基本情報技術者 2009年 秋期 午前（科目A） 問40

無線LANやVPN接続などで利用され、利用者を認証するためのシステムはどれか。 【午前2 解説】

要点まとめ

• 結論：無線LANやVPNなどの接続で利用者の認証・認可・アカウンティングを一元管理するのはRADIUS（エ）です。
• 根拠：RADIUSはAAA（Authentication、Authorization、Accounting）を提供し、802.1XやVPNの認証バックエンドとして広く利用されます。
• 差がつくポイント：DESは暗号方式、DNSは名前解決、IDSは侵入検知であり、認証を主目的とするのはRADIUSだけです。

正解の理由

よくある誤解

• DESを認証システムと勘違いする人がいますが、DESは暗号アルゴリズムであって認証サーバではありません。
• DNSやIDSはそれぞれ名前解決と侵入検知が目的であり、利用者認証を主業務とはしていません。

解法ステップ

1. 問題文のキーワード（無線LAN、VPN、利用者を認証）を確認する。
2. 各選択肢の役割を思い出す（暗号、名前解決、侵入検知、認証サーバ等）。
3. 「認証・認可・アカウンティング」を行うプロトコルを選ぶ → RADIUSを選択。
4. 不正解候補（DES/DNS/IDS）は目的が一致しないため除外する。

選択肢別の誤答解説

• ア: DES
  • 誤り。DESは対称鍵ブロック暗号方式であり、利用者認証サーバではありません。暗号化に使われる技術です。
• イ: DNS
  • 誤り。DNSはドメイン名とIPアドレスの対応を解決する仕組みで、ユーザ認証とは無関係です。
• ウ: IDS
  • 誤り。IDS（Intrusion Detection System）は不正侵入の検知が目的で、認証・認可を行うシステムではありません。
• エ: RADIUS
  • 正解。RADIUSは認証（Authentication）、認可（Authorization）、アカウンティング（Accounting）を提供し、無線LANやVPNの認証バックエンドとして利用されます。

補足コラム

• ポートとプロトコル：RADIUSは通常UDP 1812（認証）と1813（アカウンティング）を使用します。古い実装ではUDP 1645/1646が使われることがありました。
• 802.1Xとの連携：無線LANの企業向け認証では、無線アクセスポイントがNASとして802.1Xを通じてRADIUSサーバに認証要求を転送します。EAP（Extensible Authentication Protocol）は802.1Xと組み合わせて使われ、RADIUSがEAPメッセージを伝搬します。
• RADIUSとTACACS+の違い：TACACS+はTCP（通常ポート49）を使い、認可やコマンドレベル制御が細かい点で異なります。RADIUSは主にネットワーク接続認証向けです。
• セキュリティ注意点：RADIUSはユーザパスワードのみを限定的に保護し、その他の属性は平文に近い形で扱われるため、TLSで保護されるような運用（例えばRADIUS over TLS）や周辺機器の安全設定が望まれます。

FAQ