情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問19

無線LANの接続認証【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「何を守りたいか」を明確にする：参加者以外（第三者や過去の参加者）による接続の遮断。
2. 各選択肢がその目的にどう働くかを考える。
   • IPアドレスの割当範囲を変える（DHCP）は接続そのものを止めない。
   • URLフィルタは接続可否ではなくアクセス先の制御。
   • 認証（共有鍵）を変えると、鍵を知らない端末は接続できない。
   • プライバシセパレータは端末同士の通信を遮断する機能で、接続可否には影響しない。
3. 接続を物理的・論理的に拒否するのは「認証の仕組み」であると判断して、ウ を選ぶ。

選択肢別の誤答解説

• ア: アクセスポイントがもつDHCPサーバ機能において、参加者の端末に対して動的に割り当てるIPアドレスの範囲をセミナごとに変更する。
  解説: DHCP（Dynamic Host Configuration Protocol：端末に自動でIPアドレスを割り当てる仕組み）は接続可否の認証には関係ありません。外部の端末が無線で接続すればIPは割り当てられるため、接続の防止にはならず無効です。
• イ: アクセスポイントがもつURLフィルタリング機能において、参加者の端末に対する条件をセミナごとに変更する。
  解説: URLフィルタリングは「どのウェブサイトへ行けるか」を制御する機能です。接続そのもの（無線認証）を拒否する目的には合致しません。接続されても閲覧先を制限するだけです。
• ウ: アクセスポイントがもつ認証機能において、参加者の端末とアクセスポイントとの間で事前に共有する鍵をセミナごとに変更する。
  解説: 正解。PSK（Pre-Shared Key：事前共有鍵）をイベントごとに変えると、鍵を知らない端末はそもそも無線に接続できません。公開セミナでの実務的な対策として有効です。
• エ: アクセスポイントがもつプライバシセパレータ機能において、参加者の端末へのアクセス制限をセミナごとに変更する。
  解説: プライバシセパレータ（クライアント分離）は参加者同士の端末間通信を遮断する機能です。端末の「接続可否」には影響しないため、第三者の接続防止にはならない点で不適切です。

よくある誤解

1. 「IPアドレスを変えれば安全になる」は誤り：IPは接続後に割り当てられるもので、接続そのものを防ぐ力はないため、接続制御には使えません。
2. 「MACアドレスフィルタリングで十分」は誤り：MACアドレスは偽装（スプーフィング）できるため、容易に突破されます。イベント用途では鍵の変更や802.1Xが現実的です。
3. 「プライバシセパレータで外部接続を防げる」は誤り：内部の端末同士を隔離するだけで、アクセスポイントへの接続そのものを拒む機能ではありません。

補足コラム

• 手軽で現実的：ゲスト用SSIDにWPA2/WPA3-Personalを設定し、PSKをイベントごとに変更。受付で紙やスライド、QRコードで参加者に配布します。
• さらに安全にしたい場合：一時的に使える個別パスワード（ワンタイムパスワード）や802.1X（RADIUSサーバで個別認証）を導入しますが、アカウント発行やサポート負担が増えます。
• 他の対策併用：クライアント分離（参加者同士の通信防止）、ネットワーク分離（社内ネットワークとゲストネットワークを物理/VLANで分ける）、通信ログと接続時間の監視。
• 鍵配布の注意点：鍵を掲示板や容易に見える場所に書くと第三者に知られる恐れがあります。受付で直接渡す、スライド表示はイベント会場内限定で行う、など配布方法を工夫してください。

FAQ