情報セキュリティマネジメント 2019年 春期 午前（科目A） 問20

無線LANの認証方式【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「何を守るか」を確認：無線LANへの第三者の無断接続（不正な端末からの接続）を防ぐことが目的。
2. 各選択肢が提供する防御手段を評価：
   • 暗号化の強度（WEP vs WPA2）、
   • 認証の強さ（共有鍵の長さや方式）、
   • 制限手段の回避可能性（MACフィルタの偽装など）。
3. 実際に攻撃者が行う手法（パケット傍受→鍵の解析、MAC偽装）を想定し、どの対策がそれを阻止できるかを比較。
4. 結論：暗号方式と強い鍵（WPA2-PSK＋長い鍵）が最も実効性が高い。

選択肢別の誤答解説

• ア: MACアドレスフィルタリングを設定する。
  • MACアドレス（ネットワーク機器ごとに割り当てられる識別子）は説明的に役立ちますが、通信上で容易に読み取られ、偽装（スプーフィング）できます。運用負荷（許可リストの管理）も大きく、単独では不十分です。
• イ: SSIDには英数字を含む8字以上の文字列を設定する。
  • SSID（Service Set Identifier：無線ネットワークの名前）は接続先を識別するための名前に過ぎません。長くしても接続制御や暗号化には影響しません。攻撃者はSSIDを知っていても接続できないようにするのが目的です。
• ウ: セキュリティ方式にWEPを使用し、十分に長い事前共有鍵を設定する。
  • WEP（Wired Equivalent Privacy：古い無線暗号方式）は設計上の脆弱性があり、短時間で解読されます。鍵を長くしても基本的な暗号の問題は解消されません。
• エ: セキュリティ方式にWPA2-PSKを使用し、十分に長い事前共有鍵を設定する。
  • WPA2-PSK（Wi‑Fi Protected Access 2 - Pre-Shared Key）はAESなどの強い暗号を使えます。事前共有鍵を十分長くすることで、オフラインでの総当たり攻撃に対する耐性が高く、実務的に最も効果的です。企業や多数ユーザがいる環境では、さらに強い認証方式（WPA2-Enterprise）を検討します。

よくある誤解

1. 「SSIDを隠せば安全」
   • SSIDの非表示（ブロードキャスト停止）は攻撃を完全に防げません。通信を傍受すればSSIDは取得できます。混同しないでください。
2. 「MACフィルタだけで十分」
   • 管理は面倒で、MAC偽装されると無効化されます。補助策としては使えるが単独では頼れません。
3. 「WPA2は絶対安全」
   • WPA2自体は強力ですが、脆弱なパスフレーズ（短い・辞書にある単語）だとハンドシェイクのキャプチャ→オフライン辞書攻撃で破られるリスクがあります。強い鍵が前提です。

補足コラム

• 中小規模のオフィスや会議室のWi‑Fiなら、WPA2-PSKで十分。パスフレーズは12文字以上かつランダム性のあるもの（英数字＋記号、フレーズ方式も有効）にします。
• 利用者ごとに認証したい（退職者の管理を楽にしたい、ログ管理が必要）場合はWPA2-Enterprise（802.1X：ユーザ毎にID/PWや証明書で認証）を導入します。
• 追加で実施すべき項目：WPS（Wi‑Fi Protected Setup）を無効化、ルータのファームウェア更新、ゲスト用SSIDを分離して社内資源にアクセスさせない、定期的なパスフレーズ更新と長さ・複雑さの運用ルール設定。

• 覚えやすくて強い例：複数の単語を組み合わせる（例：「Blue_牛7月!River」）や、12文字以上のランダム文字列。短い英単語1つは避ける。

FAQ