無線LANの情報セキュリティ対策｜情報処理安全確保支援士 平成29年 秋期午前Ⅱ試験 問17
出典：平成29年秋期 午前Ⅱ 問17
分野：セキュリティ ／ セキュリティ実装技術
無線LANの情報セキュリティ対策に関する記述のうち，適切なものはどれか。
- ア：EAPでは，クライアントPCとアクセスポイントとの間で，あらかじめ登録した共通鍵による暗号化通信を実現できる。
- イ：RADIUSでは，クライアントPCとアクセスポイントとの間で公開鍵暗号方式による暗号化通信を実現できる。
- ウ：SSIDは，クライアントPCごとの秘密鍵を定めたものであり，公開鍵暗号方式による暗号化通信を実現できる。
- エ：WPA2-Enterpriseでは，IEEE802.1Xの規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実現できる。
TSUNAGARU-ADVICE
まず押さえたいこと
WPA2-Enterpriseは、企業などの無線LANで使われる認証・暗号化方式です。IEEE802.1Xに沿って利用者認証を行い、認証後に動的に配布される暗号化鍵を使って通信を保護します。ポイントは、利用者認証と動的な暗号化鍵を組み合わせることです。
迷ったときの判断軸
EAPは認証方式を運ぶための枠組みであり、事前共有鍵による暗号化通信そのものではありません。RADIUSは認証サーバとの連携に使われるプロトコルであり、クライアントPCとアクセスポイント間の公開鍵暗号通信を直接実現するものではありません。SSIDは無線LANのネットワーク名であり、秘密鍵ではありません。無線LANの認証では、IEEE802.1X・EAP・RADIUS・暗号化鍵の役割を分けて整理しましょう。
科目Bにつなげるために
科目Bでは、無線LAN・アクセスポイント・RADIUSサーバ・サプリカント・IEEE802.1X認証・証明書認証などを組み合わせて問われることがあります。構成図を読むときは、誰が利用者を認証し、アクセスポイントがどの通信を中継し、認証後にどの鍵で通信を暗号化するのかを追い、認証と暗号化を分けて考える視点を持ちましょう。
WPA2-Enterpriseでは、IEEE 802.1Xに基づき、利用者や端末ごとに認証を行います。一般に、アクセスポイントが認証要求を中継し、RADIUSサーバなどが認証処理を担当します。
認証に成功すると、通信ごとに動的に生成・配布される暗号化鍵を用いて無線通信を暗号化できます。全利用者が同じ事前共有鍵を使うWPA2-Personalと比べて、利用者単位の管理に適しています。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：EAPでは，クライアントPCとアクセスポイントとの間で，あらかじめ登録した共通鍵による暗号化通信を実現できる。
⇒EAPは、認証方式を拡張するための枠組みです。あらかじめ登録した共通鍵によって無線通信を暗号化する仕組みそのものではありません。事前共有鍵を利用する方式は、WPA2-Personalなどです。
イ：RADIUSでは，クライアントPCとアクセスポイントとの間で公開鍵暗号方式による暗号化通信を実現できる。
⇒RADIUSは、認証・認可・アカウンティングを一元管理するためのプロトコルです。クライアントPCとアクセスポイント間の無線通信を、公開鍵暗号方式で直接暗号化する仕組みではありません。
ウ：SSIDは，クライアントPCごとの秘密鍵を定めたものであり，公開鍵暗号方式による暗号化通信を実現できる。
⇒SSIDは、無線LANのネットワークを識別するための名称です。クライアントPCごとの秘密鍵を定めるものでも、公開鍵暗号方式による暗号化を実現するものでもありません。