証明書サービスを使用してワイヤレス LAN のセキュリティを保護する

[アーティクル]
12/06/2019

付録 D: WPA のサポート

最終更新日: 2005年5月24日

はじめに

「証明書サービスを使用してワイヤレス LAN をセキュリティで保護する」ソリューションは設計上、ワイヤレス LAN (WLAN) 用の Wi-Fi Protected Access (WPA) セキュリティと互換性があります。 WPA との互換性は、このガイダンスの手順に従って構成されたラボでテストされ、確認されています。ここでは、このソリューションで WPA を使用する方法を評価する場合に考慮する必要がある項目について説明します。

WEP および WPA の概要

Wired Equivalent Privacy (WEP) は、ワイヤード (有線) システムと同等レベルの保護を提供するために、Institute for Electrical Engineers (IEEE) 1999 802.11 ワイヤレスネットワーク標準の一部として定義されました。基本的 (または静的) な WEP では、事前共有キーに基づくワイヤレストラフィックの暗号化およびアクセス制御が可能です。 WEP にはいくつか脆弱性があることが判明しており、悪意ある攻撃者が最終的にこの 802.11 ネイティブのセキュリティ制御を切り抜けてしまう可能性があります。

WLAN 業界は、WPA と呼ばれるより強力なセキュリティソリューションを提供することによって、WEP の脆弱性に対応しています。 WPA は、相互運用が可能な標準ベースのセキュリティ仕様によって、WLAN システムのデータ保護およびアクセス制御のレベルを向上します。 WPA の最初のリリースは、802.11i 標準の初期サブセットで、将来にわたって互換性が維持される見通しです。 802.11i は現在、WPA 2.0 としてリリースされることが予想されています。

WPA の公開時、多くの組織では WPA をサポートしていない WLAN ハードウェアがまだ多数展開されていました。重要なのは、このようなハードウェアと新しい WPA 互換機器の両方にこのソリューションが対応することです。 WPA は動的 WEP より高いレベルのセキュリティを提供しますが、すべてのハードウェアが WPA 対応に更新されるまでは、動的 WEP が実用的なソリューションとなります。

このソリューションにおける WPA の影響

この「証明書サービスを使用してワイヤレスLAN をセキュリティで保護する」ソリューションでは、WPA を WEP の代替と考えることができます。ソリューションコンポーネントの大部分は、WPA の導入による影響を受けません。ソリューションは、WPA 対応ネットワーク機器を WEP ベースの機器と同様の方法で構成し、クライアントコンピュータに変更を加えることによってテスト済みで、WPA との互換性が確認されました。

WPA では、ネットワーク認証に 802.1X プロトコルを使用しているため、リモート認証ダイヤルインユーザーサービス (RADIUS)、Microsoft® 証明書サービス、および大部分の Microsoft Active Directory® ディレクトリサービスの設定は構成どおりに機能します。重要な考慮事項の 1 つは、Windows Server 2003 Service Pack 1 を実行しているドメインコントローラが最低 1 つある場合のみ、グループポリシーを使用して WPA 固有の設定を構成できる (または、Windows Server 2003 を実行している、ドメインコントローラではないドメインメンバ上でグループポリシー設定を構成できる場合がある) ということです。この詳細については後述します。次の表は、このソリューションで WPA を使用する場合の考慮事項の一覧です。

表 D.1: 考慮が必要なソリューションコンポーネント

ソリューション項目	考慮事項	コメント
Microsoft Windows® XP ハードウェアドライバ	WPA 対応にアップグレードできるネットワークインターフェイスカード (NIC)、および Windows XP クライアントドライバを入手できるかどうかについては、ご使用の NIC のベンダに問い合わせてください。	Windows Hardware Quality Labs (WHQL) によるテストに合格したドライバをお求めください。 Windows Wireless Zero Configuration (WZC) サービスをサポートしているドライバでは、NIC のファームウェアを動的に更新して WPA 対応にできます。ドライバが WZC サービスをサポートしているかどうかについては、ベンダにお問い合わせください。
Windows XP クライアント構成	クライアント構成の設定は変更する必要があります。このソリューションは、認証方法として WPA、暗号化プロトコルとして Temporal Key Integrity Protocol (TKIP) を選択してテストされています。	TKIP は WEP に代わる暗号化方法であり、WPA は認証方法として 802.1X を必要とします。
クライアントの定期的な再認証	このソリューションでは、RADIUS 設定を利用することで、クライアントが 10 分ごとに再認証を実行して WEP キーが再生成されるようにしています。	TKIP では、パケットごとにキーが更新されます。したがって、WEP キーを再生成するためのクライアントの再認証は必要がなくなります。この設定を 10 分のままにしておくと、Microsoft インターネット認証サービス (IAS) サーバーに不要な負荷がかかります。 WPA を使用する場合は、このセッションタイムアウトを 10 時間に変更することができます。
ワイヤレスネットワークグループポリシー	SP1 以前の Windows Server 2003 に付属している既存のワイヤレスネットワークグループポリシーは、WPA の発表前に開発されたものであるため、クライアントの WPA 設定を構成できません。	グループポリシーの WPA 設定を構成するには、Windows Server 2003 SP1 を使用する必要があります。または、ワイヤレスクライアント設定を手動で構成する必要があります。

WPA を使用してセキュリティで保護されたワイヤレス LAN ソリューションを構成する

次の手順を実行して、WPA を使用するようにソリューションを構成できます。

既存のワイヤレスアクセスポイント (AP) 上のファームウェアを WPA 対応にアップグレードするか、WPA をサポートする新しいワイヤレス AP を展開します。新しいワイヤレス AP は必ず、このガイダンスの手順に従って、RADIUS クライアントとして IAS サーバーに追加してください。ベンダの仕様に応じて、ワイヤレス AP 上で WPA 設定を構成します。
WLAN ネットワークインターフェイスカード (NIC) ドライバを WPA 対応のバージョンにアップグレードします。マイクロソフトでは、多くの WLAN カードベンダと協力して、アダプタカードドライバ経由でファームウェアをアップグレードできるようにしています。
ワイヤレスネットワークグループポリシーが適用されているセキュリティグループからワイヤレスコンピュータを削除します。 Windows Server 2003 SP1 を使用して、新しいグループポリシーオブジェクト (GPO) を作成し、ワイヤレスクライアント設定を WPA 用に構成します。認証の種類として WPA、暗号化の種類として TKIP を指定します。追加のセキュリティグループを作成し、WPA GPO の [ポリシーの適用] 許可を与えます。このグループを使用して、WPA 設定を受け取るクライアントを制御します。 Windows Server 2003 SP1 を展開していない場合は、ワイヤレスクライアント設定を手動で WPA 用に構成する必要があります。
WPA を使用して WLAN への認証をテストします。 IAS では、ソースが IAS でイベント ID が 1 のシステムイベントログメッセージが記録されます。これは、認証に成功したことを示します。