EAP-TTLS(イーエーピーティートゥルーズ)とは | 意味や読み方など丁寧でわかりやすい用語解説

EAP-TTLSは、Extensible Authentication Protocol (EAP) の一種であり、企業や教育機関などで利用されるWPA2/WPA3エンタープライズなどの認証基盤において、ユーザー認証を安全に行うためのプロトコルである。特に、無線LAN環境における認証方式として広く採用されている。クライアントと認証サーバー（通常はRADIUSサーバー）間の通信をTLS（Transport Layer Security）で保護されたトンネル内にカプセル化し、そのトンネル内でユーザー名やパスワードなどの認証情報を安全にやり取りすることを特徴とする。クライアント側に証明書を要求しない運用が可能であるため、大規模なネットワーク環境での導入・運用が容易である点が大きな利点として挙げられる。

詳細に説明すると、EAPは認証方式そのものではなく、様々な認証方式を共通のフレームワークで利用するための拡張可能なプロトコルである。これにより、パスワード認証、証明書認証、トークン認証など、多種多様な認証方法を統一的に扱うことができる。一方、TTLS（Tunneled Transport Layer Security）はその名の通り、TLSを用いて「トンネル」を構築し、そのトンネルの中で認証を行う仕組みである。この組み合わせにより、EAP-TTLSは非常にセキュアかつ柔軟な認証方式を実現している。

EAP-TTLSの認証プロセスは、主に以下のステップで進行する。まず、無線LANクライアント（サプリカント）はアクセスポイント（認証器、オーセンティケータ）を通じて、認証サーバーであるRADIUSサーバーへ接続要求を送信する。これに応答して、RADIUSサーバーは自身のサーバー証明書をクライアントに提示する。このサーバー証明書には、RADIUSサーバーの身元情報と公開鍵が含まれている。クライアントは、あらかじめ信頼している認証局（CA）のルート証明書を用いて、提示されたサーバー証明書が正当なものであるかを検証する。この検証が成功することで、クライアントは接続しようとしているRADIUSサーバーが正規のものであることを確認でき、中間者攻撃（Man-in-the-Middle Attack）のリスクを低減する。この段階で、クライアントはサーバー証明書の検証のみを行い、自身を証明するクライアント証明書は提示しない。サーバー証明書の検証が完了すると、クライアントとRADIUSサーバー間にTLSトンネルが確立される。このトンネルは、通信内容を暗号化し、外部からの盗聴や改ざんを防ぐための安全な経路である。確立されたTLSトンネル内で、クライアントはユーザー名とパスワードといった実際の認証情報をRADIUSサーバーへ送信する。この際、PAP（Password Authentication Protocol）やCHAP（Challenge Handshake Authentication Protocol）、MS-CHAPv2（Microsoft Challenge Handshake Authentication Protocol version 2）などの内部認証プロトコルが利用されることが多い。これらの認証情報は、既に安全なTLSトンネル内にあるため、平文で送信されたとしても傍受されるリスクはない。RADIUSサーバーは受け取った認証情報を自身のユーザーデータベースや、Active Directoryなどの外部データベースと照合して検証する。認証が成功した場合、RADIUSサーバーはクライアントに認証成功の応答を返し、クライアントはネットワークへのアクセスを許可される。

EAP-TTLSの最大のメリットは、そのセキュリティと運用性の両立にある。セキュリティ面では、TLSトンネルによる強力な暗号化によって、ユーザー名やパスワードなどの機密情報がネットワーク上を安全に流れることが保証される。また、クライアントがRADIUSサーバーの証明書を検証することで、正規のサーバーと通信していることを確認でき、偽のアクセスポイントを介した情報詐取を防ぐことができる。運用面では、各クライアントに個別のクライアント証明書を配布・管理する必要がない点が大きい。サーバー証明書をRADIUSサーバーに一枚導入するだけで済み、クライアント側には信頼する認証局のルート証明書をインストールしておくだけで認証が可能となるため、大規模なユーザーを抱える組織での導入・管理の手間を大幅に削減できる。既存のパスワード認証システム（例：Active Directory）と容易に連携できる点も、導入の障壁を下げる要因となる。しかし、デメリットとしては、RADIUSサーバーに信頼できるサーバー証明書を適切に導入・管理する必要があること、そしてクライアント側にも信頼された認証局のルート証明書を配布・設定する必要がある点が挙げられる。これらの設定が不十分だと、認証が失敗したり、セキュリティが低下する可能性があるため、初期構築と継続的な管理には注意が必要である。それでも、EAP-TTLSは、セキュリティと利便性のバランスが取れた、非常に実用的な認証プロトコルとして、現代のネットワーク環境において重要な役割を担っている。