平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問16

午前II 問16：EAP-TLSは“証明書で本人確認する方式”だよ

EAP-TLS は、TLS の相互認証を使って、サーバだけでなくクライアント側も証明書で本人確認する方式だよ。たとえるなら、受付で社員証を見せて入るようなイメージで、クライアント証明書が前提になるんだ。MD5、FAST、TTLS は認証の仕組みや使う要素が違うので、同じ扱いにしないようにしよう。

この問題で問われていること

EAP の各方式が、パスワードを使うのか、証明書を使うのか、トンネルを作るのかといった“本人確認の材料の違い”を見分けられるかがポイントだよ。

EAP-TLS and Client Certificates

EAP-TLS performs mutual TLS authentication and therefore uses client certificates

mutual TLS\nclient certificate required\ndifferent from MD5 or tunneled variants

確認ポイント

• TLS の相互認証を連想する。
• クライアント証明書利用方式を選ぶ。
• FAST や TTLS と混同しない。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。EAP-FASTは、PACという共有済みの認証情報を使って安全なトンネルを作る方式で、クライアント証明書を必ず使う方式ではないんだ。合鍵のような事前配布されたものを使うイメージなので、「クライアント証明書が必要」という条件とはズレるよ。

選択肢イ

これは不正解だよ。EAP-MD5は、合言葉を直接言わずに確認するチャレンジレスポンス方式だけど、サーバ側をきちんと確認する相互認証やクライアント証明書は使わないんだ。泥棒が偽の窓口を作っても見抜きにくい弱点があるので、証明書でしっかり本人確認するEAP-TLSとは別物だよ。

選択肢ウ（正解）

これは正解だよ。EAP-TLSは、入館時に「お店側の身分証」も「お客さん側の身分証」もお互いに確認するような方式なんだ。サーバ証明書だけでなくクライアント証明書も使って相互認証するので、「クライアント証明書を必要とするもの」としてピッタリだよ。

選択肢エ

これは不正解だよ。EAP-TTLSは、まずサーバ側の証明書で安全な通路を作って、その中でIDやパスワードなどで利用者を確認する方式だよ。たとえるなら、銀行の本物の窓口か確認してから、口頭で本人確認する感じ。クライアント証明書が必須ではないので、この問題の答えにはならないよ。