ネットワーク・通信セキュリティ 重要度:★★★出題: AM2・PM1
IEEE 802.1X 検疫ネットワーク と WPA2/WPA3エンタープライズ
あいとりぷるいーはちまるにーてんいちえっくす / だぶりゅーぴーえーすりー / IEEE 802.1X Port-based Network Access Control / WPA3-Enterprise
有線LANスイッチや無線LANアクセスポイントへの接続時に、RADIUSサーバと連携して端末・利用者を厳格認証し、未認証端末の通信をポート遮断する規格。
3行速習ポイント
- 3つの構成要素：①サプリカント（クライアント端末）、②オーセンティケータ（L2スイッチ / 無線LAN AP）、③認証サーバ（RADIUSサーバ）
- EAP-TLS方式ではクライアント証明書とサーバ証明書の双方を検証（相互認証）し、会社貸与PC以外の私物端末の接続を完全排除
- WPA3ではパーソナルモードの鍵交換にSAE（Simultaneous Authentication of Equals：Dragonflyハンドシェイク）を採用し、辞書攻撃やKRACK攻撃への耐性を強化
図解
図IEEE 802.1X（EAP-TLS）検疫・ポート認証シーケンス
11. サプリカント接続（未認証ポート遮断）
サプリカントEAPOLフレーム以外の全通信（DHCP等）をブロック
クライアント（サプリカント）がL2スイッチや無線LAN AP（オーセンティケータ）に接続。認証完了前はEAPOL以外の通信を完全遮断
22. オーセンティケータによる認証中継
オーセンティケータEAPメッセージをRADIUSパケットに変換して中継
スイッチ/APが端末からのEAP認証情報をRADIUSプロトコルに載せ替え、バックエンドのRADIUS認証サーバへ転送
33. EAP-TLS 相互認証（RADIUSサーバ）
認証サーバ (RADIUS)クライアント証明書とサーバ証明書の双方向検証
TPM等に格納されたクライアント証明書で正規貸与端末かを検証し、同時に端末側もRADIUSサーバ証明書を検証して偽AP（Rogue AP）を排除
44. ポート開放・動的VLAN割当・DHCP取得
通信許可・DHCP個別暗号鍵の配布とVLAN決定後にIPアドレス取得
RADIUSからのAccess-Accept受信後、ポートを開放し部署別/検疫VLANを動的割当。その後DHCPによりIPアドレスが割り当てられる
💡 認証と暗号鍵配布が完了するまでDHCPを含む一切の業務通信は遮断され、認証成功後に初めてDHCPによるIPアドレス割当てが行われる
概要と本質
全社員が同じ事前共有鍵（PSK）を使い回すWPA2パーソナルでは、退職者や私物スマホの接続を防げず、暗号通信の傍受リスクもあります。WPA2/WPA3エンタープライズ（IEEE 802.1X）は利用者・端末ごとに異なる証明書（EAP-TLS）で認証し、セッションごとに個別の暗号鍵を動的生成・配布します。
重要ポイント・コア概念
- 認証完了前の通信ブロック：802.1X認証が成功し暗号鍵が配布されるまで、オーセンティケータはEAPOLフレーム以外の通信（DHCP等を含む）をすべて遮断する
- ダイナミックVLAN連携：RADIUSサーバからの応答属性に基づき、部署や端末状態（検疫VLANなど）に応じて所属VLANを動的に切り替え
- 不正AP（Rogue AP）対策：EAP-TLSで端末側がRADIUSサーバの電子証明書を検証することで、攻撃者が設置した偽SSIDのAPへの誤接続を防止
午後記述・情報セキュリティ対策での攻略ポイント
令和3年春期午後II問2などで出題。「サプリカント・認証装置・認証サーバの対応付け」「DHCPでIPアドレスが割り当てられるタイミング（認証と暗号鍵配布が完了した後）」「EAP-TLSでの秘密鍵エクスポート禁止」は必出ポイントです。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
