WiFiCx WPA3-SAE 認証

  • [アーティクル]

WiFiCx は WPA3-SAE (WPA3-Personal とも呼ばれます) をサポートしています。 SAE (Secure Authentication of Equals) 認証のフレーム コンテンツの生成と解析は Windows 内で行われますが、OS では WPA3-SAE 認証フレームを送受信するためのドライバー サポートが必要です。

WPA3-SAE の機能

WiFiCx ドライバーは、次の手順を実行して、SAE のサポートを示します。

  1. SAE でサポートされている機能を設定します。
    ドライバーは、WifiDeviceSetDeviceCapabilities の呼び出し中に、WIFI_DEVICE_CAPABILITIES で SAEAuthenticationSupported 機能を設定します。

  2. MFP 機能を設定します。
    ドライバーは、WifiDeviceSetStationCapabilities への呼び出し中に WIFI_STATION_CAPABILITIES で MFPCapable 機能を設定します。

  3. WDI_AUTH_ALGO_WPA3_SAE 暗号を追加します。
    ドライバーは、WifiDeviceSetStationCapabilities の呼び出しで返される認証と暗号の組み合わせの一覧に、WDI_AUTH_ALGO_WPA3_SAE + DOT11_CIPHER_ALGO_CCMP ペアを含めます。 これは、次の構造で追加する必要があります。

    また、ドライバーは、WifiDeviceSetStationCapabilities の呼び出しで返される認証と暗号の組み合わせの一覧に、WDI_AUTH_ALGO_WPA3_SAE + WDI_CIPHER_ALGO_BI ペアも含めます。 これは、次の構造で追加する必要があります。

WPA3-SAE 認証フロー

接続の開始

SAE 接続は、OID_WDI_TASK_CONNECT または OID_WDI_TASK_ROAM で開始します。 WDI は、 ドライバーが SAE 認証を実行する必要がある場合に、認証方法として WDI_AUTH_ALGO_WPA3_SAE を指定します。 WDI が接続/ローミング タスクの BSS リストに PMKID を提供する場合、ドライバーは SAE 認証をスキップし、代わりにオープン認証を実行して、その後 PMKID との再アソシエーション要求を実行します。

認証フロー

Diagram that shows the WPA3-SAE authentication flow.

SAE パラメーターの初期要求

ドライバーはまず、接続先またはローミング先の BSS を選択し、WDI がその BSS の PMKID を提供しなかった場合、ドライバーは NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED を使用して WDI からコミット パラメーターを要求します。 この初期表示では、ドライバーは表示の種類を WDI_SAE_INDICATION_TYPE_COMMIT_REQUEST_PARAMS_NEEDED に設定します。 それに対して、WDI は次のいずれかのオプションを使用して OID_WDI_SET_SAE_AUTH_PARAMS をドライバーに送信します。

  • コミット要求の送信 (WDI_SAE_REQUEST_TYPE_COMMIT_REQUEST)
  • SAE 認証の失敗 (WDI_SAE_REQUEST_TYPE_FAILURE)

コミット応答を受信した場合

コミット応答を受信すると、ドライバーは型が WDI_SAE_INDICATION_TYPE_COMMIT_RESPON に設定された NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED を送信します。 それに対して、WDI は次のいずれかの要求で OID_WDI_SET_SAE_AUTH_PARAMS を送信します。

  • コミット要求の送信 (WDI_SAE_REQUEST_TYPE_COMMIT_REQUEST)
  • 確認要求の送信 (WDI_SAE_REQUEST_TYPE_CONFIRM_REQUEST)
  • SAE 認証の失敗 (WDI_SAE_REQUEST_TYPE_FAILURE)

確認応答を受信した場合

確認応答を受信すると、ドライバーは型が WDI_SAE_INDICATION_TYPE_CONFIRM_RESPONSE に設定された NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED を送信します。 その後、WDI は、SAE 状態フィールドが成功または失敗に設定された OID_WDI_SET_SAE_AUTH_PARAMS を送信します。 タイムアウトまたはその他の理由によりドライバーで SAE 認証が失敗した場合、ドライバーは型が WDI_SAE_INDICATION_TYPE_ERROR に設定され、WDI_TLV_SAE_STATUS に失敗の理由が指定された NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED 表示を送信します。

タイムアウトと再送信

これらはドライバーによって処理されます。

WPA3-SAE の関連付け

デバイスは、次のいずれかのオプションを使用して、SAE ネットワークに接続します。

SAE交換後の (再) 関連付け

通常、これは、SAE ネットワークに対する最初の関連付け試行です。 ドライバーは、関連付け要求フレームの RSN IE で SAE AKM を設定します。

PMKID を使用した (再) 関連付け

WDI が接続/ローミング タスクの BSS エントリに PMKID を指定した場合、ドライバーは次の処理を行います。

  1. ドライバーは、オープン認証を実行し、続いて PMKID を (再) 関連付け要求に含めます。
  2. デバイスが短時間で AP から応答を受信しない場合、または AP が応答で関連付けエラーを返した場合、ドライバーはこの AP による認証 SE 認証をスキップし、別の AP に移動するか、この AP で完全な SAE 認証を行うことにフォールバックします。

SAE 認証/関連付けが完了すると、SAE 接続が完了します。 以前と同様に、ドライバーは、接続タスクまたはローミング タスクの終了時に次の指示を送信します。

エラー処理

SAE コミット要求フレームの再送信

タイムアウトが原因でドライバーからコミット フレームを再送信する必要がある場合、WDI によって提供された元のスカラー/要素値を再送信するか、NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED 表示を使用して WDI にスカラー/要素値の新しいセットを要求できます。

SAE 確認応答フレームの再送信

タイムアウトが原因でドライバーが確認フレームを再送信する必要がある場合は、NDIS_STATUS_WDI_INDICATION_SAE_AUTH_PARAMS_NEEDED 表示を使用して WDI に新しい SendConfirm 値と Confirm 値のセットを要求し、型を WDI_SAE_INDICATION_TYPE_CONFIRM_REQUEST_RESEND_REQUEST に設定する必要があります。