無線LANセキュリティとその他の用語

SSIDを知らなくても接続できてしまう——この抜け穴があるため、SSIDだけでは守りになりません。

⑦ SSIDの限界

> SSIDは、ログインIDやパスワードと同じような機能でしかなく、セキュリティ対策としては弱いものです。

この一文が重要です。SSIDは、

• 電波に乗って流れているので、傍受できる
• 「ANY」で回避できる
• 知られてしまえば、それ以上の防御にならない

という性質を持ちます。必ず暗号化と組み合わせる必要があります。

⑧ マルチSSID

なお、1つの無線LAN装置で複数のSSIDが使える機能のことをマルチSSIDといいます。

マルチSSIDの活用例

1台の機器で、用途ごとにネットワークを分けられる——これがマルチSSIDの実務上の価値です。来客にWi-Fiを提供しつつ、社内システムには近づけない、という運用ができます。

試験での注意……「複数のアクセスポイントに同一のSSIDを設定できる機能」と書き換えた誤りが出題されました。正しくは「1つの無線LAN装置で複数のSSIDが使える機能」です。

⑨ MACアドレスフィルタリング

無線LANにおけるMACアドレスフィルタリングとは、無線LAN端末のMACアドレスをアクセスポイントに事前登録し、許可されたMACアドレスをもつ端末以外は接続できないようにする技術です。

⑩ 動作のイメージ

⑪ 第4章との対応

第4章で学んだスイッチングハブのMACアドレスフィルタリングと名前は同じですが、目的が違います。

同じ「MACアドレスを見て判断する」という仕組みを、別の目的に使っているわけです。

⑫ MACアドレスフィルタリングの限界

第4章で触れたとおり、MACアドレスはソフトウェア的に見かけ上の値を変えることが可能です。

したがって、

MACアドレスは暗号化されずに電波に乗るため、傍受は難しくありません。

SSIDもMACアドレスフィルタリングも、それだけでは不十分——だからこそ、次のテーマで学ぶ暗号化が不可欠になります。

「マルチ」の直後の語が複数になる——この読み方で統一できます。

店舗でWi-Fiを提供する場面

飲食店が来客向けのWi-Fiを提供する場面を考えます。

やってはいけない構成

望ましい構成

マルチSSIDを使えば、1台の機器でこれを実現できます。

来客用Wi-Fiで注意すべきこと

3つ目が見落とされやすい

同じ来客用ネットワークにつながった利用者同士は、設定によっては互いの端末にアクセスできてしまいます。「プライバシーセパレータ」などの機能で、端末同士の通信を遮断しておく必要があります。

なぜこれが診断士の関心事なのか

店舗のWi-Fiから侵入され、POSレジの顧客情報が漏えいする——という事故は実際に起きています。

「集客のためのWi-Fi」が、事業継続のリスクになりうる——この視点で助言できることが、実務での価値になります。

確認してみましょう

> 次の記述の正誤を判定せよ。

> a　SSIDは英数字32文字までの範囲で設定でき、ESSIDと表記することもある。

> b　クライアント側でSSIDに「ANY」や空白を設定した場合、どのアクセスポイントとも接続できる。

> c　MACアドレスフィルタリングを設定すれば、無線LANのセキュリティは万全である。

解答　a：○　b：○　c：×

• c：×……MACアドレスは偽装が可能であり、それだけでは万全ではありません。セキュリティ対策に万全な方法はなく、多様な方法を多重に実施することが必要です。

④ WEPの4つの問題点を読み解く

2つ目は、第2節で見た「同じものを繰り返し使わない」という原則に反しています。セッション鍵やワンタイムパスワードが毎回変わるのに対し、WEPの鍵は変わりません。

WEPを使っているWi-Fiは、実質的に暗号化されていないのと同じと考えるべきです。

⑤ WPA（Wi-Fi Protected Access）

WEPのセキュリティ上の問題点を解消した規格です。

一定時間ごとに暗号化鍵を自動的に更新し、通信データの改ざんを検知するTKIP（Temporal Key Integrity Protocol）という暗号化方式の採用が義務化されています。

さらに高い安全性をもつCCMP（Counter mode with Cipher-block chaining Message authentication code Protocol）という暗号化方式を採用することも可能です。

TKIPではRC4、CCMPではAESというアルゴリズムで暗号化を行います。

⑥ TKIPがWEPの問題を解決する

⑦ PSKを適用した呼び方

WPAでは通信中に暗号キーが自動的に変更されますが、最初の設定ではPSKを利用した認証を行うことが一般的です。

WPAにPSKを適用した暗号化方式をWPA-PSKまたはWPAパーソナルといいます。

また、WPA-PSKにおいて、TKIPを採用した方式をWPA-PSK（TKIP）またはWPA-TKIP、CCMPを採用した方式をそのアルゴリズム名を取ってWPA-PSK（AES）またはWPA-AESとよびます。

⑧ WPA2（Wi-Fi Protected Access 2）

WPAの後継規格であるWPA2は、暗号化方式CCMPの採用が義務化され、より強力なアルゴリズムであるAESで暗号化を行うため、安全性が高いとされます。

WPA2では、暗号化方式にTKIPを使用することもできますが、安全性の高さからすれば、CCMP（AES）を使用することが望まれます。

WPA同様、PSKを適用した暗号化方式をWPA2-PSKまたはWPA2パーソナル、PSKおよびTKIPを採用した方式をWPA2-PSK（TKIP）またはWPA2-TKIP、PSKおよびCCMP（AES）を採用した方式をWPA2-PSK（AES）またはWPA2-AESとよびます。

⑨ WPAとWPA2の違い

義務と任意が入れ替わっている——これがWPAとWPA2の関係です。より強いCCMPを必須にしたのがWPA2です。

⑩ WPA3（Wi-Fi Protected Access 3）

WPA2で発見された脆弱性を解消するために、2018年に発表された無線LANの暗号化技術です。

WPA3では、鍵確立手法が従来のPSKから新しいSAE（Simultaneous Authentication of Equals：同等性同時認証）に変更されました。ハンドシェイクの手順や認証の再試行回数を変更して各種攻撃への耐性を上げました。

また、WPA3ではAESに加え、通信暗号化アルゴリズムの選択肢として新たにAESを強化したCNSA（Commercial National Security Algorithm）が追加されました。

⑪ 4つの規格をまとめる

⑫ 覚えるための整理

TKIPとRC4、CCMPとAES——この2組の対応を覚えれば、表の大部分は再現できます。RC4は古いアルゴリズム、AESは第2節で学んだ米国政府の標準規格です。

⑬ 実務での判断

機器が古くてWPA3に対応していない場合は、WPA2（AES）を選びます。TKIPを選ぶ理由は、いまやほとんどありません。

③ なぜ「自らの」リスクアセスメントなのか

ここが要点です。守るべきものも、直面する脅威も、企業によって違います。

他社の対策をそのまま真似ても意味がありません。自社にとって何が重要で、何が起こりうるかを評価したうえで、対策の水準を決める——これがリスクアセスメントです。

④ PDCAで回す

ISMSは、一度作って終わりではなく、継続的に見直す仕組みです。

脅威は変化し続けるため、対策も変え続ける必要があります。第9章で学ぶシステム開発や、企業経営理論で学ぶマネジメントサイクルと同じ構造です。

⑤ 認証制度

ISMSには、第三者が審査して認証する制度があります（ISMS適合性評価制度、国際規格はISO/IEC 27001）。

近年、大企業が取引先に対してセキュリティ対策の水準を求める動きが広がっています。中小企業にとって、ISMSの認証取得は取引を継続するための条件になることもあります。

⑥ CC（Common Criteria：コモンクライテリア）

情報セキュリティの観点から、情報技術に関連した製品およびシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格です。

国際規格として、コモンクライテリアをもとにISO/IEC 15408が定められ、日本では同様の内容はJIS X 5070として規格化されています。

⑦ ISMSとCCの違い

組織を評価するのがISMS、製品を評価するのがCC——この対比が要点です。

⑧ 規格番号を整理する

この章では、いくつかのISO規格が登場しました。

番号をすべて暗記する必要はありませんが、CC＝ISO/IEC 15408、日本ではJIS X 5070という対応は、令和6年度の出題で問われました。

⑨ なぜ製品の評価が必要なのか

企業がセキュリティ製品を選ぶとき、その製品が本当に安全に作られているかを自分で確かめるのは困難です。

そこで、第三者が共通の基準で評価する仕組みが必要になります。それがCCです。

共通の基準があることで、異なるメーカの製品を同じ土俵で比較できる——これがCCの価値です。企業経営理論で学ぶ標準化の効果が、セキュリティの分野にも及んでいる例といえます。

「前」か「後」か——この一点で見分けられます。

④ 名前から読み取る

CSIRTにResponse（対応）が入っているのが決め手です。

⑤ 両方が必要な理由

未然に防ぐ努力と、起きたときに収束させる備えは、どちらも欠かせません。第1節で見た多層防御の考え方が、組織の面でも当てはまります。

⑥ CVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）

情報セキュリティにおける脆弱性（読み方：ぜいじゃくせい）やインシデントに付与された固有の名称や番号のカタログのことです。

情報セキュリティの分野で発見された脆弱性やセキュリティインシデントに対して、一意の識別番号と名称を付与し、それを体系的にリスト化したデータベースです。

⑦ なぜ番号が必要なのか

同じ脆弱性を、各社がばらばらの名前で呼んでいたら、話が通じません。

CVE番号で呼べば、世界中の誰とでも同じものを指せます。

「CVE-2024-12345への対応は済んでいますか」と尋ねれば、それが何を指すかは一意に定まります。第5章で学んだIPアドレスやドメイン名と同じく、一意の識別子があることで話が噛み合うわけです。

⑧ CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）

ベンダーに依存しない同一の基準の下で、定量的な評価方法により情報システムの脆弱性の深刻度を評価する枠組みのことです。

CVSSを用いると、ベンダー、セキュリティ専門家、管理者、ユーザ等の間で、脆弱性に関して共通の言葉で議論できます。

令和5年に公開された「CVSS v4.0」では、情報システムの脆弱性の深刻度を「基本評価基準」「脅威評価基準」「環境評価基準」「補足評価基準」の4つの基準で評価します。

⑨ CVEとCVSSの違い

識別と評価——役割が分かれています。

⑩ CVSS v4.0の4つの基準

3つ目に注目

同じ脆弱性でも、組織によって深刻度が違います。

自社にとってどれだけ深刻かを評価できるのが、環境評価基準の意味です。これは第1節で見た「自らのリスクアセスメント」の考え方と同じです。

⑪ ゼロトラスト

利用者も機器もネットワーク環境も信頼せず、情報資産へのアクセス者を厳格に認証し、常に確認するセキュリティ対策の考え方です。

⑫ 従来の考え方との対比

従来のセキュリティ対策では、信頼できる「内部」と信頼できない「外部」にネットワークをわけ、その境界線でセキュリティ対策を講じるという考え方でした。こうした考えの背景は、保護すべきデータやシステムがネットワークの内部にあることを前提としています。

⑬ なぜ発想が変わったのか

クラウドが広まって、守るべきデータやシステムが社外のインターネット上にも置かれるようになりました。守る対象があちこちに散らばった結果、どこまでが内でどこからが外かの線が引けなくなり、「境界を固める」という従来の発想では間に合わなくなってきています。

このようななかで、ゼロトラストというセキュリティ対策に対する考え方が普及しています。

⑭ 境界が消えた

「社内」という区画が意味をなさなくなった——これがゼロトラストが必要とされた背景です。

この節で学んだDMZも、内部と外部を分けるという前提の上に成り立つ技術です。その前提が崩れた以上、新しい考え方が要る、というわけです。

⑮ ゼロトラストの実現手段

この章で学んだ技術の多くが、ゼロトラストの実現に使われます。

新しい技術が必要なのではなく、既存の技術を「境界を前提としない形」で組み合わせ直す——それがゼロトラストです。

考え方の転換であって、製品の名前ではないという点を押さえておきましょう。