はじめに
普段使ってるWi-Fiですが、その裏側ではどのような認証が使われているかを意識することはあまりないですよね。
業務でWi-Fiの認証方式について調べる機会があり、せっかくなので少し体系的にまとめて記事にしてみました！
詳細な解説は少なめですが、Wi-Fiの認証周りでよく出てくる用語をなんとなく理解したいなという方の参考になりましたら幸いです。
そもそもWi-Fiって？
Wi-Fiとは、総務省の国民のためのサイバーセキュリティサイトによると以下のように説明されています。
無線通信の国際標準通信規格で、IEEE802.11シリーズ（IEEE802.11a / IEEE802.11b / IEEE802.11g / IEEE802.11n / IEEE802.11acなど)を利用した無線通信のこと。
ここでIEEE802.11シリーズとは無線LANの通信規格を指すため、ざっくり「会社内や家庭内などでパソコンやスマホなどを無線で通信するための通信規格」という理解で良さそうです。
以降はWi-Fiの認証関連の用語を箇条書きでまとめます。
WPA
- Wi-Fi Protected Accessの略
- Wi-Fiの通信を暗号化するための規格
- 具体的には、無線ルーターとPC間の通信を暗号化するための規格
- 昔はWEPという暗号化規格が使われていたが、破られやすいためWPAが登場した
- WEPにはなかったユーザー認証機能を備えている
- 認証方法は以下の2種類があり、認証方式によってWPAパーソナル(WPA-PSK)とWPAエンタープライズ(WPA-EAP)に分かれる
- PSK(Pre-Shared Key)認証：WPAパーソナル
- IEEE802.1X認証：WPAエンタープライズ
WPAパーソナル
- 事前共有鍵（PSK）を使って認証する方式で、WPAまたはWPA2、WPA3の暗号化規格と組み合わせて使用される
- PSKとはルーター機器の裏側に記載されている暗号化キーのこと
- 暗号化の規格がWPA2の場合、WPA2パーソナルと呼ばれる
- 個人使用のWi-Fiルータでよく使われる
- 少数の機器に対して暗号鍵を設定する手間よりも、認証サーバを用意する負担の方が大きいため
WPAエンタープライズ
- 認証サーバを使って認証する方式で、WPAまたはWPA2、WPA3の暗号化規格と組み合わせて使用される
- 暗号化の規格がWPA2の場合、WPA2エンタープライズと呼ばれる
- 大企業や大学などでよく使われる
- 認証サーバを用意する負担よりも、たくさんの機器に対して暗号鍵を設定する手間の方が大きいため
IEEE802.1X認証
- ネットワーク機器に接続された端末の認証やアクセス制を行うためのプロトコル規格
- 通常「802.1X認証」と略される
構成要素
- サプリカント(Supplicant)
- スマホやPCなどのクライアント、またはそのクライアント側の認証プログラム
- 認証装置(Authenticator)
- 無線LANアクセスポイントやスイッチなどのネットワーク機器
- 認証サーバー
- ユーザー認証を行うサーバー
通信プロトコル
- EAPOL (Extensible Authentication Protocol over LAN)
- 802.1X認証で使われる認証プロトコル
- サプリカントと認証装置の間で認証情報をやり取りするためのプロトコル
- EAPOL自体は暗号化されないが、TLSなどの暗号化プロトコルを組み合わせて安全性を確保する
- 以下のような認証プロトコルがEAPOLの中で使われる
- EAP-TLS
- EAP-TTLS
- PEAP
- RADUIS (Remote Authentication Dial-In User Service)
- 認証サーバーと認証装置の間で認証情報をやり取りするためのプロトコル
- 通信内容は暗号化される
EAP-TLS
- TLS（Transport Layer Security）を用いて認証を行う
- サーバー認証書だけでなくクライアント証明書の両方が必要
EAP-TTLS
- TTLS ( Tunneled Transport Layer Security)
- TLSを用いて使用する暗号アルゴリズムのネゴシエーションとサーバ認証・鍵交換を行う
- 上記の後、ユーザ名とパスワードを用いてクライアント認証（内部認証）を実現すること目的としたプロトコル
- 内部認証には、PAP、CHAP、MS-CHAP、MS-CHAPV2などが利用される
- 構成要素に、TTLSサーバーが追加される
- ただしTTLSサーバーと認証サーバーが同一の場合もある
- クライアント証明書を利用する代わりにユーザー名，パスワードを使う
- TLSのセッションを確立した後にユーザー名とパスワードを送信する
- クライアント側に証明書をインストールする必要が無いのとクライアント証明の管理が不要であるため手軽
PEAP
- Protected EAPの略
- ほとんどEAP-TTLSと同じ
- Microsoft, Cisco, RSA Securityが共同で開発
- TTLSサーバーと認証サーバーが分割されている場合は、トンネル化される区間がEAP-TTLSとPEAPで異なるが、現状では認証サーバーが双方の機能をサポートしているため差異が無いとも言える。
参考資料