Wifi通信のセキュリティですが、今まで盲点だったのかもしれません。
2017年10月16日に WPA2（WiFi、無線LAN）で利用される暗号化の仕組みに脆弱性が見つかりました。
WPA2（Wi-Fi Protected Access II）プロトコルの脆弱性です。
そもそも無線LANは傍受されやすい仕様
無線LANはLANケーブルと異なり空中を飛び交っています。
そのため無線LANは傍受されやすいです。
そのため通信内容を暗号化する必要がありました。
例えば以下の方法で通信を暗号化しています。
- WEP(Wired Equivalent Privacy)
- WPA(Wi-Fi Protected Access)
- WPA2(Wi-Fi Protected Access 2)
下へ行くほどセキュリティの強度が高くなります。
現在では「WPA2」が一番セキュリティ強度が高いです。
※WEPやWAPは致命的な脆弱性が見つかり利用してはいけない状況です。
しかし2017年10月16日に脆弱性が見つかりました。
WPA2の暗号通信について解説
そもそもWPA2は何のためにあるのかというと、以下の「クライアント」と「アクセスポイント」の間の通信を暗号化するためにあります。
- クライアント → Wifi子機
- アクセスポイント → Wifi親機
WPA2の脆弱性はどこにあるか？
four-way-handshakeに弱点があると言われています。
four-way-handshakeは3番目に新しい暗号化キーを作成します。
ハッカーはこの3番目のメッセージを改ざんすることで通信を傍受したりデータを改ざんすることができるようになります。
その結果、クレジットカードの番号の漏えい、パスワードの漏えいや、通信内容を改ざんすることでウィルス感染やフィッシングサイトへの誘導などの被害が考えられます。
この脆弱性は「Key Reinstallation Attack（KRACK）（キー再インストール攻撃）」と呼ばれています。
どこが危険か？
空港やカフェなど人の集まるところに無料Wifiが設定していることがあります。
攻撃者はこのWifiネットワークで待ち構える必要があります。
そもそも対象のWifiネットワークから離れていれば、電波が届かないので脆弱性を突いた攻撃を使用がありません。
対策について
対策についてですが、今回のWPA2の脆弱性を利用した攻撃を100％防ぐ方法は「Wifiを利用しない」ことです。
しかしそうはいかないと思うので下記に関しては注意しましょう。
- 公衆無料Wifiを利用しない（空港、カフェなど）
- 常にWifiを切っておく（どうしても必要な時だけWifiを使い、重要なデータはネットワークに流さない）
- Wifi（無線LAN）とLANケーブルを選択できるならLANケーブルを選択する
- こまめにアップデートの確認をする
SSLで通信を暗号化していれば WPA2 の脆弱性を回避可能
ただし、HTTPS で暗号化されている通信は改ざんできません。
傍受もできません。
しかし、HTTP の平文での通信については「傍受」や「改ざん」は可能なので注意です。
パッチ（アップデート）を実施すれば WPA2 の脆弱性を回避可能
「four-way-handshake」を利用しているWifi端末が対象ということは、パソコン・スマホ・ゲーム機器など多数のデバイスが対象になります。
パソコンなら何とかパッチをダウンロードをしてインストールすることができますが、スマホはどうすればいいのでしょうか？
そもそもスマホで「セキュリティパッチ」を適用した経験がある人はほとんどいないと思います。
Android端末の場合は、Googleは2017年11月6日のセキュリティ更新プログラムで「KRACK」に対する修正プログラムを配布するとリリースしています。
特に Android 端末(Ver6.0以降)は攻撃を受けやすいため注意です。
私の Android 端末もバージョンが「6.0.1」で Android セキュリティパッチレベルも「2016年11月1日」の状態です。
スマホの機能で「システムアップデート」が可能ですが、今回の脆弱性に対して何をどうすればいいのか各端末のメーカーに確認する必要があります。
マイクロソフトは10月10日の Windows Update で既に対応済みと公表しています。
セキュリティアップデートの確認方法
Android端末の場合は、「設定」-「システムアップデート」から確認ができます。
「Androidセキュリティパッチレベル」で確認することができます。
参考リンク
以下、各社の対応について確認することができます。
■Wi-Fiを脅かす脆弱性「KRACK」、各社の対応状況は–MS、アップル、グーグルなど
https://japan.zdnet.com/article/35108863/
まとめ
公衆Wifiは便利ですが使わない方がいいです。
無料のWifiは使ってもいいですが、重要なデータの送受信はしない等、確実に情報が漏れる前提で慎重に利用しましょう。
コメント