IEEE802.1AE は、

IEEE 802.1AE（別名MACsec ）は、メディアアクセス制御層で動作し、メディアアクセスに依存しないプロトコルのコネクションレスデータの機密性と整合性を定義するネットワークセキュリティ標準です。IEEE 802.1ワーキンググループによって標準化されています。^[1]

キー管理と安全なアソシエーションの確立は 802.1AE の範囲外ですが、802.1X-2010で指定されています。

802.1AE規格は、同じLANに接続されたステーションの一部とみなすことができるMACセキュリティエンティティ（SecY）の実装を規定し、クライアントに安全なMACサービスを提供します。この規格では、

• MACsec フレーム形式はイーサネットフレームに似ていますが、追加のフィールドが含まれています。
  • セキュリティタグはEtherTypeの拡張である
  • メッセージ認証コード( ICV )
• セキュア接続アソシエーションは、一方向のセキュア チャネルを介して接続されたステーションのグループを表します。
• 各セキュア チャネル内のセキュリティ アソシエーション。各アソシエーションは独自のキー (SAK) を使用します。トラフィックを中断せずにキーを変更する目的で、チャネル内で複数のアソシエーションが許可されます (標準では、デバイスが少なくとも 2 つをサポートする必要があります)
• デフォルトの暗号スイートはGCM-AES-128 ( 128 ビット キーの Galois/Counter Mode of Advanced Encryption Standard暗号) です。
  • 256 ビット キーを使用するGCM-AES-256 は、5 年後に標準に追加されました。

各フレーム内のセキュリティ タグには、EtherTypeに加えて次のものが含まれます。

• チャネル内の関連付け番号
• パケット番号は、暗号化および認証アルゴリズムの一意の初期化ベクトルを提供し、リプレイ攻撃に対する保護も提供します。
• オプションの LAN 全体のセキュア チャネル識別子 (SCI)。ポイントツーポイント リンクでは必要ありません。

IEEE 802.1AE (MACsec) 標準は、イーサネット LAN を通過するデータを保護するためのセキュリティ要件を満たす一連のプロトコルを指定します。

MACsec を使用すると、不正な LAN 接続を識別し、ネットワーク内の通信から除外することができます。IPsec や TLS と同様に、 MACsecはデータの機密性、データの整合性、およびデータ発信元の認証を提供するセキュリティ インフラストラクチャを定義します。

MACSec は、フレームがそれを送信したと主張したステーションから送信されたことを保証することで、レイヤー 2 プロトコルに対する攻撃を軽減できます。

出版履歴:

• 2006年 – 初版 (802.1AE-2006) ^[2]
• 2011年 - 802.1AEbnの修正により、256ビットのキーを使用するオプションが標準に追加されました。(802.1AEbn-2011) ^[2]
• 2013年 - 802.1AEbw改正では、パケット数を64ビットに拡張するために、GCM-AES-XPN-128およびGCM-AES-XPN-256暗号スイートが定義されました。(802.1AEbw-2013) ^[3]
• 2017 – 802.1AEcg修正案ではイーサネットデータ暗号化デバイスが規定されています。(802.1AEcg-2017) ^[4]
• 2018 – 802.1AE-2018 ^[5]

• Kerberos – チケットを使用して、安全でないネットワークを介して通信するノードが、安全な方法で互いに ID を証明できるようにします。
• OSIモデル § レイヤー2: データリンク層
• 仮想LAN (VLAN) – コンピュータネットワーク内のデータリンク層で分割され分離されたブロードキャストドメイン
• IEEE 802.11i-2004 (WPA2)
• Wi-Fi 保護アクセス(WPA)
• 有線同等プライバシー(WEP)

• 802.1AE-2018 (登録が必要)
• MACsec ツールキット - IEEE 802.1X-2010 (MACsec コントロール プレーン) および IEEE802.1AE (MACsec データ プレーン) のソース コード ツールキット実装