公衆無線LANの安全対策は効果をどう見分ける
基本情報技術者試験 平成30年度秋期 午前 問44 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
公衆無線LANのアクセスポイントを設置するときのセキュリティ対策と効果の組みのうち，適切なものはどれか。
- ア
セキュリティ対策：MAC アドレスフィルタリングを設定する。 効果：正規の端末の MAC アドレスに偽装した攻撃者の端末からの接続を遮断し，利用者のなりすましを防止する。
- イ
セキュリティ対策：SSID を暗号化する。 効果：SSID を秘匿して，SSID の盗聴を防止する。
- ウ
セキュリティ対策：自社がレジストラに登録したドメインを，アクセスポイントのSSIDに設定する。 効果：正規のアクセスポイントと同一のSSIDを設定した，悪意のあるアクセスポイントの設置を防止する。
- エ
セキュリティ対策：同一のアクセスポイントに無線で接続している端末同士の通信を，アクセスポイントで遮断する。 効果：同一のアクセスポイントに無線で接続している他の端末に，公衆無線 LAN の利用者がアクセスポイントを経由して無断でアクセスすることを防止する。
会話形式の解説
講師この問題では、設定が何を制限し、その結果として何を防げるかを対応させて考えます。
受験者MACアドレスで接続を制限すれば、正規の端末になりすます接続も防げそうです。
講師登録されたアドレスは接続制限に使えます。ただ、正規の端末と同じMACアドレスに偽装されたら、アドレスだけで見分けられますか。
受験者見分けられません。なりすましを防ぐという効果までは言えないのですね。
講師そのとおりです。では、無線LANのネットワークを識別する名前であるSSIDを、暗号化して秘匿するという組合せはどうでしょうか。
受験者SSIDを使う設定ですが、書かれているような盗聴防止の対策にはなりません。
講師はい。次に、登録済みのドメインをSSIDに使えば、同じ名前のアクセスポイントを第三者が設置できなくなるでしょうか。
受験者ドメインを登録していても、その文字列をSSIDに設定できる人は限られません。同じ名前を使われる可能性があります。
講師そのため、その設定では悪意のあるアクセスポイントの設置を防げません。残る端末同士の通信を遮断する設定は、どの経路に効きますか。
受験者同じアクセスポイントに無線で接続した端末同士の通信です。利用者がそのアクセスポイントを経由して、ほかの端末へ無断でアクセスする経路を防げます。
講師正解は、端末同士の通信をアクセスポイントで遮断する組合せです。対策名だけで判断せず、制限する対象と示された効果が一致するかを確かめましょう。
まとめ
適切なのはエです。同じアクセスポイントに接続した端末同士の通信を遮断すれば、そのアクセスポイントを経由してほかの端末へ無断でアクセスする経路を防げます。MACアドレスによる接続制限では偽装されたアドレスを見分けられず、SSIDの暗号化や登録ドメインの利用でも、選択肢に示された効果は得られません。
解答・解説
正解はエです
この問題のテーマ
公衆無線LANのアクセスポイントに設定する対策と、その対策で実際に防げることを問う問題です。
解き方の考え方
各対策が何を制限するかを確認し、示された効果まで実現できるかを判断します。MACアドレスやSSIDを使う設定では、端末やアクセスポイントの正当性を保証できるかが焦点です。端末間の通信を遮断する設定では、遮断する通信経路と効果が一致するかを見ます。
選択肢ごとの解説
- ×ア セキュリティ対策：MAC アドレスフィルタリングを設定する。 効果：正規の端末の MAC アドレスに偽装した攻撃者の端末からの接続を遮断し，利用者のなりすましを防止する。MACアドレスフィルタリングは、登録されたアドレスを基準に接続を制限します。攻撃者が正規端末のMACアドレスを偽装した場合、アドレスだけでは両者を見分けられないため、記載されたなりすまし防止の効果は得られません。
- ×イ セキュリティ対策：SSID を暗号化する。 効果：SSID を秘匿して，SSID の盗聴を防止する。SSIDは無線LANのネットワークを識別するための名前です。SSIDを暗号化して秘匿するという設定は、記載された盗聴防止の対策にはなりません。
- ×ウ セキュリティ対策：自社がレジストラに登録したドメインを，アクセスポイントのSSIDに設定する。 効果：正規のアクセスポイントと同一のSSIDを設定した，悪意のあるアクセスポイントの設置を防止する。ドメインを登録していても、その文字列をSSIDとして使える人が登録者に限られるわけではありません。第三者も同じSSIDのアクセスポイントを設定できるため、悪意のあるアクセスポイントの設置は防げません。
- ○エ セキュリティ対策：同一のアクセスポイントに無線で接続している端末同士の通信を，アクセスポイントで遮断する。 効果：同一のアクセスポイントに無線で接続している他の端末に，公衆無線 LAN の利用者がアクセスポイントを経由して無断でアクセスすることを防止する。アクセスポイントで、そこに無線接続している端末同士の通信を遮断できます。これにより、利用者が同じアクセスポイントを経由して他の端末に無断でアクセスする経路を防げます。
POINT
- MACアドレスによる接続制限だけでは、アドレスを偽装した端末を識別できません。
- SSIDはネットワークの識別子であり、同じ文字列を第三者も設定できます。
- 対策の効果を判断するときは、どの通信経路を制限する設定かを確かめます。