Network Working Group B. Aboba
Request for Comments: 3748 Microsoft
Obsoletes: 2284 L. Blunk
Category: Standards Track Merit Network, Inc
J. Vollbrecht
Vollbrecht Consulting LLC
J. Carlson
Sun
H. Levkowetz, Ed.
ipUnplugged
June 2004
Extensible Authentication Protocol (EAP)
Status of this Memo
このメモの位置付け
This document specifies an Internet standards track protocol for the Internet community, and requests discussion and suggestions for improvements. Please refer to the current edition of the "Internet Official Protocol Standards" (STD 1) for the standardization state and status of this protocol. Distribution of this memo is unlimited.
この文書は、インターネットコミュニティのためのインターネット標準トラックプロトコルを指定し、改善のための議論と提案を要求します。このプロトコルの標準化状態と状態への「インターネット公式プロトコル標準」（STD 1）の最新版を参照してください。このメモの配布は無制限です。
Copyright Notice
著作権表示
Copyright (C) The Internet Society (2004).
著作権（C）インターネット協会（2004）。
Abstract
抽象
This document defines the Extensible Authentication Protocol (EAP), an authentication framework which supports multiple authentication methods. EAP typically runs directly over data link layers such as Point-to-Point Protocol (PPP) or IEEE 802, without requiring IP. EAP provides its own support for duplicate elimination and retransmission, but is reliant on lower layer ordering guarantees. Fragmentation is not supported within EAP itself; however, individual EAP methods may support this.
この文書では、拡張認証プロトコル（EAP）は、複数の認証方法をサポートする認証フレームワークを定義します。 EAPは、典型的にはIPを必要とすることなく、そのようなポイントツーポイントプロトコル（PPP）、またはIEEE 802のようなデータリンク層上で直接実行します。 EAPは、重複排除と再送のための独自のサポートを提供していますが、下位層の順序の保証に依存しています。フラグメンテーションは、EAP自体の中でサポートされていません。しかし、個々のEAPメソッドは、これをサポートすることができます。
This document obsoletes RFC 2284. A summary of the changes between this document and RFC 2284 is available in Appendix A.
この文書は、RFC 2284を廃止このドキュメントとRFC 2284の間の変更の概要は、付録Aで提供されています
Table of Contents
目次
1. Introduction. . . . . . . . . . . . . . . . . . . . . . . . . 3
1.1. Specification of Requirements . . . . . . . . . . . . . 4
1.2. Terminology . . . . . . . . . . . . . . . . . . . . . . 4
1.3. Applicability . . . . . . . . . . . . . . . . . . . . . 6
2. Extensible Authentication Protocol (EAP). . . . . . . . . . . 7
2.1. Support for Sequences . . . . . . . . . . . . . . . . . 9
2.2. EAP Multiplexing Model. . . . . . . . . . . . . . . . . 10
2.3. Pass-Through Behavior . . . . . . . . . . . . . . . . . 12
2.4. Peer-to-Peer Operation. . . . . . . . . . . . . . . . . 14
3. Lower Layer Behavior. . . . . . . . . . . . . . . . . . . . . 15
3.1. Lower Layer Requirements. . . . . . . . . . . . . . . . 15
3.2. EAP Usage Within PPP. . . . . . . . . . . . . . . . . . 18
3.2.1. PPP Configuration Option Format. . . . . . . . . 18
3.3. EAP Usage Within IEEE 802 . . . . . . . . . . . . . . . 19
3.4. Lower Layer Indications . . . . . . . . . . . . . . . . 19
4. EAP Packet Format . . . . . . . . . . . . . . . . . . . . . . 20
4.1. Request and Response. . . . . . . . . . . . . . . . . . 21
4.2. Success and Failure . . . . . . . . . . . . . . . . . . 23
4.3. Retransmission Behavior . . . . . . . . . . . . . . . . 26
5. Initial EAP Request/Response Types. . . . . . . . . . . . . . 27
5.1. Identity. . . . . . . . . . . . . . . . . . . . . . . . 28
5.2. Notification. . . . . . . . . . . . . . . . . . . . . . 29
5.3. Nak . . . . . . . . . . . . . . . . . . . . . . . . . . 31
5.3.1. Legacy Nak . . . . . . . . . . . . . . . . . . . 31
5.3.2. Expanded Nak . . . . . . . . . . . . . . . . . . 32
5.4. MD5-Challenge . . . . . . . . . . . . . . . . . . . . . 35
5.5. One-Time Password (OTP) . . . . . . . . . . . . . . . . 36
5.6. Generic Token Card (GTC). . . . . . . . . . . . . . . . 37
5.7. Expanded Types. . . . . . . . . . . . . . . . . . . . . 38
5.8. Experimental. . . . . . . . . . . . . . . . . . . . . . 40
6. IANA Considerations . . . . . . . . . . . . . . . . . . . . . 40
6.1. Packet Codes. . . . . . . . . . . . . . . . . . . . . . 41
6.2. Method Types. . . . . . . . . . . . . . . . . . . . . . 41
7. Security Considerations . . . . . . . . . . . . . . . . . . . 42
7.1. Threat Model. . . . . . . . . . . . . . . . . . . . . . 42
7.2. Security Claims . . . . . . . . . . . . . . . . . . . . 43
7.2.1. Security Claims Terminology for EAP Methods. . . 44
7.3. Identity Protection . . . . . . . . . . . . . . . . . . 46
7.4. Man-in-the-Middle Attacks . . . . . . . . . . . . . . . 47
7.5. Packet Modification Attacks . . . . . . . . . . . . . . 48
7.6. Dictionary Attacks. . . . . . . . . . . . . . . . . . . 49
7.7. Connection to an Untrusted Network. . . . . . . . . . . 49
7.8. Negotiation Attacks . . . . . . . . . . . . . . . . . . 50
7.9. Implementation Idiosyncrasies . . . . . . . . . . . . . 50
7.10. Key Derivation. . . . . . . . . . . . . . . . . . . . . 51
7.11. Weak Ciphersuites . . . . . . . . . . . . . . . . . . . 53
7.12. Link Layer. . . . . . . . . . . . . . . . . . . . . . . 53
7.13. Separation of Authenticator and Backend Authentication
Server. . . . . . . . . . . . . . . . . . . . . . . . . 54
7.14. Cleartext Passwords . . . . . . . . . . . . . . . . . . 55
7.15. Channel Binding . . . . . . . . . . . . . . . . . . . . 55
7.16. Protected Result Indications. . . . . . . . . . . . . . 56
8. Acknowledgements. . . . . . . . . . . . . . . . . . . . . . . 58
9. References. . . . . . . . . . . . . . . . . . . . . . . . . . 59
9.1. Normative References. . . . . . . . . . . . . . . . . . 59
9.2. Informative References. . . . . . . . . . . . . . . . . 60
Appendix A. Changes from RFC 2284. . . . . . . . . . . . . . . . . 64
Authors' Addresses . . . . . . . . . . . . . . . . . . . . . . . . 66
Full Copyright Statement . . . . . . . . . . . . . . . . . . . . . 67
This document defines the Extensible Authentication Protocol (EAP), an authentication framework which supports multiple authentication methods. EAP typically runs directly over data link layers such as Point-to-Point Protocol (PPP) or IEEE 802, without requiring IP. EAP provides its own support for duplicate elimination and retransmission, but is reliant on lower layer ordering guarantees. Fragmentation is not supported within EAP itself; however, individual EAP methods may support this.
この文書では、拡張認証プロトコル（EAP）は、複数の認証方法をサポートする認証フレームワークを定義します。 EAPは、典型的にはIPを必要とすることなく、そのようなポイントツーポイントプロトコル（PPP）、またはIEEE 802のようなデータリンク層上で直接実行します。 EAPは、重複排除と再送のための独自のサポートを提供していますが、下位層の順序の保証に依存しています。フラグメンテーションは、EAP自体の中でサポートされていません。しかし、個々のEAPメソッドは、これをサポートすることができます。
EAP may be used on dedicated links, as well as switched circuits, and wired as well as wireless links. To date, EAP has been implemented with hosts and routers that connect via switched circuits or dial-up lines using PPP [RFC1661]. It has also been implemented with switches and access points using IEEE 802 [IEEE-802]. EAP encapsulation on IEEE 802 wired media is described in [IEEE-802.1X], and encapsulation on IEEE wireless LANs in [IEEE-802.11i].
EAPは、専用リンクに使用されるだけでなく、回路、および有線ならびに無線リンクを切り替えることができます。今日まで、EAPは、スイッチ回路またはPPP [RFC1661]を使用して、ダイヤルアップ回線を介して接続するホスト及びルータを用いて実装されています。それはまたIEEE 802 [IEEE-802]を用いてスイッチおよびアクセスポイントで実施されています。 IEEE 802有線媒体に関するEAPカプセル化が[IEEE-802.11i規格]でIEEE無線LANの[IEEE-802.1X]に記載され、そしてカプセル化されています。
One of the advantages of the EAP architecture is its flexibility. EAP is used to select a specific authentication mechanism, typically after the authenticator requests more information in order to determine the specific authentication method to be used. Rather than requiring the authenticator to be updated to support each new authentication method, EAP permits the use of a backend authentication server, which may implement some or all authentication methods, with the authenticator acting as a pass-through for some or all methods and peers.
EAPアーキテクチャの利点の一つは、その柔軟性です。 EAPオーセンティケータを使用する特定の認証方法を決定するために、より多くの情報を要求し、典型的には後に、特定の認証機構を選択するために使用されます。むしろ、各新しい認証メソッドをサポートするように更新されるオーセンティケータを要求するよりも、EAPオーセンティケータは、一部またはすべてのメソッドとピアのパススルーとして作用して、一部またはすべての認証方法を実装することができるバックエンド認証サーバの使用を許可します。
Within this document, authenticator requirements apply regardless of whether the authenticator is operating as a pass-through or not. Where the requirement is meant to apply to either the authenticator or backend authentication server, depending on where the EAP authentication is terminated, the term "EAP server" will be used.
この文書内で、認証者の要件にかかわらず、オーセンティケータがパススルーかのように動作しているかの適用します。要件はEAP認証が終了する場所に応じて、オーセンティケータまたはバックエンド認証サーバのいずれかに適用することを意図される場合、用語「EAPサーバ」が使用されます。
In this document, several words are used to signify the requirements of the specification. The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in [RFC2119].
このドキュメントでは、いくつかの単語は、仕様の要件を意味するために使用されています。この文書のキーワード "MUST"、 "MUST NOT"、 "REQUIRED"、、、、 "べきではない" "べきである" "ないもの" "ものとし"、 "推奨"、 "MAY"、および "OPTIONAL" はあります[RFC2119]に記載されているように解釈されます。
This document frequently uses the following terms:
このドキュメントは頻繁に次の用語を使用しています：
authenticator The end of the link initiating EAP authentication. The term authenticator is used in [IEEE-802.1X], and has the same meaning in this document.
EAP認証を開始するリンクの終端をオーセンティケータ。用語のオーセンティケータは[IEEE-802.1X]で使用され、この文書に記載されているのと同じ意味を持っています。
peer The end of the link that responds to the authenticator. In [IEEE-802.1X], this end is known as the Supplicant.
オーセンティケータに応答するリンクの端にピア。 [IEEE-802.1X]では、この端部は、サプリカントとして知られています。
Supplicant The end of the link that responds to the authenticator in [IEEE-802.1X]. In this document, this end of the link is called the peer.
[IEEE-802.1X]でオーセンティケータに応答するリンクの終端をサプリカント。この文書では、リンクのこの端は、ピアと呼ばれています。
backend authentication server A backend authentication server is an entity that provides an authentication service to an authenticator. When used, this server typically executes EAP methods for the authenticator. This terminology is also used in [IEEE-802.1X].
バックエンド認証サーババックエンド認証サーバは、オーセンティケータに認証サービスを提供するエンティティです。使用する場合、このサーバーは、通常、認証のためのEAPメソッドを実行します。この用語はまた、[IEEE-802.1X]に使用されています。
AAA Authentication, Authorization, and Accounting. AAA protocols with EAP support include RADIUS [RFC3579] and Diameter [DIAM-EAP]. In this document, the terms "AAA server" and "backend authentication server" are used interchangeably.
AAA認証、許可、およびアカウンティング。 EAPサポートを持つAAAプロトコルはRADIUS [RFC3579]とDiameter [DIAM-EAP]を含みます。この文書では、用語「AAAサーバ」と「バックエンド認証サーバ」は互換的に使用されています。
Displayable Message This is interpreted to be a human readable string of characters. The message encoding MUST follow the UTF-8 transformation format [RFC2279].
表示可能メッセージは、これは、文字の人間が読める文字列であると解釈されます。メッセージのエンコーディングはUTF-8変換形式[RFC2279]を従わなければなりません。
EAP server The entity that terminates the EAP authentication method with the peer. In the case where no backend authentication server is used, the EAP server is part of the authenticator. In the case where the authenticator operates in pass-through mode, the EAP server is located on the backend authentication server.
EAPサーバピアとEAP認証方式を終了するエンティティ。いかなるバックエンド認証サーバが使用されない場合には、EAPサーバは、オーセンティケータの一部です。オーセンティケータがパススルー・モードで動作する場合、EAPサーバはバックエンド認証サーバに配置されています。
Silently Discard This means the implementation discards the packet without further processing. The implementation SHOULD provide the capability of logging the event, including the contents of the silently discarded packet, and SHOULD record the event in a statistics counter.
サイレントこれは、実装がさらに処理せずにパケットを破棄する意味捨てます。実装は静かに廃棄されたパケットの内容を含め、イベントをログに記録する機能を提供すべきである、と統計カウンターにイベントを記録する必要があります。
Successful Authentication In the context of this document, "successful authentication" is an exchange of EAP messages, as a result of which the authenticator decides to allow access by the peer, and the peer decides to use this access. The authenticator's decision typically involves both authentication and authorization aspects; the peer may successfully authenticate to the authenticator, but access may be denied by the authenticator due to policy reasons.
この文書の文脈で成功した認証は、「成功した認証は、」オーセンティケータがピアによるアクセスを許可することを決定し、その結果として、EAPメッセージの交換、で、ピアがこのアクセスを使用することを決定しました。オーセンティケータの決定は、通常、認証と認可の両方の側面を必要とします。ピアが正常に認証サーバへの認証がありますが、アクセスが原因ポリシー上の理由に認証者によって拒否されることがあります。
Message Integrity Check (MIC) A keyed hash function used for authentication and integrity protection of data. This is usually called a Message Authentication Code (MAC), but IEEE 802 specifications (and this document) use the acronym MIC to avoid confusion with Medium Access Control.
メッセージ完全性チェック（MIC）データの認証と完全性保護のために使用される鍵付きハッシュ関数。これは通常、メッセージ認証コード（MAC）と呼ばれているが、IEEE 802規格（本書）は、媒体アクセス制御との混同を避けるために、頭字語のMICを使用します。
Cryptographic Separation Two keys (x and y) are "cryptographically separate" if an adversary that knows all messages exchanged in the protocol cannot compute x from y or y from x without "breaking" some cryptographic assumption. In particular, this definition allows that the adversary has the knowledge of all nonces sent in cleartext, as well as all predictable counter values used in the protocol. Breaking a cryptographic assumption would typically require inverting a one-way function or predicting the outcome of a cryptographic pseudo-random number generator without knowledge of the secret state. In other words, if the keys are cryptographically separate, there is no shortcut to compute x from y or y from x, but the work an adversary must do to perform this computation is equivalent to performing an exhaustive search for the secret state value.
暗号分離キー2（xおよびy）が「暗号別個」であるすべてのメッセージを知っている敵は「破壊」いくつかの暗号仮定せずにXからYまたはYからXを計算することができないプロトコルで交換した場合。特に、この定義は、敵対者が平文で送信されたすべてのナンス、ならびにプロトコルで使用されるすべての予測可能なカウンタ値の知識を有することを可能にします。暗号化の仮定を破ることは一般的に一方向関数を反転または秘密の状態の知識がなくても、暗号疑似乱数ジェネレータの結果を予測する必要になります。キーは暗号分離している言い換えれば、そこXからYまたはYからXを計算するための近道ではないが、敵対者がこの計算を実行するためにしなければならない作業は、秘密状態値の徹底的な検索を実行することと等価です。
Master Session Key (MSK) Keying material that is derived between the EAP peer and server and exported by the EAP method. The MSK is at least 64 octets in length. In existing implementations, a AAA server acting as an EAP server transports the MSK to the authenticator.
EAPピアとサーバとの間で導出され、EAPメソッドによってエクスポートされるマスタセッションキー（MSK）キーイング材料。 MSKは、長さが少なくとも64オクテットです。既存の実装では、EAPサーバとして作用するAAAサーバは、オーセンティケータにMSKを搬送します。
Extended Master Session Key (EMSK) Additional keying material derived between the EAP client and server that is exported by the EAP method. The EMSK is at least 64 octets in length. The EMSK is not shared with the authenticator or any other third party. The EMSK is reserved for future uses that are not defined yet.
EAP方式によってエクスポートされたEAPクライアントとサーバの間で派生拡張マスターセッションキー（EMSK）の追加鍵素材。 EMSKは、長さが少なくとも64オクテットです。 EMSKは、オーセンティケータまたはその他の第三者と共有されていません。 EMSKはまだ定義されていない将来の使用のために予約されています。
Result indications A method provides result indications if after the method's last message is sent and received:
結果指摘法の最後のメッセージが送信され、受信された後の場合、このメソッドは、結果の表示を提供します。
1) The peer is aware of whether it has authenticated the server, as well as whether the server has authenticated it.
1）ピアは、サーバがそれを認証したかどうかをサーバーを認証し、並びにているかどうかを認識しています。
2) The server is aware of whether it has authenticated the peer, as well as whether the peer has authenticated it.
2）サーバは、ピアがそれを認証したかどうかのピアを認証し、並びにているかどうかを認識しています。
In the case where successful authentication is sufficient to authorize access, then the peer and authenticator will also know if the other party is willing to provide or accept access. This may not always be the case. An authenticated peer may be denied access due to lack of authorization (e.g., session limit) or other reasons. Since the EAP exchange is run between the peer and the server, other nodes (such as AAA proxies) may also affect the authorization decision. This is discussed in more detail in Section 7.16.
相手がアクセスを提供したり、受け入れることを望んであれば成功した認証はアクセスを許可するのに十分である場合には、ピアとオーセンティケータも知っているだろう。これは、常にそうではないかもしれません。認証されたピアが原因認可（例えば、セッションの制限）、または他の理由の欠如へのアクセスを拒否することができます。 EAP交換は、ピアとサーバとの間で実行されるので、（例えばAAAプロキシのような）他のノードはまた、許可決定に影響を与える可能性があります。これは、7.16項で詳しく説明されています。
EAP was designed for use in network access authentication, where IP layer connectivity may not be available. Use of EAP for other purposes, such as bulk data transport, is NOT RECOMMENDED.
EAPは、IP層の接続が利用できない場合がありますネットワークアクセス認証で使用するように設計されました。バルクデータ転送などの他の目的のためにEAPの使用は、推奨されません。
Since EAP does not require IP connectivity, it provides just enough support for the reliable transport of authentication protocols, and no more.
EAPは、IP接続を必要としないので、それは認証プロトコルの信頼性の高いトランスポート、およびこれ以上のためだけの十分なサポートを提供します。
EAP is a lock-step protocol which only supports a single packet in flight. As a result, EAP cannot efficiently transport bulk data, unlike transport protocols such as TCP [RFC793] or SCTP [RFC2960].
EAPは、飛行中に単一のパケットをサポートしてロックステッププロトコルです。その結果、EAPを効率的にそのようなTCP [RFC793]又はSCTP [RFC2960]などのトランスポートプロトコルとは異なり、バルクデータを転送することができません。
While EAP provides support for retransmission, it assumes ordering guarantees provided by the lower layer, so out of order reception is not supported.
EAPは、再送信のためのサポートを提供していますが、それはそう受注のうち、サポートされていない、下位層が提供する保証を注文する前提としています。
Since EAP does not support fragmentation and reassembly, EAP authentication methods generating payloads larger than the minimum EAP MTU need to provide fragmentation support.
EAPはフラグメンテーションおよび再組み立てをサポートしていないので、最小EAP MTUより大きなペイロードを生成するEAP認証メソッドは断片化サポートを提供する必要があります。
While authentication methods such as EAP-TLS [RFC2716] provide support for fragmentation and reassembly, the EAP methods defined in this document do not. As a result, if the EAP packet size exceeds the EAP MTU of the link, these methods will encounter difficulties.
そのようなEAP-TLSのような認証方法[RFC2716]フラグメンテーション及び再組み立てのためのサポートを提供するが、本文書で定義されたEAPメソッドはありません。 EAPパケットサイズがリンクのEAP MTUを超えた場合、結果として、これらの方法では困難に直面します。
EAP authentication is initiated by the server (authenticator), whereas many authentication protocols are initiated by the client (peer). As a result, it may be necessary for an authentication algorithm to add one or two additional messages (at most one roundtrip) in order to run over EAP.
多くの認証プロトコルはクライアント（ピア）によって開始されているのに対し、EAP認証は、サーバー（オーセンティケータ）によって開始されます。認証アルゴリズムは、EAPの上で実行するために、1つのまたは2つの追加のメッセージ（最大で1往復）を追加するために、結果として、それが必要な場合があります。
Where certificate-based authentication is supported, the number of additional roundtrips may be much larger due to fragmentation of certificate chains. In general, a fragmented EAP packet will require as many round-trips to send as there are fragments. For example, a certificate chain 14960 octets in size would require ten round-trips to send with a 1496 octet EAP MTU.
証明書ベースの認証がサポートされている場合、追加の往復の数は、証明書チェーンの断片化に非常に大きくすることができます。一般的には、断片化されたEAPパケットはフラグメントがあるとして送信するなど、多くのラウンドトリップが必要になります。例えば、サイズの証明書チェーン14960個のオクテットは1496オクテットEAP MTUを送信するために10ラウンドトリップを必要とします。
Where EAP runs over a lower layer in which significant packet loss is experienced, or where the connection between the authenticator and authentication server experiences significant packet loss, EAP methods requiring many round-trips can experience difficulties. In these situations, use of EAP methods with fewer roundtrips is advisable.
EAPは、重大なパケットロスを経験している、またはオーセンティケータと認証サーバとの間の接続が重大なパケットロスを経験するところ、多くのラウンドトリップを必要とするEAPメソッドは困難を経験することが可能な下位レイヤ上で動作するところ。このような状況では、少数の往復とEAPメソッドの使用がお勧めです。
The EAP authentication exchange proceeds as follows:
次のようにEAP認証交換が進行します：
[1] The authenticator sends a Request to authenticate the peer. The Request has a Type field to indicate what is being requested. Examples of Request Types include Identity, MD5-challenge, etc. The MD5-challenge Type corresponds closely to the CHAP authentication protocol [RFC1994]. Typically, the authenticator will send an initial Identity Request; however, an initial Identity Request is not required, and MAY be bypassed. For example, the identity may not be required where it is determined by the port to which the peer has connected (leased lines, dedicated switch or dial-up ports), or where the identity is obtained in another fashion (via calling station identity or MAC address, in the Name field of the MD5-Challenge Response, etc.).
[1]オーセンティケータは、ピアを認証するための要求を送信します。要求は、要求されているものを示すために、Typeフィールドがあります。リクエストタイプの例は、MD5チャレンジタイプはCHAP認証プロトコル[RFC1994]に密接に対応する等アイデンティティ、MD5チャレンジを含みます。一般的に、オーセンティケータは、初期のアイデンティティ要求を送信します。しかし、初期のアイデンティティ要求が必要とされず、バイパスされてもよいです。それはピアが（専用回線、専用スイッチ又はダイアルアップポート）に接続していたポートによって決定される、例えば、同一性は必要とされないかもしれない、もしくは同一性は、別の方法で得られた場合（発呼局のアイデンティティを介して、またはMACアドレス、MD5チャレンジ応答など）の名前フィールドに入力します。
[2] The peer sends a Response packet in reply to a valid Request. As with the Request packet, the Response packet contains a Type field, which corresponds to the Type field of the Request.
[2]ピアは有効な要求への応答で応答パケットを送信します。リクエストパケットと同様に、応答パケットは、要求の種類のフィールドに対応するTypeフィールドが含まれています。
[3] The authenticator sends an additional Request packet, and the peer replies with a Response. The sequence of Requests and Responses continues as long as needed. EAP is a 'lock step' protocol, so that other than the initial Request, a new Request cannot be sent prior to receiving a valid Response. The authenticator is responsible for retransmitting requests as described in Section 4.1. After a suitable number of retransmissions, the authenticator SHOULD end the EAP conversation. The authenticator MUST NOT send a Success or Failure packet when retransmitting or when it fails to get a response from the peer.
[3]オーセンティケータは追加リクエストパケットを送り、ピアはレスポンスで応答します。リクエストとレスポンスのシーケンスは、必要に応じている限り続きます。最初の要求以外の、新しい要求が前に有効な応答を受信したことに送ることができないようにEAPには、「ロックステップ」プロトコルです。オーセンティケータは、4.1節で説明したように要求を再送信する責任があります。再送信の適切な数の後に、オーセンティケータはEAPの会話を終了する必要があります。再送信する場合、またはそれがピアからの応答を取得するために失敗した場合、認証は成功または失敗パケットを送ってはいけません。
[4] The conversation continues until the authenticator cannot authenticate the peer (unacceptable Responses to one or more Requests), in which case the authenticator implementation MUST transmit an EAP Failure (Code 4). Alternatively, the authentication conversation can continue until the authenticator determines that successful authentication has occurred, in which case the authenticator MUST transmit an EAP Success (Code 3).
[4]対話は、オーセンティケータは、オーセンティケータ実装はEAP失敗（コード4）を送信しなければならない場合には、ピア（1つまたは複数の要求を受け入れられない応答）を認証できなくなるまで継続します。オーセンティケータは、オーセンティケータはEAP成功（コード3）を送信しなければならない場合には、成功した認証が発生したと判断するまで、また、認証会話を続けることができます。
Advantages:
利点：
o The EAP protocol can support multiple authentication mechanisms without having to pre-negotiate a particular one.
O EAPプロトコルは特定のものを事前に交渉する必要なく、複数の認証メカニズムをサポートすることができます。
o Network Access Server (NAS) devices (e.g., a switch or access point) do not have to understand each authentication method and MAY act as a pass-through agent for a backend authentication server. Support for pass-through is optional. An authenticator MAY authenticate local peers, while at the same time acting as a pass-through for non-local peers and authentication methods it does not implement locally.
Oネットワーク・アクセス・サーバ（NAS）デバイス（例えば、スイッチやアクセスポイント）は、各認証方法を理解する必要はありませんし、バックエンド認証サーバのパススルー剤として作用することができます。パススルーのサポートはオプションです。同時に、非ローカルピア、それがローカルに実装されていない認証方式のためのパススルーとして機能しながら、オーセンティケータは、ローカルピアを認証することができます。
o Separation of the authenticator from the backend authentication server simplifies credentials management and policy decision making.
バックエンド認証サーバからオーセンティケータのO分離は、資格情報の管理と政策の意思決定を簡素化します。
Disadvantages:
短所：
o For use in PPP, EAP requires the addition of a new authentication Type to PPP LCP and thus PPP implementations will need to be modified to use it. It also strays from the previous PPP authentication model of negotiating a specific authentication mechanism during LCP. Similarly, switch or access point implementations need to support [IEEE-802.1X] in order to use EAP.
O PPPで使用するためには、EAPは、PPP LCPへの新しい認証タイプを追加する必要があり、したがって、PPPの実装は、それを使用するように変更する必要があります。また、LCP中に特定の認証メカニズムを交渉の前のPPP認証モデルから外れます。同様に、スイッチ又はアクセスポイント実装は、EAPを使用するために、[IEEE-802.1X]をサポートする必要があります。
o Where the authenticator is separate from the backend authentication server, this complicates the security analysis and, if needed, key distribution.
オーセンティケータは、バックエンド認証サーバから分離されている場合は、O、これはセキュリティ分析を複雑にして、必要に応じて、キー配布。
An EAP conversation MAY utilize a sequence of methods. A common example of this is an Identity request followed by a single EAP authentication method such as an MD5-Challenge. However, the peer and authenticator MUST utilize only one authentication method (Type 4 or greater) within an EAP conversation, after which the authenticator MUST send a Success or Failure packet.
EAPの会話は、メソッドのシーケンスを利用することができます。この一般的な例は、MD5チャレンジなどの単一のEAP認証方式に続く識別要求です。しかし、ピアとオーセンティケータは、オーセンティケータは、成功または失敗パケットを送る必要がある後のEAPの会話内の唯一の認証方法（タイプ4以上）、利用しなければなりません。
Once a peer has sent a Response of the same Type as the initial Request, an authenticator MUST NOT send a Request of a different Type prior to completion of the final round of a given method (with the exception of a Notification-Request) and MUST NOT send a Request for an additional method of any Type after completion of the initial authentication method; a peer receiving such Requests MUST treat them as invalid, and silently discard them. As a result, Identity Requery is not supported.
ピアが最初の要求と同じタイプの応答を送信した後、オーセンティケータは、前（通知リクエストを除いて）指定された方法の最終ラウンドの完了に異なるタイプのリクエストを送信しなければならずしてはいけません最初の認証方法の完了後に任意の種類の追加方法のためのリクエストを送信しません。このような要求を受けたピアは無効として扱う、と静かにそれを捨てなければなりません。その結果、アイデンティティのRequeryがサポートされていません。
A peer MUST NOT send a Nak (legacy or expanded) in reply to a Request after an initial non-Nak Response has been sent. Since spoofed EAP Request packets may be sent by an attacker, an authenticator receiving an unexpected Nak SHOULD discard it and log the event.
初期の非NAK応答が送信された後、ピアは、要求に応答してナック（レガシーまたは拡張）を送ってはいけません。スプーフィングされたEAP要求パケットが攻撃者によって送信することができるので、予想外のNAKを受信オーセンティケータは、それを破棄して、イベントをログに記録します。
Multiple authentication methods within an EAP conversation are not supported due to their vulnerability to man-in-the-middle attacks (see Section 7.4) and incompatibility with existing implementations.
EAPの会話内の複数の認証方法は、のman-in-the-middle攻撃する（7.4節を参照）、既存の実装との互換性がないことを、それらの脆弱性に対応していません。
Where a single EAP authentication method is utilized, but other methods are run within it (a "tunneled" method), the prohibition against multiple authentication methods does not apply. Such "tunneled" methods appear as a single authentication method to EAP. Backward compatibility can be provided, since a peer not supporting a "tunneled" method can reply to the initial EAP-Request with a Nak (legacy or expanded). To address security vulnerabilities, "tunneled" methods MUST support protection against man-in-the-middle attacks.
単一のEAP認証方式が利用されているが、他の方法は、それ（「トンネル化」の方法）内で実行されている場合は、複数の認証方法を禁止する規定は適用されません。このような「トンネル化」の方法はEAPへの単一の認証方法として表示されます。 「トンネリング」メソッドをサポートしないピアがNAK（レガシーまたは拡張）との最初のEAP-要求に応答することができるので、後方互換性を提供することができます。セキュリティの脆弱性に対処するために、「トンネル化」の方法は、man-in-the-middle攻撃に対する保護をサポートしなければなりません。
Conceptually, EAP implementations consist of the following components:
概念的に、EAPインプリメンテーションは、次のコンポーネントで構成されます。
[a] Lower layer. The lower layer is responsible for transmitting and receiving EAP frames between the peer and authenticator. EAP has been run over a variety of lower layers including PPP, wired IEEE 802 LANs [IEEE-802.1X], IEEE 802.11 wireless LANs [IEEE-802.11], UDP (L2TP [RFC2661] and IKEv2 [IKEv2]), and TCP [PIC]. Lower layer behavior is discussed in Section 3.
[A]下位層。下位層はピアとオーセンティケータとの間のEAPフレームを送受信するための責任があります。 EAPは[PPP、有線IEEE 802のLAN [IEEE-802.1X]、IEEE 802.11無線LAN [IEEE-802.11]、UDP（L2TP [RFC2661]とのIKEv2 [IKEv2の]）、およびTCPを含む下層の種々にわたって実行されましたPIC]。下層の動作は第3節で議論されます。
[b] EAP layer. The EAP layer receives and transmits EAP packets via the lower layer, implements duplicate detection and retransmission, and delivers and receives EAP messages to and from the EAP peer and authenticator layers.
[B] EAP層。 EAP層は、受信して下位層を介してEAPパケットを送信し、重複検出および再送信を実装し、提供し、およびEAPピアとオーセンティケータ層からのEAPメッセージを受信します。
[c] EAP peer and authenticator layers. Based on the Code field, the EAP layer demultiplexes incoming EAP packets to the EAP peer and authenticator layers. Typically, an EAP implementation on a given host will support either peer or authenticator functionality, but it is possible for a host to act as both an EAP peer and authenticator. In such an implementation both EAP peer and authenticator layers will be present.
[C] EAPピア及びオーセンティケータ層。コードフィールドに基づいて、EAP層はEAPピアとオーセンティケータ層への着信EAPパケットを分離します。典型的には、特定のホスト上のEAP実装は、ピアまたはオーセンティケータ機能のいずれかをサポートしますが、ホストがEAPピア及びオーセンティケータの両方として作用することが可能です。そのような実装では、両方のEAPピアとオーセンティケータの層が存在することになります。
[d] EAP method layers. EAP methods implement the authentication algorithms and receive and transmit EAP messages via the EAP peer and authenticator layers. Since fragmentation support is not provided by EAP itself, this is the responsibility of EAP methods, which are discussed in Section 5.
[D] EAPメソッド層。 EAPメソッドは、認証アルゴリズムを実行し、EAPピアとオーセンティケータの層を介してEAPメッセージを送受信。断片化のサポートはEAP自体によって提供されていないので、これはセクション5に記載されているEAPメソッドの責任です。
The EAP multiplexing model is illustrated in Figure 1 below. Note that there is no requirement that an implementation conform to this model, as long as the on-the-wire behavior is consistent with it.
EAP多重化モデルは、以下の図1に示されています。限り、オン・ワイヤー行動がそれと一致しているとして、実装はこのモデルに準拠必要はないことに注意してください。
+-+-+-+-+-+-+-+-+-+-+-+-+ +-+-+-+-+-+-+-+-+-+-+-+-+
| | | | | |
| EAP method| EAP method| | EAP method| EAP method|
| Type = X | Type = Y | | Type = X | Type = Y |
| V | | | ^ | |
+-+-+-+-!-+-+-+-+-+-+-+-+ +-+-+-+-!-+-+-+-+-+-+-+-+
| ! | | ! |
| EAP ! Peer layer | | EAP ! Auth. layer |
| ! | | ! |
+-+-+-+-!-+-+-+-+-+-+-+-+ +-+-+-+-!-+-+-+-+-+-+-+-+
| ! | | ! |
| EAP ! layer | | EAP ! layer |
| ! | | ! |
+-+-+-+-!-+-+-+-+-+-+-+-+ +-+-+-+-!-+-+-+-+-+-+-+-+
| ! | | ! |
| Lower ! layer | | Lower ! layer |
| ! | | ! |
+-+-+-+-!-+-+-+-+-+-+-+-+ +-+-+-+-!-+-+-+-+-+-+-+-+
! !
! Peer ! Authenticator
+------------>-------------+
Figure 1: EAP Multiplexing Model
図1：EAP多重モデル
Within EAP, the Code field functions much like a protocol number in IP. It is assumed that the EAP layer demultiplexes incoming EAP packets according to the Code field. Received EAP packets with Code=1 (Request), 3 (Success), and 4 (Failure) are delivered by the EAP layer to the EAP peer layer, if implemented. EAP packets with Code=2 (Response) are delivered to the EAP authenticator layer, if implemented.
EAPの中で、多くのIPのプロトコル番号のようなコードフィールド機能。 EAP層は、コードフィールドに従って着信EAPパケットを逆多重化しているものとします。実装されている場合、コード= 1（要求）、3（成功）、および4（失敗）でEAPパケットを受信し、EAPピア層にEAP層によって送達されます。実装されている場合、コード= 2（応答）とEAPパケットは、EAP認証レイヤに配信されます。
Within EAP, the Type field functions much like a port number in UDP or TCP. It is assumed that the EAP peer and authenticator layers demultiplex incoming EAP packets according to their Type, and deliver them only to the EAP method corresponding to that Type. An EAP method implementation on a host may register to receive packets from the peer or authenticator layers, or both, depending on which role(s) it supports.
EAPの中で、多くのUDPまたはTCPのポート番号などのTypeフィールド機能。 EAPピアとオーセンティケータの層は、そのタイプに応じて着信EAPパケットを逆多重化し、唯一、そのタイプに対応するEAPメソッドにそれらを提供することを想定しています。ホスト上のEAPメソッドの実装では、ピアまたはオーセンティケータ層からパケットを受信するように登録、または両方、それがサポートする役割（複数可）に依存してもよいです。
Since EAP authentication methods may wish to access the Identity, implementations SHOULD make the Identity Request and Response accessible to authentication methods (Types 4 or greater), in addition to the Identity method. The Identity Type is discussed in Section 5.1.
EAP認証メソッドはアイデンティティにアクセスすることを望む可能性があるため、実装は、Identity方法に加えて、認証方法（タイプ4以上）に識別要求と応答がアクセスすべきです。アイデンティティタイプは、セクション5.1で議論されています。
A Notification Response is only used as confirmation that the peer received the Notification Request, not that it has processed it, or displayed the message to the user. It cannot be assumed that the contents of the Notification Request or Response are available to another method. The Notification Type is discussed in Section 5.2.
通知応答のみピアがそれを処理し、またはユーザにメッセージを表示していないことを、通知要求を受信した確認として使用されます。通知要求または応答の内容は別の方法で利用可能であると仮定することはできません。通知タイプは、セクション5.2で説明されています。
Nak (Type 3) or Expanded Nak (Type 254) are utilized for the purposes of method negotiation. Peers respond to an initial EAP Request for an unacceptable Type with a Nak Response (Type 3) or Expanded Nak Response (Type 254). It cannot be assumed that the contents of the Nak Response(s) are available to another method. The Nak Type(s) are discussed in Section 5.3.
NAK（タイプ3）または拡張NAKが（254型）方式のネゴシエーションの目的のために利用されています。ピアはNakの応答（タイプ3）または拡張Nakの応答（タイプ254）との容認できないタイプのための最初のEAP要求に応答します。 NAK応答（S）の内容が別の方法に利用可能であると仮定することはできません。 Nakのタイプ（複数可）は、セクション5.3に記載されています。
EAP packets with Codes of Success or Failure do not include a Type field, and are not delivered to an EAP method. Success and Failure are discussed in Section 4.2.
成功または失敗のコードとEAPパケットはTypeフィールドが含まれていない、とEAPメソッドに配信されません。成功と失敗は、4.2節で議論されています。
Given these considerations, the Success, Failure, Nak Response(s), and Notification Request/Response messages MUST NOT be used to carry data destined for delivery to other EAP methods.
これらの考察を考えると、成功、失敗、ナック応答（S）、および通知要求/応答メッセージは、他のEAP方式への配信に向けられたデータを運ぶために使用してはいけません。
When operating as a "pass-through authenticator", an authenticator performs checks on the Code, Identifier, and Length fields as described in Section 4.1. It forwards EAP packets received from the peer and destined to its authenticator layer to the backend authentication server; packets received from the backend authentication server destined to the peer are forwarded to it.
「パススルー認証者」として動作しているとき、セクション4.1で説明したように、オーセンティケータは、コード、識別子にチェック、および長さフィールドを行います。これは、ピアから受信し、バックエンド認証サーバに対する認証者層宛てのEAPパケットを転送します。ピア宛のバックエンド認証サーバから受信したパケットは、それに転送されます。
A host receiving an EAP packet may only do one of three things with it: act on it, drop it, or forward it. The forwarding decision is typically based only on examination of the Code, Identifier, and Length fields. A pass-through authenticator implementation MUST be capable of forwarding EAP packets received from the peer with Code=2 (Response) to the backend authentication server. It also MUST be capable of receiving EAP packets from the backend authentication server and forwarding EAP packets of Code=1 (Request), Code=3 (Success), and Code=4 (Failure) to the peer.
、それに基づいて行動し、それをドロップする、またはそれを転送：EAPパケットを受信したホストは、それだけで3つのうちの1つを行うことができます。転送の決定は、一般的にのみ、コード、識別子、長さフィールドの検査に基づいています。パススルー認証者実装はバックエンド認証サーバにコード= 2（応答）とのピアから受信した転送EAPパケットことができなければなりません。また、バックエンド認証サーバからEAPパケットを受信し、ピアにコード= 1（要求）、コード= 3（成功）、及びコード= 4（失敗）のEAPパケットを転送することができなければなりません。
Unless the authenticator implements one or more authentication methods locally which support the authenticator role, the EAP method layer header fields (Type, Type-Data) are not examined as part of the forwarding decision. Where the authenticator supports local authentication methods, it MAY examine the Type field to determine whether to act on the packet itself or forward it. Compliant pass-through authenticator implementations MUST by default forward EAP packets of any Type.
オーセンティケータは、オーセンティケータの役割をサポートするローカル1つ以上の認証メソッドを実装していない限り、EAPメソッドレイヤヘッダ・フィールド（タイプ、タイプデータ）転送の決定の一部として検討されていません。オーセンティケータは、ローカル認証方式をサポートしている場合は、それがパケット自体に作用するか、またはそれを転送するかどうかを判断するためにTypeフィールドを調べることができます。準拠パススルー認証システムの実装では、あらゆる種類のデフォルトでは前方EAPパケットなければなりません。
EAP packets received with Code=1 (Request), Code=3 (Success), and Code=4 (Failure) are demultiplexed by the EAP layer and delivered to the peer layer. Therefore, unless a host implements an EAP peer layer, these packets will be silently discarded. Similarly, EAP packets received with Code=2 (Response) are demultiplexed by the EAP layer and delivered to the authenticator layer. Therefore, unless a host implements an EAP authenticator layer, these packets will be silently discarded. The behavior of a "pass-through peer" is undefined within this specification, and is unsupported by AAA protocols such as RADIUS [RFC3579] and Diameter [DIAM-EAP].
コード= 1（要求）、コード= 3（成功）、及びコード= 4（失敗）で受信されたEAPパケットをEAP層で分離ピア層に配信されます。ホストがEAPピア層を実装しない限り、そのため、これらのパケットは、黙って破棄されます。同様に、EAPパケットをEAP層で分離し、オーセンティケータ層に配信されるコード= 2（応答）で受信しました。ホストがEAP認証の層を実装しない限り、そのため、これらのパケットは、黙って破棄されます。 「パススルー・ピア」の動作は、本明細書内で定義されていない、そのようなRADIUS [RFC3579]とDiameter [DIAM-EAP]などのAAAプロトコルによってサポートされていませんされています。
The forwarding model is illustrated in Figure 2.
転送モデルは、図2に示されています。
Peer Pass-through Authenticator Authentication
Server
+-+-+-+-+-+-+ +-+-+-+-+-+-+
| | | |
|EAP method | |EAP method |
| V | | ^ |
+-+-+-!-+-+-+ +-+-+-+-+-+-+-+-+-+-+-+-+-+-+ +-+-+-!-+-+-+
| ! | |EAP | EAP | | | ! |
| ! | |Peer | Auth.| EAP Auth. | | ! |
|EAP ! peer| | | +-----------+ | |EAP !Auth.|
| ! | | | ! | ! | | ! |
+-+-+-!-+-+-+ +-+-+-+-!-+-+-+-+-+-!-+-+-+-+ +-+-+-!-+-+-+
| ! | | ! | ! | | ! |
|EAP !layer| | EAP !layer| EAP !layer | |EAP !layer|
| ! | | ! | ! | | ! |
+-+-+-!-+-+-+ +-+-+-+-!-+-+-+-+-+-!-+-+-+-+ +-+-+-!-+-+-+
| ! | | ! | ! | | ! |
|Lower!layer| | Lower!layer| AAA ! /IP | | AAA ! /IP |
| ! | | ! | ! | | ! |
+-+-+-!-+-+-+ +-+-+-+-!-+-+-+-+-+-!-+-+-+-+ +-+-+-!-+-+-+
! ! ! !
! ! ! !
+-------->--------+ +--------->-------+
Figure 2: Pass-through Authenticator
図2：パススルー認証
For sessions in which the authenticator acts as a pass-through, it MUST determine the outcome of the authentication solely based on the Accept/Reject indication sent by the backend authentication server; the outcome MUST NOT be determined by the contents of an EAP packet sent along with the Accept/Reject indication, or the absence of such an encapsulated EAP packet.
オーセンティケータがパススルーとして作用するセッションのために、それは単独に基づく認証の結果を決定しなければならない受け入れ/拒否バックエンド認証サーバによって送信された指示。結果は、/は拒否受け入れる指示、またはそのようなカプセル化されたEAPパケットの不在とともに送信EAPパケットの内容によって決定されてはいけません。
Since EAP is a peer-to-peer protocol, an independent and simultaneous authentication may take place in the reverse direction (depending on the capabilities of the lower layer). Both ends of the link may act as authenticators and peers at the same time. In this case, it is necessary for both ends to implement EAP authenticator and peer layers. In addition, the EAP method implementations on both peers must support both authenticator and peer functionality.
EAPは、ピア・ツー・ピア・プロトコルであるので、独立した同時の認証は、逆方向（下層の能力に応じて）で行うことができます。リンクの両端が同時に認証子とピアとして作用することができます。両端がEAPオーセンティケータとピア層を実装するため、この場合には、それが必要です。加えて、両方のピア上のEAPメソッドの実装は、オーセンティケータとピアの機能の両方をサポートしなければなりません。
Although EAP supports peer-to-peer operation, some EAP implementations, methods, AAA protocols, and link layers may not support this. Some EAP methods may support asymmetric authentication, with one type of credential being required for the peer and another type for the authenticator. Hosts supporting peer-to-peer operation with such a method would need to be provisioned with both types of credentials.
EAPピア・ツー・ピア動作をサポートしているが、いくつかのEAP実装、方法、AAAプロトコル、及びリンク層がこの機能をサポートしなくてもよいです。いくつかのEAPメソッドは、ピアと認証のための別のタイプに必要とされる資格情報の一種で、非対称認証をサポートすることができます。このような方法でピア・ツー・ピア動作をサポートするホストがクレデンシャルの両方のタイプでプロビジョニングする必要があります。
For example, EAP-TLS [RFC2716] is a client-server protocol in which distinct certificate profiles are typically utilized for the client and server. This implies that a host supporting peer-to-peer authentication with EAP-TLS would need to implement both the EAP peer and authenticator layers, support both peer and authenticator roles in the EAP-TLS implementation, and provision certificates appropriate for each role.
例えば、EAP-TLS [RFC2716]は異なる証明書プロファイルは、典型的には、クライアントとサーバのために利用されているクライアント - サーバプロトコルです。これは、EAP-TLSとのピア・ツー・ピアの認証をサポートするホストは、EAPピアとオーセンティケータ層の両方を実装する必要がEAP-TLSの実装では、ピアと認証の両方の役割をサポートし、それぞれの役割に適したプロビジョニング証明書しまうことを意味しています。
AAA protocols such as RADIUS/EAP [RFC3579] and Diameter EAP [DIAM-EAP] only support "pass-through authenticator" operation. As noted in [RFC3579] Section 2.6.2, a RADIUS server responds to an Access-Request encapsulating an EAP-Request, Success, or Failure packet with an Access-Reject. There is therefore no support for "pass-through peer" operation.
このようなRADIUS / EAP [RFC3579]とDiameter EAP [DIAM-EAP]などのAAAプロトコルは、 "パススルー認証者" 動作をサポートします。 [RFC3579]セクション2.6.2で述べたように、RADIUSサーバは、アクセス拒否とEAP-要求、成功、または失敗パケットをカプセル化するアクセス要求に応答します。 「パススルー・ピア」の動作はサポートさゆえありません。
Even where a method is used which supports mutual authentication and result indications, several considerations may dictate that two EAP authentications (one in each direction) are required. These include:
この方法は、相互認証及び結果表示をサポートする使用される場合でも、いくつかの考慮事項は、二つのEAP認証（各方向に1つずつ）が必要であることを指示することができます。これらは、次のとおりです。
[1] Support for bi-directional session key derivation in the lower layer. Lower layers such as IEEE 802.11 may only support uni-directional derivation and transport of transient session keys. For example, the group-key handshake defined in [IEEE-802.11i] is uni-directional, since in IEEE 802.11 infrastructure mode, only the Access Point (AP) sends multicast/broadcast traffic. In IEEE 802.11 ad hoc mode, where either peer may send multicast/broadcast traffic, two uni-directional group-key exchanges are required. Due to limitations of the design, this also implies the need for unicast key derivations and EAP method exchanges to occur in each direction.
下層の双方向セッションキーの導出のために[1]サポート。例えばIEEE 802.11のような下位層のみトランジエントセッション鍵の一方向導出及び輸送をサポートすることができます。例えば、[IEEE-802.11i規格]で定義されたグループキーハンドシェイクは、IEEE 802.11インフラストラクチャモードであるため、一方向であり、唯一のアクセスポイント（AP）は、マルチキャスト/ブロードキャストトラフィックを送信します。ピアがマルチキャスト/ブロードキャストトラフィックを送信することができるいずれかのIEEE 802.11アドホックモードでは、二つの一方向グループ鍵の交換が必要です。設計の制約に起因し、これは、各方向に発生するユニキャスト鍵導出およびEAP方式の交換の必要性を暗示します。
[2] Support for tie-breaking in the lower layer. Lower layers such as IEEE 802.11 ad hoc do not support "tie breaking" wherein two hosts initiating authentication with each other will only go forward with a single authentication. This implies that even if 802.11 were to support a bi-directional group-key handshake, then two authentications, one in each direction, might still occur.
[2]下層のタイブレークのサポート。相互認証を開始する2つのホストが単一の認証を進めて行きますここで、このようなアドホックIEEE 802.11などの下位層は「壊すネクタイ」をサポートしていません。これは、802.11は、双方向グループキーハンドシェイクをサポートしていた場合でも、2つの認証、各方向に1つずつが、まだ発生する可能性があることを示唆しています。
[3] Peer policy satisfaction. EAP methods may support result indications, enabling the peer to indicate to the EAP server within the method that it successfully authenticated the EAP server, as well as for the server to indicate that it has authenticated the peer. However, a pass-through authenticator will not be aware that the peer has accepted the credentials offered by the EAP server, unless this information is provided to the authenticator via the AAA protocol. The authenticator SHOULD interpret the receipt of a key attribute within an Accept packet as an indication that the peer has successfully authenticated the server.
[3]ピアポリシー満足度。 EAPメソッドは、それが正常にEAPサーバを認証メソッド内、並びにそれがピアを認証したことを示すために、サーバに対してEAPサーバに示すためにピアを可能にする、結果の表示をサポートしてもよいです。しかし、パススルー認証者は、この情報は、AAAプロトコルを介してオーセンティケータに提供されていない限り、ピアは、EAPサーバによって提供される資格情報を受け付けたことを認識できません。オーセンティケータは、ピアは、サーバーを正常に認証されたことを示すものとして受け入れパケット内のキー属性の領収書を解釈すべきです。
However, it is possible that the EAP peer's access policy was not satisfied during the initial EAP exchange, even though mutual authentication occurred. For example, the EAP authenticator may not have demonstrated authorization to act in both peer and authenticator roles. As a result, the peer may require an additional authentication in the reverse direction, even if the peer provided an indication that the EAP server had successfully authenticated to it.
しかし、EAPピアのアクセスポリシーは、相互認証が発生していても、初期のEAP交換の際に満足していなかった可能性があります。例えば、EAP認証は、ピアとオーセンティケータの役割の両方で作用する権限を実証していないかもしれません。結果として、ピアは、ピアがEAPサーバが正常にそれに認証したことの表示を提供しても、逆方向の追加の認証を必要とするかもしれません。
EAP makes the following assumptions about lower layers:
EAPは、下位層について次のように仮定します
[1] Unreliable transport. In EAP, the authenticator retransmits Requests that have not yet received Responses so that EAP does not assume that lower layers are reliable. Since EAP defines its own retransmission behavior, it is possible (though undesirable) for retransmission to occur both in the lower layer and the EAP layer when EAP is run over a reliable lower layer.
[1]低信頼転送。 EAPでは、オーセンティケータは、EAPは下位層が信頼性があることを前提としないように、まだ応答を受け取っていない要求を再送信します。 EAPは、独自の再送動作を定義するので、下層とEAPが信頼できる下位層上で実行されるEAPの層の両方が発生する再送信のために（望ましくないが）ことが可能です。
Note that EAP Success and Failure packets are not retransmitted. Without a reliable lower layer, and with a non-negligible error rate, these packets can be lost, resulting in timeouts. It is therefore desirable for implementations to improve their resilience to loss of EAP Success or Failure packets, as described in Section 4.2.
EAP成功と失敗のパケットが再送されていないことに注意してください。信頼性の低い層のない、と無視できないエラーレートと、これらのパケットがタイムアウトになり、失われる可能性があります。セクション4.2で説明したように実装は、EAP成功または失敗パケットの損失への回復力を改善することが望まれます。
[2] Lower layer error detection. While EAP does not assume that the lower layer is reliable, it does rely on lower layer error detection (e.g., CRC, Checksum, MIC, etc.). EAP methods may not include a MIC, or if they do, it may not be computed over all the fields in the EAP packet, such as the Code, Identifier, Length, or Type fields. As a result, without lower layer error detection, undetected errors could creep into the EAP layer or EAP method layer header fields, resulting in authentication failures.
[2]下層誤り検出。 EAPは、下層が信頼性があることを想定していないが、それは下層エラー検出（例えば、CRC、チェックサム、MIC、等）に依存しません。 EAPメソッドは、MICを含まなくてもよい、または彼らがしなければ、そのようなコード、識別子、長さ、またはタイプのフィールドとしてEAPパケット内のすべてのフィールド、上で計算されない場合があります。結果として、下位レイヤの誤り検出なしで、未検出のエラーは、認証の失敗をもたらす、EAP層またはEAPメソッドレイヤヘッダフィールドにクリープができました。
For example, EAP TLS [RFC2716], which computes its MIC over the
Type-Data field only, regards MIC validation failures as a fatal
error. Without lower layer error detection, this method, and
others like it, will not perform reliably.
[3] Lower layer security. EAP does not require lower layers to provide security services such as per-packet confidentiality, authentication, integrity, and replay protection. However, where these security services are available, EAP methods supporting Key Derivation (see Section 7.2.1) can be used to provide dynamic keying material. This makes it possible to bind the EAP authentication to subsequent data and protect against data modification, spoofing, or replay. See Section 7.1 for details.
[3]下位層セキュリティ。 EAPは、パケットごとの機密性、認証、完全性、および再生保護などのセキュリティサービスを提供するために、下位層を必要としません。これらのセキュリティサービスが利用可能な場合しかし、鍵導出（7.2.1項を参照）をサポートするEAPメソッドは、動的な鍵素材を提供するために使用することができます。これは、その後のデータにEAP認証を結合して、データの変更、スプーフィング、またはリプレイから保護することが可能となります。詳細については、7.1節を参照してください。
[4] Minimum MTU. EAP is capable of functioning on lower layers that provide an EAP MTU size of 1020 octets or greater.
[4]最小のMTU。 EAP 1020オクテット以上のEAP MTUサイズを提供する下位層に機能することができます。
EAP does not support path MTU discovery, and fragmentation and
reassembly is not supported by EAP, nor by the methods defined in
this specification: Identity (1), Notification (2), Nak Response
(3), MD5-Challenge (4), One Time Password (5), Generic Token Card
(6), and expanded Nak Response (254) Types.
Typically, the EAP peer obtains information on the EAP MTU from the lower layers and sets the EAP frame size to an appropriate value. Where the authenticator operates in pass-through mode, the authentication server does not have a direct way of determining the EAP MTU, and therefore relies on the authenticator to provide it with this information, such as via the Framed-MTU attribute, as described in [RFC3579], Section 2.4.
典型的には、EAPピアは下位層からのEAP MTUの情報を取得し、適切な値にEAPフレームサイズを設定します。オーセンティケータがパススルー・モードで動作する場合、認証サーバはEAP MTUを決定する直接的な方法を持っていないので、に記載されているように、そのような入り-MTU属性を介しとして、この情報を、それを提供するために、オーセンティケータに依存しています[RFC3579]、セクション2.4。
While methods such as EAP-TLS [RFC2716] support fragmentation and reassembly, EAP methods originally designed for use within PPP where a 1500 octet MTU is guaranteed for control frames (see [RFC1661], Section 6.1) may lack fragmentation and reassembly features.
そのようなEAP-TLS [RFC2716]支持フラグメンテーション及び再組み立てなどの方法が、元々1500オクテットのMTUを制御フレーム用に保証されているPPP内で使用するために設計されたEAPメソッドは、（[RFC1661]、セクション6.1を参照されたい）断片化と再アセンブリ機能を欠いていてもよいです。
EAP methods can assume a minimum EAP MTU of 1020 octets in the absence of other information. EAP methods SHOULD include support for fragmentation and reassembly if their payloads can be larger than this minimum EAP MTU.
EAPメソッドは、他の情報が存在しない場合に1020オクテットの最小EAP MTUをとることができます。それらのペイロードがこの最小EAP MTUよりも大きくすることができる場合にEAPメソッドは断片化と再アセンブリのためのサポートを含むべきです。
EAP is a lock-step protocol, which implies a certain inefficiency when handling fragmentation and reassembly. Therefore, if the lower layer supports fragmentation and reassembly (such as where EAP is transported over IP), it may be preferable for fragmentation and reassembly to occur in the lower layer rather than in EAP. This can be accomplished by providing an artificially large EAP MTU to EAP, causing fragmentation and reassembly to be handled within the lower layer.
EAPは、断片化と再アセンブリを取り扱う際に、特定の非効率性を意味ロックステッププロトコルです。下層が断片化と再アセンブリを（例えば、EAPがIPの上で輸送されるように）サポートしている場合、断片化と再アセンブリは、下層にはなく、EAPで発生するので、それは好ましいかもしれません。これは、断片化と再アセンブリは、下部層内で処理させる、EAPに人工的に大きいEAP MTUを提供することによって達成することができます。
[5] Possible duplication. Where the lower layer is reliable, it will provide the EAP layer with a non-duplicated stream of packets. However, while it is desirable that lower layers provide for non-duplication, this is not a requirement. The Identifier field provides both the peer and authenticator with the ability to detect duplicates.
[5]可能性のある重複。下層が信頼性がある場合、それは、パケットの非重複ストリームとEAP層を提供します。それは下位層は非複製のために提供することが望ましいがしかし、これは必要条件ではありません。識別子フィールドは重複を検出する能力と、ピアとオーセンティケータの両方を提供します。
[6] Ordering guarantees. EAP does not require the Identifier to be monotonically increasing, and so is reliant on lower layer ordering guarantees for correct operation. EAP was originally defined to run on PPP, and [RFC1661] Section 1 has an ordering requirement:
[6]の保証を注文します。 EAPは単調に増加することに識別子を必要とし、その正しい操作のための下層注文保証に依存しているものではありません。 EAPは、もともとPPP上で実行するように定義された、および[RFC1661]セクション1は、発注要件があります。
"The Point-to-Point Protocol is designed for simple links
which transport packets between two peers. These links
provide full-duplex simultaneous bi-directional operation,
and are assumed to deliver packets in order."
Lower layer transports for EAP MUST preserve ordering between a source and destination at a given priority level (the ordering guarantee provided by [IEEE-802]).
下部層は、所定の優先レベル（によって提供される順序付け保証[IEEE-802]）のソースと宛先との間の順序を保存しなければならないEAPのために搬送します。
Reordering, if it occurs, will typically result in an EAP authentication failure, causing EAP authentication to be re-run. In an environment in which reordering is likely, it is therefore expected that EAP authentication failures will be common. It is RECOMMENDED that EAP only be run over lower layers that provide ordering guarantees; running EAP over raw IP or UDP transport is
並べ替えは、それが発生した場合、一般的にEAP認証が再起動されることを引き起こして、EAP認証失敗になります。並べ替えが可能性が高い環境では、したがって、EAP認証の失敗が共通であることが期待されます。 EAPのみ発注保証を提供する下位層の上に実行することをお勧めします。生のIPまたはUDPトランスポート上で実行EAPです
NOT RECOMMENDED. Encapsulation of EAP within RADIUS [RFC3579] satisfies ordering requirements, since RADIUS is a "lockstep" protocol that delivers packets in order.
推奨しません。 RADIUS内EAPのカプセル化RADIUSを順にパケットを配信する「ロックステップ」プロトコルであるため、要件を注文[RFC3579]を満たします。
In order to establish communications over a point-to-point link, each end of the PPP link first sends LCP packets to configure the data link during the Link Establishment phase. After the link has been established, PPP provides for an optional Authentication phase before proceeding to the Network-Layer Protocol phase.
ポイントツーポイントリンクを介して通信を確立するために、PPPリンクの各端は、最初のリンク確立フェーズの間にデータリンクを設定するためにLCPパケットを送信します。リンクが確立された後、PPPはネットワーク層プロトコルフェーズに進む前に、オプションの認証フェーズのために用意されています。
By default, authentication is not mandatory. If authentication of the link is desired, an implementation MUST specify the Authentication Protocol Configuration Option during the Link Establishment phase.
デフォルトでは、認証は必須ではありません。リンクの認証が必要な場合は、実装は、リンク確立フェーズ認証プロトコルの設定オプションを指定する必要があります。
If the identity of the peer has been established in the Authentication phase, the server can use that identity in the selection of options for the following network layer negotiations.
ピアのアイデンティティが認証フェーズで確立されている場合、サーバーは次のネットワーク層交渉のためのオプションの選択で、そのIDを使用することができます。
When implemented within PPP, EAP does not select a specific authentication mechanism at the PPP Link Control Phase, but rather postpones this until the Authentication Phase. This allows the authenticator to request more information before determining the specific authentication mechanism. This also permits the use of a "backend" server which actually implements the various mechanisms while the PPP authenticator merely passes through the authentication exchange. The PPP Link Establishment and Authentication phases, and the Authentication Protocol Configuration Option, are defined in The Point-to-Point Protocol (PPP) [RFC1661].
PPP内に実装すると、EAPは、PPPリンク制御フェーズで特定の認証メカニズムを選択するのではなく、認証フェーズまでこれを延期しません。これは、オーセンティケータは特定の認証メカニズムを決定する前に、より多くの情報を要求することができます。これはまた、PPP認証は、単に認証交換を通過する間に、実際に様々なメカニズムを実装し、「バックエンド」サーバの使用を可能にします。 PPPリンク確立および認証フェーズ、および認証プロトコル設定オプションは、ポイントツーポイントプロトコル（PPP）[RFC1661]で定義されています。
A summary of the PPP Authentication Protocol Configuration Option format to negotiate EAP follows. The fields are transmitted from left to right.
EAPを交渉するためにPPP認証プロトコル設定オプション形式の詳細は、以下の通りです。フィールドは左から右に送信されます。
Exactly one EAP packet is encapsulated in the Information field of a PPP Data Link Layer frame where the protocol field indicates type hex C227 (PPP EAP).
正確に一つのEAPパケットは、プロトコルフィールドが六角C227（PPP EAP）を入力示しPPPデータリンク層フレームの情報フィールドにカプセル化されます。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type | Length | Authentication Protocol |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Type
タイプ
3
３
Length
長さ
4
４
Authentication Protocol
認証プロトコル
C227 (Hex) for Extensible Authentication Protocol (EAP)
拡張認証プロトコル（EAP）のためのC227（16進数）
The encapsulation of EAP over IEEE 802 is defined in [IEEE-802.1X]. The IEEE 802 encapsulation of EAP does not involve PPP, and IEEE 802.1X does not include support for link or network layer negotiations. As a result, within IEEE 802.1X, it is not possible to negotiate non-EAP authentication mechanisms, such as PAP or CHAP [RFC1994].
IEEE 802上のEAPのカプセル化は[IEEE-802.1X]で定義されています。 EAPのIEEE 802カプセル化はPPPを伴わない、とIEEE 802.1Xは、リンクまたはネットワーク層交渉のためのサポートが含まれていません。結果として、IEEE 802.1X内で、そのようなPAPまたはCHAP [RFC1994]などの非EAP認証機構をネゴシエートすることは不可能です。
The reliability and security of lower layer indications is dependent on the lower layer. Since EAP is media independent, the presence or absence of lower layer security is not taken into account in the processing of EAP messages.
下位レイヤ表示の信頼性とセキュリティは、下位層に依存しています。 EAPは、メディア独立しているため、下層セキュリティの有無をEAPメッセージの処理中に考慮されていません。
To improve reliability, if a peer receives a lower layer success indication as defined in Section 7.2, it MAY conclude that a Success packet has been lost, and behave as if it had actually received a Success packet. This includes choosing to ignore the Success in some circumstances as described in Section 4.2.
信頼性を向上させるために、ピアは、セクション7.2で定義された下層成功指示を受信した場合、それが成功パケットが失われていると結論することができ、それが実際に成功パケットを受信したかのように振る舞います。これは、4.2節で説明したように、いくつかの状況での成功を無視することを選択含まれています。
A discussion of some reliability and security issues with lower layer indications in PPP, IEEE 802 wired networks, and IEEE 802.11 wireless LANs can be found in the Security Considerations, Section 7.12.
PPP、IEEE 802有線ネットワーク、およびIEEE 802.11無線LANにおける下層の適応症を持ついくつかの信頼性とセキュリティ問題の議論は、セキュリティの考慮で、セクション7.12を見つけることができます。
After EAP authentication is complete, the peer will typically transmit and receive data via the authenticator. It is desirable to provide assurance that the entities transmitting data are the same ones that successfully completed EAP authentication. To accomplish this, it is necessary for the lower layer to provide per-packet integrity, authentication and replay protection, and to bind these per-packet services to the keys derived during EAP authentication. Otherwise, it is possible for subsequent data traffic to be modified, spoofed, or replayed.
EAP認証が完了すると、ピアは、典型的には、送信およびオーセンティケータを介してデータを受信します。データを送信するエンティティが正常にEAP認証を完了したものと同じものであることを保証を提供することが望ましいです。下位層がパケットごとの整合性、認証およびリプレイ保護を提供するため、およびEAP認証時に派生キーにこれらのパケットごとのサービスをバインドするためにこれを達成するためには、それが必要です。それ以外の場合は、後続のデータトラフィックは、修飾された偽装、または再生することが可能です。
Where keying material for the lower layer ciphersuite is itself provided by EAP, ciphersuite negotiation and key activation are controlled by the lower layer. In PPP, ciphersuites are negotiated within ECP so that it is not possible to use keys derived from EAP authentication until the completion of ECP. Therefore, an initial EAP exchange cannot be protected by a PPP ciphersuite, although EAP re-authentication can be protected.
下層暗号スイートのための鍵材料は、EAPによって提供そのものである場合、暗号スイートネゴシエーションと鍵活性化は下位レイヤにより制御されます。 ECPが完了するまでEAP認証から導出鍵を使用することができないようにPPPでは、暗号スイートは、ECP内でネゴシエートされます。 EAP再認証を保護することができるが故に、初期EAP交換は、PPPの暗号スイートによって保護することができません。
In IEEE 802 media, initial key activation also typically occurs after completion of EAP authentication. Therefore an initial EAP exchange typically cannot be protected by the lower layer ciphersuite, although an EAP re-authentication or pre-authentication exchange can be protected.
IEEE 802の培地中で、初期鍵の活性化はまた、典型的には、EAP認証の完了後に起こります。 EAP再認証または事前認証交換を保護することができるが故に、初期EAP交換は、典型的には、下層暗号スイートによって保護することができません。
A summary of the EAP packet format is shown below. The fields are transmitted from left to right.
EAPパケットフォーマットの概要は以下に示されています。フィールドは左から右に送信されます。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Code | Identifier | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Data ...
+-+-+-+-+
Code
コード
The Code field is one octet and identifies the Type of EAP packet. EAP Codes are assigned as follows:
コードフィールドは1つのオクテットで、EAPパケットの種類を識別します。次のようにEAPコードが割り当てられています。
1 Request 2 Response 3 Success 4 Failure
1つのリクエスト2応答3つの成功4失敗
Since EAP only defines Codes 1-4, EAP packets with other codes MUST be silently discarded by both authenticators and peers.
EAPのみコード1-4を定義するので、他のコードとEAPパケットは、黙ってオーセンティケータとピアの両方によって捨てなければなりません。
Identifier
識別
The Identifier field is one octet and aids in matching Responses with Requests.
識別子フィールドは、リクエストとレスポンスをマッチで1オクテットおよびAIDSです。
Length
長さ
The Length field is two octets and indicates the length, in octets, of the EAP packet including the Code, Identifier, Length, and Data fields. Octets outside the range of the Length field should be treated as Data Link Layer padding and MUST be ignored upon reception. A message with the Length field set to a value larger than the number of received octets MUST be silently discarded.
長さフィールドは、2つのオクテットであり、コード、識別子、長さ、およびデータフィールドを含むEAPパケットのオクテットに、長さを示します。長さフィールドの範囲外のオクテットは、データリンク層のパディングとして扱われるべきであると受信時に無視しなければなりません。受信されたオクテットの数よりも大きな値に設定された長さフィールドを有するメッセージは静かに捨てなければなりません。
Data
データ
The Data field is zero or more octets. The format of the Data field is determined by the Code field.
データフィールドは0個以上のオクテットです。データフィールドの形式はコードフィールドによって決定されます。
Description
説明
The Request packet (Code field set to 1) is sent by the authenticator to the peer. Each Request has a Type field which serves to indicate what is being requested. Additional Request packets MUST be sent until a valid Response packet is received, an optional retry counter expires, or a lower layer failure indication is received.
要求パケット（1に設定されたコード・フィールド）がピアにオーセンティケータによって送信されます。各要求は要求されているかを示すのに役立つTypeフィールドがあります。追加リクエストパケットが有効な応答パケットが受信されるまで、オプションのリトライカウンタが満了し、送信されなければならない、または下位レイヤ障害表示が受信されます。
Retransmitted Requests MUST be sent with the same Identifier value in order to distinguish them from new Requests. The content of the data field is dependent on the Request Type. The peer MUST send a Response packet in reply to a valid Request packet. Responses MUST only be sent in reply to a valid Request and never be retransmitted on a timer.
再送された要求は、新しい要求と区別するために、同じ識別子の値を送らなければなりません。データフィールドの内容は、要求タイプに依存しています。ピアは有効な要求パケットに対する応答として応答パケットを送らなければなりません。応答が唯一の有効な要求に対する応答を送らなければなりませんし、タイマーに再送されることはありません。
If a peer receives a valid duplicate Request for which it has already sent a Response, it MUST resend its original Response without reprocessing the Request. Requests MUST be processed in the order that they are received, and MUST be processed to their completion before inspecting the next Request.
ピアは、それがすでにレスポンスを送信しているため、有効な複製要求を受信した場合には、要求を再処理せずに、元のレスポンスを送信しなおさなければなりません。要求は、それらが受信された順序で処理しなければなりませんし、次の要求を検査する前に、彼らの完成に処理しなければなりません。
A summary of the Request and Response packet format follows. The fields are transmitted from left to right.
要求と応答のパケットフォーマットの概要は以下のとおりです。フィールドは左から右に送信されます。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Code | Identifier | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type | Type-Data ...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-
Code
コード
1 for Request 2 for Response
応答のための要求2のための1
Identifier
識別
The Identifier field is one octet. The Identifier field MUST be the same if a Request packet is retransmitted due to a timeout while waiting for a Response. Any new (non-retransmission) Requests MUST modify the Identifier field.
識別子フィールドは1つのオクテットです。応答を待っている間に識別子フィールドがタイムアウトのためRequestパケットを再送した場合と同じでなければなりません。すべての新しい（非再）要求は、識別子フィールドを変更する必要があります。
The Identifier field of the Response MUST match that of the currently outstanding Request. An authenticator receiving a Response whose Identifier value does not match that of the currently outstanding Request MUST silently discard the Response.
レスポンスの識別子フィールドには、現在未処理の要求のものと一致しなければなりません。識別子値応答を受信するオーセンティケータが静かに応答を捨てなければなりません、現在未処理の要求と一致しません。
In order to avoid confusion between new Requests and retransmissions, the Identifier value chosen for each new Request need only be different from the previous Request, but need not be unique within the conversation. One way to achieve this is to start the Identifier at an initial value and increment it for each new Request. Initializing the first Identifier with a random number rather than starting from zero is recommended, since it makes sequence attacks somewhat more difficult.
新しい要求と再送信の間に混乱を避けるために、それぞれの新しい要求のために選ばれた識別子の値は、前の要求とは異なる場合がある必要はなく、会話内で一意である必要はありません。これを達成する1つの方法は、初期値の識別子を開始し、それぞれの新しい要求のためにそれをインクリメントすることです。それは配列攻撃が幾分より困難にするので、ランダムな番号を持つ第一の識別子を初期化するのではなく、ゼロから出発して、推奨されます。
Since the Identifier space is unique to each session, authenticators are not restricted to only 256 simultaneous authentication conversations. Similarly, with re-authentication, an EAP conversation might continue over a long period of time, and is not limited to only 256 roundtrips.
識別子空間は、各セッションに固有のものであるので、オーセンティケータは、唯一の256の同時認証の会話に限定されるものではありません。同様に、再認証と、EAPの会話は、長期間にわたって続ける場合があります、とだけ256往復に限定されるものではありません。
Implementation Note: The authenticator is responsible for retransmitting Request messages. If the Request message is obtained from elsewhere (such as from a backend authentication server), then the authenticator will need to save a copy of the Request in order to accomplish this. The peer is responsible for detecting and handling duplicate Request messages before processing them in any way, including passing them on to an outside party. The authenticator is also responsible for discarding Response messages with a non-matching
実装ノート：オーセンティケータは、要求メッセージを再送信する責任があります。 Requestメッセージが別の場所（例えばバックエンド認証サーバからなど）から取得された場合、オーセンティケータは、これを達成するために、リクエストのコピーを保存する必要があります。ピアは、外部の第三者にそれらを渡すなど、どのような方法でそれらを処理する前に、重複した要求メッセージを検出し、処理するための責任があります。オーセンティケータは、非一致で応答メッセージを廃棄する責任があります
Identifier value before acting on them in any way, including passing them on to the backend authentication server for verification. Since the authenticator can retransmit before receiving a Response from the peer, the authenticator can receive multiple Responses, each with a matching Identifier. Until a new Request is received by the authenticator, the Identifier value is not updated, so that the authenticator forwards Responses to the backend authentication server, one at a time.
検証のためにバックエンド認証サーバにそれらを渡すなど、どのような方法でそれらに作用する前に、識別子の値。オーセンティケータがピアから応答を受信する前に再送信することができるため、オーセンティケータは、マッチング識別子と、それぞれ複数の応答を受信することができます。新しい要求が認証者によって受信されるまで、オーセンティケータはバックエンド認証サーバ、一度に一つの応答を転送するように、識別子の値は、更新されません。
Length
長さ
The Length field is two octets and indicates the length of the EAP packet including the Code, Identifier, Length, Type, and Type-Data fields. Octets outside the range of the Length field should be treated as Data Link Layer padding and MUST be ignored upon reception. A message with the Length field set to a value larger than the number of received octets MUST be silently discarded.
長さフィールドは、2つのオクテットであり、コード、識別子、長さ、タイプ、およびタイプデータフィールドを含むEAPパケットの長さを示します。長さフィールドの範囲外のオクテットは、データリンク層のパディングとして扱われるべきであると受信時に無視しなければなりません。受信されたオクテットの数よりも大きな値に設定された長さフィールドを有するメッセージは静かに捨てなければなりません。
Type
タイプ
The Type field is one octet. This field indicates the Type of Request or Response. A single Type MUST be specified for each EAP Request or Response. An initial specification of Types follows in Section 5 of this document.
Typeフィールドは1つのオクテットです。このフィールドは、要求または応答のタイプを示します。シングルタイプは、それぞれのEAP要求または応答を指定しなければなりません。タイプの初期仕様は、このドキュメントのセクション5に従います。
The Type field of a Response MUST either match that of the Request, or correspond to a legacy or Expanded Nak (see Section 5.3) indicating that a Request Type is unacceptable to the peer. A peer MUST NOT send a Nak (legacy or expanded) in response to a Request, after an initial non-Nak Response has been sent. An EAP server receiving a Response not meeting these requirements MUST silently discard it.
応答のタイプフィールドは、要求タイプがピアに受け入れられないことを示している（第5.3節を参照）要求と一致、またはレガシーまたは拡張のNakに対応する必要があります。初期の非NAK応答が送られた後、ピアは、要求に応じてナック（レガシーまたは拡張）を送ってはいけません。これらの要件を満たしていないレスポンスを受信したEAPサーバは静かにそれを捨てなければなりません。
Type-Data
タイプデータ
The Type-Data field varies with the Type of Request and the associated Response.
タイプのデータフィールドには、要求と関連付けられている応答のタイプによって異なります。
The Success packet is sent by the authenticator to the peer after completion of an EAP authentication method (Type 4 or greater) to indicate that the peer has authenticated successfully to the authenticator. The authenticator MUST transmit an EAP packet with the Code field set to 3 (Success). If the authenticator cannot authenticate the peer (unacceptable Responses to one or more Requests), then after unsuccessful completion of the EAP method in progress, the implementation MUST transmit an EAP packet with the
成功パケットはピアが認証者に認証に成功したことを示すEAP認証方式（タイプ4以上）の完了後ピアにオーセンティケータによって送信されます。オーセンティケータは、3〜コードフィールドセット（成功）でEAPパケットを送信しなければなりません。オーセンティケータがピア（1つまたは複数の要求に許容できないレスポンス）を認証できない場合は、進行中のEAP方法の失敗終了した後、実装がでEAPパケットを送信しなければなりません
Code field set to 4 (Failure). An authenticator MAY wish to issue multiple Requests before sending a Failure response in order to allow for human typing mistakes. Success and Failure packets MUST NOT contain additional data.
4（失敗）に設定Codeフィールド。オーセンティケータは、人間のタイプミスを可能にするために、失敗応答を送信する前に複数の要求を発行することを望むかもしれません。成功と失敗のパケットは、追加のデータを含めることはできません。
Success and Failure packets MUST NOT be sent by an EAP authenticator if the specification of the given method does not explicitly permit the method to finish at that point. A peer EAP implementation receiving a Success or Failure packet where sending one is not explicitly permitted MUST silently discard it. By default, an EAP peer MUST silently discard a "canned" Success packet (a Success packet sent immediately upon connection). This ensures that a rogue authenticator will not be able to bypass mutual authentication by sending a Success packet prior to conclusion of the EAP method conversation.
指定されたメソッドの仕様が明示的にその時点で終了する方法を許可しない場合は成功と失敗のパケットは、EAP認証で送ってはいけません。 1を送信するが、明示的に許可されていない成功または失敗パケットを受信したピア・EAPの実装は静かにそれを捨てなければなりません。デフォルトでは、EAPピアは静かに「缶詰」Successパケット（接続時にすぐに送信Successパケット）を捨てなければなりません。これは、不正なオーセンティケータは前EAPメソッドの会話の結論に成功パケットを送信することにより、相互認証をバイパスすることができませんことを保証します。
Implementation Note: Because the Success and Failure packets are not acknowledged, they are not retransmitted by the authenticator, and may be potentially lost. A peer MUST allow for this circumstance as described in this note. See also Section 3.4 for guidance on the processing of lower layer success and failure indications.
実装上の注意：成功と失敗のパケットが確認されていないので、それらはオーセンティケータによって再送信されていない、そして潜在的に失われることがあります。このノートに記載されているように、ピアは、この状況を可能にしなければなりません。下層の成功と失敗の表示の処理についても指導については、セクション3.4を参照してください。
As described in Section 2.1, only a single EAP authentication method is allowed within an EAP conversation. EAP methods may implement result indications. After the authenticator sends a failure result indication to the peer, regardless of the response from the peer, it MUST subsequently send a Failure packet. After the authenticator sends a success result indication to the peer and receives a success result indication from the peer, it MUST subsequently send a Success packet.
セクション2.1で説明したように、単一のEAP認証方式がEAPの会話内で許可されています。 EAPメソッドは、結果指摘を実施することができます。オーセンティケータは、ピアに失敗結果指示を送信した後、関係なく、ピアからの応答が、それは後で失敗パケットを送らなければなりません。オーセンティケータは、ピアに成功結果指示を送り、ピアからの成功結果指示を受信した後、それはその後、Successパケットを送らなければなりません。
On the peer, once the method completes unsuccessfully (that is, either the authenticator sends a failure result indication, or the peer decides that it does not want to continue the conversation, possibly after sending a failure result indication), the peer MUST terminate the conversation and indicate failure to the lower layer. The peer MUST silently discard Success packets and MAY silently discard Failure packets. As a result, loss of a Failure packet need not result in a timeout.
メソッドが失敗した（つまり、どちらかのオーセンティケータは失敗結果指示を送り、またはピアは、それはおそらく失敗結果指示を送った後、会話を続けることを望んでいないと判断した）完了すると、ピアでは、ピアは終えなければなりません会話とは、下層に失敗したことを示しています。ピアは静かに成功パケットを捨てなければなりませんし、静かに失敗パケットを捨てるかもしれ。その結果、失敗パケットの損失がタイムアウトになる必要はありません。
On the peer, after success result indications have been exchanged by both sides, a Failure packet MUST be silently discarded. The peer MAY, in the event that an EAP Success is not received, conclude that the EAP Success packet was lost and that authentication concluded successfully.
成功の結果指摘が両側で交換された後、ピアでは、失敗パケットは黙って捨てなければなりません。ピアMAYは、EAP成功を受信しない場合には、EAP成功パケットが失われると、認証が成功した結論が得られたと結論付けています。
If the authenticator has not sent a result indication, and the peer is willing to continue the conversation, the peer waits for a Success or Failure packet once the method completes, and MUST NOT silently discard either of them. In the event that neither a Success nor Failure packet is received, the peer SHOULD terminate the conversation to avoid lengthy timeouts in case the lost packet was an EAP Failure.
オーセンティケータは結果指示を送信していない、とピアが会話を続けるために喜んであればこの方法が完了すると、ピアは、成功または失敗のパケットを待ち、静かにそれらのいずれかを廃棄してはなりません。成功も失敗もないパケットを受信した場合には、ピアは、失われたパケットがEAP失敗した場合、長いタイムアウトを避けるために、会話を終了する必要があります。
If the peer attempts to authenticate to the authenticator and fails to do so, the authenticator MUST send a Failure packet and MUST NOT grant access by sending a Success packet. However, an authenticator MAY omit having the peer authenticate to it in situations where limited access is offered (e.g., guest access). In this case, the authenticator MUST send a Success packet.
ピアは認証サーバへの認証を試み、そうしなかった場合、オーセンティケータは失敗パケットを送らなければなりませんし、成功パケットを送信することによって、アクセスを許可してはなりません。しかし、オーセンティケータは、限定されたアクセスは、（例えば、ゲスト・アクセス）を提供される状況では、それにピア認証を有する省略することができます。この場合、オーセンティケータは成功パケットを送らなければなりません。
Where the peer authenticates successfully to the authenticator, but the authenticator does not send a result indication, the authenticator MAY deny access by sending a Failure packet where the peer is not currently authorized for network access.
ピアは、認証に成功し認証しますが、オーセンティケータは、結果表示を送信しない場合は、オーセンティケータは、ピアが現在のネットワークアクセスを許可されていない失敗パケットを送信することによって、アクセスを拒否することができます。
A summary of the Success and Failure packet format is shown below. The fields are transmitted from left to right.
成功と失敗のパケットフォーマットの概要は以下の通りです。フィールドは左から右に送信されます。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Code | Identifier | Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Code
コード
3 for Success 4 for Failure
失敗の成功のための4 3
Identifier
識別
The Identifier field is one octet and aids in matching replies to Responses. The Identifier field MUST match the Identifier field of the Response packet that it is sent in response to.
識別子フィールドは、応答に応答をマッチングで1オクテットおよびAIDSです。識別子フィールドは、それがに応答して送信された応答パケットの識別子フィールドと一致する必要があります。
Length
長さ
4
４
Because the authentication process will often involve user input, some care must be taken when deciding upon retransmission strategies and authentication timeouts. By default, where EAP is run over an unreliable lower layer, the EAP retransmission timer SHOULD be dynamically estimated. A maximum of 3-5 retransmissions is suggested.
認証プロセスは、多くの場合、ユーザー入力を必要とするだろうので、再送戦略と認証タイムアウト時に決定するときに、いくつかの注意が必要です。 EAPは、信頼性の低い下層の上に実行されるデフォルトでは、EAP再送信タイマーを動的に推定されるべきです。 3-5再送信の最大が示唆されました。
When run over a reliable lower layer (e.g., EAP over ISAKMP/TCP, as within [PIC]), the authenticator retransmission timer SHOULD be set to an infinite value, so that retransmissions do not occur at the EAP layer. The peer may still maintain a timeout value so as to avoid waiting indefinitely for a Request.
信頼性の低い層（例えば、EAP ISAKMP上/ TCP、[PIC]以内など）で実行すると、再送信がEAP層で発生しないように、オーセンティケータ再送タイマーは、無限の値に設定する必要があります。リクエストを無期限に待機しないように、ピアは、まだタイムアウト値を維持することができます。
Where the authentication process requires user input, the measured round trip times may be determined by user responsiveness rather than network characteristics, so that dynamic RTO estimation may not be helpful. Instead, the retransmission timer SHOULD be set so as to provide sufficient time for the user to respond, with longer timeouts required in certain cases, such as where Token Cards (see Section 5.6) are involved.
認証プロセスは、ユーザー入力を必要とする場合、動的RTO推定は有用ではないかもしれないように、測定された往復時間は、ユーザの応答ではなく、ネットワークの特性によって決定することができます。ユーザーは、このようなトークン・カードは、（5.6節を参照）が関与している場合など、特定の場合に必要な長いタイムアウト、と、対応するのに十分な時間を提供するようにする代わりに、再送タイマーを設定する必要があります。
In order to provide the EAP authenticator with guidance as to the appropriate timeout value, a hint can be communicated to the authenticator by the backend authentication server (such as via the RADIUS Session-Timeout attribute).
適切なタイムアウト値としてガイダンスにEAP認証を提供するために、ヒントは、（例えばRADIUSセッションタイムアウト属性を介して）バックエンド認証サーバによって認証者に伝達することができます。
In order to dynamically estimate the EAP retransmission timer, the algorithms for the estimation of SRTT, RTTVAR, and RTO described in [RFC2988] are RECOMMENDED, including use of Karn's algorithm, with the following potential modifications:
動的にEAP再送信タイマーを推定するために、[RFC2988]に記載SRTT、RTTVAR、及びRTOの推定のためのアルゴリズムは以下の潜在的変形と、カーンのアルゴリズムの使用を含む、お勧めします。
[a] In order to avoid synchronization behaviors that can occur with fixed timers among distributed systems, the retransmission timer is calculated with a jitter by using the RTO value and randomly adding a value drawn between -RTOmin/2 and RTOmin/2. Alternative calculations to create jitter MAY be used. These MUST be pseudo-random. For a discussion of pseudo-random number generation, see [RFC1750].
[A]分散システムの間で固定タイマーで発生する可能性が同期動作を回避するために、再送タイマがRTOの値を用いてランダム-RTOmin / 2及びRTOmin / 2との間に引かれた値を加算することにより、ジッタを算出します。ジッタを作成するための代替の計算が使用されるかもしれません。これらは、擬似ランダムでなければなりません。擬似乱数生成の議論のために、[RFC1750]を参照。
[b] When EAP is transported over a single link (as opposed to over the Internet), smaller values of RTOinitial, RTOmin, and RTOmax MAY be used. Recommended values are RTOinitial=1 second, RTOmin=200ms, and RTOmax=20 seconds.
[B]（インターネットを介してではなく）EAPは、1つのリンクを介して搬送されると、RTOinitial、RTOmin、及びRTOmaxの小さな値を使用することができます。推奨値= 1秒、RTOmin = 200ミリ秒、およびRTOmax = 20秒RTOinitialあります。
[c] When EAP is transported over a single link (as opposed to over the Internet), estimates MAY be done on a per-authenticator basis, rather than a per-session basis. This enables the retransmission estimate to make the most use of information on link-layer behavior.
[C]（インターネットを介してではなく）EAPは、1つのリンクを介して搬送されると、推定値ではなく、セッションごとに比べ、単位のオーセンティケータに基づいて行われてもよいです。これは、リンク層の挙動に関する多くの情報が利用するように再推定を可能にします。
[d] An EAP implementation MAY clear SRTT and RTTVAR after backing off the timer multiple times, as it is likely that the current SRTT and RTTVAR are bogus in this situation. Once SRTT and RTTVAR are cleared, they should be initialized with the next RTT sample taken as described in [RFC2988] equation 2.2.
[D]現在のSRTTとRTTVARは、このような状況では偽であると思われるよう、タイマーを複数回バックオフした後、SRTTとRTTVARをクリアすることができるEAPの実装。 SRTTとRTTVARがクリアされると、それらは[RFC2988]の式2.2に記載されるように取ら次RTTサンプルで初期化されなければなりません。
This section defines the initial set of EAP Types used in Request/ Response exchanges. More Types may be defined in future documents. The Type field is one octet and identifies the structure of an EAP Request or Response packet. The first 3 Types are considered special case Types.
このセクションでは、要求/応答の交換に使用されるEAPタイプの初期セットを定義します。より多くの種類は、将来の文書で定義されてもよいです。タイプフィールドは1つのオクテットであり、EAPリクエスト又は応答パケットの構造を識別する。最初の3つのタイプは、特殊なケースの種類と考えられています。
The remaining Types define authentication exchanges. Nak (Type 3) or Expanded Nak (Type 254) are valid only for Response packets, they MUST NOT be sent in a Request.
残りのタイプは、認証交換を定義します。ナック（タイプ3）または拡張NAKが（254種類）のみ応答パケットのために有効である、彼らは要求に送ってはいけません。
All EAP implementations MUST support Types 1-4, which are defined in this document, and SHOULD support Type 254. Implementations MAY support other Types defined here or in future RFCs.
すべてのEAP実装は、この文書で定義されているタイプ1-4を、サポートしなければならない、そしてここで、または将来のRFCで定義された他の種類をサポートするかもしれタイプに254実装をサポートする必要があります。
1 Identity
2 Notification
3 Nak (Response only)
4 MD5-Challenge
5 One Time Password (OTP)
6 Generic Token Card (GTC)
254 Expanded Types
255 Experimental use
EAP methods MAY support authentication based on shared secrets. If the shared secret is a passphrase entered by the user, implementations MAY support entering passphrases with non-ASCII characters. In this case, the input should be processed using an appropriate stringprep [RFC3454] profile, and encoded in octets using UTF-8 encoding [RFC2279]. A preliminary version of a possible stringprep profile is described in [SASLPREP].
EAPメソッドは、共有秘密に基づく認証をサポートするかもしれません。共有秘密は、ユーザーが入力したパスフレーズの場合は、実装は非ASCII文字とパスフレーズを入力するサポートするかもしれません。この場合、入力は、適切な文字列準備[RFC3454]プロフィールを使用して処理されるべきであり、UTF-8エンコーディング[RFC2279]を使用して、オクテットで符号化されました。可能な文字列準備プロファイルの予備的なバージョンは、[SASLPREP]に記載されています。
Description
説明
The Identity Type is used to query the identity of the peer. Generally, the authenticator will issue this as the initial Request. An optional displayable message MAY be included to prompt the peer in the case where there is an expectation of interaction with a user. A Response of Type 1 (Identity) SHOULD be sent in Response to a Request with a Type of 1 (Identity).
アイデンティティのタイプは、ピアの識別情報を照会するために使用されます。一般的に、オーセンティケータは、最初の要求としてこれを発行します。オプションの表示メッセージは、ユーザとの対話の期待がある場合にピアを促すために含まれるかもしれません。タイプ1（アイデンティティ）の応答1（アイデンティティ）のタイプの要求に応じて送信されるべきです。
Some EAP implementations piggy-back various options into the Identity Request after a NUL-character. By default, an EAP implementation SHOULD NOT assume that an Identity Request or Response can be larger than 1020 octets.
いくつかのEAP実装のピギーバックNUL文字の後にアイデンティティ・リクエストにさまざまなオプション。デフォルトでは、EAPの実装では、Identity要求または応答が1020オクテットより大きくすることができることを仮定するべきではありません。
It is RECOMMENDED that the Identity Response be used primarily for routing purposes and selecting which EAP method to use. EAP Methods SHOULD include a method-specific mechanism for obtaining the identity, so that they do not have to rely on the Identity Response. Identity Requests and Responses are sent in cleartext, so an attacker may snoop on the identity, or even modify or spoof identity exchanges. To address these threats, it is preferable for an EAP method to include an identity exchange that supports per-packet authentication, integrity and replay protection, and confidentiality. The Identity Response may not be the appropriate identity for the method; it may have been truncated or obfuscated so as to provide privacy, or it may have been decorated for routing purposes. Where the peer is configured to only accept authentication methods supporting protected identity exchanges, the peer MAY provide an abbreviated Identity Response (such as omitting the peer-name portion of the NAI [RFC2486]). For further discussion of identity protection, see Section 7.3.
アイデンティティ応答は、ルーティングを目的とEAPメソッドを使用するかを選択するために主に使用することが推奨されます。彼らはアイデンティティ応答に依存する必要がないように、EAPメソッドは、IDを取得するためのメソッド固有のメカニズムを含むべきです。アイデンティティ要求と応答は平文で送信されますので、攻撃者は身元をスヌーピング、あるいは変更またはなりすましアイデンティティの交換があります。これらの脅威に対処するために、それはパケットごとの認証、完全性、リプレイ保護、および機密性をサポートしているアイデンティティ交換を含むようにEAP方式が好ましいです。アイデンティティ応答は方法のための適切なIDではないかもしれません。それが切り捨てられたり、難読化プライバシーを提供するように、またはそれは、ルーティングの目的のために飾られている可能性がありされている可能性があります。ピアのみ保護アイデンティティ交換をサポートする認証方式を受け入れるように構成されている場合、ピアは（例えばNAI [RFC2486]のピア名の部分を省略したように）略すアイデンティティ応答を提供することができます。アイデンティティ保護のさらなる議論については、7.3節を参照してください。
Implementation Note: The peer MAY obtain the Identity via user input. It is suggested that the authenticator retry the Identity Request in the case of an invalid Identity or authentication failure to allow for potential typos on the part of the user. It is suggested that the Identity Request be retried a minimum of 3 times before terminating the authentication. The Notification Request MAY be used to indicate an invalid authentication attempt prior to transmitting a new Identity Request (optionally, the failure MAY be indicated within the message of the new Identity Request itself).
実装上の注意：ピアは、ユーザ入力を介してアイデンティティを得ることができます。オーセンティケータは、ユーザ側の潜在的なタイプミスを許容するために、無効なアイデンティティや認証失敗の場合にはアイデンティティ・リクエストを再試行することが示唆されます。アイデンティティ・リクエストが認証を終了する前に3回の最小値を再試行することを示唆しています。通知要求は、（必要に応じて、障害が新たな識別要求自体のメッセージ内で示すことができる）、新たな識別要求を送信する前に無効な認証の試みを示すために使用され得ます。
Type
タイプ
1
１
Type-Data
タイプデータ
This field MAY contain a displayable message in the Request, containing UTF-8 encoded ISO 10646 characters [RFC2279]. Where the Request contains a null, only the portion of the field prior to the null is displayed. If the Identity is unknown, the Identity Response field should be zero bytes in length. The Identity Response field MUST NOT be null terminated. In all cases, the length of the Type-Data field is derived from the Length field of the Request/Response packet.
このフィールドは、UTF-8は、ISO 10646の文字[RFC2279]をエンコード含む、要求に表示可能メッセージを含むかもしれません。リクエストがnullを含む場合、ヌル前のフィールドの一部のみが表示されます。アイデンティティが不明な場合は、アイデンティティ応答フィールドは長さがゼロバイトである必要があります。アイデンティティ応答フィールドがnullで終了してはなりません。すべての場合において、タイプ - データフィールドの長さは、要求/応答パケットの長さフィールドから導出されます。
Security Claims (see Section 7.2):
セキュリティクレーム（セクション7.2を参照してください）：
Auth. mechanism: None Ciphersuite negotiation: No Mutual authentication: No Integrity protection: No Replay protection: No Confidentiality: No Key derivation: No Key strength: N/A Dictionary attack prot.: N/A Fast reconnect: No Crypt. binding: N/A Session independence: N/A Fragmentation: No Channel binding: No
認証。メカニズム：なしも、Ciphersuite交渉：Mutual認証がありません：いいえ完全性保護：いいえリプレイ保護：いいえ機密性：いいえ鍵導出：いいえキー強度：N / A辞書攻撃PROT：N /高速再接続：いいえ墓所。バインディング：N /セッションの独立性：N / A断片化：いいえチャンネルバインディング：いいえ
Description
説明
The Notification Type is optionally used to convey a displayable message from the authenticator to the peer. An authenticator MAY send a Notification Request to the peer at any time when there is no outstanding Request, prior to completion of an EAP authentication method. The peer MUST respond to a Notification Request with a Notification Response unless the EAP authentication method specification prohibits the use of Notification messages. In any case, a Nak Response MUST NOT be sent in response to a Notification Request. Note that the default maximum length of a Notification Request is 1020 octets. By default, this leaves at most 1015 octets for the human readable message.
通知タイプは、任意のピアにオーセンティケータから表示メッセージを伝えるために使用されます。前EAP認証方式の完成に、未解決の要求がないとき、オーセンティケータは、いつでもピアに通知要求を送信することができます。 EAP認証方式の仕様は通知メッセージの使用を禁止しない限り、ピアは通知応答で通知要求に応じなければなりません。いずれにせよ、NAK応答は、通知要求に応じて、送ってはいけません。通知要求のデフォルトの最大長は1020個のオクテットであることに注意してください。デフォルトでは、これは人間が読めるメッセージのため、最大で1015個のオクテットを残します。
An EAP method MAY indicate within its specification that Notification messages must not be sent during that method. In this case, the peer MUST silently discard Notification Requests from the point where an initial Request for that Type is answered with a Response of the same Type.
EAPメソッドは、通知メッセージがその方法中に送信されてはならない、その仕様の範囲内を示している場合があります。この場合、ピアは静かにそのタイプの最初の要求は、同じタイプの応答で応答された時点からの通知要求を破棄しなければなりません。
The peer SHOULD display this message to the user or log it if it cannot be displayed. The Notification Type is intended to provide an acknowledged notification of some imperative nature, but it is not an error indication, and therefore does not change the state of the peer. Examples include a password with an expiration time that is about to expire, an OTP sequence integer which is nearing 0, an authentication failure warning, etc. In most circumstances, Notification should not be required.
ピアは、ユーザにこのメッセージを表示するか、表示することができない場合、それを記録すべきです。通知タイプは、いくつかの不可欠な性質の定評の通知を提供することを意図したが、それは相手の状態を変更しないので、エラー表示ではない、とされます。例としては、ほとんどの状況において、通知が必要とされるべきではない等期限切れしようとしている有効期限、0に近づいているOTPシーケンス整数、認証失敗警告とパスワードが含まれます。
Type
タイプ
2
２
Type-Data
タイプデータ
The Type-Data field in the Request contains a displayable message greater than zero octets in length, containing UTF-8 encoded ISO 10646 characters [RFC2279]. The length of the message is determined by the Length field of the Request packet. The message MUST NOT be null terminated. A Response MUST be sent in reply to the Request with a Type field of 2 (Notification). The Type-Data field of the Response is zero octets in length. The Response should be sent immediately (independent of how the message is displayed or logged).
要求にタイプデータフィールドは、UTF-8は、ISO 10646の文字[RFC2279]を符号化された含有長さゼロオクテットより大きい表示メッセージを含んでいます。メッセージの長さは、リクエストパケットのLengthフィールドによって決定されます。メッセージはnullで終了してはなりません。応答2（通知）のタイプフィールドと要求に対する応答で送信されなければなりません。応答のタイプ、データフィールドの長さはゼロオクテットです。レスポンスは（メッセージが表示されたり、ログに記録されるかとは無関係に）すぐに送信されなければなりません。
Security Claims (see Section 7.2):
セキュリティクレーム（セクション7.2を参照してください）：
Auth. mechanism: None Ciphersuite negotiation: No Mutual authentication: No Integrity protection: No Replay protection: No Confidentiality: No Key derivation: No Key strength: N/A Dictionary attack prot.: N/A Fast reconnect: No Crypt. binding: N/A Session independence: N/A Fragmentation: No Channel binding: No
認証。メカニズム：なしも、Ciphersuite交渉：Mutual認証がありません：いいえ完全性保護：いいえリプレイ保護：いいえ機密性：いいえ鍵導出：いいえキー強度：N / A辞書攻撃PROT：N /高速再接続：いいえ墓所。バインディング：N /セッションの独立性：N / A断片化：いいえチャンネルバインディング：いいえ
Description
説明
The legacy Nak Type is valid only in Response messages. It is sent in reply to a Request where the desired authentication Type is unacceptable. Authentication Types are numbered 4 and above. The Response contains one or more authentication Types desired by the Peer. Type zero (0) is used to indicate that the sender has no viable alternatives, and therefore the authenticator SHOULD NOT send another Request after receiving a Nak Response containing a zero value.
レガシーのNakタイプのみ応答メッセージで有効です。これは、所望の認証タイプが受け入れられない要求に対する応答で送信されます。認証タイプは4と上記の番号が付けられています。レスポンスは、ピアが希望する1つ以上の認証タイプが含まれています。入力ゼロ（0）は、送信者が何も実行可能な代案を持っていないので、オーセンティケータがゼロ値を含むNAK応答を受信した後、別の要求を送信しないことを示すために使用されます。
Since the legacy Nak Type is valid only in Responses and has very limited functionality, it MUST NOT be used as a general purpose error indication, such as for communication of error messages, or negotiation of parameters specific to a particular EAP method.
従来のNakタイプのみ応答で有効であり、非常に限られた機能を有しているので、そのようなエラー・メッセージの通信、または特定のEAPメソッドに固有のパラメータの交渉のように、汎用のエラー表示として使用してはいけません。
Code
コード
2 for Response.
レスポンスのため2。
Identifier
識別
The Identifier field is one octet and aids in matching Responses with Requests. The Identifier field of a legacy Nak Response MUST match the Identifier field of the Request packet that it is sent in response to.
識別子フィールドは、リクエストとレスポンスをマッチで1オクテットおよびAIDSです。レガシーNakの応答の識別子フィールドは、それがに応答して送信された要求パケットの識別子フィールドと一致する必要があります。
Length
長さ
>=6
＞＝６
Type
タイプ
3
３
Type-Data
タイプデータ
Where a peer receives a Request for an unacceptable authentication Type (4-253,255), or a peer lacking support for Expanded Types receives a Request for Type 254, a Nak Response (Type 3) MUST be sent. The Type-Data field of the Nak Response (Type 3) MUST contain one or more octets indicating the desired authentication Type(s), one octet per Type, or the value zero (0) to indicate no proposed alternative. A peer supporting Expanded Types that receives a Request for an unacceptable authentication Type (4-253, 255) MAY include the value 254 in the Nak Response (Type 3) to indicate the desire for an Expanded authentication Type. If the authenticator can accommodate this preference, it will respond with an Expanded Type Request (Type 254).
ピアが受け入れられない認証タイプ（4-253,255）、または拡張タイプのピア欠くサポート要求を受信するタイプ254の要求を受信する場合、Nakの応答（タイプ3）を送らなければなりません。 Nakの応答（タイプ3）のタイプのデータフィールドには、代替案を示していないために必要な認証タイプ、タイプごとに1つのオクテット、または値ゼロ（0）を示す1つの以上のオクテットを含まなければなりません。受け入れられない認証タイプ（4から253、255）の要求を受信する拡張タイプをサポートするピアは、拡張認証タイプの要望を示すに対してNAK応答（タイプ3）の値254を含むかもしれません。オーセンティケータは、この設定を受け入れることができれば、それは拡張タイプの要求（タイプ254）で応答します。
Security Claims (see Section 7.2):
セキュリティクレーム（セクション7.2を参照してください）：
Auth. mechanism: None Ciphersuite negotiation: No Mutual authentication: No Integrity protection: No Replay protection: No Confidentiality: No Key derivation: No Key strength: N/A Dictionary attack prot.: N/A Fast reconnect: No Crypt. binding: N/A Session independence: N/A Fragmentation: No Channel binding: No
認証。メカニズム：なしも、Ciphersuite交渉：Mutual認証がありません：いいえ完全性保護：いいえリプレイ保護：いいえ機密性：いいえ鍵導出：いいえキー強度：N / A辞書攻撃PROT：N /高速再接続：いいえ墓所。バインディング：N /セッションの独立性：N / A断片化：いいえチャンネルバインディング：いいえ
Description
説明
The Expanded Nak Type is valid only in Response messages. It MUST be sent only in reply to a Request of Type 254 (Expanded Type) where the authentication Type is unacceptable. The Expanded Nak Type uses the Expanded Type format itself, and the Response contains one or more authentication Types desired by the peer, all in Expanded Type format. Type zero (0) is used to indicate that the sender has no viable alternatives. The general format of the Expanded Type is described in Section 5.7.
拡張のNakタイプのみ応答メッセージで有効です。これは、認証タイプが受け入れられないタイプ254（拡張型）の要求に対する応答でのみ送信されなければなりません。拡張Nakのタイプは、拡張タイプのフォーマット自体を使用して、応答がピアによって、所望の1つ以上の認証タイプ、拡張型フォーマットのすべてを含みます。タイプゼロ（0）送信者が何も実行可能な選択肢を持っていないことを示すために使用されます。拡張タイプの一般的な形式は、セクション5.7に記載されています。
Since the Expanded Nak Type is valid only in Responses and has very limited functionality, it MUST NOT be used as a general purpose error indication, such as for communication of error messages, or negotiation of parameters specific to a particular EAP method.
拡張のNakタイプのみ応答で有効であり、非常に限られた機能を有しているので、そのようなエラー・メッセージの通信、または特定のEAPメソッドに固有のパラメータの交渉のように、汎用のエラー表示として使用してはいけません。
Code
コード
2 for Response.
レスポンスのため2。
Identifier
識別
The Identifier field is one octet and aids in matching Responses with Requests. The Identifier field of an Expanded Nak Response MUST match the Identifier field of the Request packet that it is sent in response to.
識別子フィールドは、リクエストとレスポンスをマッチで1オクテットおよびAIDSです。拡張Nakの応答の識別子フィールドは、それがに応答して送信された要求パケットの識別子フィールドと一致する必要があります。
Length
長さ
>=20
＞＝２０
Type
タイプ
254
２５４
Vendor-Id
ベンダーID
0 (IETF)
0（IETF）
Vendor-Type
ベンダータイプ
3 (Nak)
3（NAK）
Vendor-Data
ベンダーのデータ
The Expanded Nak Type is only sent when the Request contains an Expanded Type (254) as defined in Section 5.7. The Vendor-Data field of the Nak Response MUST contain one or more authentication Types (4 or greater), all in expanded format, 8 octets per Type, or the value zero (0), also in Expanded Type format, to indicate no proposed alternative. The desired authentication Types may include a mixture of Vendor-Specific and IETF Types. For example, an Expanded Nak Response indicating a preference for OTP (Type 5), and an MIT (Vendor-Id=20) Expanded Type of 6 would appear as follows:
セクション5.7で定義されるように要求が拡張タイプ（254）が含まれている場合拡張のNakタイプのみ送信されます。否定応答レスポンスのベンダーデータフィールドには、提案を示していないために、拡張型形式でも、1つ以上の認証タイプ（4以上）、拡張フォーマットの全て、タイプごとに8つのオクテット、または値ゼロ（0）を含まなければなりません代替。所望の認証タイプは、ベンダー固有とIETF型の混合物を含んでもよいです。例えば、拡張NAK応答は、OTP（タイプ5）に対する選好を示し、以下のように6のMIT（ベンダーID = 20）拡張タイプ現れます。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| 2 | Identifier | Length=28 |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type=254 | 0 (IETF) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| 3 (Nak) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type=254 | 0 (IETF) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| 5 (OTP) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type=254 | 20 (MIT) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| 6 |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
An Expanded Nak Response indicating a no desired alternative would appear as follows:
次のようになりなし希望代替を示す拡大NAK応答：
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| 2 | Identifier | Length=20 |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type=254 | 0 (IETF) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| 3 (Nak) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type=254 | 0 (IETF) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| 0 (No alternative) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Security Claims (see Section 7.2):
セキュリティクレーム（セクション7.2を参照してください）：
Auth. mechanism: None Ciphersuite negotiation: No Mutual authentication: No Integrity protection: No Replay protection: No Confidentiality: No Key derivation: No Key strength: N/A Dictionary attack prot.: N/A Fast reconnect: No Crypt. binding: N/A
認証。メカニズム：なしも、Ciphersuite交渉：Mutual認証がありません：いいえ完全性保護：いいえリプレイ保護：いいえ機密性：いいえ鍵導出：いいえキー強度：N / A辞書攻撃PROT：N /高速再接続：いいえ墓所。バインディング：N / A
Session independence: N/A Fragmentation: No Channel binding: No
セッションの独立性：N / A断片化：いいえチャネルバインディング：いいえ
Description
説明
The MD5-Challenge Type is analogous to the PPP CHAP protocol [RFC1994] (with MD5 as the specified algorithm). The Request contains a "challenge" message to the peer. A Response MUST be sent in reply to the Request. The Response MAY be either of Type 4 (MD5-Challenge), Nak (Type 3), or Expanded Nak (Type 254). The Nak reply indicates the peer's desired authentication Type(s). EAP peer and EAP server implementations MUST support the MD5- Challenge mechanism. An authenticator that supports only pass-through MUST allow communication with a backend authentication server that is capable of supporting MD5-Challenge, although the EAP authenticator implementation need not support MD5-Challenge itself. However, if the EAP authenticator can be configured to authenticate peers locally (e.g., not operate in pass-through), then the requirement for support of the MD5-Challenge mechanism applies.
MD5チャレンジタイプはCHAP PPPプロトコル[RFC1994]（指定されたアルゴリズムとしてMD5を有する）に類似しています。リクエストは、ピアへの「挑戦」というメッセージが含まれています。応答は要求に応答して送信されなければなりません。応答タイプ4（MD5チャレンジ）、否定応答（タイプ3）、または拡張のNak（タイプ254）のいずれであってもよいです。 Nak応答はピアの所望の認証タイプ（複数可）を示しています。 EAPピアとEAPサーバの実装は、MD5-チャレンジ・メカニズムをサポートしなければなりません。 EAP認証の実装はMD5チャレンジ自体をサポートする必要はないが唯一のパススルーをサポートするオーセンティケータは、MD5チャレンジをサポートすることができるバックエンド認証サーバとの通信を許可する必要があります。 EAP認証（例えば、パススルーに動作しない）ローカルピアを認証するように構成することができる場合は、次にMD5チャレンジ機構のサポートのための要件が適用されます。
Note that the use of the Identifier field in the MD5-Challenge Type is different from that described in [RFC1994]. EAP allows for retransmission of MD5-Challenge Request packets, while [RFC1994] states that both the Identifier and Challenge fields MUST change each time a Challenge (the CHAP equivalent of the MD5-Challenge Request packet) is sent.
MD5チャレンジタイプ内の識別子フィールドの使用は、[RFC1994]に記載されたものとは異なることに留意されたいです。 [RFC1994]は識別子及びチャレンジフィールドの両方がチャレンジ（MD5チャレンジ要求パケットのCHAP相当）が送信されるたびに変更しなければならないと述べながら、EAPは、MD5チャレンジ要求パケットの再送信を可能にします。
Note: [RFC1994] treats the shared secret as an octet string, and does not specify how it is entered into the system (or if it is handled by the user at all). EAP MD5-Challenge implementations MAY support entering passphrases with non-ASCII characters. See Section 5 for instructions how the input should be processed and encoded into octets.
注：[RFC1994]は、オクテット文字列として共有秘密鍵を扱い、それがシステムに入力される方法を指定しない（または、それが全てのユーザによって処理されている場合）。 EAP MD5チャレンジの実装には、非ASCII文字を入力するパスフレーズをサポートするかもしれません。入力が処理され、オクテットにエンコードする方法の手順については、セクション5を参照してください。
Type
タイプ
4
４
Type-Data
タイプデータ
The contents of the Type-Data field is summarized below. For reference on the use of these fields, see the PPP Challenge Handshake Authentication Protocol [RFC1994].
タイプデータフィールドの内容は、以下に要約されます。これらのフィールドの使用上の基準は、PPPチャレンジハンドシェイク認証プロトコル[RFC1994]を参照。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Value-Size | Value ...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Name ...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Security Claims (see Section 7.2):
セキュリティクレーム（セクション7.2を参照してください）：
Auth. mechanism: Password or pre-shared key. Ciphersuite negotiation: No Mutual authentication: No Integrity protection: No Replay protection: No Confidentiality: No Key derivation: No Key strength: N/A Dictionary attack prot.: No Fast reconnect: No Crypt. binding: N/A Session independence: N/A Fragmentation: No Channel binding: No
認証。メカニズム：パスワードまたは事前共有キー。暗号スイートのネゴシエーション：Mutual認証がありません：いいえ完全性保護：いいえリプレイ保護：いいえ機密性：いいえ鍵導出：いいえキー強度：N / A辞書攻撃PROT：なし高速再接続：いいえ墓所。バインディング：N /セッションの独立性：N / A断片化：いいえチャンネルバインディング：いいえ
Description
説明
The One-Time Password system is defined in "A One-Time Password System" [RFC2289] and "OTP Extended Responses" [RFC2243]. The Request contains an OTP challenge in the format described in [RFC2289]. A Response MUST be sent in reply to the Request. The Response MUST be of Type 5 (OTP), Nak (Type 3), or Expanded Nak (Type 254). The Nak Response indicates the peer's desired authentication Type(s). The EAP OTP method is intended for use with the One-Time Password system only, and MUST NOT be used to provide support for cleartext passwords.
ワンタイムパスワードシステムは、「ワンタイムパスワードシステム」[RFC2289]と「OTP拡張応答」[RFC2243]で定義されています。リクエストは、[RFC2289]に記載された形式でOTPチャレンジを含んでいます。応答は要求に応答して送信されなければなりません。応答が否定応答（タイプ3）、タイプ5（OTP）であっても、またはNAK（タイプ254）拡張しなければなりません。 Nakの応答は、ピアの希望認証タイプ（複数可）を示しています。 EAP OTP方法は、唯一のワンタイムパスワードシステムで使用するためのものであり、平文パスワードのサポートを提供するために使用してはいけません。
Type
タイプ
5
５
Type-Data
タイプデータ
The Type-Data field contains the OTP "challenge" as a displayable message in the Request. In the Response, this field is used for the 6 words from the OTP dictionary [RFC2289]. The messages MUST NOT be null terminated. The length of the field is derived from the Length field of the Request/Reply packet.
タイプのデータフィールドには、要求で表示可能メッセージとしてOTP「挑戦」が含まれています。これに応答して、このフィールドはOTP辞書から6つのワード[RFC2289]のために使用されます。メッセージはnullで終了してはなりません。フィールドの長さは、要求/応答パケットの長さフィールドから導出されます。
Note: [RFC2289] does not specify how the secret pass-phrase is entered by the user, or how the pass-phrase is converted into octets. EAP OTP implementations MAY support entering passphrases with non-ASCII characters. See Section 5 for instructions on how the input should be processed and encoded into octets.
注意：[RFC2289]は秘密のパスフレーズは、ユーザーによって入力されるか、またはパスフレーズをオクテットに変換する方法を指定しません。 EAP OTP実装は非ASCII文字を入力するパスフレーズをサポートするかもしれません。入力が処理され、オクテットにエンコードする必要がある手順については、第5章を参照してください。
Security Claims (see Section 7.2):
セキュリティクレーム（セクション7.2を参照してください）：
Auth. mechanism: One-Time Password Ciphersuite negotiation: No Mutual authentication: No Integrity protection: No Replay protection: Yes Confidentiality: No Key derivation: No Key strength: N/A Dictionary attack prot.: No Fast reconnect: No Crypt. binding: N/A Session independence: N/A Fragmentation: No Channel binding: No
認証。メカニズム：ワンタイムパスワードたciphersuite交渉：Mutual認証がありません：いいえ完全性保護：いいえリプレイ保護：はい機密性：いいえ鍵導出：いいえキー強度：N / A辞書攻撃PROT：なし高速再接続：いいえ墓所。バインディング：N /セッションの独立性：N / A断片化：いいえチャンネルバインディング：いいえ
Description
説明
The Generic Token Card Type is defined for use with various Token Card implementations which require user input. The Request contains a displayable message and the Response contains the Token Card information necessary for authentication. Typically, this would be information read by a user from the Token card device and entered as ASCII text. A Response MUST be sent in reply to the Request. The Response MUST be of Type 6 (GTC), Nak (Type 3), or Expanded Nak (Type 254). The Nak Response indicates the peer's desired authentication Type(s). The EAP GTC method is intended for use with the Token Cards supporting challenge/response authentication and MUST NOT be used to provide support for cleartext passwords in the absence of a protected tunnel with server authentication.
ジェネリックトークンカードの種類は、ユーザーの入力を必要とする様々なトークンカードの実装で使用するために定義されています。リクエストは表示可能メッセージが含まれており、応答は、認証のために必要なトークンカード情報が含まれています。通常、これはトークンカードデバイスからユーザーによって読み取られ、ASCIIテキストとして入力した情報になります。応答は要求に応答して送信されなければなりません。応答が否定応答（タイプ3）、タイプ6（GTC）であっても、またはNAK（タイプ254）拡張しなければなりません。 Nakの応答は、ピアの希望認証タイプ（複数可）を示しています。 EAPのGTC方法は、トークン・カードがチャレンジ/レスポンス認証をサポートして使用することを意図されており、サーバー認証で保護されたトンネルが存在しない場合に平文パスワードのサポートを提供するために使用してはいけません。
Type
タイプ
6
６
Type-Data
タイプデータ
The Type-Data field in the Request contains a displayable message greater than zero octets in length. The length of the message is determined by the Length field of the Request packet. The message MUST NOT be null terminated. A Response MUST be sent in reply to the Request with a Type field of 6 (Generic Token Card). The Response contains data from the Token Card required for authentication. The length of the data is determined by the Length field of the Response packet.
要求にタイプデータフィールドの長さはゼロオクテットより大きい表示メッセージを含みます。メッセージの長さは、リクエストパケットのLengthフィールドによって決定されます。メッセージはnullで終了してはなりません。レスポンスは、6（ジェネリックトークンカード）のTypeフィールドで要求に応答して送らなければなりません。レスポンスは、トークンカードからのデータは、認証に必要な含まれています。データの長さは、応答パケットの長さフィールドによって決定されます。
EAP GTC implementations MAY support entering a response with non-ASCII characters. See Section 5 for instructions how the input should be processed and encoded into octets.
EAPのGTCの実装には、非ASCII文字を含む応答を入力サポートするかもしれません。入力が処理され、オクテットにエンコードする方法の手順については、セクション5を参照してください。
Security Claims (see Section 7.2):
セキュリティクレーム（セクション7.2を参照してください）：
Auth. mechanism: Hardware token. Ciphersuite negotiation: No Mutual authentication: No Integrity protection: No Replay protection: No Confidentiality: No Key derivation: No Key strength: N/A Dictionary attack prot.: No Fast reconnect: No Crypt. binding: N/A Session independence: N/A Fragmentation: No Channel binding: No
認証。メカニズム：ハードウェアトークン。暗号スイートのネゴシエーション：Mutual認証がありません：いいえ完全性保護：いいえリプレイ保護：いいえ機密性：いいえ鍵導出：いいえキー強度：N / A辞書攻撃PROT：なし高速再接続：いいえ墓所。バインディング：N /セッションの独立性：N / A断片化：いいえチャンネルバインディング：いいえ
Description
説明
Since many of the existing uses of EAP are vendor-specific, the Expanded method Type is available to allow vendors to support their own Expanded Types not suitable for general usage.
EAPの既存の用途の多くは、ベンダー固有であるため、拡張メソッドの種類は、ベンダーが一般的な使用には適さない独自の拡張タイプをサポートすることを可能にするために利用可能です。
The Expanded Type is also used to expand the global Method Type space beyond the original 255 values. A Vendor-Id of 0 maps the original 255 possible Types onto a space of 2^32-1 possible Types. (Type 0 is only used in a Nak Response to indicate no acceptable alternative).
拡張タイプは、また、オリジナルの255個の値を超えてグローバルメソッド型スペースを拡張するために使用されます。 0のベンダーIDは2 ^ 32-1の可能なタイプの空間に、元255個の可能なタイプをマップします。 （タイプ0は許容される代替手段を示していないためにNAK応答にのみ使用されます）。
An implementation that supports the Expanded attribute MUST treat EAP Types that are less than 256 equivalently, whether they appear as a single octet or as the 32-bit Vendor-Type within an Expanded Type where Vendor-Id is 0. Peers not equipped to interpret the Expanded Type MUST send a Nak as described in Section 5.3.1, and negotiate a more suitable authentication method.
彼らは、単一のオクテットとして表示されるかどうか、同等未満256をしているEAPの種類を扱わなければならない拡張属性をサポートする実装ベンダーIDが0のピアが解釈する機能のない拡張型内の32ビットのベンダータイプなど拡張タイプは、セクション5.3.1に記載したようにNAKを送信し、より適切な認証方法を交渉しなければなりません。
A summary of the Expanded Type format is shown below. The fields are transmitted from left to right.
拡張型フォーマットの概要は以下に示されています。フィールドは左から右に送信されます。
0 1 2 3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Type | Vendor-Id |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Vendor-Type |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Vendor data...
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Type
タイプ
254 for Expanded Type
拡張タイプのための254
Vendor-Id
ベンダーID
The Vendor-Id is 3 octets and represents the SMI Network Management Private Enterprise Code of the Vendor in network byte order, as allocated by IANA. A Vendor-Id of zero is reserved for use by the IETF in providing an expanded global EAP Type space.
ベンダーIDは3つのオクテットで、IANAによって割り当てられたとして、ネットワークバイトオーダーでのベンダーのSMIネットワーク管理プライベートエンタープライズコードを表します。ゼロのベンダーIDは、拡張グローバルEAPタイプの空間を提供する際にIETFによって使用するために予約されています。
Vendor-Type
ベンダータイプ
The Vendor-Type field is four octets and represents the vendor-specific method Type.
ベンダー-Typeフィールドは、4つのオクテットであり、ベンダー固有の方法の種類を表します。
If the Vendor-Id is zero, the Vendor-Type field is an extension and superset of the existing namespace for EAP Types. The first 256 Types are reserved for compatibility with single-octet EAP Types that have already been assigned or may be assigned in the future. Thus, EAP Types from 0 through 255 are semantically identical, whether they appear as single octet EAP Types or as
ベンダーIDがゼロの場合、ベンダー-Typeフィールドは、EAPタイプのための既存の名前空間の拡張とスーパーセットです。最初の256種類がすでに割り当てられているか、将来的に割り当ててもよい単一オクテットEAPタイプとの互換性のために予約されています。このように、0から255までのEAPタイプは、それらが単一オクテットEAPの種類として、またはとして表示されるかどうか、意味的に同一であり、
Vendor-Types when Vendor-Id is zero. There is one exception to this rule: Expanded Nak and Legacy Nak packets share the same Type, but must be treated differently because they have a different format.
ベンダータイプベンダーIDがゼロです。この規則には例外が1つあります：拡張ナックとレガシーNakのパケットは同じタイプを共有し、彼らは別の書式を持っているので、別々に扱われなければなりません。
Vendor-Data
ベンダーのデータ
The Vendor-Data field is defined by the vendor. Where a Vendor-Id of zero is present, the Vendor-Data field will be used for transporting the contents of EAP methods of Types defined by the IETF.
ベンダーデータフィールドはベンダーによって定義されます。ゼロのベンダーIDが存在する場合、ベンダーデータフィールドは、IETFによって定義されたタイプのEAPメソッドの内容を輸送するために使用されます。
Description
説明
The Experimental Type has no fixed format or content. It is intended for use when experimenting with new EAP Types. This Type is intended for experimental and testing purposes. No guarantee is made for interoperability between peers using this Type, as outlined in [RFC3692].
実験の種類は決まった形式や内容を持っていません。新しいEAPタイプの実験をするときには、使用することを意図しています。このタイプは、実験やテストの目的のために意図されます。 [RFC3692]に概説されているよう保証は、このタイプを使用してピア間の相互運用性のために作られていません。
Type
タイプ
255
２５５
Type-Data
タイプデータ
Undefined
未定義
This section provides guidance to the Internet Assigned Numbers Authority (IANA) regarding registration of values related to the EAP protocol, in accordance with BCP 26, [RFC2434].
このセクションでは、BCP 26、[RFC2434]に従って、EAPプロトコルに関連する値の登録に関してインターネット割り当て番号機関（IANA）へのガイダンスを提供します。
There are two name spaces in EAP that require registration: Packet Codes and method Types.
パケットコードとメソッドの種類：登録を必要とEAPにおける2つのネームスペースがあります。
EAP is not intended as a general-purpose protocol, and allocations SHOULD NOT be made for purposes unrelated to authentication.
EAPは、汎用プロトコルとして意図されていない、および割り当ては、認証に関係のない目的のために作られるべきではありません。
The following terms are used here with the meanings defined in BCP 26: "name space", "assigned value", "registration".
「名前空間」、「割り当てられた値」、「登録」：次の用語は、BCP 26で定義される意味と共にここで使用されています。
The following policies are used here with the meanings defined in BCP 26: "Private Use", "First Come First Served", "Expert Review", "Specification Required", "IETF Consensus", "Standards Action".
次のポリシーは、BCP 26で定義される意味と共にここで使用されている：「私用」、「まず第一に役立ってくる」、「エキスパートレビュー」、「仕様が必要である」、「IETFコンセンサス」、「標準化アクション」。
For registration requests where a Designated Expert should be consulted, the responsible IESG area director should appoint the Designated Expert. The intention is that any allocation will be accompanied by a published RFC. But in order to allow for the allocation of values prior to the RFC being approved for publication, the Designated Expert can approve allocations once it seems clear that an RFC will be published. The Designated expert will post a request to the EAP WG mailing list (or a successor designated by the Area Director) for comment and review, including an Internet-Draft. Before a period of 30 days has passed, the Designated Expert will either approve or deny the registration request and publish a notice of the decision to the EAP WG mailing list or its successor, as well as informing IANA. A denial notice must be justified by an explanation, and in the cases where it is possible, concrete suggestions on how the request can be modified so as to become acceptable should be provided.
Expertが相談されるべきである登録要求のために、責任がIESGのエリアディレクターはDesignated Expertを任命するべきです。その意図は、任意の割り当てが公開RFCを伴うことになるということです。 RFCが公開されることは明らかと思われるしかし、一度公表のために承認される前RFCへの値の割り当てを可能にするために、指定Expertは配分を承認することができます。指定の専門家は、インターネットドラフトを含め、コメントやレビューのためのEAP WGメーリングリストへの要求（または地域ディレクターが指定する後継）を掲載します。 30日間の期間が経過する前に、指定Expertは承認または登録要求を拒否し、EAP WGメーリングリストやその後継者に決定の通知を発行するだけでなく、IANAに通知しますか。拒否通知は説明によって正当化されなければならない、それが可能である場合には、許容可能となるように要求を変更することができる方法についての具体的な提案が提供されるべきです。
Packet Codes have a range from 1 to 255, of which 1-4 have been allocated. Because a new Packet Code has considerable impact on interoperability, a new Packet Code requires Standards Action, and should be allocated starting at 5.
パケットコードは1~4が割り当てられている1から255までの範囲を有します。新しいパケットコードは、相互運用性に大きな影響を持っているので、新しいパケットコードは標準アクションを必要とし、5から始まる割り当てられるべきです。
The original EAP method Type space has a range from 1 to 255, and is the scarcest resource in EAP, and thus must be allocated with care. Method Types 1-45 have been allocated, with 20 available for re-use. Method Types 20 and 46-191 may be allocated on the advice of a Designated Expert, with Specification Required.
元のEAPメソッドタイプ空間は1から255までの範囲を有し、EAPにおける希少資源であるため、注意して割り当てられなければなりません。メソッドタイプ1-45は、再使用のために利用可能な20で、割り当てられています。メソッドタイプ20と46から191には、仕様が必要で、指定専門家の助言に割り当てることができます。
Allocation of blocks of method Types (more than one for a given purpose) should require IETF Consensus. EAP Type Values 192-253 are reserved and allocation requires Standards Action.
メソッドの種類（特定の目的のために複数）のブロックの割り当ては、IETFコンセンサスを必要とすべきです。 EAPタイプは、192から253までの予約と割り当てが標準アクションを必要とされている値。
Method Type 254 is allocated for the Expanded Type. Where the Vendor-Id field is non-zero, the Expanded Type is used for functions specific only to one vendor's implementation of EAP, where no interoperability is deemed useful. When used with a Vendor-Id of zero, method Type 254 can also be used to provide for an expanded IETF method Type space. Method Type values 256-4294967295 may be allocated after Type values 1-191 have been allocated, on the advice of a Designated Expert, with Specification Required.
メソッドタイプ254は、拡張タイプに割り当てられます。ベンダーIDフィールドがゼロでない場合は、拡張タイプのみ一切の相互運用性が有用であると考えていないEAPの1つのベンダーの実装に特定の機能のために使用されています。ゼロのベンダーIDと一緒に使用すると、メソッドタイプ254は、また、拡張IETF方法タイプ空間を提供するために使用することができます。メソッドの種類は、256から4294967295のタイプ値1から191までは、仕様が必要で、指定専門家のアドバイスに、割り振られた後に割り当てることができる値。
Method Type 255 is allocated for Experimental use, such as testing of new EAP methods before a permanent Type is allocated.
永久的なタイプが割り当てられる前に、メソッドのタイプ255は、このような新しいEAPメソッドのテストとして、実験的使用のために割り当てられています。
This section defines a generic threat model as well as the EAP method security claims mitigating those threats.
このセクションでは、一般的な脅威モデルと同様に、これらの脅威を軽減するEAP方式のセキュリティクレームを定義します。
It is expected that the generic threat model and corresponding security claims will used to define EAP method requirements for use in specific environments. An example of such a requirements analysis is provided in [IEEE-802.11i-req]. A security claims section is required in EAP method specifications, so that EAP methods can be evaluated against the requirements.
一般的な脅威モデルと対応するセキュリティクレームは、特定の環境で使用するためのEAPメソッドの要件を定義するために使用することが期待されます。このような要求分析の例は[IEEE-802.11iの-REQ]で提供されます。 EAPメソッド要件に照らして評価することができるように、セキュリティクレーム部は、EAPメソッド仕様に必要とされます。
EAP was developed for use with PPP [RFC1661] and was later adapted for use in wired IEEE 802 networks [IEEE-802] in [IEEE-802.1X]. Subsequently, EAP has been proposed for use on wireless LAN networks and over the Internet. In all these situations, it is possible for an attacker to gain access to links over which EAP packets are transmitted. For example, attacks on telephone infrastructure are documented in [DECEPTION].
EAPはPPP [RFC1661]で使用するために開発された以降、[IEEE-802.1X]に[IEEE-802]有線IEEE 802ネットワークにおける使用のために適合させました。その後、EAPは、無線LANネットワーク上で使用するために、インターネット上で提案されています。攻撃者は、EAPパケットが送信されるリンクへのアクセスを得るためのすべてのこのような状況では、それが可能です。例えば、電話インフラへの攻撃は、[DECEPTION]に記載されています。
An attacker with access to the link may carry out a number of attacks, including:
リンクへのアクセス権を持つ攻撃者は、以下を含む攻撃の数を、実行することがあります。
[1] An attacker may try to discover user identities by snooping authentication traffic.
[1]攻撃者が認証トラフィックをスヌーピングすることにより、ユーザのアイデンティティを発見しようとするかもしれません。
[2] An attacker may try to modify or spoof EAP packets.
[2]攻撃者は、EAPパケットを変更したり、偽装しようとするかもしれません。
[3] An attacker may launch denial of service attacks by spoofing lower layer indications or Success/Failure packets, by replaying EAP packets, or by generating packets with overlapping Identifiers.
[3]攻撃者は、EAPパケットを再生することによって、又は重複する識別子を持つパケットを生成することにより、下層の適応症または成功/失敗パケットをスプーフィングすることによってサービス拒否攻撃を開始することができます。
[4] An attacker may attempt to recover the pass-phrase by mounting an offline dictionary attack.
[4]攻撃者は、オフライン辞書攻撃を装着することにより、パスフレーズを回復しようと試みることができます。
[5] An attacker may attempt to convince the peer to connect to an untrusted network by mounting a man-in-the-middle attack.
[5]攻撃者は、man-in-the-middle攻撃を実装することにより、信頼できないネットワークに接続するピアを説得することを試みることができます。
[6] An attacker may attempt to disrupt the EAP negotiation in order cause a weak authentication method to be selected.
[6]攻撃者が選択する弱い認証方式を引き起こすために、EAPネゴシエーションを破壊しようと試みることができます。
[7] An attacker may attempt to recover keys by taking advantage of weak key derivation techniques used within EAP methods.
[7]攻撃者は、EAPメソッド内で使用される弱鍵導出技術を利用してキーを回復しようと試みることができます。
[8] An attacker may attempt to take advantage of weak ciphersuites subsequently used after the EAP conversation is complete.
[8]攻撃者は、EAPの会話が完了した後、続いて使用弱い暗号化方式を利用することを試みることができます。
[9] An attacker may attempt to perform downgrading attacks on lower layer ciphersuite negotiation in order to ensure that a weaker ciphersuite is used subsequently to EAP authentication.
[9]攻撃者は、より弱い暗号スイートは、EAP認証に続いて使用されることを確実にするために、下層暗号スイートネゴシエーションにダウングレード攻撃を実行することを試みることができます。
[10] An attacker acting as an authenticator may provide incorrect information to the EAP peer and/or server via out-of-band mechanisms (such as via a AAA or lower layer protocol). This includes impersonating another authenticator, or providing inconsistent information to the peer and EAP server.
[10]オーセンティケータとして動作して攻撃者が（例えば、AAAまたは下位層プロトコルを介して）アウトオブバンド機構を介してEAPピア及び/またはサーバーに誤った情報を提供してもよいです。これは、別のオーセンティケータになりすまし、またはピアとEAPサーバに一貫性のない情報を提供することを含みます。
Depending on the lower layer, these attacks may be carried out without requiring physical proximity. Where EAP is used over wireless networks, EAP packets may be forwarded by authenticators (e.g., pre-authentication) so that the attacker need not be within the coverage area of an authenticator in order to carry out an attack on it or its peers. Where EAP is used over the Internet, attacks may be carried out at an even greater distance.
下層に応じて、これらの攻撃は、物理的な近接性を必要とすることなく行うことができます。 EAPは、ワイヤレスネットワーク上で使用される場合、攻撃者はそれまたはそのピアへの攻撃を行うために、オーセンティケータのカバレッジエリア内にある必要がないように、EAPパケットは、オーセンティケータ（例えば、事前認証）によって転送されてもよいです。 EAPは、インターネット上で使用されている場合、攻撃はさらに大きな距離で行うことができます。
In order to clearly articulate the security provided by an EAP method, EAP method specifications MUST include a Security Claims section, including the following declarations:
はっきりEAPメソッドによって提供されるセキュリティを明確にするためには、EAPメソッドの仕様は次の宣言を含むセキュリティクレームセクションを含まなければなりません。
[a] Mechanism. This is a statement of the authentication technology: certificates, pre-shared keys, passwords, token cards, etc.
[A]メカニズム。これは、認証技術の文です：などの証明書、事前共有キー、パスワード、トークンカード、
[b] Security claims. This is a statement of the claimed security properties of the method, using terms defined in Section 7.2.1: mutual authentication, integrity protection, replay protection, confidentiality, key derivation, dictionary attack resistance, fast reconnect, cryptographic binding. The Security Claims section of an EAP method specification SHOULD provide justification for the claims that are made. This can be accomplished by including a proof in an Appendix, or including a reference to a proof.
[B]セキュリティ主張。相互認証、完全性保護、再生保護、機密性、鍵導出、辞書攻撃性、高速再接続、暗号バインディング：これは、7.2.1項で定義された用語を使用する方法の主張セキュリティプロパティの文です。 EAPメソッド仕様のセキュリティクレーム部が形成されている特許請求の範囲の正当化を提供しなければなりません。この付録で証明を含む、または証明への参照を含めることによって達成することができます。
[c] Key strength. If the method derives keys, then the effective key strength MUST be estimated. This estimate is meant for potential users of the method to determine if the keys produced are strong enough for the intended application.
[C]キー強度。この方法は、キーを導出した場合、実効キー強度を推定しなければなりません。この推定値は、生成キーが意図された用途のために十分強いかどうかを判断するための方法の潜在的なユーザーのためのものです。
The effective key strength SHOULD be stated as a number of bits,
defined as follows: If the effective key strength is N bits, the
best currently known methods to recover the key (with non-
negligible probability) require, on average, an effort comparable
to 2^(N-1) operations of a typical block cipher. The statement
SHOULD be accompanied by a short rationale, explaining how this
number was derived. This explanation SHOULD include the
parameters required to achieve the stated key strength based on
current knowledge of the algorithms.
(Note: Although it is difficult to define what "comparable effort" and "typical block cipher" exactly mean, reasonable approximations are sufficient here. Refer to e.g. [SILVERMAN] for more discussion.)
（注：「同等の努力」および「典型的なブロック暗号は、」正確に、合理的な近似はここで十分で何を意味するかを定義することは困難であるが、より多くの議論のために、例えば[シルバー]を参照のこと。）。
The key strength depends on the methods used to derive the keys. For instance, if keys are derived from a shared secret (such as a password or a long-term secret), and possibly some public information such as nonces, the effective key strength is limited by the strength of the long-term secret (assuming that the derivation procedure is computationally simple). To take another example, when using public key algorithms, the strength of the symmetric key depends on the strength of the public keys used.
キー強度が鍵を導出するために使用される方法に依存します。キーが、そしておそらくそのようなナンスのようないくつかの公開情報（例えば、パスワードまたは長期秘密のような）共有秘密から導出されている場合、例えば、有効鍵強度は、（仮定長期秘密の強さによって制限されます導出手順は）計算が簡単であること。公開鍵アルゴリズムを使用している場合、別の例を取るために、対称鍵の強度が使用される公開鍵の強度に依存します。
[d] Description of key hierarchy. EAP methods deriving keys MUST either provide a reference to a key hierarchy specification, or describe how Master Session Keys (MSKs) and Extended Master Session Keys (EMSKs) are to be derived.
[D]キー階層の説明。キーを導出するEAPメソッドは、キー階層仕様への参照を提供する、またはマスターセッションキー（たMSK）及び拡張マスタセッションキー（EMSKs）が導出される方法を記述する必要があります。
[e] Indication of vulnerabilities. In addition to the security claims that are made, the specification MUST indicate which of the security claims detailed in Section 7.2.1 are NOT being made.
[E]の脆弱性の指標。作られたセキュリティクレームに加えて、仕様が行われていないセクション7.2.1で詳述したセキュリティクレームのかを示す必要があります。
These terms are used to describe the security properties of EAP methods:
これらの用語は、EAPメソッドのセキュリティプロパティを記述するために使用されています。
Protected ciphersuite negotiation This refers to the ability of an EAP method to negotiate the ciphersuite used to protect the EAP conversation, as well as to integrity protect the negotiation. It does not refer to the ability to negotiate the ciphersuite used to protect data.
保護された暗号スイートのネゴシエーションこれは、EAPの会話を保護するために使用する暗号スイートを交渉するEAPメソッドの能力だけでなく、整合性交渉を保護を指します。これは、データを保護するために使用する暗号スイートを交渉する能力を指すものではありません。
Mutual authentication This refers to an EAP method in which, within an interlocked exchange, the authenticator authenticates the peer and the peer authenticates the authenticator. Two independent one-way methods, running in opposite directions do not provide mutual authentication as defined here.
相互認証これは、インターロック交換内で、オーセンティケータがピアを認証し、ピアが認証者を認証するEAPメソッドを指します。ここで定義されているように反対方向に実行されている2つの独立した一方向の方法は、相互認証を提供していません。
Integrity protection This refers to providing data origin authentication and protection against unauthorized modification of information for EAP packets (including EAP Requests and Responses). When making this claim, a method specification MUST describe the EAP packets and fields within the EAP packet that are protected.
この完全性保護は（EAP要求と応答を含む）EAPパケットの情報の不正な変更に対してデータ発信元認証と保護を提供することに言及します。この請求を行う場合、メソッド仕様は、保護されたEAPパケット内のEAPパケットとフィールドを記述しなければなりません。
Replay protection This refers to protection against replay of an EAP method or its messages, including success and failure result indications.
このリプレイ保護は、成功と失敗の結果の表示を含むEAP方式またはそのメッセージのリプレイに対する保護を指します。
Confidentiality This refers to encryption of EAP messages, including EAP Requests and Responses, and success and failure result indications. A method making this claim MUST support identity protection (see Section 7.3).
守秘義務これは、EAP要求と応答、および成功と失敗結果指摘を含むEAPメッセージの暗号化を指します。この主張は、ID保護をサポートしなければならない作る方法（7.3節を参照してください）。
Key derivation This refers to the ability of the EAP method to derive exportable keying material, such as the Master Session Key (MSK), and Extended Master Session Key (EMSK). The MSK is used only for further key derivation, not directly for protection of the EAP conversation or subsequent data. Use of the EMSK is reserved.
鍵導出これは、マスターセッションキー（MSK）、および拡張マスタセッションキー（EMSK）としてエクスポート鍵材料を導出するEAPメソッドの能力を指します。 MSKは、EAPの会話や、その後のデータの保護のために直接ではなく、唯一の更なる鍵導出のために使用されています。 EMSKの使用が予約されています。
Key strength If the effective key strength is N bits, the best currently known methods to recover the key (with non-negligible probability) require, on average, an effort comparable to 2^(N-1) operations of a typical block cipher.
キー強度有効鍵強度は、Nビット（無視できない確率で）キーを回復するための最良の現在知られている方法は、平均して、典型的なブロック暗号の2 ^（N-1）の動作に匹敵する努力が必要である場合。
Dictionary attack resistance Where password authentication is used, passwords are commonly selected from a small set (as compared to a set of N-bit keys), which raises a concern about dictionary attacks. A method may be said to provide protection against dictionary attacks if, when it uses a password as a secret, the method does not allow an offline attack that has a work factor based on the number of passwords in an attacker's dictionary.
パスワード認証が使用され、辞書攻撃耐性、パスワードは一般的辞書攻撃懸念を提起小さなセット（Nビット・キーのセットと比較して）、から選択されます。この方法は、それが秘密としてパスワードを使用する場合、この方法は、攻撃者の辞書にあるパスワードの数に基づいて作業係数を有するオフライン攻撃を許可していない、場合、辞書攻撃に対する保護を提供すると言うことができます。
Fast reconnect The ability, in the case where a security association has been previously established, to create a new or refreshed security association more efficiently or in a smaller number of round-trips.
高速より効率的またはラウンドトリップの数が少ない中で、新しいまたは更新セキュリティアソシエーションを作成するには、セキュリティアソシエーションが以前に確立された場合には、能力を再接続します。
Cryptographic binding The demonstration of the EAP peer to the EAP server that a single entity has acted as the EAP peer for all methods executed within a tunnel method. Binding MAY also imply that the EAP server demonstrates to the peer that a single entity has acted as the EAP server for all methods executed within a tunnel method. If executed correctly, binding serves to mitigate man-in-the-middle vulnerabilities.
暗号化は、単一のエンティティがトンネル方式内で実行されるすべてのメソッドのEAPピアとして作用したEAPサーバとEAPピアのデモンストレーションを結合します。結合MAYはまた、EAPサーバは、単一のエンティティがトンネル方式内で実行されるすべてのメソッドのためのEAPサーバとして作用したことをピアに実証することを意味します。正しく実行した場合、結合は、man-in-the-真ん中の脆弱性を軽減するのに役立ちます。
Session independence The demonstration that passive attacks (such as capture of the EAP conversation) or active attacks (including compromise of the MSK or EMSK) does not enable compromise of subsequent or prior MSKs or EMSKs.
セッションの独立性や（MSKかEMSKの妥協を含む）、能動的な攻撃（例えばEAPの会話のキャプチャなど）、受動的攻撃は、その後またはその前たMSKまたはEMSKsの妥協を有効にしませんデモンストレーション。
Fragmentation This refers to whether an EAP method supports fragmentation and reassembly. As noted in Section 3.1, EAP methods should support fragmentation and reassembly if EAP packets can exceed the minimum MTU of 1020 octets.
フラグメンテーションこれはEAPメソッドは断片化と再アセンブリをサポートするかどうかを指します。セクション3.1で述べたようにEAPパケット1020オクテットの最小のMTUを超えることができる場合、EAPメソッドは断片化と再アセンブリをサポートしなければなりません。
Channel binding The communication within an EAP method of integrity-protected channel properties such as endpoint identifiers which can be compared to values communicated via out of band mechanisms (such as via a AAA or lower layer protocol).
（例えば、AAAまたは下位層プロトコルを介して）帯域メカニズムのうち介して通信さ値と比較することができ、そのようなエンドポイント識別子として完全性保護チャネル特性のEAPメソッド内で通信を結合チャネル。
Note: This list of security claims is not exhaustive. Additional properties, such as additional denial-of-service protection, may be relevant as well.
注：セキュリティの特許請求の範囲のこのリストは完全ではありません。このような追加サービス拒否保護などの追加のプロパティは、同様に関連している可能性があります。
An Identity exchange is optional within the EAP conversation. Therefore, it is possible to omit the Identity exchange entirely, or to use a method-specific identity exchange once a protected channel has been established.
アイデンティティ交換は、EAPの会話の中にはオプションです。したがって、完全アイデンティティ交換を省略するか、または保護されたチャネルが確立される方法に固有のアイデンティティ交換を使用することが可能です。
However, where roaming is supported as described in [RFC2607], it may be necessary to locate the appropriate backend authentication server before the authentication conversation can proceed. The realm portion of the Network Access Identifier (NAI) [RFC2486] is typically
しかし、ここで、[RFC2607]に記載されているようにローミングがサポートされ、認証会話が進行する前に、適切なバックエンド認証サーバを配置する必要があるかもしれません。ネットワークアクセス識別子（NAI）[RFC2486]のレルム部分は、典型的には
included within the EAP-Response/Identity in order to enable the authentication exchange to be routed to the appropriate backend authentication server. Therefore, while the peer-name portion of the NAI may be omitted in the EAP-Response/Identity where proxies or relays are present, the realm portion may be required.
適切なバックエンド認証サーバにルーティングする認証交換を可能とするために、EAP応答/アイデンティティの中に含まれています。 NAIのピア名部分はプロキシまたはリレーが存在するEAP応答/アイデンティティでは省略されてもよいしつつ、レルム部分が必要とされ得ます。
It is possible for the identity in the identity response to be different from the identity authenticated by the EAP method. This may be intentional in the case of identity privacy. An EAP method SHOULD use the authenticated identity when making access control decisions.
アイデンティティ応答のアイデンティティはEAPメソッドによって認証されたIDと異なることすることが可能です。これはアイデンティティプライバシーの場合は意図的かもしれません。アクセス制御の決定を行う際にEAPメソッドが認証されたIDを使用すべきです。
Where EAP is tunneled within another protocol that omits peer authentication, there exists a potential vulnerability to a man-in-the-middle attack. For details, see [BINDING] and [MITM].
EAPがピアの認証を省略し、別のプロトコル内でトンネリングされている場合、man-in-the-middle攻撃への潜在的な脆弱性が存在します。詳細については、[BINDING]と[MITM]を参照してください。
As noted in Section 2.1, EAP does not permit untunneled sequences of authentication methods. Were a sequence of EAP authentication methods to be permitted, the peer might not have proof that a single entity has acted as the authenticator for all EAP methods within the sequence. For example, an authenticator might terminate one EAP method, then forward the next method in the sequence to another party without the peer's knowledge or consent. Similarly, the authenticator might not have proof that a single entity has acted as the peer for all EAP methods within the sequence.
2.1節で述べたように、EAPは、認証方法のuntunneledシーケンスを許可していません。 EAP認証方式の順序を許可するた、ピアは単一のエンティティは、シーケンス内のすべてのEAPメソッドのためのオーセンティケータとして行動しているという証拠を持っていない可能性があります。例えば、オーセンティケータは、ピアの知識や同意なしに、第三者から順番に次のメソッドを転送し、その後、1つのEAPメソッドを終了することがあります。同様に、オーセンティケータは、単一のエンティティが、シーケンス内のすべてのEAPメソッドのためのピアとして行動しているという証拠を持っていない可能性があります。
Tunneling EAP within another protocol enables an attack by a rogue EAP authenticator tunneling EAP to a legitimate server. Where the tunneling protocol is used for key establishment but does not require peer authentication, an attacker convincing a legitimate peer to connect to it will be able to tunnel EAP packets to a legitimate server, successfully authenticating and obtaining the key. This allows the attacker to successfully establish itself as a man-in-the-middle, gaining access to the network, as well as the ability to decrypt data traffic between the legitimate peer and server.
別のプロトコル内のトンネリングEAPは、正当なサーバへの不正なEAP認証トンネリングEAPによる攻撃を可能にします。トンネリングプロトコルは、鍵確立のために使用されるが、ピアの認証を必要としない場合、それに接続する正当なピアを説得攻撃者は、成功の認証と鍵を取得、正規のサーバにトンネルEAPパケットにできるようになります。これは、攻撃者がなman-in-the-middle、ネットワークへのアクセスだけでなく、合法的なピアとサーバ間のデータトラフィックを復号化する能力を獲得としての地位を確立することができます。
This attack may be mitigated by the following measures:
この攻撃は、次のような対策によって軽減することができます。
[a] Requiring mutual authentication within EAP tunneling mechanisms.
[A] EAPトンネリング機構内の相互認証を必要とします。
[b] Requiring cryptographic binding between the EAP tunneling protocol and the tunneled EAP methods. Where cryptographic binding is supported, a mechanism is also needed to protect against downgrade attacks that would bypass it. For further details on cryptographic binding, see [BINDING].
[B] EAPトンネリングプロトコル及びトンネリングEAPメソッド間の結合暗号化が必要となります。暗号バインディングがサポートされている場合は、機構も、それを迂回でしょうダウングレード攻撃から保護するために必要とされます。暗号バインディングの詳細については、[BINDING]を参照してください。
[c] Limiting the EAP methods authorized for use without protection, based on peer and authenticator policy.
[C]ピアとオーセンティケータ・ポリシーに基づいて、保護なしで使用するための許可EAPメソッドを制限します。
[d] Avoiding the use of tunnels when a single, strong method is available.
[D]単一の強い方法が利用可能である場合にトンネルの使用を避けます。
While EAP methods may support per-packet data origin authentication, integrity, and replay protection, support is not provided within the EAP layer.
EAPメソッドは、パケットごとのデータ発信元認証、完全性、および再生保護をサポートするかもしれないが、サポートはEAP層内に提供されていません。
Since the Identifier is only a single octet, it is easy to guess, allowing an attacker to successfully inject or replay EAP packets. An attacker may also modify EAP headers (Code, Identifier, Length, Type) within EAP packets where the header is unprotected. This could cause packets to be inappropriately discarded or misinterpreted.
識別子は、単一のオクテットであるので、攻撃者がEAPパケットを注入または再生することを可能にする、推測することは容易です。また、攻撃者はヘッダが保護されていないEAPパケット内のEAPヘッダー（コード、識別子、長さ、タイプ）を変更することができます。これは、パケットが不適切に廃棄されたり誤解される可能性があります。
To protect EAP packets against modification, spoofing, or replay, methods supporting protected ciphersuite negotiation, mutual authentication, and key derivation, as well as integrity and replay protection, are recommended. See Section 7.2.1 for definitions of these security claims.
変更、スプーフィング、または再生、保護されたciphersuiteが交渉、相互認証、および鍵導出だけでなく、整合性とリプレイ保護を支援する方法に対してEAPパケットを保護するために、推奨されています。これらのセキュリティの特許請求の範囲の定義については7.2.1項を参照してください。
Method-specific MICs may be used to provide protection. If a per-packet MIC is employed within an EAP method, then peers, authentication servers, and authenticators not operating in pass-through mode MUST validate the MIC. MIC validation failures SHOULD be logged. Whether a MIC validation failure is considered a fatal error or not is determined by the EAP method specification.
メソッド固有のMICは、保護を提供するために使用することができます。パケットごとのMICは、EAPメソッド内で使用される場合、ピアと、認証サーバ、及びオーセンティケータがパススルー・モードで動作していないがMICを検証しなければなりません。 MIC検証の失敗は、ログインする必要があります。 MIC検証の失敗は致命的なエラーと見なされているかどうかEAPメソッドの仕様によって決定されます。
It is RECOMMENDED that methods providing integrity protection of EAP packets include coverage of all the EAP header fields, including the Code, Identifier, Length, Type, and Type-Data fields.
EAPパケットの完全性保護を提供する方法は、コード、識別子、長さ、タイプ、およびタイプデータフィールドを含むすべてのEAPヘッダフィールドのカバレッジを含むことが推奨されます。
Since EAP messages of Types Identity, Notification, and Nak do not include their own MIC, it may be desirable for the EAP method MIC to cover information contained within these messages, as well as the header of each EAP message.
タイプ識別、通知、および否定応答のEAPメッセージが自分のMICを含まないので、EAPメソッドのMICは、これらのメッセージに含まれる情報、ならびに各EAPメッセージのヘッダをカバーすることが望ましいかもしれません。
To provide protection, EAP also may be encapsulated within a protected channel created by protocols such as ISAKMP [RFC2408], as is done in [IKEv2] or within TLS [RFC2246]. However, as noted in Section 7.4, EAP tunneling may result in a man-in-the-middle vulnerability.
【のIKEv2]またはTLS [RFC2246]内で行われているような保護を提供するために、EAPはまた、ISAKMP [RFC2408]などのプロトコルによって作成された保護されたチャネル内に封入されてもよいです。セクション7.4で述べたようしかし、EAPトンネリングはのman-in-the-middle脆弱性をもたらし得ます。
Existing EAP methods define message integrity checks (MICs) that cover more than one EAP packet. For example, EAP-TLS [RFC2716] defines a MIC over a TLS record that could be split into multiple fragments; within the FINISHED message, the MIC is computed over previous messages. Where the MIC covers more than one EAP packet, a MIC validation failure is typically considered a fatal error.
既存のEAPメソッドは、複数のEAPパケットをカバーするメッセージ整合性チェック（MIC値）を定義します。例えば、EAP-TLS [RFC2716]は複数の断片に分割することができたTLSレコードを超えるMICを定義します。 FINISHEDメッセージの中に、MICは、以前のメッセージにわたって計算されます。 MICは、複数のEAPパケットをカバーする場合、MIC検証失敗は、一般的に致命的なエラーと考えられています。
Within EAP-TLS [RFC2716], a MIC validation failure is treated as a fatal error, since that is what is specified in TLS [RFC2246]. However, it is also possible to develop EAP methods that support per-packet MICs, and respond to verification failures by silently discarding the offending packet.
それはTLS [RFC2246]で指定されているものであるので、EAP-TLS [RFC2716]内に、MICの検証の失敗は、致命的なエラーとして処理されます。しかし、静かに問題のパケットを破棄することにより、パケットごとのMICをサポートするEAPメソッドを開発し、検証の失敗に応答することも可能です。
In this document, descriptions of EAP message handling assume that per-packet MIC validation, where it occurs, is effectively performed as though it occurs before sending any responses or changing the state of the host which received the packet.
この文書では、EAPメッセージの処理の説明は、任意の応答を送信またはパケットを受信したホストの状態を変更する前に発生しているかのように、それが発生し、パケットごとのMICの検証が、効果的に行われると仮定する。
Password authentication algorithms such as EAP-MD5, MS-CHAPv1 [RFC2433], and Kerberos V [RFC1510] are known to be vulnerable to dictionary attacks. MS-CHAPv1 vulnerabilities are documented in [PPTPv1]; MS-CHAPv2 vulnerabilities are documented in [PPTPv2]; Kerberos vulnerabilities are described in [KRBATTACK], [KRBLIM], and [KERB4WEAK].
そのようなEAP-MD5、MS-CHAPv1を[RFC2433]、およびKerberos V [RFC1510]としてパスワード認証アルゴリズムは、辞書攻撃に対して脆弱であることが知られています。 MS-CHAPv1を脆弱性は[PPTPv1]に記載されています。 MS-CHAPv2を脆弱性は[PPTPv2]に記載されています。 Kerberosの脆弱性は、[KERB4WEAK] [KRBLIM]、[KRBATTACK]に記載されており。
In order to protect against dictionary attacks, authentication methods resistant to dictionary attacks (as defined in Section 7.2.1) are recommended.
辞書攻撃、辞書攻撃に耐性の認証方法（7.2.1項で定義されている）から保護するために推奨されています。
If an authentication algorithm is used that is known to be vulnerable to dictionary attacks, then the conversation may be tunneled within a protected channel in order to provide additional protection. However, as noted in Section 7.4, EAP tunneling may result in a man-in-the-middle vulnerability, and therefore dictionary attack resistant methods are preferred.
認証アルゴリズムは、辞書攻撃に対して脆弱であることが知られているが使用されている場合、会話は追加の保護を提供するために、保護されたチャネル内でトンネリングすることができます。しかしながら、セクション7.4で述べたように、EAPトンネリングはのman-in-the-middle脆弱性をもたらすことができる、したがって辞書攻撃耐性方法が好ましいです。
With EAP methods supporting one-way authentication, such as EAP-MD5, the peer does not authenticate the authenticator, making the peer vulnerable to attack by a rogue authenticator. Methods supporting mutual authentication (as defined in Section 7.2.1) address this vulnerability.
EAPメソッドは、EAP-MD5などの一方向認証をサポートして、ピアが不正なオーセンティケータによる攻撃をピアが脆弱になって、オーセンティケータを認証しません。 （7.2.1項で定義されている）相互認証をサポートする方法は、この脆弱性に対処します。
In EAP there is no requirement that authentication be full duplex or that the same protocol be used in both directions. It is perfectly acceptable for different protocols to be used in each direction. This will, of course, depend on the specific protocols negotiated. However, in general, completing a single unitary mutual authentication is preferable to two one-way authentications, one in each direction. This is because separate authentications that are not bound cryptographically so as to demonstrate they are part of the same session are subject to man-in-the-middle attacks, as discussed in Section 7.4.
EAPに認証が全二重または同一のプロトコルが両方向で使用することである必要はありません。異なるプロトコルは、各方向で使用することが完全に許容可能です。これは、当然のことながら、交渉し、特定のプロトコルに依存します。しかし、一般的には、単一の一体相互認証が完了すると、2つの一方向認証、各方向に1よりも好ましいです。 7.4節で述べたように、彼らは同じセッションの一部である証明するように、暗号バインドされていない独立した認証は、man-in-the-middle攻撃の対象となっているためです。
In a negotiation attack, the attacker attempts to convince the peer and authenticator to negotiate a less secure EAP method. EAP does not provide protection for Nak Response packets, although it is possible for a method to include coverage of Nak Responses within a method-specific MIC.
ネゴシエーション攻撃では、攻撃者が安全性の低いEAP方式を交渉するために、ピアとオーセンティケータを説得することを試みます。この方法は、メソッド固有のMIC内NAK応答のカバレッジを含めることは可能であるが、EAPは、NAK応答パケットのための保護を提供しません。
Within or associated with each authenticator, it is not anticipated that a particular named peer will support a choice of methods. This would make the peer vulnerable to attacks that negotiate the least secure method from among a set. Instead, for each named peer, there SHOULD be an indication of exactly one method used to authenticate that peer name. If a peer needs to make use of different authentication methods under different circumstances, then distinct identities SHOULD be employed, each of which identifies exactly one authentication method.
または各オーセンティケータに関連した中では、特定の名前のピアがメソッドの選択をサポートすることが予想されていません。これは、セットの中から、最も安全な方法を交渉する攻撃にピアが脆弱になるだろう。代わりに、それぞれの名前のピアのために、そのピア名を認証するために使用される、正確に1つの方法の兆候があるはずです。ピアが、異なる状況下で異なる認証方法を利用する必要がある場合、別個のアイデンティティは、1つの認証方式を識別するそれぞれが、使用されるべきです。
The interaction of EAP with lower layers such as PPP and IEEE 802 are highly implementation dependent.
そのようなPPPおよびIEEE 802などの下位層とのEAPの相互作用は高度に実装依存です。
For example, upon failure of authentication, some PPP implementations do not terminate the link, instead limiting traffic in Network-Layer Protocols to a filtered subset, which in turn allows the peer the opportunity to update secrets or send mail to the network administrator indicating a problem. Similarly, while an authentication failure will result in denied access to the controlled port in [IEEE-802.1X], limited traffic may be permitted on the uncontrolled port.
例えば、認証が失敗したときに、いくつかのPPPの実装は、順番にピアを可能にするフィルタサブセットに秘密を更新したり、指示する、ネットワーク管理者にメールを送信する機会をネットワークレイヤプロトコルでリンク、代わりに制限トラフィックを終了しません。問題。同様に、認証失敗が[IEEE-802.1X]で制御されたポートへのアクセス拒否になりながら、限られたトラフィックが制御されていないポート上で許可されてもよいです。
In EAP there is no provision for retries of failed authentication. However, in PPP the LCP state machine can renegotiate the authentication protocol at any time, thus allowing a new attempt. Similarly, in IEEE 802.1X the Supplicant or Authenticator can re-authenticate at any time. It is recommended that any counters used for authentication failure not be reset until after successful authentication, or subsequent termination of the failed link.
EAPには失敗した認証の再試行のための規定はありません。しかし、PPPでのLCPステートマシンは、このように新しい試みを許可する、任意の時点で認証プロトコルを再交渉することができます。同様に、IEEE 802.1Xサプリカントまたは認証は、いつでも再認証することができます。認証失敗のために使用されるすべてのカウンタが認証に成功、または失敗したリンクのその後の終了後までリセットされないことをお勧めします。
It is possible for the peer and EAP server to mutually authenticate and derive keys. In order to provide keying material for use in a subsequently negotiated ciphersuite, an EAP method supporting key derivation MUST export a Master Session Key (MSK) of at least 64 octets, and an Extended Master Session Key (EMSK) of at least 64 octets. EAP Methods deriving keys MUST provide for mutual authentication between the EAP peer and the EAP Server.
ピアとEAPサーバが相互に認証し、鍵を導出することが可能です。その後に交渉暗号スイートで使用するための鍵材料を提供するために、鍵導出をサポートするEAP方式は、少なくとも64オクテットの少なくとも64オクテットのマスターセッションキー（MSK）、および拡張マスターセッションキー（EMSK）をエクスポートする必要があります。鍵を導出するEAPメソッドは、EAPピアとEAPサーバ間の相互認証のために提供しなければなりません。
The MSK and EMSK MUST NOT be used directly to protect data; however, they are of sufficient size to enable derivation of a AAA-Key subsequently used to derive Transient Session Keys (TSKs) for use with the selected ciphersuite. Each ciphersuite is responsible for specifying how to derive the TSKs from the AAA-Key.
MSKとEMSKは、データを保護するために直接使用してはいけません。しかし、彼らはその後、選択した暗号スイートで使用するための一時セッション鍵（TSKs）を導出するために使用されるAAAキーの導出を可能にするのに十分なサイズのものです。各暗号スイートには、AAA-KeyのTSKsを導出する方法を指定するための責任があります。
The AAA-Key is derived from the keying material exported by the EAP method (MSK and EMSK). This derivation occurs on the AAA server. In many existing protocols that use EAP, the AAA-Key and MSK are equivalent, but more complicated mechanisms are possible (see [KEYFRAME] for details).
AAAキーはEAP方式（MSK及びEMSK）によってエクスポートされた鍵材料に由来します。この導出は、AAAサーバで発生します。 EAPを使用する多くの既存のプロトコルでは、AAAキーとMSKは同等ですが、より複雑なメカニズムが（詳細は[KEYFRAME]を参照）が可能です。
EAP methods SHOULD ensure the freshness of the MSK and EMSK, even in cases where one party may not have a high quality random number generator. A RECOMMENDED method is for each party to provide a nonce of at least 128 bits, used in the derivation of the MSK and EMSK.
EAP方式も、一方の当事者が、高品質の乱数発生器を持っていない可能性例では、MSKとEMSKの鮮度を確保すべきです。各当事者は、MSK及びEMSKの導出に使用される少なくとも128ビットのノンスを提供するために推奨される方法です。
EAP methods export the MSK and EMSK, but not Transient Session Keys so as to allow EAP methods to be ciphersuite and media independent. Keying material exported by EAP methods MUST be independent of the ciphersuite negotiated to protect data.
EAPメソッドは、暗号スイートやメディアに依存しないように可能にするように、EAP方式はMSKとEMSKはなく、一時セッションキーをエクスポートします。 EAPメソッドによってエクスポートされた鍵材料は、データを保護するためにネゴシエート暗号スイートの独立していなければなりません。
Depending on the lower layer, EAP methods may run before or after ciphersuite negotiation, so that the selected ciphersuite may not be known to the EAP method. By providing keying material usable with any ciphersuite, EAP methods can used with a wide range of ciphersuites and media.
選択した暗号スイートは、EAP方式に知られないように下層に応じて、EAP方式は、暗号スイートのネゴシエーションの前または後に実行することができます。任意の暗号スイートで使用可能な鍵材料を提供することによって、EAP方法は、暗号スイートとメディアの広い範囲で使用することができます。
In order to preserve algorithm independence, EAP methods deriving keys SHOULD support (and document) the protected negotiation of the ciphersuite used to protect the EAP conversation between the peer and server. This is distinct from the ciphersuite negotiated between the peer and authenticator, used to protect data.
アルゴリズムの独立性を維持するために、EAPメソッドは、導出鍵は、ピアとサーバ間のEAPの会話を保護するために使用される暗号スイートの保護されたネゴシエーションをサポート（およびドキュメント）すべきです。これは、データを保護するために使用されるピアとオーセンティケータの間で交渉暗号スイート、区別されます。
The strength of Transient Session Keys (TSKs) used to protect data is ultimately dependent on the strength of keys generated by the EAP method. If an EAP method cannot produce keying material of sufficient strength, then the TSKs may be subject to a brute force attack. In order to enable deployments requiring strong keys, EAP methods supporting key derivation SHOULD be capable of generating an MSK and EMSK, each with an effective key strength of at least 128 bits.
データを保護するために使用されるトランジエントセッション鍵（TSKs）の強度は、EAPメソッドによって生成されたキーの強度に最終的に依存しています。 EAPメソッドは、十分な強度の鍵材料を生成できない場合、TSKsは、ブルートフォース攻撃を受ける可能性があります。強い鍵を必要と展開を可能にするために、鍵導出を支持するEAPメソッドは、少なくとも128ビットの実効キー強度を有するそれぞれのMSKおよびEMSKを生成することができなければなりません。
Methods supporting key derivation MUST demonstrate cryptographic separation between the MSK and EMSK branches of the EAP key hierarchy. Without violating a fundamental cryptographic assumption (such as the non-invertibility of a one-way function), an attacker recovering the MSK or EMSK MUST NOT be able to recover the other quantity with a level of effort less than brute force.
鍵の導出を支援する方法はEAPキー階層のMSKとEMSK支店間の暗号化の分離を示さなければなりません。 （そのような一方向関数の非可逆のような）基本的な暗号化の仮定に違反することなく、MSK又はEMSKを回収攻撃者がブルートフォースより少ない努力のレベルで他の量を回復することができてはいけません。
Non-overlapping substrings of the MSK MUST be cryptographically separate from each other, as defined in Section 7.2.1. That is, knowledge of one substring MUST NOT help in recovering some other substring without breaking some hard cryptographic assumption. This is required because some existing ciphersuites form TSKs by simply splitting the AAA-Key to pieces of appropriate length. Likewise, non-overlapping substrings of the EMSK MUST be cryptographically separate from each other, and from substrings of the MSK.
7.2.1項で定義されるようにMSKの非重複サブストリングは、互いに暗号で分離する必要があります。これは、1つのストリングの知識はいくつかのハード暗号化の仮定を壊すことなく、他のいくつかの部分文字列を回復するのに役立ちてはならない、です。いくつかの既存の暗号スイートは、単に適切な長さの断片にAAAキーを分割しTSKsを形成するので、これが必要です。同様に、EMSKの非重複サブストリングは、暗号互いに分離し、MSKのサブストリングでなければなりません。
The EMSK is reserved for future use and MUST remain on the EAP peer and EAP server where it is derived; it MUST NOT be transported to, or shared with, additional parties, or used to derive any other keys. (This restriction will be relaxed in a future document that specifies how the EMSK can be used.)
EMSKは、将来の使用のために予約され、それが誘導されるEAPピアとEAPサーバ上に残るしなければなりません。それはに輸送、または追加の関係者と共有、または任意の他のキーを導出するために使用してはいけません。 （この制限はEMSKを使用することができます方法を指定する将来の文書に緩和されます。）
Since EAP does not provide for explicit key lifetime negotiation, EAP peers, authenticators, and authentication servers MUST be prepared for situations in which one of the parties discards the key state, which remains valid on another party.
EAPは、明示的なキーの有効期間の交渉のために用意されていませんので、EAPピア、オーセンティケータ、および認証サーバは、当事者の一方が他の当事者に有効なままキーの状態を、破棄する状況のために準備しなければなりません。
This specification does not provide detailed guidance on how EAP methods derive the MSK and EMSK, how the AAA-Key is derived from the MSK and/or EMSK, or how the TSKs are derived from the AAA-Key.
この仕様は、EAPメソッドがAAAキーはMSKおよび/またはEMSKから導出されるか、またはTSKsがAAAキーから導出されているか、MSKとEMSKを引き出す方法についての詳細なガイダンスを提供していません。
The development and validation of key derivation algorithms is difficult, and as a result, EAP methods SHOULD re-use well established and analyzed mechanisms for key derivation (such as those specified in IKE [RFC2409] or TLS [RFC2246]), rather than inventing new ones. EAP methods SHOULD also utilize well established and analyzed mechanisms for MSK and EMSK derivation. Further details on EAP Key Derivation are provided within [KEYFRAME].
キー導出アルゴリズムの開発と検証が困難であり、結果として、EAPメソッドは再利用十分に確立されなければならず、キー（例えばIKE [RFC2409]またはTLS [RFC2246]で指定されたものなど）の導出ではなく、考案するためのメカニズムを分析し新しいもの。 EAPメソッドはまた、MSK及びEMSK導出するための十分に確立され、分析機構を利用すべきです。 EAP鍵導出に関する詳細については、[KEYFRAME]内に設けられています。
If after the initial EAP authentication, data packets are sent without per-packet authentication, integrity, and replay protection, an attacker with access to the media can inject packets, "flip bits" within existing packets, replay packets, or even hijack the session completely. Without per-packet confidentiality, it is possible to snoop data packets.
最初のEAP認証の後に、データパケットはパケットごとの認証、整合性、および再生保護なしで送信されている場合は、メディアへのアクセスを持つ攻撃者は、既存のパケット、リプレイパケットの中に、「フリップ・ビット」パケットを注入、あるいはセッションをハイジャックすることができます完全に。パケットごとの機密性がなければ、データ・パケットをスヌープすることが可能です。
To protect against data modification, spoofing, or snooping, it is recommended that EAP methods supporting mutual authentication and key derivation (as defined by Section 7.2.1) be used, along with lower layers providing per-packet confidentiality, authentication, integrity, and replay protection.
データ変更、スプーフィング、またはスヌーピングから保護するためには、下層はパケットごとの機密性、認証、完全性を提供すると共に、相互認証および鍵導出を支持するEAPメソッドが（セクション7.2.1によって定義されるような）を使用することが推奨され、そして再生保護。
Additionally, if the lower layer performs ciphersuite negotiation, it should be understood that EAP does not provide by itself integrity protection of that negotiation. Therefore, in order to avoid downgrading attacks which would lead to weaker ciphersuites being used, clients implementing lower layer ciphersuite negotiation SHOULD protect against negotiation downgrading.
下位層は暗号スイートネゴシエーションを実行している場合さらに、EAP自体がその交渉の完全性保護を提供しないことを理解すべきです。したがって、弱い暗号スイートにつながるダウングレード攻撃を避けるために、交渉格下げに対して保護しなければならない下層暗号スイートのネゴシエーションを実行するクライアントを使用しています。
This can be done by enabling users to configure which ciphersuites are acceptable as a matter of security policy, or the ciphersuite negotiation MAY be authenticated using keying material derived from the EAP authentication and a MIC algorithm agreed upon in advance by lower-layer peers.
これは、EAP認証と下位層のピアが事前に合意されたMICアルゴリズムから派生鍵材料を使用して認証されたセキュリティポリシーの問題、あるいは暗号スイートのネゴシエーションとして許容された暗号スイートを設定するユーザーを有効にすることによって行うことができます。
There are reliability and security issues with link layer indications in PPP, IEEE 802 LANs, and IEEE 802.11 wireless LANs:
PPP、IEEE 802本のLAN、およびIEEE 802.11無線LANにおけるリンク層の適応症を持つ信頼性とセキュリティの問題があります。
[a] PPP. In PPP, link layer indications such as LCP-Terminate (a link failure indication) and NCP (a link success indication) are not authenticated or integrity protected. They can therefore be spoofed by an attacker with access to the link.
[A] PPP。 PPPでは、そのような（リンク障害表示）をLCPは、終了し、NCP（リンク成功指示）としてリンク層指示は、認証済みまたは完全性が保護されていません。彼らは、そのためのリンクへのアクセス権を持つ攻撃者によって偽装させることができます。
[b] IEEE 802. IEEE 802.1X EAPOL-Start and EAPOL-Logoff frames are not authenticated or integrity protected. They can therefore be spoofed by an attacker with access to the link.
[B] IEEE 802.11 IEEE 802.1X EAPOL-StartとEAPOLログオフフレームは、認証や完全性が保護されていません。彼らは、そのためのリンクへのアクセス権を持つ攻撃者によって偽装させることができます。
[c] IEEE 802.11. In IEEE 802.11, link layer indications include Disassociate and Deauthenticate frames (link failure indications), and the first message of the 4-way handshake (link success indication). These messages are not authenticated or integrity protected, and although they are not forwardable, they are spoofable by an attacker within range.
[C] IEEE 802.11。 IEEE 802.11では、リンク層指示は、解離および認証解除フレーム（リンク障害の徴候）、および4ウェイハンドシェイクの最初のメッセージ（リンク成功指示）が挙げられます。これらのメッセージは、認証されていないか、整合性が保護された、と彼らは転送可能ではありませんが、彼らは、範囲内の攻撃者によって偽装可能です。
In IEEE 802.11, IEEE 802.1X data frames may be sent as Class 3 unicast data frames, and are therefore forwardable. This implies that while EAPOL-Start and EAPOL-Logoff messages may be authenticated and integrity protected, they can be spoofed by an authenticated attacker far from the target when "pre-authentication" is enabled.
IEEE 802.11は、IEEE 802.1Xデータフレームがクラス3つのユニキャストデータフレームとして送信され、したがって、転送可能であることができます。これは、EAPOL-StartとEAPOLログオフメッセージが認証と完全性を保護することができる一方で、「事前認証」が有効になっている場合、それらはターゲットから遠くに認証された攻撃者によってスプーフィングされることを意味します。
In IEEE 802.11, a "link down" indication is an unreliable indication of link failure, since wireless signal strength can come and go and may be influenced by radio frequency interference generated by an attacker. To avoid unnecessary resets, it is advisable to damp these indications, rather than passing them directly to the EAP. Since EAP supports retransmission, it is robust against transient connectivity losses.
無線信号強度が行ったり来たりと、攻撃者によって生成された無線周波数干渉によって影響され得ることができるので、IEEE 802.11において、「リンクダウン」指示は、リンク障害の信頼性の低い指標です。不要なリセットを避けるために、むしろEAPに直接渡すよりも、これらの表示を減衰することをお勧めします。 EAPは、再送信をサポートしているので、それは一時的な接続損失に対してロバストです。
It is possible for the EAP peer and EAP server to mutually authenticate and derive a AAA-Key for a ciphersuite used to protect subsequent data traffic. This does not present an issue on the peer, since the peer and EAP client reside on the same machine; all that is required is for the client to derive the AAA-Key from the MSK and EMSK exported by the EAP method, and to subsequently pass a Transient Session Key (TSK) to the ciphersuite module.
EAPピアとEAPサーバが相互に認証し、後続のデータトラフィックを保護するために使用する暗号スイートのためのAAAキーを導出することが可能です。ピアとEAPクライアントが同じマシン上に存在するので、これは、ピア上の問題を提示していません。クライアントがEAPメソッドによってエクスポートMSKとEMSKからAAAキーを導出するために、その後、暗号スイートのモジュールに一時セッション鍵（TSK）を渡すために必要なすべてのことです。
However, in the case where the authenticator and authentication server reside on different machines, there are several implications for security.
しかし、オーセンティケータおよび認証サーバが異なるマシン上に存在する場合には、セキュリティのためのいくつかの意味があります。
[a] Authentication will occur between the peer and the authentication server, not between the peer and the authenticator. This means that it is not possible for the peer to validate the identity of the authenticator that it is speaking to, using EAP alone.
[A]認証は、ピアと、認証サーバとの間ではなく、ピアとオーセンティケータとの間で発生します。これは、ピアが一人でEAPを使用して、それが話しているオーセンティケータの身元を検証することは不可能であることを意味します。
[b] As discussed in [RFC3579], the authenticator is dependent on the AAA protocol in order to know the outcome of an authentication conversation, and does not look at the encapsulated EAP packet (if one is present) to determine the outcome. In practice, this implies that the AAA protocol spoken between the authenticator and authentication server MUST support per-packet authentication, integrity, and replay protection.
[B]、[RFC3579]で説明したように、オーセンティケータは、認証対話の結果を知るためにAAAプロトコルに依存し、（存在する場合）の結果を決定するために、カプセル化されたEAPパケットを見ていません。実際には、これはオーセンティケータと認証サーバとの間で話さAAAプロトコルは、パケットごとの認証、整合性、および再生保護をサポートしなければならないことを意味します。
[c] After completion of the EAP conversation, where lower layer security services such as per-packet confidentiality, authentication, integrity, and replay protection will be enabled, a secure association protocol SHOULD be run between the peer and authenticator in order to provide mutual authentication between the peer and authenticator, guarantee liveness of transient session keys, provide protected ciphersuite and capabilities negotiation for subsequent data, and synchronize key usage.
[C]そのようなパケットごとの機密性、認証、完全性、および再生保護などの下位層のセキュリティサービスが有効にされるEAPの会話の終了後、セキュアアソシエーションプロトコルは相互提供するために、ピアとオーセンティケータとの間で実行する必要がありますピアとオーセンティケータ、過渡セッション鍵の保証ライブネス間の認証は、その後のデータのために保護された暗号スイートと能力ネゴシエーションを提供し、キーの使用を同期させます。
[d] A AAA-Key derived from the MSK and/or EMSK negotiated between the peer and authentication server MAY be transmitted to the authenticator. Therefore, a mechanism needs to be provided to transmit the AAA-Key from the authentication server to the authenticator that needs it. The specification of the AAA-key derivation, transport, and wrapping mechanisms is outside the scope of this document. Further details on AAA-Key Derivation are provided within [KEYFRAME].
[D] MSKおよび/またはEMSKから導出さAAAキーは、ピアと、認証サーバは、オーセンティケータに送信されてもよいとの間で交渉しました。したがって、機構は、それを必要とオーセンティケータに認証サーバからAAAキーを送信するために提供される必要があります。 AAAキー導出、輸送、及び包装機構の仕様は、この文書の範囲外です。 AAA-鍵導出に関する詳細については、[KEYFRAME]内に設けられています。
This specification does not define a mechanism for cleartext password authentication. The omission is intentional. Use of cleartext passwords would allow the password to be captured by an attacker with access to a link over which EAP packets are transmitted.
この仕様は、平文パスワード認証のためのメカニズムを定義していません。省略は意図的なものです。クリアテキストのパスワードを使用すると、パスワードがEAPパケットが送信される上のリンクにアクセスする攻撃者によって捕獲することが可能となります。
Since protocols encapsulating EAP, such as RADIUS [RFC3579], may not provide confidentiality, EAP packets may be subsequently encapsulated for transport over the Internet where they may be captured by an attacker.
このようなRADIUS [RFC3579]などのEAPを、カプセル化プロトコルは、機密性を提供しないかもしれないので、EAPパケットは、その後、それらは攻撃者によって捕捉することができるインターネット上で輸送するためにカプセル化されてもよいです。
As a result, cleartext passwords cannot be securely used within EAP, except where encapsulated within a protected tunnel with server authentication. Some of the same risks apply to EAP methods without dictionary attack resistance, as defined in Section 7.2.1. For details, see Section 7.6.
結果として、平文パスワードは安全サーバ認証で保護されたトンネル内にカプセル化された場合を除き、EAP内で使用することができません。 7.2.1項で定義されたのと同じリスクのいくつかは、辞書攻撃耐性なしEAPメソッドに適用されます。詳細については、7.6節を参照してください。
It is possible for a compromised or poorly implemented EAP authenticator to communicate incorrect information to the EAP peer and/or server. This may enable an authenticator to impersonate another authenticator or communicate incorrect information via out-of-band mechanisms (such as via a AAA or lower layer protocol).
妥協又は難実装EAP認証器がEAPピア及び/またはサーバーに誤った情報を通信することが可能です。これは、別のオーセンティケータを偽装または（例えば、AAAまたは下位層プロトコルを介して）アウトオブバンドメカニズムを介して不正な情報を通信するためのオーセンティケータを可能にすることができます。
Where EAP is used in pass-through mode, the EAP peer typically does not verify the identity of the pass-through authenticator, it only verifies that the pass-through authenticator is trusted by the EAP server. This creates a potential security vulnerability.
EAPは、パススルーモードで使用されている場合、EAPピアは通常、パススルー認証者の身元を確認していない、それだけでパススルーオーセンティケータはEAPサーバによって信頼されていることを確認します。これは、潜在的なセキュリティの脆弱性を作成します。
Section 4.3.7 of [RFC3579] describes how an EAP pass-through authenticator acting as a AAA client can be detected if it attempts to impersonate another authenticator (such by sending incorrect NAS-Identifier [RFC2865], NAS-IP-Address [RFC2865] or NAS-IPv6-Address
[RFC3579]のセクション4.3.7は、それが誤ったNAS-識別子[RFC2865]、NAS-IPアドレスを送信することによって、そのような別のオーセンティケータ（[RFC2865を偽装しようとした場合、AAAクライアントとして機能EAPパススルー認証者を検出することができる方法について説明します]またはNAS-IPv6のアドレス-
[RFC3162] attributes via the AAA protocol). However, it is possible for a pass-through authenticator acting as a AAA client to provide correct information to the AAA server while communicating misleading information to the EAP peer via a lower layer protocol.
[RFC3162] AAAプロトコルを介して属性）。しかし、下位層プロトコルを介してEAPピアに誤解を招く情報を通信中のAAAサーバに正しい情報を提供するために、AAAクライアントとして機能するパススルー認証者のために可能です。
For example, it is possible for a compromised authenticator to utilize another authenticator's Called-Station-Id or NAS-Identifier in communicating with the EAP peer via a lower layer protocol, or for a pass-through authenticator acting as a AAA client to provide an incorrect peer Calling-Station-Id [RFC2865][RFC3580] to the AAA server via the AAA protocol.
例えば、それは下位層プロトコルを介してEAPピアとの通信に別のオーセンティケータの着信ステーション-IDまたはNAS-識別子を利用する妥協オーセンティケータが可能である、又は提供するAAAクライアントとして機能するパススルー認証者のための誤っピアAAAプロトコルを介してAAAサーバに[RFC2865]、[RFC3580]-ステーション-IDを呼び出します。
In order to address this vulnerability, EAP methods may support a protected exchange of channel properties such as endpoint identifiers, including (but not limited to): Called-Station-Id [RFC2865][RFC3580], Calling-Station-Id [RFC2865][RFC3580], NAS-Identifier [RFC2865], NAS-IP-Address [RFC2865], and NAS-IPv6-Address [RFC3162].
この脆弱性に対処するために、EAPメソッドは、そのような（これらに限定されない）を含むエンドポイント識別子、等のチャネル特性の保護交換をサポートすることができる：着信ステーション-ID [RFC2865]、[RFC3580]、発呼ステーション-ID [RFC2865] [RFC3580]、NAS-識別子[RFC2865]、NAS-IP-ADDRESS [RFC2865]、およびNAS-のIPv6アドレス[RFC3162]。
Using such a protected exchange, it is possible to match the channel properties provided by the authenticator via out-of-band mechanisms against those exchanged within the EAP method. Where discrepancies are found, these SHOULD be logged; additional actions MAY also be taken, such as denying access.
そのような保護された交換を使用して、EAPメソッド内で交換されたものに対して、アウトオブバンド機構を介してオーセンティケータによって提供されるチャネル特性を一致させることができます。不一致が検出された場合、これらはログに記録されるべきです。追加のアクションはまた、そのようなアクセスを拒否するよう、取ることができます。
Within EAP, Success and Failure packets are neither acknowledged nor integrity protected. Result indications improve resilience to loss of Success and Failure packets when EAP is run over lower layers which do not support retransmission or synchronization of the authentication state. In media such as IEEE 802.11, which provides for retransmission, as well as synchronization of authentication state via the 4-way handshake defined in [IEEE-802.11i], additional resilience is typically of marginal benefit.
内でEAP、成功と失敗のパケットはどちらも認めていないにも整合性が保護されています。 EAPは、再送信または認証状態の同期化をサポートしていない下位層の上に実行されたときに結果指摘は、成功と失敗パケットの損失に対する回復力を向上させます。このような[IEEE-802.11i規格]で定義された4ウェイハンドシェイクを介して再送信、ならびに認証状態の同期化を提供するIEEE 802.11のようなメディアでは、追加の回復力は、典型的には、限界便益のです。
Depending on the method and circumstances, result indications can be spoofable by an attacker. A method is said to provide protected result indications if it supports result indications, as well as the "integrity protection" and "replay protection" claims. A method supporting protected result indications MUST indicate which result indications are protected, and which are not.
方法や状況に応じて、結果の表示は、攻撃者によってスプーフィングできることができます。この方法は、それが結果指摘のほか、「完全性保護」と「再生保護」の請求をサポートしている場合、保護結果指摘を提供すると言われています。指示をもたらす指示しなければならない保護された結果の指示を支持する方法が保護され、されていないれます。
Protected result indications are not required to protect against rogue authenticators. Within a mutually authenticating method, requiring that the server authenticate to the peer before the peer will accept a Success packet prevents an attacker from acting as a rogue authenticator.
保護された結果の表示が不正な認証デバイスから保護するために必要とされていません。相互認証メソッド内で、成功パケットを受け入れるピアが不正なオーセンティケータとして作用する攻撃を防止する前に、サーバは、ピアに認証することを要求します。
However, it is possible for an attacker to forge a Success packet after the server has authenticated to the peer, but before the peer has authenticated to the server. If the peer were to accept the forged Success packet and attempt to access the network when it had not yet successfully authenticated to the server, a denial of service attack could be mounted against the peer. After such an attack, if the lower layer supports failure indications, the authenticator can synchronize state with the peer by providing a lower layer failure indication. See Section 7.12 for details.
ただし、サーバーがピアに認証した後にそれが成功のパケットを偽造する攻撃者のために可能ですが、ピアがサーバーに認証されている前に。ピアが偽造成功パケットを受け入れ、それはまだサーバーに正常に認証されていなかったときに、ネットワークにアクセスしようとした場合、サービス拒否攻撃は、相手に対して取り付けることができます。下層が故障表示をサポートしている場合、このような攻撃の後、オーセンティケータは、下位レイヤ障害表示を提供することによって、ピアとの状態を同期させることができます。詳細については、セクション7.12を参照してください。
If a server were to authenticate the peer and send a Success packet prior to determining whether the peer has authenticated the authenticator, an idle timeout can occur if the authenticator is not authenticated by the peer. Where supported by the lower layer, an authenticator sensing the absence of the peer can free resources.
サーバはピアを認証し、前にピアがオーセンティケータを認証したかどうかを判定することに成功パケットを送信した場合、オーセンティケータがピアによって認証されない場合、アイドルタイムアウトが発生する可能性があります。下位層によってサポートされている場合、ピアの不在を検知するオーセンティケータは、リソースを解放することができます。
In a method supporting result indications, a peer that has authenticated the server does not consider the authentication successful until it receives an indication that the server successfully authenticated it. Similarly, a server that has successfully authenticated the peer does not consider the authentication successful until it receives an indication that the peer has authenticated the server.
それは、サーバが正常に認証されたという指示を受信するまで、結果の表示をサポートする方法では、サーバーを認証したピアは、認証が成功考慮していません。それは、ピアがサーバを認証したという指示を受信するまで同様に、成功したピアを認証したサーバーは、認証の成功を考慮していません。
In order to avoid synchronization problems, prior to sending a success result indication, it is desirable for the sender to verify that sufficient authorization exists for granting access, though, as discussed below, this is not always possible.
以下に説明するように、送信者が十分な許可がアクセスを許可するために存在することを確認するために、成功結果指示を送信する前に同期の問題を回避するためには、それが望ましい、しかし、これは常に可能ではありません。
While result indications may enable synchronization of the authentication result between the peer and server, this does not guarantee that the peer and authenticator will be synchronized in terms of their authorization or that timeouts will not occur. For example, the EAP server may not be aware of an authorization decision made by a AAA proxy; the AAA server may check authorization only after authentication has completed successfully, to discover that authorization cannot be granted, or the AAA server may grant access but the authenticator may be unable to provide it due to a temporary lack of resources. In these situations, synchronization may only be achieved via lower layer result indications.
結果指摘は、ピアとサーバ間の認証結果の同期を可能にするかもしれないが、これは、ピアとオーセンティケータは、その承認の観点やタイムアウトが発生しないことを同期化されることを保証するものではありません。例えば、EAPサーバは、AAAプロキシによって作られた認可判断を認識しないかもしれません。 AAAサーバは、その許可が付与できません発見するために、認証が正常に完了した後にのみ許可をチェックしたり、AAAサーバは、アクセスを許可することができるが、オーセンティケータが原因リソースの一時的な不足のためにそれを提供できない場合があります。これらの状況では、同期は、下層結果指示を介して達成することができます。
Success indications may be explicit or implicit. For example, where a method supports error messages, an implicit success indication may be defined as the reception of a specific message without a preceding error message. Failures are typically indicated explicitly. As described in Section 4.2, a peer silently discards a Failure packet received at a point where the method does not explicitly permit this to be sent. For example, a method providing its own error messages might require the peer to receive an error message prior to accepting a Failure packet.
成功指摘は、明示的または暗黙的かもしれません。この方法は、エラー・メッセージをサポートする場合、例えば、暗黙的な成功表示は、先行するエラーメッセージを表示せず、特定のメッセージの受信として定義することができます。障害は、一般的に明示されています。セクション4.2で説明したように、ピアは静か方法を明示的に送信されるように、これを許可しない点で受信失敗パケットを破棄する。例えば、独自のエラーメッセージを提供する方法は、従来失敗パケットを受け入れるにエラーメッセージを受信するピアを必要とするかもしれません。
Per-packet authentication, integrity, and replay protection of result indications protects against spoofing. Since protected result indications require use of a key for per-packet authentication and integrity protection, methods supporting protected result indications MUST also support the "key derivation", "mutual authentication", "integrity protection", and "replay protection" claims.
パケットごとの認証、整合性、および結果表示のリプレイ保護は、なりすましを防ぐことができます。保護された結果指摘はパケットごとの認証と完全性保護のためのキーの使用を必要とするため、保護された結果の表示をサポートする方法はまた、「キー派生」、「相互認証」、「完全性保護」、および「再生保護」の主張をサポートしなければなりません。
Protected result indications address some denial-of-service vulnerabilities due to spoofing of Success and Failure packets, though not all. EAP methods can typically provide protected result indications only in some circumstances. For example, errors can occur prior to key derivation, and so it may not be possible to protect all failure indications. It is also possible that result indications may not be supported in both directions or that synchronization may not be achieved in all modes of operation.
すべてではないものの、保護結果指摘は、成功と失敗パケットのなりすましによる一部のサービス拒否の脆弱性に対処します。 EAP方法は、典型的には、唯一のいくつかの状況で保護された結果の表示を提供することができます。たとえば、エラーが鍵導出に先立って発生する可能性があり、そしてすべての障害の兆候を保護することはできないかもしれません。結果の表示が両方向でサポートされていないか、同期動作のすべてのモードで達成されないことも可能です。
For example, within EAP-TLS [RFC2716], in the client authentication handshake, the server authenticates the peer, but does not receive a protected indication of whether the peer has authenticated it. In contrast, the peer authenticates the server and is aware of whether the server has authenticated it. In the session resumption handshake, the peer authenticates the server, but does not receive a protected indication of whether the server has authenticated it. In this mode, the server authenticates the peer and is aware of whether the peer has authenticated it.
例えば、EAP-TLS [RFC2716]内で、クライアント認証ハンドシェイクでは、サーバはピアを認証するが、ピアがそれを認証したかどうかの保護された指示を受信しません。これとは対照的に、ピアはサーバを認証し、サーバーが認証したかどうかを認識しています。セッション再開ハンドシェイクでは、ピアは、サーバを認証しますが、サーバーはそれを認証したかどうかの保護された指示を受信しません。このモードでは、サーバーは、ピアを認証し、相手がそれを認証したかどうかを認識しています。
This protocol derives much of its inspiration from Dave Carrel's AHA document, as well as the PPP CHAP protocol [RFC1994]. Valuable feedback was provided by Yoshihiro Ohba of Toshiba America Research, Jari Arkko of Ericsson, Sachin Seth of Microsoft, Glen Zorn of Cisco Systems, Jesse Walker of Intel, Bill Arbaugh, Nick Petroni and Bryan Payne of the University of Maryland, Steve Bellovin of AT&T Research, Paul Funk of Funk Software, Pasi Eronen of Nokia, Joseph Salowey of Cisco, Paul Congdon of HP, and members of the EAP working group.
このプロトコルは、デイブ・カレルのAHAの文書だけでなく、PPP CHAPプロトコル[RFC1994]からそのインスピレーションの多くを導出します。貴重なフィードバックは、東芝アメリカ研究の義弘大場、エリクソンのヤリArkko、マイクロソフトのサチンセス、シスコシステムズ、インテルのジェシー・ウォーカー、ビルArbaugh、ニックペトローニとメリーランド大学のブライアン・ペインのスティーブBellovin氏のグレンツォルンによって提供されましたAT＆Tの研究、ファンクソフトウェアのポール・ファンク、ノキアのパシEronen、シスコのジョセフSalowey、HPのポールCongdon氏、およびEAPワーキンググループのメンバー。
The use of Security Claims sections for EAP methods, as required by Section 7.2 and specified for each EAP method described in this document, was inspired by Glen Zorn through [EAP-EVAL].
EAPメソッドのセキュリティクレームセクションの使用は、セクション7.2で必要とされると、この文書で説明した各EAPメソッドに指定されるように、[EAP-EVAL]を介してグレンゾルンに触発されました。
[RFC1661] Simpson, W., "The Point-to-Point Protocol (PPP)", STD 51, RFC 1661, July 1994.
[RFC1661]シンプソン、W.、 "ポイントツーポイントプロトコル（PPP）"、STD 51、RFC 1661、1994年7月。
[RFC1994] Simpson, W., "PPP Challenge Handshake Authentication Protocol (CHAP)", RFC 1994, August 1996.
[RFC1994]シンプソン、W.、 "PPPチャレンジハンドシェイク認証プロトコル（CHAP）"、RFC 1994、1996年8月。
[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFC2119]ブラドナーの、S.、 "要件レベルを示すためにRFCsにおける使用のためのキーワード"、BCP 14、RFC 2119、1997年3月。
[RFC2243] Metz, C., "OTP Extended Responses", RFC 2243, November 1997.
[RFC2243]メッツ、C.、 "OTP拡張応答"、RFC 2243、1997年11月。
[RFC2279] Yergeau, F., "UTF-8, a transformation format of ISO 10646", RFC 2279, January 1998.
[RFC2279] Yergeau、F.、 "UTF-8、ISO 10646の変換フォーマット"、RFC 2279、1998年1月。
[RFC2289] Haller, N., Metz, C., Nesser, P. and M. Straw, "A One-Time Password System", RFC 2289, February 1998.
[RFC2289]ハラー、N.、メッツ、C.、Nesser、P.とM.わら、 "ワンタイムパスワードシステム"、RFC 2289、1998年2月。
[RFC2434] Narten, T. and H. Alvestrand, "Guidelines for Writing an IANA Considerations Section in RFCs", BCP 26, RFC 2434, October 1998.
[RFC2434] Narten氏、T.とH. Alvestrand、 "RFCsにIANA問題部に書くためのガイドライン"、BCP 26、RFC 2434、1998年10月。
[RFC2988] Paxson, V. and M. Allman, "Computing TCP's Retransmission Timer", RFC 2988, November 2000.
[RFC2988]パクソン、V.とM.オールマン、 "コンピューティングTCPの再送信タイマー"、RFC 2988、2000年11月。
[IEEE-802] Institute of Electrical and Electronics Engineers, "Local and Metropolitan Area Networks: Overview and Architecture", IEEE Standard 802, 1990.
[IEEE-802]電気電子学会、「地方とメトロポリタンエリアネットワーク：概要とアーキテクチャ」、IEEE規格802、1990。
[IEEE-802.1X] Institute of Electrical and Electronics Engineers, "Local and Metropolitan Area Networks: Port-Based Network Access Control", IEEE Standard 802.1X, September 2001.
電気電子学会、「地方とメトロポリタンエリアネットワーク：ポートベースのネットワークアクセスコントロール」の[IEEE-802.1X]研究所、IEEE標準802.1X、2001年9月。
[RFC793] Postel, J., "Transmission Control Protocol", STD 7, RFC 793, September 1981.
[RFC793]ポステル、J.、 "伝送制御プロトコル"、STD 7、RFC 793、1981年9月。
[RFC1510] Kohl, J. and B. Neuman, "The Kerberos Network Authentication Service (V5)", RFC 1510, September 1993.
[RFC1510]コールズ、J.及びB.ノイマン、 "ケルベロスネットワーク認証サービス（V5）"、RFC 1510、1993年9月。
[RFC1750] Eastlake, D., Crocker, S. and J. Schiller, "Randomness Recommendations for Security", RFC 1750, December 1994.
[RFC1750]イーストレイク、D.、クロッカー、S.とJ.シラー、 "セキュリティのためのランダム性に関する推奨事項"、RFC 1750、1994年12月。
[RFC2246] Dierks, T., Allen, C., Treese, W., Karlton, P., Freier, A. and P. Kocher, "The TLS Protocol Version 1.0", RFC 2246, January 1999.
[RFC2246]ダークス、T.、アレン、C.、Treese、W.、Karlton、P.、フライアー、A.、およびP.コッヘル、 "TLSプロトコルバージョン1.0"、RFC 2246、1999年1月。
[RFC2284] Blunk, L. and J. Vollbrecht, "PPP Extensible Authentication Protocol (EAP)", RFC 2284, March 1998.
[RFC2284]ブルンク、L.及びJ. Vollbrecht、 "PPP拡張認証プロトコル（EAP）"、RFC 2284、1998年3月。
[RFC2486] Aboba, B. and M. Beadles, "The Network Access Identifier", RFC 2486, January 1999.
[RFC2486] Aboba、B.及びM. Beadles、 "ネットワークアクセス識別子"、RFC 2486、1999年1月。
[RFC2408] Maughan, D., Schneider, M. and M. Schertler, "Internet Security Association and Key Management Protocol (ISAKMP)", RFC 2408, November 1998.
[RFC2408]モーガン、D.、シュナイダー、M.とM. Schertler、 "インターネットセキュリティ協会と鍵管理プロトコル（ISAKMP）"、RFC 2408、1998年11月。
[RFC2409] Harkins, D. and D. Carrel, "The Internet Key Exchange (IKE)", RFC 2409, November 1998.
[RFC2409]ハーキンとD.とD.カレル、 "インターネットキー交換（IKE）"、RFC 2409、1998年11月。
[RFC2433] Zorn, G. and S. Cobb, "Microsoft PPP CHAP Extensions", RFC 2433, October 1998.
[RFC2433]ソーン、G.とS.コブ、 "マイクロソフトPPP CHAP拡張機能"、RFC 2433、1998年10月。
[RFC2607] Aboba, B. and J. Vollbrecht, "Proxy Chaining and Policy Implementation in Roaming", RFC 2607, June 1999.
[RFC2607] Aboba、B.、およびJ. Vollbrecht、 "ローミング中のプロキシ連鎖とポリシー実装"、RFC 2607、1999年6月。
[RFC2661] Townsley, W., Valencia, A., Rubens, A., Pall, G., Zorn, G. and B. Palter, "Layer Two Tunneling Protocol "L2TP"", RFC 2661, August 1999.
[RFC2661] Townsley、W.、バレンシア、A.、ルーベンス、A.、ポール、G.、ソーン、G、BのPalter、 "レイヤ2トンネリングプロトコル "L2TP""、RFC 2661、1999年8月。
[RFC2716] Aboba, B. and D. Simon, "PPP EAP TLS Authentication Protocol", RFC 2716, October 1999.
[RFC2716] Aboba、B.及びD.シモン、 "PPP EAP TLS認証プロトコル"、RFC 2716、1999年10月。
[RFC2865] Rigney, C., Willens, S., Rubens, A. and W. Simpson, "Remote Authentication Dial In User Service (RADIUS)", RFC 2865, June 2000.
[RFC2865] Rigney、C.、ウィレンス、S.、ルーベン、A.とW.シンプソン、RFC 2865、2000年6月 "ユーザーサービス（RADIUS）でリモート認証ダイヤル"。
[RFC2960] Stewart, R., Xie, Q., Morneault, K., Sharp, C., Schwarzbauer, H., Taylor, T., Rytina, I., Kalla, M., Zhang, L. and V. Paxson, "Stream Control Transmission Protocol", RFC 2960, October 2000.
[RFC2960]スチュワート、R.、謝、Q.、Morneault、K.、シャープ、C.、Schwarzbauer、H.、テイラー、T.、Rytina、I.、カラ、M.、チャン、L.およびV.パクソン、 "ストリーム制御伝送プロトコル"、RFC 2960、2000年10月。
[RFC3162] Aboba, B., Zorn, G. and D. Mitton, "RADIUS and IPv6", RFC 3162, August 2001.
[RFC3162] Aboba、B.、ゾルン、G.およびD.ミットン、 "RADIUSとIPv6"、RFC 3162、2001年8月。
[RFC3454] Hoffman, P. and M. Blanchet, "Preparation of Internationalized Strings ("stringprep")", RFC 3454, December 2002.
[RFC3454]ホフマン、P.及びM.ブランシェ、 "国際化された文字列の調製（" 文字列準備 "）"、RFC 3454、2002年12月。
[RFC3579] Aboba, B. and P. Calhoun, "RADIUS (Remote Authentication Dial In User Service) Support For Extensible Authentication Protocol (EAP)", RFC 3579, September 2003.
[RFC3579] Aboba、B.およびP.カルフーン、 "RADIUS（ユーザサービスにおけるリモート認証ダイヤル）拡張認証プロトコル（EAP）のサポート"、RFC 3579、2003年9月。
[RFC3580] Congdon, P., Aboba, B., Smith, A., Zorn, G. and J. Roese, "IEEE 802.1X Remote Authentication Dial In User Service (RADIUS) Usage Guidelines", RFC 3580, September 2003.
[RFC3580] Congdon氏、P.、Aboba、B.、スミス、A.、ゾルン、G.およびJ.レーゼ、 "ユーザーサービス（RADIUS）使用上のガイドラインIEEE 802.1Xのリモート認証ダイヤル"、RFC 3580、2003年9月。
[RFC3692] Narten, T., "Assigning Experimental and Testing Numbers Considered Useful", BCP 82, RFC 3692, January 2004.
[RFC3692] Narten氏、T.、 "役に立つと考えられ割り当て実験とテスト番号"、BCP 82、RFC 3692、2004年1月。
[DECEPTION] Slatalla, M. and J. Quittner, "Masters of Deception", Harper-Collins, New York, 1995.
【DECEPTION] Slatalla、M.及びJ. Quittner、 "詐欺のマスター"、ハーパー・コリンズ、ニューヨーク、1995。
[KRBATTACK] Wu, T., "A Real-World Analysis of Kerberos Password Security", Proceedings of the 1999 ISOC Network and Distributed System Security Symposium, http://www.isoc.org/isoc/conferences/ndss/99/ proceedings/papers/wu.pdf.
[KRBATTACK]呉、T.、「ケルベロスパスワードセキュリティの実世界の分析」、1999 ISOCネットワークと分散システムセキュリティシンポジウム、http://www.isoc.org/isoc/conferences/ndss/99/議事/論文/ wu.pdf。
[KRBLIM] Bellovin, S. and M. Merrit, "Limitations of the Kerberos authentication system", Proceedings of the 1991 Winter USENIX Conference, pp. 253-267, 1991.
【KRBLIM] Bellovin氏、S。およびM. Merrit、1991年冬のUSENIX会議の議事録、PP。253-267、1991 "Kerberos認証システムの制限"。
[KERB4WEAK] Dole, B., Lodin, S. and E. Spafford, "Misplaced trust: Kerberos 4 session keys", Proceedings of the Internet Society Network and Distributed System Security Symposium, pp. 60-70, March 1997.
[KERB4WEAK]ドール、B.、Lodin、S.およびE. SPAFFORD、 "見当違いの信頼：ケルベロス4セッションキー"、インターネット協会ネットワークの議事録と分散システムセキュリティシンポジウム、頁60-70、1997年3月。
[PIC] Aboba, B., Krawczyk, H. and Y. Sheffer, "PIC, A Pre-IKE Credential Provisioning Protocol", Work in Progress, October 2002.
[PIC] Aboba、B.、Krawczyk、H.及びY.シェファー、 "PIC、プレIKE資格証明プロビジョニングプロトコル"、進歩、2002年10月に働いています。
[IKEv2] Kaufman, C., "Internet Key Exchange (IKEv2) Protocol", Work in Progress, January 2004.
[IKEv2の]カウフマン、C.、 "インターネットキーエクスチェンジ（IKEv2の）議定書"、進歩、2004年1月での作業。
[PPTPv1] Schneier, B. and Mudge, "Cryptanalysis of Microsoft's Point-to- Point Tunneling Protocol", Proceedings of the 5th ACM Conference on Communications and Computer Security, ACM Press, November 1998.
[PPTPv1]シュナイアー、B.とマッジ、コミュニケーション上の第5回ACM会議の議事録やコンピュータセキュリティ、ACMプレス、1998年11月の「Microsoftのポイントツーポイントトンネリングプロトコルの暗号解読」。
[IEEE-802.11] Institute of Electrical and Electronics Engineers, "Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) Specifications", IEEE Standard 802.11, 1999.
[IEEE-802.11]電気電子技術者協会、 "無線LAN媒体アクセス制御（MAC）および物理層（PHY）仕様"、IEEE規格802.11、1999。
[SILVERMAN] Silverman, Robert D., "A Cost-Based Security Analysis of Symmetric and Asymmetric Key Lengths", RSA Laboratories Bulletin 13, April 2000 (Revised November 2001), http://www.rsasecurity.com/rsalabs/bulletins/ bulletin13.html.
[シルバー]シルバーマン、ロバート・D.、「コストベース対称および非対称キーの長さのセキュリティ分析」、RSA研究所会報13、2000年4月（2001年11月改訂）、http://www.rsasecurity.com/rsalabs/bulletins / bulletin13.html。
[KEYFRAME] Aboba, B., "EAP Key Management Framework", Work in Progress, October 2003.
[KEYFRAME] Aboba、B.、 "EAP鍵管理フレームワーク"、進歩、2003年10月に作業。
[SASLPREP] Zeilenga, K., "SASLprep: Stringprep profile for user names and passwords", Work in Progress, March 2004.
[SASLPREP] Zeilenga、K.、 "SASLprep：ユーザー名とパスワードのためのstringprepプロファイル"、進歩、2004年3月での作業。
[IEEE-802.11i] Institute of Electrical and Electronics Engineers, "Unapproved Draft Supplement to Standard for Telecommunications and Information Exchange Between Systems - LAN/MAN Specific Requirements - Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) Specifications: Specification for Enhanced Security", IEEE Draft 802.11i (work in progress), 2003.
電気電子技術者の[IEEE-802.11i規格]研究所、「電気通信及びシステム間情報交換のための標準に承認されていないドラフト補足 - LAN / MAN具体的な要件 - パート11：無線LAN媒体アクセス制御（MAC）および物理層（PHY）仕様：セキュリティを強化するための仕様」、IEEE 802.11iのドラフト（作業中）、2003。
[DIAM-EAP] Eronen, P., Hiller, T. and G. Zorn, "Diameter Extensible Authentication Protocol (EAP) Application", Work in Progress, February 2004.
[DIAM-EAP] Eronen、P.、ヒラー、T.とG.ゾルン、 "直径拡張認証プロトコル（EAP）アプリケーション" は進歩、2004年2月に働いています。
[EAP-EVAL] Zorn, G., "Specifying Security Claims for EAP Authentication Types", Work in Progress, October 2002.
[EAP-EVAL]ソーン、G.、 "EAP認証タイプのための指定セキュリティクレーム"、進歩、2002年10月の作業。
[BINDING] Puthenkulam, J., "The Compound Authentication Binding Problem", Work in Progress, October 2003.
Puthenkulam、J.、 "問題を結合化合物認証" [BINDING]、進歩、2003年10月に作業。
[MITM] Asokan, N., Niemi, V. and K. Nyberg, "Man-in-the-Middle in Tunneled Authentication Protocols", IACR ePrint Archive Report 2002/163, October 2002, <http://eprint.iacr.org/2002/163>.
[MITM] Asokan、N.、ニエミ、V.およびK.ニベルグ、 "のman-in-the-middleトンネルされた認証プロトコルで"、IACR ePrintのアーカイブレポート2002/163、2002年10月、<のhttp：//eprint.iacr .ORG / 2002/163>。
[IEEE-802.11i-req] Stanley, D., "EAP Method Requirements for Wireless LANs", Work in Progress, February 2004.
[IEEE-802.11iの-REQ]スタンレー、D.、 "ワイヤレスLANのEAPメソッドの要件"、進歩、2004年2月に作業。
[PPTPv2] Schneier, B. and Mudge, "Cryptanalysis of Microsoft's PPTP Authentication Extensions (MS-CHAPv2)", CQRE 99, Springer-Verlag, 1999, pp. 192-203.
【PPTPv2]シュナイアー、B.及びマッジ、 "マイクロソフト社のPPTP認証拡張（MS-CHAPv2を）の解読"、CQRE 99、シュプリンガー・フェアラーク、1999、頁192から203。
Appendix A. Changes from
付録A.からの変更点
This section lists the major changes between [RFC2284] and this document. Minor changes, including style, grammar, spelling, and editorial changes are not mentioned here.
このセクションでは、[RFC2284]とこのドキュメント間の主な変更点を示します。スタイル、文法、スペル、および編集上の変更を含むマイナーチェンジが、ここでは言及されていません。
o The Terminology section (Section 1.2) has been expanded, defining more concepts and giving more exact definitions.
用語セクション（セクション1.2）O複数の概念を定義し、より正確な定義を与え、拡張されました。
o The concepts of Mutual Authentication, Key Derivation, and Result Indications are introduced and discussed throughout the document where appropriate.
相互認証、鍵導出の概念O、および適応症をその結果は、適切な文書を通して導入され、議論されています。
o In Section 2, it is explicitly specified that more than one exchange of Request and Response packets may occur as part of the EAP authentication exchange. How this may be used and how it may not be used is specified in detail in Section 2.1.
O 2節では、明示的要求と応答パケットの複数の交換がEAP認証交換の一部として発生することが指定されています。これはどのように使用することができるし、2.1節で詳細にどのようにそれを使用することはできません指定されています。
o Also in Section 2, some requirements have been made explicit for the authenticator when acting in pass-through mode.
パススルーモードで動作するとき、Oまた、第2節では、いくつかの要件は、認証のために明示的に行われています。
o An EAP multiplexing model (Section 2.2) has been added to illustrate a typical implementation of EAP. There is no requirement that an implementation conform to this model, as long as the on-the-wire behavior is consistent with it.
O EAP多重モデル（セクション2.2）は、EAPの典型的な実装を示すために追加されています。実装は、オン・ワイヤー行動はそれと矛盾しない限り、このモデルに準拠要件はありません。
o As EAP is now in use with a variety of lower layers, not just PPP for which it was first designed, Section 3 on lower layer behavior has been added.
EAPは、それが最初に設計された下位層だけでなく、PPP、下層の動作上のセクション3追加されたの様々な使用中であるように、O。
o In the description of the EAP Request and Response interaction (Section 4.1), both the behavior on receiving duplicate requests, and when packets should be silently discarded has been more exactly specified. The implementation notes in this section have been substantially expanded.
O EAP要求と応答の相互作用（4.1節）、両方の重複要求を受信すると行動、そして時にパケットが静かに捨てられるべきでの説明では、より正確に指定されています。このセクションの実装ノートは、実質的に拡張されました。
o In Section 4.2, it has been clarified that Success and Failure packets must not contain additional data, and the implementation note has been expanded. A subsection giving requirements on processing of success and failure packets has been added.
O 4.2節では、成功と失敗のパケットが追加データを含んではならないことが明らかにされている、およびインプリメンテーション・ノートでは、拡張されました。成功と失敗のパケットの処理に関する要件を与えるサブセクションが追加されました。
o Section 5 on EAP Request/Response Types lists two new Type values: the Expanded Type (Section 5.7), which is used to expand the Type value number space, and the Experimental Type. In the Expanded Type number space, the new Expanded Nak (Section 5.3.2) Type has been added. Clarifications have been made in the description of most of the existing Types. Security claims summaries have been added for authentication methods.
Type値数のスペースを拡張するために使用される拡張タイプ（5.7節）、および実験タイプ：EAP要求/応答タイプのO部5は、2つの新しいタイプの値を示します。拡張タイプの番号空間では、新しい拡張さナック（5.3.2項）タイプが追加されました。明確化は、既存のタイプのほとんどの説明で行われています。セキュリティ主張の要約は、認証方法のために追加されました。
o In Sections 5, 5.1, and 5.2, a requirement has been added such that fields with displayable messages should contain UTF-8 encoded ISO 10646 characters.
O部5、5.1、および5.2では、要件が表示メッセージのフィールドはUTF-8でエンコードされたISO 10646個の文字を含むべきであるように追加されています。
o It is now required in Section 5.1 that if the Type-Data field of an Identity Request contains a NUL-character, only the part before the null is displayed. RFC 2284 prohibits the null termination of the Type-Data field of Identity messages. This rule has been relaxed for Identity Request messages and the Identity Request Type-Data field may now be null terminated.
O現在では、アイデンティティ・リクエストのタイプのデータフィールドはNUL文字が含まれている場合、nullを前に一部だけが表示されていることセクション5.1で必要とされます。 RFC 2284は、Identityメッセージのタイプのデータ・フィールドのヌル終了を禁止しています。この規則は、アイデンティティ・リクエスト・メッセージのために緩和されたとアイデンティティ要求タイプ - データフィールドは現在、nullで終了することができます。
o In Section 5.5, support for OTP Extended Responses [RFC2243] has been added to EAP OTP.
O 5.5節において、OTP拡張レスポンス[RFC2243]のサポートはEAP OTPに追加されました。
o An IANA Considerations section (Section 6) has been added, giving registration policies for the numbering spaces defined for EAP.
O IANA Considerations部（第6節）がEAPのために定義されたナンバリングスペースの登録ポリシーを与え、追加されています。
o The Security Considerations (Section 7) have been greatly expanded, giving a much more comprehensive coverage of possible threats and other security considerations.
セキュリティの考慮事項（第7節）O大幅脅威の可能性やその他のセキュリティの考慮事項の多くは、より包括的なカバレッジを与え、拡張されました。
o In Section 7.5, text has been added on method-specific behavior, providing guidance on how EAP method-specific integrity checks should be processed. Where possible, it is desirable for a method-specific MIC to be computed over the entire EAP packet, including the EAP layer header (Code, Identifier, Length) and EAP method layer header (Type, Type-Data).
O 7.5節では、テキストがどのように処理すべきかEAPメソッド固有の整合性チェックに関するガイダンスを提供し、メソッド固有の振る舞いに追加されました。メソッド固有のMICは、EAPレイヤヘッダ（コード、識別子、長さ）及びEAPメソッドレイヤヘッダ（タイプ、タイプ・データ）を含む全体のEAPパケットにわたって計算されるため、可能な場合、それが望ましいです。
o In Section 7.14 the security risks involved in use of cleartext passwords with EAP are described.
O 7.14項ではEAPと平文パスワードの使用に関わるセキュリティ上のリスクを説明します。
o In Section 7.15 text has been added relating to detection of rogue NAS behavior.
Oセクションでは7.15テキストが不正なNASの動作の検出に関する追加されました。
Authors' Addresses
著者のアドレス
Bernard Aboba Microsoft Corporation One Microsoft Way Redmond, WA 98052 USA
バーナードAbobaマイクロソフト社1マイクロソフト道、レッドモンド、ワシントン98052 USA
Phone: +1 425 706 6605 Fax: +1 425 936 6605 EMail: bernarda@microsoft.com
電話：+1 425 706 6605ファックス：+1 425 936 6605 Eメール：bernarda@microsoft.com
Larry J. Blunk Merit Network, Inc 4251 Plymouth Rd., Suite 2000 Ann Arbor, MI 48105-2785 USA
ラリーJ.ブルンクのメリットネットワーク株式会社4251プリマスRdを。、スイート2000アナーバー、MI 48105から2785 USA
Phone: +1 734-647-9563 Fax: +1 734-647-3185 EMail: ljb@merit.edu
電話：+1 734-647-9563ファックス：+1 734-647-3185電子メール：ljb@merit.edu
John R. Vollbrecht Vollbrecht Consulting LLC 9682 Alice Hill Drive Dexter, MI 48130 USA
ジョンR. Vollbrecht VollbrechtコンサルティングLLC 9682アリスの丘ドライブデクスター、MI 48130 USA
EMail: jrv@umich.edu
メールアドレス：jrv@umich.edu
James Carlson Sun Microsystems, Inc 1 Network Drive Burlington, MA 01803-2757 USA
ジェームズ・カールソン米国Sun Microsystems、Inc. 1ネットワークドライブバーリントン、マサチューセッツ州01803から2757 USA
Phone: +1 781 442 2084 Fax: +1 781 442 1677 EMail: james.d.carlson@sun.com
電話：+1 781 442 2084ファックス：+1 781 442 1677 Eメール：james.d.carlson@sun.com
Henrik Levkowetz ipUnplugged AB Arenavagen 33 Stockholm S-121 28 SWEDEN
ヘンリックLevkowetz ipUnplugged AB Arenavagen 33ストックホルムS-121 28 SWEDEN
Phone: +46 708 32 16 08 EMail: henrik@levkowetz.com
電話：+46 708 32 16 08 Eメール：henrik@levkowetz.com
Full Copyright Statement
完全な著作権声明
Copyright (C) The Internet Society (2004). This document is subject to the rights, licenses and restrictions contained in BCP 78, and except as set forth therein, the authors retain all their rights.
著作権（C）インターネット協会（2004）。この文書では、BCP 78に含まれる権利と許可と制限の適用を受けており、その中の記載を除いて、作者は彼らのすべての権利を保有します。
This document and the information contained herein are provided on an "AS IS" basis and THE CONTRIBUTOR, THE ORGANIZATION HE/SHE REPRESENTS OR IS SPONSORED BY (IF ANY), THE INTERNET SOCIETY AND THE INTERNET ENGINEERING TASK FORCE DISCLAIM ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
この文書とここに含まれている情報は、基礎とCONTRIBUTOR「そのまま」、ORGANIZATION HE / SHEが表すまたはインターネットソサエティおよびインターネット・エンジニアリング・タスク・フォース放棄すべての保証、明示または、（もしあれば）後援ISに設けられています。黙示、情報の利用は、特定の目的に対する権利または商品性または適合性の黙示の保証を侵害しない任意の保証含むがこれらに限定されません。
Intellectual Property
知的財産
The IETF takes no position regarding the validity or scope of any Intellectual Property Rights or other rights that might be claimed to pertain to the implementation or use of the technology described in this document or the extent to which any license under such rights might or might not be available; nor does it represent that it has made any independent effort to identify any such rights. Information on the procedures with respect to rights in RFC documents can be found in BCP 78 and BCP 79.
IETFは、本書またはそのような権限下で、ライセンスがたりないかもしれない程度に記載された技術の実装や使用に関係すると主張される可能性があります任意の知的財産権やその他の権利の有効性または範囲に関していかなる位置を取りません利用可能です。またそれは、それがどのような権利を確認する独自の取り組みを行ったことを示すものでもありません。 RFC文書の権利に関する手続きの情報は、BCP 78およびBCP 79に記載されています。
Copies of IPR disclosures made to the IETF Secretariat and any assurances of licenses to be made available, or the result of an attempt made to obtain a general license or permission for the use of such proprietary rights by implementers or users of this specification can be obtained from the IETF on-line IPR repository at http://www.ietf.org/ipr.
IPRの開示のコピーが利用できるようにIETF事務局とライセンスの保証に行われた、または本仕様の実装者または利用者がそのような所有権の使用のための一般的なライセンスまたは許可を取得するために作られた試みの結果を得ることができますhttp://www.ietf.org/iprのIETFのオンラインIPRリポジトリから。
The IETF invites any interested party to bring to its attention any copyrights, patents or patent applications, or other proprietary rights that may cover technology that may be required to implement this standard. Please address the information to the IETF at ietf-ipr@ietf.org.
IETFは、その注意にこの標準を実装するために必要とされる技術をカバーすることができる任意の著作権、特許または特許出願、またはその他の所有権を持ってすべての利害関係者を招待します。 ietf-ipr@ietf.orgのIETFに情報を記述してください。
Acknowledgement
謝辞
Funding for the RFC Editor function is currently provided by the Internet Society.
RFC Editor機能のための基金は現在、インターネット協会によって提供されます。