EAP認証方式とは？ネットワークセキュリティを高めるEAPの種類と選び方

企業の無線LAN環境において、セキュリティの要となるのが認証技術です。本記事では、無線ネットワーク認証の標準技術であるEAP（Extensible Authentication Protocol：拡張認証プロトコル）について、その基本概念、主要な種類、そして方式ごとの安全性の違いを詳しく解説します。

EAP（拡張認証プロトコル）とは何か

無線ネットワークやポイントツーポイント接続において、EAPは主に認証フレームワークとして使用されます。EAPはそれ自体が一つの認証方式ではなく、多様な認証方法を取り込める柔軟な枠組みである点が特徴です。共通機能の提供に加え、クライアントとサーバー間での認証方式のネゴシエーション（折衝）を可能にし、実際の認証処理も担います。

EAPの主な種類

広く導入されているEAP認証タイプには、EAP-MD5、EAP-TLS、PEAP、EAP-TTLS、EAP-FAST、Cisco LEAPなどがあります。

• EAP-MD5（チャレンジ）：メッセージダイジェストを用いた最も基本的なEAP認証方式です。
• EAP-TLS：デジタル証明書による相互認証を行う、最も安全性の高い方式の一つです。
• PEAP：TLSトンネル内で認証情報を保護する方式です。
• EAP-TTLS：サーバー側のみ証明書を必要とするトンネリング方式です。
• EAP-FAST：Ciscoが開発した、証明書を使わず安全なトンネリングを実現する方式です。
• Cisco LEAP：Cisco独自の軽量型EAP認証方式です。

組織に最適なEAP方式の選び方

どのEAP方式を選ぶべきかは、組織にとって何が最も重要かによって異なります。セキュリティを最優先するのであれば、EAP-TLSが最も安全な選択肢となります。ただし、EAP-TLSは各エンドユーザーがPKI（公開鍵基盤）を持つことが前提となるため、運用コストや管理負荷も考慮する必要があります。

RADIUSにおけるEAPの役割

EAP方式を利用することで、ファイアウォールとRADIUSサーバーの間にVPNトンネルを確立し、ユーザー名やパスワードなどの認証情報を安全に送信できます。EAPは外側トンネルと内側トンネルの二層構造を作り出すことで、認証データを強固に保護します。

PPPとの関係

EAPは、コンピュータをインターネットに接続するために使われるPPP（Point-to-Point Protocol）の認証方式を拡張するプロトコルです。無線ネットワーク向けの認証プロトコルとしても機能し、各認証方式が動作するためのメカニズムと標準を規定するフレームワークとしての役割を果たします。

EAP-AKAとは

EAP-AKA（Extensible Authentication Protocol Method for UMTS Authentication and Key Agreement）は、UMTS加入者識別モジュール（USIM）を用いて認証と鍵配布を行う方式です。第3世代UMTSネットワークのUSIM機能を活用して無線LANの認証に利用でき、その仕様はRFC 4187で定められています。また、改良版であるEAP-AKA'（AKA Prime）はRFC 5448で規定されており、RadiatorのEAP-AKAモジュールはRFC 4187およびRFC 5448の両方に対応しています。

EAP-TLSは安全か

EAP-TLSは強力なセキュリティを提供することで知られ、EAPの中でも最も安全な方式の一つとされています。EAP-TLSで接続するには、サーバー側とクライアント側の両方のデジタル証明書が必要です。信頼できる認証局（CA）によって署名された証明書でなければ、クライアントもサーバーも相手の証明書を信用しません。WLAN認証ではEAP-TLSが広く採用されており、事実上の標準的な存在となっています。

PEAP（Protected EAP）とは

PEAP（Protected Extensible Authentication Protocol）は、無線ネットワークで使用される認証プロトコルEAPの拡張版です。IEEE 802.11 WLANや802.1Xポートベースのアクセス制御環境において、認証通信のセキュリティを高めることを目的として設計されました。TLSトンネルで認証情報を暗号化することで、盗聴や中間者攻撃から守ります。

EAPの用途

EAPは、ローカルエリアネットワーク（LAN）やダイヤルアップ接続における認証メカニズムとして使用されます。特に無線LANでは、アクセスポイントとクライアント間の認証にEAPが活用されており、企業のWi-Fi環境におけるセキュリティの中核を担っています。

LEAPとPEAPの違い

EAP-TLSとPEAPの最大の違いは、証明書への依存度にあります。EAP-TLSではサーバーだけでなく、すべての無線クライアントにも証明書が必要です。一方、Ciscoが開発したLEAP（Lightweight Extensible Authentication Protocol）は、CHAPを改変した軽量で可搬性の高い方式であり、デジタル証明書を必要としません。ただし、LEAPには脆弱性が指摘されているため、現在ではより安全な方式への移行が推奨されます。

CiscoのEAP実装

Ciscoの認証プロトコルであるLEAPは、パスワード認証と連携して動作し、RADIUSなどの認証インフラとも組み合わせて使用できます。LEAPはPPPの拡張であるEAPをベースとして設計されています。

最も安全なEAP方式はどれか

結論から言えば、EAP-TLSが最も安全なEAP方式です。この方式では、クライアントとサーバーの双方が証明書を提示する必要があります。互いの証明書を検証し合う「相互認証」により、なりすましや盗聴のリスクを大幅に低減できます。

EAP-TLSとPEAP、どちらが安全か

PEAP-EAP-TLSはEAP-TLSと動作が非常に似ていますが、わずかに高い保護力を提供します。EAP-TLSでは暗号化されずに送信されるクライアント証明書の一部が、PEAP-EAP-TLSではTLSトンネル内で暗号化されるためです。なお、PEAP-EAP-TLSを利用するには、クライアント側のデジタル証明書またはより安全なスマートカードの導入が必要です。

EAP-TLSとEAP-TTLSの違い

EAP-TLS（Transport Layer Security）では、証明書によってクライアントとネットワークの両方が認証されます。一方、EAP-TTLSはサーバー側のみ証明書を必要とし、クライアント側の証明書は不要という点が異なります。また、証明書を使わず安全なトンネリングで認証を行う方式として、EAP-FAST（Flexible Authentication via Secure Tunneling）があります。

EAPとRADIUSの違い

EAPは共有秘密鍵などさまざまな手法を用いて安全な認証を実現する汎用的なプロトコルであるのに対し、RADIUSは認証目的に共有秘密鍵のみを使用するプロトコルです。実際には、RADIUSサーバーがEAPメッセージを中継する形で両者が連携することが多く、補完関係にあると言えます。

EAP-TLSの仕組み

EAP-TLSでは、TLS公開鍵証明書認証メカニズムを用いて、クライアントからサーバーへ、そしてサーバーからクライアントへの相互認証が行われます。EAP-TLSを使用する際には、信頼できる認証局（CA）がクライアントとサーバーの両方にデジタル証明書を発行している必要があります。