令和4年度春期 情報処理安全確保支援士 午前Ⅱ 問17

無線LANの802.1X認証は、PC・アクセスポイント・認証サーバの役割分担を押さえよう

IEEE 802.1XとRADIUSを使った無線LAN認証では、PCは「入りたいです」と名乗る利用者役のサプリカントだよ。アクセスポイントは入口で本人確認を取り次ぐ門番役で、オーセンティケータ兼RADIUSクライアントになる。認証サーバは、最終的に「通してOKか」を判断するRADIUSサーバだよ。

この問題で問われていること

この問題では、サプリカント、オーセンティケータ、RADIUSサーバがそれぞれ誰に当たるのかを対応付けられるかがポイントだよ。PC、アクセスポイント、認証サーバを、入室希望者・門番・判定係のようにイメージして整理しよう。

802.1X の役割

PC が認証を受ける側、AP が認証を仲介する側、認証サーバが判断する側です。

PC: サプリカント\nAP: オーセンティケータ + RADIUS クライアント\nサーバ: RADIUS サーバ

確認ポイント

• PC が RADIUS クライアントになるわけではありません。
• サーバがオーセンティケータになる構成でもない。
• アクセスポイントがオーセンティケータの説明を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。PCは、入館したい人が身分証を出す立場なので、IEEE 802.1Xではサプリカントになるのは正しいよ。でも、RADIUSクライアントは“受付窓口が認証サーバに問い合わせる役”で、PCの役目ではないんだ。PCが受付まで兼ねるのは、入館者本人が受付係もやっているようなもので変だよ。

選択肢イ（正解）

これは正解だよ。アクセスポイントは、PCをネットワークに入れる前に身分確認する“入口の受付係”なので、IEEE 802.1Xではオーセンティケータになるよ。そして受付係は、判断できない身分証を本部に問い合わせるよね。この問い合わせ役がRADIUSクライアントなんだ。つまり、アクセスポイントがオーセンティケータ兼RADIUSクライアントになる、という説明は正しいよ。

選択肢ウ

これは間違いだよ。アクセスポイントは、PCをネットワークに入れてよいか確認する“入口の受付係”だよ。だからサプリカント、つまり“入れてくださいと頼む側”ではないんだ。さらにRADIUSサーバは認証を判断する本部なので、アクセスポイント自身が本部になる説明も基本の役割分担と違うよ。

選択肢エ

これは間違いだよ。サーバがRADIUSサーバとして“身元を確認する本部”になるのは自然だけど、IEEE 802.1Xのオーセンティケータは、利用者をいったん入口で止めて確認するアクセスポイントやスイッチの役目なんだ。建物の奥にいる本部が玄関のドア係まで直接やる、という説明になっていて役割がずれているよ。