EAP(イーエーピー)とは | 意味や読み方など丁寧でわかりやすい用語解説

EAPはExtensible Authentication Protocolの略であり、ネットワークアクセスにおいて認証方式を柔軟に拡張するためのプロトコルフレームワークである。主に無線LAN（Wi-Fi）や有線LANの接続時、またVPN接続などで、ユーザーやデバイスが正当なものであるかを検証し、アクセスを許可または拒否するために利用される。これにより、多様な認証方法を標準的な枠組みの中で扱えるようになり、ネットワークのセキュリティと管理の柔軟性が飛躍的に向上する。

EAPはそれ自体が特定の認証方式を提供するものではなく、様々な認証方式（EAPタイプと呼ばれる）をカプセル化して伝送するための「箱」や「骨組み」と考えるとわかりやすい。例えば、パスワード認証、デジタル証明書認証、ワンタイムパスワード認証など、多様な認証メカニズムをEAPフレームワークに乗せて利用できる。この柔軟性こそがEAPの最大の特長であり、企業や組織のセキュリティポリシーに合わせて最適な認証方式を選択・導入することを可能にする。

EAPが利用される最も代表的な場面は、IEEE 802.1Xというネットワークアクセス制御プロトコルと組み合わされるケースである。IEEE 802.1Xは、イーサネットベースのLAN環境で、認証されたユーザーやデバイスのみにネットワークアクセスを許可する仕組みであり、EAPを認証の基盤として利用する。この仕組みは、認証を要求するデバイス（サプリカント）、認証を実行するアクセスポイントやスイッチなどの機器（認証器）、そして実際の認証判断を行うサーバ（認証サーバ、通常はRADIUSサーバ）の三者間で動作する。サプリカントがネットワークに接続しようとすると、認証器はEAPメッセージを介して認証サーバとの間で認証情報をやり取りし、認証サーバの判断に基づいてサプリカントにネットワークアクセスを許可するか、あるいは拒否する。

EAPの動作は、認証器がサプリカントから認証要求を受け取ると、認証器はこれを認証サーバへ転送し、認証サーバがどのEAPタイプ（認証方式）を利用するかを決定することから始まる。その後、認証サーバとサプリカントの間で、EAPメッセージを認証器を介して複数回やり取りしながら認証手続きが進行する。この際、認証器はEAPメッセージの内容には関与せず、単に透過的に転送する役割を果たす。認証が成功すれば、認証サーバは認証器にアクセス許可を通知し、認証器はサプリカントにネットワークへのフルアクセスを許可する。

EAPには多くのEAPタイプが存在するが、システムエンジニアとして特に理解しておくべき主要なものとして、EAP-TLS、PEAP、EAP-TTLSが挙げられる。

EAP-TLS（Transport Layer Security）は、クライアントと認証サーバの両方がデジタル証明書を用いて相互に認証を行う、最も強力で安全なEAPタイプの一つである。TLSプロトコルを使用するため、通信は暗号化され、中間者攻撃などに対する耐性が高い。しかし、クライアント側にも証明書を配布・管理する必要があるため、導入や運用にはPKI（公開鍵基盤）の構築と管理が伴い、比較的高いコストと手間がかかる場合がある。高いセキュリティ要件を持つ環境や、デバイス認証が特に重要な場合に用いられる。

PEAP（Protected EAP）は、Microsoftによって開発され、現在広く普及しているEAPタイプである。PEAPでは、まずサーバ証明書を用いてクライアントと認証サーバの間にTLSトンネルを確立する。このトンネルが確立された後、その暗号化されたトンネルの中で、別のEAPタイプ（例えば、ユーザー名とパスワードを認証するMS-CHAPv2など）を用いてクライアント認証を行う。PEAPの利点は、クライアント側には証明書が不要で、既存のユーザー名とパスワードの仕組みを流用できるため、EAP-TLSに比べて導入が容易である点にある。そのため、多くの企業や教育機関で無線LAN認証などに利用されている。

EAP-TTLS（Tunneled Transport Layer Security）もPEAPと同様に、サーバ証明書を用いてクライアントと認証サーバの間にTLSトンネルを確立し、その中で別のEAPタイプで認証を行う方式である。PEAPと非常に似ているが、内部で利用できる認証方式の柔軟性がPEAPよりも高い点が特徴とされる。こちらもクライアント証明書が不要な運用が可能であり、PEAPと同様に広く利用されている。

EAP-MD5は、古くから存在するEAPタイプの一つだが、パスワードをハッシュ化して認証を行う単方向認証であり、セキュリティ上の脆弱性が指摘されているため、現在ではほとんど利用が推奨されない。パスワード推測攻撃や中間者攻撃に対して弱いという欠点があるため、新たなシステムでの採用は避けるべきである。

EAPの採用は、ネットワークのセキュリティ向上だけでなく、ユーザー体験の向上にも寄与する。一度認証が成功すれば、セキュアなネットワークアクセスが保証され、異なる場所のアクセスポイントに移動してもシームレスに再認証されることが可能になる。また、多様な認証要件に対応できるため、ゲストアクセスやBYOD（Bring Your Own Device）など、様々な利用シナリオに合わせて柔軟なアクセス制御を実現できる。

しかし、EAPを導入する際には、適切なEAPタイプの選択、認証サーバ（RADIUSサーバ）の構築と設定、クライアント側の認証ソフトウェア（サプリカント）の準備と設定、そして必要に応じてPKIの構築と運用計画が重要となる。これらの要素を適切に設計・実装することで、安全で管理しやすいネットワーク環境を構築できる。EAPは現代のセキュアなネットワークインフラを支える上で不可欠な技術であり、システムエンジニアを目指す者にとってその概要と主要なEAPタイプの理解は非常に重要である。