EAPOL(イーエーピーオーエル)とは | 意味や読み方など丁寧でわかりやすい用語解説

EAPOL（イーエイピーオーエル）は、Extensible Authentication Protocol over LANの略であり、LAN（Local Area Network）環境において認証情報をやり取りするために用いられるプロトコルである。主にIEEE 802.1Xという標準規格と組み合わせて使用され、ネットワークへの不正アクセスを防ぎ、セキュリティを強化する重要な役割を担っている。EAPOLは、より上位の認証プロトコルであるEAP（Extensible Authentication Protocol）のメッセージを、イーサネットフレームに乗せて伝送するための手段を提供する。これにより、ネットワークに接続しようとするデバイスやユーザーの正当性を確認し、認証された者のみにネットワークリソースへのアクセスを許可する「ポートベース認証」を実現する。

EAPOLが生まれた背景には、特に無線LANの普及に伴うセキュリティの脅威があった。有線LANにおいては物理的な接続制限が一定のセキュリティを提供していたものの、無線LANでは電波の届く範囲であれば誰でも接続を試みることが可能であり、安易なパスワードや事前共有鍵（PSK）だけでは不十分なケースが多かった。このような状況で、ネットワークへの接続段階で、より堅牢な認証メカニズムを提供する必要性が高まった。そこで、汎用的な認証フレームワークであるEAPと、それをLAN上で動作させるためのEAPOLが注目され、IEEE 802.1Xとして標準化された。

EAPOLは、IEEE 802.1X認証のプロセスにおいて、サプリカント（認証を要求するクライアントデバイスやユーザー）、オーセンティケータ（アクセスポイントやスイッチなどのネットワーク機器）、認証サーバ（RADIUSサーバなど）という三者の間で認証メッセージを伝達する。この三者間認証において、EAPOLはサプリカントとオーセンティケータの間でのみ使用される。オーセンティケータは、EAPOLフレームで受け取ったEAPメッセージを抽出し、それをRADIUSプロトコルなどを利用して認証サーバへ転送する役割を果たす。認証サーバからの結果も同様に、オーセンティケータがEAPOLフレームに格納してサプリカントへ返す。EAPOLは、認証プロトコルであるEAPそのものではなく、EAPメッセージをLAN上で運ぶための「運搬役」であると理解すると良い。

認証プロセスは、通常、以下のような流れで進行する。まず、サプリカントがネットワークに接続を試みると、オーセンティケータはEAPOL-Startフレームを送信して認証プロセスを開始するよう促すか、サプリカント自身がEAPOL-Startフレームを送信して認証を要求する。これを受けて、オーセンティケータはサプリカントに対して、EAP-Request/IdentityメッセージをEAPOLフレームにカプセル化して送信し、クライアントの識別情報（ユーザー名など）を要求する。サプリカントは、自身のユーザー名などをEAP-Response/Identityメッセージに含め、EAPOLフレームとしてオーセンティケータに返信する。オーセンティケータはこの識別情報を認証サーバへ転送し、認証サーバはサプリカントの持つ認証情報（パスワード、デジタル証明書など）と照合を行う。

認証サーバは、受け取った識別情報に基づいて、さらなる認証手順（チャレンジ＆レスポンスなど）を要求するEAP-Requestメッセージをオーセンティケータ経由でサプリカントに送る。サプリカントはそれに応じたEAP-Responseメッセージを返信し、このやり取りが複数回繰り返されることで認証が完了する。認証が成功した場合、認証サーバは認証成功のメッセージをオーセンティケータに伝え、オーセンティケータはサプリカントが接続しているポートを認証済み状態に移行させ、通常のネットワーク通信を許可する。このとき、無線LAN環境では、WPA2やWPA3などの暗号化プロトコルで使用される暗号鍵（セッション鍵）が動的に生成され、EAPOL-Keyフレームを通じてサプリカントに安全に配布される。これにより、通信の秘匿性が確保される。認証が失敗した場合、ポートは閉鎖されたままとなり、サプリカントはネットワークへのアクセスを拒否される。

EAPOLは、このようにして、有線および無線LAN環境において、ユーザーやデバイスの正当性を確認し、セキュリティポリシーに基づいたアクセス制御を可能にする基盤を提供する。ネットワークの入り口で厳格な認証を行うことで、未認証のデバイスからの不正アクセスを防ぎ、ネットワーク全体のセキュリティレベルを大幅に向上させることに貢献している。例えば、企業ネットワークでは、従業員のPCやスマートフォンのみがネットワークに接続できるよう制御し、部外者のデバイスからのアクセスをブロックするためにEAPOLとIEEE 802.1Xが広く利用されている。これにより、組織のネットワークセキュリティを強化し、機密情報の保護に役立てられている。