WiFiCx WPA3-SAE 認証

WiFiCx は WPA3-SAE (WPA3-Personal とも呼ばれます) をサポートしています。 SAE (Secure Authentication of Equals) 認証のフレーム コンテンツの生成と解析は Windows 内で行われますが、OS では WPA3-SAE 認証フレームを送受信するためのドライバー サポートが必要です。

WPA3-SAE の機能

WiFiCx ドライバーは、次の手順を実行して、SAE のサポートを示します。

1. SAE でサポートされている機能を設定します。
   ドライバーは、 WifiDeviceSetDeviceCapabilitiesの呼び出し中に、 WIFI_DEVICE_CAPABILITIES で SAEAuthenticationSupported 機能を設定します。

2. MFP 機能を設定します。
   ドライバーは、 WifiDeviceSetStationCapabilitiesへの呼び出し中に WIFI_STATION_CAPABILITIES で MFPCapable 機能を設定します。

3. WDI_AUTH_ALGO_WPA3_SAE 暗号を追加します。
   ドライバーは、 WifiDeviceSetStationCapabilities の呼び出しで返される認証と暗号の組み合わせの一覧に、 WDI_AUTH_ALGO_WPA3_SAE + DOT11_CIPHER_ALGO_CCMP ペアを含めます。 これは、次の構造で追加する必要があります。

   • WIFI_STATION_CAPABILITIES ->NumSupportedUnicastAlgorithms + UnicastAlgorithmsList

   また、ドライバーは、 WifiDeviceSetStationCapabilities の呼び出しで返される認証と暗号の組み合わせの一覧に、 WDI_AUTH_ALGO_WPA3_SAE + WDI_CIPHER_ALGO_BI ペアも含めます。 これは、次の構造で追加する必要があります。

   • WIFI_STATION_CAPABILITIES ->NumSupportedMulticastMgmtAlgorithms + MulticastMgmtAlgorithmsList

WPA3-SAE 認証フロー

接続の開始

SAE 接続は、 OID_WDI_TASK_CONNECT または OID_WDI_TASK_ROAMで開始します。 WDI は、 ドライバーが SAE 認証を実行する必要がある場合に、認証方法として WDI_AUTH_ALGO_WPA3_SAE を指定します。 WDI が接続/ローミング タスクの BSS リストに PMKID を提供する場合、ドライバーは SAE 認証をスキップし、代わりにオープン認証を実行して、その後 PMKID との再アソシエーション要求を実行します。

Authentication flow

SAE パラメーターの初期要求

ドライバーはまず、接続先またはローミング先の BSS を選択し、WDI がその BSS の PMKID を提供しなかった場合、ドライバーは NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED を使用して WDI からコミット パラメーターを要求します。 この初期表示では、ドライバーは表示の種類を WDI_SAE_INDICATION_TYPE_COMMIT_REQUEST_PARAMS_NEEDED に設定します。 それに対して、WDI は次のいずれかのオプションを使用して OID_WDI_SET_SAE_AUTH_PARAMS をドライバーに送信します。

• コミット要求を送信 (WDI_SAE_REQUEST_TYPE_COMMIT_PARAMS)
• SAE 認証の失敗 (WDI_SAE_REQUEST_TYPE_FAILURE)

コミット応答を受信した場合

コミット応答を受信すると、ドライバーはタイプを WDI_SAE_INDICATION_TYPE_COMMIT_FRAME に設定して NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED を送信します。 それに対して、WDI は次のいずれかの要求で OID_WDI_SET_SAE_AUTH_PARAMS を送信します。

• コミット要求を送信 (WDI_SAE_REQUEST_TYPE_COMMIT_PARAMS)
• 確認要求を送信 (WDI_SAE_REQUEST_TYPE_CONFIRM_PARAMS)
• SAE 認証の失敗 (WDI_SAE_REQUEST_TYPE_FAILURE)

確認応答を受信した場合

確認応答を受信すると、ドライバーはタイプを WDI_SAE_INDICATION_TYPE_CONFIRM_FRAMEに設定して NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED を送信します。 その後、WDI は、SAE 状態フィールドが成功または失敗に設定された OID_WDI_SET_SAE_AUTH_PARAMS を送信します。 タイムアウトまたはその他の理由によりドライバーで SAE 認証が失敗した場合、ドライバーはタイプが WDI_SAE_INDICATION_TYPE_ERROR に設定され、失敗理由が WDI_TLV_SAE_STATUS で指定された NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED 通知を送信します。

タイムアウトと再送信

これらはドライバーによって処理されます。

WPA3-SAE の関連付け

デバイスは、次のいずれかのオプションを使用して、SAE ネットワークに接続します。

SAE交換後の (再) 関連付け

通常、これは、SAE ネットワークに対する最初の関連付け試行です。 ドライバーは、関連付け要求フレームの RSN IE で SAE AKM を設定します。

PMKID を使用した (再) 関連付け

WDI が接続/ローミング タスクの BSS エントリに PMKID を指定した場合、ドライバーは次の処理を行います。

1. ドライバーは、オープン認証を実行し、続いて PMKID を (再) 関連付け要求に含めます。
2. デバイスが短時間で AP から応答を受信しない場合、または AP が応答で関連付けエラーを返した場合、ドライバーはこの AP による認証 SE 認証をスキップし、別の AP に移動するか、この AP で完全な SAE 認証を行うことにフォールバックします。

SAE 認証/関連付けが完了すると、SAE 接続が完了します。 以前と同様に、ドライバーは、接続タスクまたはローミング タスクの終了時に次の指示を送信します。

• NDIS_STATUS_WDI_INDICATION_ASSOCIATION_RESULT
• NDIS_STATUS_WDI_INDICATION_CONNECT_COMPLETE

エラー処理

SAE コミット要求フレームの再送信

タイムアウトが原因でドライバーからコミット フレームを再送信する必要がある場合、WDI によって提供された元のスカラー/要素値を再送信するか、 NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED 表示を使用して WDI にスカラー/要素値の新しいセットを要求できます。

SAE 確認応答フレームの再送信

タイムアウトが原因でドライバーが確認フレームを再送信する必要がある場合は、 NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED 表示を使用して WDI に新しい SendConfirm 値と Confirm 値のセットを要求し、型を WDI_SAE_INDICATION_TYPE_CONFIRM_REQUEST_RESEND_REQUEST に設定する必要があります。

Wi-Fi 7 SAE認証の変更

Wi-Fi 7 SAE 認証の更新については、 WiFiCx Wi-Fi 7 機能要件を参照してください。