紀要　Ｖｏｌ　６.indb

Size: px

Start display at page:

Download "紀要　Ｖｏｌ　６.indb"

きよあつあさぶき
7 years ago
Views:

1 学内 LAN への WPA2 エンタープライズでの接続試験研究報告学内 LAN への WPA2 エンタープライズでの接続試験横田矗関西医療大学保健看護学部要旨この数年来 Wi-Fi 準拠の機器が普及したことやスマートフォンを活用する学生が増加したことで, 学内 LANへのセキュリティの高いアクセスポイントの設置は全国的に大規模に行われるようになっているが, 当大学では未だ古いタイプのものが設置されているここではWPA2でエンタープライズモードの無線 LANを容易に稼動させるように, 内蔵 RADIUSサーバ機能を持つ無線ルータWAPM-APG300Nを学内 LANの一つのVLANに設置し, ノートPCやタブレットPCでの接続テストをした結果はいずれも容易にEAP-PEAPモードでの接続が可能であったキーワード :RADIUS サーバ,WPA,WPA2,EAP,Wi-Fi Ⅰ. はじめに無線 LANの標準化は1997 年にIEEE802.11の規格名で制定されたがさらに高速化を目指した標準化が 1999 年にIEEE802.11a IEEE802.11bの規格名で制定された伝送速度はそれぞれ最高で 54Mbps 11Mbps となりチャンネル数も10 前後あることから2000 年頃になって無線 LANは世界に普及するようになった国内の大学での学内無線 LAN 設置が本格化したのは 2004 年以降で学内で学生のノートパソコンをLANに接続させる設備として無線 LANが効率的であることがその主な理由であったこのころ家庭用としてADSL や光ファイバー網に接続するブロードバンドルータが普及しセキュリティ機能としてWEPによる暗号化 ESS-IDの隠蔽 MACアドレスフィルター等が用いられていたところで LANにおけるユーザ認証方式の規格として IEEE802.1Xが2001 年に制定されその後 2003 年から2004 年にかけてこれに準拠した規格である EAP(Extensible Authentication Protocol) および RADIUS Support For EAPが勧告された一方公開鍵証明書を利用して構築されるセキュリティシステムは公開鍵基盤 (PKI) と呼ばれるが ITU-T 勧告 X.509として標準化された暗号に関する規格でありディジタル証明書 ( 電子証明書 ) の形式は 1997 年の第 3 版で制定されているこれらの認証方式と暗号方式が利用可能になるにつれ大規模な大学では2006 年頃から始まった全学統合認証基盤システムの整備によりセキュリティと利便性が飛躍的に向上したこれにより学外からSSL-VPN による学内サーバへの接続シングルサインオンセキュアな無線 LANの利用ローミングによる研究機関間での無線ユーザの認証連携等が可能になっているしかしながら小規模な私立大学では情報基盤の整備は非常に遅れているのが現実であるここでは当大学の学内 LANにできるだけセキュリティの高い無線 LANを低コストで設置する方法として学内のVLAN にWi-Fi 対応のアクセスポイントを設置しノートPC 及びタブレットPCをWPA2エンタープライズモードで接続を試みた結果について報告する Ⅱ.Wi-Fi 対応無線 LAN 機器の仕様無線 LANでは電波を傍受することでフレームが容易に盗聴されてしまう危険性があるこのためデータを暗号化する必要があるが WEP(Wired Equivalent Privacy) 暗号方式は容易に読解可能であることが2007 年に実証されたこのような脆弱性に対しIEEE 委員会では既に2004 年にセキュリティ全体の規定としてIEEE802.11i を標準化しているそこで提案 133

2 関西医療大学紀要, Vol. 6, 2012 された二つの規格がTKIP(Temporal Key Integrity Protocol) と暗号化にAES(Advanced Encryption Standard) を採用した方式であるところが TKIPについても2009 年に1 分以内で解読できることが実証されてしまったので現在のところAESが唯一容易に破られない暗号方式になっている現在 WPA 認証マークを付けた無線 LAN 機器はWi- Fi Allianceと呼ばれる業界団体により提案されたWPA (Wi-Fi Protected Access) と呼ばれるセキュリティプロトコル規格に準拠していることを示しているがこのプロトコルにはEnterpriseとPersonal の2 種類がある Enterpriseは各ユーザに別々のキーを配布する IEEE 802.1X 認証サーバを使う方式であり Personal WPA はIEEE802.1X 認証を使わず事前共有鍵 (PSK) モードを使いアクセス可能なコンピュータには全て同じパスフレーズを与える方式である初期のWPAに採用されている暗号化方式はTKIP でバージョンアップしたWPA2では暗号方式として AESが採用されていて IEEE802.11iの最終的な案に沿ったものになっているさらに WPA2では事前認証認証キーの保持を行う方法が規定されているためローミング時の再認証が不要となるまた WPA2プロトコルにもEnterprise と Personal の2 種類があるこのように実際の無線 LAN 機器ではIEEE 委員会関連の規格と業界のWi-Fi Allianceによる規格が混在し紛らわしいものとなっている IEEE 802.1Xで使用される認証方式では PPP 認証を拡張したEAP 認証プロトコルが採用されているがこれによって拡張認証方式としてTLS(Transport Layer Security) TTLS PEAP 等のプロトコルが実装可能になっているそれぞれの特徴は表 1に示すとおりである最近無線 LANアクセスポイント設置した大学では, ノートパソコンだけでなく学生のスマートフォンやタブレットPCからの接続に対応した仕様になっている場合が多くなっているある程度の規模の大学では多くの場合無線 LANはVPN(Virtual Private Network) サーバでの認証による接続となっていて端末との接続はWPA/WPA2エンタープライズで暗号化はTKIP/ AESとなっているが一部 EPA2プライベートの大学も見うけられる今回の接続試験に使用できる入手が容易なアクセスポイントとして最低限 IEEE802.1XおよびIEEE i に対応しているCiscoの881W Allied-TelesisのAT- TQ2403 BuffaloのWAPM-APG300N IO-DATAの WHG-NAPG/A 等が考えられるこれらにはかなりの表 1.IEEE 802.1X で使用される主な認証方式認証タイプ特長サーバとクライアントの双方で電子証明書を使用して認証する方式で,IDやパスワードは使用さ EAP-TLS れない Windows OS 付属のサプリカントで実施が可能まずはサーバ側にのみ電子証明書を準備してサーバ認証済みのTLS 通信路を構築しその暗号化 EAP-TTLS 通信路を通して保護されたユーザ名 / パスワード情報によってクライアント認証を行う別途有償のサプリカントソフトウェアが必要である Microsoft Cisco RSAが提案する認証方式で, 暗号化されたトンネル内で認証する Microsoft Windows 標準サプリカントで実施が可能クラ EAP-PEAP イアント側の認証はIDやパスワードでサーバ側の認証はサーバ証明書を使用するためクライアントへの証明書インポートの必要がなく運用が容易である価格差があり機能面でも特にルータ機能や認証サーバ機能に差異が認められるがこの度のテストには充分な性能のあるWAPM-APG300Nを使用することにした WAPM-APG300Nの LAN 設定では有線ポートのVLANモードの設定や通信方式が設定できサブネット設定ではIPアドレスデフォルトゲートウェイ DNSなどの設定とDHCPサーバの機能設定ができる RADIUS 設定では外部 / 内蔵 RADIUSサーバの選択 EAP 内部認証のモードPEAP/TLSの選択使用するEAP 証明書ファイルと関連するパスワードの設定ができるまた無線設定ではかんたん無線接続機能であるAOSSやWPSを採用する場合の操作設定を行ったり IEEE802.11a, とIEEE802.11gの基本設定や拡張設定を行う管理設定では本体の管理者のパスワード設定や内蔵 RADIUSサーバ認証に使用するユーザの登録と管理を行う Ⅲ. 接続試験の結果現在学内 LANではドメインコントローラが稼動しているが暫定的に端末はActive Directoryに参加していてもいなくてもインターネットに接続できるようになっている本来 Windows Server 2003でRADIUSサーバを稼動させる方法を採用すべきであるが都合により今回はアクセスポイントの内蔵 RADIUSサーバ機能を利用することにした接続試験の構成図は図 1に示したものである使用したノートPCはEPSONのEndeavor NJ3500でOS はWindows 7 でタブレットPCはToshiba REGZA AT700 でプラットフォームは Android 3.2 である 134

3 学内 LAN への WPA2 エンタープライズでの接続試験 RADIUS の場合は接続のための認証方法の項目でサーバの証明書を検証する部分のチェックを外す必要がある図１接続試験用の構成内蔵 RADIUS サーバ使用の場合まず WAPMAPG300N の設定事例集の例８１に従って設定した従って無線の認証 WPA/WPA2 mixedmode-eap 追加認証追加認証なし無線の暗号化 TKIP/AES mixed ANY 接続許可する内蔵 RADIUS サーバ使用する EAP 内部認証 PEAP MS-PEAP EAP 証明書ファイル形式 PKCS#12 *.pfx/*.p12 Shared Secret 図２サプリカントでの EPA 設定 Termination-Action 再認証を行うとなっているこの内蔵 RADIUS サーバ認証では使用タブレットでは設定画面から無線とネットワークするユーザ名とパスワード登録する必要があるまたの項目の中で Wi-Fi をタップしチェックが入ればサブネットの設定では有線 LAN については学内 LAN 次に Wi-Fi 設定をタップすると Wi-Fi ネットワー指定の IP アドレスデフォルトゲートウェイ DNS のクに接続できる ESS-ID のリストが表示されるその設定をし無線 LAN についてはサブネットに DHCP 機中から接続したいアクセスポイント名をタップすると接能を提供する選択をし学内 LAN で払い出し可能な連続の設定画面が現れるここでユーザ名パスワード続した IP アドレスを指定したおよび PROXY サーバの名前を入力してから接続当初ドメインに参加しているノート PC で接続ボタンをタップすれば接続が完了するを試みていたが ESS-ID を認識した後どうしても Shared Secret を入力するモードにならず原因が分らず混乱したが WORK GROUP 設定のノート PC に切替えた途端接続に成功したメーカーの説明では内蔵 RADIUS サーバ機能は Window のドメインと連携するような機能ではないためドメイン名やドメインユーザと関連付ける必要はないとのことで未だに原因は不明であるノート PC 側サプリカントの設定はワイヤレスドライブのプロパティの認証タグで図２のように IEEE802.1X 認証を有効にし Microsoft 保護された EAP PEAP を選択した後設定ボタンを押して EAP のプロパティ設定画面の認証方法を選択するの項目でセキュリティで保護されたパスワード EAP-MSCHAP v2 を選択するここで内蔵図３タブレットでの認証の設定 135

4 関西医療大学紀要, Vol. 6, 2012 接続後の状態は設定用 PC の Web 設定インターフェ報交換によって行われているかを示したシーケンス図がイスにより監視できるノート PC での接続状況はワ図６であるまずアクセスポイントに接続する端末イヤレスネットワークのプロパティ図４で確認での認証がありユーザ認証がこれに続く PMK Pair- きる同様にタブレット PC については無線とネット wise Master Key は暗号化鍵となるもので RADIUS ワークの Wi-Fi ネットワーク図５から WPA2 エサーバが無線端末とアクセスポイントへ配布されるンタープライズで接続されていることが確認できる EAP-PEAP 認証がサプリカントアクセスポイント RADIUS サーバおよび認証サーバ間でどのような情しかし今回の試験では内蔵 RADIUS サーバ機能を使用しているのでアクセスポイント RADIUS サーバ認証サーバは一体となっており内部のシーケンスはアクセスポイントのログには記録されないものと考えられる表２のログはノート PC に yokota3 でログオンして RADIUS サーバのユーザにユーザ登録された yokota3 で PEAP 認証をうけてから DHCP サーバから IP アドレスを配布されるまでのシーケンスを示したものである無線チャンネルは IEEE802.11a であった PC とサーバのユーザ名は同じだが特に一致させる必要はなかった図５タブレット PC の接続状況図４ノート PC の接続状況図６ PEAP 認証シーケンス 136

5 学内 LAN への WPA2 エンタープライズでの接続試験表 2. ノートPCのEPA-PEAP 認証での接続シーケンスを示すログ 15:26:25 WIRELESS wl0: 11a : Associated User-10:0b:a9:xx:yy:38 15:26:28 AUTH RADIUS Server: Access accepted. (user=yokota3, eap=peap, radius_client= ) 15:26:28 AUTH eth1(27931): Register PMK: id 02fdc a8100a edb2 (TTL 3600)-10:0B:A9:xx:yy:38 15:26:28 AUTH eth1(27931): Authenticated User-10:0B:A9:xx:yy:38 15:26:28 AUTH eth1(27931): Register PMK: id 02fdc a8100a edb2 (TTL 3600)-10:0B:A9:xx:yy:38 15:26:28 AUTH eth2(28230): Register PMK: id 0d85c22e73e912ffbf73bb72ee7f 45af (TTL 3600)-10:0B:A9:xx:yy:38 15:26:28 DHCPS Request comein from yokota3-pc(len:10) 15:26:28 DHCPS sending OFFER of yokota3-pc 15:26:28 DHCPS Request comein from yokota3-pc(len:10) 15:26:28 DHCPS sending ACK to タブレットPCの場合も同様のシーケンスであったがアダプタが 2.4GhzのみのIEEE802.11b/g/n 準拠であるため無線 LANチャンネルは11gであった Ⅳ. まとめこの接続試験では学内 LANのL3-SWからの一つの VLANに内蔵 RADIUSサーバを接続し WPA2エンタープライズでの無線 LAN 接続をノートPCとタブレットPCを用いて行った小規模な大学で電波の干渉の少ない場所で数箇所に設置して利用する場合は有効な方法であることが分かったしかし内蔵された認証サーバの安全性には当然限界があるであろうことは容易に推測される学内 LANにはActive Directoryが設置されているので EAP-PEAP 認証についてはRADIUS 認証サーバを稼動させることに大きな障害はないが各スイッチでの必要なプロトコルの透過を確認する必要があるまた学生の利用については多様な機種があるスマートフォンでの接続についても調査する必要があるだろうさらに今回用いたWAPM-APG300Nは価格上ルーティング機能が弱いので払い出しできるIPアドレスの数に制限のある場合は他のルータを選択することを考慮する必要があるだろう参考文献 1)WAPM-APG300N/WAPM-AG300N 設定事例集,( 株 ) バッファロー,71-77,

6 関西医療大学紀要, Vol. 6, 2012 Study Report Connection Test Using WPA2 Enterprise Security to the Campus LAN YOKOTA Hitoshi Faculty of Nursing, Kansai University of Health Sciencesnces Abstract For these several years,installation of the Wi-Fi access points to campus LAN is nationally performed on a large scale, according to the increase of number of students who take advantage of wireless devices, such as laptop, tablet PC and smart phone. However, the wireless networking is still old type at this university. We installed a wireless router WAPM-APG300N which had a built-in RADIUS server function, in one VLAN of the campus LAN, and tested the connection with a notebook PC and a tablet PC in WPA2-Enterprise mode. As for each result, the connection with the EAP-PEAP mode was possible easily. Keyword:RADIUS server, Wi-Fi, EAP, WPA, WPA2 138

AirStationPro初期設定

AirStationPro初期設定 AirStationPro 初期設定 AirStationPro の検索 1. エアステーション設定ツール Ver.2 を立ち上げて次へをクリックする注 ) エアステーション設定ツール Ver.2 は製品に付属している CD からインストールするか http://buffalo.jp/do wnload/driver/lan/ai rnavilite.html にあるエアナビゲータライト Ver.12.71

紀要 Ｖｏｌ ６.indb

紀要　Ｖｏｌ　６.indb