無線LANのセキュリティとは？

無線LANのセキュリティの意味

WPA2はAES-CCMPによる暗号化を用い、事前共有鍵方式（Personal）とIEEE 802.1X認証・動的な鍵配布を行う方式（Enterprise）がある。WPA3のPersonalはSAE（同時認証）により、事前共有鍵に対するオフライン辞書攻撃を困難にし前方秘匿性を備える。Enhanced Open（OWE）は認証なしの公衆無線LANでも通信を暗号化する。

無線LANのセキュリティの具体例

社員用SSIDはWPA2/WPA3のEnterpriseとし、IEEE 802.1Xの証明書認証にして退職者は証明書の失効だけで排除できるようにした。来客用は事前共有鍵の使い回しを避けEnhanced Openを採用し、業務LANとはVLANで分離した。

無線LANのセキュリティは試験でどう引っ掛けられる？

WEPやTKIPは危殆化しており使用しない。SSIDのステルス化やMACアドレスフィルタリングは容易に回避でき、本質的な対策にはならない。同一AP配下の端末同士の通信を遮断するのはプライバシーセパレータ。

無線LANのセキュリティと関連する用語

• IEEE 802.1X
• EAP-TLS

無線LANのセキュリティが出た過去問

• 無線LANの情報セキュリティ対策に関する記述のうち，適切なものはどれか。

  正解：WPA2-Enterpriseでは，IEEE 802.1Xの規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実現できる。

  要点：WPA2-Enterpriseは802.1X認証と動的鍵配布を行う

  WPA2-Enterpriseは、IEEE 802.1XとEAPによる利用者認証をRADIUSサーバと連携して行い、認証成功ごとに利用者・セッションごとの暗号鍵を動的に配布する方式である。事前共有鍵を全端末で共有するPersonalモードと異なり、鍵の使い回しがなく、端末単位で接続許可を管理できる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問17（IPA）

• 無線LANの情報セキュリティ対策に関する記述のうち，適切なものはどれか。

  正解：WPA2-Enterpriseは，IEEE 802.1Xの規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実装するための方式である。

  要点：WPA2-Enterpriseは802.1X認証と動的鍵配布を行う

  WPA2-Enterpriseは、IEEE 802.1XとEAPを用いて認証サーバで利用者を認証し、認証成功ごとにセッション固有の暗号化鍵を動的に配布する方式である。全端末で同じ事前共有鍵を使うPersonal方式と異なり、利用者単位で認可でき、鍵漏えい時の影響も限定できる。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問13（IPA）

• 無線LANの暗号化通信を実装するための規格に関する記述のうち、適切なものはどれか。

  正解：WPA3-Enterpriseは、IEEE 802.1Xの規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実装するための規格である。

  要点：WPA3-Enterpriseは802.1X認証と動的な鍵配布を使う

  WPA3-Enterpriseは、IEEE 802.1XとEAPによる利用者ごとの認証を前提とし、認証成功時に端末ごとに異なる暗号化鍵を動的に配布する方式である。事前共有鍵を全員で共有するパーソナル方式と違い、利用者単位で許可・取消ができ、鍵が使い回されないため安全性が高い。企業や学校などの大規模環境向けの構成である。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問15（IPA）

• RFC 8110に基づいたものであり,公衆無線LANなどでパスフレーズなどでの認証なしに,端末とアクセスポイントとの間の無線通信を暗号化するものはどれか。

  正解：Enhanced Open

  要点：Enhanced Openは認証なしで無線区間を暗号化する

  Enhanced Openは、RFC 8110のOWE（Opportunistic Wireless Encryption）に基づく仕組みで、パスフレーズを使わずに端末とアクセスポイントが鍵交換を行い、無線区間を個別に暗号化する。認証は行わないため、従来のオープンな公衆無線LANの利便性を保ったまま盗聴を防げる点が特徴である。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問17（IPA）

• 無線LANの暗号化通信を実装するための規格に関する記述のうち,適切なものはどれか。

  正解：WPA3-Enterpriseは,IEEE 802.1Xの規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実装するための規格である。

  要点：WPA3-EnterpriseはIEEE 802.1X認証と動的鍵配布を用いる

  WPA3-Enterpriseは、IEEE 802.1XとEAPによる利用者認証を行い、認証のたびに動的に生成・配布される鍵で暗号化通信を行う企業向けの方式なので、エが正しい。EAPは認証の枠組み(プロトコル)、RADIUSは認証サーバとの通信プロトコル、SSIDは無線LANの識別名であり、いずれも暗号化方式そのものではない。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問14（IPA）