登場人物RADIUS(ラディウス。†IEEE802.1xは、LAN接続に使用される認証用の規格です。ある端末がインターネットや社内ネットワークに接続する際に、その接続可否を認証装置が制御します。†サプリカント(Supplicant)PCや無線LAN端末。認証されるクライアント端末のこと。Windowsには標準で入っている。認証装置(Authenticator)LANスイッチや無線LANアクセスポイント。IEEE802.1xに対応した装置になる。認証成功まで、認証装置がネットワークへのアクセスをせき止めるのが仕事。上の図のとおり、サプリカント(Ethernetや無線LAN)と認証サーバ(RADIUS)とは別のネットワークプロトコルなので、その橋渡し(プロキシ)の役割も担う。Server)IEEE802.1xとEAP(後述)に対応したRadiusサーバ。認証情報を入れたDBサーバが裏に控えているかもしれませんが、まぁ省略で。サプリカント達の情報を管理して、接続の可否判定を下す。↑RADIUS(ラディウス。†ネットワーク接続の為のユーザ認証と、利用記録を残すためのプロトコル。元々はダイアルアップ接続に使用されていたので、課金のための「利用記録(アカウンティング)」という概念がある。IEEE802.1xでは認証装置がRADIUSクライアント兼ユーザ(?)、認証サーバがRADIUSサーバになる。†サプリカントが有線or無線LANに接続した時点で、その接続可否を認証装置が判定する。(この段階で接続拒否するってことはあんまり無いんだと思いますが)サプリカントは認証装置に対して、どの方式のEAP認証を行いたいか伝える。認証装置はサプリカントに対して、これからどの方式のEAPで認証を行うかを応答する。Protocol)で認証を行う。EAP-MD5チャレンジレスポンス*2とMD5を利用したID、パスワード方式での認証。MD5は弱い暗号方式なので安全ではない(ハッシュ関数を参照)。security)デジタル証明書を使って認証する。通信はTLSによって暗号化される。サプリカント側の証明書、認証サーバ側の証明書を事前に用意する必要がある。その上で事前に(いざ認証が発生する前に)お互いの証明書を持ち合うか、あるいは認証局(CA)に証明書を登録&認証時にサプリカントと認証サーバが各々認証局に問合せができる仕組みが必要になる。(認証局についてはPKIを参照)手間がかかる分セキュリティは高い。TLS)ESP-TLSと概ね似た感じだが、こちらはサーバ側のデジタル証明書と、サプリカントのID/パスワードで認証を行う。サプリカント側の証明書管理をしない分、楽になる。EAP)実装方式が違うけど、特徴はEAP-TTLSと同じ。Tunneling)Cisco独自の仕様によって、デジタル証明書や認証局無しで高度な暗号化を行いたいという方式。上記のEAP認証が成功した後に、認証装置はサプリカントのネットワークへのアクセスを許可する。RADIUS(=半径)の後継としてDIAMETER(=直径)というプロトコルがある。認証サーバが渡したチャレンジデータを元に、パスワードに対して演算操作を行い、その演算操作の結果を認証サーバに送付する方式。パスワードの盗聴や、以前流れた情報を再利用してなりすますリプレイ攻撃を回避できる。使用して作成しています。使用しています(このサイトについて)。