無線LANの無断接続を防ぐ対策を暗号方式と認証で見分ける
情報セキュリティマネジメント試験 平成31年度春期 午前 問20 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
無線LANを利用できる者を限定したいとき，アクセスポイントへの第三者による無断接続の防止に最も効果があるものはどれか。
- ア
MACアドレスフィルタリングを設定する。
- イ
SSIDには英数字を含む8字以上の文字列を設定する。
- ウ
セキュリティ方式にWEPを使用し，十分に長い事前共有鍵を設定する。
- エ
セキュリティ方式にWPA2-PSKを使用し，十分に長い事前共有鍵を設定する。
会話形式の解説
講師今回は、無線LANのアクセスポイントに第三者が勝手につながるのを防ぐ対策を、4つから選ぶ問題です。まず、それぞれが本当に「接続できる人を限定する仕組み」になっているかを見ていきましょう。
受験者私は最初、MACアドレスフィルタリングで迷いました。登録した機器しかつながらないなら、無断接続は防げそうに思えます。
講師そう考える人は多いです。ただ、MACアドレスは機器ごとの識別番号で、制限できるのは機器単位です。利用する人を限定する仕組みではありません。しかもMACアドレスは通信から傍受しやすく、偽装も簡単です。許可リストの管理にも手間がかかるので、これだけでは不十分です。
受験者偽装できてしまうなら、確かに頼りないですね。SSIDを8字以上の英数字にする対策はどうでしょうか。パスワードのように複雑にすれば強くなる気がします。
講師SSIDは接続先を見分けるためのネットワーク名にすぎません。電波で周囲に公開されている情報なので、長く複雑にしても接続の制御や暗号化には効果がありません。パスワードとは役割が違います。
受験者残りはWEPとWPA2-PSKで、どちらも十分に長い事前共有鍵を設定するとあります。鍵の長さが同じなら、差は出ないのでしょうか。
講師ここが一番の引っかけです。WEPは仕様そのものに脆弱性があり、通信内容を解読されるおそれがあります。鍵を長くしても根本的な欠陥は解消されません。すでに危殆化した、つまり安全性が損なわれた暗号技術として扱われています。
受験者では、WPA2-PSKのほうが正解ということですね。PSKはどういう意味ですか。
講師PSKは事前共有鍵のことで、アクセスポイントと端末が同じ鍵を持つことで認証する方式です。暗号にはAESを使います。鍵を利用させたい人にだけ伝えれば第三者は接続できず、十分に長い鍵にすれば総当たり攻撃にも強くなります。4つの中で最も効果があるのはこれです。
受験者整理すると、SSIDは公開情報、MACアドレスは偽装できる、WEPは方式自体が弱い、だから強い暗号方式と鍵による認証を組み合わせたWPA2-PSKが選ばれる、ということですね。
講師その理解で大丈夫です。補足すると、WPA2-PSKの事前共有鍵は8〜63文字で設定できます。短い鍵や辞書にある単語だと、通信開始時のやりとりを取得されたあと、オフラインで辞書攻撃を受けるおそれがあります。WPA2-PSKでは鍵を長く推測されにくくすることが有効ですが、WEPでは鍵を長くしても根本的な欠陥は解消されない、という違いを押さえてください。
受験者利用者を一人ずつ認証したい場合はどうすればよいのですか。
講師その場合は、IEEE 802.1Xを使うWPA2-Enterpriseが検討対象になります。なお、この問題の出題後は後継方式のWPA3が普及していて、個人向けのWPA3-Personalが推奨される場面も多くなっています。それでも、この4つの選択肢の中で最も効果があるのがWPA2-PSKだという結論は変わりません。
まとめ
無線LANへの第三者の無断接続を防ぐには、強い暗号方式と事前共有鍵による認証を組み合わせることが基本です。SSIDは電波で公開されている名前なので、複雑にしても対策になりません。MACアドレスフィルタリングは偽装されやすく、制限も機器単位にとどまるため、単独の対策としては不十分です。WEPは仕様に脆弱性があり、鍵を長くしても安全にはなりません。選択肢の中ではWPA2-PSKに十分長い鍵を設定する対策が最も効果的で、現在は後継のWPA3も推奨されています。
解答・解説
正解はエです
この問題のテーマ
無線LANのアクセスポイントに、許可していない人が勝手につながるのを防ぐ対策を、4つの中から選ぶ問題です。暗号方式（通信を読めなくする方式）と認証（接続してよい人かを確かめること）の強さを比べます。
解き方の考え方
最初に、各選択肢が「鍵を知る人だけがつなげる仕組み」になっているかを確かめます。次に、SSIDのように公開されている情報や、MACアドレスのように偽装できる情報だけに頼る対策を外します。残るのは暗号方式を使うウとエなので、安全性を比べます。WEPは脆弱性が知られているため外し、より強いWPA2-PSKのエを選びます。
選択肢ごとの解説
- ×ア MACアドレスフィルタリングを設定する。MACアドレスフィルタリングは、機器単位で接続を制限する仕組みです。利用する人を限定するものではありません。しかもMACアドレスは通信から傍受しやすく、偽装も簡単です。許可リストの管理負担も大きいため、この対策だけでは不十分で、誤りです。
- ×イ SSIDには英数字を含む8字以上の文字列を設定する。SSIDは接続先を見分けるためのネットワーク名にすぎません。電波で周囲に公開されているので、長く複雑な文字列にしても接続の制御や暗号化には効果がありません。
- ×ウ セキュリティ方式にWEPを使用し，十分に長い事前共有鍵を設定する。WEPは仕様そのものに脆弱性があり、通信内容を解読されるおそれがあります。鍵を長くしても根本的な欠陥は解消されず、すでに危殆化した暗号技術として扱われています。
- ○エ セキュリティ方式にWPA2-PSKを使用し，十分に長い事前共有鍵を設定する。WPA2-PSKは、アクセスポイントと端末が同じ事前共有鍵を持つことで認証する方式で、暗号にはAESを使います。鍵を利用させたい人にだけ伝えれば第三者は接続できず、十分に長い鍵にすれば総当たり攻撃にも強くなります。4つの選択肢の中で最も効果がある対策です。
補足
WPA2-PSKの事前共有鍵は8〜63文字で設定できます。短い鍵や辞書にある単語は、ハンドシェイク（接続時の認証のやり取り）を取得されたあと、オフラインで辞書攻撃を受けるおそれがあります。利用者ごとに認証したい場合は、IEEE 802.1Xを使うWPA2-Enterpriseが検討対象になります。なお、「鍵を長くすれば安全」という考えは、WPA2では当てはまりますが、WEPには当てはまりません。
※この問題の出題後、後継方式のWPA3が普及しています。現在はWPA3（個人向けはWPA3-Personal）の利用が推奨される場面が多くなっていますが、選択肢の中で最も効果があるのがエのWPA2-PSKであるという結論は変わりません。
POINT
- 無断接続を防ぐ基本は、強い暗号方式と事前共有鍵による認証を組み合わせることです。
- SSIDは公開されている名前なので、複雑にしてもセキュリティ対策にはなりません。
- MACアドレスフィルタリングは偽装されやすいため、単独の対策としては不十分です。
- WEPは脆弱性が知られている方式で、鍵を長くしても安全にはなりません。
- WPA2-PSKでも、短い鍵や辞書にある単語の鍵は破られやすいので、長く推測されにくい鍵にします。