vol72. IEEE802.1Xとは

MACSecで使用する鍵の配布は、IEEE802.1Xで規定されているMKA(MACsec Key Agreement) プロトコルを利用する 　

IEEE802.1Xとは、無線LANの認証や、企業内ネットワークにアクセスする際の認証に使われ ている認証プロトコルだ

IEEE802.1Xをよくわかっていなかったので、しらべてみた

f:id:john-rama01:20211102012128p:plain
出展: https://program.sagasite.info/wiki/index.php?IEEE802.1X

IEEE802.1X とは

  • ユーザー認証の技術/規格

    • LANスイッチや無線LANのアクセス・ポイントで使用
      • 802.1Xに対応したLANスイッチとPCをケーブルを接続しても、すぐにLANを利用できない
      • 接続されたパソコンを認証し、正しいユーザーであることをチェックしてから、LAN を利用可能にする
      • 認証によって、LANスイッチがユーザーから送られてきたフレームを通過させたり遮 断したりする

    • 無線LANにおける認証機構として利用

    • EAPOL(EAP over LAN)フォーマットを定義

  • 歴史

    • 2001年にinitial versionが発行される
    • 無線LAN環境で先に普及した
      • 当初は有線LANでの使用を目的に策定された規格

  • システム

    • 認証装置(authenticator)

      • IEEE802.1Xに対応したLANスイッチや無線LANアクセス・ポイント

    • サプリカント(Supplicant)

      • 認証を受けるパソコン/デバイス
        • 認証に必要な情報を決められた手順にしたがってやりとりする

    • 認証サーバー(Authentication Server)

      • IEEE802.1X/EAPに対応したRadiusサーバを使用
      • 実際にユーザーを認証する
        • 認証装置はサプリカントから受け取った認証情報を認証サーバーに転送
          • LANの利用を許可するかどうかを判断してもらう

    • その他

      • クライアント認証の際に「証明書」を使用する場合、証明書を発行するための CA(認証局)が必要

IEEE

  • 802.1X-2001
    • initial version
  • 802.1X-2004
    • ??
    • minor changeっぽい
  • IEEE 802.1X-2010
    • Specifies the MACsec Key Agreement (MKA) protocol
  • IEEE 802.1Xbx–2014 (ammendments)
    • MKA Extension
      • 802.1AEbw-2013 対応
      • XPN追加
  • IEEE 802.1Xck-2018 (ammendments)
    • YANG Data Model
  • IEEE Std 802.1X-2020

EAP 認証方式の種類

以下の認証方式がある

TLSやPEAPがデファクトスタンダード(*2)
　

  • EAP-MD5

    • やること
      • MD5ハッシュによるチャレンジ&レスポンス認証
        • 平文を流さないためにMD5ハッシュを用いる
        • ユーザー名とパスワードによる認証
    • クライアント側のみ認証
      • サーバ認証を行わないので、クライアントが不正なサーバにアクセスしてしまう 可能性がある
    • セキュリティ的に非常に弱い

  • EAP-LEAP

  • EAP-FAST

    • LEAPの後継

  • EAP-TLS

    • デジタル証明書とSSL/TLSによる暗号化を使う
      • サーバーとクライアントの相互で証明書による認証
        • 両者に証明書をインストールしておく必要がある
    • やること
      • ディジタル証明書を用いたPKIによる相互認証
      • キーの配布
      • 各シーケンスにおけるパケットの暗号化

  • EAP-TTLS

    • EAP-TLSの拡張版
      • TLS認証の後，一般的なRADIUSでのユーザ認証を実行
    • デジタル証明書とSSL/TLSによる暗号化を使う
    • 米ファンク・ソフトウェア社 (Funk Software) が開発
    • ユーザー名とパスワードによる認証
      • EAP-TLSでは不可欠となるディジタル証明書をユーザに配布するわずらわしさがない

  • EAP-PEAP

    • TLS認証で認証の後，EAP自体をカプセル化して安全性を高めた上で認証
    • デジタル証明書とSSL/TLSによる暗号化を使う
    • Protected Extensible Authentication Protocol
    • SSL/TLSでトランスポート層を暗号化して経路上の盗聴を防ぎ、ユーザ名や パスワードを安全に送受信
    • 米Microsoft、Cisco Systems、RSA Securityの3社によって開発
    • IDとパスワードで認証する方式
    • デジタル証明書とSSL/TLSによる暗号化を用いる
    • ユーザー名とパスワードによる認証
      • EAP-TLSでは不可欠となるディジタル証明書をユーザに配布するわずらわしさがない

f:id:john-rama01:20211102010743j:plain
EAP認証方式まとめ
出展: http://www.bluewolfspirit.com/notes/security-written/version_41_20_eap_methods.html

(補足) 上記以外にもEAPのバリエーションは増え続けている

まとめ

なるほどねー

無線LANのエンタープライズモードは、IEEE802.1Xを使うという意味だったのかー
それ以外にも、企業向けのネットワークの認証とかでIEEE802.1Xが使われるのね

そして、そのしくみをMACSecのキーの配布に使うというのがMKA

やっと理解できた

参考

  1. https://www.silex.jp/blog/wireless/2013/09/eap1.html
  2. https://www.silex.jp/blog/wireless/2013/10/eap2.html
  3. https://program.sagasite.info/wiki/index.php?IEEE802.1X