ITRC meet20 in Fukuoka
October 5, 2006

UPKIにおける大学間無線LANローミング
情報・システム研究機構
国立情報学研究所
上岡英史

UPKIとは大学間連携のための全国共同電子認証基盤＜ 目的 ＞
大学が有する教育研究用計算機，電子コンテンツ，ネットワーク等を安全・安心に有効活用するための電子認証基盤の構築＜ 効果 ＞○最先端学術研究の加速支援○学術人材の（物理的・仮想的）流動への対応
U + PKI
University／Universal／Ubiquitous
大学の 汎用の・全世界の いつでもどこでもPKI（公開鍵認証基盤）
ただしPKIに限定せず認証技術を幅広く扱う

2

UPKIイニシアティブ
目的

UPKI構築推進のための認証技術及び利用等に係る仕様検討，意見交換，および，情報公開活動

メールマガジン，UPKIイニシアティブフォーラム（掲示板）による情報公開と意見交換
認証技術全般に関する普及・啓発活動，研究支援
https://upki-portal.nii.ac.jp
3

UPKIにおける大学間無線LANローミング
目的
UPKIユーザが，他のUPKI参加機関を訪問した際，UPKIの仕様に基づく認証連携により，その機関が運営している無線LANインフラを利用したインターネットアクセス環境を構築する

本サービスの位置づけ
 UPKIにおける組織間認証連携アプリケーション
対象ユーザ
 UPKI参加機関の教職員，学生，研究員等
4一般的な無線LANローミング方法

IEEE802.1xセキュリティ技術を用いるRADIUSベースの相互認証法（ID/Passwd）
ISP間ローミングでは極めて一般的な方法②ID/Passwd
認証リクエストRADIUS
ServerRADIUS
ServerInternet

AP

AP

③認証完了

④接続許可
①ID/Passwd
接続リクエスト

移動A大学
RADIUS: Remote Authentication Dial In User Service

B大学
5

RADIUSの特徴


RFCで規定される標準化技術
異種ネットワーク間ローミングに向いているProxyを階層的に配置したRADIUS連携
Realmを用いたユーザID
eduroam 等との接続による国際連携

eduroam:ヨーロッパ中心とした学術組織による無線LANローミング・インフラストラクチャヨーロッパの de facto standardオーストラリア，香港，台湾等も参加

6

Hierarchical RADIUS Proxy Structure
Top Level
Proxy

現在の”eduroam”もこのタイプのストラクチャ

日本

US

National Proxy(Japan)

National Proxy(US)

Proxy

Proxy

A大学

X大学

移動

ID: kamioka@a-university.ac.jp
Passwd: xxxxxxxx

7

RADIUS連携による大学間無線LAN
ローミング
各大学が所有（利用）する
RADIUSサーバを連携することで，ローミングを実現

A大学

この中をどのように作るか！
①メッシュ，②階層構造，③リング，④etc.？

ID/Passwd をホームのRADIUS サーバで認証する
仕組み

AP
RADIUS
Server

B大学

C大学

RADIUS連携

AP

RADIUS
ServerAP

RADIUS
Server8

RADIUSを用いる場合の問題点（１）

訪問先でのセキュリティ


訪問者が訪問大学のユーザと同じアクセス権限をもつ


大学内コンテンツのアクセスが可能上位レベルのアクセスコントロールを行うなどインフラの大幅な改善を強いられる
B大学構内LAN「学内掲示板が見えるぞ！」「講義のビデオアーカイブもあるぞ！」

学内コンテンツ
サーバ

学内掲示板
B大学学生
訪問者

B大学教授

B大学学生

←区別なし

9

VPNの利用は有効だが・・・


訪問者に対しては，ホームの大学内LANへVPNを張る

訪問先大学内コンテンツを守る
訪問者も自分の大学内コンテンツを利用できる

グローバルIPアドレスが必要！


大学によってはリソースが足りなく対応できない
アドレス割り当てにproxyを使うことも可能だが，ユーザ認証を行う必要があり，電子認証システムが必要
A大学構内LAN

B大学構内LANInternet

VPN Gateway

A大学

訪問者

B大学
10

RADIUSを用いる場合の問題点（２）

個人認証・サーバ認証ができない

ユーザの成りすまし

APの成りすまし

他人がID/Passwdを持ち出せば接続可能
ユーザが，悪意のある人物が設置したAPに接続してしまい，個人情報が盗まれる可能性がある

電子証明書を用いた個人認証およびサーバ認証が必要11電子認証を用いる方式
認証局が発行する証明書をもとに，訪問先でユーザを認証認証サーバの証明書を利用した相互認証も可能
サーバ証明書

認証局
(CA)

②

認証サーバ

ユーザ証明書①

AP

証明書は前もって配布

AP
①

②

移動A大学

B大学
12

電子認証の特徴

信頼された認証局が発行する証明書を用いることにより，成りすましができない
クライアント・サーバシステムの場合，双方向認証が可能

13

電子認証システムの構築

認証局 (CA: Certificate Authority) の構築に伴うコスト






本人確認，証明書発行，証明書配布
証明書自体（ICカード，USBトークン）
運用・管理

Public CA の運営のように，厳密・厳格にやればやるほど，管理者の負担とコストは大きくなる

14学内電子認証システム(1) 利用者を学内関係者に限定(2) 運用・管理を大学に見合ったレベルに限定◎ Private CA の運営で Public CA と同等のサービス提供が可能◎ 学内無線LANローミングに利用可能

PrivateCA

認証サーバ

A大学
15

Private CA を用いた学内電子認証システム
相互連携，相互運用
各大学ばらばらに設置・運用すると，外部CAとの相互連携が難しい
 技術仕様，CP (Certificate Policy)/CPS(Certificate Practice Statement)に相互運用性が必要
UPKIイニシアティブで議論

統一的仕様，相互運用ポリシーの意見交換および情報交換

16

CA相互認証による大学間無線LAN
ローミング
A大学

各大学が運用するCAで相互認証することで，ローミングを実現

この中をどのように作るか！
①メッシュ，②階層構造，③ブリッジ利用，④etc.？
APCA

B大学

C大学

CA相互認証

APCA

APCA

17

様々なCA相互認証の方式


CA相互認証といえども，通常は認証サーバ(RADIUS等)を利用する
相互認証のために認証リクエストを送る宛先はアーキテクチャによって様々
UPKIでどのような仕組みを作るかが最重要課題


コスト，compatibility，ヒューマンインタフェース，etc.
認証局
(CA)
レポジトリ

RADIUSサーバ

Internet

A大学

移動認証データベース

B大学
18

本年度実施内容

国内におけるテストベットの構築
各大学に設置した認証サーバを相互連携することにより，訪問先機関での無線LAN利用を可能にする
実証実験を通して問題点を洗い出す
UPKIを用いた本格運用の検討

先行して学内PKIシステムを導入している大学の事例を調査し，互換性も含めUPKIの方式を検討

参加機関：6機関(2006年10月現在)






北海道大学，東北大学，京都大学，九州大学，東京工業大学，国立情報学研究所
上記参加機関に限らず，参加を求む
UPKIイニシアティブにて情報交換等をどんどん行っていきたい！

19

研究開発フェーズ

フェーズ１（2006年度）




組織間連携

将来の国際連携も考慮し，eduroam 互換のRADIUS 連携方式でスタート
eduroam 接続試験

RADIUS 方式の問題点整理

フェーズ２（2007年度以降）
PKIを含む組織間連携

PKI を用いた RADIUS 連携方式の強化

RADIUS 連携を UPKI へ移行

20

UPKIにおける無線LANローミング
A大学

A大学

①PKIによるRADIUS連携の強化
②CA連携
③国際連携

RADIUS連携

B大学

CA相互認証

C大学

B大学

C大学

eduroamRADIUS連携
ネットワーク

UPKIにおける無線LANローミング
インフラストラクチャ
21

まとめ




UPKIの１つのアプリケーションとしての大学
間無線LANローミング
RADIUS連携とその問題
CA相互認証とそのアーキテクチャ
UPKIの今後の計画
UPKIイニシアティブに参加して，意見交換・情報交換を！
先例に学び，経験を共有し，協力で築く認証基盤．

22

eduroamヨーロッパ中心とした学術組織による無線LANローミングイン
フラ（ヨーロッパのデ・ファクト・スタンダード）
オーストラリア，香港，台湾等も参加
RADIUSサーバ連携による認証インフラ(ID/Password利用)
eduroam の基本構成

A大学のユーザ
Supplicant(Client)

Authenticator(AP)

RADIUS
ServerRADIUS
ServerDB

DB

Internet
B大学

RADIUS: Remote Authentication Dial In User Service

A大学
Central RADIUS
Proxy Server23