
2025.02.06
ポンコツ期、孤独期、成果独り占め期を経て… サイボウズのプロマネが振り返る、マネージャーの成長の「4フェーズ」
How the Krack Hack Breaks Wi-Fi Security(全1記事)
リンクをコピー
記事をブックマーク
ステファン・チン氏:私たちは、Wi-Fiに多くを頼るようになっています。携帯、コンピュータ、時計はパーソナルネットワークに接続されています。スマート冷蔵庫やネットに繋がったジューサーなど、すべてのIoTガジェットは言うまでもありません。
そのため、先週発表されたWi-Fiセキュリティの重大な欠陥は、大きな問題となりました。
ベルギーのセキュリティ研究者、マシー・バンホーフ(MathyVanhoef)氏により発見されたこの脆弱性では、攻撃者はWi-Fiの環境があればどこでも、クレジットカード情報の窃取や、マルウェアの注入などができるといいます。しかも、この欠陥は14年以上も見過ごされてきたのです。実際にはこれほど悪い結果になることは無いようですが、専門家には寝耳に水でした。
Wi-Fiネットワークの暗号化通信で広く用いられているセキュリティプロトコルはWi-Fi Protected Access、通称WPA2です。2004年頃から使われており、パスワードや暗号化キーの漏洩がないとして、安全性が数学的に証明されていました。ところが、そうではなかったのです。
新たに見つかった「KRACKs」という脆弱性では、攻撃者による細工が可能になってしまいます。「KRACKs」(key reinstallation attacks、鍵再インストール攻撃)は、WPA2のセキュリティ上の、4ウェイ・ハンドシェイクという重要なプロセスをエクスプロイト(脆弱性利用)します。
ハンドシェイクとは、携帯などのクライアントの機器と、ルーターなどのアクセスポイントとが、保護された接続を確立する時にやりとりする、一連のメッセージを指します。
4ウェイ・ハンドシェイクでは、最初の2段階で、クライアントとアクセスポイントが、互いにパスワードが正しいか否かを確認します。3つめのメッセージで、アクセスポイントがさらに情報を送ります。4番目のメッセージでは、クライアントから「通信を始めても安全です」と伝えます。
アクセスポイントとクライアントは、この一連のやりとりで、暗号化キーについて合意を行い、これは4番目のメッセージ後に双方にインストールされます。
キーは、この接続で送られるデータ量に関連した特殊な数列に加え、データの欠片つまりパケットの暗号化に使われます。手に入れたらその後の会話が暗号化できる、シリアルのおまけについて来るデコーダーリングの暗号表のようなものです。この場合の会話とは、みなさんがやっと買う決心のついた、高い新作ゲーム購入時に使うクレジットカード番号のような、インターネットで送受信するデータすべての通信です。
Wi-Fiのデータは、範囲内の誰でも傍受可能な空間に放出されますが、暗号化されている限りは、傍受されたとしても、みなさんが送信する情報が盗まれることはありません。コードがわからなければ、ちんぷんかんぷんなのです。
「KRACKs」のエクスプロイトでは、ハンドシェークの3番目のメッセージを標的としたハッカーに、コードを解読されてしまいます。
3番目のメッセージは、接続の際に消えてしまう部分があるため、削除されてしまうことがあります。アクセスポイントは、クライアントから4番目の「安全なので通信します」というメッセージを受信できないと、「どうしたの?受信できなかったの?もう一回送信しますよ」と、3番目のメッセージを再送信します。
バンホーフの論文によれば、ハッカーが、この4番目のメッセージを受信できないようアクセスポイントをブロックすれば、アクセスポイントに3番目のメッセージを再送信させ、暗号化キーをデバイスに再インストールさせて、前述の特殊な数列をもリセットできてしまうのです。これがよくないのです。
つまり、みなさんは同じ暗号化キーと同じ数列を、何度も使用することになります。つまり、まったく同じコードを繰り返し使うことになるのです。この繰り返しにより、コードは解読されてしまいます。すべてのデータパケットが、同じコードで暗号化されるため、ハッカーはコードを暴露してしまうパターンを探し出すことができます。傍受するデータの暗号解読が、非常に容易になってしまうのです。
このエクスプロイトは、接続のタイプにもよりますが、さまざまな悪用が可能になります。理論上は攻撃者はデータ送信も可能であり、デバイスをマルウェアやランサムウェアで汚染できます。
さて、これは確かに大規模な脆弱性であり、対策を取る必要はじゅうぶんにあります。しかし、パニックに陥る必要はありません。わかっている限りでは、Wi-Fiが使えなくなるわけではないのです。
まず悪いニュースですが、WPA2は極めて安全とされているため、ほとんどすべてのWi-Fiネットワークのセキュリティに使用されています。すべてのWI-Fiに、です。
ですからあなたが「うちのWi-Fi接続トースターに影響はあるかな?」と思っている場合、答えはイエスです。なぜならトースターは、あなたの家のWi-Fiネットワークにつながっているからです。お子さんとWi-Fiを、隔離してください。
HTTPではなく、HTTPS経由のサイトであれば、いくらかはセキュリティが高いはずです。なぜなら、URLにHTTPSとある場合、そのサイトは暗号化されているからです。この場合は、みなさんのコンピュータとアクセスポイント間ではなく、みなさんのブラウザとそのWebサイトのサーバとの間のことで、まったく話は異なります。
しかし、データパケットによっては、ハッカーが傍受して暗号を解読できることがありますし、窃取できる情報はたくさんあります。HTTPSを利用していないウェブサイトに有害なソフトウェアを注入することも可能です。これはカフェのWi-Fiのような、セキュリティの弱いWi-Fiネットワークを悪用する時のハッカーの常套手段です。
良いニュースは、ハイテク企業にはすでにKRACKの知識があり、その解決に乗り出していることです。しかし、すべてに修正パッチを充てるには時間がかかります。
携帯その他のデバイスへのアップデートは、すでに始まっています。しかし、みなさんのWi-Fiルーターやスマートトースターに関しては、もう少し時間がかかるかもしれません。
理想は、デバイスとルーターの、両方に修正パッチを充てることです。みなさんは、お使いのデバイスのアップデートは、必ずインストールしてくださいね。スマートヘアブラシへもお忘れなく。スマートヘアブラシなんて、ありましたっけ? 無いと思いますけどね。
もう1つの良いニュースとは、ハッカーがKRACK攻撃をするには、Wi-Fiに物理的に接触する必要があることです。リモート攻撃はできません。ですから、自宅の向かいに怪しい車が停まっていない限り、みなさんの個人ネットワークはおそらくは安全です。
しかしビジネス関連であれば、人に気づかれずに接近することは容易です。この危機が、絵空事で済まないのは、このためです。
バンホーフは実際にKRACK攻撃の実践を目撃したことはないとしていますが、この情報を公開することは、悪意のある人にその方法を知られてしまうというリスクもあるのです。
関連タグ:
2025.02.06
すかいらーく創業者が、社長を辞めて75歳で再起業したわけ “あえて長居させるコーヒー店”の経営に込めるこだわり
2025.02.03
「昔は富豪的プログラミングなんてできなかった」 21歳で「2ちゃんねる」を生んだひろゆき氏が語る開発の裏側
2025.02.03
手帳に書くだけで心が整うメンタルケアのコツ イライラ、モヤモヤ、落ち込んだ時の手帳の使い方
2025.01.30
2月の立春までにやっておきたい手帳術 「スケジュール管理」を超えた、理想や夢を現実にする手帳の使い方
2025.02.04
日本企業にありがちな「生産性の低さ」の原因 メーカーの「ちょっとした改善」で勝負が決まる仕組みの落とし穴
2025.02.05
「納得しないと動けない部下」を変える3つのステップとは マネージャーの悩みを解消する会話のテクニック
PR | 2025.02.07
プロジェクトマネージャーは「無理ゲーを攻略するプレイヤー」 仕事を任せられない管理職のためのマネジメントの秘訣
2025.01.29
社内会議は「パワポ」よりも「ドキュメントの黙読」が良い理由 Amazon元本社PMが5つのポイントで教える、資料の書き方
2025.01.31
古い手帳から新しい手帳への繰り越し方 手帳を買い換えたら最初に書き込むポイント
2025.01.07
1月から始めたい「日記」を書く習慣 ビジネスパーソンにおすすめな3つの理由