Microsoft Word - 無線LAN.doc

第 11 章 無 線 LAN 中 級 無 線 LAN 規 格 (IEEE802.11 シリーズ) 主 な 無 線 LAN の 規 格 (IEEE802.11 シリーズ)を 以 下 に 挙 げる IEEE802.11b 802.11b で 使 用 される 2.4GHz 帯 は ISM(Industry Science Medical band)バンドと 呼 ば れ, 免 許 不 要 で 様 々な 目 的 で 利 用 可 な 周 波 数 帯 である そのため 802.11b は 同 じ 周 波 数 帯 を 使 用 している 電 子 レンジや Bluetooth などと 電 波 干 渉 を 起 こしやすい 5MHz ごとの 間 隔 で 13 個 のチャンネルと 802.11b 専 用 の 1 チャンネルを 持 つが,チャンネ ルの 幅 は 約 22MHz であるため,チャンネル 同 士 は 重 なり 合 って 配 置 されていることになる 従 って, 隣 り 合 わせのチャンネルは 干 渉 を 起 こし 易 く, 干 渉 を 完 全 に 防 ぐには 4 つ 以 上 の チャンネル 間 隔 を 空 ける 必 要 がある( 図 11.2.1 チャンネルの 区 分 は 国 によって 異 なる) 速 度 も 最 大 11Mbps と 低 速 であり, 現 在 では 殆 ど 使 用 される 事 はない 5MHz チャンネル2 チャンネル3 チャンネル1 チャンネル13 チャンネル14 802.11b 専 用 約 22MHz 2412 2417 2422 2472 2484 MHz 図 11.2.1 IEEE802.11b/g のチャンネル 帯 域 IEEE802.11g 802.11b の 上 位 互 換 規 格 であり,802.11b と 同 じ 周 波 数 帯 域 とチャンネルを 使 用 する( 図 11.2.1 ただしチャンネル 14 は 使 用 しない) 従 って,802.11b と 混 在 させることも 可 能 だ が,802.11b と 同 様 に 電 子 レンジや Bluetooth などと 電 波 干 渉 を 起 こし 易 い 最 大 速 度 は 54Mbps で,802.11a と 並 んで 現 在 の 無 線 LAN の 標 準 的 な 規 格 となっている IEEE802.11a 802.11b/g とは 互 換 性 のない, 高 速 無 線 LAN 規 格 である 5GHz の 周 波 数 帯 を 使 用 し, 802.11g と 同 じ 最 大 54Mbps の 通 信 速 度 を 実 現 する 使 用 するチャンネルも 完 全 に 分 離 して おり,チャンネル 間 の 干 渉 は 発 生 しない 電 子 レンジや Bluetooth などとの 電 波 干 渉 も 少 ない IEEE802.11n 802.11a/g に 続 く 高 速 無 線 LAN 規 格 である 2009 年 9 月 にそれまでのドラフト( 草 案 )

が 正 式 な 標 準 としてそのまま 採 択 された 複 数 アンテナで 送 受 信 を 多 重 化 する MIMO(マイモ:Multiple Input Multiple Output) 技 術 を 利 用 し,802.11a/b/g との 互 換 性 を 保 ちながら 100Mbps 超 の 通 信 速 度 を 実 現 する 規 格 である IEEE802.11j 802.11a の 日 本 向 け 拡 張 規 格 であり,5GHz での 野 外 使 用 を 目 的 としている IEEE802.11i 無 線 LAN でのセキュリティ 規 格 である ただし, 策 定 途 中 で WEP の 脆 弱 性 が 問 題 となっ たため,2002 年 10 月 に 802.11i の 一 部 分 を 前 倒 しで WPA として 標 準 化 した その 後,802.11i は 2004 年 6 月 に 正 式 に 標 準 化 され,WPA2 の 基 本 規 格 となった IEEE802.11e 無 線 LAN で QoS(Quality of Service)を 実 現 するための 追 加 規 格 である 優 先 度 の 高 い 通 信 フレームに 対 して, 先 行 転 送 を 行 う EDCA(enhanced distributed channel access) 機 能 と 専 用 帯 域 を 割 り 当 てる HCCA(hybrid coordination function controlled channel access) 機 能 により QoS を 実 現 する 11.3 無 線 LAN における 通 信 制 御 と 通 信 モード 11.3.1 衝 突 検 出 イーサネットでは 信 号 の 衝 突 検 出 方 式 (メディアアクセス 方 式 )として,CSMA/CD を 採 用 していた しかしながら 無 線 LAN において, 送 信 ノード 側 は 空 中 における 電 波 の 衝 突 ( 干 渉 )を 検 知 することは 不 可 能 なので,CSMA/CD を 利 用 することはできない 無 線 LAN では CSMA/CA(Carrier Sense Multiple Access with Collision Avoidance) と 呼 ばれる 手 法 で 衝 突 回 避 を 行 う CSMA/CA では, 各 ノードは 使 用 周 波 数 における 電 波 の 強 度 をチェックすることによりキャリアのセンス(Carrier Sense)を 行 う 他 のノードが 通 信 を 行 っている 場 合 にはランダムな 時 間 だけ 待 機 した 後,さらにランダムな 時 間 電 波 強 度 をチェックし, 通 信 中 の 他 ノードが 存 在 しなければ 信 号 の 再 送 を 行 う また, 受 信 側 では 信 号 を 受 信 した 場 合, 信 号 が 衝 突 ( 干 渉 ) 無 しに 受 信 側 に 確 実 に 到 達 したことを 知 らせる ために, 送 信 側 へ 確 認 応 答 用 の ACK フレームを 送 信 する(CSMA/CA with ACK) ただし, 例 えば 図 11.3.1 のような 場 合, 受 信 ノードである AP(アクセスポイント)では, ノードAとノードBからの 電 波 を 検 知 できるが,ノードAとBはお 互 いの 電 波 が 届 かない ため, 相 手 の 送 信 を 電 波 強 度 のチェックからでは 検 知 することができない( 隠 れ 端 末 問 題 ) このような 状 況 で 電 波 の 衝 突 ( 干 渉 )を 回 避 するために RTS(Request To Send)フレー ムと CTS(Clear To Send)フレームが 使 用 される 場 合 がある 送 信 を 行 おうとするノード は AP に 対 して RTS フレームを 送 信 し,AP は 受 信 可 能 であれば CTS フレームを 返 信 する も し 自 分 が RTS フレームを 送 信 していないにもかかわらず,CTS フレームを 受 信 した 場 合 には,

他 のノードが AP と 通 信 を 行 っていることになるので, 一 定 時 間 通 信 を 停 止 する(CSMA/CA with RTS/CTS) これにより, 隠 れ 端 末 が 存 在 している 状 況 でも, 電 波 の 衝 突 ( 干 渉 )を 回 避 することが 可 能 となる 以 上 のように 無 線 LAN のメディアアクセス 制 御 は 有 線 に 比 べ 非 常 に 複 雑 であり,これら の 処 理 のオーバヘッドだけで 無 線 LAN の 通 信 効 率 は 公 称 値 の 70%~60% 程 度 になるとさえ 言 われている(ノードとアクセスポイント 間 の 電 波 の 強 度 や 輻 輳 の 有 無,TCP/IP の 使 用 によ るオーバヘッドなどにより 実 際 の 通 信 効 率 は 更 に 下 がる) AP A RTS B CTS CTS 図 11.3.1 隠 れ 端 末 問 題 11.3.2 ESS-ID(SS-ID) 無 線 LAN では 複 数 の 通 信 チャンネルを 持 つことにより 混 線 を 防 止 しているが,チャンネ ル 数 も 有 限 であるため, 多 数 の AP が 存 在 するような 環 境 ではどうしても 通 信 チャンネルが 被 ってしまう 通 信 チャンネルが 被 って( 干 渉 ではなく) 混 線 した 場 合 に, 通 信 エリアを 特 定 するため の 識 別 ID が ESS-ID である ESS-ID はデフォルトでは, 無 線 LAN カードの MAC アドレスを 元 に 自 動 生 成 される 通 常 は,AP とノード 間 で ESS-ID を 一 致 させないと AP に 接 続 できな いが,AP を ANY 接 続 のモードに 設 定 した 場 合 は ESS-ID が 違 っていても 接 続 可 能 である 11.3.3 通 信 モード 無 線 LAN における 通 信 モード( 端 末 ノードのモード)にはアドホックモードとインフラ ストラクチャモードがある アドホックモードは 端 末 ノード 同 士 の 通 信 であり, 携 帯 ゲーム 機 同 士 の 通 信 などもこれ に 該 当 する インフラストラクチャモードは AP(アクセスポイント)を 通 して 通 信 を 行 う 通 常 のモードである

アドホックモードではノード(PC)からノード(PC)に 直 接 コンピュータウィルスが 感 染 する 可 能 性 もあり, 注 意 が 必 要 である また,インフラストラクチャモードにおいても, 同 じ AP に 接 続 しているノード 同 士 は 直 接 接 続 できないような 設 定 を 行 い,ノード 間 でのウ ィルス 感 染 を 防 止 する 場 合 もある 11.4 無 線 LAN のセキュリティ 無 線 LAN は 非 常 に 便 利 である 一 方, 一 般 ユーザのそのセキュリティに 関 する 意 識 は 総 じ て 低 く, 今 日 一 般 家 庭 などでは, 無 線 LAN のセキュリティ 対 策 は 緊 急 を 要 するレベルにあ る つまり,それらの 環 境 の 大 半 は 何 時 トラブルに 巻 き 込 まれても 不 思 議 ではない 状 況 に あると 言 える 無 線 LAN においてセキュリティを 考 慮 しない 場 合, 悪 意 ある 第 三 者 による 通 信 内 容 の 傍 受 やネットワーク 内 の PC の 不 正 利 用, 他 の 組 織 への 攻 撃 の 踏 み 台 にされるなどの 被 害 を 受 ける 可 能 性 が 十 分 にある 無 線 LAN を 使 用 する 場 合 は,その 利 便 性 とセキュリティ 機 能 を 十 分 に 把 握 し, 慎 重 に 利 用 しないと 思 わぬ 落 とし 穴 に 嵌 る 危 険 性 がある 11.4.1 ESS-ID による 接 続 制 限 通 常 では AP(アクセスポイント)の ESS-ID が 分 らなければ, 無 線 ノードは AP にアクセ スすることはできない その 機 能 を 利 用 して ESS-ID を 隠 すことにより,アクセスを 制 限 し ようと 試 みる 場 合 がある しかしながら,ESS-ID は 元 々セキュリティのための 機 能 ではな く,ESS-ID のビーコン 信 号 を 受 信 すれば, 簡 単 に ESS-ID を 割 り 出 すことができる また ESS-ID のビーコン 信 号 を 止 める ESS-ID ステルスと 呼 ばれる 機 能 もあるが,この 場 合 でも 無 線 ノードと AP の 通 信 内 容 を 傍 受 して 解 析 すれば, 簡 単 に ESS-ID を 割 り 出 すこと が 可 能 である ESS-ID ステルスの 使 用 は,ESS-ID を 設 定 せずに ANY 接 続 を 許 可 するなどと 言 った 状 況 よりは 幾 分 ましであるが,それでセキュリティが 確 保 される 訳 ではない 11.4.2 MAC アドレスによるフィルタリング MAC アドレスは NIC の ROM に 焼 き 付 けられていることから, 偽 装 が 不 可 能 であると 思 い 込 んでいるユーザも 多 い しかしながら,MAC アドレスを 読 み 出 すプログラム(システムコー ル)の 改 変 や,メモリ 上 の MAC アドレスのキャッシュ 情 報 の 改 変 などにより,MAC アドレス は 簡 単 に 偽 装 することが 可 能 である 従 って,MAC アドレスによる 無 線 ノードのアクセス 制 限 を 行 っていたとしても, 通 信 の 傍 受 により 使 用 中 の MAC アドレスを 検 出 し, 攻 撃 者 のノ ードの MAC アドレスを 検 出 した MAC アドレスで 偽 装 すれば, 簡 単 にアクセスフィルタを 突 破 することができる つまり,MAC アドレスによるフィルタリングも 決 定 的 なセキュリティ 対 策 とはならず で きるならば 行 った 方 が 良 い 程 度 の 意 味 しか 持 たない

11.4.3 暗 号 化 :WEP(Wired Equivalent Privacy) 無 線 LAN の 暗 号 化 方 式 の 一 つである WEP(ウエップ:Wired Equivalent Privacy)は, 現 在 では 暗 号 の 体 を 成 していないと 言 える つまり WEP にはその 実 装 方 法 による 欠 陥 が 存 在 し,そのため 解 読 する 方 法 が 既 に 幾 通 りも 知 られており, 簡 単 に 解 読 することが 可 能 だか らである 通 常,WEP の 解 読 は 多 数 の 通 信 パケットを 収 集 し,その 解 析 により 行 われる 有 名 な KoreK s アタックでは 数 十 万 ~ 百 万 のパケットを 収 集 すれば,128bit の 暗 号 化 キー(WEP キー)で あっても 容 易 に 割 り 出 すことができる 数 十 万 ~ 百 万 のパケットと 言 うと, 非 常 に 大 量 の パケットのように 思 われがちだが, 現 在 の 高 速 無 線 LAN では,20 分 から 1 時 間 ほど 盗 聴 す れば 収 集 することが 可 能 である またアクティブでない AP に 対 しても, 攻 撃 側 から 信 号 を 送 り,その 信 号 に 反 応 させることによってアクティブ 状 態 にすることも 可 能 である さらに,2008 年 には TeAM-OK(TeramuraAsakuraMorii-OhigashiKuwakado) 攻 撃 と 呼 ばれ る 攻 撃 方 法 が 発 表 され,この 攻 撃 方 法 では 3 万 程 度 のパケットの 解 析 で WEP キーを 割 り 出 すことが 可 能 であるとされている 以 上 より, 現 在 では 無 線 LAN の 暗 号 化 方 式 として WEP を 選 択 することは, 殆 ど 意 味 のな いこととなっている 大 量 のパケットによる WEP キー 解 析 の 危 険 性 は, 既 に 2001 年 頃 から 認 識 されている そ れにも 関 わらず, 現 在 でも WEP により 暗 号 化 されている AP は 多 数 存 在 する このことは 無 線 LAN のセキュリティに 関 するユーザの 意 識 の 低 さを 表 していると 言 える 11.4.4 暗 号 化 :WPA(Wi-Fi Protected Access) WPA(Wi-Fi Protected Access)は, 無 線 LAN のセキュリティ 規 格 である IEEE802.11i の 先 行 規 格 である 2002 年 に WEP の 脆 弱 性 が 広 く 認 識 されるに 至 り, 当 時 策 定 中 であった IEEE802.11i の 一 部 分 を 急 遽, 前 倒 しで 規 格 標 準 化 したものが,WPA である 暗 号 化 には TKIP(Temporal Key Integrity Protocol)を 使 用 する TKIP では 暗 号 方 式 は WEP と 同 じであるが, 一 定 時 間 または 一 定 パケット 毎 に WEP キーを 変 更 する 仕 組 みになっている WEP より 安 全 であるが,20 分 以 上 同 じキーを 使 っている 場 合 は 使 用 中 の WEP キーを 解 析 される 恐 れがある(TeAM-OK 攻 撃 を 受 けた 場 合 はもっと 短 い 時 間 でも 危 ない) また IEEE802.1x によるユーザ 認 証 を 組 み 合 わせることも 可 能 であるが, 一 般 家 庭 などで 802.1x を 使 用 しない 場 合 は, 最 初 の 事 前 共 有 (PSK)キー(つまり 初 期 WEP キー)の 入 力 を 必 要 とする(WPA-PSK) WPA はソフトウェアで 実 現 できるため, 古 い 機 器 でもファームウェアの 更 新 により 対 応 可 能 である

11.4.5 暗 号 化 :WPA2 WPA2(Wi-Fi Protected Access 2)は IEEE802.11i の 実 装 規 格 である 暗 号 化 に 米 国 の 標 準 暗 号 である AES(Advanced Encryption Standard)を 使 用 し,IEEE802.1x によるユー ザ 認 証 機 能 も 備 えている WPA と 同 様 に 802.1x を 使 用 しない 場 合 には, 事 前 共 有 キーを 必 要 とする(WPA2-PSK) し かしながら,このキーが 短 いものであったり,または 単 純 であったり, 辞 書 に 載 っている 単 語 である 場 合 には, 最 初 のセッション 開 始 時 のネゴシエーション 用 のパケットを 盗 聴 す るだけで,ブルートフォース( 総 当 り) 攻 撃 や 辞 書 攻 撃 が 可 能 であるとの 報 告 もある(こ の 問 題 は WPA でも 発 生 する) セッション 開 始 時 のパケットを 傍 受 するために,わざと 接 続 中 のセッションを 妨 害 して 通 信 を 切 断 させ, 再 セッションを 行 わせる 手 法 もある(DEAUTH ATTACK) 従 って, 事 前 共 有 キーが 短 い, 単 純 である,または 辞 書 に 載 っている 単 語 であるような 場 合 には,WEP よりさらに 危 険 性 が 大 きいと 言 える なお,WPA2 の 暗 号 化 方 式 である AES は 処 理 の 負 荷 が 高 く,AES を 使 用 すると AP への 同 時 アクセス 数 が 大 幅 に 制 限 される 場 合 がある 11.4.6 暗 号 化 :IEEE802.1x + EAP WPA-802.1x, WPA2-802.1x は WPA, WPA2 において,IEEE802.1x でユーザの 認 証 を 行 い, 動 的 な WEP や AES キーを 端 末 に 配 布 ( 一 定 時 間 ごとに 更 新 )する 方 式 である 事 前 共 有 (PSK) キーを 必 要 とせず,ホットスポットや 大 学 などで 使 用 する 場 合 には, 現 時 点 でもっとも 安 全 性 の 高 い 方 式 である IEEE802.1x は Radius サーバなどを 利 用 したユーザ 認 証 の 規 格 であり,802.1x 自 体 には 暗 号 化 機 能 が な く, 802.1x で 暗 号 化 さ れ た 認 証 を 行 う 場 合 に は EAP ( Extensible Authentication Protocol)と 呼 ばれる 認 証 プロトコルを 組 み 合 わせなければならない EAP は PPP を 拡 張 したプロトコルで, 認 証 方 式 により, 幾 つかのモードに 分 類 される た だし EAP を 使 用 する 場 合 には, 端 末 に サプリカント と 呼 ばれる 認 証 ソフトをインスト ールすることが 必 要 となる(MS Windows では,EAP のモードによっては,デフォルトでサ プリカントを 内 臓 している 場 合 もある) IEEE802.1x + EAP ではスイッチングハブなどの 対 応 も 必 要 で,ネットワーク 内 の 全 ての 通 信 機 器 が,これらの 機 能 をサポートしないとネットワークを 形 成 することができない( 図 11.4.1) なお,Radiusサーバの 詳 細 については 15.2.1 認 証 と 承 認 を 参 照 すること

5 認 証 結 果 + 暗 号 化 キー IEEE802.1x + EAP 対 応 スイッチ ネットワーク 6 認 証 結 果 + 暗 号 化 キー AP 2 認 証 要 求 4 認 証 結 果 + 暗 号 化 キー 1 認 証 要 求 3 認 証 要 求 ユーザ 認 証 Radiusサーバ 図 11.4.1 IEEE802.1x によるユーザ 認 証 11.4.7 偽 の AP( 双 子 の 悪 魔 ) 双 子 の 悪 魔 (Evil Twins)とはホットスポットや 大 学 などで, 事 前 共 有 キーが 公 表 また は 解 析 されている 場 合, 盗 聴 者 が 偽 の AP を 立 ててそこにユーザ 端 末 を 誘 い 込 む 手 法 である AP が 一 個 しかない 環 境 では, 端 末 から AP の 状 態 を 確 認 することにより 発 見 可 能 であるが, 多 数 の AP があるホットスポットや 大 学 などでは,IEEE802.1x を 用 いて,サーバ 側 が 端 末 を 認 証 するだけでなく 端 末 側 からもサーバを 認 証 する 相 互 認 証 を 行 わないと,Evil Twins を 発 見 することは 難 しい 一 方, 盗 聴 者 がわざと 設 定 ミスを 装 ってオープンな AP を 公 開 する 恐 れもある もし 一 般 ユーザがこのような AP に 接 続 してしまった 場 合,HTTPS や SSL/TLS を 用 いて 暗 号 化 してい ない 通 信 は 全 て 盗 聴 されてしまう