EAP-TLSによって実現される認証｜情報処理安全確保支援士 平成28年 秋期午前Ⅱ試験 問14
出典：平成28年秋期 午前Ⅱ 問14
分野：セキュリティ ／ セキュリティ実装技術
IEEE 802.1Xで使われるEAP-TLSによって実現される認証はどれか。
- ア：CHAPを用いたチャレンジレスポンスによる利用者認証
- イ：あらかじめ登録した共通鍵によるサーバ認証と，時刻同期のワンタイムパスワードによる利用者認証
- ウ：ディジタル証明書による認証サーバとクライアントの相互認証
- エ：利用者IDとパスワードによる利用者認証
TSUNAGARU-ADVICE
まず押さえたいこと
EAP-TLSは、IEEE 802.1Xで利用される認証方式の一つで、クライアント側と認証サーバ側の双方がデジタル証明書を使って相手を確認します。ポイントは、デジタル証明書による相互認証を行うことです。
迷ったときの判断軸
CHAPはチャレンジレスポンス方式、利用者IDとパスワードによる認証は一般的なパスワード認証です。また、共通鍵とワンタイムパスワードの組合せもEAP-TLSの特徴ではありません。EAP-TLSは、TLS・証明書・相互認証という語を手掛かりに判断しましょう。
科目Bにつなげるために
科目Bでは、IEEE 802.1X・RADIUS・無線LAN認証・証明書・サプリカントなどと組み合わせて問われることがあります。EAP-TLSを覚えるときは、単に認証方式名としてではなく、クライアントと認証サーバが証明書を使って互いの正当性を確認する流れとして整理しましょう。
EAP（Extensible Authentication Protocol）は、IEEE 802.1Xなどで利用される認証の枠組みです。EAP自体が一つの認証方式を決めているのではなく、EAP-TLS・EAP-TTLS・PEAPなど、複数の認証方式を利用できるようにした仕組みです。
EAP-TLSでは、TLSの仕組みとデジタル証明書を利用し、認証サーバだけでなくクライアント側も証明書を提示します。そのため、認証サーバとクライアントがお互いの正当性を確認する相互認証を実現できます。
EAPが利用できる代表的な認証方式には、次のようなものがあります。EAP-TLSはサーバ・クライアント双方のデジタル証明書で相互認証します。EAP-TTLSは、まずTLSによって主にサーバを証明書で認証して安全な通信路を作り、その内部でクライアントをID・パスワードなどによって認証します。PEAPもTLSで安全な通信路を確立し、その中でID・パスワードなどによるクライアント認証を行います。EAP-MD5はチャレンジレスポンスによってクライアントを認証する方式ですが、サーバを認証できません。EAP-FASTは、主にPACと呼ばれる認証情報などを利用して安全なトンネルを確立し、その中で認証を行う方式です。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：CHAPを用いたチャレンジレスポンスによる利用者認証
⇒EAP-TLSはCHAPによって利用者だけを認証する方式ではありません。デジタル証明書を利用してサーバとクライアントを相互認証します。チャレンジレスポンスを用いる方式としては、EAP-MD5などがあります。
イ：あらかじめ登録した共通鍵によるサーバ認証と，時刻同期のワンタイムパスワードによる利用者認証
⇒EAP-TLSでは、共通鍵や時刻同期方式のワンタイムパスワードを組み合わせて相互認証するのではなく、サーバ側・クライアント側のデジタル証明書を利用します。
エ：利用者IDとパスワードによる利用者認証
⇒ID・パスワードを利用したクライアント認証は、PEAPやEAP-TTLSのTLSトンネル内部などで利用されることがあります。EAP-TLSではクライアント側もデジタル証明書を用いて認証します。