[connect24h:12168] Re: ムック「無線LANセキュリティの強化書」のモニター募集だそうです

[Kensuke Nezu <nez@xxxxxxxxxxx>]

根津です。

TAKANO Yuji (たかのゆ〜じ) さんは書きました:
> たかのです。こんにちは。
> 
> ＃こう言うお話を聞くと「じっくりと自分でも調べてみよう。」と言う
>   気になりますね。それまでは「WEP より安全な暗号化で十分。」みた
>   いな気になっていました(^^;。

何でもそうだと思うのですが、リスクを正しく把握して、それを踏まえた上で
利用するのってすごく大切ですよね(^^ゞ

>>>   無線 LAN 利用して、その上で VPN を使うってソリューションは有り
>>> かも知れませんね。
>> まぁ、本当に安全に使うソリューションは、無線LANだと思わないで、
>> 無線LANをあたかも「インターネット接続」と同じリスクで扱うこと
>> だと思うので、たかのさんのVPNというのもひとつのソリューション
>> だと思いますよ。
> 
>   無線 LAN をただ単に「UTP ケーブル・スイッチの代わり」として利
> 用するか、「暗号化された経路」として利用するか。と、言うことでしょ
> うか。普段利用するなら圧倒的に前者として利用しますね。

リスクを考えると無線LANって「不特定多数の利用者に向けた半径100mの
ネットワーク接続サービス」くらいのつもりでいる必要があるということです。
少なくとも有線でいうところのEthernet（IEEE 802.3)レベルでは無線LANは
プロトコル的にまったく暗号化や認証がなされていないので、たとえば、

１．誰でもネットワークを利用している端末のMACアドレスが分かる。
２．誰でもAPの振りをしてクライアントの接続を切断できる。

等々の数々の悪行が可能になっています。つまりそういう前提でネットワーク
への接続を設計する必要があると思っています。
そして、このようなリスクのレベルがちょうどインターネットに接続する際の
DMZと同じようなリスクのレベルに思えるのです。

>   そう考えると、容易に無線 LAN に接続できることが防げるだけでも
> 十分な気がしないでもないのですが・・;-)。

TCP/IPのレベルではそうかもしれませんが、IEEE 802.11（無印）の世界では
非常に難しいです＞容易に無線LANに接続できることを妨げる
たとえば、802.11のレベルでは接続制限は、MACアドレスの接続制限とシェアード
認証がありますが、前者はなりすまされたMACアドレスを識別するといった
機能はありませんし、後者は「誤った」認証であったために（WEPキーを知らなくても
無線上のパケットで他人の認証をモニタしていれば、認証を通すことが可能に
なってしまう）、最近のプロトコル（IEEE 802.11gなど）ではオープン認証
（無条件に接続を許可する）しか使われていません。

> ＃こう言う考えを持つ人(つまり私のことですが)がいるので、啓蒙が必
>   要なんでしょうねぇ。多分(^^;;。

まぁ、考え方は人それぞれなので、私はどうこう言うつもりはまったくないです。
ただし、潜在するリスクファクターをきちんと知った上で、それでもそういう選択
をしている・・・というのであればよいのですが、「しらないままリスクを選択
している」としたら、それはさすがにマズいので、そこのところを広くお知らせ
したいなーと常々思っています。

-- 
------
根津 研介 日本Sambaユーザ会/NTTデータ先端技術（株）
802.11セキュリティサイト：http://www.famm.jp/wireless
Microsoft MVP for Client Operating System - Enterprise Security(Apr2008-Mar2009)
https://mvp.support.microsoft.com/profile/Kensuke.Nezu


【MLコミュホームページ】http://www.freeml.com/connect24h

--[PR]------------------------------------------------------------------
■□ 「ウコンの力」でおなじみのハウス食品が自信を持ってお届け！！ □■
□■　　　　　　『ハウスの天然効果(R)活性ウコン』　　　　　　　 　■□
　
　 ※通常価格2,000円（約30日分）⇒今なら半額の1,000円（税込・送料込）
http://ad.freeml.com/cgi-bin/sa.cgi?id=deyGH
------------------------------------------------------------------[PR]--
■GMO INTERNET GROUP■ GMO INTERNET www.gmo.jp