正解：エ
各選択肢の解説
ア退職者が出るたびに共通のパスフレーズを変更し、全員に配り直す。
誤り。退職者は締め出せますが、そのたびに全員の設定を変えることになり、 「本人だけを止める」条件を満たしません。共通のままなので、 誰が接続しているかも区別できません。
イ暗号化方式をWPA3に切り替え、共通のパスフレーズはそのまま使う。
誤り。WPA3はパスフレーズを推測する攻撃に強くなりますが、パスフレーズを使う方式 （WPA3-Personal）のままなら、知っている人は誰でも接続できます。 暗号の強さと、利用者ごとに認証するかどうかは別の話です。
ウSSIDのステルス設定で、接続できる無線LANの一覧に表示させない。
誤り。一覧に出なくなるだけで、SSIDとパスフレーズを知っている退職者は接続できます。 SSIDは通信を調べれば分かるため、隠す効果自体も限られます。
エアクセスポイントの接続時の認証を、利用者IDで認証するRADIUSサーバに任せる。
正解。RADIUSサーバに利用者ごとのIDを登録して認証させれば、退職者のIDを止めるだけで その人の接続を断てます。誰がいつ接続したかの記録も残せます。
理解を深めるために
合鍵を全員に配るか、社員証で入るか
共通のパスフレーズは、全員に同じ合鍵を配っているのと同じです。辞めた人が合鍵を 持ったままなら入れてしまい、締め出すには錠前ごと替えて全員に新しい鍵を配るしかありません。 RADIUS は、入口で一人ひとりの社員証を確かめる受付係にあたります。
なぜ RADIUS を使うと本人だけを止められるのか
RADIUS は、ネットワークに接続しようとする利用者の認証を、1台のサーバにまとめて任せる ための仕組みです。無線LANでは、次のように使います。
- 無線LANアクセスポイントは、自分では可否を判断せず、利用者のIDと認証情報を RADIUSサーバに問い合わせる（IEEE 802.1X という認証の枠組み）
- RADIUSサーバが利用者ごとのIDを確かめ、結果をアクセスポイントに返す
- 退職者のIDを無効にすれば、その人だけが接続できなくなる。ほかの社員の設定は変わらない
アクセスポイントが何台あっても、IDの管理はRADIUSサーバ1か所で済みます。 認証の記録が利用者ごとに残るので、後から「誰が接続したか」を追えるのも利点です。
混同しやすいものとの違い
| 対応 | 何が変わるか | 退職者1人だけを止められるか |
|---|---|---|
| RADIUSで利用者ごとに認証 | 認証の単位が人になる | できる |
| 共通パスフレーズの変更 | 合鍵を全員分作り直す | 全員に影響する |
| WPA3（パスフレーズ方式のまま） | 推測への強さ | できない |
| SSIDのステルス | 一覧への表示 | できない |
試験では、「共通の合言葉」の問題点を指摘されたら、合言葉を強くする選択肢ではなく、 認証の単位を利用者ごとに変える選択肢を選びます。