EAP

読み：いーえーぴー　／　英語表記：Extensible Authentication Protocol

さまざまな認証方式を、共通の手順で扱えるようにした認証の枠組み。IEEE 802.1Xなどで使われ、証明書やパスワードなど、使う認証方式を選べる。

イマシルちゃんの解説

「認証」といっても、パスワードで確かめる方法もあれば、証明書で確かめる方法もあるよね。
方式ごとに別々の仕組みを作っていたら大変！

そこでEAPは、「認証のやり取りを運ぶ入れ物」だけを決めておいて、
中身の認証方式はあとから好きなものを入れられるようにしたんだ。
拡張できる（Extensible）っていう名前の通りだね！

EAP（Extensible Authentication Protocol）は、RFC 3748で定められた認証の枠組みである。EAP自体は、認証のメッセージ（要求、応答、成功、失敗）のやり取りの形を決めるだけで、具体的な認証の方法は「EAPの方式（EAPメソッド）」として別に定める。

EAPは認証のための仕組みであり、それ自体が通信を暗号化するものでも、あらかじめ登録した共通鍵で暗号化する規格でもない。

方式	サーバの認証	クライアントの認証	特徴
EAP-TLS	サーバ証明書	クライアント証明書	双方を証明書で認証する。最も安全だが、全利用者に証明書を配る必要がある
PEAP	サーバ証明書	ID・パスワード（MS-CHAPv2など）	TLSのトンネルの中でパスワード認証を行う。証明書の配布はサーバ側だけで済む
EAP-TTLS	サーバ証明書	ID・パスワードなど	PEAPと同様にトンネルを作る。中で使える認証方式が多い
EAP-SIM / EAP-AKA		SIMカードの情報	携帯電話事業者のWi-Fiなどで使う
EAP-MD5	なし	パスワード（チャレンジレスポンス）	サーバを認証できず、鍵も作れないので無線LANには向かない

PEAPやEAP-TTLSでは、端末がサーバ証明書を正しく確認しないと、攻撃者が用意した偽のアクセスポイントと偽の認証サーバに接続し、パスワードのやり取りを盗まれるおそれがある。端末側で、信頼するCAとサーバ名を設定しておくことが重要である。

場所	運び方
無線LAN・有線LAN（IEEE 802.1X）	端末とアクセスポイントの間はEAPOL、アクセスポイントと認証サーバの間はRADIUSで運ぶ
PPP	PPPの認証フェーズでも使える
VPN（IKEv2）	利用者の認証に使える