無線LAN 無線LANのセキュリティその1

セキュリティの基本

ネットワーク上のデータ転送におけるセキュリティの基本的な考え方は、次の
3つです。

データの機密性
データの整合性
データの可用性

データの機密性は、正規のユーザのみがネットワーク上で転送されるデータを
見られるようにして、権限のないユーザがデータを見られないようにすること
です。
そして、データの整合性とは、送信元ホストが送信したデータが途中で改ざん
されることなく送信先に転送されるようにすることです。
また、データの可用性とは、いつでも利用したいときにネットワーク上のデー
タ転送ができるようにすることです。

データの機密性に対する脅威はデータの盗聴です。不正なユーザがネットワー
ク上を転送されているデータを途中で盗聴すると、そのデータの中身が知られ
てしまうことになります。有線LANでは、データはLANケーブル上を流れていく
ので、盗聴するためには物理的にケーブルに特殊な機器を備え付けるなどが必
要です。しかし、無線LANでは、データは電波に載せて転送されていきます。
電波は空気中を拡散して伝わっていくので、データの盗聴が非常に容易です。
盗聴を防止するためには、

ユーザ認証
データの暗号化

が効果的です。
アクセスポイントでのユーザ認証を行い、正規のユーザのみがアクセスポイン
トにアソシエーションできるようにすることで、盗聴の危険性を減らすことが
できます。ただし、アソシエーションしていなくても、無線LANの電波を傍受
すれば、データの盗聴が可能です。そのため、アクセスポイントのユーザ認証
だけでなくデータの暗号化も行い、電波を傍受されてもデータの中身がわから
ないようにすることも重要です。
データの整合性に対する脅威はデータの改ざんです。送信元から送信したデー
タを途中で改ざんされてしまうと、そのデータを利用するシステムの整合性が
取れなくなるなどのさまざまな問題が発生します。
データを改ざんされないようにするためには、

データの暗号化
パケット認証

が有効です。
暗号化すれば、データの中身を勝手に書き換えられる危険性が少なくなります。
パケット認証とは、パケットが改ざんされていないかどうかをチェックする仕
組みです。
可用性に対する脅威は、DoS(Denial of Service)攻撃です。DoS攻撃とは、大
量のデータを送信することでネットワークを利用できないようにする攻撃です。
DoS攻撃に対する対策としてIDS/IPSの導入があります。

無線LANで考えるセキュリティ対策で重要なものはデータの機密性とデータの
整合性です。つまり、ユーザ認証とデータの暗号化が重要です。ユーザ認証と
データの暗号化について、無線LANで利用できるセキュリティ機能には、次の
ようなものがあります。

【ユーザ認証】

SSIDの隠蔽
MACアドレスによるフィルタリング
WPA
IEEE802.11i(WPA2)

【データの暗号化】

スタティックWEP
WPA
IEEE802.11i(WPA2)

これらのセキュリティ機能の変遷は次のようになります。

初期の無線LANセキュリティ機能
SSIDの隠蔽
MACアドレスによるフィルタリング
スタティックWEP
↓
WPA－2002年10月
↓
IEEE802.11i(WPA2)－2004年7月

初期の無線LANセキュリティからWPA、IEEE802.11i(WPA2)へとよりセキュリテ
ィ機能が強化されています。WPA2はIEEE802.11iの標準に準拠していて、ほぼ
同義です。

カテゴリー: LAN