ITパスポート 2017年 春期 問100

無線LANで「登録された機器だけ接続を許可する」対策はどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文を一文で整理します。「あらかじめ登録された機器だけに接続を許可する」＝“登録（＝個別の機器識別）”が鍵。
2. 選択肢の意味を確認します（初出に用語説明を付けます）。
   • ア: ANY接続拒否 — 接続要求の特殊な扱いを拒否する設定（公開SSIDに関連する挙動など）。個別機器の登録ではない。
   • イ: ESSIDのステルス化 — ESSID（ESSIDは Extended Service Set Identifier：無線LANのネットワーク名）を見えなくするだけ。知っている機器は接続可能。
   • ウ: MACアドレスフィルタリング — 機器固有のMACアドレスで許可・拒否する設定。これが「登録された機器だけ」を実現する。
   • エ: WPA2 — WPA2（Wi‑Fi Protected Access 2：無線LANの暗号化・認証方式）。暗号化や共通パスワード管理で保護するが、必ずしも個別機器登録ではない。
3. 「登録された機器だけ」に合致するのは MACアドレスフィルタリング と判断する。

選択肢別の誤答解説

• ア: ANY接続拒否
  ANY（任意）接続拒否は、特定のブロードキャストやワイルドカード的な接続要求を拒否する設定を指す場合があります。だがこれは「登録された個別機器だけを許可する」仕組みではありません。接続試行の種類を減らすだけで、個別機器の管理とは別物です。
• イ: ESSIDのステルス化
  ESSIDをステルス化（SSIDを非表示にする）すると、スキャン時にネットワーク名が表示されにくくなります。しかし、SSIDが分かっている機器や解析ツールがあれば接続可能です。つまり「見えにくくする」対策であって、接続可能機器を限定する方法ではありません。
• ウ: MACアドレスフィルタリング
  アクセスポイントに許可するMACアドレス一覧（ホワイトリスト）を登録し、それ以外の機器を接続拒否します。これはまさに「事前に登録された機器だけ接続を許可する」方法です。ただし完全無欠ではなく、後述の弱点（MACアドレスの偽装＝スプーフィング）がある点に注意します。
• エ: WPA2
  WPA2は無線通信を暗号化し、共通のパスフレーズや個別認証でネットワークへの不正接続を防ぎます。強力な基礎対策ですが、WPA2は「パスワードを知っている端末は接続できる」という仕組みであり、端末ごとの事前登録（MAC単位のホワイトリスト）とは異なります。よって「登録された機器だけ」に厳密に対応する選択肢ではありません。

よくある誤解

• SSIDを隠せば安全になる
  → SSIDステルス化は「見つけにくくする」だけで、分かっている機器や解析ツールには無力です。安全対策の主役にはなりません。
• WPA2があれば個別登録は不要
  → WPA2は強力な暗号化と認証ですが、パスワードが共有されれば誰でも接続できます。組織で「特定機器のみ」を厳格に管理したい場合は別途対策（MACフィルタや802.1Xなど）が必要です。
• MACアドレスフィルタリングは完全無欠
  → MACアドレスは簡単に偽装（スプーフィング）できます。単独では不十分ですが、複数の対策と組み合わせることで有効性が高まります。

補足コラム

• 実務でのおすすめ構成
  小規模な環境：WPA2またはWPA3（WPA3は後継の強化版）で暗号化し、必要ならMACフィルタリングを併用。
  企業・大規模：802.1X 認証（ポートベースの認証方式）＋RADIUS（認証サーバ）でユーザーや端末ごとの強い管理を行う。MACフィルタは補助として使うのが現実的です。
• MACスプーフィングとは何か
  MACスプーフィングは他の機器のMACアドレスを偽装してネットワークに接続する手法です。これにより、MACフィルタリングだけだと突破される可能性があります。ログ監視や追加の認証を併用すると検出や防止が容易になります。

FAQ