Internet Engineering Task Force (IETF) Y. Ohba
Request for Comments: 5836 Toshiba
Category: Informational Q. Wu, Ed.
ISSN: 2070-1721 Huawei
G. Zorn, Ed.
Network Zen
April 2010
Extensible Authentication Protocol (EAP)
Early Authentication Problem Statement
Abstract
抽象
Extensible Authentication Protocol (EAP) early authentication may be defined as the use of EAP by a mobile device to establish authenticated keying material on a target attachment point prior to its arrival. This document discusses the EAP early authentication problem in detail.
拡張認証プロトコル（EAP）は、初期認証前の到着に目標接続ポイントで認証鍵材料を確立するためにモバイルデバイスによってEAPの使用として定義することができます。この文書は、詳細にEAP初期の認証の問題について説明します。
Status of This Memo
このメモのステータス
This document is not an Internet Standards Track specification; it is published for informational purposes.
このドキュメントはインターネット標準化過程仕様ではありません。それは、情報提供の目的のために公開されています。
This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Not all documents approved by the IESG are a candidate for any level of Internet Standard; see Section 2 of RFC 5741.
このドキュメントはインターネットエンジニアリングタスクフォース（IETF）の製品です。これは、IETFコミュニティの総意を表しています。これは、公開レビューを受けており、インターネットエンジニアリング運営グループ（IESG）によって公表のために承認されています。 IESGによって承認されていないすべての文書がインターネットStandardのどんなレベルの候補です。 RFC 5741のセクション2を参照してください。
Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc5836.
このドキュメントの現在の状態、任意の正誤表、そしてどのようにフィードバックを提供するための情報がhttp://www.rfc-editor.org/info/rfc5836で取得することができます。
Copyright Notice
著作権表示
Copyright (c) 2010 IETF Trust and the persons identified as the document authors. All rights reserved.
著作権（C）2010 IETF信託とドキュメントの作成者として特定の人物。全著作権所有。
This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (http://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.
この文書では、BCP 78と、この文書の発行日に有効なIETFドキュメント（http://trustee.ietf.org/license-info）に関連IETFトラストの法律の規定に従うものとします。彼らは、この文書に関してあなたの権利と制限を説明するように、慎重にこれらの文書を確認してください。コードコンポーネントは、トラスト法規定のセクションで説明4.eおよび簡体BSDライセンスで説明したように、保証なしで提供されているよう簡体BSDライセンスのテキストを含める必要があり、この文書から抽出されました。
This document may contain material from IETF Documents or IETF Contributions published or made publicly available before November 10, 2008. The person(s) controlling the copyright in some of this material may not have granted the IETF Trust the right to allow modifications of such material outside the IETF Standards Process. Without obtaining an adequate license from the person(s) controlling the copyright in such materials, this document may not be modified outside the IETF Standards Process, and derivative works of it may not be created outside the IETF Standards Process, except to format it for publication as an RFC or to translate it into languages other than English.
この材料の一部がIETFトラストにこのような材料の変更を許可する権利を与えられていない可能性がありますにこの文書は、2008年、IETFドキュメントまたは11月10日以前に発行または公開さIETF貢献から著作権を支配する者（複数可）材料を含んでいてもよいですIETF標準化プロセスの外。そのような材料の著作権を管理者（単数または複数）から適切なライセンスを取得することなく、この文書は、IETF標準化過程の外側修正されないかもしれません、そして、それの派生物は、IETF標準化過程の外側に作成されない場合があり、それをフォーマットする以外出版RFCとして、英語以外の言語に翻訳します。
Table of Contents
目次
1. Introduction ....................................................3
2. Terminology .....................................................4
3. Problem Statement ...............................................6
3.1. Handover Preparation .......................................6
3.2. Handover Execution .........................................6
3.2.1. Examples ............................................7
3.3. Solution Space .............................................7
3.3.1. Context Transfer ....................................7
3.3.2. Early Authentication ................................8
4. System Overview .................................................8
5. Topological Classification of Handover Scenarios ................9
6. Models of Early Authentication .................................10
6.1. EAP Pre-Authentication Usage Models .......................10
6.1.1. The Direct Pre-Authentication Model ................11
6.1.2. The Indirect Pre-Authentication Usage Model ........11
6.2. The Authenticated Anticipatory Keying Usage Model .........13
7. Architectural Considerations ...................................13
7.1. Authenticator Discovery ...................................13
7.2. Context Binding ...........................................14
8. AAA Issues .....................................................14
9. Security Considerations ........................................16
10. Acknowledgments ...............................................17
11. Contributors ..................................................17
12. References ....................................................17
12.1. Normative References .....................................17
12.2. Informative References ...................................18
When a mobile device, during an active communication session, moves from one access network to another and changes its attachment point, the session may be subjected to disruption of service due to the delay associated with the handover operation. The performance requirements of a real-time application will vary based on the type of application and its characteristics such as delay and packet-loss tolerance. For Voice over IP applications, ITU-T G.114 [ITU] recommends a steady-state end-to-end delay of 150 ms as the upper limit and rates 400 ms as generally unacceptable delay. Similarly, a streaming application has tolerable packet-error rates ranging from 0.1 to 0.00001 with a transfer delay of less than 300 ms. Any help that an optimized handoff mechanism can provide toward meeting these objectives is useful. The ultimate objective is to achieve seamless handover with low latency, even when handover is between different link technologies or between different Authentication, Authorization, and Accounting (AAA) realms.
モバイルデバイスは、アクティブな通信セッション中に、別のアクセスネットワークから移動し、その接続点を変更した場合、セッションが伴うハンドオーバ動作に関連する遅延へのサービスの中断を施してもよいです。リアルタイムアプリケーションの性能要件は、アプリケーションと、そのような遅延およびパケット損失許容値として、その特性のタイプに基づいて変化します。ボイスオーバーIPアプリケーションのために、ITU-T G.114は、[ITU]として一般的に150の上限としてMSや料金400ミリ秒の定常状態のエンドツーエンド遅延許容できない遅延をお勧めします。同様に、ストリーミングアプリケーション未満300ミリ秒の転送遅延と0.1から0.00001の範囲の許容パケット誤り率を有しています。最適化されたハンドオフのメカニズムは、これらの目標を達成に向けて提供できるすべてのヘルプは便利です。究極の目的は、ハンドオーバが異なるリンク・テクノロジー間、または異なる認証、許可、アカウンティング（AAA）レルム間であっても、低レイテンシとのシームレスなハンドオーバを実現することです。
As a mobile device goes through a handover process, it is subjected to delay because of the rebinding of its association at or across several layers of the protocol stack and because of the additional round trips needed for a new EAP exchange. Delays incurred within each protocol layer affect the ongoing multimedia application and data traffic within the client [WCM].
モバイルデバイスは、ハンドオーバプロセスを通過するように、理由で、またはプロトコルスタックのいくつかの層を横切ってので、新しいEAP交換のために必要な追加のラウンドトリップのその会合の再結合の遅延を受けています。各プロトコル層内に生じる遅延が、クライアント[WCM]内の現在進行中のマルチメディア・アプリケーションとデータ・トラフィックに影響を与えます。
The handover process often requires authentication and authorization for acquisition or modification of resources assigned to the mobile device. In most cases, these authentications and authorizations require interaction with a central authority in a realm. In some cases, the central authority may be distant from the mobile device. The delay introduced due to such an authentication and authorization procedure adds to the handover latency and consequently affects ongoing application sessions [MQ7]. The discussion in this document is focused on mitigating delay due to EAP authentication.
ハンドオーバ処理は、多くの場合、モバイルデバイスに割り当てられたリソースの取得や変更のための認証と承認を必要とします。ほとんどの場合、これらの認証と権限は、レルムでの中央機関との相互作用を必要としています。いくつかのケースでは、中央機関は、モバイルデバイスから遠いかもしれません。このような認証および許可手続きに導入される遅延は、ハンドオーバ待ち時間に加算し、その結果、進行中のアプリケーションセッション[MQ7]に影響を与えます。この文書に記載されている議論は、EAP認証による遅延を軽減するに焦点を当てています。
AAA
AAA
Authentication, Authorization, and Accounting (see below). RADIUS [RFC2865] and Diameter [RFC3588] are examples of AAA protocols defined in the IETF.
認証、認可、アカウンティング（下記参照）。 RADIUS [RFC2865]とDiameter [RFC3588]はIETFで定義されたAAAプロトコルの例です。
AAA realm The set of access networks within the scope of a specific AAA server. Thus, if a mobile device moves from one attachment point to another within the same AAA realm, it continues to be served by the same AAA server.
AAAレルム固有のAAAサーバのスコープ内でアクセスネットワークのセット。モバイルデバイスが同じAAAレルム内の別の接続ポイントから移動した場合従って、それは同じAAAサーバによって配信され続けます。
Accounting The act of collecting information on resource usage for the purpose of trend analysis, auditing, billing, or cost allocation [RFC2989].
トレンド分析、監査、課金、またはコスト配分[RFC2989]のためにリソース使用状況に関する情報を収集する行為を占めています。
Attachment Point A device, such as a wireless access point, that serves as a gateway between access clients and a network. In the context of this document, an attachment point must also support EAP authenticator functionality and may act as a AAA client.
アタッチメントは、アクセスクライアントとネットワークの間のゲートウェイとして機能する無線アクセスポイントなどのデバイスをポイント。この文書の文脈では、取り付け点もEAP認証機能をサポートしている必要がありますし、AAAクライアントとして機能することができます。
Authentication The act of verifying a claimed identity, in the form of a preexisting label from a mutually known name space, as the originator of a message (message authentication) or as the end-point of a channel (entity authentication) [RFC2989].
認証メッセージ（メッセージ認証）の発信元として、またはチャネル（エンティティ認証）[RFC2989]の終点として、互いに既知の名前空間から既存のラベルの形で、要求されたアイデンティティを検証する行為。
Authenticator The end of the link initiating EAP authentication [RFC3748].
EAP認証[RFC3748]を開始するリンクの終端をオーセンティケータ。
Authorization The act of determining if a particular right, such as access to some resource, can be granted to the presenter of a particular credential [RFC2989].
許可あればそのようないくつかのリソースへのアクセスなどの特定の権利を決定する動作は、特定の資格[RFC2989]のプレゼンタに付与することができます。
Candidate Access Network An access network that can potentially become the target access network for a mobile device. Multiple access networks may be candidates simultaneously.
候補アクセスネットワーク潜在的に、モバイルデバイスのためのターゲット・アクセス・ネットワークになることができ、アクセスネットワーク。複数のアクセスネットワークは、同時に候補者であってもよいです。
Candidate Attachment Point (CAP) An attachment point that can potentially become the target attachment point for a mobile device. Multiple attachment points may be candidates simultaneously.
候補アタッチメントポイント（CAP）、潜在的に、モバイルデバイスのための目標接続ポイントになることができるアタッチメントポイント。複数のアタッチメントポイントは、同時に候補者であってもよいです。
Candidate Authenticator (CA) The EAP authenticator on the CAP.
候補オーセンティケータ（CA）CAP上のEAP認証。
EAP Server The entity that terminates the EAP authentication method with the peer [RFC3748]. EAP servers are often, but not necessarily, co-located with AAA servers, using a AAA protocol to communicate with remote pass-through authenticators.
EAPサーバピア[RFC3748]とEAP認証メソッドを終了するエンティティ。 EAPサーバはしばしば、必ずしもそうではないが、リモート・パススルー・オーセンティケータと通信するためにAAAプロトコルを使用して、AAAサーバと同じ場所に配置します。
Inter-AAA-realm Handover (Inter-realm Handover) A handover across multiple AAA realms.
インターAAAレルムハンドオーバ（インターレルムハンドオーバ）複数のAAAレルム間に跨るハンドオーバ。
Inter-Technology Handover A handover across different link-layer technologies.
インターテクノロジーハンドオーバ異なるリンク層技術間ハンドオーバ。
Intra-AAA-realm Handover (Intra-realm Handover) A handover within the same AAA realm. Intra-AAA-realm handover includes a handover across different authenticators within the same AAA realm.
イントラAAAレルムハンドオーバ（イントラレルムハンドオーバ）同じAAAレルム内ハンドオーバ。イントラAAAレルムハンドオーバが同じAAAレルム内の異なるオーセンティケータ間に跨るハンドオーバを含みます。
Intra-Technology Handover A handover within the same link-layer technology.
技術内ハンドオーバ同じリンク層技術内ハンドオーバ。
Master Session Key (MSK) Keying material that is derived between the EAP peer and server and exported by the EAP method [RFC3748].
EAPピアとサーバとの間で導出され、EAPメソッド[RFC3748]によってエクスポートされるマスタセッションキー（MSK）キーイング材料。
Peer The entity that responds to the authenticator and requires authentication [RFC3748].
オーセンティケータに応答し、認証[RFC3748]を必要とするエンティティをピア。
Serving Access Network An access network that is currently serving the mobile device.
アクセスネットワークに現在のモバイルデバイスにサービスを提供しているアクセスネットワークサービスを提供しています。
Serving Attachment Point (SAP) An attachment point that is currently serving the mobile device.
アタッチメントポイント（SAP）は、現在、モバイルデバイスにサービスを提供している接続ポイントにサービスを提供します。
Target Access Network An access network that has been selected to be the new serving access network for a mobile device.
ターゲットアクセスネットワーク、モバイルデバイス用の新しいサービングアクセスネットワークであるように選択されたアクセスネットワーク。
Target Attachment Point (TAP) An attachment point that has been selected to be the new SAP for a mobile device.
ターゲット接続ポイント（TAP）は、モバイルデバイス用の新しいSAPなるように選択されたアタッチメントポイント。
The basic mechanism of handover is a two-step procedure involving
ハンドオーバの基本的なメカニズムが関与する二段階手順であります
o handover preparation and
Oハンドオーバの準備と
o handover execution
Oのハンドオーバ実行
Handover preparation includes the discovery of candidate attachment points and selection of an appropriate target attachment point from the candidate set. Handover preparation is outside the scope of this document.
ハンドオーバ準備は、候補セットから適切なターゲット接続ポイントの候補結合点の発見と選択を含みます。ハンドオーバの準備は、この文書の範囲外です。
Handover execution consists of setting up Layer 2 (L2) and Layer 3 (L3) connectivity with the TAP. Currently, handover execution includes network access authentication and authorization performed directly with the target network; this may include full EAP authentication in the absence of any particular optimization for handover key management. Following a successful EAP authentication, a secure association procedure is typically performed between the mobile device and the TAP to derive a new set of link-layer encryption keys from EAP keying material such as the MSK. The handover latency introduced by full EAP authentication has proven to be higher than that which is acceptable for real-time application scenarios [MQ7]; hence, reduction in handover latency due to EAP is a necessary objective for such scenarios.
ハンドオーバ実行は、TAPと、レイヤ2（L2）およびレイヤ3（L3）接続のセットアップから成ります。現在、ハンドオーバの実行がターゲットネットワークに直接行ったネットワークアクセスの認証と承認を含み、これは、ハンドオーバキー管理のための特定の最適化が存在しない状態で、完全なEAP認証を含むことができます。成功したEAP認証以下、セキュアアソシエーション手順は、典型的には、MSKなどのEAPキーイングマテリアルからリンク層暗号鍵の新しいセットを導出するために、モバイルデバイスとTAPとの間で行われます。完全なEAP認証によって導入されたハンドオーバ待ち時間は、リアルタイムアプリケーションのシナリオ[MQ7]のために許容されるものよりも高いことが証明されています。従って、原因EAPへのハンドオーバ待ち時間の減少は、このようなシナリオのために必要な目標です。
In IEEE 802.11 Wireless Local Area Networks (WLANs) [IEEE.802-11.2007] network access authentication and authorization involves performing a new IEEE 802.1X [IEEE.802-1X.2004] message exchange with the authenticator in the TAP to execute an EAP exchange with the authentication server [WPA]. There has been some optimization work undertaken by the IEEE, but these efforts have been scoped to IEEE link-layer technologies; for example, the work done in the IEEE 802.11f [IEEE.802-11F.2003] and 802.11r [IEEE.802-11R.2008] Task Groups applies only to intra-technology handovers.
IEEE 802.11の無線ローカルエリアネットワーク（WLAN）IEEE.802-11.2007]ネットワークアクセス認証及び認可はEAPを実行するTAPにおけるオーセンティケータとの新しいIEEE 802.1X [IEEE.802-1X.2004]メッセージ交換を行うことを含みます認証サーバ[WPA]との交流。そこIEEEによって行わいくつかの最適化の作業となっているが、これらの努力はIEEEリンク層技術にスコープされています。例えば、IEEEで行われた作業は、802.11f [IEEE.802-11F.2003]と802.11rの[IEEE.802-11R.2008]タスクグループは、技術内ハンドオーバにのみ適用されます。
The Third Generation Partnership Project (3GPP) Technical Specification 33.402 [TS33.402] defines the authentication and key management procedures performed during interworking between non-3GPP access networks and the Evolved Packet System (EPS). Network access authentication and authorization happens after the L2 connection is established between the mobile device and a non-3GPP target access network, and involves an EAP exchange between the mobile device and the 3GPP AAA server via the non-3GPP target access network. These procedures are not really independent of link technology, since they assume either that the authenticator lies in the EPS network or that separate authentications are performed in the access network and then in the EPS network.
第3世代パートナーシッププロジェクト（3GPP）技術仕様33.402 [TS33.402]は非3GPPアクセスネットワークと発展型パケットシステム（EPS）との間のインターワーキングの間に行われる認証と鍵管理手順を定義します。ネットワークアクセス認証及び認可は、L2接続がモバイルデバイスと非3GPPターゲットアクセスネットワークとの間で確立された後に発生し、非3GPPターゲットアクセスネットワークを介してモバイルデバイスと3GPP AAAサーバとの間のEAP交換を伴います。これらの手順は、どちらかのオーセンティケータは、EPSネットワークまたは別の認証は、アクセスネットワークで、その後、EPSネットワークで実行されていることをあることを前提とするので、リンク・テクノロジーの実際に独立していません。
As the examples in the preceding sections illustrate, a solution is needed to enable EAP early authentication for inter-AAA-realm handovers and inter-technology handovers. A search for solutions at the IP level may offer the necessary technology independence.
前節の例が示すように、溶液を相互AAAレルムハンドオーバおよび技術間ハンドオーバのためにEAP初期認証を可能にするために必要とされます。 IPレベルでのソリューションの検索は、必要な技術の独立性を提供することがあります。
Optimized solutions for secure inter-authenticator handovers can be seen either as security context transfer (e.g., using the EAP Extensions for EAP Re-authentication Protocol (ERP)) [RFC5296], or as EAP early authentication.
セキュア間オーセンティケータのハンドオーバのために最適化されたソリューションは、セキュリティコンテキスト転送（例えば、EAP再認証プロトコル（ERP）のためのEAP拡張を使用）[RFC5296]として、またはEAP初期認証のいずれかとして見ることができます。
Security context transfer involves transfer of reusable key context to the TAP and can take two forms: horizontal and vertical.
セキュリティコンテキスト転送は、TAPに再利用可能なキーコンテキストの移転を伴い、二つの形式取ることができます：水平および垂直に。
Horizontal security context transfer (e.g., from SAP to TAP) is not recommended because of the possibility that the compromise of one attachment point might lead to the compromise of another (the so-called domino effect, [RFC4962]). Vertical context transfer is similar to the initial establishment of keying material on an attachment point in that the keys are sent from a trusted server to the TAP as a direct result of a successful authentication. ERP specifies vertical context transfer using existing EAP keying material obtained from the home AAA server during the initial authentication. A cryptographically independent re-authentication key is derived and transmitted to the TAP as a result of successful ERP authentication. This reduces handover delay for intra-realm handovers by eliminating the need to run full EAP authentication with the home EAP server.
水平セキュリティコンテキスト転送（例えば、SAPからタップする）ために1つの取付け点の妥協が別の妥協（いわゆるドミノ効果、[RFC4962]）につながるかもしれないという可能性は推奨されません。垂直コンテキスト転送は、アタッチメントに鍵材料の初期の確立に類似しているキーは認証成功の直接の結果として、TAPに信頼できるサーバから送信されていることを指します。 ERPは、初期認証時にホームAAAサーバから取得した既存のEAPキーイングマテリアルを使用して、垂直コンテキスト転送を指定します。暗号独立再認証キーを導出し、成功したERP認証の結果、TAPに送信されます。これは、ホームEAPサーバとの完全なEAP認証を実行する必要性を排除することによって、イントラレルムハンドオーバのためのハンドオーバ遅延を低減します。
However, in the case of inter-realm handover, either ERP is not applicable or an additional optimization mechanism is needed to establish a key on the TAP.
しかし、レルム間ハンドオーバの場合には、ERPのいずれかが適用されないか、追加の最適化メカニズムは、TAPのキーを確立するために必要とされます。
In EAP early authentication, AAA-based authentication and authorization for a CAP is performed while ongoing data communication is in progress via the serving access network, the goal being to complete AAA signaling for EAP before the mobile device moves. The applicability of EAP early authentication is limited to the scenarios where candidate authenticators can be discovered and an accurate prediction of movement can be easily made. In addition, the effectiveness of EAP early authentication may be less significant for particular inter-technology-handover scenarios where simultaneous use of multiple technologies is not a major concern.
進行中のデータ通信がサービングアクセスネットワーク、モバイルデバイスが移動する前に、EAPのためのAAAシグナリングを完了するために、ある目標を介して進行している間EAP初期認証では、CAPのためのAAAベースの認証と認可が行われます。 EAP認証早期の適用は、候補オーセンティケータを発見することができ、動きの正確な予測を容易に行うことができるシナリオに制限されています。また、EAP初期の認証の有効性は、複数の技術の同時使用が主要な関心事ではありません特定の技術間ハンドオーバのシナリオにはあまり重要である可能性があります。
There are also several AAA issues related to EAP early authentication, discussed in Section 8.
第8章で議論EAP早期の認証に関連するいくつかのAAAの問題もあります。
Figure 1 shows the functional elements that are related to EAP early authentication. These functional elements include a mobile device, a SAP, a CAP, and one or more AAA and EAP servers; for the sake of convenience, the AAA and EAP servers are represented as being co-located. When the SAP and CAP belong to different AAA realms, the CAP may require a different set of user credentials than those used by the peer when authenticating to the SAP. Alternatively, the CAP and the SAP may rely on the same AAA server, located in the home realm of the mobile device (MD).
図1は、EAP初期認証に関連する機能要素を示しています。これらの機能要素は、モバイルデバイス、SAP、CAP、および1つまたは複数のAAAとEAPサーバが含まれます。便宜上、AAA及びEAPサーバは、同一場所に配置されているものとして示されています。 SAPおよびCAPが異なるAAAレルムに属している場合、CAPは、SAPへの認証時にピアによって使用されるものよりも、ユーザーの資格情報の異なるセットを必要とするかもしれません。また、CAPとSAPは、モバイルデバイス（MD）のホーム領域にある同じAAAサーバ、に依拠することができます。
+------+ +-------+ +---------+ +---------+
| MD |------| SAP |------| | | |
+------+ +-------+ | IP | | EAP/AAA
. | |------| |
. Move | Network | | Server |
v +-------+ | | | |
| CAP |------| | | |
+-------+ +---------+ +---------+
Figure 1: EAP Early Authentication Functional Elements
図1：EAP初期認証機能要素
A mobile device is attached to the serving access network. Before the MD performs handover from the serving access network to a candidate access network, it performs EAP early authentication with a candidate authenticator via the serving access network. The peer may perform EAP early authentication with one or more candidate authenticators. It is assumed that each attachment point has an IP address. It is assumed that there is at least one CAP in each candidate access network. The serving and candidate access networks may use different link-layer technologies.
モバイルデバイスは、サービングアクセスネットワークに接続されています。 MDは、候補アクセスネットワークへのサービングアクセスネットワークからのハンドオーバを実行する前に、サービングアクセスネットワークを介した候補オーセンティケータにEAP早期に認証を実行します。ピアは、一つ以上の候補オーセンティケータにEAP早期に認証を行うことができます。各結合点がIPアドレスを持っていることを想定しています。各候補アクセスネットワーク内の少なくとも1つのCAPがあることが想定されます。サービス提供および候補アクセスネットワークは、異なるリンク層技術を使用することができます。
Each authenticator is either a standalone authenticator or a pass-through authenticator [RFC3748]. When an authenticator acts as a standalone authenticator, it also has the functionality of an EAP server. When an authenticator acts as a pass-through authenticator, it communicates with the EAP server, typically using a AAA transport protocol such as RADIUS [RFC2865] or Diameter [RFC3588].
各オーセンティケータは、オーセンティケータスタンドアロンまたはパススルー認証者[RFC3748]のいずれかです。オーセンティケータは、スタンドアロンのオーセンティケータとして動作した場合、それはまた、EAPサーバの機能を備えています。オーセンティケータがパススルー認証者として働く場合、それは典型的には、RADIUS [RFC2865]または直径[RFC3588]としてAAA転送プロトコルを使用して、EAPサーバと通信を行います。
If the CAP uses an MSK [RFC5247] for generating lower-layer ciphering keys, EAP early authentication is used to proactively generate an MSK for the CAP.
CAPは、下層の暗号化キーを生成するためのMSK [RFC5247]を使用している場合、EAP認証が早期積極的CAPのためのMSKを生成するために使用されます。
The complexity of the authentication and authorization part of handover depends on whether it involves a change in EAP server. Consider first the case where the authenticators operate in pass-through mode, so that the EAP server is co-located with a AAA server. Then, there is a strict hierarchy of complexity, as follows:
ハンドオーバの認証と認可の一部の複雑さは、それはEAPサーバの変更を必要とするかどうかによって異なります。最初のEAPサーバはAAAサーバと同じ場所に配置されるように、オーセンティケータは、パススルーモードで動作する場合を考えます。その後、次のように複雑さの厳密な階層は、あります：
1. inter-attachment-point handover with common AAA server: the CAP and SAP are different entities, but the AAA server is the same. There are two sub-cases here:
一般的なAAAサーバと1間接続点ハンドオーバ：CAPとSAPは異なるエンティティですが、AAAサーバは同じです。ここでは二つのサブケースがあります。
(a) the AAA server is common because both attachment points lie
within the same network, or
(b) the AAA server is common because AAA entities in the serving and candidate networks proxy to a AAA server in the home realm.
ホーム領域でのAAAサーバへのサービス提供と候補ネットワークプロキシであるため、AAAエンティティ（b）のAAAサーバが一般的です。
2. inter-AAA-realm handover: the CAP and SAP are different entities, and the respective AAA servers also differ. As a result, authentication in the candidate network requires a second set of user credentials.
2.間AAAレルムハンドオーバ：CAPとSAPは異なるエンティティであり、それぞれのAAAサーバも異なります。結果として、候補ネットワークにおける認証は、ユーザーの資格情報の第2のセットを必要とします。
A third case is where one or both authenticators are co-located with an EAP server. This has some of the characteristics of an inter-AAA-realm handover, but offers less flexibility for resolution of the early authentication problem.
一方または両方のオーセンティケータはEAPサーバと同じ場所に配置される第三のケースです。これは、インター-AAA-レルムハンドオーバの特性のいくつかを持っていますが、初期の認証の問題の解決のためのより少ない柔軟性を提供しています。
Orthogonally to this classification, one can distinguish intra-technology handover from inter-technology handover thinking of the link technologies involved. In the inter-technology case, it is highly probable that the authenticators will differ. The most likely cases are 1(b) or 2 in the above list.
直角にこの分類に、一つは関与リンク技術の技術間ハンドオーバの考え方から技術内ハンドオーバを区別することができます。技術間のケースでは、オーセンティケータが異なります可能性が高いです。最も可能性が高い場合は、上記のリストに1（b）または2です。
As noted in Section 3, there are cases where early authentication is applicable while ERP does not work. This section concentrates on providing some models around which we can build our analysis of the EAP early authentication problem. Different usage models can be defined depending on whether
第3節で述べたように、ERPは動作しませんしながら、早期に認証が適用される場合があります。このセクションでは、我々はEAP初期の認証の問題の我々の分析を構築することができ、その周りにいくつかのモデルを提供することに集中します。異なる使用モデルは、かどうかに応じて定義することができます
o the SAP is not involved in early authentication (direct pre-authentication usage model),
SAPは、早期に認証（直接事前認証の使用モデル）に関与していないO、
o the SAP interacts only with the CAP (indirect pre-authentication usage model), or
SAPは、CAP（間接事前認証の使用モデル）と相互作用する、またはO-
o the SAP interacts with the AAA server (the authenticated anticipatory keying usage model).
O SAPは、AAAサーバ（認証先行キーイング使用モデル）と相互作用します。
It is assumed that the CAP and SAP are different entities. It is further assumed in describing these models that there is no direct L2 connectivity between the peer and the candidate attachment point.
CAPとSAPは異なる実体であることが想定されます。それはさらに、ピア候補アタッチメントポイントとの間に直接的なL2接続が存在しないこれらのモデルを説明する際に想定されます。
In the EAP pre-authentication model, the SAP does not interact with the AAA server directly. Depending on how the SAP is involved in the pre-authentication signaling, the EAP pre-authentication usage model can be further categorized into the following two sub-models, direct and indirect.
EAP事前認証モデルでは、SAPは、直接AAAサーバと相互作用しません。 SAPは、事前認証シグナリングに関与している方法に応じて、EAP事前認証の使用モデルは、さらに、以下の二つのサブモデルに分類直接的および間接的なことができます。
In this model, the SAP is not involved in the EAP exchange and only forwards the EAP pre-authentication traffic as it would any other data traffic. The direct pre-authentication model is based on the assumption that the MD can discover candidate authenticators and establish direct IP communication with them. It is applicable to any of the cases described in Section 5.
それは、他のデータトラフィックと同じように、このモデルでは、SAPは、EAP交換のみを転送EAP事前認証トラフィックに関与していません。直接事前認証モデルは、MDが候補認証者を発見し、彼らと直接IP通信を確立できるという仮定に基づいています。これは、第5節で説明した例いずれにも適用されます。
Mobile Candidate Attachment AAA Server
Device Point(CAP)
+-----------+ +-------------------------+ +------------+
| | | Candidate | | |
| Peer | | Authenticator | | EAP Server |
| | | | | |
+-----------+ +-------------------------+ +------------+
| MD-CAP |<-->| MD-CAP | | CAP-AAA |<-->| CAP-AAA |
| Signaling | | Signaling | | Signaling | | Signaling |
+-----------+ +-----------+ +-----------+ +------------+
Figure 2: Direct Pre-Authentication Usage Model
図2：直接事前認証の使用モデル
The direct pre-authentication signaling for the usage model is shown in Figure 3.
使用モデルのための直接事前認証シグナリングは、図3に示されています。
Mobile Serving Candidate AAA/EAP
Device Attachment Point Authenticator Server
(SAP)
| | | |
| | | |
| EAP over MD-CAP Signaling (L3) | EAP over AAA |
|<------------------+------------------->|<----------------->|
| | | |
| | | |
Figure 3: Direct Pre-Authentication Signaling for the Usage Model
図3：直接事前認証は、使用モデルのシグナリング
The indirect pre-authentication usage model is illustrated in Figure 4.
間接事前認証の使用モデルは、図4に示されています。
Mobile Device Serving Candidate AAA
(MD) Attachment Point Attachment Point Server
(SAP) (CAP)
+----------+ +----------------+ +--------+
| | | | | |
| EAP Peer | | Candidate | | EAP |
| | | Authenticator | | Server |
| | | | | |
+----------+ +---------+-------+ +-------+--------+ +--------+
| MD-SAP |<->| MD-SAP |SAP-CAP|<->|SAP-CAP|CAP-AAA |<->|CAP-AAA |
+----------+ +---------+-------+ +-------+--------+ +--------+
{-----------------------------Signaling----------------------------}
Figure 4: Indirect Pre-Authentication Usage Model
図4：間接事前認証の使用モデル
In the indirect pre-authentication model, it is assumed that a trust relationship exists between the serving network (or serving AAA realm) and candidate network (or candidate AAA realm). The SAP is involved in EAP pre-authentication signaling. This pre-authentication model is needed if the peer cannot discover the candidate authenticators identity or if direct IP communication between the MD and CAP is not possible due to security or network topology issues.
間接事前認証モデルでは、信頼関係は、サービングネットワーク（またはサービングAAAレルム）と候補ネットワーク（または候補AAAレルム）との間に存在することが想定されます。 SAPは、EAP事前認証信号伝達に関与しています。ピアが候補オーセンティケータのアイデンティティを発見することができない場合やMDとCAPの間の直接IP通信が原因のセキュリティやネットワークトポロジの問題のために可能でない場合は、この事前認証モデルが必要とされています。
The role of the SAP in this pre-authentication model is to forward EAP pre-authentication signaling between the mobile device and CAP; the role of the CAP is to forward EAP pre-authentication signaling between the peer (via the SAP) and EAP server and receive the transported keying material.
この事前認証モデルにおけるSAPの役割は、モバイルデバイスとCAPとの間のEAP事前認証シグナリングを転送することです。 CAPの役割は、（SAPを介して）ピアとの間のEAP事前認証シグナリングを転送し、EAPサーバと搬送キーイング材料を受信します。
The pre-authentication signaling for this model is shown in Figure 5.
このモデルの事前認証シグナリングは、図5に示されています。
Mobile Serving Candidate AAA/EAP
Device Attachment Point Attachment Point Server
(SAP) (CAP)
| | | |
| EAP over | EAP over | EAP over AAA |
| MD-SAP Signaling | SAP-CAP Signaling | |
| (L2 or L3) | (L3) | |
|<----------------->|<------------------<|<----------------->|
| | | |
| | | |
Figure 5: Indirect Pre-Authentication Signaling for the Usage Model
図5：使用モデルのための間接事前認証シグナリング
In this model, the pre-authentication signaling path between a peer and a candidate authenticator consists of two segments: peer-to-SAP signaling (over L2 or L3) and SAP-to-CAP signaling over L3.
このモデルでは、ピア及び候補オーセンティケータ間事前認証シグナリングパスが2つのセグメントから成る：ピア・ツーSAP（L2またはL3以上）シグナリングおよびSAP-TO-CAP L3上のシグナリング。
In this model, it is assumed that there is no trust relationship between the SAP and the CAP, and the SAP is required to interact with the AAA server directly. The authenticated anticipatory keying usage model is illustrated in Figure 6.
このモデルでは、SAPとCAPの間に信頼関係がないと仮定して、SAPは、直接AAAサーバと対話するために必要です。認証された先行キーイング使用モデルは、図6に示されています。
Mobile Serving AAA Server Candidate
Device Attachment Point Attachment
(SAP) Point (CAP)
+---------+ +------------------+ +-----------------+ +--------+
| | | | | | | |
| Peer | | Authenticator | | EAP Server | | AAA |
| | | | | | | Client |
+---------+ +------------------+ +-----------------+ +--------+
| MD-SA |<->| MD-SAP |SAP-AAA |<->|SAP-AAA |CAP-AAA |<>|CAP-AAA |
+---------+ +------------------+ +--------+--------+ +--------+
{------------------------------Signaling---------------------------}
Figure 6: Authenticated Anticipatory Keying Usage Model
図6：認証予期キーイングの使用モデル
The SAP is involved in EAP authenticated anticipatory keying signaling.
EAPに関与しているSAPは、先行キーイングシグナリングを認証されました。
The role of the serving attachment point in this usage model is to communicate with the peer on one side and exchange authenticated anticipatory keying signaling with the EAP server on the other side. The role of the candidate authenticator is to receive the transported keying materials from the EAP server and to act as the serving attachment point after handover occurs. The MD-SAP signaling is performed over L2 or L3; the SAP-AAA and AAA-CAP segments operate over L3.
この使用モデルでなる接続点の役割は反対側のEAPサーバとシグナリング先行キーを認証片側及び交換のピアと通信することです。候補オーセンティケータの役割は、EAPサーバから搬送キーイング材料を受信し、ハンドオーバが発生した後、サービングアタッチメントポイントとして機能することです。 MD-SAPシグナル伝達はL2またはL3にわたって行われます。 SAP-AAA及びAAA-CAPセグメントはL3で動作します。
There are two architectural issues relating to early authentication: authenticator discovery and context binding.
オーセンティケータの発見とコンテキストバインディング：初期の認証に関連する2つのアーキテクチャの問題があります。
In general, early authentication requires the identity of a candidate attachment point to be discovered by a peer, by a serving attachment point, or by some other entity prior to handover. An attachment point discovery protocol is typically defined as a separate protocol from an early authentication protocol. For example, the IEEE 802.21 Information Service (IS) [IEEE.802-21] provides a link-layer-independent mechanism for obtaining neighboring network information by defining a set of Information Elements (IEs), where one of the IEs is defined to contain an IP address of an attachment point. IEEE 802.21 IS queries for such an IE may be used as a method for authenticator discovery.
一般に、初期の認証は、ピアによって、サービングアタッチメントポイントによって、又はハンドオーバ前に他の何らかのエンティティによって発見される候補アタッチメントポイントのアイデンティティを必要とします。アタッチメントポイントディスカバリプロトコルは、典型的には初期の認証プロトコルから別のプロトコルとして定義されます。例えば、IEEE 802.21情報サービス（IS）は、[IEEE.802-21]のIEの一つはに定義されている情報要素（IE）のセットを定義することにより、隣接ネットワーク情報を取得するためのリンク層に依存しないメカニズムを提供しますアタッチメントポイントのIPアドレスが含まれています。 IEEE 802.21は、IEのためのクエリが認証者発見のための方法として用いてもよいです。
If IEEE 802.21 IS or a similar mechanism is used, authenticator discovery requires a database of information regarding the target network; the provisioning of a server with such a database is another issue.
IEEE 802.21であるか、または同様のメカニズムが使用される場合、オーセンティケータの発見は、ターゲットネットワークに関する情報のデータベースを必要とします。このようなデータベースを持つサーバのプロビジョニングは別の問題です。
When a candidate authenticator uses different EAP transport protocols for normal authentication and early authentication, a mechanism is needed to bind link-layer-independent context carried over early authentication signaling to the link-layer-specific context of the link to be established between the peer and the candidate authenticator. The link-layer-independent context includes the identities of the peer and authenticator as well as the MSK. The link-layer-specific context includes link-layer addresses of the peer and the candidate authenticator. Such context binding can happen before or after the peer changes its point of attachment.
候補オーセンティケータは、通常の認証と初期認証のため異なるEAPのトランスポートプロトコルを使用する場合、機構は、ピア間で確立されるリンクのリンク層固有コンテキストに初期認証シグナリングを介して搬送されるリンク層に依存しないコンテキストを結合するために必要とされます候補オーセンティケータ。リンク層に依存しないコンテキストは、ピアとオーセンティケータの識別ならびにMSKを含みます。リンク層固有のコンテキストは、ピアのリンク層アドレス及び候補オーセンティケータを含みます。ピアが接続点を変更する前または後にこのような文脈結合が起こる可能性があります。
There are at least two possible approaches to address the context binding issue. The first approach is based on communicating the link-layer context as opaque data via early authentication signaling. The second approach is based on running EAP over the link layer of the candidate authenticator after the peer arrives at the authenticator, using short-term credentials generated via early authentication. In this case, the short-term credentials are shared between the peer and the candidate authenticator. In both approaches, context binding needs to be securely made between the peer and the candidate authenticator. Also, the peer is not fully authorized by the candidate authenticator until the peer completes the link-layer-specific secure association procedure with the authenticator using link-layer signaling.
コンテキストバインディング問題に対処するには、少なくとも2つの可能なアプローチがあります。第一のアプローチは、初期認証シグナリングを介して不透明なデータとしてリンク層コンテキストを通信に基づいています。ピアが初期認証を介して生成された短期的な資格情報を使用して、オーセンティケータに到達した後に第二のアプローチは、候補オーセンティケータのリンク層上にEAPを実行に基づいています。この場合には、短期的な資格情報がピア及び候補オーセンティケータとの間で共有されています。両方のアプローチでは、バインディング・コンテキストを確実ピアと候補オーセンティケータとの間に形成される必要があります。ピアがリンク層シグナリングを使用してオーセンティケータとのリンクレイヤ固有セキュアアソシエーション手続きを完了するまでにも、ピアは完全に候補オーセンティケータによって許可されていません。
Most of the AAA documents today do not distinguish between a normal authentication and an early authentication, and this creates a set of open issues:
今日AAA文書のほとんどは、通常の認証と初期の認証を区別しない、これは未解決の問題のセットを作成します。
Early authentication authorization Users may not be allowed to have more than one logon session at the time. This means that while such users actively engage in a session (as a result of a previously valid authentication), they will not be able to perform early authentication. The AAA server currently has no way of distinguishing between a normal authentication request and an early authentication request.
初期の認証、許可ユーザーは、一度に複数のログオンセッションを持つことが許されないことがあります。これは、ユーザーが積極的に（以前に有効な認証の結果として）セッションに従事している間、彼らは初期の認証を行うことができないことを意味します。 AAAサーバは、現在、通常の認証要求と早期の認証要求を区別する方法はありません。
Early authentication lifetime Currently, AAA protocols define attributes carrying lifetime information for a normal authentication session. Even when a user profile and the AAA server support early authentication, the lifetime for an early authentication session is typically valid only for a short amount of time because the peer has not completed its authentication at the target link layer. It is currently not possible for a AAA server to indicate to the AAA client or a peer the lifetime of the early authenticated session unless AAA protocols are extended to carry early authentication session lifetime information. In other words, it is not clear to the peer or the authenticator when the early authentication session will expire.
初期の認証の有効期間は現在、AAAプロトコルは、通常の認証セッションの有効期間の情報を運ぶの属性を定義します。場合でも、ユーザープロファイルとAAAサーバのサポートの早期認証ピアがターゲットリンク層での認証が完了していないため、初期の認証セッションの有効期間は短い時間のために一般的に有効です。 AAAプロトコルは初期の認証セッションの有効期間の情報を運ぶために拡張されない限り、AAAサーバは、AAAクライアントまたはピアの早期認証されたセッションの存続に指示することは現在のところ不可能です。言い換えれば、それはピアまたは初期認証セッションが期限切れになるオーセンティケータに明確ではありません。
Early authentication retries It is typically expected that, shortly following the early authentication process, the peer moves to the new point of attachment and converts the early authentication state to a normal authentication state (the procedure for which is not the topic of this particular subsection). However, if the peer has not yet moved to the new location and realizes that the early authentication session is expiring, it may perform another early authentication. Some limiting mechanism is needed to avoid an unlimited number of early authentication attempts.
初期の認証は、典型的には、ピアが新しい接続点に移動し、通常の認証状態に初期認証状態を変換まもなく初期認証処理を次のことが予想される再試行（のための手順は、この特定のサブセクションのトピックではありません） 。ピアはまだ新しい場所に移動し、早期の認証セッションが期限切れになることを認識していない場合は、それは別の初期の認証を行うことができます。いくつかの制限機構を早期に認証試行の数に制限を回避するために必要とされています。
Completion of network attachment Once the peer has successfully attached to the new point of attachment, it needs to convert its authentication state from early authenticated to fully attached and authorized. If the AAA server needs to differentiate between early authentication and normal authentication, there may need to be a mechanism within the AAA protocol to provide this indication to the AAA server. This may be important from a billing perspective if the billing policy does not charge for an early authenticated peer until the peer is fully attached to the target authenticator.
ピアが正常に新しい接続点に接続された後、ネットワーク接続が完了し、それが早期に完全に取り付けられており、許可する認証されたから、その認証状態を変換する必要があります。 AAAサーバは、初期認証と通常の認証を区別する必要がある場合は、AAAサーバにこの指示を提供するために、AAAプロトコル内メカニズムであることが必要があるかもしれません。ピアが完全にターゲットオーセンティケータに接続されるまで課金政策が早期に認証されたピアのために充電していない場合、これは、課金の観点から重要であるかもしれません。
Session resumption In the case where the peer cycles between a network N1 with which it has fully authenticated and another network N2 and then back to N1, it should be possible to simply convert the fully authenticated state on N1 to an early authenticated state. The problems around handling session lifetime and keying material caching need to be dealt with.
バックN1にそれが完全に認証されるネットワークN1と他のネットワークN2との間のピア・サイクルの場合には、セッション再開、単に初期認証状態にN1で完全に認証された状態に変換することが可能であるべきです。セッションの有効期間を処理し、材料のキャッシングをキーイング周りの問題が対処される必要があります。
Multiple candidate attachment points There may be situations where the peer needs to choose from a number of CAPs. In such cases, it is desirable for the peer to perform early authentication with multiple candidate authenticators. This amplifies the difficulties noted under the point "Early authentication authorization".
複数の候補アタッチメントポイントは、ピアがCAPの数から選択する必要がある状況があるかもしれません。ピアが複数の候補オーセンティケータとの初期認証を実行するためにこのような場合に、それが望ましいです。これは、ポイント「早期認証承認」の下に指摘困難を増幅します。
Inter-AAA-realm handover support There may be situations where the peer moves out of the home AAA realm or across different visited AAA realms. In such cases, the early authentication should be performed through the visited AAA realm with the AAA server in the home AAA realm. It also requires AAA in the visited realm to acquire the identity information of the home AAA realms for routing the EAP early authentication traffic. Knowledge of realm identities is required by both the peer and AAA to generate the early authentication key for mutual authentication between the peer and the visited AAA server.
インターAAAレルムのハンドオーバをサポートホームAAAレルムのうち、異なる間でピア・移動がAAAレルムを訪問した状況があるかもしれません。このような場合には、初期の認証は、ホームAAAレルムのAAAサーバと訪問AAAレルムを介して実行されなければなりません。また、EAPの早期認証トラフィックをルーティングするためにホームAAAレルムの識別情報を取得するために訪問した分野でのAAAが必要です。レルムのアイデンティティの知識は、ピアと訪問したAAAサーバ間の相互認証のための初期の認証キーを生成するために、ピアとAAAの両方で必要とされます。
Inter-technology support Current specifications on early authentication mostly deal with homogeneous 802.11 networks. AAA attributes such as Calling-Station-ID [RADEXT-WLAN] may need to be expanded to cover other access technologies. Furthermore, inter-technology handovers may require a change of the peer identifier as part of the handover. Investigation on the best type of identifiers for peers that support multiple access technologies is required.
初期の認証の間の技術サポート現在の仕様では、ほとんど均質802.11ネットワークを扱います。 AAAは、他のアクセス技術をカバーするように拡張される必要があるかもしれない[RADEXT-WLAN] - 駅-IDの呼び出しなどの属性。さらに、技術間ハンドオーバは、ハンドオーバの一部として、ピア識別子の変更を必要とし得ます。複数のアクセス技術をサポートするピアの識別子の最高の種類の調査が必要とされます。
This section specifically covers threats introduced to the EAP model by early authentication. Security issues on general EAP and handover are described in other documents such as [RFC3748], [RFC4962], [RFC5169], and [RFC5247].
このセクションでは、特に初期の認証でEAPモデルに導入された脅威をカバーしています。一般的なEAPおよびハンドオーバのセキュリティ問題は、[RFC3748]、[RFC4962]、[RFC5169]、および[RFC5247]などの他の文献に記載されています。
Since early authentication, as described in this document, needs to work across multiple attachment points, any solution needs to consider the following security threats.
この文書で説明したように初期の認証は、複数の取り付け点を越えて動作する必要があるため、すべてのソリューションは、次のセキュリティ上の脅威を考慮する必要があります。
First, a resource consumption denial-of-service attack is possible, where an attacker that is not on the same IP link as the legitimate peer or the candidate authenticator may send unprotected early authentication messages to the legitimate peer or the candidate authenticator. As a result, the latter may spend computational and bandwidth resources on processing early authentication messages sent by the attacker. This attack is possible in both the direct and indirect pre-authentication scenarios. To mitigate this attack, the candidate network or authenticator may apply non-cryptographic packet filtering so that only early authentication messages received from a specific set of serving networks or authenticators are processed. In addition, a simple solution for the peer side would be to let the peer always initiate EAP early authentication and not allow EAP early authentication initiation from an authenticator.
まず、資源消費DoS攻撃が可能であり、どこ正当ピアまたは正当なピアまたは候補オーセンティケータに保護されていない初期の認証メッセージを送ることができ候補オーセンティケータと同じIPリンク上にない攻撃。その結果、後者は、攻撃者によって送信された初期の認証メッセージを処理する上での計算と帯域幅リソースを費やすことがあります。この攻撃では、両方の直接および間接事前認証のシナリオでも可能です。サービス提供ネットワークまたは認証者の特定のセットから受信しただけ早期に認証メッセージが処理されるように、この攻撃を軽減するために、候補ネットワークまたはオーセンティケータは、非暗号パケットフィルタリングを適用することができます。また、ピア側のための簡単な解決策は、ピアは、常にEAP早期に認証を開始し、オーセンティケータからEAP認証の早期開始を許可しないようにするだろう。
Second, consideration for the channel binding problem described in [RFC5247] is needed as lack of channel binding may enable an authenticator to impersonate another authenticator or communicate incorrect information via out-of-band mechanisms (such as via a AAA or lower-layer protocol) [RFC3748]. It should be noted that it is relatively easier to launch such an impersonation attack for early authentication than normal authentication because an attacker does not need to be physically on the same link as the legitimate peer to send an early authentication trigger to the peer.
第二に、[RFC5247]に記載のチャネル結合問題に対する配慮が必要とされるチャネルの欠如は、別のオーセンティケータを偽装又はAAAまたは下位層プロトコルを介してのようなアウトオブバンド機構（介して誤った情報を通信するために、オーセンティケータを可能にすることができる結合として）[RFC3748]。攻撃者がピアに早期の認証トリガを送信するために、正当な相手と同じリンク上に物理的にする必要はありませんので、通常の認証よりも早期の認証のため、このような偽装攻撃を開始することが比較的容易なことに留意すべきです。
The editors would like to thank Preetida Vinayakray, Shubhranshu Singh, Ajay Rajkumar, Rafa Marin Lopez, Jong-Hyouk Lee, Maryna Komarova, Katrin Hoeper, Subir Das, Charles Clancy, Jari Arkko, and Bernard Aboba for their valuable input.
編集者は彼らの貴重な入力のためにPreetida Vinayakray、Shubhranshuシン、アジャイラジクマール、ラファマリン・ロペス、ジョン・リーHyouk、マリナ・Komarova、カトリンHoeper、Subirダス、チャールズ・クランシー、ヤリArkko、およびバーナードAbobaに感謝したいと思います。
The following people all contributed to this document: Alper E. Yegin, Tom Taylor, Srinivas Sreemanthula, Madjid Nakhjiri, Mahalingam Mani, and Ashutosh Dutta.
この文書に貢献し、次の人のすべて：アルパースE. Yegin、トム・テイラー、スリニバスSreemanthula、マジドNakhjiri、Mahalingamマニ、そしてアッシュートッシュDutta氏。
[RFC3748] Aboba, B., Blunk, L., Vollbrecht, J., Carlson, J., and H. Levkowetz, "Extensible Authentication Protocol (EAP)", RFC 3748, June 2004.
[RFC3748] Aboba、B.、ブルンク、L.、Vollbrecht、J.、カールソン、J.、およびH. Levkowetz、 "拡張認証プロトコル（EAP）"、RFC 3748、2004年6月。
[RFC4962] Housley, R. and B. Aboba, "Guidance for Authentication, Authorization, and Accounting (AAA) Key Management", BCP 132, RFC 4962, July 2007.
[RFC4962] Housley氏、R。およびB. Aboba、 "認証、許可、アカウンティング（AAA）キー管理のための指針"、BCP 132、RFC 4962、2007年7月。
[RFC5247] Aboba, B., Simon, D., and P. Eronen, "Extensible Authentication Protocol (EAP) Key Management Framework", RFC 5247, August 2008.
[RFC5247] Aboba、B.、サイモン、D.、およびP. Eronen、 "拡張認証プロトコル（EAP）鍵管理フレームワーク"、RFC 5247、2008年8月。
[RFC2865] Rigney, C., Willens, S., Rubens, A., and W. Simpson, "Remote Authentication Dial In User Service (RADIUS)", RFC 2865, June 2000.
[RFC2865] Rigney、C.、ウィレンス、S.、ルーベン、A.、およびW.シンプソン、RFC 2865、2000年6月 "ユーザーサービス（RADIUS）でリモート認証ダイヤル"。
[RFC3588] Calhoun, P., Loughney, J., Guttman, E., Zorn, G., and J. Arkko, "Diameter Base Protocol", RFC 3588, September 2003.
[RFC3588]カルフーン、P.、Loughney、J.、ガットマン、E.、ゾルン、G.、およびJ. Arkko、 "直径ベースプロトコル"、RFC 3588、2003年9月。
[RFC5169] Clancy, T., Nakhjiri, M., Narayanan, V., and L. Dondeti, "Handover Key Management and Re- Authentication Problem Statement", RFC 5169, March 2008.
[RFC5169]クランシー、T.、Nakhjiri、M.、ナラヤナン、V.、およびL. Dondeti、 "ハンドオーバキー管理と再認証問題声明"、RFC 5169、2008年3月。
[RFC5296] Narayanan, V. and L. Dondeti, "EAP Extensions for EAP Re-authentication Protocol (ERP)", RFC 5296, August 2008.
[RFC5296]ナラヤナン、V.およびL. Dondeti、 "EAP再認証プロトコル（ERP）のためのEAP拡張機能"、RFC 5296、2008年8月。
[RADEXT-WLAN] Aboba, B., Malinen, J., Congdon, P., and J. Salowey, "RADIUS Attributes for IEEE 802 Networks", Work in Progress, February 2010.
[RADEXT-WLAN] Aboba、B.、Malinen、J.、Congdon氏、P.、およびJ. Salowey、 "RADIUSはIEEE 802ネットワークの属性"、進歩、2010年2月に作業。
[RFC2989] Aboba, B., Calhoun, P., Glass, S., Hiller, T., McCann, P., Shiino, H., Zorn, G., Dommety, G., C.Perkins, B.Patil, D.Mitton, S.Manning, M.Beadles, P.Walsh, X.Chen, S.Sivalingham, A.Hameed, M.Munson, S.Jacobs, B.Lim, B.Hirschman, R.Hsu, Y.Xu, E.Campell, S.Baba, and E.Jaques, "Criteria for Evaluating AAA Protocols for Network Access", RFC 2989, November 2000.
[RFC2989] Aboba、B.、カルフーン、P.、ガラス、S.、ヒラー、T.、マッキャン、P.、椎野、H.、ゾルン、G.、Dommety、G.、C.Perkins、B.Patil 、D.Mitton、S.Manning、M.Beadles、P.Walsh、X.Chen、S.Sivalingham、A.Hameed、M.Munson、S.Jacobs、B.Lim、B.Hirschman、R.Hsu、Y .Xu、E.Campell、S.Baba、およびE.Jaques、 "ネットワークアクセス用のAAAプロトコルを評価するための基準"、RFC 2989、2000年11月。
[IEEE.802-1X.2004] Institute of Electrical and Electronics Engineers, "Port-Based Network Access Control", IEEE Standard 802.1X, 2004.
[IEEE.802-1X.2004]電気電子技術者協会、「ポートベースのネットワークアクセスコントロール」、IEEE標準802.1X、2004。
[IEEE.802-21] Institute of Electrical and Electronics Engineers, "Standard for Local and Metropolitan Area Networks: Media Independent Handover Services", IEEE Standard 802.21, 2008.
[IEEE.802-21]電気電子学会、「地方とメトロポリタンエリアネットワークの標準：メディア独立ハンドオーバサービス」、IEEE規格802.21、2008。
[IEEE.802-11.2007] Institute of Electrical and Electronics Engineers, "Information technology - Telecommunications and information exchange between systems - Local and metropolitan area networks - Specific requirements - Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) specifications", IEEE Standard 802.11, 2007.
[IEEE.802-11.2007]電気電子技術者協会、「情報技術 - 電気通信及びシステム間の情報交換 - 地方とメトロポリタンエリアネットワーク - 特定の要件 - パート11：無線LAN媒体アクセス制御（MAC）および物理層（PHY ）仕様」、IEEE規格802.11、2007。
[IEEE.802-11R.2008] Institute of Electrical and Electronics Engineers, "Information technology - Telecommunications and information exchange between systems - Local and metropolitan area networks - Specific requirements - Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) specifications - Amendment 2: Fast BSS Transition", IEEE Standard 802.11R, 2008.
[IEEE.802-11R.2008]電気電子技術者協会、「情報技術 - 電気通信及びシステム間の情報交換 - 地方とメトロポリタンエリアネットワーク - 特定の要件 - パート11：無線LAN媒体アクセス制御（MAC）および物理層（PHY）仕様 - 修正2：高速BSS遷移」、IEEE標準802.11rの2008年。
[IEEE.802-11F.2003] Institute of Electrical and Electronics Engineers, "IEEE Trial-Use Recommended Practice for Multi-Vendor Access Point Interoperability via an Inter-Access Point Protocol Across Distribution Systems Supporting IEEE 802.11 Operation", IEEE Recommendation 802.11F, 2003.
[IEEE.802-11F.2003]電気電子学会、IEEE勧告802.11F「IEEE試用IEEE 802.11動作をサポート物流システム間インターアクセスポイントプロトコル経由でマルチベンダーアクセスポイントの相互運用性のための実践を推奨」 2003年。
[TS33.402] 3GPP, "System Architecture Evolution (SAE): Security aspects of non-3GPP accesses (Release 8)", 3GPP TS33.402 V8.3.1, 2009.
[TS33.402] 3GPPは、：、3GPP TS33.402 V8.3.1、2009年 "システムアーキテクチャエボリューション（SAE）非3GPPのセキュリティの側面は、（リリース8）アクセス"。
[ITU] ITU-T, "General Characteristics of International Telephone Connections and International Telephone Circuits: One-Way Transmission Time", ITU-T Recommendation G.114, 1998.
[ITU] ITU-T、 "国際電話接続や国際電話回線の一般的特徴：片道伝送時間"、ITU-T勧告G.114、1998。
[WPA] The Wi-Fi Alliance, "WPA (Wi-Fi Protected Access)", Wi-Fi WPA v3.1, 2004.
[WPA]のWi-Fi Allianceは、のWi-Fi WPA v3.1では、2004年、 "WPA（Wi-Fiは保護アクセス）"。
[MQ7] Lopez, R., Dutta, A., Ohba, Y., Schulzrinne, H., and A. Skarmeta, "Network-layer Assisted Mechanism to Optimize Authentication Delay During Handoff in 802.11 Networks", The 4th Annual International Conference on Mobile and Ubiquitous Systems: Computing, Networking and Services (MOBIQUITOUS 2007), 2007.
[MQ7]ロペス、R.、Duttaさん、A.、大場、Y.、Schulzrinneと、H.、およびA. Skarmeta、 "802.11ネットワークにおけるハンドオフ中の認証遅延を最適化するために、ネットワーク層支援メカニズム"、第4回国際会議モバイルやユビキタスシステム上：コンピューティング、ネットワーキング・サービス（MOBIQUITOUS 2007）、2007。
[WCM] Dutta, A., Famorali, D., Das, S., Ohba, Y., and R. Lopez, "Media-independent pre-authentication supporting secure interdomain handover optimization", IEEE Wireless Communications Volume 15, Issue 2, April 2008.
[WCM] Duttaさん、A.、Famorali、D.、ダス、S.、オオバ、Y.、およびR.ロペス、 "メディア独立事前認証をサポートするセキュアなドメイン間ハンドオーバの最適化"、IEEE無線通信15巻、2号2008年4月。
Authors' Addresses
著者のアドレス
Yoshihiro Ohba Toshiba Corporate Research and Development Center 1 Komukai-Toshiba-cho Saiwai-ku, Kawasaki, Kanagawa, 212-8582 Japan
よしひろ おｈば としば こｒぽらて れせあｒｃｈ あんｄ でゔぇぉｐめんｔ せんてｒ １ こむかいーとしばーちょ さいわいーく、 かわさき、 かながわ、 ２１２ー８５８２ じゃぱん
Phone: +81 44 549 2230 EMail: yoshihiro.ohba@toshiba.co.jp
電話：+81 44 549 2230 Eメール：yoshihiro.ohba@toshiba.co.jp
Qin Wu (editor) Huawei Technologies Co., Ltd Huawei Nanjing R&D Center, Floor 1F, Software Avenue, No.101., Yuhua District Nanjing, JiangSu 210012 China
W U（エディタ）におけるQは、胡Aは技術の共同で、株式会社HU AがNaN北京R＆Dセンター、床1F、ソフトウェア大通り、no.101です。、Y UのNaNビデオ地区、北京、江蘇省210012中国
Phone: +86 25 56622908 EMail: sunseawq@huawei.com
電話：+86 25 56622908 Eメール：sunseawq@huawei.com
Glen Zorn (editor) Network Zen 1463 East Republican Street Seattle, Washington 98112 USA
グレンソーン（エディタ）ネットワーク禅1463東共和党ストリートシアトル、ワシントン98112 USA
EMail: gwz@net-zen.net
メールアドレス：gwz@net-zen.net