[要約] RFC 4851はEAP-FAST認証方式を定義し、ピアとサーバーの間にTLSトンネルを確立して、その内部でEAP認証方式を実行します。PACのプロビジョニングと利用、内側の認証結果を検証するCrypto-Binding、鍵導出、セッション再開の仕組みを規定します。
Network Working Group N. Cam-Winget
Request for Comments: 4851 D. McGrew
Category: Informational J. Salowey
H. Zhou
Cisco Systems
May 2007
The Flexible Authentication via Secure Tunneling Extensible Authentication Protocol Method (EAP-FAST)
RFC 4851 - セキュアトンネリングを介した柔軟な認証のための拡張認証プロトコル方式（EAP-FAST）
Status of This Memo
本文書の状態
This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited.
本メモはインターネットコミュニティ向けの情報を提供します。いかなる種類のインターネット標準も規定するものではありません。本メモは制限なく配布できます。
Copyright Notice
著作権表示
Copyright (C) The IETF Trust (2007).
Copyright (C) The IETF Trust (2007).
Abstract
概要
This document defines the Extensible Authentication Protocol (EAP) based Flexible Authentication via Secure Tunneling (EAP-FAST) protocol. EAP-FAST is an EAP method that enables secure communication between a peer and a server by using the Transport Layer Security (TLS) to establish a mutually authenticated tunnel. Within the tunnel, Type-Length-Value (TLV) objects are used to convey authentication related data between the peer and the EAP server.
本書は、拡張認証プロトコル（EAP）に基づく、セキュアトンネリングを介した柔軟な認証（EAP-FAST）プロトコルを定義します。EAP-FASTは、トランスポート層セキュリティ（TLS）を使って相互認証済みトンネルを確立し、ピアとサーバー間の安全な通信を可能にするEAP方式です。トンネル内では、Type-Length-Value（TLV）オブジェクトを使って、ピアとEAPサーバー間で認証関連データを伝達します。
Table of Contents
目次
1. Introduction . . . . . . . . . . . . . . . . . . . . . . . . . 4 1.1. Specification Requirements . . . . . . . . . . . . . . . . 5 1.2. Terminology . . . . . . . . . . . . . . . . . . . . . . . 5 2. Protocol Overview . . . . . . . . . . . . . . . . . . . . . . 6 2.1. Architectural Model . . . . . . . . . . . . . . . . . . . 6 2.2. Protocol Layering Model . . . . . . . . . . . . . . . . . 7 3. EAP-FAST Protocol . . . . . . . . . . . . . . . . . . . . . . 8 3.1. Version Negotiation . . . . . . . . . . . . . . . . . . . 8 3.2. EAP-FAST Authentication Phase 1: Tunnel Establishment . . 9 3.2.1. TLS Session Resume Using Server State . . . . . . . . 10 3.2.2. TLS Session Resume Using a PAC . . . . . . . . . . . . 10 3.2.3. Transition between Abbreviated and Full TLS Handshake . . . . . . . . . . . . . . . . . . . . . . 12 3.3. EAP-FAST Authentication Phase 2: Tunneled Authentication . . . . . . . . . . . . . . . . . . . . . . 12 3.3.1. EAP Sequences . . . . . . . . . . . . . . . . . . . . 13 3.3.2. Protected Termination and Acknowledged Result Indication . . . . . . . . . . . . . . . . . . . . . . 13 3.4. Determining Peer-Id and Server-Id . . . . . . . . . . . . 14 3.5. EAP-FAST Session Identifier . . . . . . . . . . . . . . . 15 3.6. Error Handling . . . . . . . . . . . . . . . . . . . . . . 15 3.6.1. TLS Layer Errors . . . . . . . . . . . . . . . . . . . 15 3.6.2. Phase 2 Errors . . . . . . . . . . . . . . . . . . . . 16 3.7. Fragmentation . . . . . . . . . . . . . . . . . . . . . . 16 4. Message Formats . . . . . . . . . . . . . . . . . . . . . . . 18 4.1. EAP-FAST Message Format . . . . . . . . . . . . . . . . . 18 4.1.1. Authority ID Data . . . . . . . . . . . . . . . . . . 20 4.2. EAP-FAST TLV Format and Support . . . . . . . . . . . . . 20 4.2.1. General TLV Format . . . . . . . . . . . . . . . . . . 21 4.2.2. Result TLV . . . . . . . . . . . . . . . . . . . . . . 22 4.2.3. NAK TLV . . . . . . . . . . . . . . . . . . . . . . . 23 4.2.4. Error TLV . . . . . . . . . . . . . . . . . . . . . . 24 4.2.5. Vendor-Specific TLV . . . . . . . . . . . . . . . . . 25 4.2.6. EAP-Payload TLV . . . . . . . . . . . . . . . . . . . 26 4.2.7. Intermediate-Result TLV . . . . . . . . . . . . . . . 28 4.2.8. Crypto-Binding TLV . . . . . . . . . . . . . . . . . . 29 4.2.9. Request-Action TLV . . . . . . . . . . . . . . . . . . 31 4.3. Table of TLVs . . . . . . . . . . . . . . . . . . . . . . 32 5. Cryptographic Calculations . . . . . . . . . . . . . . . . . . 32 5.1. EAP-FAST Authentication Phase 1: Key Derivations . . . . . 32 5.2. Intermediate Compound Key Derivations . . . . . . . . . . 33 5.3. Computing the Compound MAC . . . . . . . . . . . . . . . . 34 5.4. EAP Master Session Key Generation . . . . . . . . . . . . 35 5.5. T-PRF . . . . . . . . . . . . . . . . . . . . . . . . . . 35 6. IANA Considerations . . . . . . . . . . . . . . . . . . . . . 36 7. Security Considerations . . . . . . . . . . . . . . . . . . . 37 7.1. Mutual Authentication and Integrity Protection . . . . . . 37 7.2. Method Negotiation . . . . . . . . . . . . . . . . . . . . 38 7.3. Separation of Phase 1 and Phase 2 Servers . . . . . . . . 38 7.4. Mitigation of Known Vulnerabilities and Protocol Deficiencies . . . . . . . . . . . . . . . . . . . . . . . 39 7.4.1. User Identity Protection and Verification . . . . . . 39 7.4.2. Dictionary Attack Resistance . . . . . . . . . . . . . 40 7.4.3. Protection against Man-in-the-Middle Attacks . . . . . 40 7.4.4. PAC Binding to User Identity . . . . . . . . . . . . . 41 7.5. Protecting against Forged Clear Text EAP Packets . . . . . 41 7.6. Server Certificate Validation . . . . . . . . . . . . . . 42 7.7. Tunnel PAC Considerations . . . . . . . . . . . . . . . . 42 7.8. Security Claims . . . . . . . . . . . . . . . . . . . . . 43 8. Acknowledgements . . . . . . . . . . . . . . . . . . . . . . . 44 9. References . . . . . . . . . . . . . . . . . . . . . . . . . . 44 9.1. Normative References . . . . . . . . . . . . . . . . . . . 44 9.2. Informative References . . . . . . . . . . . . . . . . . . 45 Appendix A. Examples . . . . . . . . . . . . . . . . . . . . . . 46 A.1. Successful Authentication . . . . . . . . . . . . . . . . 46 A.2. Failed Authentication . . . . . . . . . . . . . . . . . . 47 A.3. Full TLS Handshake using Certificate-based Ciphersuite . . 48 A.4. Client Authentication during Phase 1 with Identity Privacy . . . . . . . . . . . . . . . . . . . . . . . . . 50 A.5. Fragmentation and Reassembly . . . . . . . . . . . . . . . 52 A.6. Sequence of EAP Methods . . . . . . . . . . . . . . . . . 53 A.7. Failed Crypto-Binding . . . . . . . . . . . . . . . . . . 56 A.8. Sequence of EAP Method with Vendor-Specific TLV Exchange . . . . . . . . . . . . . . . . . . . . . . . . . 57 Appendix B. Test Vectors . . . . . . . . . . . . . . . . . . . . 60 B.1. Key Derivation . . . . . . . . . . . . . . . . . . . . . . 60 B.2. Crypto-Binding MIC . . . . . . . . . . . . . . . . . . . . 62
Network access solutions requiring user friendly and easily deployable secure authentication mechanisms highlight the need for strong mutual authentication protocols that enable the use of weaker user credentials. This document defines an Extensible Authentication Protocol (EAP), which consists of establishing a Transport Layer Security (TLS) tunnel using TLS 1.0 [RFC2246], TLS 1.1 [RFC4346], or a successor version of TLS, using the latest version supported by both parties. Once the tunnel is established, the protocol further exchanges data in the form of type, length, and value objects (TLV) to perform further authentication. EAP-FAST supports the TLS extension defined in [RFC4507] to support fast re-establishment of the secure tunnel without having to maintain per-session state on the server. [EAP-PROV] defines EAP-FAST-based mechanisms to provision the credential for this extension which is called a Protected Access Credential (PAC).
使いやすく展開しやすい安全な認証機構を必要とするネットワークアクセス方式では、弱いユーザー資格情報の利用を可能にする強固な相互認証プロトコルが求められます。本書は、TLS 1.0 [RFC2246]、TLS 1.1 [RFC4346]、またはそれ以降のTLSバージョンを使ってTLSトンネルを確立する拡張認証プロトコル（EAP）方式を定義します。両者がサポートする最新のTLSバージョンを使用します。トンネル確立後、プロトコルはType-Length-Value（TLV）オブジェクトの形式でデータを交換し、追加の認証を行います。EAP-FASTは、サーバーにセッションごとの状態を保持させずにトンネルを迅速に再確立するため、[RFC4507]で定義されたTLS拡張をサポートします。[EAP-PROV]は、この拡張に使うProtected Access Credential（PAC）を配布するEAP-FASTベースの機構を定義します。
EAP-FAST's design motivations included:
EAP-FASTの設計動機には、次のものがあります。
o Mutual authentication: an EAP server must be able to verify the identity and authenticity of the peer, and the peer must be able to verify the authenticity of the EAP server.
o 相互認証：EAPサーバーはピアの識別情報と真正性を検証でき、ピアはEAPサーバーの真正性を検証できる必要があります。
o Immunity to passive dictionary attacks: many authentication protocols require a password to be explicitly provided (either as cleartext or hashed) by the peer to the EAP server; at minimum, the communication of the weak credential (e.g., password) must be immune from eavesdropping.
o 受動的な辞書攻撃への耐性：多くの認証プロトコルでは、ピアがパスワードを平文またはハッシュ値としてEAPサーバーに明示的に送信します。少なくとも、弱い資格情報（たとえばパスワード）の通信は盗聴から保護されていなければなりません。
o Immunity to man-in-the-middle (MitM) attacks: in establishing a mutually authenticated protected tunnel, the protocol must prevent adversaries from successfully interjecting information into the conversation between the peer and the EAP server.
o 中間者（MitM）攻撃への耐性：相互認証済みの保護トンネルを確立する際、プロトコルはピアとEAPサーバー間のやり取りに攻撃者が情報を挿入できないようにしなければなりません。
o Flexibility to enable support for most password authentication interfaces: as many different password interfaces (e.g., Microsoft Challenge Handshake Authentication Protocol (MS-CHAP), Lightweight Directory Access Protocol (LDAP), One-Time Password (OTP), etc.) exist to authenticate a peer, the protocol must provide this support seamlessly.
o 多様なパスワード認証インターフェイスへの対応：ピアの認証には、Microsoft Challenge Handshake Authentication Protocol（MS-CHAP）、Lightweight Directory Access Protocol（LDAP）、One-Time Password（OTP）など、さまざまなパスワード認証インターフェイスがあります。プロトコルはこれらをシームレスにサポートしなければなりません。
o Efficiency: specifically when using wireless media, peers will be limited in computational and power resources. The protocol must enable the network access communication to be computationally lightweight.
o 効率性：特に無線媒体を使う場合、ピアが利用できる計算資源と電力には制約があります。プロトコルはネットワークアクセス通信の計算負荷を軽くしなければなりません。
With these motivational goals defined, further secondary design criteria are imposed:
これらの設計動機に加えて、次の副次的な設計基準も設けます。
o Flexibility to extend the communications inside the tunnel: with the growing complexity in network infrastructures, the need to gain authentication, authorization, and accounting is also evolving. For instance, there may be instances in which multiple existing authentication protocols are required to achieve mutual authentication. Similarly, different protected conversations may be required to achieve the proper authorization once a peer has successfully authenticated.
o トンネル内の通信を拡張する柔軟性：ネットワーク基盤の複雑化に伴い、認証、認可、アカウンティングの必要性も高まっています。たとえば、相互認証を実現するために複数の既存認証プロトコルが必要となる場合があります。同様に、ピアの認証成功後に適切な認可を行うため、複数の保護されたやり取りが必要となる場合があります。
o Minimize the authentication server's per user authentication state requirements: with large deployments, it is typical to have many servers acting as the authentication servers for many peers. It is also highly desirable for a peer to use the same shared secret to secure a tunnel much the same way it uses the username and password to gain access to the network. The protocol must facilitate the use of a single strong shared secret by the peer while enabling the servers to minimize the per user and device state it must cache and manage.
o 認証サーバーがユーザーごとに保持する認証状態の最小化：大規模な導入環境では、多数のピアを認証するために複数のサーバーを配置するのが一般的です。ピアがユーザー名とパスワードでネットワークにアクセスするときと同様に、同じ共有シークレットを使ってトンネルを保護できることも望まれます。プロトコルは、ピアが単一の強固な共有シークレットを使えるようにしつつ、サーバーがキャッシュして管理しなければならないユーザーおよびデバイスごとの状態を最小限に抑えます。
The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in [RFC2119] .
このドキュメントのキーワード "MUST"、"MUST NOT"、"REQUIRED"、"SHALL"、"SHALL NOT"、"SHOULD"、"SHOULD NOT"、"RECOMMENDED"、"MAY"、および "OPTIONAL" は、[RFC2119] で説明されているように解釈されるものとします。
Much of the terminology in this document comes from [RFC3748]. Additional terms are defined below:
本書の用語の多くは[RFC3748]に由来します。追加の用語を以下に定義します。
Protected Access Credential (PAC)
保護アクセス資格情報（PAC）
Credentials distributed to a peer for future optimized network authentication. The PAC consists of, at most, three components: a shared secret, an opaque element, and optionally other information. The shared secret component contains the pre-shared key between the peer and the authentication server. The opaque part is provided to the peer and is presented to the authentication server when the peer wishes to obtain access to network resources. Finally, a PAC may optionally include other information that may be useful to the peer. The opaque part of the PAC is the same type of data as the ticket in [RFC4507] and the shared secret is used to derive the TLS master secret.
将来の最適化されたネットワーク認証のためにピアへ配布される資格情報です。PACは最大3つの構成要素、すなわち共有シークレット、不透明な要素、任意の追加情報から成ります。共有シークレットの構成要素には、ピアと認証サーバー間で事前共有される鍵が含まれます。不透明な要素はピアに提供され、ピアがネットワークリソースへのアクセスを求める際に認証サーバーへ提示します。PACには、ピアに役立つ追加情報を含めることもできます。PACの不透明な要素は[RFC4507]のチケットと同じ種類のデータであり、共有シークレットはTLSマスターシークレットの導出に使われます。
EAP-FAST is an authentication protocol similar to EAP-TLS [RFC2716] that enables mutual authentication and cryptographic context establishment by using the TLS handshake protocol. EAP-FAST allows for the established TLS tunnel to be used for further authentication exchanges. EAP-FAST makes use of TLVs to carry out the inner authentication exchanges. The tunnel is then used to protect weaker inner authentication methods, which may be based on passwords, and to communicate the results of the authentication.
EAP-FASTは、TLSハンドシェイクプロトコルを使用して相互認証と暗号化コンテキストの確立を可能にするEAP-TLS [RFC2716]と同様の認証プロトコルです。EAP-FASTを使用すると、確立されたTLSトンネルをさらに認証交換に使用できます。EAP-FASTは、TLVを使用して内部認証交換を実行します。トンネルは、パスワードに基づいている可能性のある弱い内部認証方法を保護し、認証の結果を伝えるために使用されます。
EAP-FAST makes use of the TLS enhancements in [RFC4507] to enable an optimized TLS tunnel session resume while minimizing server state. The secret key used in EAP-FAST is referred to as the Protected Access Credential key (or PAC-Key); the PAC-Key is used to mutually authenticate the peer and the server when securing a tunnel. The ticket is referred to as the Protected Access Credential opaque data (or PAC-Opaque). The secret key and ticket used to establish the tunnel may be provisioned through mechanisms that do not involve the TLS handshake. It is RECOMMENDED that implementations support the capability to distribute the ticket and secret key within the EAP-FAST tunnel as specified in [EAP-PROV].
EAP-FASTは[RFC4507]のTLS拡張を利用し、サーバー側の状態を最小限に抑えながらTLSトンネルセッションを効率よく再開します。EAP-FASTで使う秘密鍵をProtected Access Credential key（PAC-Key）と呼びます。PAC-Keyは、トンネルを保護する際にピアとサーバーを相互認証するために使います。チケットはProtected Access Credential opaque data（PAC-Opaque）と呼びます。トンネル確立に使う秘密鍵とチケットは、TLSハンドシェイクを伴わない機構で配布することもできます。[EAP-PROV]の規定に従い、EAP-FASTトンネル内でチケットと秘密鍵を配布する機能を実装することが推奨されます (SHOULD)。
The EAP-FAST conversation is used to establish or resume an existing session to typically establish network connectivity between a peer and the network. Upon successful execution of EAP-FAST, both EAP peer and EAP server derive strong session key material that can then be communicated to the network access server (NAS) for use in establishing a link layer security association.
EAP-FASTのやり取りは、通常、ピアとネットワーク間の接続を確立するために、新しいセッションを確立するか既存のセッションを再開するものです。EAP-FASTが正常に完了すると、EAPピアとEAPサーバーは強固なセッション鍵素材をそれぞれ導出します。その素材は、リンク層のセキュリティアソシエーションを確立するため、ネットワークアクセスサーバー（NAS）へ渡すことができます。
The network architectural model for EAP-FAST usage is shown below:
EAP-FAST使用のネットワークアーキテクチャモデルを以下に示します。
+----------+ +----------+ +----------+ +----------+
| | | | | | | Inner |
| Peer |<---->| Authen- |<---->| EAP-FAST |<---->| Method |
| | | ticator | | server | | server |
| | | | | | | |
+----------+ +----------+ +----------+ +----------+
EAP-FAST Architectural Model
EAP-FASTアーキテクチャモデル
The entities depicted above are logical entities and may or may not correspond to separate network components. For example, the EAP-FAST server and inner method server might be a single entity; the authenticator and EAP-FAST server might be a single entity; or the functions of the authenticator, EAP-FAST server, and inner method server might be combined into a single physical device. For example, typical 802.11 deployments place the Authenticator in an access point (AP) while a Radius server may provide the EAP-FAST and inner method server components. The above diagram illustrates the division of labor among entities in a general manner and shows how a distributed system might be constructed; however, actual systems might be realized more simply. The security considerations Section 7.3 provides an additional discussion of the implications of separating the EAP-FAST server from the inner method server.
図に示すエンティティは論理的なものであり、個別のネットワーク機器に対応する場合もしない場合もあります。たとえば、EAP-FASTサーバーと内側の認証方式を処理するサーバー、または認証者とEAP-FASTサーバーは、それぞれ1つのエンティティでもかまいません。認証者、EAP-FASTサーバー、内側の認証方式を処理するサーバーの機能を、1台の物理機器にまとめることもできます。一般的な802.11環境では、認証者をアクセスポイント（AP）に置き、RADIUSサーバーがEAP-FASTサーバーと内側の認証方式を処理する機能を担うことがあります。図は一般的な役割分担を示し、分散システムの構成例を示していますが、実際のシステムはより単純な構成にもできます。EAP-FASTサーバーと内側の認証方式を処理するサーバーを分離する影響については、セクション7.3でさらに説明します。
EAP-FAST packets are encapsulated within EAP; EAP in turn requires a carrier protocol for transport. EAP-FAST packets encapsulate TLS, which is then used to encapsulate user authentication information. Thus, EAP-FAST messaging can be described using a layered model, where each layer encapsulates the layer above it. The following diagram clarifies the relationship between protocols:
EAP-FASTパケットはEAPにカプセル化され、EAPは転送に搬送プロトコルを必要とします。EAP-FASTパケットにはTLSがカプセル化され、そのTLSがユーザー認証情報をカプセル化します。このように、各層がその上位層をカプセル化する階層モデルでEAP-FASTのメッセージングを表せます。次の図はプロトコル間の関係を示します。
+---------------------------------------------------------------+
| Inner EAP Method | Other TLV information |
|---------------------------------------------------------------|
| TLV Encapsulation (TLVs) |
|---------------------------------------------------------------|
| TLS |
|---------------------------------------------------------------|
| EAP-FAST |
|---------------------------------------------------------------|
| EAP |
|---------------------------------------------------------------|
| Carrier Protocol (EAP over LAN, RADIUS, Diameter, etc.) |
+---------------------------------------------------------------+
Protocol Layering Model
プロトコル階層化モデル
The TLV layer is a payload with Type-Length-Value (TLV) Objects defined in Section 4.2. The TLV objects are used to carry arbitrary parameters between an EAP peer and an EAP server. All conversations in the EAP-FAST protected tunnel must be encapsulated in a TLV layer.
TLV層は、セクション4.2で定義するType-Length-Value（TLV）オブジェクトをペイロードとして保持します。TLVオブジェクトは、EAPピアとEAPサーバー間で任意のパラメーターを運ぶために使います。EAP-FASTの保護トンネル内のすべてのやり取りは、TLV層にカプセル化します。
Methods for encapsulating EAP within carrier protocols are already defined. For example, IEEE 802.1X [IEEE.802-1X.2004] may be used to transport EAP between the peer and the authenticator; RADIUS [RFC3579] or Diameter [RFC4072] may be used to transport EAP between the authenticator and the EAP-FAST server.
EAP-FAST authentication occurs in two phases. In the first phase, EAP-FAST employs the TLS handshake to provide an authenticated key exchange and to establish a protected tunnel. Once the tunnel is established the second phase begins with the peer and server engaging in further conversations to establish the required authentication and authorization policies. The operation of the protocol, including Phase 1 and Phase 2, are the topic of this section. The format of EAP-FAST messages is given in Section 4 and the cryptographic calculations are given in Section 5.
EAP-FAST認証は2つのフェーズで行います。フェーズ1ではTLSハンドシェイクを使い、認証付き鍵交換を行って保護トンネルを確立します。トンネルが確立するとフェーズ2が始まり、ピアとサーバーがやり取りして必要な認証・認可ポリシーを満たします。フェーズ1とフェーズ2を含むプロトコルの動作を本節で説明します。EAP-FASTメッセージの形式はセクション4、暗号計算はセクション5で説明します。
EAP-FAST packets contain a 3-bit version field, following the TLS Flags field, which enables EAP-FAST implementations to be backward compatible with previous versions of the protocol. This specification documents the EAP-FAST version 1 protocol; implementations of this specification MUST use a version field set to 1.
EAP-FASTパケットには、TLS Flagsフィールドの後に3ビットのバージョンフィールドがあります。これにより、実装は旧バージョンのプロトコルとの後方互換性を保てます。本仕様はEAP-FASTバージョン1を定めます。本仕様に準拠する実装は、バージョンフィールドを1に設定しなければなりません (MUST)。
Version negotiation proceeds as follows:
バージョンネゴシエーションは次の手順で行います。
In the first EAP-Request sent with EAP type=EAP-FAST, the EAP server must set the version field to the highest supported version number.
EAP TypeがEAP-FASTである最初のEAP-Requestでは、EAPサーバーはサポートする最大のバージョン番号を設定します。
If the EAP peer supports this version of the protocol, it MUST respond with an EAP-Response of EAP type=EAP-FAST, and the version number proposed by the EAP-FAST server.
EAPピアがこのプロトコルバージョンをサポートする場合、EAP TypeがEAP-FASTであり、EAP-FASTサーバーが提示したバージョン番号を含むEAP-Responseで応答しなければなりません (MUST)。
If the EAP-FAST peer does not support this version, it responds with an EAP-Response of EAP type=EAP-FAST and the highest supported version number.
EAP-FASTピアがこのバージョンをサポートしない場合、EAP TypeをEAP-FASTとし、ピアがサポートする最大のバージョン番号を含むEAP-Responseで応答します。
If the EAP-FAST server does not support the version number proposed by the EAP-FAST peer, it terminates the conversation. Otherwise the EAP-FAST conversation continues.
EAP-FASTサーバーがEAP-FASTピアの提示したバージョン番号をサポートしない場合、サーバーはやり取りを終了します。サポートする場合は、EAP-FASTのやり取りを続けます。
The version negotiation procedure guarantees that the EAP-FAST peer and server will agree to the latest version supported by both parties. If version negotiation fails, then use of EAP-FAST will not be possible, and another mutually acceptable EAP method will need to be negotiated if authentication is to proceed.
この手順により、EAP-FASTピアとサーバーは双方がサポートする最新バージョンで合意できます。バージョンネゴシエーションに失敗するとEAP-FASTを使えません。認証を続けるには、双方が受け入れられる別のEAP方式をネゴシエートする必要があります。
The EAP-FAST version is not protected by TLS; and hence can be modified in transit. In order to detect a modification of the EAP-FAST version, the peers MUST exchange the EAP-FAST version number received during version negotiation using the Crypto-Binding TLV described in Section 4.2.8. The receiver of the Crypto-Binding TLV MUST verify that the version received in the Crypto-Binding TLV matches the version sent by the receiver in the EAP-FAST version negotiation.
EAP-FASTのバージョン番号はTLSで保護されないため、転送中に変更される可能性があります。変更を検出するため、ピアはバージョンネゴシエーションで受信したEAP-FASTのバージョン番号を、セクション4.2.8で説明するCrypto-Binding TLVを使って交換しなければなりません (MUST)。Crypto-Binding TLVの受信側は、そのTLV内で受信したバージョン番号が、EAP-FASTのバージョンネゴシエーションで自分が送信したバージョン番号と一致することを検証しなければなりません (MUST)。
EAP-FAST is based on the TLS handshake [RFC2246] to establish an authenticated and protected tunnel. The TLS version offered by the peer and server MUST be TLS v1.0 or later. This version of the EAP-FAST implementation MUST support the following TLS ciphersuites:
EAP-FASTは、認証済みで保護されたトンネルを確立するTLSハンドシェイク[RFC2246]に基づきます。ピアとサーバーが提示するTLSバージョンはTLS 1.0以降でなければなりません (MUST)。本バージョンのEAP-FAST実装は、次のTLS暗号スイートをサポートしなければなりません (MUST)。
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_RC4_128_SHA
Other ciphersuites MAY be supported. It is RECOMMENDED that anonymous ciphersuites such as TLS_DH_anon_WITH_AES_128_CBC_SHA only be used in the context of the provisioning described in [EAP-PROV]. Care must be taken to address potential man-in-the-middle attacks when ciphersuites that do not provide authenticated tunnel establishment are used. During the EAP-FAST Phase 1 conversation the EAP-FAST endpoints MAY negotiate TLS compression.
他の暗号スイートをサポートしてもかまいません (MAY)。TLS_DH_anon_WITH_AES_128_CBC_SHAなどの匿名暗号スイートは、[EAP-PROV]で説明するプロビジョニングの場面でのみ使うことが推奨されます (SHOULD)。認証済みトンネルを確立できない暗号スイートを使う場合は、中間者攻撃の可能性に対処する必要があります。EAP-FASTフェーズ1のやり取りでは、EAP-FASTの各端点がTLS圧縮をネゴシエートしてもかまいません (MAY)。
The EAP server initiates the EAP-FAST conversation with an EAP request containing an EAP-FAST/Start packet. This packet includes a set Start (S) bit, the EAP-FAST version as specified in Section 3.1, and an authority identity. The TLS payload in the initial packet is empty. The authority identity (A-ID) is used to provide the peer a hint of the server's identity that may be useful in helping the peer select the appropriate credential to use. Assuming that the peer supports EAP-FAST the conversation continues with the peer sending an EAP-Response packet with EAP type of EAP-FAST with the Start (S) bit clear and the version as specified in Section 3.1. This message encapsulates one or more TLS records containing the TLS handshake messages. If the EAP-FAST version negotiation is successful then the EAP-FAST conversation continues until the EAP server and EAP peer are ready to enter Phase 2. When the full TLS handshake is performed, then the first payload of EAP-FAST Phase 2 MAY be sent along with server-finished handshake message to reduce the number of round trips.
EAPサーバーは、EAP-FAST/Startパケットを含むEAP-RequestでEAP-FASTのやり取りを開始します。このパケットには、Start（S）ビットを設定し、セクション3.1で定めるEAP-FASTのバージョンとAuthority Identityを含めます。最初のパケットのTLSペイロードは空です。Authority Identity（A-ID）は、ピアが適切な資格情報を選ぶ際に役立つ、サーバー識別情報の手掛かりをピアに与えます。ピアがEAP-FASTをサポートしている場合、Start（S）ビットをクリアし、セクション3.1で定めるバージョンを指定したEAP-FASTのEAP-Responseを送信して、やり取りを続けます。このメッセージには、TLSハンドシェイクメッセージを含む1つ以上のTLSレコードをカプセル化します。バージョンネゴシエーションが成功すると、EAPサーバーとEAPピアの双方がフェーズ2に進める状態になるまで、EAP-FASTのやり取りを続けます。完全なTLSハンドシェイクを行う場合、往復回数を減らすため、フェーズ2の最初のペイロードをserver-finishedハンドシェイクメッセージとともに送信してもかまいません (MAY)。
After the TLS session is established, another EAP exchange MAY occur within the tunnel to authenticate the EAP peer. EAP-FAST implementations MUST support client authentication during tunnel establishment using the TLS ciphersuites specified in Section 3.2. EAP-FAST implementations SHOULD also support the immediate renegotiation of a TLS session to initiate a new handshake message exchange under the protection of the current ciphersuite. This allows support for protection of the peer's identity. Note that the EAP peer does not need to authenticate as part of the TLS exchange, but can alternatively be authenticated through additional EAP exchanges carried out in Phase 2.
TLSセッションの確立後、EAPピアを認証するため、トンネル内で別のEAP交換を行う場合があります (MAY)。EAP-FAST実装は、セクション3.2で指定するTLS暗号スイートを使ったトンネル確立中のクライアント認証をサポートしなければなりません (MUST)。また、現在の暗号スイートで保護した新たなハンドシェイクメッセージ交換を開始するため、TLSセッションの即時再ネゴシエーションもサポートすべきです (SHOULD)。これにより、ピアの識別情報を保護できます。EAPピアはTLS交換の一部として認証する必要はなく、フェーズ2で行う追加のEAP交換によって認証することもできます。
The EAP-FAST tunnel protects peer identity information from disclosure outside the tunnel. Implementations that wish to provide identity privacy for the peer identity must carefully consider what information is disclosed outside the tunnel.
EAP-FASTトンネルは、ピアの識別情報がトンネル外に漏れることを防ぎます。ピアの識別情報を秘匿したい実装では、トンネル外にどの情報が開示されるかを慎重に検討する必要があります。
The following sections describe resuming a TLS session based on server-side or client-side state.
以下では、サーバー側またはクライアント側の状態に基づいてTLSセッションを再開する方法を説明します。
EAP-FAST session resumption is achieved in the same manner TLS achieves session resume. To support session resumption, the server and peer must minimally cache the SessionID, master secret, and ciphersuite. The peer attempts to resume a session by including a valid SessionID from a previous handshake in its ClientHello message. If the server finds a match for the SessionID and is willing to establish a new connection using the specified session state, the server will respond with the same SessionID and proceed with the EAP-FAST Authentication Phase 1 tunnel establishment based on a TLS abbreviated handshake. After a successful conclusion of the EAP-FAST Authentication Phase 1 conversation, the conversation then continues on to Phase 2.
EAP-FASTでは、TLSと同じ方法でセッションを再開します。セッション再開を可能にするため、サーバーとピアは少なくともSessionID、マスターシークレット、暗号スイートをキャッシュします。ピアは、以前のハンドシェイクで使った有効なSessionIDをClientHelloに含めて、セッション再開を試みます。サーバーがSessionIDの一致を見つけ、そのセッション状態を使った新しい接続を許可する場合、同じSessionIDを返し、短縮TLSハンドシェイクによるEAP-FAST認証フェーズ1のトンネル確立を続けます。フェーズ1のやり取りが正常に完了すると、フェーズ2に進みます。
EAP-FAST supports the resumption of sessions based on client-side state using techniques described in [RFC4507]. This version of EAP-FAST does not support the provisioning of a ticket through the use of the SessionTicket handshake message. Instead it supports the provisioning of a ticket called a Protected Access Credential (PAC) as described in [EAP-PROV]. Implementations may provide additional ways to provision the PAC, such as manual configuration. Since the PAC mentioned here is used for establishing the TLS Tunnel, it is more specifically referred to as the Tunnel PAC. The Tunnel PAC is a security credential provided by the EAP server to a peer and comprised of: 1. PAC-Key: this is a 32-octet key used by the peer to establish the EAP-FAST Phase 1 tunnel. This key is used to derive the TLS premaster secret as described in Section 5.1. The PAC-Key is randomly generated by the EAP server to produce a strong entropy 32-octet key. The PAC-Key is a secret and MUST be treated accordingly. For example, as the PAC-Key is a separate component provisioned by the server to establish a secure tunnel, the server may deliver this component protected by a secure channel, and it must be stored securely by the peer.
EAP-FASTは、[RFC4507]に記載された手法を使い、クライアント側の状態に基づくセッション再開をサポートします。本バージョンは、SessionTicketハンドシェイクメッセージによるチケットの配布をサポートしません。代わりに、[EAP-PROV]で説明されるProtected Access Credential（PAC）というチケットを配布します。実装は手動設定など、PACを配布する別の方法を提供することもできます。ここでいうPACはTLSトンネルの確立に使うため、特にTunnel PACと呼びます。Tunnel PACはEAPサーバーがピアに提供するセキュリティ資格情報で、次の要素から成ります。1. PAC-Key：ピアがEAP-FASTフェーズ1のトンネルを確立するために使う32オクテットの鍵です。この鍵から、セクション5.1の規定に従ってTLSプレマスターシークレットを導出します。EAPサーバーは、十分なエントロピーを持つ32オクテット鍵となるようPAC-Keyをランダムに生成します。PAC-Keyは秘密情報であり、秘密として扱わなければなりません (MUST)。たとえば、サーバーは安全なトンネルの確立に必要なこの構成要素を安全なチャネルで保護して配布し、ピアは安全に保管します。
2. PAC-Opaque: this is a variable length field that is sent to the EAP server during the EAP-FAST Phase 1 tunnel establishment. The PAC-Opaque can only be interpreted by the EAP server to recover the required information for the server to validate the peer's identity and authentication. For example, the PAC-Opaque includes the PAC-Key and may contain the PAC's peer identity. The PAC-Opaque format and contents are specific to the PAC issuing server. The PAC-Opaque may be presented in the clear, so an attacker MUST NOT be able to gain useful information from the PAC-Opaque itself. The server issuing the PAC-Opaque must ensure it is protected with strong cryptographic keys and algorithms.
2. PAC-Opaque：EAP-FASTフェーズ1のトンネル確立時にEAPサーバーへ送信する可変長フィールドです。PAC-Opaqueを解釈できるのはEAPサーバーだけであり、ピアの識別情報と認証を検証するために必要な情報を復元します。たとえば、PAC-OpaqueにはPAC-Keyが含まれ、PACのピア識別情報が含まれることもあります。PAC-Opaqueの形式と内容は、発行するPACサーバーごとに固有です。PAC-Opaqueは平文で提示されることがあるため、攻撃者がPAC-Opaque自体から有用な情報を得られないようにしなければなりません (MUST NOT)。発行サーバーは、強固な暗号鍵とアルゴリズムでPAC-Opaqueを保護します。
3. PAC-Info: this is a variable length field used to provide, at a minimum, the authority identity of the PAC issuer. Other useful but not mandatory information, such as the PAC-Key lifetime, may also be conveyed by the PAC issuing server to the peer during PAC provisioning or refreshment.
3. PAC-Info：PAC発行者のAuthority Identityを最低限含める可変長フィールドです。PAC-Keyの有効期間など、必須ではない有用な情報を、PAC発行サーバーからピアへPACの配布時または更新時に伝えることもできます。
The use of the PAC is based on the SessionTicket extension defined in [RFC4507]. The EAP server initiates the EAP-FAST conversation as normal. Upon receiving the A-ID from the server, the peer checks to see if it has an existing valid PAC-Key and PAC-Opaque for the server. If it does, then it obtains the PAC-Opaque and puts it in the SessionTicket extension in the ClientHello. It is RECOMMENDED in EAP-FAST that the peer include an empty Session ID in a ClientHello containing a PAC-Opaque. EAP-FAST does not currently support the SessionTicket Handshake message so an empty SessionTicket extension MUST NOT be included in the ClientHello. If the PAC-Opaque included in the SessionTicket extension is valid and the EAP server permits the abbreviated TLS handshake, it will select the ciphersuite allowed to be used from information within the PAC and finish with the abbreviated TLS handshake. If the server receives a Session ID and a PAC-Opaque in the SessionTicket extension in a ClientHello, it should place the same Session ID in the ServerHello if it is resuming a session based on the PAC-Opaque. The conversation then proceeds as described in [RFC4507] until the handshake completes or a fatal error occurs. After the abbreviated handshake completes, the peer and server are ready to commence Phase 2. Note that when a PAC is used, the TLS master secret is calculated from the PAC-Key, client random, and server random as described in Section 5.1.
PACは[RFC4507]で定義するSessionTicket拡張に基づいて使います。EAPサーバーは通常どおりEAP-FASTのやり取りを開始します。サーバーからA-IDを受信したピアは、そのサーバー向けの有効なPAC-KeyとPAC-Opaqueをすでに持っているか確認します。持っている場合、PAC-Opaqueを取得してClientHelloのSessionTicket拡張に入れます。PAC-Opaqueを含むClientHelloでは、Session IDを空にすることが推奨されます (SHOULD)。EAP-FASTはSessionTicketハンドシェイクメッセージを現在サポートしていないため、空のSessionTicket拡張をClientHelloに含めてはなりません (MUST NOT)。SessionTicket拡張のPAC-Opaqueが有効で、EAPサーバーが短縮TLSハンドシェイクを許可する場合、サーバーはPAC内の情報から使用可能な暗号スイートを選び、短縮TLSハンドシェイクを完了します。サーバーがClientHelloのSessionTicket拡張でSession IDとPAC-Opaqueの両方を受信し、そのPAC-Opaqueに基づいてセッションを再開する場合、ServerHelloには同じSession IDを設定します。その後、ハンドシェイクが完了するか致命的なエラーが起きるまで、[RFC4507]の手順に従います。短縮ハンドシェイクの完了後、ピアとサーバーはフェーズ2を開始できます。PACを使う場合、セクション5.1で説明するように、TLSマスターシークレットはPAC-Key、client_random、server_randomから計算することに注意してください。
Specific details for the Tunnel PAC format, provisioning and security considerations are best described in [EAP-PROV]
Tunnel PACの形式、配布方法、およびセキュリティ上の考慮事項の詳細は[EAP-PROV]で説明されています。
If session resumption based on server-side or client-side state fails, the server can gracefully fall back to a full TLS handshake. If the ServerHello received by the peer contains a empty Session ID or a Session ID that is different than in the ClientHello, the server may be falling back to a full handshake. The peer can distinguish the server's intent of negotiating full or abbreviated TLS handshake by checking the next TLS handshake messages in the server response to the ClientHello. If ChangeCipherSpec follows the ServerHello in response to the ClientHello, then the server has accepted the session resumption and intends to negotiate the abbreviated handshake. Otherwise, the server intends to negotiate the full TLS handshake. A peer can request for a new PAC to be provisioned after the full TLS handshake and mutual authentication of the peer and the server. In order to facilitate the fallback to a full handshake, the peer SHOULD include ciphersuites that allow for a full handshake and possibly PAC provisioning so the server can select one of these in case session resumption fails. An example of the transition is shown in Appendix A.
サーバー側またはクライアント側の状態に基づくセッション再開に失敗すると、サーバーは通常の完全なTLSハンドシェイクに切り替えられます。ピアが受信したServerHelloのSession IDが空、またはClientHelloのSession IDと異なる場合、サーバーは完全なハンドシェイクに切り替えている可能性があります。ピアは、ClientHelloへの応答としてサーバーが送る次のTLSハンドシェイクメッセージを確認し、完全なハンドシェイクと短縮ハンドシェイクのどちらを意図しているか判別できます。ClientHelloへの応答でServerHelloの直後にChangeCipherSpecが続く場合、サーバーはセッション再開を受け入れ、短縮ハンドシェイクを行う意図です。それ以外の場合、サーバーは完全なTLSハンドシェイクを行う意図です。完全なTLSハンドシェイクとピア・サーバー間の相互認証が終わった後、ピアは新しいPACの配布を要求できます。完全なハンドシェイクへの切り替えに備え、セッション再開に失敗した場合にサーバーが選べるよう、ピアは完全なハンドシェイクとPACの配布に対応する暗号スイートを含めるべきです (SHOULD)。切り替えの例を付録Aに示します。
The second portion of the EAP-FAST Authentication occurs immediately after successful completion of Phase 1. Phase 2 occurs even if both peer and authenticator are authenticated in the Phase 1 TLS negotiation. Phase 2 MUST NOT occur if the Phase 1 TLS handshake fails. Phase 2 consists of a series of requests and responses encapsulated in TLV objects defined in Section 4.2. Phase 2 MUST always end with a protected termination exchange described in Section 3.3.2. The TLV exchange may include the execution of zero or more EAP methods within the protected tunnel as described in Section 3.3.1. A server MAY proceed directly to the protected termination exchange if it does not wish to request further authentication from the peer. However, the peer and server must not assume that either will skip inner EAP methods or other TLV exchanges. The peer may have roamed to a network that requires conformance with a different authentication policy or the peer may request the server take additional action through the use of the Request-Action TLV.
EAP-FAST認証の第2段階は、フェーズ1が正常に完了した直後に行われます。フェーズ1のTLSネゴシエーションでピアと認証者の双方が認証されていても、フェーズ2を行います。フェーズ1のTLSハンドシェイクに失敗した場合、フェーズ2を行ってはなりません (MUST NOT)。フェーズ2は、セクション4.2で定義するTLVオブジェクトにカプセル化された要求と応答の列から成ります。フェーズ2は、必ずセクション3.3.2で説明する保護された終了交換で終えなければなりません (MUST)。TLV交換では、セクション3.3.1で説明するように、保護トンネル内で0個以上のEAP方式を実行することもあります。ピアへの追加認証を求めないサーバーは、保護された終了交換へ直接進んでもかまいません (MAY)。ただし、ピアとサーバーは、内側のEAP方式や他のTLV交換を省略できると想定してはなりません。ピアが別の認証ポリシーへの準拠を求めるネットワークへ移動した場合や、Request-Action TLVを使ってサーバーに追加の処理を求める場合があります。
EAP [RFC3748] prohibits use of multiple authentication methods within a single EAP conversation in order to limit vulnerabilities to man-in-the-middle attacks. EAP-FAST addresses man-in-the-middle attacks through support for cryptographic protection of the inner EAP exchange and cryptographic binding of the inner authentication method(s) to the protected tunnel. EAP methods are executed serially in a sequence. This version of EAP-FAST does not support initiating multiple EAP methods simultaneously in parallel. The methods need not be distinct. For example, EAP-TLS could be run twice as an inner method, first using machine credentials followed by a second instance using user credentials.
EAP [RFC3748]は、単一のEAP会話内での複数の認証方法の使用を禁止し、中間の攻撃に対する脆弱性を制限するためです。EAP-FASTは、内側のEAP交換の暗号化と保護されたトンネルへの内部認証法の暗号化結合のサポートを通じて、中間の攻撃に対処します。EAPメソッドは、シーケンスで連続して実行されます。このバージョンのEAP-FASTは、複数のEAPメソッドの同時に並行して開始することをサポートしていません。メソッドは明確である必要はありません。たとえば、EAP-TLは内部メソッドとして2回実行できます。最初にマシン資格情報を使用して、次にユーザー資格情報を使用して2番目のインスタンスを使用します。
EAP method messages are carried within EAP-Payload TLVs defined in Section 4.2.6. If more than one method is going to be executed in the tunnel then, upon completion of a method, a server MUST send an Intermediate-Result TLV indicating the result. The peer MUST respond to the Intermediate-Result TLV indicating its result. If the result indicates success, the Intermediate-Result TLV MUST be accompanied by a Crypto-Binding TLV. The Crypto-Binding TLV is further discussed in Section 4.2.8 and Section 5.3. The Intermediate-Result TLVs can be included with other TLVs such as EAP-Payload TLVs starting a new EAP conversation or with the Result TLV used in the protected termination exchange. In the case where only one EAP method is executed in the tunnel, the Intermediate-Result TLV MUST NOT be sent with the Result TLV. In this case, the status of the inner EAP method is represented by the final Result TLV, which also represents the result of the whole EAP-FAST conversation. This is to maintain backward compatibility with existing implementations.
EAP方式のメッセージは、セクション4.2.6で定義するEAP-Payload TLV内で運ばれます。トンネル内で複数の方式を実行する場合、方式の完了時にサーバーは結果を示すIntermediate-Result TLVを送信しなければなりません (MUST)。ピアは、その結果を示すIntermediate-Result TLVに応答しなければなりません (MUST)。結果が成功を示す場合、Intermediate-Result TLVにはCrypto-Binding TLVを含めなければなりません (MUST)。Crypto-Binding TLVについてはセクション4.2.8および5.3で詳しく説明します。新しいEAPのやり取りを開始するEAP-Payload TLVや、保護された終了のやり取りで使うResult TLVなど、他のTLVとともにIntermediate-Result TLVを含めることができます。トンネル内でEAP方式を1つだけ実行する場合、Result TLVとともにIntermediate-Result TLVを送信してはなりません (MUST NOT)。この場合、内側のEAP方式の状態は最終Result TLVで示し、それがEAP-FASTのやり取り全体の結果も示します。これは既存の実装との後方互換性を保つためです。
If both peer and server indicate success, then the method is considered complete. If either indicates failure. then the method is considered failed. The result of failure of an EAP method does not always imply a failure of the overall authentication. If one authentication method fails, the server may attempt to authenticate the peer with a different method.
ピアとサーバーの両方が成功を示している場合、メソッドは完全であると見なされます。どちらかが障害を示している場合。次に、メソッドが失敗したと見なされます。EAPメソッドが失敗した結果、常に認証全体の障害を意味するわけではありません。1つの認証方法が失敗した場合、サーバーは別の方法でピアを認証しようとする場合があります。
A successful EAP-FAST Phase 2 conversation MUST always end in a successful Result TLV exchange. An EAP-FAST server may initiate the Result TLV exchange without initiating any EAP conversation in EAP-FAST Phase 2. After the final Result TLV exchange, the TLS tunnel is terminated and a clear text EAP-Success or EAP-Failure is sent by the server. The format of the Result TLV is described in Section 4.2.2.
成功したEAP-FASTのフェーズ2の対話は、常に成功したResult TLVの交換で終わらなければなりません (MUST)。EAP-FASTサーバーは、EAP-FASTのフェーズ2でEAPの対話を一切開始せずに、Result TLVの交換を開始してもかまいません。最後のResult TLVの交換の後、TLSトンネルは終了され、サーバーによって平文のEAP-SuccessまたはEAP-Failureが送信されます。Result TLVの形式はセクション4.2.2で説明されています。
A server initiates a successful protected termination exchange by sending a Result TLV indicating success. The server may send the Result TLV along with an Intermediate-Result TLV and a Crypto-Binding TLV. If the peer requires nothing more from the server it will respond with a Result TLV indicating success accompanied by an Intermediate-Result TLV and Crypto-Binding TLV if necessary. The server then tears down the tunnel and sends a clear text EAP-Success.
サーバーは、成功を示すResult TLVを送信して、保護された正常終了の交換を開始します。サーバーはResult TLVをIntermediate-Result TLVおよびCrypto-Binding TLVとともに送信することもできます。サーバーに追加の要求がないピアは、成功を示すResult TLVで応答します。必要な場合は、Intermediate-Result TLVとCrypto-Binding TLVも添えます。その後、サーバーはトンネルを終了し、平文のEAP-Successを送信します。
If the peer receives a Result TLV indicating success from the server, but its authentication policies are not satisfied (for example it requires a particular authentication mechanism be run or it wants to request a PAC), it may request further action from the server using the Request-Action TLV. The Request-Action TLV is sent along with the Result TLV indicating what EAP Success/Failure result the peer would expect if the requested action is not granted. The value of the Request-Action TLV indicates what the peer would like to do next. The format and values for the Request-Action TLV are defined in Section 4.2.9.
ピアがサーバーから成功を示すResult TLVを受信しても、認証ポリシーを満たしていない場合（たとえば、特定の認証方式を実行する必要がある場合やPACを要求したい場合）、Request-Action TLVを使ってサーバーに追加の処理を要求できます。Request-Action TLVはResult TLVとともに送信し、要求した処理が許可されない場合にピアが期待するEAP-SuccessまたはEAP-Failureを示します。Request-Action TLVの値は、ピアが次に求める処理を示します。形式と値はセクション4.2.9で定義します。
Upon receiving the Request-Action TLV the server may process the request or ignore it, based on its policy. If the server ignores the request, it proceeds with termination of the tunnel and send the clear text EAP Success or Failure message based on the value of the peer's result TLV. If the server honors and processes the request, it continues with the requested action. The conversation completes with a Result TLV exchange. The Result TLV may be included with the TLV that completes the requested action.
Request-Action TLVを受信したサーバーは、自身のポリシーに基づいて要求を処理するか無視します。要求を無視する場合、トンネルの終了に進み、ピアのResult TLVの値に応じて平文のEAP-SuccessまたはEAP-Failureを送信します。要求を受け入れて処理する場合は、求められた処理を続けます。やり取りはResult TLVの交換で完了します。要求された処理を完了するTLVにResult TLVを含めることもできます。
Error handling for Phase 2 is discussed in Section 3.6.2.
フェーズ2のエラー処理については、セクション3.6.2で説明します。
The Peer-Id and Server-Id may be determined based on the types of credentials used during either the EAP-FAST tunnel creation or authentication.
Peer-IdとServer-Idは、EAP-FASTトンネルの確立時または認証時に使う資格情報の種類に基づいて決定できます。
The subject field identifies the entity associated with the public
key stored in the subject public key field. The subject name MAY
be carried in the subject field and/or the subjectAltName
extension.... If subject naming information is present only in
the subjectAltName extension (e.g., a key bound only to an email
address or URI), then the subject name MUST be an empty sequence
and the subjectAltName extension MUST be critical.
Where it is non-empty, the subject field MUST contain an X.500 distinguished name (DN).
subjectフィールドが空でない場合、X.500識別名（DN）を含まなければなりません (MUST)。
If an inner EAP method is run, then the Peer-Id is obtained from the inner method.
内側のEAP方式を実行する場合、Peer-Idはその方式から取得します。
When the server uses an X.509 certificate to establish the TLS tunnel, the Server-Id is determined in a similar fashion as stated above for the Peer-Id; e.g., the subject or subjectAltName field in the server certificate defines the Server-Id.
サーバーがX.509証明書を使ってTLSトンネルを確立する場合、Server-IdはPeer-Idと同様の方法で決定します。たとえば、サーバー証明書のsubjectフィールドまたはsubjectAltNameフィールドがServer-Idを定義します。
The EAP session identifier is constructed using the random values provided by the peer and server during the TLS tunnel establishment. The Session-Id is defined as follows:
EAPセッション識別子は、TLSトンネル確立時にピアとサーバーが提供するランダム値から構成します。Session-Idは次のとおり定義します。
Session-Id = 0x2B || client_random || server_random) client_random = 32 byte nonce generated by the peer server_random = 32 byte nonce generated by the server
Session-Id = 0x2B || client_random || server_random) client_random = 32 byte nonce generated by the peer server_random = 32 byte nonce generated by the server
EAP-FAST uses the following error handling rules summarized below:
EAP-FASTでは、次のエラー処理規則を使います。
1. Errors in the TLS layer are communicated via TLS alert messages in all phases of EAP-FAST.
1. TLS層のエラーは、EAP-FASTのすべてのフェーズでTLSアラートメッセージによって通知します。
2. The Intermediate-Result TLVs carry success or failure indications of the individual EAP methods in EAP-FAST Phase 2. Errors within the EAP conversation in Phase 2 are expected to be handled by individual EAP methods.
2. Intermediate-Result TLVは、EAP-FASTフェーズ2で個々のEAP方式が成功したか失敗したかを示します。フェーズ2のEAPやり取り内のエラーは、各EAP方式が処理するものとします。
3. Violations of the TLV rules are handled using Result TLVs together with Error TLVs.
3. TLV規則への違反は、Result TLVとError TLVを使って処理します。
4. Tunnel compromised errors (errors caused by Crypto-Binding failed or missing) are handled using Result TLVs and Error TLVs.
4. トンネル侵害エラー（Crypto-Bindingの失敗または欠落が原因のエラー）は、Result TLVとError TLVを使って処理します。
If the EAP-FAST server detects an error at any point in the TLS Handshake or the TLS layer, the server SHOULD send an EAP-FAST request encapsulating a TLS record containing the appropriate TLS alert message rather than immediately terminating the conversation so as to allow the peer to inform the user of the cause of the failure and possibly allow for a restart of the conversation. The peer MUST send an EAP-FAST response to an alert message. The EAP-Response packet sent by the peer may encapsulate a TLS ClientHello handshake message, in which case the EAP-FAST server MAY allow the EAP-FAST conversation to be restarted, or it MAY contain an EAP-FAST response with a zero-length message, in which case the server MUST terminate the conversation with an EAP-Failure packet. It is up to the EAP-FAST server whether to allow restarts, and if so, how many times the conversation can be restarted. An EAP-FAST Server implementing restart capability SHOULD impose a limit on the number of restarts, so as to protect against denial-of-service attacks.
TLSハンドシェイクまたはTLS層のどの時点であってもエラーを検出したEAP-FASTサーバーは、会話を直ちに終了する代わりに、適切なTLSアラートメッセージを含むTLSレコードをカプセル化したEAP-FAST要求を送信すべきです (SHOULD)。これにより、ピアは失敗の原因をユーザーに伝えられ、会話を再開できる場合もあります。ピアはアラートメッセージに対するEAP-FAST応答を送信しなければなりません (MUST)。ピアが送信するEAP-ResponseパケットにはTLS ClientHelloハンドシェイクメッセージをカプセル化する場合があり、その場合、EAP-FASTサーバーは会話の再開を許可してもかまいません (MAY)。また、長さ0のメッセージを含むEAP-FAST応答を返してもかまいません (MAY)。この場合、サーバーはEAP-Failureパケットで会話を終了しなければなりません (MUST)。再開を許可するかどうか、また許可する場合の再開回数は、EAP-FASTサーバーが決定します。再開機能を実装するEAP-FASTサーバーは、サービス拒否攻撃を防ぐため、再開回数を制限すべきです (SHOULD)。
If the EAP-FAST peer detects an error at any point in the TLS layer, the EAP-FAST peer should send an EAP-FAST response encapsulating a TLS record containing the appropriate TLS alert message. The server may restart the conversation by sending an EAP-FAST request packet encapsulating the TLS HelloRequest handshake message. The peer may allow the EAP-FAST conversation to be restarted or it may terminate the conversation by sending an EAP-FAST response with an zero-length message.
TLS層のいずれかの時点でエラーを検出したEAP-FASTピアは、適切なTLSアラートメッセージを含むTLSレコードをカプセル化したEAP-FAST応答を送信すべきです。サーバーは、TLS HelloRequestハンドシェイクメッセージをカプセル化したEAP-FAST要求パケットを送信して、やり取りを再開できます。ピアはやり取りの再開を許可することも、長さ0のメッセージを含むEAP-FAST応答を送信して終了することもできます。
Any time the peer or the server finds a fatal error outside of the TLS layer during Phase 2 TLV processing, it MUST send a Result TLV of failure and an Error TLV with the appropriate error code. For errors involving the processing of the sequence of exchanges, such as a violation of TLV rules (e.g., multiple EAP-Payload TLVs), the error code is Unexpected_TLVs_Exchanged. For errors involving a tunnel compromise, the error-code is Tunnel_Compromise_Error. Upon sending a Result TLV with a fatal Error TLV the sender terminates the TLS tunnel. Note that a server will still wait for a message from the peer after it sends a failure, however the server does not need to process the contents of the response message.
フェーズ2のTLV処理中にTLS層の外で致命的なエラーを検出したピアまたはサーバーは、失敗を示すResult TLVと適切なエラーコードを含むError TLVを送信しなければなりません (MUST)。複数のEAP-Payload TLVなど、交換順序に関するTLV規則違反のエラーコードはUnexpected_TLVs_Exchangedです。トンネル侵害に関するエラーコードはTunnel_Compromise_Errorです。致命的なError TLVを伴うResult TLVを送信した側は、TLSトンネルを終了します。サーバーは失敗を通知した後もピアからのメッセージを待ちますが、その応答メッセージの内容を処理する必要はありません。
If a server receives a Result TLV of failure with a fatal Error TLV, it SHOULD send a clear text EAP-Failure. If a peer receives a Result TLV of failure, it MUST respond with a Result TLV indicating failure. If the server has sent a Result TLV of failure, it ignores the peer response, and it SHOULD send a clear text EAP-Failure.
致命的なError TLVを伴う失敗Result TLVを受信したサーバーは、平文のEAP-Failureを送信すべきです (SHOULD)。失敗を示すResult TLVを受信したピアは、失敗を示すResult TLVで応答しなければなりません (MUST)。サーバー自身が失敗Result TLVを送信した場合、ピアの応答を無視し、平文のEAP-Failureを送信すべきです (SHOULD)。
A single TLS record may be up to 16384 octets in length, but a TLS message may span multiple TLS records, and a TLS certificate message may in principle be as long as 16 MB. This is larger than the maximum size for a message on most media types, therefore it is desirable to support fragmentation. Note that in order to protect against reassembly lockup and denial-of-service attacks, it may be desirable for an implementation to set a maximum size for one such group of TLS messages. Since a typical certificate chain is rarely longer than a few thousand octets, and no other field is likely to be anywhere near as long, a reasonable choice of maximum acceptable message length might be 64 KB. This is still a fairly large message packet size so an EAP-FAST implementation MUST provide its own support for fragmentation and reassembly.
単一のTLSレコードは最大16,384オクテットです。一方、TLSメッセージは複数のTLSレコードにまたがることがあり、TLS証明書メッセージは原理上16 MBに達する可能性があります。これは多くの媒体で1つのメッセージに許される最大サイズを超えるため、フラグメント化のサポートが望まれます。再構成処理の停滞やサービス拒否攻撃を防ぐため、実装がTLSメッセージ群の最大サイズを設定することも望ましい場合があります。一般的な証明書チェーンは数千オクテットを超えることがまれで、他のフィールドがそれほど長くなる可能性も低いため、許容する最大メッセージ長として64 KBが妥当です。それでもかなり大きなメッセージとなるため、EAP-FAST実装は独自のフラグメント化と再構成の機能を提供しなければなりません (MUST)。
Since EAP is an lock-step protocol, fragmentation support can be added in a simple manner. In EAP, fragments that are lost or damaged in transit will be retransmitted, and since sequencing information is provided by the Identifier field in EAP, there is no need for a fragment offset field.
EAPは要求と応答を交互に行うロックステップ型プロトコルであるため、フラグメント化は簡単に追加できます。転送中に失われたり破損したりしたフラグメントはEAPによって再送されます。また、EAPのIdentifierフィールドが順序情報を提供するため、フラグメントオフセット用のフィールドは不要です。
EAP-FAST fragmentation support is provided through the addition of flag bits within the EAP-Response and EAP-Request packets, as well as a TLS Message Length field of four octets. Flags include the Length included (L), More fragments (M), and EAP-FAST Start (S) bits. The L flag is set to indicate the presence of the four-octet TLS Message Length field, and MUST be set for the first fragment of a fragmented TLS message or set of messages. The M flag is set on all but the last fragment. The S flag is set only within the EAP-FAST start message sent from the EAP server to the peer. The TLS Message Length field is four octets, and provides the total length of the TLS message or set of messages that is being fragmented; this simplifies buffer allocation.
EAP-FASTのフラグメント化は、EAP-ResponseおよびEAP-Requestパケットにフラグビットを追加し、さらに4オクテットのTLS Message Lengthフィールドを設けて実現します。フラグはLength included（L）、More fragments（M）、EAP-FAST Start（S）です。Lフラグは4オクテットのTLS Message Lengthフィールドがあることを示し、フラグメント化されたTLSメッセージまたはメッセージ群の最初のフラグメントで設定しなければなりません (MUST)。Mフラグは最後以外のすべてのフラグメントで設定します。Sフラグは、EAPサーバーからピアへ送るEAP-FASTの開始メッセージでのみ設定します。4オクテットのTLS Message Lengthフィールドは、フラグメント化するTLSメッセージまたはメッセージ群の合計長を示し、バッファ割り当てを簡単にします。
When an EAP-FAST peer receives an EAP-Request packet with the M bit set, it MUST respond with an EAP-Response with EAP-Type of EAP-FAST and no data. This serves as a fragment ACK. The EAP server must wait until it receives the EAP-Response before sending another fragment. In order to prevent errors in processing of fragments, the EAP server MUST increment the Identifier field for each fragment contained within an EAP-Request, and the peer must include this Identifier value in the fragment ACK contained within the EAP-Response. Retransmitted fragments will contain the same Identifier value.
Mビットが設定されたEAP-Requestを受信したEAP-FASTピアは、EAP TypeをEAP-FASTとしデータを含まないEAP-Responseで応答しなければなりません (MUST)。この応答はフラグメント確認応答（ACK）として機能します。EAPサーバーは次のフラグメントを送る前にEAP-Responseの受信を待ちます。フラグメント処理の誤りを防ぐため、EAPサーバーはEAP-Requestに含める各フラグメントでIdentifierフィールドを増分しなければなりません (MUST)。ピアはEAP-Response内のフラグメントACKにこのIdentifier値を含めます。再送フラグメントには同じIdentifier値を使います。
Similarly, when the EAP-FAST server receives an EAP-Response with the M bit set, it must respond with an EAP-Request with EAP-Type of EAP-FAST and no data. This serves as a fragment ACK. The EAP peer MUST wait until it receives the EAP-Request before sending another fragment. In order to prevent errors in the processing of fragments, the EAP server MUST increment the Identifier value for each fragment ACK contained within an EAP-Request, and the peer MUST include this Identifier value in the subsequent fragment contained within an EAP-Response.
同様に、Mビットが設定されたEAP-Responseを受信したEAP-FASTサーバーは、EAP TypeをEAP-FASTとしデータを含まないEAP-Requestで応答します。この応答はフラグメントACKとして機能します。EAPピアは次のフラグメントを送る前にEAP-Requestの受信を待たなければなりません (MUST)。フラグメント処理の誤りを防ぐため、EAPサーバーはEAP-Requestに含める各フラグメントACKでIdentifier値を増分しなければなりません (MUST)。ピアは後続のEAP-Response内のフラグメントにこのIdentifier値を含めなければなりません (MUST)。
The following sections describe the message formats used in EAP-FAST. The fields are transmitted from left to right in network byte order.
以下では、EAP-FASTで使うメッセージ形式を説明します。フィールドはネットワークバイトオーダーで左から右へ送信します。
A summary of the EAP-FAST Request/Response packet format is shown below.
EAP-FASTのRequest/Responseパケット形式の概要を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Code | Identifier | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type | Flags | Ver | Message Length :
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
: Message Length | Data... +
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Code
Code
The code field is one octet in length defined as follows:
Codeフィールドは1オクテットで、次の値を取ります。
1 Request
1 Request
2 Response
2 Response
Identifier
Identifier
The Identifier field is one octet and aids in matching responses with requests. The Identifier field MUST be changed on each Request packet. The Identifier field in the Response packet MUST match the Identifier field from the corresponding request.
Identifierフィールドは1オクテットで、要求と応答の対応付けに使います。各RequestパケットではIdentifierフィールドを変更しなければなりません (MUST)。ResponseパケットのIdentifierフィールドは、対応するRequestのIdentifierフィールドと一致しなければなりません (MUST)。
Length
Length
The Length field is two octets and indicates the length of the EAP packet including the Code, Identifier, Length, Type, Flags, Ver, Message Length, and Data fields. Octets outside the range of the Length field should be treated as Data Link Layer padding and should be ignored on reception.
Lengthフィールドは2オクテットで、Code、Identifier、Length、Type、Flags、Ver、Message Length、Dataの各フィールドを含むEAPパケットの長さを示します。Lengthフィールドが示す範囲外のオクテットはデータリンク層のパディングとして扱い、受信時に無視します。
Type
Type
43 for EAP-FAST
43 for EAP-FAST
Flags
Flags
0 1 2 3 4
+-+-+-+-+-+
|L M S R R|
+-+-+-+-+-+
L Length included; set to indicate the presence of the four-octet Message Length field
L Length included; set to indicate the presence of the four-octet Message Length field
M More fragments; set on all but the last fragment
M More fragments; set on all but the last fragment
S EAP-FAST start; set in an EAP-FAST Start message
S EAP-FAST start; set in an EAP-FAST Start message
R Reserved (must be zero)
R Reserved (must be zero)
Ver
Ver
This field contains the version of the protocol. This document describes version 1 (001 in binary) of EAP-FAST.
このフィールドはプロトコルのバージョンを示します。本書ではEAP-FASTのバージョン1（2進数で001）を説明します。
Message Length
Message Length
The Message Length field is four octets, and is present only if the L bit is set. This field provides the total length of the message that may be fragmented over the data fields of multiple packets.
Message Lengthフィールドは4オクテットで、Lビットが設定されている場合にのみ存在します。このフィールドは、複数のパケットのDataフィールドに分割されるメッセージの合計長を示します。
Data
Data
In the case of an EAP-FAST Start request (i.e., when the S bit is set) the Data field consists of the A-ID described in Section 4.1.1. In other cases, when the Data field is present, it consists of an encapsulated TLS packet in TLS record format. An EAP-FAST packet with Flags and Version fields, but with zero length data field, is used to indicate EAP-FAST acknowledgement for either a fragmented message, a TLS Alert message or a TLS Finished message.
EAP-FAST Start要求（Sビットが設定されている場合）のDataフィールドには、セクション4.1.1で説明するA-IDを格納します。それ以外でDataフィールドがある場合は、TLSレコード形式でカプセル化されたTLSパケットを格納します。FlagsフィールドとVersionフィールドがあり、Dataフィールドの長さが0のEAP-FASTパケットは、フラグメント化されたメッセージ、TLS Alertメッセージ、またはTLS Finishedメッセージに対するEAP-FASTの確認応答を示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type (0x04) | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| ID
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Type
Type
The Type field is two octets. It is set to 0x0004 for Authority ID
Typeフィールドは2オクテットで、Authority IDでは0x0004に設定します。
Length
Length
The Length filed is two octets, which contains the length of the ID field in octets.
Lengthフィールドは2オクテットで、IDフィールドの長さをオクテット単位で示します。
ID
ID
Hint of the identity of the server. It should be unique across the deployment.
サーバーの識別情報を示すヒントです。配置環境全体で一意にすることが望まれます。
The TLVs defined here are standard Type-Length-Value (TLV) objects. The TLV objects could be used to carry arbitrary parameters between EAP peer and EAP server within the protected TLS tunnel.
ここで定義するTLVは、標準のType-Length-Value（TLV）オブジェクトです。EAPピアとEAPサーバーは、保護されたTLSトンネル内で任意のパラメーターを運ぶためにTLVオブジェクトを使えます。
The EAP peer may not necessarily implement all the TLVs supported by the EAP server. To allow for interoperability, TLVs are designed to allow an EAP server to discover if a TLV is supported by the EAP peer, using the NAK TLV. The mandatory bit in a TLV indicates whether support of the TLV is required. If the peer or server does not support a TLV marked mandatory, then it MUST send a NAK TLV in the response, and all the other TLVs in the message MUST be ignored. If an EAP peer or server finds an unsupported TLV that is marked as optional, it can ignore the unsupported TLV. It MUST NOT send an NAK TLV for a TLV that is not marked mandatory.
EAPピアがEAPサーバーのサポートするすべてのTLVを実装しているとは限りません。相互運用性を確保するため、TLVはNAK TLVを使ってEAPサーバーがEAPピアのサポート状況を確認できるよう設計されています。TLVのmandatoryビットは、そのTLVのサポートが必須かどうかを示します。ピアまたはサーバーがmandatoryとされたTLVをサポートしない場合、応答にNAK TLVを含めなければなりません (MUST)。そのメッセージ内の他のTLVはすべて無視しなければなりません (MUST)。EAPピアまたはサーバーは、optionalとされた未対応TLVを無視できます。mandatoryとされていないTLVに対してNAK TLVを送信してはなりません (MUST NOT)。
Note that a peer or server may support a TLV with the mandatory bit set, but may not understand the contents. The appropriate response to a supported TLV with content that is not understood is defined by the individual TLV specification.
ピアまたはサーバーはmandatoryビットが設定されたTLVをサポートしていても、その内容を理解できない場合があります。サポート対象のTLVの内容を理解できない場合にどう応答するかは、個々のTLV仕様で定めます。
EAP implementations compliant with this specification MUST support TLV exchanges, as well as the processing of mandatory/optional settings on the TLV. Implementations conforming to this specification MUST support the following TLVs:
本仕様に準拠するEAP実装は、TLVのmandatory/optional設定の処理とTLV交換をサポートしなければなりません (MUST)。また、次のTLVをサポートしなければなりません (MUST)。
Result TLV NAK TLV Error TLV EAP-Payload TLV Intermediate-Result TLV Crypto-Binding TLV Request-Action TLV
Result TLV NAK TLV Error TLV EAP-Payload TLV Intermediate-Result TLV Crypto-Binding TLV Request-Action TLV
TLVs are defined as described below. The fields are transmitted from left to right.
TLVは以下の形式で定義します。フィールドは左から右へ送信します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Value...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
0 Optional TLV
0 Optional TLV
1 Mandatory TLV
1 Mandatory TLV
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
A 14-bit field, denoting the TLV type. Allocated Types include:
TLVの種類を示す14ビットのフィールドです。割り当て済みの種類を以下に示します。
0 Reserved
1 Reserved
2 Reserved
3 Result TLV (Section 4.2.2)
4 NAK TLV (Section 4.2.3)
5 Error TLV (Section 4.2.4)
7 Vendor-Specific TLV (Section 4.2.5)
9 EAP-Payload TLV (Section 4.2.6)
10 Intermediate-Result TLV (Section 4.2.7)
11 PAC TLV [EAP-PROV]
12 Crypto-Binding TLV (Section 4.2.8)
18 Server-Trusted-Root TLV [EAP-PROV]
19 Request-Action TLV (Section 4.2.9)
20 PKCS#7 TLV [EAP-PROV]
Length
Length
The length of the Value field in octets.
Valueフィールドの長さをオクテット単位で示します。
Value
Value
The value of the TLV.
TLVの値です。
The Result TLV provides support for acknowledged success and failure messages for protected termination within EAP-FAST. If the Status field does not contain one of the known values, then the peer or EAP server MUST treat this as a fatal error of Unexpected_TLVs_Exchanged. The behavior of the Result TLV is further discussed in Section 3.3.2 and Section 3.6.2. A Result TLV indicating failure MUST NOT be accompanied by the following TLVs: NAK, EAP-Payload TLV, or Crypto-Binding TLV. The Result TLV is defined as follows:
Result TLVは、EAP-FAST内の保護された終了交換で、成功または失敗を相手に確認させるために使います。Statusフィールドに既知の値がない場合、ピアまたはEAPサーバーは致命的なUnexpected_TLVs_Exchangedエラーとして扱わなければなりません (MUST)。Result TLVの動作については、セクション3.3.2と3.6.2で説明します。失敗を示すResult TLVには、NAK、EAP-Payload TLV、Crypto-Binding TLVを伴わせてはなりません (MUST NOT)。Result TLVの形式を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Status |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
Mandatory, set to one (1)
Mandatory, set to one (1)
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
3 for Result TLV
3 for Result TLV
Length
Length
2
2
Status
Status
The Status field is two octets. Values include:
Statusフィールドは2オクテットです。値を以下に示します。
1 Success
1 Success
2 Failure
2 Failure
The NAK TLV allows a peer to detect TLVs that are not supported by the other peer. An EAP-FAST packet can contain 0 or more NAK TLVs. A NAK TLV should not be accompanied by other TLVs. A NAK TLV MUST NOT be sent in response to a message containing a Result TLV, instead a Result TLV of failure should be sent indicating failure and an Error TLV of Unexpected_TLVs_Exchanged. The NAK TLV is defined as follows:
NAK TLVを使うと、ピアは相手がサポートしていないTLVを検出できます。EAP-FASTパケットにはNAK TLVを0個以上含められます。NAK TLVには他のTLVを添えないようにします。Result TLVを含むメッセージへの応答でNAK TLVを送信してはなりません (MUST NOT)。代わりに、Unexpected_TLVs_Exchangedエラーを含むError TLVと、失敗を示すResult TLVを送信します。NAK TLVの形式を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Vendor-Id |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| NAK-Type | TLVs...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
Mandatory, set to one (1)
Mandatory, set to one (1)
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
4 for NAK TLV
4 for NAK TLV
Length
Length
>=6
>=6
Vendor-Id
Vendor-Id
The Vendor-Id field is four octets, and contains the Vendor-Id of the TLV that was not supported. The high-order octet is 0 and the low-order three octets are the Structure of Management Information (SMI) Network Management Private Enterprise Code of the Vendor in network byte order. The Vendor-Id field MUST be zero for TLVs that are not Vendor-Specific TLVs.
Vendor-Idフィールドは4オクテットで、未対応TLVのVendor-Idを含みます。上位1オクテットは0で、下位3オクテットはネットワークバイトオーダーで表したベンダーのStructure of Management Information（SMI）Network Management Private Enterprise Codeです。Vendor-Specific TLV以外では、Vendor-Idフィールドを0にしなければなりません (MUST)。
NAK-Type
NAK-Type
The NAK-Type field is two octets. The field contains the Type of the TLV that was not supported. A TLV of this Type MUST have been included in the previous packet.
NAK-Typeフィールドは2オクテットで、未対応TLVのTypeを含みます。このTypeのTLVは直前のパケットに含まれていなければなりません (MUST)。
TLVs
TLVs
This field contains a list of zero or more TLVs, each of which MUST NOT have the mandatory bit set. These optional TLVs are for future extensibility to communicate why the offending TLV was determined to be unsupported.
このフィールドには、ゼロ個以上のTLVのリストが含まれており、それぞれのTLVに必須ビットが設定されていてはなりません (MUST NOT)。これらのオプションのTLVは、問題のあるTLVがサポートされていないと判断された理由を伝えるための将来の拡張用です。
The Error TLV allows an EAP peer or server to indicate errors to the other party. An EAP-FAST packet can contain 0 or more Error TLVs. The Error-Code field describes the type of error. Error Codes 1-999 represent successful outcomes (informative messages), 1000-1999 represent warnings, and codes 2000-2999 represent fatal errors. A fatal Error TLV MUST be accompanied by a Result TLV indicating failure and the conversation must be terminated as described in Section 3.6.2. The Error TLV is defined as follows:
Error TLVを使うと、EAPピアまたはサーバーが相手にエラーを通知できます。EAP-FASTパケットにはError TLVを0個以上含められます。Error-Codeフィールドはエラーの種類を示します。1～999は成功を示す結果（情報メッセージ）、1000～1999は警告、2000～2999は致命的なエラーです。致命的なError TLVには失敗を示すResult TLVを伴わせなければなりません (MUST)。また、セクション3.6.2の説明に従ってやり取りを終了します。Error TLVの形式を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Error-Code |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
m
Mandatory, set to one (1)
必須、1つに設定（1）
R
r
Reserved, set to zero (0)
予約、ゼロ（0）に設定
TLV Type
TLVタイプ
5 for Error TLV
5エラーTLVの場合
Length
長さ
4
4
Error-Code
エラーコード
The Error-Code field is four octets. Currently defined values for Error-Code include:
Error-Codeフィールドは4オクテットです。現在定義されている値を以下に示します。
2001 Tunnel_Compromise_Error
2001 Tunnel_Compromise_Error
2002 Unexpected_TLVs_Exchanged
2002 Unexpected_TLVs_Exchanged
The Vendor-Specific TLV is available to allow vendors to support their own extended attributes not suitable for general usage. A Vendor-Specific TLV attribute can contain one or more TLVs, referred to as Vendor TLVs. The TLV-type of a Vendor-TLV is defined by the vendor. All the Vendor TLVs inside a single Vendor-Specific TLV belong to the same vendor. There can be multiple Vendor-Specific TLVs from different vendors in the same message.
Vendor-Specific TLVを使うと、ベンダーは一般用途に適さない独自の拡張属性をサポートできます。Vendor-Specific TLV属性には、Vendor TLVと呼ぶTLVを1つ以上含められます。Vendor-TLVのTLV-Typeはベンダーが定義します。1つのVendor-Specific TLVに含まれるVendor TLVは、すべて同じベンダーに属します。同じメッセージに、異なるベンダーのVendor-Specific TLVを複数含めることもできます。
Vendor TLVs may be optional or mandatory. Vendor TLVs sent with Result TLVs MUST be marked as optional.
Vendor TLVはoptionalまたはmandatoryにできます。Result TLVとともに送信するVendor TLVは、optionalとしてマークしなければなりません (MUST)。
The Vendor-Specific TLV is defined as follows:
Vendor-Specific TLVの形式を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Vendor-Id |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Vendor TLVs...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
0 or 1
0 or 1
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
7 for Vendor Specific TLV
7 for Vendor Specific TLV
Length
Length
4 + cumulative length of all included Vendor TLVs
4 + cumulative length of all included Vendor TLVs
Vendor-Id
Vendor-Id
The Vendor-Id field is four octets, and contains the Vendor-Id of the TLV. The high-order octet is 0 and the low-order 3 octets are the SMI Network Management Private Enterprise Code of the Vendor in network byte order.
Vendor-Idフィールドは4オクテットで、TLVのVendor-Idを含みます。上位1オクテットは0で、下位3オクテットはネットワークバイトオーダーで表したベンダーのSMI Network Management Private Enterprise Codeです。
Vendor TLVs
Vendor TLVs
This field is of indefinite length. It contains vendor-specific TLVs, in a format defined by the vendor.
このフィールドの長さは固定されていません。ベンダーが定める形式のベンダー固有TLVを含みます。
To allow piggybacking an EAP request or response with other TLVs, the
EAP-Payload TLV is defined, which includes an encapsulated EAP packet
and a list of optional TLVs. The optional TLVs are provided for
future extensibility to provide hints about the current EAP
authentication. Only one EAP-Payload TLV is allowed in a message.
The EAP-Payload TLV is defined as follows:
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| EAP packet...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| TLVs...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
Mandatory, set to (1)
Mandatory, set to (1)
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
9 for EAP-Payload TLV
9 for EAP-Payload TLV
Length
Length
length of embedded EAP packet + cumulative length of additional TLVs
length of embedded EAP packet + cumulative length of additional TLVs
EAP packet
EAP packet
This field contains a complete EAP packet, including the EAP header (Code, Identifier, Length, Type) fields. The length of this field is determined by the Length field of the encapsulated EAP packet.
このフィールドには、EAPヘッダーのCode、Identifier、Length、Type各フィールドを含む完全なEAPパケットを格納します。このフィールドの長さは、カプセル化されたEAPパケットのLengthフィールドで決まります。
TLVs
TLVs
This field contains a list of zero or more TLVs associated with the EAP packet field. The TLVs MUST NOT have the mandatory bit set. The total length of this field is equal to the Length field of the EAP-Payload TLV, minus the Length field in the EAP header of the EAP packet field.
このフィールドには、EAP packetフィールドに関連付けられた0個以上のTLVを含みます。これらのTLVではmandatoryビットを設定してはなりません (MUST NOT)。このフィールドの合計長は、EAP-Payload TLVのLengthフィールドから、EAP packetフィールドのEAPヘッダーにあるLengthフィールドを引いた値です。
The Intermediate-Result TLV provides support for acknowledged intermediate Success and Failure messages between multiple inner EAP methods within EAP. An Intermediate-Result TLV indicating success MUST be accompanied by a Crypto-Binding TLV. The optional TLVs associated with this TLV are provided for future extensibility to provide hints about the current result. The Intermediate-Result TLV is defined as follows:
Intermediate-Result TLVは、EAP-FAST内で複数の内側EAP方式を実行する際、中間段階の成功または失敗を相手に確認させるために使います。成功を示すIntermediate-Result TLVにはCrypto-Binding TLVを伴わせなければなりません (MUST)。このTLVに関連付けるoptional TLVは、現在の結果に関する手掛かりを提供するための将来の拡張用です。Intermediate-Result TLVの形式を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Status | TLVs...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
Mandatory, set to (1)
Mandatory, set to (1)
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
10 for Intermediate-Result TLV
10 for Intermediate-Result TLV
Length
Length
2 + cumulative length of the embedded associated TLVs
2 + cumulative length of the embedded associated TLVs
Status
Status
The Status field is two octets. Values include:
Statusフィールドは2オクテットです。値を以下に示します。
1 Success
1 Success
2 Failure
2 Failure
TLVs
TLVs
This field is of indeterminate length, and contains zero or more of the TLVs associated with the Intermediate Result TLV. The TLVs in this field MUST NOT have the mandatory bit set.
このフィールドの長さは可変で、Intermediate-Result TLVに関連付けられたTLVを0個以上含みます。このフィールド内のTLVではmandatoryビットを設定してはなりません (MUST NOT)。
The Crypto-Binding TLV is used to prove that both the peer and server participated in the tunnel establishment and sequence of authentications. It also provides verification of the EAP-FAST version negotiated before TLS tunnel establishment, see Section 3.1.
Crypto-Binding TLVは、ピアとサーバーの双方がトンネルの確立および一連の認証に参加したことを証明します。また、TLSトンネル確立前にネゴシエートしたEAP-FASTのバージョンを検証します。詳細はセクション3.1を参照してください。
The Crypto-Binding TLV MUST be included with the Intermediate-Result TLV to perform Cryptographic Binding after each successful EAP method in a sequence of EAP methods. The Crypto-Binding TLV can be issued at other times as well.
一連のEAP方式の各方式が成功した後に暗号バインディングを行うため、Crypto-Binding TLVをIntermediate-Result TLVとともに含めなければなりません (MUST)。Crypto-Binding TLVは、それ以外の時点で送信することもできます。
The Crypto-Binding TLV is valid only if the following checks pass:
Crypto-Binding TLVは、次の検査にすべて合格した場合にのみ有効です。
o The Crypto-Binding TLV version is supported
o Crypto-Binding TLVのバージョンがサポート対象であること
o The MAC verifies correctly
o MACが正しく検証されること
o The received version in the Crypto-Binding TLV matches the version sent by the receiver during the EAP version negotiation
o Crypto-Binding TLVで受信したバージョンが、EAPバージョンネゴシエーション時に受信側が送信したバージョンと一致すること
o The subtype is set to the correct value
o サブタイプが正しい値に設定されていること
If any of the above checks fail, then the TLV is invalid. An invalid Crypto-Binding TLV is a fatal error and is handled as described in Section 3.6.2.
上記の検査に1つでも失敗した場合、そのTLVは無効です。無効なCrypto-Binding TLVは致命的なエラーとして、セクション3.6.2の規定に従って処理します。
The Crypto-Binding TLV is defined as follows:
Crypto-Binding TLVの形式を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Reserved | Version | Received Ver. | Sub-Type |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| |
~ Nonce ~
| |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| |
~ Compound MAC ~
| |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
Mandatory, set to (1)
Mandatory, set to (1)
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
12 for Crypto-Binding TLV
12 for Crypto-Binding TLV
Length
Length
56
56
Reserved
Reserved
Reserved, set to zero (0)
Reserved, set to zero (0)
Version
Version
The Version field is a single octet, which is set to the version of Crypto-Binding TLV the EAP method is using. For an implementation compliant with this version of EAP-FAST, the version number MUST be set to 1.
Versionフィールドは1オクテットで、EAP方式が使用するCrypto-Binding TLVのバージョンを設定します。本バージョンのEAP-FASTに準拠する実装では、バージョン番号を1に設定しなければなりません (MUST)。
Received Version
Received Version
The Received Version field is a single octet and MUST be set to the EAP version number received during version negotiation. Note that this field only provides protection against downgrade attacks, where a version of EAP requiring support for this TLV is required on both sides.
Received Versionフィールドは1オクテットで、バージョンネゴシエーション時に受信したEAPバージョン番号を設定しなければなりません (MUST)。このフィールドが保護するのはダウングレード攻撃に限られます。この保護は、双方でこのTLVのサポートを必要とするEAPバージョンを使う場合に有効です。
Sub-Type
Sub-Type
The Sub-Type field is one octet. Defined values include:
Sub-Typeフィールドは1オクテットです。定義済みの値を以下に示します。
0 Binding Request
0 Binding Request
1 Binding Response
1 Binding Response
Nonce
Nonce
The Nonce field is 32 octets. It contains a 256-bit nonce that is temporally unique, used for compound MAC key derivation at each end. The nonce in a request MUST have its least significant bit set to 0 and the nonce in a response MUST have the same value as the request nonce except the least significant bit MUST be set to 1.
Nonceフィールドは32オクテットで、各端点で複合MAC鍵を導出するために使う、時間的に一意な256ビットnonceを含みます。要求のnonceでは最下位ビットを0にしなければなりません (MUST)。応答のnonceは要求のnonceと同じ値でなければなりません (MUST)。ただし、応答では最下位ビットを1にしなければなりません (MUST)。
Compound MAC
Compound MAC
The Compound MAC field is 20 octets. This can be the Server MAC (B1_MAC) or the Client MAC (B2_MAC). The computation of the MAC is described in Section 5.3.
Compound MACフィールドは20オクテットです。Server MAC（B1_MAC）またはClient MAC（B2_MAC）が入ります。MACの計算方法はセクション5.3で説明します。
The Request-Action TLV MAY be sent by the peer along with a Result TLV in response to a server's successful Result TLV. It allows the peer to request the EAP server to negotiate additional EAP methods or process TLVs specified in the response packet. The server MAY ignore this TLV.
ピアは、サーバーが成功を示すResult TLVを送信したことへの応答として、Result TLVとともにRequest-Action TLVを送信してもかまいません (MAY)。これにより、ピアは追加のEAP方式のネゴシエーションまたは応答パケットで指定したTLVの処理をEAPサーバーに要求できます。サーバーはこのTLVを無視してもかまいません (MAY)。
The Request-Action TLV is defined as follows:
Request-Action TLVの形式を以下に示します。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|M|R| TLV Type | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Action |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
M
M
Mandatory set to one (1)
Mandatory set to one (1)
R
R
Reserved, set to zero (0)
Reserved, set to zero (0)
TLV Type
TLV Type
19 for Request-Action TLV
19 for Request-Action TLV
Length
Length
2
2
Action
Action
The Action field is two octets. Values include:
Actionフィールドは2オクテットです。値を以下に示します。
Process-TLV
Process-TLV
Negotiate-EAP
Negotiate-EAP
The following table provides a guide to which TLVs may be found in which kinds of messages, and in what quantity. The messages are as follows: Request is an EAP-FAST Request, Response is an EAP-FAST Response, Success is a message containing a successful Result TLV, and Failure is a message containing a failed Result TLV.
次の表は、各種メッセージにどのTLVをいくつ含められるかを示す目安です。メッセージは次のとおりです。RequestはEAP-FASTの要求、ResponseはEAP-FASTの応答、Successは成功を示すResult TLVを含むメッセージ、Failureは失敗を示すResult TLVを含むメッセージです。
Request Response Success Failure TLVs
0-1 0-1 0-1 0-1 Intermediate-Result
0-1 0-1 0 0 EAP-Payload
0-1 0-1 1 1 Result
0-1 0-1 0-1 0-1 Crypto-Binding
0+ 0+ 0+ 0+ Error
0+ 0+ 0 0 NAK
0+ 0+ 0+ 0+ Vendor-Specific [NOTE1]
0 0-1 0-1 0-1 Request-Action
[NOTE1] Vendor TLVs (included in Vendor-Specific TLVs) sent with a Result TLV MUST be marked as optional.
[NOTE1] Result TLVとともに送信するVendor-Specific TLV内のVendor TLVは、optionalとしてマークしなければなりません (MUST)。
The following table defines the meaning of the table entries in the sections below:
次の表は、以下の各表で使う記号の意味を示します。
0 This TLV MUST NOT be present in the message.
0 このTLVをメッセージに含めてはなりません (MUST NOT)。
0+ Zero or more instances of this TLV MAY be present in the message.
0+ このTLVはメッセージに0個以上含めてもかまいません (MAY)。
0-1 Zero or one instance of this TLV MAY be present in the message.
0-1 このTLVはメッセージに0個または1個含めてもかまいません (MAY)。
1 Exactly one instance of this TLV MUST be present in the message.
1 このTLVをメッセージにちょうど1個含めなければなりません (MUST)。
The EAP-FAST Authentication tunnel key is calculated similarly to the TLS key calculation with an additional 40 octets (referred to as the session_key_seed) generated. The additional session_key_seed is used in the Session Key calculation in the EAP-FAST Tunneled Authentication conversation.
EAP-FAST認証トンネルの鍵はTLS鍵の計算と同様に算出し、その際に追加の40オクテットを生成します。この追加値をsession_key_seedと呼び、EAP-FASTトンネル内認証のやり取りでセッション鍵を計算するために使います。
To generate the key material required for the EAP-FAST Authentication tunnel, the following construction from [RFC4346] is used:
EAP-FAST認証トンネルに必要な鍵素材を生成するには、[RFC4346]にある次の構成を使います。
key_block = PRF(master_secret, "key expansion", server_random + client_random)
key_block = PRF(master_secret, "key expansion", server_random + client_random)
where '+' denotes concatenation.
ここで「+」は連結を表します。
The PRF function used to generate keying material is defined by [RFC4346].
鍵素材の生成に使うPRF関数は[RFC4346]で定義されています。
For example, if the EAP-FAST Authentication employs 128-bit RC4 and SHA1, the key_block is 112 octets long and is partitioned as follows:
たとえば、EAP-FAST認証で128ビットRC4とSHA1を使う場合、key_blockの長さは112オクテットで、次のように分割されます。
client_write_MAC_secret[20]
server_write_MAC_secret[20]
client_write_key[16]
server_write_key[16]
client_write_IV[0]
server_write_IV[0]
session_key_seed[40]
The session_key_seed is used by the EAP-FAST Authentication Phase 2 conversation to both cryptographically bind the inner method(s) to the tunnel as well as generate the resulting EAP-FAST session keys. The other quantities are used as they are defined in [RFC4346].
session_key_seedはEAP-FASTフェーズ2で使い、内側の認証方式をトンネルに暗号学的に結び付けるとともに、EAP-FASTセッション鍵を生成します。ほかの値は[RFC4346]で定義されているとおりに使います。
The master_secret is generated as specified in TLS unless a PAC is used to establish the TLS tunnel. When a PAC is used to establish the TLS tunnel, the master_secret is calculated from the specified client_random, server_random, and PAC-Key as follows:
PACを使わずにTLSトンネルを確立する場合、master_secretはTLSの規定に従って生成します。PACを使う場合、次に示すとおり、指定されたclient_random、server_random、PAC-Keyからmaster_secretを計算します。
master_secret = T-PRF(PAC-Key, "PAC to master secret label hash", server_random + client_random, 48)
master_secret = T-PRF(PAC-Key, "PAC to master secret label hash", server_random + client_random, 48)
where T-PRF is described in Section 5.5.
T-PRFについてはセクション5.5で説明します。
The session_key_seed derived as part of EAP-FAST Phase 2 is used in EAP-FAST Phase 2 to generate an Intermediate Compound Key (IMCK) used to verify the integrity of the TLS tunnel after each successful inner authentication and in the generation of Master Session Key (MSK) and Extended Master Session Key (EMSK) defined in [RFC3748]. Note that the IMCK must be recalculated after each successful inner EAP method.
EAP-FASTフェーズ2で導出したsession_key_seedを使ってIntermediate Compound Key（IMCK）を生成します。IMCKは、内側の認証が成功するたびにTLSトンネルの完全性を検証するため、また[RFC3748]で定義するMaster Session Key（MSK）とExtended Master Session Key（EMSK）の生成に使います。内側のEAP方式が成功するたびにIMCKを再計算する必要があります。
The first step in these calculations is the generation of the base compound key, IMCK[n] from the session_key_seed and any session keys derived from the successful execution of n inner EAP methods. The inner EAP method(s) may provide Master Session Keys, MSK1..MSKn, corresponding to inner methods 1 through n. The MSK is truncated at 32 octets if it is longer than 32 octets or padded to a length of 32 octets with zeros if it is less than 32 octets. If the ith inner method does not generate an MSK, then MSKi is set to zero (e.g., MSKi = 32 octets of 0x00s). If an inner method fails, then it is not included in this calculation. The derivations of S-IMCK is as follows:
計算の最初の手順では、session_key_seedと、n個の内側EAP方式の実行成功によって導出したセッション鍵を使って、ベース複合鍵IMCK[n]を生成します。内側EAP方式は、方式1からnに対応するMaster Session Key（MSK1..MSKn）を出力することがあります。MSKが32オクテットを超える場合は32オクテットに切り詰め、32オクテット未満の場合は0で埋めて32オクテットにします。i番目の内側方式がMSKを生成しない場合、MSKiを0に設定します（たとえば、MSKi = 0x00を32オクテット）。失敗した内側方式はこの計算に含めません。S-IMCKの導出を以下に示します。
S-IMCK[0] = session_key_seed For j = 1 to n-1 do IMCK[j] = T-PRF(S-IMCK[j-1], "Inner Methods Compound Keys", MSK[j], 60) S-IMCK[j] = first 40 octets of IMCK[j] CMK[j] = last 20 octets of IMCK[j]
S-IMCK[0] = session_key_seed For j = 1 to n-1 do IMCK[j] = T-PRF(S-IMCK[j-1], "Inner Methods Compound Keys", MSK[j], 60) S-IMCK[j] = first 40 octets of IMCK[j] CMK[j] = last 20 octets of IMCK[j]
where T-PRF is described in Section 5.5.
T-PRFについてはセクション5.5で説明します。
For authentication methods that generate keying material, further protection against man-in-the-middle attacks is provided through cryptographically binding keying material established by both EAP-FAST Phase 1 and EAP-FAST Phase 2 conversations. After each successful inner EAP authentication, EAP MSKs are cryptographically combined with key material from EAP-FAST Phase 1 to generate a compound session key, CMK. The CMK is used to calculate the Compound MAC as part of the Crypto-Binding TLV described in Section 4.2.8, which helps provide assurance that the same entities are involved in all communications in EAP-FAST. During the calculation of the Compound-MAC the MAC field is filled with zeros.
鍵素材を生成する認証方式では、EAP-FASTフェーズ1とフェーズ2の双方で確立した鍵素材を暗号学的に結び付けることで、中間者攻撃に対する保護をさらに強化します。内側のEAP認証が成功するたびに、EAPのMSKとフェーズ1の鍵素材を暗号学的に組み合わせ、複合セッション鍵CMKを生成します。CMKは、セクション4.2.8で説明するCrypto-Binding TLVの一部であるCompound MACの計算に使います。これにより、EAP-FASTのすべての通信に同じエンティティが関与していることを確認できます。Compound MACの計算時には、MACフィールドを0で埋めます。
The Compound MAC computation is as follows:
Compound MACは次のように計算します。
CMK = CMK[j] Compound-MAC = HMAC-SHA1( CMK, Crypto-Binding TLV )
CMK = CMK[j] Compound-MAC = HMAC-SHA1( CMK, Crypto-Binding TLV )
where j is the number of the last successfully executed inner EAP method.
ここでjは、最後に正常に実行した内側EAP方式の番号です。
EAP-FAST Authentication assures the master session key (MSK) and Extended Master Session Key (EMSK) output from the EAP method are the result of all authentication conversations by generating an Intermediate Compound Key (IMCK). The IMCK is mutually derived by the peer and the server as described in Section 5.2 by combining the MSKs from inner EAP methods with key material from EAP-FAST Phase 1. The resulting MSK and EMSK are generated as part of the IMCKn key hierarchy as follows:
EAP-FAST認証ではIntermediate Compound Key（IMCK）を生成し、EAP方式が出力するMaster Session Key（MSK）とExtended Master Session Key（EMSK）が、すべての認証やり取りを反映するようにします。IMCKはセクション5.2のとおり、内側EAP方式のMSKとEAP-FASTフェーズ1の鍵素材を組み合わせて、ピアとサーバーがそれぞれ導出します。得られるMSKとEMSKは、次のIMCKn鍵階層の一部として生成されます。
MSK = T-PRF(S-IMCK[j], "Session Key Generating Function", 64) EMSK = T-PRF(S-IMCK[j], "Extended Session Key Generating Function", 64)
MSK = T-PRF(S-IMCK[j], "Session Key Generating Function", 64) EMSK = T-PRF(S-IMCK[j], "Extended Session Key Generating Function", 64)
where j is the number of the last successfully executed inner EAP method.
ここでjは、最後に正常に実行した内側EAP方式の番号です。
The EMSK is typically only known to the EAP-FAST peer and server and is not provided to a third party. The derivation of additional keys and transportation of these keys to a third party is outside the scope of this document.
通常、EMSKを知るのはEAP-FASTピアとサーバーだけであり、第三者には提供しません。追加の鍵の導出と、その鍵の第三者への転送は本書の対象外です。
If no EAP methods have been negotiated inside the tunnel or no EAP methods have been successfully completed inside the tunnel, the MSK and EMSK will be generated directly from the session_key_seed meaning S-IMCK = session_key_seed.
トンネル内でEAP方式がネゴシエートされていない場合、または正常に完了したEAP方式がない場合、MSKとEMSKはsession_key_seedから直接生成します。つまり、S-IMCK = session_key_seedです。
EAP-FAST employs the following PRF prototype and definition:
EAP-FASTでは、次のPRFの形式と定義を使います。
T-PRF = F(key, label, seed, outputlength)
T-PRF = F(key, label, seed, outputlength)
Where label is intended to be a unique label for each different use of the T-PRF. The outputlength parameter is a two-octet value that is represented in big endian order. Also note that the seed value may be optional and may be omitted as in the case of the MSK derivation described in Section 5.4.
labelは、T-PRFを用途ごとに使い分けるための一意なラベルです。outputlengthパラメーターは2オクテット値で、ビッグエンディアンで表します。seed値は省略可能であり、セクション5.4のMSK導出のように省略できます。
To generate the desired outputlength octets of key material, the T-PRF is calculated as follows:
必要な長さの鍵素材をoutputlengthオクテット生成するため、T-PRFを次のように計算します。
S = label + 0x00 + seed
T-PRF output = T1 + T2 + T3 + ... + Tn
T1 = HMAC-SHA1 (key, S + outputlength + 0x01)
T2 = HMAC-SHA1 (key, T1 + S + outputlength + 0x02)
T3 = HMAC-SHA1 (key, T2 + S + outputlength + 0x03)
Tn = HMAC-SHA1 (key, Tn-1 + S + outputlength + 0xnn)
where '+' indicates concatenation. Each Ti generates 20-octets of keying material. The last Tn may be truncated to accommodate the desired length specified by outputlength.
ここで「+」は連結を表します。各Tiは20オクテットの鍵素材を生成します。最後のTnは、outputlengthで指定した長さに合わせて切り詰めることがあります。
This section provides guidance to the Internet Assigned Numbers Authority (IANA) regarding registration of values related to the EAP-FAST protocol, in accordance with BCP 26, [RFC2434].
本節では、BCP 26および[RFC2434]に従い、EAP-FASTプロトコルに関連する値の登録についてInternet Assigned Numbers Authority（IANA）に指針を示します。
EAP-FAST has already been assigned the EAP Method Type number 43.
EAP-FASTにはEAP Method Type番号43がすでに割り当てられています。
The document defines a registry for EAP-FAST TLV types, which may be assigned by Specification Required as defined in [RFC2434]. Section 4.2 defines the TLV types that initially populate the registry. A summary of the EAP-FAST TLV types is given below:
本書はEAP-FAST TLV Typeのレジストリを定義します。各値は[RFC2434]で定義するSpecification Required方式で割り当てられます。セクション4.2では、レジストリの初期値となるTLV Typeを定義しています。EAP-FAST TLV Typeの概要を以下に示します。
0 Reserved
1 Reserved
2 Reserved
3 Result TLV
4 NAK TLV
5 Error TLV
7 Vendor-Specific TLV
9 EAP-Payload TLV
10 Intermediate-Result TLV
11 PAC TLV [EAP-PROV]
12 Crypto-Binding TLV
18 Server-Trusted-Root TLV [EAP-PROV]
19 Request-Action TLV
20 PKCS#7 TLV [EAP-PROV]
The Error-TLV defined in Section 4.2.4 requires an error-code. EAP-FAST Error-TLV error-codes are assigned based on specifications required as defined in [RFC2434]. The initial list of error codes is as follows:
セクション4.2.4で定義するError-TLVにはError-Codeが必要です。EAP-FAST Error-TLVのError-Codeは、[RFC2434]で定義するSpecification Required方式に基づいて割り当てます。初期のエラーコードを以下に示します。
2001 Tunnel_Compromise_Error
2001 Tunnel_Compromise_Error
2002 Unexpected_TLVs_Exchanged
2002 Unexpected_TLVs_Exchanged
The Request-Action TLV defined in Section 4.2.9 contains an action code which is assigned on a specification required basis as defined in [RFC2434]. The initial actions defined are:
セクション4.2.9で定義するRequest-Action TLVにはaction codeが含まれます。このコードは[RFC2434]で定義するSpecification Required方式で割り当てます。初期のactionを以下に示します。
1 Process-TLV
1 Process-TLV
2 Negotiate-EAP
2 Negotiate-EAP
The various values under Vendor-Specific TLV are assigned by Private Use and do not need to be assigned by IANA.
Vendor-Specific TLV内の各値はPrivate Useとして割り当てられるため、IANAによる割り当ては不要です。
EAP-FAST is designed with a focus on wireless media, where the medium itself is inherent to eavesdropping. Whereas in wired media, an attacker would have to gain physical access to the wired medium; wireless media enables anyone to capture information as it is transmitted over the air, enabling passive attacks. Thus, physical security can not be assumed and security vulnerabilities are far greater. The threat model used for the security evaluation of EAP-FAST is defined in the EAP [RFC3748].
EAP-FASTは、無線媒体自体が盗聴にさらされることを踏まえ、無線環境を重視して設計されています。有線媒体では、攻撃者は媒体に物理的にアクセスしなければなりませんが、無線媒体では、誰でも空中を伝送される情報を取得して受動攻撃を行えます。そのため物理的な安全性を前提にできず、セキュリティ上の脆弱性は大幅に高まります。EAP-FASTのセキュリティ評価に使う脅威モデルはEAP [RFC3748]で定義されています。
EAP-FAST as a whole, provides message and integrity protection by establishing a secure tunnel for protecting the authentication method(s). The confidentiality and integrity protection is defined by TLS and provides the same security strengths afforded by TLS employing a strong entropy shared master secret. The integrity of the key generating authentication methods executed within the EAP-FAST tunnel is verified through the calculation of the Crypto-Binding TLV. This ensures that the tunnel endpoints are the same as the inner method endpoints.
EAP-FAST全体として、認証方式を保護するセキュアトンネルを確立し、メッセージを保護するとともに完全性を確保します。機密性と完全性の保護はTLSで定義されており、強いエントロピーを持つ共有マスターシークレットを使うTLSと同等のセキュリティ強度を提供します。EAP-FASTトンネル内で実行する鍵生成型認証方式の完全性は、Crypto-Binding TLVの計算によって検証されます。これにより、トンネルの端点と内側の方式の端点が同一であることを確認します。
The Result TLV is protected and conveys the true Success or Failure of EAP-FAST, and should be used as the indicator of its success or failure respectively. However, as EAP must terminate with a clear text EAP Success or Failure, a peer will also receive a clear text EAP Success or Failure. The received clear text EAP success or failure must match that received in the Result TLV; the peer SHOULD silently discard those clear text EAP Success or Failure messages that do not coincide with the status sent in the protected Result TLV.
Result TLVは保護されており、EAP-FASTの実際の成功または失敗を伝えるため、それぞれ成功または失敗を示すものとして使うべきです。ただし、EAPは平文のEAP SuccessまたはEAP Failureで終了しなければならないため、ピアは平文のEAP SuccessまたはEAP Failureも受信します。受信した平文のEAP SuccessまたはEAP Failureは、Result TLVで受信した結果と一致しなければなりません。ピアは、保護されたResult TLVが示す状態と一致しない平文のEAP SuccessまたはEAP Failureメッセージを黙って破棄すべきです (SHOULD)。
As is true for any negotiated EAP protocol, NAK packets used to suggest an alternate authentication method are sent unprotected and as such, are subject to spoofing. During unprotected EAP method negotiation, NAK packets may be interjected as active attacks to negotiate down to a weaker form of authentication, such as EAP-MD5 (which only provides one-way authentication and does not derive a key). Both the peer and server should have a method selection policy that prevents them from negotiating down to weaker methods. Inner method negotiation resists attacks because it is protected by the mutually authenticated TLS tunnel established. Selection of EAP-FAST as an authentication method does not limit the potential inner authentication methods, so EAP-FAST should be selected when available.
交渉型のEAPプロトコル全般と同様に、別の認証方式を提案するNAKパケットは保護されずに送信されるため、なりすましの対象になります。保護されていないEAP方式のネゴシエーション中に、NAKパケットを挿入する能動攻撃によって、EAP-MD5のような弱い認証方式へダウングレードされるおそれがあります（EAP-MD5は一方向認証のみを提供し、鍵を導出しません）。ピアとサーバーの双方は、弱い方式へのダウングレードを防ぐ方式選択ポリシーを持つべきです。確立済みの相互認証TLSトンネルが内側の方式のネゴシエーションを保護するため、このネゴシエーションは攻撃に耐えます。認証方式としてEAP-FASTを選んでも、利用できる内側の認証方式は制限されないため、利用可能な場合はEAP-FASTを選ぶべきです。
An attacker cannot readily determine the inner EAP method used, except perhaps by traffic analysis. It is also important that peer implementations limit the use of credentials with an unauthenticated or unauthorized server.
攻撃者は、トラフィック分析を除けば、使用された内側のEAP方式を容易には特定できません。また、ピアの実装では、未認証または未認可のサーバーに対する資格情報の使用を制限することも重要です。
Separation of the EAP-FAST Phase 1 from the Phase 2 conversation is not recommended. Allowing the Phase 1 conversation to be terminated at a different server than the Phase 2 conversation can introduce vulnerabilities if there is not a proper trust relationship and protection for the protocol between the two servers. Some vulnerabilities include:
EAP-FASTのフェーズ1とフェーズ2のやり取りを分離することは推奨されません。フェーズ1のやり取りをフェーズ2とは別のサーバーで終了させると、2つのサーバー間に適切な信頼関係がなく、プロトコルが保護されていない場合に脆弱性が生じるおそれがあります。脆弱性の例を以下に示します。
o Loss of identity protection o Offline dictionary attacks o Lack of policy enforcement
o ID保護の喪失 o オフライン辞書攻撃 o ポリシー適用の欠如
There may be cases where a trust relationship exists between the Phase 1 and Phase 2 servers, such as on a campus or between two offices within the same company, where there is no danger in revealing the inner identity and credentials of the peer to entities between the two servers. In these cases, using a proxy solution without end-to-end protection of EAP-FAST MAY be used. The EAP-FAST encrypting/decrypting gateway SHOULD, at a minimum, provide support for IPsec or similar protection in order to provide confidentiality for the portion of the conversation between the gateway and the EAP server.
フェーズ1サーバーとフェーズ2サーバーの間に信頼関係がある場合もあります。たとえば、キャンパス内や同じ会社の2つのオフィス間では、2台のサーバー間にいる第三者へピアの内側のIDや資格情報が知られても危険がないことがあります。そのような場合、EAP-FASTのエンドツーエンド保護を使わないプロキシ方式を使ってもかまいません (MAY)。EAP-FASTの暗号化・復号ゲートウェイは、ゲートウェイとEAPサーバー間の通信の機密性を確保するため、少なくともIPsecまたは同等の保護をサポートすべきです (SHOULD)。
EAP-FAST addresses the known deficiencies and weaknesses in the EAP method. By employing a shared secret between the peer and server to establish a secured tunnel, EAP-FAST enables:
EAP-FASTは、EAP方式の既知の欠陥や弱点に対処します。ピアとサーバーの間で共有シークレットを使ってセキュアトンネルを確立することで、EAP-FASTは次の機能を実現します。
o Per packet confidentiality and integrity protection o User identity protection o Better support for notification messages o Protected EAP inner method negotiation o Sequencing of EAP methods o Strong mutually derived master session keys o Acknowledged success/failure indication o Faster re-authentications through session resumption o Mitigation of dictionary attacks o Mitigation of man-in-the-middle attacks o Mitigation of some denial-of-service attacks
o パケットごとの機密性と完全性の保護 o ユーザーIDの保護 o 通知メッセージのサポート強化 o 保護されたEAP内側方式のネゴシエーション o EAP方式の実行順序の管理 o 相互に導出した強固なマスターセッション鍵 o 成功・失敗の確認応答 o セッション再開による高速な再認証 o 辞書攻撃の緩和 o 中間者攻撃の緩和 o 一部のサービス拒否攻撃の緩和
It should be noted that with EAP-FAST, as in many other authentication protocols, a denial-of-service attack can be mounted by adversaries sending erroneous traffic to disrupt the protocol. This is a problem in many authentication or key agreement protocols and is therefore noted for EAP-FAST as well.
EAP-FASTを含む多くの認証プロトコルでは、攻撃者が誤ったトラフィックを送信してプロトコルを妨害し、サービス拒否攻撃を仕掛けることができます。これは多くの認証プロトコルや鍵合意プロトコルに共通する問題であり、EAP-FASTについても記しておきます。
EAP-FAST was designed with a focus on protected authentication methods that typically rely on weak credentials, such as password-based secrets. To that extent, the EAP-FAST Authentication mitigates several vulnerabilities, such as dictionary attacks, by protecting the weak credential-based authentication method. The protection is based on strong cryptographic algorithms in TLS to provide message confidentiality and integrity. The keys derived for the protection relies on strong random challenges provided by both peer and server as well as an established key with strong entropy. Implementations should follow the recommendation in [RFC4086] when generating random numbers.
EAP-FASTは、パスワードベースのシークレットのような、通常は強度の低い資格情報に依存する認証方式を保護することを重視して設計されました。そのため、EAP-FAST認証は、強度の低い資格情報に基づく認証方式を保護し、辞書攻撃など複数の脆弱性を緩和します。この保護ではTLSの強力な暗号アルゴリズムを用いて、メッセージの機密性と完全性を確保します。保護に使う鍵の導出は、ピアとサーバーの双方が与える強力なランダムチャレンジと、十分なエントロピーを持つ確立済みの鍵に依存します。実装は、乱数の生成時に[RFC4086]の推奨事項に従うべきです。
The initial identity request response exchange is sent in cleartext outside the protection of EAP-FAST. Typically the Network Access Identifier (NAI) [RFC4282] in the identity response is useful only for the realm information that is used to route the authentication requests to the right EAP server. This means that the identity response may contain an anonymous identity and just contain realm information. In other cases, the identity exchange may be eliminated altogether if there are other means for establishing the destination realm of the request. In no case should an intermediary place any trust in the identity information in the identity response since it is unauthenticated an may not have any relevance to the authenticated identity. EAP-FAST implementations should not attempt to compare any identity disclosed in the initial cleartext EAP Identity response packet with those Identities authenticated in Phase 2
最初のIdentity要求と応答のやり取りは、EAP-FASTによる保護の外で平文送信されます。通常、Identity応答に含まれるNetwork Access Identifier（NAI）[RFC4282]は、認証要求を適切なEAPサーバーへルーティングするためのレルム情報としてのみ役立ちます。そのため、Identity応答には匿名IDとレルム情報だけを含めることがあります。要求の宛先となるレルムを確定する別の手段があれば、Identityのやり取り自体を省略することもあります。いかなる場合も、仲介者はIdentity応答のID情報を信頼してはなりません。この情報は認証されておらず、認証済みIDと関係がない可能性があるためです。EAP-FASTの実装は、最初の平文EAP Identity応答パケットで開示されたIDと、フェーズ2で認証されたIDを比較すべきではありません。
Identity request-response exchanges sent after the EAP-FAST tunnel is established are protected from modification and eavesdropping by attackers.
EAP-FASTトンネルの確立後に送信するIdentity要求と応答のやり取りは、攻撃者による改変や盗聴から保護されます。
Note that since TLS client certificates are sent in the clear, if identity protection is required, then it is possible for the TLS authentication to be re-negotiated after the first server authentication. To accomplish this, the server will typically not request a certificate in the server_hello, then after the server_finished message is sent, and before EAP-FAST Phase 2, the server MAY send a TLS hello_request. This allows the client to perform client authentication by sending a client_hello if it wants to, or send a no_renegotiation alert to the server indicating that it wants to continue with EAP-FAST Phase 2 instead. Assuming that the client permits renegotiation by sending a client_hello, then the server will respond with server_hello, a certificate and certificate_request messages. The client replies with certificate, client_key_exchange and certificate_verify messages. Since this re-negotiation occurs within the encrypted TLS channel, it does not reveal client certificate details. It is possible to perform certificate authentication using an EAP method (for example: EAP-TLS) within the TLS session in EAP-FAST Phase 2 instead of using TLS handshake renegotiation.
TLSクライアント証明書は平文で送信されるため、ID保護が必要な場合は、最初のサーバー認証後にTLS認証を再ネゴシエートできます。通常、サーバーはserver_helloで証明書を要求しません。その後、server_finishedメッセージの送信後かつEAP-FASTフェーズ2の開始前に、サーバーはTLS hello_requestを送信してもかまいません (MAY)。クライアントはclient_helloを送信してクライアント認証を行うか、no_renegotiationアラートをサーバーに送信して、代わりにEAP-FASTフェーズ2を続ける意思を示せます。クライアントがclient_helloを送信して再ネゴシエーションを許可すると、サーバーはserver_hello、certificate、certificate_requestの各メッセージで応答します。クライアントはcertificate、client_key_exchange、certificate_verifyの各メッセージで応答します。この再ネゴシエーションは暗号化されたTLSチャネル内で行われるため、クライアント証明書の詳細は漏えいしません。TLSハンドシェイクの再ネゴシエーションに代えて、EAP-FASTフェーズ2のTLSセッション内でEAP方式（例：EAP-TLS）を使って証明書認証を行うこともできます。
EAP-FAST was designed with a focus on protected authentication methods that typically rely on weak credentials, such as password-based secrets. EAP-FAST mitigates dictionary attacks by allowing the establishment of a mutually authenticated encrypted TLS tunnel providing confidentiality and integrity to protect the weak credential based authentication method.
EAP-FASTは、パスワードベースのシークレットのような、通常は強度の低い資格情報に依存する認証方式を保護することを重視して設計されました。EAP-FASTは、相互認証された暗号化TLSトンネルを確立し、そのトンネルで機密性と完全性を確保して、強度の低い資格情報に基づく認証方式を保護することで辞書攻撃を緩和します。
Allowing methods to be executed both with and without the protection of a secure tunnel opens up a possibility of a man-in-the-middle attack. To avoid man-in-the-middle attacks it is recommended to always deploy authentication methods with protection of EAP-FAST. EAP-FAST provides protection from man-in-the-middle attacks even if a deployment chooses to execute inner EAP methods both with and without EAP-FAST protection, EAP-FAST prevents this attack in two ways: 1. By using the PAC-Key to mutually authenticate the peer and server during EAP-FAST Authentication Phase 1 establishment of a secure tunnel.
セキュアトンネルによる保護の有無を問わず方式を実行できるようにすると、中間者攻撃を受ける可能性が生じます。中間者攻撃を避けるため、認証方式は常にEAP-FASTで保護して展開することが推奨されています。展開時にEAP-FASTによる保護の有無を問わず内側のEAP方式を実行する場合でも、EAP-FASTは次の2つの方法で中間者攻撃を防ぎます。1. セキュアトンネルを確立するEAP-FAST認証フェーズ1でPAC-Keyを使い、ピアとサーバーを相互認証します。
2. By using the keys generated by the inner authentication method (if the inner methods are key generating) in the crypto-binding exchange and in the generation of the key material exported by the EAP method described in Section 5.
2. 内側の認証方式が鍵を生成する場合、その鍵を暗号結合のやり取りと、セクション5で説明するEAP方式がエクスポートする鍵素材の生成に使います。
A PAC may be bound to a user identity. A compliant implementation of EAP-FAST MUST validate that an identity obtained in the PAC-Opaque field matches at minimum one of the identities provided in the EAP-FAST Phase 2 authentication method. This validation provides another binding to ensure that the intended peer (based on identity) has successfully completed the EAP-FAST Phase 1 and proved identity in the Phase 2 conversations.
PACをユーザーIDに結び付けることがあります。EAP-FAST準拠の実装は、PAC-Opaqueフィールドから得たIDが、EAP-FASTフェーズ2の認証方式で提示されたIDの少なくとも1つと一致することを検証しなければなりません (MUST)。この検証によって、意図したピアがEAP-FASTフェーズ1を完了し、フェーズ2のやり取りで自身のIDを証明したことを、さらに確実に結び付けます。
EAP Success and EAP Failure packets are, in general, sent in clear text and may be forged by an attacker without detection. Forged EAP Failure packets can be used to attempt to convince an EAP peer to disconnect. Forged EAP Success packets may be used to attempt to convince a peer that authentication has succeeded, even though the authenticator has not authenticated itself to the peer.
EAP SuccessおよびEAP Failureパケットは通常、平文で送信されるため、攻撃者が検出されずに偽造できます。偽造したEAP Failureパケットを使い、EAPピアを切断させようとすることがあります。偽造したEAP Successパケットを使い、認証器がピアに対して自身を認証していないにもかかわらず、認証に成功したとピアに信じ込ませようとすることもあります。
By providing message confidentiality and integrity, EAP-FAST provides protection against these attacks. Once the peer and AS initiate the EAP-FAST Authentication Phase 2, compliant EAP-FAST implementations must silently discard all clear text EAP messages, unless both the EAP-FAST peer and server have indicated success or failure using a protected mechanism. Protected mechanisms include TLS alert mechanism and the protected termination mechanism described in Section 3.3.2.
EAP-FASTはメッセージの機密性と完全性を確保し、これらの攻撃から保護します。ピアとASがEAP-FAST認証フェーズ2を開始した後は、EAP-FASTのピアとサーバーの双方が保護された手段で成功または失敗を示さない限り、準拠するEAP-FAST実装はすべての平文EAPメッセージを黙って破棄しなければなりません。保護された手段には、TLSアラート機構とセクション3.3.2で説明する保護された終了機構があります。
The success/failure decisions within the EAP-FAST tunnel indicate the final decision of the EAP-FAST authentication conversation. After a success/failure result has been indicated by a protected mechanism, the EAP-FAST peer can process unprotected EAP success and EAP failure messages; however the peer MUST ignore any unprotected EAP success or failure messages where the result does not match the result of the protected mechanism.
EAP-FASTトンネル内で示される成功または失敗の判定は、EAP-FAST認証の最終判定です。保護された手段によって成功または失敗が示された後、EAP-FASTピアは保護されていないEAP SuccessおよびEAP Failureメッセージを処理できます。ただし、ピアは、保護された手段の結果と一致しない保護されていないEAP SuccessまたはEAP Failureメッセージを無視しなければなりません (MUST)。
To abide by [RFC3748], the server must send a clear text EAP Success or EAP Failure packet to terminate the EAP conversation. However, since EAP Success and EAP Failure packets are not retransmitted, the final packet may be lost. While an EAP-FAST protected EAP Success or EAP Failure packet should not be a final packet in an EAP-FAST conversation, it may occur based on the conditions stated above, so an EAP peer should not rely upon the unprotected EAP success and failure messages.
[RFC3748]に従い、サーバーはEAPのやり取りを終了するために、平文のEAP SuccessまたはEAP Failureパケットを送信する必要があります。ただし、EAP SuccessおよびEAP Failureパケットは再送されないため、最後のパケットが失われることがあります。EAP-FASTで保護されたEAP SuccessまたはEAP Failureパケットは、EAP-FASTのやり取りにおける最後のパケットであるべきではありませんが、前述の条件によってそうなる場合があります。そのため、EAPピアは保護されていないEAP SuccessおよびEAP Failureメッセージに依存すべきではありません。
As part of the TLS negotiation, the server presents a certificate to the peer. The peer MUST verify the validity of the EAP server certificate, and SHOULD also examine the EAP server name presented in the certificate, in order to determine whether the EAP server can be trusted. Please note that in the case where the EAP authentication is remote, the EAP server will not reside on the same machine as the authenticator, and therefore the name in the EAP server's certificate cannot be expected to match that of the intended destination. In this case, a more appropriate test might be whether the EAP server's certificate is signed by a CA controlling the intended domain and whether the authenticator can be authorized by a server in that domain.
TLSネゴシエーションの一環として、サーバーはピアに証明書を提示します。ピアはEAPサーバー証明書の有効性を検証しなければならず (MUST)、EAPサーバーを信頼できるか判断するため、証明書に示されたEAPサーバー名も確認すべきです (SHOULD)。EAP認証をリモートで行う場合、EAPサーバーは認証器と同じマシン上にないため、EAPサーバー証明書の名前が意図した宛先の名前と一致するとは限らない点に注意してください。この場合、より適切な検査は、EAPサーバー証明書が意図したドメインを管理するCAによって署名されているか、また、そのドメイン内のサーバーが認証器を認可できるかを確認することです。
Since the Tunnel PAC is stored by the peer, special care should be given to the overall security of the peer. The Tunnel PAC must be securely stored by the peer to prevent theft or forgery of any of the Tunnel PAC components.
Tunnel PACはピアに保存されるため、ピア全体のセキュリティに特別な注意を払う必要があります。Tunnel PACの各構成要素が盗まれたり偽造されたりしないよう、ピアはTunnel PACを安全に保存する必要があります。
In particular, the peer must securely store the PAC-Key and protect it from disclosure or modification. Disclosure of the PAC-Key enables an attacker to establish the EAP-FAST tunnel; however, disclosure of the PAC-Key does not reveal the peer or server identity or compromise any other peer's PAC credentials. Modification of the PAC-Key or PAC-Opaque components of the Tunnel PAC may also lead to denial of service as the tunnel establishment will fail.
特に、ピアはPAC-Keyを安全に保存し、開示や改変から保護する必要があります。PAC-Keyが開示されると攻撃者がEAP-FASTトンネルを確立できますが、ピアやサーバーのIDが明らかになることも、他のピアのPAC資格情報が危険にさらされることもありません。Tunnel PACのPAC-KeyまたはPAC-Opaqueを改変すると、トンネルを確立できず、サービス拒否につながることがあります。
The PAC-Info may contain information about the Tunnel PAC such as the identity of the PAC issuer and the Tunnel PAC lifetime for use in the management of the Tunnel PAC. The PAC-Info should be securely stored by the peer to protect it from disclosure and modification.
PAC-Infoには、Tunnel PACの管理に用いるPAC発行者のIDやTunnel PACの有効期間などの情報が含まれることがあります。開示や改変を防ぐため、ピアはPAC-Infoを安全に保存すべきです。
This section provides the needed security claim requirement for EAP [RFC3748].
本節では、EAP [RFC3748]が求めるセキュリティ上の主張要件を示します。
Auth. mechanism: Certificate based, shared secret based and
various tunneled authentication mechanisms.
Ciphersuite negotiation: Yes
Mutual authentication: Yes
Integrity protection: Yes, Any method executed within the EAP-FAST
tunnel is integrity protected. The
cleartext EAP headers outside the tunnel are
not integrity protected.
Replay protection: Yes
Confidentiality: Yes
Key derivation: Yes
Key strength: See Note 1 below.
Dictionary attack prot.: Yes
Fast reconnect: Yes
Cryptographic binding: Yes
Session independence: Yes
Fragmentation: Yes
Key Hierarchy: Yes
Channel binding: No, but TLVs could be defined for this.
Notes
注記
1. BCP 86 [RFC3766] offers advice on appropriate key sizes. The National Institute for Standards and Technology (NIST) also offers advice on appropriate key sizes in [NIST.SP800-57]. [RFC3766] Section 5 advises use of the following required RSA or DH module and DSA subgroup size in bits, for a given level of attack resistance in bits. Based on the table below, a 2048-bit RSA key is required to provide 128-bit equivalent key strength:
Attack Resistance RSA or DH Modulus DSA subgroup
(bits) size (bits) size (bits)
----------------- ----------------- ------------
70 947 129
80 1228 148
90 1553 167
100 1926 186
150 4575 284
200 8719 383
250 14596 482
The EAP-FAST design and protocol specification is based on the ideas and hard efforts of Pad Jakkahalli, Mark Krischer, Doug Smith, and Glen Zorn of Cisco Systems, Inc.
EAP-FASTの設計とプロトコル仕様は、Cisco Systems, Inc.のPad Jakkahalli、Mark Krischer、Doug Smith、Glen Zornによる着想と尽力に基づいています。
The TLV processing was inspired from work on the Protected Extensible Authentication Protocol version 2 (PEAPv2) with Ashwin Palekar, Dan Smith, and Simon Josefsson. Helpful review comments were provided by Russ Housley, Jari Arkko, Bernard Aboba, Ilan Frenkel, and Jeremy Steiglitz.
TLV処理は、Ashwin Palekar、Dan Smith、Simon Josefssonが取り組んだProtected Extensible Authentication Protocol version 2（PEAPv2）の作業に着想を得ています。Russ Housley、Jari Arkko、Bernard Aboba、Ilan Frenkel、Jeremy Steiglitzから有益なレビューコメントをいただきました。
[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFC2246] Dierks, T. and C. Allen, "The TLS Protocol Version 1.0", RFC 2246, January 1999.
[RFC2246] Dierks, T. and C. Allen, "The TLS Protocol Version 1.0", RFC 2246, January 1999.
[RFC2434] Narten, T. and H. Alvestrand, "Guidelines for Writing an IANA Considerations Section in RFCs", BCP 26, RFC 2434, October 1998.
[RFC2434] Narten, T. and H. Alvestrand, "Guidelines for Writing an IANA Considerations Section in RFCs", BCP 26, RFC 2434, October 1998.
[RFC3268] Chown, P., "Advanced Encryption Standard (AES) Ciphersuites for Transport Layer Security (TLS)", RFC 3268, June 2002.
[RFC3268] Chown, P., "Advanced Encryption Standard (AES) Ciphersuites for Transport Layer Security (TLS)", RFC 3268, June 2002.
[RFC3748] Aboba, B., Blunk, L., Vollbrecht, J., Carlson, J., and H. Levkowetz, "Extensible Authentication Protocol (EAP)", RFC 3748, June 2004.
[RFC3748] Aboba, B., Blunk, L., Vollbrecht, J., Carlson, J., and H. Levkowetz, "Extensible Authentication Protocol (EAP)", RFC 3748, June 2004.
[RFC4346] Dierks, T. and E. Rescorla, "The Transport Layer Security (TLS) Protocol Version 1.1", RFC 4346, April 2006.
[RFC4346] Dierks, T. and E. Rescorla, "The Transport Layer Security (TLS) Protocol Version 1.1", RFC 4346, April 2006.
[RFC4507] Salowey, J., Zhou, H., Eronen, P., and H. Tschofenig, "Transport Layer Security (TLS) Session Resumption without Server-Side State", RFC 4507, May 2006.
[RFC4507] Salowey, J., Zhou, H., Eronen, P., and H. Tschofenig, "Transport Layer Security (TLS) Session Resumption without Server-Side State", RFC 4507, May 2006.
[EAP-PROV] Cam-Winget, N., "Dynamic Provisioning using EAP-FAST", Work in Progress, January 2007.
[EAP-PROV] Cam-Winget, N., "Dynamic Provisioning using EAP-FAST", Work in Progress, January 2007.
[IEEE.802-1X.2004] "Local and Metropolitan Area Networks: Port-Based Network Access Control", IEEE Standard 802.1X, December 2004.
[IEEE.802-1X.2004] "Local and Metropolitan Area Networks: Port-Based Network Access Control", IEEE Standard 802.1X, December 2004.
[NIST.SP800-57] National Institute of Standards and Technology, "Recommendation for Key Management", Special Publication 800-57, May 2006.
[NIST.SP800-57] National Institute of Standards and Technology, "Recommendation for Key Management", Special Publication 800-57, May 2006.
[RFC2716] Aboba, B. and D. Simon, "PPP EAP TLS Authentication Protocol", RFC 2716, October 1999.
[RFC2716] Aboba, B. and D. Simon, "PPP EAP TLS Authentication Protocol", RFC 2716, October 1999.
[RFC3280] Housley, R., Polk, W., Ford, W., and D. Solo, "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 3280, April 2002.
[RFC3280] Housley, R., Polk, W., Ford, W., and D. Solo, "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 3280, April 2002.
[RFC3579] Aboba, B. and P. Calhoun, "RADIUS (Remote Authentication Dial In User Service) Support For Extensible Authentication Protocol (EAP)", RFC 3579, September 2003.
[RFC3579] Aboba, B. and P. Calhoun, "RADIUS (Remote Authentication Dial In User Service) Support For Extensible Authentication Protocol (EAP)", RFC 3579, September 2003.
[RFC3766] Orman, H. and P. Hoffman, "Determining Strengths For Public Keys Used For Exchanging Symmetric Keys", BCP 86, RFC 3766, April 2004.
[RFC3766] Orman, H. and P. Hoffman, "Determining Strengths For Public Keys Used For Exchanging Symmetric Keys", BCP 86, RFC 3766, April 2004.
[RFC4072] Eronen, P., Hiller, T., and G. Zorn, "Diameter Extensible Authentication Protocol (EAP) Application", RFC 4072, August 2005.
[RFC4072] Eronen, P., Hiller, T., and G. Zorn, "Diameter Extensible Authentication Protocol (EAP) Application", RFC 4072, August 2005.
[RFC4086] Eastlake, D., Schiller, J., and S. Crocker, "Randomness Requirements for Security", BCP 106, RFC 4086, June 2005.
[RFC4086] Eastlake, D., Schiller, J., and S. Crocker, "Randomness Requirements for Security", BCP 106, RFC 4086, June 2005.
[RFC4282] Aboba, B., Beadles, M., Arkko, J., and P. Eronen, "The Network Access Identifier", RFC 4282, December 2005.
[RFC4282] Aboba, B., Beadles, M., Arkko, J., and P. Eronen, "The Network Access Identifier", RFC 4282, December 2005.
[RFC4630] Housley, R. and S. Santesson, "Update to DirectoryString Processing in the Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 4630, August 2006.
[RFC4630] Housley, R. and S. Santesson, "Update to DirectoryString Processing in the Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 4630, August 2006.
In the following examples the version field in EAP Fast is always assumed to be 1. The S, M, and L bits are assumed to be 0 unless otherwise specified.
以下の例では、EAP-FASTのversionフィールドは常に1とします。特に指定がない限り、S、M、Lの各ビットは0とします。
The following exchanges show a successful EAP-FAST authentication with optional PAC refreshment; the conversation will appear as follows:
以下に、任意のPAC更新を伴うEAP-FAST認証の成功例を示します。やり取りは次のようになります。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/
Identity
EAP-Response/
Identity (MyID1) ->
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello with
PAC-Opaque in SessionTicket extension)->
<- EAP-Request/EAP-FAST
(TLS server_hello,
TLS change_cipher_spec,
TLS finished)
EAP-Response/EAP-FAST
(TLS change_cipher_spec,
TLS finished) ->
TLS channel established
(Subsequent messages sent within the TLS channel,
encapsulated within EAP-FAST)
<- EAP Payload TLV
(EAP-Request/EAP-GTC(Challenge))
EAP Payload TLV (EAP-Response/
EAP-GTC(Response with both
user name and password)) ->
optional additional exchanges (new pin mode,
password change etc.) ...
<- Intermediate-Result TLV (Success)
Crypto-Binding TLV (Request)
Intermediate-Result TLV (Success)
Crypto-Binding TLV(Response) ->
<- Result TLV (Success)
[Optional PAC TLV]
Result TLV (Success)
[PAC TLV Acknowledgment] ->
TLS channel torn down
(messages sent in clear text)
<- EAP-Success
The following exchanges show a failed EAP-FAST authentication due to wrong user credentials; the conversation will appear as follows:
以下に、ユーザー資格情報の誤りによるEAP-FAST認証の失敗例を示します。やり取りは次のようになります。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/
Identity
EAP-Response/
Identity (MyID1) ->
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello with
PAC-Opaque in SessionTicket extension)->
<- EAP-Request/EAP-FAST
(TLS server_hello,
TLS change_cipher_spec,
TLS finished)
EAP-Response/EAP-FAST
(TLS change_cipher_spec,
TLS finished) ->
TLS channel established
(Subsequent messages sent within the TLS channel,
encapsulated within EAP-FAST)
<- EAP Payload TLV (EAP-Request/
EAP-GTC (Challenge))
EAP Payload TLV (EAP-Response/
EAP-GTC (Response with both
user name and password)) ->
<- EAP Payload TLV (EAP-Request/
EAP-GTC (error message))
EAP Payload TLV (EAP-Response/
EAP-GTC (empty data packet to
acknowledge unrecoverable error)) ->
<- Result TLV (Failure)
Result TLV (Failure) ->
TLS channel torn down
(messages sent in clear text)
<- EAP-Failure
In the case where an abbreviated TLS handshake is tried and failed, and a fallback to certificate-based full TLS handshake occurs within EAP-FAST Phase 1, the conversation will appear as follows:
短縮TLSハンドシェイクを試みて失敗し、EAP-FASTフェーズ1内で証明書ベースの完全なTLSハンドシェイクにフォールバックする場合、やり取りは次のようになります。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/Identity
EAP-Response/
Identity (MyID1) ->
// Identity sent in the clear. May be a hint to help route
the authentication request to EAP server, instead of the
full user identity.
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello
with PAC-Opaque extension)->
// Peer sends PAC-Opaque of Tunnel PAC along with a list of
ciphersuites supported. If the server rejects the PAC-
Opaque, it falls through to the full TLS handshake
<- EAP-Request/EAP-FAST
(TLS server_hello,
TLS certificate,
[TLS server_key_exchange,]
[TLS certificate_request,]
TLS server_hello_done)
EAP-Response/EAP-FAST
([TLS certificate,]
TLS client_key_exchange,
[TLS certificate_verify,]
TLS change_cipher_spec,
TLS finished) ->
<- EAP-Request/EAP-FAST
(TLS change_cipher_spec,
TLS finished,
EAP-Payload-TLV
(EAP-Request/Identity))
// TLS channel established
(Subsequent messages sent within the TLS channel,
encapsulated within EAP-FAST)
// First EAP Payload TLV is piggybacked to the TLS Finished as
Application Data and protected by the TLS tunnel
EAP-Payload-TLV
(EAP-Response/Identity (MyID2))->
// identity protected by TLS.
<- EAP-Payload-TLV
(EAP-Request/Method X)
EAP-Payload-TLV
(EAP-Response/Method X) ->
// Method X exchanges followed by Protected Termination
<- Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
Result TLV (Success)
Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
Result-TLV (Success) ->
// TLS channel torn down
(messages sent in clear text)
<- EAP-Success
In the case where a certificate-based TLS handshake occurs within EAP-FAST Phase 1, and client certificate authentication and identity privacy is desired, the conversation will appear as follows:
EAP-FASTフェーズ1内で証明書ベースのTLSハンドシェイクを行い、クライアント証明書認証とID秘匿を実現する場合、やり取りは次のようになります。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/Identity
EAP-Response/
Identity (MyID1) ->
// Identity sent in the clear. May be a hint to help route
the authentication request to EAP server, instead of the
full user identity.
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello)->
<- EAP-Request/EAP-FAST
(TLS server_hello,
TLS certificate,
[TLS server_key_exchange,]
[TLS certificate_request,]
TLS server_hello_done)
EAP-Response/EAP-FAST
(TLS client_key_exchange,
TLS change_cipher_spec,
TLS finished) ->
<- EAP-Request/EAP-FAST
(TLS change_cipher_spec,
TLS finished,TLS Hello-Request)
// TLS channel established
(Subsequent messages sent within the TLS channel,
encapsulated within EAP-FAST)
// TLS Hello-Request is piggybacked to the TLS Finished as
Handshake Data and protected by the TLS tunnel
// Subsequent messages are protected by the TLS Tunnel
EAP-Response/EAP-FAST
(TLS client_hello) ->
<- EAP-Request/EAP-FAST
(TLS server_hello,
TLS certificate,
[TLS server_key_exchange,]
[TLS certificate_request,]
TLS server_hello_done)
EAP-Response/EAP-FAST
([TLS certificate,]
TLS client_key_exchange,
[TLS certificate_verify,]
TLS change_cipher_spec,
TLS finished) ->
<- EAP-Request/EAP-FAST
(TLS change_cipher_spec,
TLS finished,
Result TLV (Success))
EAP-Response/EAP-FAST
(Result-TLV (Success)) ->
//TLS channel torn down
(messages sent in clear text)
<- EAP-Success
In the case where EAP-FAST fragmentation is required, the conversation will appear as follows:
EAP-FASTでフラグメンテーションが必要な場合、やり取りは次のようになります。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/
Identity
EAP-Response/
Identity (MyID) ->
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello)->
<- EAP-Request/EAP-FAST
(L=1,M=1, TLS server_hello,
TLS certificate,
[TLS server_key_exchange,]
[TLS certificate_request,])
EAP-Response/EAP-FAST ->
<- EAP-Request/EAP-FAST
(M=1,
[TLS certificate_request(con't),])
EAP-Response/EAP-FAST ->
<- EAP-Request/EAP-FAST
([TLS certificate_request(con't),]
TLS server_hello_done)
EAP-Response/EAP-FAST,
(L=1,M=1,[TLS certificate,])->
<- EAP-Request/EAP-FAST
EAP-Response/EAP-FAST
([TLS certificate(con't),]
TLS client_key_exchange,
[TLS certificate_verify,]
TLS change_cipher_spec,
TLS finished))->
<- EAP-Request/EAP-FAST
( TLS change_cipher_spec,
TLS finished,
EAP-Payload-TLV
(EAP-Request/Identity))
// TLS channel established
(Subsequent messages sent within the TLS channel,
encapsulated within EAP-FAST)
// First EAP Payload TLV is piggybacked to the TLS Finished as
Application Data and protected by the TLS tunnel
EAP-Payload-TLV
(EAP-Response/Identity (MyID2))->
// identity protected by TLS.
<- EAP-Payload-TLV
(EAP-Request/Method X)
EAP-Payload-TLV
(EAP-Response/Method X) ->
// Method X exchanges followed by Protected Termination
<- Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
Result TLV (Success)
Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
Result-TLV (Success) ->
// TLS channel torn down
(messages sent in clear text)
<- EAP-Success
Where EAP-FAST is negotiated, with a sequence of EAP method X followed by method Y, the conversation will occur as follows:
EAP-FASTがネゴシエートされ、EAP方式Xの後に方式Yを実行する場合、やり取りは次のようになります。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/
Identity
EAP-Response/
Identity (MyID1) ->
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello)->
<- EAP-Request/EAP-FAST
(TLS server_hello,
TLS certificate,
[TLS server_key_exchange,]
[TLS certificate_request,]
TLS server_hello_done)
EAP-Response/EAP-FAST
([TLS certificate,]
TLS client_key_exchange,
[TLS certificate_verify,]
TLS change_cipher_spec,
TLS finished) ->
<- EAP-Request/EAP-FAST
(TLS change_cipher_spec,
TLS finished,
EAP-Payload-TLV(
EAP-Request/Identity))
// TLS channel established
(Subsequent messages sent within the TLS channel,
encapsulated within EAP-FAST)
// First EAP Payload TLV is piggybacked to the TLS Finished as
Application Data and protected by the TLS tunnel
EAP-Payload-TLV
(EAP-Response/Identity) ->
<- EAP-Payload-TLV
(EAP-Request/Method X)
EAP-Payload-TLV
(EAP-Response/Method X) ->
// Optional additional X Method exchanges...
<- EAP-Payload-TLV
(EAP-Request/Method X)
EAP-Payload-TLV
(EAP-Response/EAP-Type X)->
<- Intermediate Result TLV (Success),
Crypto-Binding TLV (Version=1
EAP-FAST Version=1, Nonce,
CompoundMAC),
EAP Payload TLV (EAP-Request/Method Y)
// Next EAP conversation started after successful completion
of previous method X. The Intermediate-Result and Crypto-
Binding TLVs are sent in this packet to minimize round-
trips. In this example, identity request is not sent
before negotiating EAP-Type=Y.
// Compound MAC calculated using Keys generated from
EAP methods X and the TLS tunnel.
Intermediate Result TLV (Success),
Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
EAP-Payload-TLV (EAP-Response/Method Y) ->
// Optional additional Y Method exchanges...
<- EAP Payload TLV
(EAP-Request/Method Y)
EAP Payload TLV
(EAP-Response/Method Y) ->
<- Intermediate-Result-TLV (Success),
Crypto-Binding TLV (Version=1
EAP-FAST Version=1, Nonce,
CompoundMAC),
Result TLV (Success)
Intermediate-Result-TLV (Success),
Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
Result-TLV (Success) ->
// Compound MAC calculated using Keys generated from EAP
methods X and Y and the TLS tunnel. Compound Keys
generated using Keys generated from EAP methods X and Y;
and the TLS tunnel.
// TLS channel torn down (messages sent in clear text)
<- EAP-Success
The following exchanges show a failed crypto-binding validation. The conversation will appear as follows:
以下に、Crypto-Bindingの検証に失敗する場合のやり取りを示します。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/
Identity
EAP-Response/
Identity (MyID1) ->
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello without
PAC-Opaque extension)->
<- EAP-Request/EAP-FAST
(TLS Server Key Exchange,
TLS Server Hello Done)
EAP-Response/EAP-FAST
(TLS Client Key Exchange,
TLS change_cipher_spec,
TLS finished)->
<- EAP-Request/EAP-FAST
(TLS change_cipher_spec,
TLS finished)
EAP-Payload-TLV(
EAP-Request/Identity))
// TLS channel established
(messages sent within the TLS channel)
// First EAP Payload TLV is piggybacked to the TLS Finished as
Application Data and protected by the TLS tunnel
EAP-Payload TLV
(EAP-Response/Identity) ->
<- EAP Payload TLV (EAP-Request/
EAP-MSCHAPV2 (Challenge))
EAP Payload TLV (EAP-Response/
EAP-MSCHAPV2 (Response)) ->
<- EAP Payload TLV (EAP-Request/
EAP-MSCHAPV2 (Success Request))
EAP Payload TLV (EAP-Response/
EAP-MSCHAPV2 (Success Response)) ->
<- Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
Result TLV (Success)
Result TLV (Failure),
Error TLV (Error Code = 2001) ->
// TLS channel torn down
(messages sent in clear text)
<- EAP-Failure
Where EAP-FAST is negotiated, with a sequence of EAP method followed by Vendor-Specific TLV exchange, the conversation will occur as follows:
EAP-FASTがネゴシエートされ、EAP方式の実行後にVendor-Specific TLVを交換する場合、やり取りは次のようになります。
Authenticating Peer Authenticator
------------------- -------------
<- EAP-Request/
Identity
EAP-Response/
Identity (MyID1) ->
<- EAP-Request/EAP-FAST
(S=1, A-ID)
EAP-Response/EAP-FAST
(TLS client_hello)->
<- EAP-Request/EAP-FAST
(TLS server_hello,
TLS certificate,
[TLS server_key_exchange,]
[TLS certificate_request,]
TLS server_hello_done)
EAP-Response/EAP-FAST
([TLS certificate,]
TLS client_key_exchange,
[TLS certificate_verify,]
TLS change_cipher_spec,
TLS finished) ->
<- EAP-Request/EAP-FAST
(TLS change_cipher_spec,
TLS finished,
EAP-Payload-TLV
(EAP-Request/Identity))
// TLS channel established
(Subsequent messages sent within the TLS channel,
encapsulated within EAP-FAST)
// First EAP Payload TLV is piggybacked to the TLS Finished as
Application Data and protected by the TLS tunnel
EAP-Payload-TLV
(EAP-Response/Identity) ->
<- EAP-Payload-TLV
(EAP-Request/Method X)
EAP-Payload-TLV
(EAP-Response/Method X) ->
<- EAP-Payload-TLV
(EAP-Request/Method X)
EAP-Payload-TLV
(EAP-Response/Method X)->
<- Intermediate Result TLV (Success),
Crypto-Binding TLV (Version=1
EAP-FAST Version=1, Nonce,
CompoundMAC),
Vendor-Specific TLV
// Vendor Specific TLV exchange started after successful
completion of previous method X. The Intermediate-Result
and Crypto-Binding TLVs are sent with Vendor Specific TLV
in this packet to minimize round-trips.
// Compound MAC calculated using Keys generated from
EAP methods X and the TLS tunnel.
Intermediate Result TLV (Success),
Crypto-Binding TLV (Version=1,
EAP-FAST Version=1, Nonce,
CompoundMAC),
Vendor-Specific TLV ->
// Optional additional Vendor-Specific TLV exchanges...
<- Vendor-Specific TLV
Vendor Specific TLV ->
<- Result TLV (Success)
Result-TLV (Success) ->
// TLS channel torn down (messages sent in clear text)
<- EAP-Success
PAC KEY:
PAC KEY:
0B 97 39 0F 37 51 78 09 81 1E FD 9C 6E 65 94 2B 63 2C E9 53 89 38 08 BA 36 0B 03 7C D1 85 E4 14
0B 97 39 0F 37 51 78 09 81 1E FD 9C 6E 65 94 2B 63 2C E9 53 89 38 08 BA 36 0B 03 7C D1 85 E4 14
Server_hello Random
Server_hello Random
3F FB 11 C4 6C BF A5 7A 54 40 DA E8 22 D3 11 D3 F7 6D E4 1D D9 33 E5 93 70 97 EB A9 B3 66 F4 2A
3F FB 11 C4 6C BF A5 7A 54 40 DA E8 22 D3 11 D3 F7 6D E4 1D D9 33 E5 93 70 97 EB A9 B3 66 F4 2A
Client_hello Random
Client_hello Random
00 00 00 02 6A 66 43 2A 8D 14 43 2C EC 58 2D 2F C7 9C 33 64 BA 04 AD 3A 52 54 D6 A5 79 AD 1E 00
00 00 00 02 6A 66 43 2A 8D 14 43 2C EC 58 2D 2F C7 9C 33 64 BA 04 AD 3A 52 54 D6 A5 79 AD 1E 00
Master_secret = T-PRF(PAC-Key, "PAC to master secret label hash", server_random + Client_random, 48)
Master_secret = T-PRF(PAC-Key, "PAC to master secret label hash", server_random + Client_random, 48)
4A 1A 51 2C 01 60 BC 02 3C CF BC 83 3F 03 BC 64 88 C1 31 2F 0B A9 A2 77 16 A8 D8 E8 BD C9 D2 29 38 4B 7A 85 BE 16 4D 27 33 D5 24 79 87 B1 C5 A2
4A 1A 51 2C 01 60 BC 02 3C CF BC 83 3F 03 BC 64 88 C1 31 2F 0B A9 A2 77 16 A8 D8 E8 BD C9 D2 29 38 4B 7A 85 BE 16 4D 27 33 D5 24 79 87 B1 C5 A2
Key_block = PRF(Master_secret, "key expansion", server_random + Client_random)
Key_block = PRF(Master_secret, "key expansion", server_random + Client_random)
59 59 BE 8E 41 3A 77 74 8B B2 E5 D3 60 AC 4D 35 DF FB C8 1E 9C 24 9C 8B 0E C3 1D 72 C8 84 9D 57 48 51 2E 45 97 6C 88 70 BE 5F 01 D3 64 E7 4C BB 11 24 E3 49 E2 3B CD EF 7A B3 05 39 5D 64 8A 44 11 B6 69 88 34 2E 8E 29 D6 4B 7D 72 17 59 28 05 AF F9 B7 FF 66 6D A1 96 8F 0B 5E 06 46 7A 44 84 64 C1 C8 0C 96 44 09 98 FF 92 A8 B4 C6 42 28 71
59 59 BE 8E 41 3A 77 74 8B B2 E5 D3 60 AC 4D 35 DF FB C8 1E 9C 24 9C 8B 0E C3 1D 72 C8 84 9D 57 48 51 2E 45 97 6C 88 70 BE 5F 01 D3 64 E7 4C BB 11 24 E3 49 E2 3B CD EF 7A B3 05 39 5D 64 8A 44 11 B6 69 88 34 2E 8E 29 D6 4B 7D 72 17 59 28 05 AF F9 B7 FF 66 6D A1 96 8F 0B 5E 06 46 7A 44 84 64 C1 C8 0C 96 44 09 98 FF 92 A8 B4 C6 42 28 71
Session Key Seed
セッション鍵シード
D6 4B 7D 72 17 59 28 05 AF F9 B7 FF 66 6D A1 96 8F 0B 5E 06 46 7A 44 84 64 C1 C8 0C 96 44 09 98 FF 92 A8 B4 C6 42 28 71 IMCK = T-PRF(SKS, "Inner Methods Compound Keys", ISK, 60)
D6 4B 7D 72 17 59 28 05 AF F9 B7 FF 66 6D A1 96 8F 0B 5E 06 46 7A 44 84 64 C1 C8 0C 96 44 09 98 FF 92 A8 B4 C6 42 28 71 IMCK = T-PRF(SKS, "Inner Methods Compound Keys", ISK, 60)
Note: ISK is 32 octets 0's.
注：ISKは32オクテットの0で構成されます。
16 15 3C 3F 21 55 EF D9 7F 34 AE C8 1A 4E 66 80 4C C3 76 F2 8A A9 6F 96 C2 54 5F 8C AB 65 02 E1 18 40 7B 56 BE EA A7 C5 76 5D 8F 0B C5 07 C6 B9 04 D0 69 56 72 8B 6B B8 15 EC 57 7B
16 15 3C 3F 21 55 EF D9 7F 34 AE C8 1A 4E 66 80 4C C3 76 F2 8A A9 6F 96 C2 54 5F 8C AB 65 02 E1 18 40 7B 56 BE EA A7 C5 76 5D 8F 0B C5 07 C6 B9 04 D0 69 56 72 8B 6B B8 15 EC 57 7B
[SIMCK 1] 16 15 3C 3F 21 55 EF D9 7F 34 AE C8 1A 4E 66 80 4C C3 76 F2 8A A9 6F 96 C2 54 5F 8C AB 65 02 E1 18 40 7B 56 BE EA A7 C5
[SIMCK 1] 16 15 3C 3F 21 55 EF D9 7F 34 AE C8 1A 4E 66 80 4C C3 76 F2 8A A9 6F 96 C2 54 5F 8C AB 65 02 E1 18 40 7B 56 BE EA A7 C5
MSK = T-PRF(S-IMCKn, "Session Key Generating Function", 64);
MSK = T-PRF(S-IMCKn, "Session Key Generating Function", 64);
4D 83 A9 BE 6F 8A 74 ED 6A 02 66 0A 63 4D 2C 33 C2 DA 60 15 C6 37 04 51 90 38 63 DA 54 3E 14 B9 27 99 18 1E 07 BF 0F 5A 5E 3C 32 93 80 8C 6C 49 67 ED 24 FE 45 40 A0 59 5E 37 C2 E9 D0 5D 0A E3
4D 83 A9 BE 6F 8A 74 ED 6A 02 66 0A 63 4D 2C 33 C2 DA 60 15 C6 37 04 51 90 38 63 DA 54 3E 14 B9 27 99 18 1E 07 BF 0F 5A 5E 3C 32 93 80 8C 6C 49 67 ED 24 FE 45 40 A0 59 5E 37 C2 E9 D0 5D 0A E3
EMSK = T-PRF(S-IMCKn, "Extended Session Key Generating Function", 64);
EMSK = T-PRF(S-IMCKn, "Extended Session Key Generating Function", 64);
3A D4 AB DB 76 B2 7F 3B EA 32 2C 2B 74 F4 28 55 EF 2D BA 78 C9 57 2F 0D 06 CD 51 7C 20 93 98 A9 76 EA 70 21 D7 0E 25 54 97 ED B2 8A F6 ED FD 0A 2A E7 A1 58 90 10 50 44 B3 82 85 DB 06 14 D2 F9
3A D4 AB DB 76 B2 7F 3B EA 32 2C 2B 74 F4 28 55 EF 2D BA 78 C9 57 2F 0D 06 CD 51 7C 20 93 98 A9 76 EA 70 21 D7 0E 25 54 97 ED B2 8A F6 ED FD 0A 2A E7 A1 58 90 10 50 44 B3 82 85 DB 06 14 D2 F9
[Compound MAC Key 1] 76 5D 8F 0B C5 07 C6 B9 04 D0 69 56 72 8B 6B B8 15 EC 57 7B
[Compound MAC Key 1] 76 5D 8F 0B C5 07 C6 B9 04 D0 69 56 72 8B 6B B8 15 EC 57 7B
[Crypto-Binding TLV] 80 0C 00 38 00 01 01 00 D8 6A 8C 68 3C 32 31 A8 56 63 B6 40 21 FE 21 14 4E E7 54 20 79 2D 42 62 C9 BF 53 7F 54 FD AC 58 43 24 6E 30 92 17 6D CF E6 E0 69 EB 33 61 6A CC 05 C5 5B B7
[Crypto-Binding TLV] 80 0C 00 38 00 01 01 00 D8 6A 8C 68 3C 32 31 A8 56 63 B6 40 21 FE 21 14 4E E7 54 20 79 2D 42 62 C9 BF 53 7F 54 FD AC 58 43 24 6E 30 92 17 6D CF E6 E0 69 EB 33 61 6A CC 05 C5 5B B7
[Server Nonce] D8 6A 8C 68 3C 32 31 A8 56 63 B6 40 21 FE 21 14 4E E7 54 20 79 2D 42 62 C9 BF 53 7F 54 FD AC 58
[Server Nonce] D8 6A 8C 68 3C 32 31 A8 56 63 B6 40 21 FE 21 14 4E E7 54 20 79 2D 42 62 C9 BF 53 7F 54 FD AC 58
[Compound MAC] 43 24 6E 30 92 17 6D CF E6 E0 69 EB 33 61 6A CC 05 C5 5B B7
[Compound MAC] 43 24 6E 30 92 17 6D CF E6 E0 69 EB 33 61 6A CC 05 C5 5B B7
Authors' Addresses
著者の連絡先
Nancy Cam-Winget Cisco Systems 3625 Cisco Way San Jose, CA 95134 US
Nancy Cam-Winget Cisco Systems 3625 Cisco Way San Jose, CA 95134 US
EMail: ncamwing@cisco.com
David McGrew Cisco Systems San Jose, CA 95134 US
David McGrew Cisco Systems San Jose, CA 95134 US
EMail: mcgrew@cisco.com
Joseph Salowey Cisco Systems 2901 3rd Ave Seattle, WA 98121 US
Joseph Salowey Cisco Systems 2901 3rd Ave Seattle, WA 98121 US
EMail: jsalowey@cisco.com
Hao Zhou Cisco Systems 4125 Highlander Parkway Richfield, OH 44286 US
Hao Zhou Cisco Systems 4125 Highlander Parkway Richfield, OH 44286 US
EMail: hzhou@cisco.com
Full Copyright Statement
著作権に関する声明
Copyright (C) The IETF Trust (2007).
Copyright (C) The IETF Trust (2007).
This document is subject to the rights, licenses and restrictions contained in BCP 78, and except as set forth therein, the authors retain all their rights.
本書はBCP 78に定める権利、ライセンス、制限に従います。そこに定める場合を除き、著者はすべての権利を保持します。
This document and the information contained herein are provided on an "AS IS" basis and THE CONTRIBUTOR, THE ORGANIZATION HE/SHE REPRESENTS OR IS SPONSORED BY (IF ANY), THE INTERNET SOCIETY, THE IETF TRUST AND THE INTERNET ENGINEERING TASK FORCE DISCLAIM ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
本書および本書に含まれる情報は「AS IS」で提供されます。CONTRIBUTOR、CONTRIBUTORが代表する、またはCONTRIBUTORを後援する組織（該当する場合）、Internet Society、IETF Trust、Internet Engineering Task Forceは、本書の情報の使用がいかなる権利も侵害しないことの保証、商品性または特定目的への適合性に関する黙示の保証を含め、明示または黙示を問わず、すべての保証を否認します。
Intellectual Property
知的財産権
The IETF takes no position regarding the validity or scope of any Intellectual Property Rights or other rights that might be claimed to pertain to the implementation or use of the technology described in this document or the extent to which any license under such rights might or might not be available; nor does it represent that it has made any independent effort to identify any such rights. Information on the procedures with respect to rights in RFC documents can be found in BCP 78 and BCP 79.
IETFは、本書に記載された技術の実装または使用に関係すると主張される知的財産権その他の権利の有効性や範囲、およびそのような権利に基づくライセンスが利用可能かどうかについて、いかなる立場も示しません。また、そのような権利を特定するために独自の調査を行ったとも表明しません。RFC文書に関する権利手続きの情報はBCP 78およびBCP 79に記載されています。
Copies of IPR disclosures made to the IETF Secretariat and any assurances of licenses to be made available, or the result of an attempt made to obtain a general license or permission for the use of such proprietary rights by implementers or users of this specification can be obtained from the IETF on-line IPR repository at http://www.ietf.org/ipr.
IETF事務局に提出されたIPR開示の写し、利用可能とするライセンスに関する保証、または本仕様の実装者や利用者がそのような専有権を使用するための一般ライセンスや許可を得ようとした結果は、IETFのオンラインIPRリポジトリ（http://www.ietf.org/ipr）で確認できます。
The IETF invites any interested party to bring to its attention any copyrights, patents or patent applications, or other proprietary rights that may cover technology that may be required to implement this standard. Please address the information to the IETF at ietf-ipr@ietf.org.
IETFは、本標準の実装に必要となる可能性のある技術を対象とする著作権、特許、特許出願、その他の専有権について、関係者から情報提供を受け付けています。情報はietf-ipr@ietf.org宛てにIETFへお知らせください。
Acknowledgement
謝辞
Funding for the RFC Editor function is currently provided by the Internet Society.
RFC Editorの業務は現在、Internet Societyから資金提供を受けています。