスポットを認証する可能性があります。また、アクセス ポイントが、ベンダー固有の EAP タイプではなく標準の EAP-TLS IETF タイプを使用して、サーバー側の認証のみを使用して EAP-TLS を許可していることを通知するために、IEEE 802.11u を使用するという提案もあります。[ ^11]

クライアント側証明書の要件は、不評ではあるものの、EAP-TLS の認証の強さを証明しており、利便性とセキュリティのトレードオフの典型例です。クライアント側証明書では、侵入者がクライアント側証明書を持っている必要があるため、パスワードが侵害されても EAP-TLS 対応システムに侵入することはできません。実際、パスワードはクライアント側証明書を暗号化して保存するために使用されるだけなので、必要ありません。最高のセキュリティは、クライアント側証明書の「秘密鍵」がスマート カードに格納されている場合です。^[12]これは、カード自体を盗まずに、スマート カードからクライアント側証明書に対応する秘密鍵を盗む方法がないためです。(一般的な) パスワードの盗難よりも​​、スマート カードの物理的な盗難の方が気付かれる可能性が高く (スマート カードはすぐに取り消されます)。さらに、スマート カード上の秘密鍵は通常、スマート カードの所有者だけが知っている PIN を使用して暗号化されるため、カードが盗難されたと報告され、取り消される前であっても、泥棒にとってそのカードの有用性は最小限に抑えられます。

EAP-MD5 は、EAP の元の RFC であるRFC  2284 で最初に定義されたとき、唯一の IETF 標準化過程ベースの EAP 方式でした。この方式は最小限のセキュリティしか提供しません。MD5ハッシュ関数は辞書攻撃に対して脆弱であり、キー生成をサポートしていないため、動的 WEP や WPA/WPA2 エンタープライズでの使用には適していません。EAP-MD5 は、EAP ピアから EAP サーバーへの認証のみを提供し、相互認証を提供しない点で他の EAP 方式と異なります。EAP サーバー認証を提供しないことで、この EAP 方式は中間者攻撃に対して脆弱です。^{[13] EAP-MD5 のサポートは、} Windows 2000で初めて追加され、 Windows Vistaで廃止されました。^[14]

RFC 4793で説明されている EAP 保護ワンタイム パスワード (EAP-POTP) は、RSA Laboratories によって開発された EAP 方式であり、ハンドヘルド ハードウェア デバイスや、パーソナル コンピュータで実行されるハードウェアまたはソフトウェア モジュールなどのワンタイム パスワード (OTP) トークンを使用して認証キーを生成します。EAP-POTP は、EAP を使用するプロトコルで、一方的または相互の認証とキー マテリアルを提供するために使用できます。

EAP-POTP方式は2要素のユーザー認証を提供します。つまり、ユーザーは認証を実行するためにトークンへの物理的なアクセスと個人識別番号（PIN）の知識の両方を必要とします。^[15]

^[1] RFC  4764で定義されているEAP事前共有キー（EAP-PSK）は、事前共有キー（PSK）を使用した相互認証とセッションキー導出のためのEAP方式です。相互認証が成功した場合、双方が通信するための保護された通信チャネルを提供し、IEEE 802.11などの安全でないネットワークでの認証用に設計されています。

EAP-PSK は、公開鍵暗号化を必要としない軽量で拡張可能な EAP メソッドを提供する実験的な RFC で文書化されています。EAP メソッド プロトコルの交換は、最低 4 つのメッセージで行われます。

RFC 5931で定義されている EAP パスワード (EAP-PWD) は 、認証に共有パスワードを使用する EAP 方式です。パスワードは低エントロピーのパスワードで、辞書のような、攻撃者が利用できる可能性のあるパスワードのセットから抽出される可能性があります。基盤となるキー交換は、アクティブ攻撃、パッシブ攻撃、および辞書攻撃に対して耐性があります。

EAP-PWDはAndroid 4.0（ICS）のベースに含まれています。FreeRADIUS ^[16]およびRadiator ^[17] RADIUSサーバー、hostapdおよびwpa_supplicant ^{[18]にも含まれています。}

EAP トンネルトランスポート層セキュリティ (EAP-TTLS) は、TLS を拡張した EAP プロトコルです。Funk SoftwareとCerticomによって共同開発され、さまざまなプラットフォームで広くサポートされています。Microsoft は、Windows XP、Vista、または7に EAP-TTLS プロトコルのネイティブサポートを組み込んでいません。これらのプラットフォームで TTLS をサポートするには、サードパーティの暗号化制御プロトコル (ECP) 認定ソフトウェアが必要です。Microsoft Windows はWindows 8で EAP-TTLS サポートを開始し、^[19] EAP-TTLS ^[20]のサポートは Windows Phoneバージョン 8.1で登場しました。^[21]

クライアントは、CA署名付きPKI証明書を介してサーバーに認証されることができますが、認証される必要はありません。これにより、すべてのクライアントに証明書が必要なくなるため、セットアップ手順が大幅に簡素化されます。

サーバーが CA 証明書を介してクライアントに対して安全に認証され、オプションでクライアントがサーバーに対して認証された後、サーバーは確立された安全な接続 (「トンネル」) を使用してクライアントを認証できます。サーバーは、従来のパスワード メカニズムと認証データベースを組み込んだ、既存の広く導入されている認証プロトコルとインフラストラクチャを使用できます。また、安全なトンネルにより、盗聴や中間者攻撃から保護されます。ユーザー名は暗号化されていないクリア テキストで送信されることはなく、プライバシーが向上します。

EAP-TTLSには、オリジナルのEAP-TTLS（別名EAP-TTLSv0）とEAP-TTLSv1の2つの異なるバージョンが存在します。EAP-TTLSv0はRFC  5281で説明されており、EAP-TTLSv1はインターネットドラフトとして利用可能です。^[22]

EAP インターネット キー交換 v. 2 (EAP-IKEv2) は、インターネット キー交換プロトコル バージョン 2 (IKEv2)に基づく EAP 方式です。EAP ピアと EAP サーバー間の相互認証とセッション キーの確立を提供します。次の種類の資格情報に基づく認証手法をサポートします。

非対称鍵ペア

公開鍵がデジタル証明書に埋め込まれ、対応する秘密鍵が単一の当事者にのみ知られている公開鍵/秘密鍵ペア。

パスワード

サーバーとピアの両方に知られている低エントロピーのビット文字列。

対称鍵

サーバーとピアの両方に知られている高エントロピー ビット文字列。

各方向で異なる認証資格情報(およびそれによる手法)を使用できます。たとえば、EAP サーバーは公開/秘密キー ペアを使用して自身を認証し、EAP ピアは対称キーを使用して認証します。ただし、実際には 9 つの理論的な組み合わせがすべて使用されるとは限りません。具体的には、標準RFC  5106 には、サーバーが非対称キー ペアを使用して認証し、クライアントが 3 つの方法のいずれかを使用する、および両側で対称キーを使用するという 4 つの使用例がリストされています。

EAP-IKEv2 はRFC  5106 で説明されており、プロトタイプ実装が存在します。

Flexible Authentication via Secure Tunneling (EAP-FAST; RFC 4851) は、 Cisco SystemsがLEAPの代替として 提案したプロトコルです。^[23]このプロトコルは、LEAP の「軽量」な実装を維持しながら、LEAP の弱点に対処するように設計されています。EAP-FAST では、サーバー証明書の使用はオプションです。EAP-FAST は、Protected Access Credential (PAC) を使用して、クライアント資格情報が検証される TLS トンネルを確立します。

EAP-FASTには3つのフェーズがあります。^[24]

自動 PAC プロビジョニングが有効になっている場合、EAP-FAST には、攻撃者が PAC を傍受してそれを利用してユーザーの資格情報を侵害できる脆弱性があります。この脆弱性は、手動 PAC プロビジョニング、または PAC プロビジョニング フェーズでサーバー証明書を使用することで軽減されます。

PAC ファイルはユーザーごとに発行されることに注意してください。これはRFC  4851 sec 7.4.4 の要件であるため、新しいユーザーがデバイスからネットワークにログオンする場合は、まず新しい PAC ファイルをプロビジョニングする必要があります。これが、EAP-FAST を安全でない匿名プロビジョニング モードで実行しないようにすることが難しい理由の 1 つです。代替案としては、代わりにデバイスのパスワードを使用することですが、その場合、ネットワーク上ではユーザーではなくデバイスが検証されます。

EAP-FAST は PAC ファイルなしで使用でき、通常の TLS にフォールバックします。

EAP-FASTは、Apple OS X 10.4.8以降でネイティブにサポートされています。シスコは、新しい認証方法とサプリカントに対応する拡張可能なEAPHostアーキテクチャを備えたWindows Vista ^[26]以降のオペレーティングシステム用のEAP-FASTモジュール^[25]を提供しています。^[27]

トンネル拡張認証プロトコル (TEAP、RFC  7170) は、トランスポート層セキュリティ (TLS) プロトコルを使用して相互認証トンネルを確立することにより、ピアとサーバー間の安全な通信を可能にするトンネルベースの EAP 方式です。トンネル内では、TLV (Type-Length-Value) オブジェクトを使用して、EAP ピアと EAP サーバー間の認証関連データを伝送します。

ピア認証に加えて、TEAP では、PKCS#10形式で要求を送信して、ピアがサーバーに証明書を要求することができます。証明書要求を受信して​​ピアを認証した後、サーバーは PKCS#7 形式 ( RFC 2325) でピアに証明書をプロビジョニングできます。サーバーは、PKCS#7 形式 ( RFC 2325) で信頼されたルート証明書をピアに配布することもできます 。両方の操作は対応する TLV に含まれており、すでに確立されている TLS トンネル内で安全に実行されます。

EAP 加入者識別モジュール(EAP-SIM) は、グローバル システム for モバイル通信 ( GSM ) の加入者識別モジュール (SIM) を使用して、認証およびセッション キーの配布に使用されます。

GSM セルラー ネットワークは、加入者識別モジュール カードを使用してユーザー認証を実行します。EAP-SIM は、クライアントと認証、承認、アカウンティング (AAA)サーバー間の SIM 認証アルゴリズムを使用して、クライアントとネットワーク間の相互認証を提供します。

EAP-SIM では、SIM カードと認証センター (AuC) 間の通信により、クライアントと AAA サーバー間の事前設定されたパスワードの必要性がなくなります。

A3/A8 アルゴリズムは、異なる 128 ビット チャレンジを使用して数回実行されるため、より強力なキーを作成するために組み合わせ/混合される 64 ビット Kc-s が増えることになります (Kc-s は直接使用されません)。GSM での相互認証の欠如も克服されました。

EAP-SIM はRFC 4186で説明されています 。

ユニバーサル モバイル テレコミュニケーション システム(UMTS) 認証およびキー合意のための拡張認証プロトコル メソッド(EAP-AKA) は、UMTS 加入者識別モジュール ( USIM )を使用した認証およびセッション キー配布のための EAP メカニズムです。EAP-AKA は、 RFC 4187で定義されています 。

EAP-AKA の「EAP-AKA」バリアントは、RFC  5448 で定義されており、3GPPコアネットワークへの非 3GPP アクセスに使用されます。たとえば、EVDO、WiFi、WiMax経由などです。

EAP Generic Token Card（EAP-GTC）は、PEAPv0/EAP-MSCHAPv2 の代替として Cisco が作成した EAP 方式で、RFC  2284 およびRFC  3748 で定義されています。EAP-GTC は、認証サーバからのテキスト チャレンジと、セキュリティ トークンによって生成された応答を伝送します。PEAP-GTC 認証メカニズムにより、Novell Directory Service（NDS）やLightweight Directory Access Protocol （LDAP）などの多数のデータベースへの汎用認証や、ワンタイム パスワードの使用が可能になります。

暗号化キー交換(EAP-EKE)を備えた EAP は、短いパスワードを使用し、公開キー証明書を必要とせずに安全な相互認証を提供する数少ない EAP 方式の 1 つです。これは、よく知られている EKE プロトコルの Diffie-Hellmanバリアントに基づく 3 ラウンドの交換です。

EAP-EKE はRFC 6124で指定されています 。

EAP 用の Nimble 帯域外認証^[28] (EAP-NOOB) は、認証資格情報が事前に設定されておらず、どのサーバーにもまだ登録されていないデバイス用の汎用ブートストラップ ソリューションです。所有者、ネットワーク、サーバーに関する情報が付属していない IoT (モノのインターネット) ガジェットやおもちゃに特に役立ちます。この EAP 方式の認証は、サーバーとピア間のユーザー支援帯域外 (OOB) チャネルに基づいています。EAP-NOOB は、QR コード、NFC タグ、オーディオなど、多くの種類の OOB チャネルをサポートしており、他の EAP 方式とは異なり、プロトコルのセキュリティは、ProVerifおよびMCRL2ツールによる仕様の正式なモデル化によって検証されています。^[29]

EAP-NOOB は、インバンド EAP チャネル上で Ephemeral Elliptic Curve Diffie-Hellman (ECDHE) を実行します。次に、ユーザーは OOB メッセージを転送してこの交換を確認します。たとえば、デバイスが QR コードを表示できるスマート TV である場合、ユーザーはピアからサーバーに OOB メッセージを転送できます。または、たとえば、ブートストラップされているデバイスが QR コードのみを読み取ることができるカメラである場合、ユーザーはサーバーからピアに OOB メッセージを転送できます。

EAPは有線プロトコルではなく、メッセージ形式のみを定義します。EAPを使用する各プロトコルは、そのプロトコルのメッセージ内にEAPメッセージをカプセル化する方法を定義します。^{[30] [31]}

IEEE 802上の EAP のカプセル化はIEEE 802.1Xで定義されており、「EAP over LANs」または EAPOL として知られています。^{[32] [33] [34]} EAPOL はもともと802.1X-2001 でIEEE 802.3イーサネット用に設計されましたが、802.1X-2004 でIEEE 802.11ワイヤレスやファイバー分散データ インターフェイス(ANSI X3T9.5/X3T12、ISO 9314 として採用)などの他の IEEE 802 LAN テクノロジに適合するように明確化されました。 ^{[35] EAPOL プロトコルは、802.1X-2010 で}IEEE 802.1AE (MACsec) およびIEEE 802.1AR (初期デバイス ID、IDevID)で使用するためにも変更されました。 ^[36]

IEEE 802.11i-2004ワイヤレス アクセス ポイント (WAP)などの802.1X 対応ネットワーク アクセス サーバー(NAS) デバイスによって EAP が呼び出されると、最新の EAP 方式によって安全な認証メカニズムが提供され、クライアントと NAS 間で安全な秘密キー (ペアワイズ マスター キー、PMK) がネゴシエートされます。この秘密キーは、TKIPまたはCCMP ( AESに基づく) 暗号化を利用したワイヤレス暗号化セッションに使用できます。

保護拡張認証プロトコル（ Protected Extensible Authentication Protocol、Protected EAPまたは単にPEAPとも呼ばれる）は、潜在的に暗号化され認証されたトランスポート層セキュリティ（TLS）トンネル内にEAPをカプセル化するプロトコルである。^{[37] [38] [39]}その目的は、EAPの欠陥を修正することであった。EAPは、物理的セキュリティによって提供されるような保護された通信チャネルを想定していたため、EAP会話を保護するための機能は提供されていなかった。^[40]

PEAPは、シスコシステムズ、マイクロソフト、RSAセキュリティによって共同で開発されました。PEAPv0はMicrosoft Windows XPに含まれていたバージョンで、draft-kamath-pppext-peapv0-00で名目上定義されていました。PEAPv1とPEAPv2はdraft-josefsson-pppext-eap-tls-eapの異なるバージョンで定義されていました。PEAPv1はdraft-josefsson-pppext-eap-tls-eap-00からdraft-josefsson-pppext-eap-tls-eap-05で定義され、^[41] PEAPv2はdraft-josefsson-pppext-eap-tls-eap-06以降のバージョンで定義されました。^[42]

このプロトコルは、複数のEAPメカニズムの連鎖のみを指定しており、特定の方法は指定していない。^{[38] [43]} EAP-MSCHAPv2とEAP-GTC方式の使用が最も一般的にサポートされている。^{[引用が必要]}

RADIUSプロトコルとDiameter AAA プロトコルはどちらもEAP メッセージをカプセル化できます。これらのプロトコルは、 IEEE 802.1X エンドポイントと AAA サーバー間で EAP パケットを転送して IEEE 802.1X を容易にするために、ネットワーク アクセス サーバー(NAS) デバイスでよく使用されます。

ネットワーク アクセス認証プロトコル( PANA) は、デバイスがネットワークにアクセスを許可されるために自身を認証できるようにする IP ベースのプロトコルです。PANA では、新しい認証プロトコル、キー配布、キー合意、またはキー導出プロトコルは定義されません。これらの目的には EAP が使用され、PANA が EAP ペイロードを伝送します。PANA では、動的なサービス プロバイダーの選択が可能で、さまざまな認証方法をサポートし、ローミング ユーザーに適しており、リンク層メカニズムから独立しています。

EAP は、もともとポイントツーポイント プロトコル(PPP)の認証拡張機能でした。チャレンジ ハンドシェイク認証プロトコル(CHAP) とパスワード認証プロトコル(PAP)の代替として EAP が作成されて以来、PPP は EAP をサポートしてきました。これらのプロトコルは最終的に EAP に組み込まれました。PPP の EAP 拡張機能は、 RFC  2284で最初に定義されましたが、現在はRFC  3748 によって廃止されています。

• 認証プロトコル
• ハンドオーバーキーイング
• ITU-T X.1035

• 「モバイル アクセスのための AAA とネットワーク セキュリティ。RADIUS、DIAMETER、EAP、PKI、および IP モビリティ」。M Nakhjiri。John Wiley and Sons、Ltd.

• RFC 3748: 拡張認証プロトコル (EAP) (2004 年 6 月)
• RFC 5247: 拡張認証プロトコル (EAP) キー管理フレームワーク (2008 年 8 月)
• 安全な 802.1x ワイヤレス LAN 用に RADIUS を構成する
• 安全な PEAP または EAP-TTLS 認証のために RADIUS サーバーに自己署名する方法
• Microsoft TechNet の拡張認証プロトコル
• Windows Vista および Windows Server 2008 の EAPHost
• ワイヤー1x
• 「IETF EAP メソッド更新 (emu) ワーキング グループ」
• 「EAP-POTP 認証プロトコル」。Steel Belted Radius Carrier 7.0 管理および構成ガイド。Juniper Networks。