Wi-Fi プロファイルを用いた
eduroam/OpenRoaming のパスワードレス設定
後藤英昭 1) ,原田寛之 2) ,漆谷重雄 3)

1) 東北大学 サイバーサイエンスセンター
2) 札幌学院大学 情報処理課
3) 国立情報学研究所

Passwordless Conﬁguration of eduroam/OpenRoaming
Using Wi-Fi ProﬁleHideaki Goto1) , Hiroyuki Harada2) , Shigeo Urushidani3)
1) Cyberscience Center, Tohoku University
2) Information Processing Division, Sapporo Gakuin University3) National Institute of Informatics

概要
教育・研究機関向けの無線 LAN ローミング基盤である eduroam は，これまで多くの機関で，ID・パスワードを使う形で運用されてきた．利用者が ID・パスワードを記憶または記録しておく必要性があり，手作業での入力の負担が大きかった．また，打ち間違いによる接続不良も，利便性を損ねていた．一方，市民一般向けのローミング基盤である OpenRoaming の開発と並行して，OS ベンダ各社は近年，Wi-Fi プロファイルを用いたウェブベースのプロビジョニング (準備，設定投入) の仕組みを提供するようになった．プロファイルは，無線 LAN の設定に必要なパラメータや証明書などを埋め込んだファイルである．これにより，WPA2 Enterprise の無線 LAN であっても，利用者が複雑な手順を踏まずに設定できるようになった．本研究では，主要な OS の対応状況を調査した．また，機関の情報システムに組み込んで Wi-Fi プロファイルを発行できるようにするためのツールキットを開発し，GitHub で公開した．これを用いると，組織のアカウントなどを用いてログイン済みのウェブサイトから，プロファ
イルを電子的手段で端末に流し込み，ID・パスワードレスな eduroam/OpenRoaming 設定を実現できる．利用者による入力ミス・設定ミスの可能性を極力排除することで，サービスの利便性と安定性の向上が期待される．

1 はじめに

本報告では，主要な OS のウェブベース Wi-Fi プロ
ビジョニングの対応状況を解説する．また，機関の情教育・研究機関向けの無線 LAN ローミング基盤で報システムに組み込んで Wi-Fi プロファイルを発行である eduroam [1] は，これまで多くの機関で，ID・パ

きるようにするためのツールキットを開発したので，スワードを使う形で運用されてきた．利用者が ID・パ

紹介する．これを用いると，組織のアカウントなどをスワードを記憶または記録しておく必要性があり，手用いてログイン済みのウェブサイトから，プロファイ

作業での入力の負担が大きかった．また，打ち間違い

ルを電子的手段で端末に流し込み，ID・パスワードレ

による接続不良も，利便性を損ねていた．一方，市民

スな eduroam/OpenRoaming 設定を実現できる．利

一般向けのローミング基盤である OpenRoaming [2]用者による入力ミス・設定ミスの可能性を極力排除すの開発と並行して，OS (Operating System) ベンダ各ることで，サービスの利便性と安定性の向上が期待さ社は近年，Wi-Fi プロファイルを用いたウェブベース

れる．

のプロビジョニング (準備，設定投入) の仕組みを提本稿では，初めに，eduroam の接続設定の現状と課供するようになった．これにより，WPA2 Enterprise

題を説明する．続いて，最近の各種 OS におけるウェの無線 LAN であっても，利用者が複雑な手順を踏まブベース Wi-Fi プロビジョニングの動向と技術を説明ずに設定できるようになった．

する．最後に，ID・パスワードレス設定を実現するた

めのツールキットを紹介する．

2 eduroam CAT と geteduroam によるeduroam 設定の容易化
2.1 eduroam の手動設定の課題
eduroam は WPA2 Enterprise (IEEE 802.1X) による安全な利用者認証と接続方法に基づくシステムである [1]．eduroam では幾つかの認証方式が利用できるが，ID とパスワードを使う EAP-TTLS (Extensible

Authentication Protocol-Tunneled Transport Layer
Security) と PEAP (Protected Extensible Authen-

図 1 eduroam installer (CAT) による接続設定．

tication Protocol) が広く利用されている．この他，
電子証明書を用いる EAP-TLS ( -Transport Layer

Security) を採用している機関もある．

ID とパスワードの入力においても，画面に表示さEAP-TLS の場合は，電子証明書を端末にロードすれたり紙に書かれたものを端末に入力する際に，1 (イる必要があるため，機関内のウェブサイトなどを通じ

チ) と l (エル) のように似た文字を間違えたり，末尾て端末の設定を行う必要がある．一方，ID・パスワーに余計なスペースを入れてしまう，ハイフン (–) とよ

ド方式は，他にネットワーク接続手段のない場所でも，く似た他の記号を入れてしまうなど，入力ミスによる手動設定のみで無線 LAN に接続できるという利点が認証失敗に多くの利用者と管理者が悩まされている．

ある．例えば，自分の所属機関が eduroam に参加して類似した文字を排除するなど，システム設計の工夫もいないが，参加した国際会議でビジター用の eduroam

あるが，手動設定の負担と誤入力の問題は残る．

アカウントが配布されているようなケースが，これに2.2

eduroam CAT

該当する．しかしながら，eduroam を十分に安全に利eduroam の接続設定を容易にするために，eduroam

用できるようにするためには，本来はサーバ認証の設

CAT (Conﬁguration Assistant Tool) [3] が運用され定も必要で，手作業での接続設定は煩雑である．

ている．eduroam の IdP (Identity Provider) となる

EAP-TTLS と PEAP では，利用者認証に先立っ機関の管理者が，ID・パスワードを除く設定情報を仕て，これから接続しようとする基地局とネットワー

込んだプロファイルを，予め eduroam CAT のサーバ

クが偽物ではないことを確認するための，サーバ認証に登録しておく．利用者は，eduroam CAT からこのが行われる．PEAP ではサーバ認証の省略もできる

プロファイルをダウンロードして，eduroam installer

が，利用者認証に用いられる MS-CHAPv2 のセキュに読み込ませる．これにより，図 1 のように ID・パス

リティが十分ではないため，巧妙に細工された偽基地

ワードを入力するだけで，安全な eduroam 接続設定

局に誘導されるとパスワードが解析・窃取される恐れが可能である．

がある．このため，サーバ認証の有効化が強く推奨されている．

eduroam CAT は幅広い OS に対応している．Apple の iOS, iPadOS, macOS では，MDM (Mobile

さらに，プライバシー保護のために，実際に利用

Device Management) 向けの共通のプロファイル形式

者認証に使われる Inner Identity とは別に，Outer(.mobileconﬁg) が利用でき，端末に特別なアプリを

Identity に匿名 ID を設定することが望ましい．機関導入しなくても無線 LAN 設定が可能である．一方，のポリシーに依って，匿名 ID を設定しない運用も可

Android と Windows については，eduroam CAT 独能である．

自の .eap-conﬁg 形式のプロファイルが発行され，利用以上をまとめると，認証方式の選択の後，ID・パス

者がこれをダウンロードして eduroam installer に読

ワードに加えて，サーバ認証のための情報 (サーバ証み込ませることで，端末の無線 LAN 設定が行われる．

明書の検証に使う CA (Certiﬁcate Authority) 証明書

執筆時点で，eduroam CAT のサーバ周りのシステの名前と，サーバ証明書の SAN (Subject Alternative

ムは運用継続されているが，アプリのメンテナンスがName) など)，および，Outer Identity の入力が必要

行われておらず，後述する geteduroam [4] への移行

であり，これを利用者が手作業で行うことは難しい．

が進められている．

アクセスするためのネットワーク接続が別途必要である．Apple 以外の端末では，予めアプリを導入しておく必要もある．

3 ウェブベース Wi-Fi プロビジョニングの最新動向
図 2 .eap-conﬁg と geteduroam app による無線

LAN 設定.

3.1

プロファイルを用いた無線 LAN 設定

教 育・研 究 機 関 向 け の eduroam に 加 え て ，市 民
一般向けのセキュアな無線 LAN ローミング基盤の実現が望まれるようになり，国内では著者らによるCityroam [5] が 2018 年に，世界では Wireless Broadband Alliance (WBA) による OpenRoaming [2] が2020 年に運用開始された．OpenRoaming では Passpoint [6] と呼ばれる仕組みが導入されているが，これは eduroam における WPA2 Enterprise と同様の設定に加えて，さらに細かいパラメータを端末に設定する必要がある．このため，手作業による設定は困難であり，設定に必要な情報をまとめたプロファイルを端
末に電子的に流し込む，プロビジョニングの仕組みが開発されるようになった．ウェブベースの Wi-Fi プロ
ビジョニングの機能を使うことで，利用者はオンライ
ンサインアップ (OSU, Online Sign-Up) の機能を用いて，煩雑な手順を踏まずにセキュアな無線 LAN に接続できるようになった．Passpoint に対応したプロファイルは，特に，Passpoint プロファイルと呼ばれ
図 3 geteduroam による接続設定.

ている．
一部のプロファイルには有効期限を設定する項目もあり，期限切れのアカウントによる大量の認証要求の2.3 geteduroam

発生を抑制することも可能である．eduroam では大eduroam の接続設定をさらに容易にするために，

勢の卒業生の端末に設定が残っていることがローミン

geteduroam と い う 名 前 の ア プ リ が 開 発 さ れ て い

グ基盤の負担になっており，有効期限が設定できるこる [4]．geteduroam では，eduroam CAT と同じ .eap-とは負荷軽減に貢献すると考えられる．

conﬁg 形式のプロファイルが利用できる．
執筆時点で，geteduroam の基本機能は eduroam

CAT のアプリと同様であるが，インタフェースの洗練

次節より，代表的な OS のウェブベース Wi-Fi プロ
ビジョニングの対応状況と仕組みを説明する．

3.2

Android (PPS MO)が進められている．対応 OS は，Android，Windows，Android では，Passpoint [6] で定義された PPS MO

iOS/iPadOS である (図 2)．iOS/iPadOS と macOS(Per-Provider Subscription Management Object) とについては，eduroam CAT のウェブサイトで発行さ呼ばれる形式のプロファイルが利用される．このプロれるプロファイルのみを用いて設定が可能なため，実ファイルは XML (eXtensible Markup Language) 形

質的には Android と Windows で特に有用なアプリと式で記述されている．利用者がウェブサイトで Pass-なっている．

point 設定などのボタンをタップすると，Passpoint

geteduroam は基本的に eduroam CAT のシステム

プロファイルが端末にダウンロードされて，自動的にをバックエンドに利用しており，ID とパスワードの入無線 LAN 設定のメニューに遷移する (図 4)．利用者

力はあいかわらず必要である (図 3)．また，eduroam

が入力しなければならないようなパラメータは一切なの接続設定の際に，eduroam CAT のウェブサイトにく，数タップの操作のみで設定が完了する．

3.3

iOS/iPadOS/macOS (.mobileconﬁg)

Apple の iOS, iPadOS, macOS の 各 OS で は ，MDM 向けの.mobileconﬁg 形式のプロファイルが共通のプロファイル形式 (.mobileconﬁg) が利用される．
この形式では，無線 LAN の一通りの設定が網羅されており，WPA2 Enterprise だけでも，Passpoint を組
み合わせても，いずれでも利用できる．
利用者がウェブサイトで Passpoint 設定などのボタンをタップすると，プロファイルが端末にダウンロー
図 4 PPS MO による Android の Passpoint 設定．

ドされる．続いて，プロファイルをインストールする操作が必要である (図 5)．利用者が入力しなければならないようなパラメータは一切なく，数タップの操作のみで設定が完了する．
プロファイルには有効期限の埋め込みも可能であり，期限切れのプロファイルを削除するように，利用者に操作を促すことができる．

.mobileconﬁg 形式のプロファイルは，XML 形式で記述されており，S/MIME (Secure / Multipurpose

Internet Mail Extensions) による署名に対応してい図 5 .mobileconﬁg による iOS の Wi-Fi 設定．

る．署名付き・署名なしのいずれでも利用できるが，署名なしの場合はプロファイルのインストールの際に赤字で警告が表示される．署名に用いる証明書は，OSが標準対応しているパブリック CA から発行されたものが必要である．制約条件は厳しくないので，利用者に無用な心配をさせないためにも，署名付きのプロファイルを発行することが望ましい．

3.4

Windows (ms-settings: URI スキーム)

Windows 10 および Windows 11 では，ms-settings:
URI スキームを用いて，プロファイルによる無線 LAN
図 6 ms-settings: URI スキームによる Windowsの設定が可能になっている．XML で記述されたプロ

11 の Wi-Fi 設定．

ファイルをウェブサイトからダウンロードする際に，URL の前に ms-settings:wiﬁ-provisioning?uri= を付けることで，Windows の「ネットワークとインター

Android の リ フ ァ レ ン ス 実 装 で は ，EAP-TTLS,

ネット > Wi-Fi」メニューが自動的に立ち上がり，プ

EAP-TLS, EAP-SIM, EAP-AKA, EAP-AKA’ の形

ロファイルを取り込む仕組みになっている．図 6 のよ式がサポートされている．PPS MO 形式は，Pass-

うに，利用者が Wi-Fi ネットワークの追加を承認する

point の機能を伴わない従来の WPA2 Enterprise のだけで，接続設定が完了する．

みの設定には対応していない．すなわち，eduroam の設定には利用できないという問題がある．

このプロファイルは，WPA2 Enterprise のみでも，

Passpoint との併用でも利用できる．EAP-TTLS や

Android の Passpoint 周りの実装は，ほぼ実用的

EAP-AKA などに対応しているが，実機で検証したとと言えるレベルに達したのが Android 10 であり，調ころ，PEAP は利用できなかった．EAP-TLS にも対査した限りにおいて，安定な動作には 11 以降が必要

応していない．Passpoint の場合でも SSID の設定がである．プロファイルには有効期限を示す Expira-

省略できないなど，まだ仕様が十分に固まっていない

tionDate の定義も含まれているが，Android 12 以前

ように見える．

では機能しないようである．

プロファイルには XML 署名が必須で，省略はできない．また，この署名には EV (Extended Validation)

しにくいという問題があった．無線 LAN 業界でも，対応のコード署名用証明書が必要であり，非 EV の署

プロファイルの生成に各社が苦労している状況であっ名では赤字で「署名が無効です。
」というエラーが表示た．そこで，十分に洗練されていなくても，まずは正常されて，ネットワークが追加できない．Windows 11に動作する基本的なものが必要と考え，プロファイル

22H2 アップデートでは，この制約が緩和されて，非の生成を用意にするツールキットを開発して，GitHub

EV の署名も受け付けられるようになった．

でオープンソースソフトウェアとして公開した．初め

現在は Windows 10 の端末も数多く使われているたに，OpenRoaming 用のシステムを開発する事業者のめ，当面の間，EV 証明書を用いた運用が望まれる．

ために，Passpoint/OpenRoaming 向けのツールキッ

Windows 用のプロファイルには，有効期限を設定

トを Passpint Provisioning Tools の名称で開発，公する項目が見当たらなかった．

開した [7]．続いて，同じコードをベースにしながら，

3.5 .eap-conﬁg の利用

学校・大学でも利用しやすいように，eduroam 専用に

OS の仕組みではないが，代用品として優れた性質を持っているので，2.2 で説明した .eap-conﬁg についてここで補足説明しておく．

パッケージ化した eduroam Provisioning Tools を開発，公開した [8]．

Provisioning Tools は，IdP となる機関で自前のプ.eap-conﬁg は eduroam CAT や geteduroam で用

ロファイル発行システムを開発しやすいように，CGI

いられているプロファイル形式であり，XML で記(Common Gateway Interface) Perl スクリプトとし述される．この形式は，WPA2 Enterprise の EAP-て開発した．Perl スクリプトなので，CGI 以外の組

TTLS, EAP-TLS, PEAP に対応しており，Passpoint

み込みの用途でも，適応のための書き換えは難しくなにも限定的ながら対応している．標準的な eduroam

い．生成されるプロファイルの形式は OS ごとに異なでは世界で統一された SSID “eduroam” が用いられるが，埋め込むパラメータは共通のものが多いため，るが，Passpoint による接続も規定されており，後者で共通の設定ファイルにまとめた．このツールキットを

は RCOI (Roaming Consortium Organization Iden-

利用するには，ウェブサーバ上にコードを置き，設定

tiﬁer) によって接続先の基地局が選ばれる．Open-

ファイルを自機関向けにカスタマイズし，無線 LAN

Roaming でも RCOI が使われていることから，こののアカウントをデータベースから読み出すための自前.eap-conﬁg 形式は OpenRoaming にも応用できる．

のコードを追加する．

しかしながら，SIM 認証に対応していないという制約がある．

プロファイルを生成するスクリプトは，ウェブサイ
ト上の利用者用ポータルなど，何らかの利用者認証に2 で述べたように，現在の eduroam CAT や gete-

よってアクセス制御されている場所に設置する．これ

duroam の運用では，ID・パスワードを手作業で入力

により，ウェブサイトにログイン中の利用者を判別しないしコピー・ペーストすることが多い．.eap-conﬁgて，その利用者の無線 LAN アカウントをプロファイ

形式には UserName, Password の項目も定義されてルに埋め込むようにする．ウェブサイトのログインにおり，予めこれらを埋め込んでおけば，手作業が不要

は，ウェブアクセス用の認証方式を利用することを想な，ID・パスワードレスな接続設定が実現できる．こ定しており，SSO (Single Sign On) や，最近普及してれを実現するには，無線 LAN のアカウントを保有しきた FIDO2 [9] などのパスワードレス認証も利用できている各機関，すなわち IdP が，自前で UserName,

るだろう．EAP-TTLS では，もちろん内部的に ID・

Password を埋め込んだプロファイルを生成・発行すパスワードが利用されるが，これらは利用者の目に触る必要がある．

れることはなく，無線 LAN 認証用のトークンとみな.eap-conﬁg 形式には ValidUntil の項目があり，有効期限の埋め込みも可能である．

すことができる．つまり，この意味で，「無線 LAN の

ID・パスワードレス設定」が実現できる．
Passpoint Provisioning Tools は，ほぼそのままの

4 Provisioning Tools を用いた ID・パスワー
ドレスな無線 LAN 設定

形でフリー Wi-Fi 向けの OpenRoaming (settlement-

無線 LAN 設定に用いるプロファイルの形式が OS

は，Android 10 以上 (11 以上を推奨)，iOS/iPadOS

ごとに異なる上に，形式や署名方法に関する公開情14 以上, macOS 10 以上，Windows 10 以上である．

報が十分ではなく，正しく動作する条件や環境が見出

eduroam Provisioning Tools は，ほぼそのままの形

free model) に利用できるように設計した．対応 OS

で eduroam に利用できるように設計した．対応 OS
は，iOS/iPadOS 14 以上, macOS 10 以上，Windows

10 以上であり，geteduroam で使える.eap-conﬁg 形式のプロファイルも生成できるようにした．先に説明したように，PPS MO 形式が Passpoint 専用のため，

参考文献[1] eduroam JP: https://www.eduroam.jp/(2022 年 9 月 30 日参照)
[2] WBA OpenRoaming:

Android では OS 単体でウェブベースの eduroam 設

https://wballiance.com/openroaming/

定ができない．geteduroam などの外部プログラムに(2022 年 9 月 30 日参照)

頼る必要がある．
図 4, 5, 6 はいずれも，Provisioning Tools で生成したプロファイルを用いて，実際の端末画面をキャプチャしたものである．
ウェブベースの無線 LAN 設定には，他にネット
ワーク利用手段のない場所では使えないという不利な[3] eduroam CAT: https://cat.eduroam.org/(2022 年 9 月 30 日参照)
[4] geteduroam: https://www.geteduroam.app/(2022 年 9 月 30 日参照)
[5] Cityroam: https://cityroam.jp/(2022 年 9 月 30 日参照)点がある．しかしながら，現在はネットワークの常時[6] Wi-Fi Alliance, “Passpoint – Wi-Fi ホットス

利用が一般化しており，短時間ならば他の接続手段がポットネットワークへのシームレスでセキュア利用できることもある．最近の学生ならば，キャンパな接続を実現.” https://www.wi-fi.org/ja/

ス無線 LAN に接続する前に，自宅のネット回線や携

discover-wi-fi/passpoint/

帯電話のテザリングを利用できるのが普通だろう．無(2022 年 9 月 30 日参照)

線 LAN ローミングが社会に普及するにつれて，オン[7] Passpoint Provisioning Tools:

サイトでの接続設定が必要な機会は減ってくるものとhttps://github.com/hgot07/

考えられる．

PasspointProvisioningTools/

5 むすび(2022 年 9 月 30 日参照)
[8] eduroam Provisioning Tools:

本研究では，最近の主要な OS に組み込まれている，

https://github.com/hgot07/

ウェブベースの無線 LAN 設定機能について，技術とeduroamProvisioningTools/

対応状況を調査した．また，機関の情報システムに組(2022 年 9 月 30 日参照)

み込んで Wi-Fi プロファイルを発行できるようにす[9] FIDO Alliance:

るためのツールキットを開発した．組織のアカウント

https://fidoalliance.org/などを用いてログイン済みの情報システムから，プロ(2022 年 9 月 30 日参照)

ファイルを電子的手段で端末に流し込み，ID・パス
ワードレスな eduroam/OpenRoaming 設定を実現できる．利用者による入力ミス・設定ミスの可能性を極力排除することで，サービスの利便性と安定性の向上が期待される．
現時点では，OS や利用者端末の仕様や実装にまだ流動的なところが多く，現場で欲しい機能が十分に実装されているわけではない．今後も引き続き，実際のニーズに即した技術仕様の検討を進めて，OS ベンダ
や無線 LAN 業界に改良を働きかけていく予定である．
本研究の一部は，令和 4 年度国立情報学研究所公募
型共同研究の助成を受けた．Passpoint および Open-

Roaming に関する調査と開発は，国立研究開発法人情報通信研究機構 (NICT) の委託研究 Beyond 5G 国際
協働研究型プログラムにより実施した．