平成28年度秋期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14：EAP-TLSは「証明書でお互いに身分確認する」方式だよ

IEEE 802.1X の EAP-TLS は、デジタル証明書を使って、認証サーバとクライアントがお互いに「あなたは本物ですね？」と確認し合う方式だよ。たとえるなら、入口で利用者だけが社員証を見せるのではなく、受付側も正式な受付だと証明してから入場するイメージだね。

この問題で問われていること

この問題では、EAP-TLS が共有鍵や OTP、CHAP、ID・パスワード方式とは違い、TLS の仕組みを使って証明書ベースの相互認証を行う点を押さえよう。単にパスワードを知っているかではなく、「正しい証明書を持つ相手か」を確認するのがポイントだよ。

EAP-TLS の認証

EAP-TLS は TLS を使うため、サーバ証明書だけでなくクライアント証明書も用いて双方が相手を検証します。パスワード方式とは前提が違います。

クライアント証明書 <-> サーバ証明書\n相互認証

確認ポイント

• CHAP や ID/パスワードは証明書相互認証ではありません。
• 共通鍵 + OTP 方式とも別物です。
• TLS の名前から証明書ベースと判断します。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。CHAPのチャレンジレスポンスは、受付が出した質問に正しく答えられるかで本人確認するような仕組みだね。EAP-TLSはCHAPを使う方式ではなく、ディジタル証明書を使ってお互いの正当性を確認する方式なんだ。

選択肢イ

これは不正解だよ。共通鍵やワンタイムパスワードは、あらかじめ決めた合言葉や毎回変わる暗証番号で確認するイメージだね。でもEAP-TLSはそれではなく、証明書を見せ合って「本物のサーバだよ」「本物のクライアントだよ」と確認する方式なんだ。

選択肢ウ（正解）

これは正解だよ。EAP-TLSは、サーバとクライアントがそれぞれディジタル証明書を見せ合って、お互いに本物か確認する方式なんだ。たとえるなら、入館ゲートで警備員の身分証も確認し、入る人の身分証も確認するようなものだよ。

選択肢エ

これは不正解だよ。利用者IDとパスワードは、受付で名前と合言葉を言うようなものだね。EAP-TLSはそれよりも、身分証明書にあたるディジタル証明書を使って、サーバ側とクライアント側の両方を確認する方式だよ。