【3分it】vol.22_Wi-Fiに潜む危険性とは？_Part.2

お疲れ様です！情報システム部の 佐久間です。
今回の3分ITは、前回から引き続き、Wi-Fiの利用における注意すべきことを確認したいと思います。

リモートワークの際に自宅の無線Wi-Fi 環境を使用している方は多いと思います。
しかし、Wi-Fiという目に見えないものを使用しているということは、自分の知り得ない第三者による不正アクセスのリスクも生じていることになります。
自宅Wi-Fi環境のリスク対策・安全に使うためのポイントについて考えてみましょう。

PMKのリモートワークは、原則、自宅個室での在宅勤務がルールです。その際、利用するネットワークは自宅のネットワーク環境の利用を許可しています。
その在宅勤務での自宅ネットワーク環境は、近年のWi-Fiネットワーク機器の普及から、Wi-Fi環境にしている方も多いのではないでしょうか？
特に最近のWi-Fiルーターは、ネットワーク設定などをあまり意識しなくてもホーム・ネットワーク環境が構築できるようになっています。

Wi-Fiルーターへの接続は、WPS（Wi-Fi Protected Setup）やAOSS（AirStation One-Touch Secure System）といった簡単な接続設定で、ほぼ知識なしでも初期設定は完了してしまいます。ただ、その簡単に使える「Wi-Fi」という可視化できないアクセス手段を使用すると言うことは、裏を返せば、自身が見えないところで、知らない人がアクセスできるということでもあります。つまり、不特定多数の者による不正アクセスのリスクが生じているということになります。

Wi-Fiルーターを介すれば、同一ネットワーク内のユーザー間で、PCやスマホ、およびルーターの設定次第ではファイルの共有も可能になります。
同一ネットワーク内のユーザー間でデータ・ファイルの共有が可能な状態は、もし、他人が自宅のネットワークに接続できれば、データ・ファイルの共有が可能な状態になってしまうと言うことです。
ファイルの共有機能は、本来便利なものですが、悪意のある第三者によって悪用されてしまうと、データを盗み出される可能性があります。
貸与された業務用PCや業務端末を自宅のWi-Fiネットワークに接続することで、情報漏えいが起こる可能性があるというリスクをしっかりと認識していただきたいと思います。

先ず、自宅Wi-Fi環境におけるセキュリティ対策は、「接続させない」、「接続されても制御させない」、「暗号化してデータを読ませない」がポイントになります。

Wi-Fiルーターの圏内にあるネットワーク機器には、接続可能なアクセスポイントの「SSID」が通知されます。

その「SSID」に、例えば「(個人名)_home_wifi」のような、個人を類推できてしまう命名は避けましょう。
仮にWi-Fiルーターの所有者を知り得たユーザーが、所有者の個人情報から暗号化キーを推測するというようなこともできてしまうためです。
もちろん、暗号化キーも住所・電話番号や誕生日等の個人情報が絡む文字列にすべきではありません。

また、機種によっては製造元や機種の名称に関連する文字列がSSIDに含まれていることがあります。
その場合はすぐに、原形をとどめない名称へ変更しておきましょう。

仮にそのWi-Fiルーターの脆弱性が発覚した場合、その機種を狙った攻撃のターゲットとなりかねないからです。その製造元のWi-Fiルーターに脆弱性が見つかった場合、悪意のある第三者はツールを用いてその機器を探し出します。
また、SSIDステルス機能を利用してアクセス先の候補として常に表示させないようにする方法もあります。ただし、端末が検出されることは防げないため、この方法でセキュリティリスクが根本的に解消されるわけではないことに注意しましょう。

購入時、または工場出荷時の初期設定のままでWi-Fi ルーターを利用するのも避けましょう。

無線LANルーターの中には、初期設定ユーザーID・パスワードが機種ごとに一律で設定されているものが少なからず存在します。
そのうえ、機種によってはマニュアルがインターネットで公開されており、パスワードを誰でも知ることができるようになっている場合もあります。
そのため、悪意のある第三者が機種名を把握できれば、管理画面へ侵入して設定を書き換える可能性もあります。

少なくともログイン用のパスワードだけでも、複雑で推測できないものに変更しておきましょう。

ルーターに設定するWi-Fiのセキュリティ方式について、「WPA2（AES）」か「WPA3」を推奨します。

WPA3はWPA2で大きな懸念とされたKRACK（Key Reinstallation AttaCKs）と呼ばれた脆弱性を、SAEハンドシェイク*の技術を採用したことで解消しています。
この技術により、ブルートフォース攻撃などのパスワード突破を狙う攻撃の被害を防いでいます。
WPA3はWi-Fi6から対応された新しいセキュリティ規格で、最近の機種では多くのものが採用しています。

SAEハンドシェイク*；攻撃者がパスワードを推測しようとして、辞書攻撃や総当たりなどの攻撃を一定回数以上試行すると、その攻撃を自動的にブロックする方式。

今後、新たなルーターを購入する場合は、「WEP」や「WPA」の規格のみ対応している機種はお勧めできません。
価格を重視するあまり、中古のWi-Fiルーターを調達してリモートワークに使用するといったことは避けましょう。

Wi-Fiルーターは、その製造元が、機能改善やセキュリティ向上のためにファームウェアをアップデートすることがあります。
ほとんどの機種の場合、Wi-Fiルーターの設定画面にアクセスすると現在使用しているファームウェアのバージョンを確認できるので、もし最新版がリリースされていたらアップデートしておきましょう。
最近のルーターでは自動でファームウェアをアップデートする機能が搭載されている機種が多くを占めるため、自動アップデート機能を有効にしておくことで、アップデート漏れを防ぐことができます。

昨今のスマホの普及もあって、インターネットへの接続は有線ではなく無線が基本というユーザーがほとんどではないでしょうか？
その結果、Wi-Fiルーターを用いたインターネット接続は、スマホと同様にキャリア通信回線へ直結するとみなしてしまいがちです。
Wi-Fi 接続も、一つのネットワークでルータを経由してインターネットに接続していることを強く認識しておきましょう。
同一のネットワークに接続するPCやスマホなどが、マルウェアに感染していれば、他のPCやスマホに感染が広がるリスクがあります。

こうした事態を防ぐために、「ゲストポート機能」を利用することを1つのアイデアとしてご紹介します。
ゲストポート機能とは、ホームネットワークと分離し、ゲスト用にインターネット接続限定の回線を提供する機能です。
自宅のホームネットワークにはアクセスさせず、あくまでもインターネットの通信ルートだけを提供します。「ゲスト用Wi-Fi」「ネットワーク分離機能」と呼ばれてます。

例えば、あるメーカーのWi-Fi ルーターの場合、ゲストポート機能をONにすると、「Guest-XXXX」という名のゲスト専用のSSIDが表示されます。
このSSIDにアクセスすると、既存のホームネットワークへの接続は許可されず、隔離された状態でインターネットだけに接続できるようになります。
この機能を応用して、家族はホームネットワークを利用する、在宅勤務時の業務用PCはインターネット接続するだけなのでゲストポートを利用する..と使い分けることで、在宅勤務での情報セキュリティ・リスクを低減することが可能になります。

また、自宅PCにも必ず総合セキュリティソフトをインストールしておくことも対策として講じておきましょう。
PCのみならず、スマホでネットショッピング、ネットバンキング等をよく利用する方も、スマホにもセキュリティソフトをインストールしておくこともお薦めします。
ウイルスチェック機能だけでなく、総合的な安全性を確保するためのツールとなっているセキュリティソフトも活用しながら、適切に自宅のネットワークを保護するようにしましょう。

👉👉👉理解度チェック👈👈👈