九州大学学術情報リポジトリ

九州大学学術情報リポジトリ

Kyushu University Institutional Repository

認証連携による無線LANローミング環境 : 九州大学 におけるUPKI・eduroamの連携

伊東, 栄典

九州大学情報基盤センター : 准教授 : 情報学

のぎ田, めぐみ

九州大学情報基盤センター : テクニカルスタッフ : 情報学

笠原, 義晃

九州大学情報基盤センター : 助手 : 情報学

鈴木, 孝彦

九州大学情報基盤センター : 准教授 : 情報学

http://hdl.handle.net/2324/15939

出版情報：情報処理学会研究報告. EIP, [電子化知的財産・社会基盤]. 2007 (91), pp.141-146, 2007- 09. Information Processing Society of Japan

バージョン：

権利関係：ここに掲載した著作物の利用に関する注意 本著作物の著作権は（社）情報処理学会に帰属し ます。本著作物は著作権者である情報処理学会の許可のもとに掲載するものです。ご利用に当たっては

「著作権法」ならびに「情報処理学会倫理綱領」に従うことをお願いいたします。

認証連携による無線 LAN ローミング環境

－九州大学における UPKI ・ eduroam の連携－

伊東 栄典

^†

笠原 義晃

^†

のぎ田 めぐみ

^†

鈴木 孝彦

^†

†九州大学情報基盤研究開発センター 〒812-8581 福岡市東区箱崎６－１０－１ E-mail: †{itou, kasahara, megumi, suzuki}@cc.kyushu-u.ac.jp

あらまし 情報サービスの普及と重要化に伴い，安全・安心な情報サービスのための利用者認証が重要になって いる．また，組織間でのサービス連携のために，組織間の認証連携についての研究開発が行われている．本稿では，

組織間の認証連携の仕組みについてのべ，現在活動している大学間認証連携（UPKI）について説明する．また，認 証連携アプリケーションとしての eduroam について述べ，最後に著者らが構築した九州大学の eduroam 環境につい て述べる．

キーワード 電子認証，認証連携，I D Federation, UPKI, eduroam, RADIUS, LDAP

Wireless LAN roaming on ID-Federation environment

－ A case study for UPKI and eduroam in Kyushu University － Eisuke Ito, Yoshiaki Kasahara, Megumi Nogita, Takahiko Suzuki

Research Institute for Information Technology, Kyushu University 6-10-1 Hakozaki，Higashi-ku Fukuoka 812-8581 JAPAN E-mail: {itou, kasahara, megumi, suzuki}@cc.kyushu-u.ac.jp

Abstract

ID federation is one of important topic for information services. User authentication mechanism must be implemented for secure and personalized services. For inter-institutional services or nationwide services, it need inter-institutional user authentication, but it is very difficult to manage inter-institutional identity data base. ID federation is a solution for this problem. Federated institutions exchange user ID data each other. UPKI project were started by NII and some universities for Japan area ID federation. UPKI team joined eduroam for an application of ID federation. Eduroam is a RADIUS-based infrastructure that uses 802.1X security technology to allow for inter-institutional roaming. In this paper, the authors describe a case study for UPKI and eduroam in Kyushu University.

Keyword: User authentication, identity management, I D Federation, UPKI, eduroam, RADIUS, LDAP

1. は じ め に

近 年 ， 様 々 な サ ー ビ ス で 情 報 化 が 進 ん で い る ． 大 学 で も 履 修 登 録 や 成 績 確 認 ， 講 義 情 報 提 供 な ど ， 様 々 な 情 報 サ ー ビ ス が 普 及 し て い る ． 成 績 確 認 な ど の サ ー ビ ス で は 個 人 の 情 報 を 扱 う た め ， 扱 っ て い る 情 報 が 他 者 に 漏 れ る こ と の な い よ う に す る 必 要 が あ る ． こ の よ う に ， 情 報 サ ー ビ ス の 個 人 化 ・ 重 要 化 に 伴 い ， 安 全 ・ 安 心 な 情 報 サ ー ビ ス を 実 現 す る た め の 利 用 者 認 証 が 重 要 に な っ て い る ．

利 用 者 認 証 で は 従 来 ， 利 用 者 ID と パ ス ワ ー ド に よ る 二 要 素 認 証 機 構 を 用 い る こ と が 多 か っ た ． し か し ， 情 報 サ ー ビ ス の 種 類 が 増 大 す る に つ れ ID と パ ス ワ ー ド の 対 が 増 大 し ，IDや パ ス ワ ー ド 忘 れ の 発 生 が 問 題 に な っ て い た ． こ れ は ， サ ー ビ ス ご と に ア カ ウ ン ト を 発

行 し て い た た め に 発 生 す る 問 題 で あ る ． ア カ ウ ン ト 数 が 増 大 す る と ， 備 忘 の た め に ID と パ ス ワ ー ド を 記 載 し た 紙 を PC の 近 く に 持 つ な ど ， 他 者 の ア カ ウ ン ト 盗 用 を 容 易 に し て し ま う 行 為 を す る 利 用 者 も 増 え ， 安 全 上 の 問 題 に な っ て い た ． ま た ， 情 報 サ ー ビ ス 提 供 者 側 で も ア カ ウ ン ト 管 理 の 煩 雑 さ が 問 題 に な っ て い た ．

そ こ で ， 組 織 内 で は ， 組 織 内 で 提 供 さ れ る 複 数 の 情 報 シ ス テ ム 間 で ア カ ウ ン ト を 統 合 す る ID 統 合 と ， そ の た め の 統 合 認 証 基 盤 の 構 築 が 行 わ れ る 様 に な っ た ． さ ら に ， 組 織 間 で も 利 用 者 認 証 を 連 携 す る ID Federationま た はID Confederationに つ い て の 研 究 開 発 が 行 わ れ る よ う に な っ て い る ．

ID統 合 やID連 携 に 加 え て ，利 用 者 認 証 をIDと パ ス ワ ー ド で 行 う の で は な く ，IC カ ー ド や USB キ ー な ど

の 認 証 ト ー ク ン を 用 い た 利 用 者 認 証 に つ い て も 研 究 開 発 お よ び 導 入 が 進 ん で い る ．

国 内 の 大 学 間 で 認 証 連 携 を 行 う た め の 研 究 開 発 と し て UPKI が あ る[4][5]．UPKI で は ， 認 証 連 携 の ア プ リ ケ ー シ ョ ン と し て ， 無 線 LAN ロ ー ミ ン グ 環 境 の eduroamを 展 開 し て い る[3]． 本 稿 で は ， 著 者 ら の 所 属 す る 九 州 大 学 に お け るUPKIへ の 取 り 組 み と ，eduroam 環 境 の 実 現 に つ い て 述 べ る ．

2. 組 織 間 認 証 連 携 2.1. 組 織 内 での ID

統 合

組 織 間 で の 認 証 連 携 に つ い て 述 べ る 前 に ，組 織 内 の 認 証 連 携 に つ い て 述 べ る ． 前 節 で 述 べ た よ う に ， 比 較 的 大 規 模 な 組 織 で は ， 複 数 の 内 部 向 け 情 報 サ ー ビ ス が 提 供 さ れ て お り ， そ れ ら を 用 い る た め の ア カ ウ ン ト が 利 用 者 に 対 し て 発 行 さ れ て い る ． 情 報 サ ー ビ ス 毎 に ア カ ウ ン ト が 発 行 さ れ る と 利 用 者 も 情 報 サ ー ビ ス 提 供 者 側 も 不 便 で あ る た め ， 組 織 内 で の 利 用 者 ID 統 合 が 求 め ら れ て い る ． 図 1に 単 一 組 織 内 で の ID 統 合 の 概 念 を 示 す ．

IdP

SP1 SP2 SP3

一つのアカウントで 複数のサービスを 利用可能

図 1 組 織 内 で のID統 合

こ こ で ， 利 用 者 の ID(Identity)の 管 理 ・ 提 供 元 を IdP(Identity Provider)と 呼 び ，情 報 サ ー ビ ス の 提 供 元 を SP(Service Provider)と 呼 ぶ ．組 織 内 の 場 合 ，一 つ のIdP が 複 数 の SP へ ア カ ウ ン ト 情 報 を 提 供 す る こ と に ， あ ま り 問 題 は 無 い ． 同 一 の 組 織 内 で あ れ ば ， 利 用 者 は 組 織 内 部 の 者 に 限 ら れ て お り ， 通 常 の 組 織 で あ れ ば 利 用 者 と な る 人 間 の 情 報 は ， 組 織 の 本 部 で 保 持 し て い る た め で あ る ． 企 業 な ら ば 総 務 部 や 人 事 部 ， 学 校 で あ れ ば 事 務 部 と い っ た 部 門 が ， 組 織 内 の 構 成 員 情 報 を 把 握 し て い る ．こ れ ら の 部 門 が IdPと し て 利 用 者ID情 報 を 提 供 す れ ば ， 組 織 内 の サ ー ビ ス 提 供 者 も IdPの 情 報 を 信 頼 す る ．利 用 者 認 証 時 に は ，SPか らIdPへ の ア カ ウ ン ト 情 報 の 確 認 を 行 う ．

2.2. 組 織 間 での ID

連 携

近 年 ，情 報 サ ー ビ ス の 拡 大 に 伴 い ，組 織 間 で の 認 証 連 携 も 行 わ れ る よ う に な っ て い る ． 認 証 連 携 は ， 大 き く 分 け て ，Web上 の 情 報 サ ー ビ ス で の 認 証 連 携 ， グ リ

ッ ド コ ン ピ ュ ー テ ィ ン グ ，無 線LAN接 続 環 境 等 の 接 続 サ ー ビ ス の 三 つ が あ る ．最 も 顕 著 な の は Web上 の 情 報 サ ー ビ ス で の 認 証 連 携 で あ る ．

Webの 拡 大 に 伴 い ，様 々 な サ ー ビ ス がWeb上 で 提 供 さ れ る よ う に な っ て き て い る ． 近 年 で は ，Mash upの 様 に ， 複 数 の サ イ ト で 提 供 さ れ る サ ー ビ ス を 跨 っ て 一 つ の サ ー ビ ス と す る こ と が 実 現 さ れ て い る ． ま た ， 複 数 の サ イ ト が サ ー ビ ス 内 容 で 連 携 す る こ と も あ る ． 例 え ば ，@cosmeとYahooで は 利 用 者 の 書 込 み 情 報 を 共 有 し て い る ． 将 来 ， こ れ ら の サ イ ト 間 で ID連 携 が 行 わ れ る 可 能 性 も あ る ． 他 に も ， 航 空 券 の 購 入 サ イ ト が ク レ ジ ッ ト カ ー ド 決 済 の サ イ ト と 連 携 す る な ど ， 様 々 な 連 携 が 実 現 さ れ て い る ．

複 数 の 組 織 が 連 携 し て ，各 組 織 の 所 属 者 に サ ー ビ ス を 提 供 す る 場 合 ，図 2 に 示 す よ う に ，あ る 組 織 の 利 用 者 が ， 別 の 組 織 の サ ー ビ ス を 利 用 す る こ と に な る ． そ の 場 合 ， 組 織 間 で ID情 報 交 換 に つ い て の 取 り 決 め を 行 い ， 実 際 に IdP間 で 利 用 者 情 報 の や り 取 り が 行 わ れ る こ と に な る ．

組織A

SP1 SP2 SP3

組織B

SP

連携している他組織の サービスを利用可能 ID連携(ID Federation)

IdP IdP

図 2 組 織 間 で の ID連 携

2.3.

SAML

企 業 に よ る 情 報 サ ー ビ ス で の 認 証 連 携 を 行 う た め に ， リ バ テ ィ ア ラ イ ア ン ス と 名 付 け ら れ た 技 術 開 発 ・ 標 準 化 プ ロ ジ ェ ク ト が あ る[11]． こ こ で は サ ー ビ ス 提 供 者 の 関 係 や ， 利 用 者 の 身 元 情 報 の 交 換 に つ い て の モ デ ル 化 を 行 っ て い る ．ま た Webサ ー ビ ス の 分 野 で 認 証 情 報 を 交 換 す る 方 式 の 提 案 を 行 っ て い る ． 身 元 情 報 交 換 の た め に ， SAML(Security Assertion Markup Language)を 定 義 し ， 公 開 し て い る ． い く つ か の Web 関 係 の Single Sign Onシ ス テ ム で は SAMLが 利 用 さ れ て い る ．

2.4.

Shibboleth

一 方 ， オ ー プ ン ソ ー ス の 分 野 で も ID 連 携 に つ い て の 研 究 開 発 が 行 わ れ て い る ．例 え ば 米 国 の Internet2プ ロ ジ ェ ク ト で は ，Shibbolethと 名 付 け ら れ たID連 携 に よ る 利 用 者 認 証 ・ 認 可 の 基 盤 の 提 案 お よ び 実 装 を 行 っ て い る[9]．Shibboleth で は ， 組 織 間 で の シ ン グ ル サ イ ン オ ン 機 構 も 実 現 し て い る ． な お ，Shibboleth で の 認

証 ・ 認 可 情 報 は ，SAML形 式 で や り 取 り さ れ る ． ま たShibbolethで は ，組 織 間 で のID連 携 の た め に ， WAYF (Where Are You From?) と 名 付 け ら れ た 仕 組 み を 導 入 し て い る ．WAYFの 概 要 を 図 3 に 示 す ．利 用 者 がIDを 入 力 す る と ，WAYFに よ り そ の 利 用 者 が 所 属 す る 組 織 の IdP を 特 定 し ， そ ち ら で 利 用 者 本 人 の 認 証 情 報 を 確 認 す る ． こ れ に よ り 多 様 な 組 織 で の 認 証 連 携 を 可 能 に し て い る ．

さ ら に ，Shibboleth の 開 発 者 は ， グ リ ッ ド の ミ ド ル ウ ェ ア で あ る Globus Toolkit[12]と 連 携 す る た め に ， Globus対 応 の 認 証 ミ ド ル ウ ェ ア で あ るGridShibも 開 発 し て い る[10]．

組織A 組織X

SP IdP

WAYF

Access Control Decision DB

Discover

Response SAML Assertion

Request

組織A所属の 利用者

図 3 WAYF

2.5. OpenID

ま た 近 年 で は ，無 料 でWebサ イ ト 利 用 の た め の 利 用 者 ID（ と パ ス ワ ー ド ） を 作 成 し SP に 提 供 す る OpenID[6]と い う サ ー ビ ス が 構 築 ・ 提 供 さ れ て い る ． OpenIDで は ，利 用 者 の 身 元 確 認 す る た め の IDを ，URI の 形 式 で 構 成 し て い る ．OpenIDサ イ ト が IdPと な り ， こ こ で は 誰 も が 自 分 のID（ 身 元 情 報 ）を 作 成・管 理 す る こ と が で き る ． ま た サ イ ト 作 成 者 は 誰 で も OpenID を 利 用 す る サ イ ト を 構 築 す る こ と が で き る ．

3. UPKI

国 立 情 報 学 研 究 所 で は ，2005年 よ り 最 先 端 学 術 情 報 基 盤(CSI: Cyber Science Infrastructure)構 築 の 事 業 を 行 っ て い る[15]．CSI で は 全 国 の 大 学 や 研 究 所 と い た 学 術 機 関 を ま た が っ た 情 報 サ ー ビ ス を 行 う た め の 学 術 情 報 基 盤 の 構 築 を 目 指 し て い る ． そ の た め に は 全 国 に 広 が る 高 速 ネ ッ ト ワ ー ク ， ネ ッ ト ワ ー ク 上 に 提 供 さ れ る サ ー ビ ス（ グ リ ッ ド や リ ポ ジ ト リ ），サ ー ビ ス を 利 用 す る 人 間 を 制 限 す る た め の 利 用 者 認 証 基 盤 が 必 要 で あ る ．

UPKI[4][5]は CSI 事 業 に お け る 認 証 基 盤 の 部 分 を 担 っ て お り ， 大 学 間 連 携 の た め の 全 国 共 同 電 子 認 証 基 盤 に つ い て 研 究 開 発 を 行 っ て い る ．UPKI で は ， そ の 名 の 通 りPKIに 基 づ く 利 用 者 認 証 情 報 の 確 認 を 指 向 し て い る も の の ，必 ず し も PKIの 電 子 証 明 書 に 限 定 す る も の で は な く ，ID・ パ ス ワ ー ド を 利 用 し た 認 証 機 構 に つ い て も 大 学 間 認 証 連 携 の 実 現 を 目 指 し て い る ．

UPKI で は ， 各 大 学 に お け る PKI 証 明 書 発 行 の た め の 指 針 の 提 示 ，認 証 局 CA構 築 の た め の 仕 様 策 定 ，CA 運 用 の た め の 方 針 で あ る CP/CPS の 雛 型 作 成 な ど を 行 っ て い る ．こ れ ら は 利 用 者 の 身 元 情 報 を PKIの 証 明 書 と し て 提 示 す る た め の も の で あ る ． 一 方 ， サ ー ビ ス 提 供 者 の た め に ，HTTPSサ ー バ 等 で 使 え る サ ー バ 証 明 書 の 配 布 事 業 も 行 っ て い る ．

UPKI で は ， 認 証 を 用 い た 大 学 間 連 携 の ア プ リ ケ ー シ ョ ン の 一 つ と し て eduroam[1]の 展 開 を 行 っ て い る ． 著 者 ら の 所 属 す る 九 州 大 学 は ， 国 立 情 報 学 研 究 所 が 主 催 す る CSI事 業 お よ びUPKIに 参 加 し て お り ，eduroam の 接 続 ・ 展 開 実 験 に も 参 加 し て い る ．

4. eduroam

4.1.

eduroam とは

eduroamは 「Education Roaming」 か ら 名 付 け ら れ た も の で ，教 育 研 究 機 関 の 間 で 相 互 に 無 線 LAN接 続 環 境 を 提 供 し あ う も の と し て 欧 州 の TERENA [13]で 開 発 ・ 展 開 さ れ て い る ． 無 線 LANへ の 接 続 時 に は 802.1xに よ る 利 用 者 認 証 を 行 い ， 認 証 情 報 の 確 認 に は RADIUS を 用 い て い る ．

あ るeduroam参 加 機 関 の 所 属 者 は ， 他 のeduroam参 加 機 関 に 訪 問 し た 際 ， 自 分 の 所 属 組 織 が 発 行 し た 身 元 情 報 証 明 を 用 い る こ と で ，訪 問 先 の eduroam無 線 LAN ネ ッ ト ワ ー ク に 接 続 で き る ． こ こ で 身 元 情 報 証 明 と は ID・パ ス ワ ー ド ，も し く はPKIの 電 子 証 明 書 を 意 味 す る ． た だ し ， ど の よ う な 通 信 が 許 さ れ て い る か と い っ た 接 続 ポ リ シ ー は 無 線 LAN 提 供 機 関 の ポ リ シ ー に 依 存 す る ．

当 初 eduroam は 欧 州 を 中 心 に 展 開 さ れ て い た が ， 2004 年 に オ ー ス ト ラ リ ア の 大 学 が eduroamに 参 加 し ， そ の 後 は APAN[14]に 関 係 の あ る ア ジ ア 太 平 洋 諸 国 の 大 学 が eduroamに 参 加 し て い る ． 現 在 eduroamは 連 携 の 連 携(federation of federations)，つ ま り con-federation と し て 発 展 し て い る ． 一 つ の federation を 国 内 で の 連 携 と す る と ，eduroamは 欧 州 の TERENAと ，ア ジ ア 太 平 洋 地 域 の APAN[14]の ， 二 つ の confederation で 活 動 し て い る ．

4.2.

eduroam の構 造

duroamの 基 本 的 な 構 造 を 図 4 に 示 す[2]．

組織A

Authenticator (AP or Switch) Supplicant

Employee

VLAN Student

VLAN Guest VLAN

Internet

RADIUS  server 組織A

User DB

Top Level RADIUS proxy server

User DB

User b

RADIUS  server 組織B 組織B

Signaling Data

図 4 eduroamの 基 本 的 構 造

組 織Bに 所 属 す る 利 用 者bが ，組 織Aを 訪 問 中 で あ る と す る ．組 織 Aが 提 供 す るSSIDが‘eduroam’で あ る 無 線 LAN環 境 に お い て ， 利 用 者 bは 組 織 Bが 発 行 し た 身 元 情 報 証 明 書 を 用 い て 接 続 を 試 み る ． 組 織 A の RADIUSサ ー バ は ，利 用 者 bのIDを 見 て 自 組 織 の 所 属 者 か 否 か を 判 定 す る ． 利 用 者 が 他 組 織 所 属 の 場 合 ， Proxyと し て 上 位 の RADIUSサ ー バ に 認 証 情 報 を 転 送 す る ． 上 位 の RADIUS サ ー バ に よ っ て 利 用 者 の ID 文 字 列 に 対 応 す る 組 織 のRADIUSサ ー バ が 判 明 し た 場 合

（ 図 4の 例 で は 組 織 B と 判 明 ）， そ の 組 織 の RADIUS サ ー バ に 利 用 者 認 証 の 確 認 を 問 い 合 わ せ る ．

具 体 的 に は ，eduroam を 利 用 す る 際 に 利 用 者 は 自 分 のIDと し て 自 組 織 内 で 利 用 す るID文 字 列 に 加 え て 所 属 組 織 を 表 す 文 字 列 を 付 加 し た も の を 用 い る ． 利 用 者 ID は RFC2486[16]で 定 義 さ れ る Network Access Identifierの 形 式 ，つ ま り[email protected] の よ う に 表 記 さ れ る 形 式 を し て い る ． こ こ で ‘@’ 以 降 の 自 組 織 を 示 す 部 分 はrealmと 呼 ば れ る ．IDと し て 入 力 し た 文 字 列 の realm を 見 る こ と で ，RADIUS サ ー バ は 利 用 者 の 所 属 組 織 を 探 す ．realm 文 字 列 が 組 織 A の も の と 異 な る 場 合 ，上 位 のRADIUSサ ー バ へ 認 証 の た め の 情 報 を 転 送 す る ． 上 位 のRADIUSサ ー バ が realm 文 字 列 に 対 応 す る 組 織 の RADIUS サ ー バ を 知 っ て い る 場 合 ， そ ち ら に 利 用 者 認 証 の 確 認 を さ ら に 転 送 す る こ と で ， 最 終 的 に 利 用 者 の 確 認 が 可 能 と な る ．

利 用 者 認 証 を PKIの エ ン テ ィ テ ィ 証 明 書 ，す な わ ち PK12 形 式(X.509 形 式)で 記 述 さ れ た 電 子 証 明 書 を 用 い て 行 う 場 合 も あ る ． こ の 場 合 ，RADIUS サ ー バ 側 で 証 明 書 発 行 し た CA を 信 頼 す る な ら ば ， 問 い 合 わ せ は 発 生 し な い ． 証 明 書 に 記 載 さ れ た 内 容 を 信 頼 す る こ と で 利 用 者 認 証 を 済 ま せ る

4.3. eduroam.jp

eduroam.jp[3]は UPKI か ら 派 生 し た 活 動 と し て ， 国 立 情 報 学 研 究 所 の ネ ッ ト ワ ー ク 運 営・連 携 本 部 認 証 作 業 部 会eduroamグ ル ー プ に よ り2006年 に 設 立 さ れ た ． 現 在 ， 表 1に 示 す ６ 機 関 が 参 加 し て い る ．

表 1 eduroam.jp参 加 組 織

機 関 名 AuthN Used Access Granted 国 立 情 報 学 研 究 所 802.1x VPN

北 海 道 大 学 802.1x

東 北 大 学 802.1x,

TKIP，PEAP VPN 高 エ ネ ル ギ ー

加 速 器 研 究 機 構 802.1x

京 都 大 学 802.1x eduroam_standard

九 州 大 学 802.1x VPN

eduroam.jp で は ， 研 究 開 発 や 国 内 へ の eduroamの 展 開 の ほ か に ，eduroamの 国 内 レ ベ ル RADIUSサ ー バ の

運 用 を 行 っ て い る ．

5. 九 州 大 学 に お け る eduroam 環 境 の 構 築

こ こ で は 我 々 が 構 築 し た 九 州 大 学 のeduroam環 境 に つ い て 述 べ る ． 図 5に 大 ま か な 構 成 と ， 表 2に 機 器 構 成 を 示 す ．

FW Internet FW

User DB (LDAP)

Kyushu University Top level

eduroam server (eduroam.jp)

802.11 SSID  eduroam

eduroam Federated site

switch

802.1x User AuthN

802.11 SSID  kitenet

ID・Password ID・X509

九州大学 九州大学

IdMS User Accounts

RADIUS RADIUS KITE

Kyushu  Univ.

Campus Network

802.11 SSID  eduroam RADIUS

switch

802.1x User AuthN

ID・Password ID・X509

九州大学 九州大学

RADIUS

図 5 九 州 大 学 のeduroam環 境

表 2 機 器 構 成

用 途 機 器

802.1x無 線LAN ア ク セ ス ポ イ ト

ア ラ イ ド テ レ シ ス 社 製 TenQ AT-TQ2403

RADIUSサ ー バ FreeBSD6.2 FreeRADIUS 1.1.6

eduroam.jp提 供realm用 パ ッ チ

5.1.

接 続 ポリシー

表 １ に は eduroam.jpの 接 続 機 関 名 の ほ か に ，各 機 関 が 許 し て い る 接 続 形 態 が あ る ． 接 続 形 態 と し て ， eduroam standardと ，VPNの み の 二 つ が あ る ．eduroam 全 体 と し て は ， 他 の 接 続 ポ リ シ ー も あ る が ， 日 本 国 内 に は ２ 種 類 の ポ リ シ ー し か 今 の と こ ろ な い ．eduroam standard と し て は ， 以 下 の 通 信 プ ロ ト コ ル は 制 限 し な い 事 が 求 め ら れ て い る[1]．

z IPSec VPN, PPTP VPN, SSH, HTTP, HTTPS, IMAP2/3/S, POP/POP3, Passive FTP, SMTP/SMTPS, RDP

一 方 ，VPNの み の 場 合 ，訪 問 者 が 利 用 可 能 な 通 信 プ ロ ト コ ル は VPNし か 利 用 で き な い ．

VPNの み を 許 す 設 定 に し て い る の は ，自 組 織 内 の 情 報 サ ー ビ ス と ，組 織 の IPア ド レ ス が 密 接 に 関 わ っ て い る 事 や ， セ キ ュ リ テ ィ 上 の 問 題 が あ る か ら で あ る ． 日 本 の 学 術 機 関 で は ， 組 織 内 の 情 報 サ ー ビ ス で の ア ク セ ス 制 御 方 法 と し て ，IPア ド レ ス に よ る 制 限 を す る 場 合 が 多 い ． 例 え ば ， 電 子 ジ ャ ー ナ ル の 閲 覧 は ， 自 組 織 の IP ア ド レ ス か ら は 可 能 と い っ た 制 御 を し て い る ． eduroamの 接 続 ポ リ シ ー をeduroam standardに す る と ， 契 約 外 の 来 訪 者 が 電 子 ジ ャ ー ナ ル を 閲 覧 で き る と い っ た 問 題 が あ る ．他 に も ，eduroam standardな ら ば 様 々 な 通 信 が 可 能 で あ る た め ， も し 来 訪 者 の PC が ウ ィ ル ス

等 に 感 染 し て い る 場 合 な ど に ， 他 の 端 末 へ の 迷 惑 が か か る 恐 れ が あ る ．

VPN接 続 の み の 場 合 ，来 訪 先 の ネ ッ ト ワ ー ク か ら 直 に 外 部 へ 接 続 す る で は な く ，自 組 織 のVPNサ ー バ を 経 由 し て イ ン タ ー ネ ッ ト へ 接 続 す る こ と に な る ． こ の 方 法 で あ れ ば ， 来 訪 者 に 自 組 織 内 の サ ー ビ ス を 使 わ れ る こ と も な い し ， セ キ ュ リ テ ィ 上 の 問 題 も 回 避 で き る ．

5.2. 802.1x

での認 証 方 法 と認 証 情 報 格 納 方 法

九 州 大 学 に は 現 在 教 職 員 の 認 証 情 報 を 格 納 し た LDAP サ ー バ と ， 学 生 の 認 証 情 報 を 格 納 し た Active Directory サ ー バ が 存 在 す る ．従 っ て ，こ れ ら の サ ー バ とeduroamのFreeRADIUSサ ー バ が 連 携 す る こ と が で き れ ば ，eduroam の 利 用 者 を 大 学 の 構 成 員 ほ ぼ 全 体 に 拡 大 す る こ と が で き る ．

LDAP と の 連 携 に お い て 問 題 に な る の が ，eduroam で 無 線 端 末 の 認 証 に 利 用 す る 802.1x プ ロ ト コ ル で の 認 証 方 法 で あ る ．802.1xで 主 に 用 い ら れ て い る 代 表 的 な プ ロ ト コ ル にEAP-PEAPとEAP-TTLSが あ る ．こ れ ら は 非 常 に 似 通 っ た 設 計 で 実 装 さ れ て い る が ， 互 換 性 は な い ．EAP-PEAP は ID と パ ス ワ ー ド の 確 認 に MS-CHAPv2を 利 用 す る ．EAP-TTLSはMS-CHAPv2以 外 に PAP 等 も 利 用 で き ， 自 由 度 が 高 い ．Windows 系 OSに は 標 準 でEAP-PEAPが 搭 載 さ れ て い る ．

PAP や MS-CHAPv2 を 使 用 す る 場 合 ， パ ス ワ ー ド の 格 納 形 式 が 問 題 と な る ．平 文 パ ス ワ ー ド が RADIUSサ ー バ も し く は 連 携 す るLDAPサ ー バ な ど に 登 録 さ れ て い れ ば ， 任 意 の プ ロ ト コ ル で 認 証 が 可 能 で あ る ． し か し ， 一 般 に 平 文 パ ス ワ ー ド を サ ー バ 側 に 保 持 す る こ と は 避 け る べ き で あ る た め ，LDAP の パ ス ワ ー ド は ハ ッ シ ュ さ れ て い る こ と が 多 い ．こ の よ う な 場 合 ，RADIUS サ ー バ 側 でLDAPか ら 利 用 者 の パ ス ワ ー ド を 取 得 し て も 認 証 に 利 用 す る こ と が で き な い ．

解 決 方 法 と し て は 以 下 の ２ つ が 主 流 で あ る ． (A) パ ス ワ ー ド の NThash/LMhashを 用 意 す る 手 法 (B) LDAP側 に 認 証 を 移 譲 す る 手 法

以 下 ， そ れ ぞ れ に つ い て 説 明 す る ．

(A) パ ス ワ ー ド の NThash/LMhashを 用 意 す る 手 法 EAP-PEAPで は MS-CHAPv2を 使 用 し な け れ ば な ら な い た め ，Microsoft独 自 の 方 式 （NThashま た は LMhash）で ハ ッ シ ュ し た パ ス ワ ー ド 文 字 列 が 必 要 で あ る ．通 常LDAPは こ の 形 式 で パ ス ワ ー ド を 保 持 し な い が ， 別 途 属 性 を 定 義 し こ の 形 式 の パ ス ワ ー ド を 格 納 し て お き ，こ れ をRADIUSサ ー バ か ら 参 照 可 能 に す る こ と に よ り ，MS-CHAPv2で の 認 証 が 可 能 と な る ． 問 題 点 と し て は ，LDAP標 準 の 格 納 方 式 で は な い た め ， 利 用 者 や 管 理 者 の た め の パ ス ワ ー ド 変 更 イ ン タ ー フ ェ イ ス がNThash/LMhashで ハ ッ シ ュ さ れ た パ ス ワ ー ド を 生 成 しLDAPサ ー バ に 格 納 す る よ う に 実 装 す る 必 要 が あ

る ． ま た ， プ ロ ト コ ル 的 に は こ の ハ ッ シ ュ さ れ た パ ス ワ ー ド 文 字 列 が あ れ ば 認 証 は 可 能 で あ る た め ， こ れ ら の 文 字 列 は 平 文 パ ス ワ ー ド と 同 様 に 外 部 に 漏 れ な い よ う 保 護 す る 必 要 が あ る ． な お EAP-TTLSで も

MS-CHAPv2は 利 用 可 能 で あ る ． (B) LDAP側 に 認 証 を 移 譲 す る 手 法

NThash/LMhashさ れ た パ ス ワ ー ド が 用 意 で き ず ， ま たLDAP側 に 平 文 パ ス ワ ー ド を 格 納 し 公 開 も で き な い 場 合 ， 利 用 者 側 か ら パ ス ワ ー ド 自 体 を 平 文 で 提 供 し て も ら う し か な い ． す な わ ち ，PAPを 利 用 す る こ と に な る ．EAP-PEAPで は PAPは 利 用 で き な い た め ， こ の 場 合 は EAP-TTLSし か 使 用 で き な い ．EAP-TTLSで は 通 信 は TLSの 暗 号 機 能 に よ り 保 護 さ れ る た め ，PAPを 利 用 し て も 経 路 上 で パ ス ワ ー ド を 盗 聴 さ れ る 恐 れ は な い ．

し か し ，RADIUSサ ー バ に は 平 文 パ ス ワ ー ド が 見 え て し ま う こ と に 注 意 す る 必 要 が あ る ．RADIUSサ ー バ に 平 文 パ ス ワ ー ド が 通 知 さ れ る と ，RADIUSサ ー バ は LDAPサ ー バ に 対 し 通 知 さ れ た ID・パ ス ワ ー ド でbind を 試 み る ． こ れ が 成 功 す れ ば ，LDAP側 に 当 該 利 用 者 の ア カ ウ ン ト が 存 在 す る こ と が 分 か る た め ， 認 証 が 可 能 と な る ． た だ し ，FreeRADIUS実 装 で は 認 証 時 に ま ず そ の IDがLDAPサ ー バ に 存 在 す る か ど う か の 検 索 を 実 行 す る た め ，FreeRADIUSサ ー バ に 対 し LDAPサ ー バ を 検 索 す る 権 限 の あ る ユ ー ザ ア カ ウ ン ト を 提 供 し ， 設 定 す る 必 要 が あ っ た ．

こ の 手 法 の 問 題 点 と し て は ，認 証 に PAPを 使 用 し て い る た め ， も し 悪 意 の あ る 第 三 者 がeduroamを 名 乗 る 基 地 局 と 偽 の RADIUSサ ー バ を 用 意 す る と ，そ こ に 接 続 し た 利 用 者 の IDと パ ス ワ ー ド を 盗 む こ と が で き る ， と い う 問 題 が 想 定 さ れ る ． こ の 問 題 を 防 ぐ た め に は RADIUSサ ー バ の 真 正 性 を 確 認 す る 必 要 が あ る ． サ ー バ 証 明 書 を RADIUSサ ー バ 側 に 設 定 し ，利 用 者 側 で そ の 証 明 書 の CAを 登 録 し て お く こ と で 証 明 書 お よ び RADIUSサ ー バ 真 正 性 を 確 認 で き る ．

Active Directory は 通 常 外 部 に パ ス ワ ー ド 情 報 を 提 供 し な い た め ， 連 携 す る た め に は RADIUSサ ー バ が Windows ド メ イ ン に 参 加 し ， 利 用 者 か ら 提 供 さ れ た ア カ ウ ン ト 情 報 に 基 づ い て 認 証 可 能 か ど う か を Active Directoryに 問 い 合 わ せ る 必 要 が あ る ．FreeRADIUSを 利 用 す る 場 合 は ，sambaを 利 用 し て ド メ イ ン に 参 加 し ， sambaに 付 属 す る 外 部 コ マ ン ド を RADIUSサ ー バ か ら 呼 び 出 す こ と で 認 証 を 確 認 す る 手 法 が 知 ら れ て い る ．

5.3.

証 明 書 付 き

RADIUS

サーバ

九 州 大 学 のeduroam環 境 で は ， 全 学 的 な 認 証 基 盤 で あ るLDAPサ ー バ へ 利 用 者 情 報 の 問 い 合 わ せ を 行 う よ う に し て い る ． ま た ， 認 証 基 盤 と な る サ ー バ 群 の 一 つ に サ ー バ 証 明 書 を 設 置 し たRADIUSサ ー バ を 用 意 し て い る ．eduroam用 のRADIUSサ ー バ は ，proxyに な り 認

証 基 盤 側 のRADIUSへ 利 用 者 認 証 情 報 の 問 い 合 わ せ を 行 う ． 図 6 に シ ス テ ム 構 成 を 示 す ．

User DB (LDAP) IdMS User Accounts

RADIUS

(eduroam用） 802.11 SSID  eduroam RADIUS

全学共通認証用 サーバ 証明書 Top level

eduroam server (eduroam.jp) RADIUS

Kyushu University

図 6 RADIUS サ ー バ の 構 成

図 6 に 示 す 方 法 の 利 点 は ， 複 数 の RADIUS サ ー バ が あ る 場 合 に 便 利 に な る ． 図 5に 示 す よ う に ， 九 州 大 学 で は 学 内 専 用 の 無 線LAN環 境 も あ る ．複 数 の サ ー バ に 証 明 書 を 設 置 す る の は 大 変 で あ る た め ， 代 表 と な る 一 つ の サ ー バ に 証 明 書 を 設 置 し ，後 のRADIUSサ ー バ に は 証 明 書 を 設 置 し な い こ と に し た ．

5.4. 電 子 証 明 書 と Windows

の

802.1x

サプリカント UPKI 活 動 の 一 環 で ， 国 立 情 報 学 研 究 所 は 大 学 等 の 学 術 機 関 向 け に サ ー バ 証 明 書 を 発 行 し て い る[4]．国 立 情 報 学 研 究 所 が 発 行 す る 証 明 書 を RADISUS サ ー バ に 適 用 し た ． 証 明 証 用 の CSR (Certification Signing Request)はOpenSSLで 作 成 し た ．

サ ー バ 証 明 書 は Valicert 社 が 発 行 す る も の で ，Web ブ ラ ウ ザ のHTTPS通 信 を 行 う 場 合 は 問 題 が な い ．し か し ，Windows XPが 標 準 で 装 備 す る 802.1xサ プ リ カ ン ト と の 相 性 が 悪 い ． 図 7に 示 す よ う に ， 明 示 的 に 信 頼 さ れ た ル ー ト 証 明 機 関 に 入 れ な け れ ば な ら な い ． こ の 問 題 に つ い て は ， 改 善 要 求 を 行 う 予 定 で あ る ．

図 7 信 頼 さ れ た ル ー ト 証 明 機 関 の 設 定

6. お わ り に

本 稿 で は ， 組 織 間 の 認 証 連 携 の 仕 組 み と ， 大 学 間 認 証 連 携 UPKI に つ い て 述 べ た ． ま た ， 認 証 連 携 ア プ リ ケ ー シ ョ ン と し て のeduroamに つ い て 説 明 し ， 著 者 ら

が 構 築 し た 九 州 大 学 の eduroam環 境 に つ い て 述 べ た ． 九 州 大 学 の 認 証 基 盤 で あ る LDAP サ ー バ と 連 携 す る eduroam 環 境 は 構 築 で き た ． し か し ，Windows XP の 802.1xサ プ リ カ ン ト と サ ー バ 証 明 書 と の 関 係 に 問 題 が あ る こ と が 分 か っ た ．今 後 は Active Directoryと の 連 携 や ，ICカ ー ド 等 の 認 証 ト ー ク ン を 利 用 し た 利 用 者 認 証 に つ い て も 調 査 す る 予 定 で あ る ．

文 献

[1] eduroam, http://www.eduroam.org/ .

[2] Licia Florio, Klaas Wierenga, “Eduroam, providing mobility for roaming users,” Proc. of EUNIS 2005, June 2005.

[3] eduroam.jp, http://www.eduroam.jp/, 2006.

[4] Ｕ Ｐ Ｋ Ｉ イ ニ シ ア テ ィ ブ, https://upki-portal.nii.ac.jp/ , 2005.

[5] 曽 根 原 登, 岡 田 仁 志, 岡 部 寿 男, 島 岡 政 基, 谷 本 茂 明, 片 岡 俊 幸, 峯 尾 真 一, 渡 辺 克 也, “全 国 大 学 共 同 電 子 認 証 基 盤（UPKI）の 構 築 -大 学 間 連 携 電 子 認 証 基 盤 の 実 現 に 向 け た 「UPKI イ ニ シ ア テ ィ ブ 」 構 想 の 提 案-,” シ ン ポ ジ ウ ム 「 最 先 端 学 術 情 報 基 盤(CSI)の 構 築 に 向 け て 」，Jun 2006.

[6] OpenID, http://www.openid.ne.jp/ .

[7] Simson Garfinkel，Gene Spafford共 著 ，“UNIX＆ イ ン タ ー ネ ッ ト セ キ ュ リ テ ィ 第 2版”， 山 口 英 （ 監 訳 ）， 谷 口 功 （ 訳 ）， オ ラ イ リ ー ジ ャ パ ン ， 東 京 ， pp.245， 1999．

[8] の ぎ 田 め ぐ み ， 笠 原 義 晃 ， 伊 東 栄 典 ， 鈴 木 孝 彦 ，

“ 利 用 者 認 証 に 用 い る 識 別 子 の 決 定 方 法 に 関 す る 考 察 ”， 電 子 情 報 通 信 学 会 信 学 技 報

ISEC2006-112, pp.67-72, Dec.13, 2006.

[9] Shibboleth, http://shibboleth.internet2.edu/, 2000.

[10] Tom Barton, Jim Basney, Tim Freedman, Tom Scavo, Frank Siebenlist, Von Welch, Rechana Ananthakrishanan, Bill Baker, Monte Goode, Kate Keahey, “ID Federation and Attribute-based AuthZ through the Globus Toolkit, Shibboleth, GridShib, and MyProxy,” Proc. of Internet2 5th Annual PKI R&D Workshop, April 2006.

[11] リ バ テ ィ ア ラ イ ア ン ス, http://projectliberty.org/jp/, 2005.

[12] Globus Alliance, http://www.globus.org/, 2003.

[13] TERENA:The Trans-European Research and Education Networking Association, http://www.terena.org/ .

[14] APAN:Asia-Pacific Advanced Network, http://www.apan.net/ .

[15] 国 立 情 報 学 研 究 所 ，最 先 端 学 術 情 報 基 盤CSI Cyber

Science Infrastructure),, http://www.nii.ac.jp/research/project-j.shtml#01,

2005.

[16] RFC 2486, “The Network Access Identifier”, January, 1999.