EAP
puchi-engineerEAP
EAP（Extensible Authentication Protocol）は、ネットワーク上での認証プロトコルです。EAPは、認証プロセスの途中で何らかの認証情報を送信し、認証を行います。EAPは、様々な認証方式に対応しており、拡張性が高いことが特徴です。
EAPは、クライアントと認証サーバーの間で行われる認証プロセスに用いられます。EAPでは、認証情報の送信には暗号化が用いられるため、通信内容が盗聴されることを防ぐことができます。EAPの利用により、ネットワーク上でのセキュリティが向上し、不正アクセスやハッキングなどのリスクを低減することができます。
EAPは、以下のような様々な認証方式に対応しています。
- EAP-MD5：ユーザー名とパスワードを用いた認証方式。
- EAP-TLS：X.509証明書を用いた認証方式。
- EAP-TTLS：TLSを用いた認証方式。
- PEAP：EAP-TLSやEAP-MSCHAPv2をトンネリングして認証する方式。
- EAP-SIM：SIMカードを用いた認証方式。
- EAP-AKA：UMTSネットワークで使用される認証方式。
EAPは、様々なネットワーク技術で利用されています。例えば、無線LAN（Wi-Fi）では、WPA2やWPA3においてEAPが利用され、セキュアな通信を実現しています。また、VPN接続やモバイルネットワークでもEAPが利用されています。
EAP-MD5
EAP-MD5は、EAP（Extensible Authentication Protocol）の一種であり、ユーザー名とパスワードを用いた認証方式です。
EAP-MD5では、認証サーバーからクライアントに対してランダムなチャレンジ（challenge）が送信されます。クライアントは、自身のパスワードとチャレンジをMD5ハッシュ関数でハッシュ化して、認証サーバーに送信します。認証サーバーは、クライアントから受信したハッシュ値を自身が持つパスワードのハッシュ値と比較することで、クライアントの認証を行います。
EAP-MD5の利点は、実装が簡単であることです。しかし、MD5は暗号学的に安全でないことが判明しており、セキュリティ面での不安定性が指摘されています。また、ユーザー名とパスワードが平文で送信されるため、盗聴攻撃に弱いという欠点もあります。
そのため、現在はEAP-MD5の代わりに、よりセキュアな認証方式であるEAP-TLSやEAP-PEAPなどがよく使われています。
EAPOL
EAPOL（Extensible Authentication Protocol over LAN）は、ネットワークに接続するクライアントデバイスと認証サーバー間でEAPを使用して認証を行うためのプロトコルです。EAPOLは、IEEE 802.1Xとともに使用され、有線および無線LANのセキュリティを確保するために広く採用されています。
EAPOLは、ネットワークへの接続を開始する際に、クライアントデバイスが認証サーバーに対して自身を認証する必要がある場合に使用されます。クライアントデバイスは、IEEE 802.1Xを使用してスイッチやアクセスポイントに接続し、EAPOLフレームを使用して認証情報を認証サーバーに送信します。
EAPOLフレームは、認証セッションの開始、維持、終了に使用されます。EAPOLフレームには、以下の3つのタイプがあります。
- EAPOL-Startフレーム：認証セッションを開始するためにクライアントから認証サーバーに送信されるフレーム。
- EAPOL-Logoffフレーム：認証セッションを終了するためにクライアントから認証サーバーに送信されるフレーム。
- EAPOL-Keyフレーム：認証に成功した後に、クライアントデバイスとアクセスポイント（またはスイッチ）間で共有されるセッション鍵の交換に使用されるフレーム。
EAPOLを使用することで、ネットワークのセキュリティを強化し、不正なアクセスを防止することができます。また、EAPOLは、多くの種類の認証方式に対応しているため、さまざまなネットワークで使用されています。
EAP-PEAP
EAP-PEAP（Protected Extensible Authentication Protocol）は、EAPを拡張した認証プロトコルであり、クライアントデバイスと認証サーバー間での認証情報の暗号化を提供します。EAP-PEAPは、Microsoftが開発したプロトコルであり、多くの企業ネットワークや教育機関などで使用されています。
EAP-PEAPは、一般的に以下の2つのフェーズから構成されます。
- EAP-TLS Handshake Phase 最初のフェーズでは、クライアントデバイスと認証サーバー間で、EAP-TLS（Transport Layer Security）を使用して暗号化通信を確立します。このフェーズでは、クライアントデバイスが認証サーバーに証明書を提示し、認証サーバーがそれを検証することで、お互いを確認します。
- EAP-PEAP Authentication Phase 2番目のフェーズでは、EAP-PEAPを使用して、クライアントデバイスと認証サーバー間でユーザーの認証情報を暗号化してやり取りします。このフェーズでは、認証サーバーがクライアントデバイスに対して認証の要求を送信し、クライアントデバイスがユーザーの認証情報を入力します。クライアントデバイスが認証情報を暗号化して送信するため、中間者攻撃などによる情報漏洩を防止することができます。
EAP-PEAPは、EAP-MD5やEAP-MSCHAPv2などの認証方式をサポートしています。EAP-PEAPを使用することで、ネットワークのセキュリティを高め、ユーザーの認証情報を保護することができます。また、EAP-PEAPは、IEEE 802.1Xに準拠しており、多くの種類のネットワークで使用されています。
EAP-TLS
EAP-TLS（Transport Layer Security）は、EAP（Extensible Authentication Protocol）の一種で、クライアントと認証サーバーの間での安全な通信を確立するために使用される認証プロトコルです。EAP-TLSは、デジタル証明書を使用して、相互に信頼できる通信を行うことができます。
EAP-TLSの動作は以下のようになります。
- クライアントが認証サーバーに対して接続要求を送信します。
- 認証サーバーが、自己証明書とルート証明書のペアをクライアントに提供します。
- クライアントは、自己証明書とルート証明書を検証し、認証サーバーの信頼性を確認します。
- クライアントは、認証サーバーに対して自分自身の証明書を提供します。
- 認証サーバーは、クライアントの証明書を検証し、クライアントの正当性を確認します。
- 認証が成功した場合、認証サーバーは、クライアントにセキュリティトークンを発行します。
- クライアントは、トークンを使用して、アクセス制御されたネットワークリソースにアクセスします。
EAP-TLSは、クライアントと認証サーバー間でデジタル証明書を使用して認証を行うため、中間者攻撃やパスワード盗難などの攻撃に対して非常に強力なセキュリティを提供します。また、EAP-TLSは、802.1X規格に準拠しており、有線および無線ネットワークで広く使用されています。ただし、デジタル証明書を取得するためにはコストがかかるため、導入コストが高いという欠点があります。
EAP-TTLS
EAP-TTLS（Tunneled Transport Layer Security）は、EAP（Extensible Authentication Protocol）の一種で、認証を行うために暗号化されたトンネルを提供します。EAP-TTLSは、ユーザー名とパスワードを使用して、認証サーバーとクライアント間で安全な通信を確立するために使用されます。
EAP-TTLSの動作は以下のようになります。
- クライアントが認証サーバーに接続要求を送信します。
- 認証サーバーは、クライアントに対して自己証明書を提供します。
- クライアントは、自己証明書を検証し、認証サーバーの信頼性を確認します。
- クライアントは、自分自身の証明書を提供し、ユーザー名とパスワードを暗号化して送信します。
- 認証サーバーは、ユーザー名とパスワードを受け取り、LDAPやRADIUSなどの外部認証サーバーに送信して検証します。
- 外部認証サーバーが認証に成功した場合、認証サーバーは、クライアントにセキュリティトークンを発行します。
- クライアントは、トークンを使用して、アクセス制御されたネットワークリソースにアクセスします。
EAP-TTLSは、EAP-TLSと同様に強力なセキュリティを提供しますが、より柔軟性があります。EAP-TTLSは、外部認証サーバーとの統合が容易であり、ユーザー名とパスワードを暗号化するため、中間者攻撃やパスワード盗難などの攻撃から保護されます。また、EAP-TTLSは、802.1X規格に準拠しており、有線および無線ネットワークで広く使用されています。
