[port139ml:01972] Re: 802.1x(MS-PEAP)

[Reiya Ayanami <reiya@xxxxxxxxxxxxx>]

あやなみ です。

> > 個人的な意見ですが、IPsecの相互運用というよりIKEの
> > 相互運用って言ったほうが良いように思います。
> 
> 　半分（もしかすると7割程度？）はそのとおりです。
> 　でも、IPsec SA で使えない CIPHER があるということも考え
> ると（IKEのネゴシエーションではじかれるとは思いますが、ネ
> ゴシエーションが通らないのと、IPsec SA レベルで使えないの
> とはまた別問題だと思ってます）、必ずしも「IKE の相互運用だ」
> と言い切れない部分はあるのではないでしょうか。
> 
> 　たとえばですが、3DESしか使えない（言語道断ですが）実装と
> 3DESが使えない実装の間で IKE ネゴシエーションは失敗する
> わけですが（ネゴシエーションはするけど、相互に使える CIPHER
> がないということで終了し、IPsec による通信は開始できない）、
> このような場合は IKE のネゴシエーション成功時に採用できる
> 共通的なパラメータがないということで、この場合は IKE には
> 責はなく、IPsec スタックそのものの問題というようになると私は
> 考えてます。

確かにそのとおりですね。

バイブルである「マスタリングIPsec」のP.234、表11-1に各OS
でのIPsecの実装比較が出ていますが、これを見ると気が遠くな
りそうになります (^^;;;

> 　でも、X.509v3 の証明書を使った場合もわりと相互接続性は
> 高そうかな、というのが感触してはあります。

ChallengePKI 2001のレポートを見てみると、そうとばかりは
言えないような気がします。がんばってプロファイルをあわせ
れば、つながるとは思うのですが、単純なCAではなく、階層型
のCAや相互認証型のCAなどを用いて複雑なPKI環境が組まれてい
た場合、パス検証をする際の解釈などはまちまちのようです。
また、証明書やCRLの取得方法についてもLDAPを前提にしたよう
なCAが発行した証明書の場合、End EntityとなるIPsecのシステ
ムやデバイスがLDAPにどうやってアクセスするかが問題となり
ますよね。LDAPでアクセスする際に、セキュアなアクセスを行
おうとすると証明書が必要になったりして、にわたま問題になっ
たりして。。。

あと忘れてはいけないのが、証明書をどうやってリクエストして
どうやってインストールするかだと思います。あまり使われてい
ないようですが、MSのCAとActive Directoryを使った場合の証明
書マッピング（ディレクトリ中のマシンやユーザーのオブジェク
トと証明書を自動マッピングする仕組み）や証明書の自動発行は
かなり便利だと思います。Windows 2000 Serverではマシンに対す
る証明書だけが自動発行可能でしたが、良く名前の変わるアレで
は、すべての証明書の自動発行が可能になったようです。

Active Directoryが前提になるので、IPsecだけに限って言えば、
じゃあKerberos使えよってことになると思うのですが、L2TPや
802.1Xで証明書使うことを考えると、Active Directoryと連携で
きるのは結構便利ですよね。

ほかのディレクトリサービスでもこのような証明書とのマッピン
グなどをサポートしたものはあるんでしょうか？

あやなみ

--
Reiya Ayanami
reiya@xxxxxxxxxxxxx