| ３．１ 共通のセキュリティ対策 |
無線ＬＡＮを導入する上での主なセキュリティ対策としては、ＥＳＳ－ＩＤの設定、ＷＥＰ暗号化、ＭＡＣアドレスフィルタリング
の３つがあります。これらは無線ＬＡＮの規格である【ＩＥＥＥ ８０２．１１ｂ】、【ＩＥＥＥ ８０２．１１ａ】で規定されているセキュリティ機能で
あるため、【ＩＥＥＥ ８０２．１１ｂ】、【ＩＥＥＥ ８０２．１１ａ】規格に準拠している製品ならば、ほぼすべての製品でサポートされている機能です。
|
 ＥＳＳ－ＩＤの設定 |
ＥＳＳ－ＩＤ（Ｅｎｈａｎｃｅｄ Ｓｅｒｖｉｃｅ Ｓｅｔ－ＩＤ）とは、無線ＬＡＮのアクセスポイントやクライアントが属するグループを示すＩＤで、
ＥＳＳ－ＩＤが異なるアクセスポイント、クライアント間は通信ができないようになっています。
そのため、ＥＳＳ－ＩＤはセキュリティ機能を有していると考えられがちですが、ここには大きな落とし穴が存在します。
実は、ＥＳＳ－ＩＤには特殊なＩＤが存在します。クライアント側の設定でＥＳＳ－ＩＤの項目に【Ａｎｙ】と入力する、もしくは空白のままにすると、 アクセスポイント側のＥＳＳ－ＩＤの設定がたとえ何であったとしても、そのクライアントはすべてのアクセスポイントに接続することが可能となってしまいます。 これはホットスポットなどのオープンスペースで無線ＬＡＮを利用する場合を考慮した仕様です。（※３）
また、ＷｉｎｄｏｗｓＸＰや最近の無線ＬＡＮアダプタの設定ソフトウェアなどは、アクセスポイントのＥＳＳ－ＩＤを自動的に検知する機能を 持っているため、簡単にＥＳＳ－ＩＤが漏洩してしまいます。（※４）
以上のことから、ＥＳＳ－ＩＤはセキュリティ機能としてはすでに効果を失っているといえるでしょう。よってＥＳＳ－ＩＤは無線ＬＡＮの
グルーピングに使用する程度と捉えておけば良いでしょう。
※３ アクセスポイント製品の中には【Ａｎｙ】による接続を拒否するように設定することが可能な製品もあります。
※４ アクセスポイント製品の中にはＥＳＳ－ＩＤの自動検出に応答しないように設定することが可能な製品もあります。
|
| ＷＥＰ暗号化 |
ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）暗号化とは、アクセスポイントとクライアントの双方でＷＥＰキーと呼ばれる値を設定し
、それを元に通信データの暗号化を行うことです。アクセスポイント～クライアント間の通信データを暗号化することによって、通信内容の盗聴、
なりすまし、改竄が行われる可能性はかなり低くなります。
ＷＥＰ暗号化はＲＣ４と呼ばれるアルゴリズムを使用した共通鍵方式の暗号化方式で、暗号化、復号化の処理が非常に軽いことが特徴です。
また、ＷＥＰ暗号化には、６４ｂｉｔ鍵長暗号化と１２８ｂｉｔ鍵長暗号化があります。６４ｂｉｔ鍵長暗号化は４０ｂｉｔのＷＥＰキーと
２４ｂｉｔのＩＶ（Ｉｎｉｔｉａｌｉｚａｔｉｏｎ Ｖｅｃｔｏｒ）値を組み合わせた値を使用して暗号化を行います。同様に１２８ｂｉｔ鍵長暗号化は
１０４ｂｉｔのＷＥＰキーと２４ｂｉｔのＩＶ値を組み合わせた値を使用して暗号化を行います。
当然、６４ｂｉｔ鍵長暗号化よりも１２８ｂｉｔ鍵長暗号化の方が鍵長が長いため、暗号化、復号化の処理に時間がかかり、若干レスポンスが低下しますが、 第三者にＷＥＰキーの値を解読される可能性は低くなります。実際、６４ｂｉｔ鍵長暗号化では特殊なツールを使用するとＷＥＰキーの値が数時間程度で 解読されるという事例もありますので、セキュリティの強化という点からは１２８ｂｉｔ鍵長暗号化の使用を推奨します。 （※５）
ＷＥＰキーはアクセスポイント側、クライアント側のＷＥＰキーの項目に値を入力して設定を行います。６４ｂｉｔ鍵長暗号化の場合は５文字の
ＡＳＣＩＩ文字列もしくは１０桁の１６進数、１２８ｂｉｔ鍵長暗号化の場合は１３文字のＡＳＣＩＩ文字列もしくは２６桁の１６進数を入力します。
入力する値は第三者に推測されやすい文字列（企業名や個人名、単純な英単語など）よりは、英字小文字、英字大文字、数字、記号が混在した文字列の
方がセキュリティが高くなります。１６進数で設定すればさらに良いでしょう。
※５ １２８ｂｉｔ鍵長暗号化を使用するためには、無線ＬＡＮアクセスポイント、無線ＬＡＮアダプタの双方が
１２８ｂｉｔ鍵長暗号化に対応している必要があります。
|
| ＭＡＣアドレスフィルタリング |
ＭＡＣアドレスとはすべてのネットワークデバイスに付与されるユニークな番号で１２桁の１６進数で表します。無線ＬＡＮアクセスポイントや
無線ＬＡＮアダプタもネットワークデバイスですのでＭＡＣアドレスが付与されています。
このクライアント側のＭＡＣアドレスをアクセスポイント側に登録することによって、ＭＡＣアドレスを登録したクライアント以外は
アクセスポイントに接続することが不可能になり、無線ＬＡＮが利用できる人を制限することができます。
表２ 無線ＬＡＮのセキュリティ機能
| セキュリティ機能 |
セキュリティ対象 |
堅牢度 |
特徴／問題点 |
| ＥＳＳ－ＩＤの設定 |
不正使用／不正侵入 |
小 |
すでにセキュリティとして機能していない |
| ＷＥＰ暗号化（６４ｂｉｔ鍵長暗号化） |
盗聴／なりすまし／改竄 |
中 |
特殊なツールを使用すると数時間で解読される可能性がある |
| ＷＥＰ暗号化（１２８ｂｉｔ鍵長暗号化） |
盗聴／なりすまし／改竄 |
大 |
堅牢だが、若干レスポンスが低下する |
| ＭＡＣアドレスフィルタリング |
不正使用／不正侵入 |
大 |
すべてのＭＡＣアドレスを登録する必要がある |
|
| ３．２ その他のセキュリティ対策 |
無線ＬＡＮのセキュリティ対策において、上記の対策を講じることは最低限必須といえるでしょう。しかし、先に述べたように、 ＥＳＳ－ＩＤはすでにセキュリティ機能を失っていますし、ＷＥＰ暗号化やＭＡＣアドレスフィルタリングについても最近は 脆弱性が指摘されるようになってきました。
そこで重要になるのがその他のセキュリティ対策です。
個人で構築するホームネットワークなどでは更なるセキュリティ強化はなかなか難しいとは思いますが、企業におけるイントラネットなどでは、
有線ＬＡＮで使用されている既存のセキュリティ機能を併用することやセキュリティポリシーを導入することも重要なセキュリティ強化といえるでしょう。
|
| 既存のセキュリティ機能の併用 |
通信データの暗号化という点からいえば、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）の併用も有効であるといえるでしょう。
アクセスポイント～クライアント間の通信データをＷＥＰ暗号化に加えて、ＶＰＮを使用して暗号化を行えば、盗聴、なりすまし、
改竄などの行為は現実的にまず不可能であるといえます。
また、アクセスポイントの利用者制限、利用者監視を強化するならば、ＭＡＣアドレスの登録に加えて、無線ＬＡＮに対応したＲＡＤＩＵＳサーバを
構築し、利用時にユーザ認証を行うことにより、不正使用や不正侵入が行われる可能性はかなり低くなります。
|
| セキュリティポリシーの導入と運用の徹底 |
セキュリティポリシーの導入と運用の徹底は無線ＬＡＮに限たことではありません。企業でイントラネット環境を導入する場合は、
明確なセキュリティポリシーを導入し、運用を徹底することこそがセキュリティを強化の上では最も重要であるといえるでしょう。
そこでセキュリティポリシーを導入する際の主なポイントを以下に挙げてみましょう。
① 「パスワードやＷＥＰキーを定期的に変更する」
② 「パスワードやＷＥＰキーが外部に漏洩しないようにする」（紙に書き留める、安易に口外するなどは御法度です）
③ 「パソコンやネットワーク機器の管理を徹底する」（盗難、紛失を防ぐ）
④ 「被害にあった時のネットワークの運用方法を明確にする」（ネットワークの全体停止や一部機能の停止など）
当然、管理者、利用者全員がセキュリティポリシーで規定する運用方法を遵守しなければ効果はありません。 |
