先日、成田・関西・神戸の3空港が提供する無料の公衆無線LANサービスが暗号化されていないため、メールの内容や閲覧中のWebサイトのURLがのぞき見できる状態であることが神戸大学大学院の森井昌克教授の実地調査の結果判明したとの報道がなされました。

それについて、色々な方々の色々な反応があったようです。中でも

  1. 「今更、わざわざ調査するようなことではない」
  2. 「暗号化されていないのだから覗き見できて当たり前」

という趣旨ものが目立ったように思いました。

(1)に関しては、できるだろうと分かっていることでも実地でやってみないことにはできる(できた)と断言できなかったり、やってみて初めて分かることもあるため実施されたのでしょう。

(2)に関しては、事実としてその通りではあるのですが自分にとって当たり前であることは、必ずしも他人にとっても当たり前とは限りません。

今回、調査/報道されたような事実を知らずに公衆無線LANサービスを使ってしまっている方もいらっしゃると思います。そういった方々にも広く知っていただき、1人でも多くの方にシステムを安全に使うきっかけを作ることはとても大切なことであると筆者は考えています。したがって、この実地調査はそういった意味でとても価値のあるものだと思います。

そんなわけで、今回は公衆無線LANを利用するにあたってのお話です。

著者プロフィール

辻 伸弘氏(Tsuji Nobuhiro) - ソフトバンク・テクノロジー株式会社


セキュリティエンジニアとして、主にペネトレーション検査などに従事している。民間企業、官公庁問わず多くの検査実績を持つ。

また、アノニマスの一面からみ見えるようなハクティビズムやセキュリティ事故などによる情勢の調査分析なども行っている。趣味として、自宅でのハニーポット運用、IDSによる監視などを行う。

Twitter: @ntsuji

公衆無線LANは利用しないほうがいい?

まず、公衆無線LANを利用する際には、全体、または、一部の通信が第三者に見られてしまうという危険性は常に付きまとうということは念頭に置いておく必要があります。

もちろん、利用するサービス、特にWebメールや重要情報を扱うようなサービスではSSL/TLSなどで暗号化されているため、無線LAN自体が暗号化されていなくてもそのサービスを利用する際の通信は暗号化されていますので通信を行ったことは分かりますがその内容までは覗き見することができません。逆に言うと、それ以外の暗号化されていない通信内容に関しては誰でも覗き見できてしまうということが言えます。

それでは、パスワードが設定されており暗号化されている無線LANであれば覗き見はできなくなってしまうのでしょうか。前述した記事には「無線LANを暗号化すれば覗き見は防止できるが」とあります。これは、完全に間違いではないのですが、不十分な説明と言えると思います。

厳密には

「その無線LANに接続するパスワードを知らないユーザからの覗き見は防止できる。そして、その無線LANに接続するパスワードを知っているユーザには暗号化された通信として見ることができるが、いくつかの手順を踏むことで復号し、覗き見を行うことが可能である」

となります。

復号の手順がどのようなものか興味のある方は筆者のブログに書いておきましたのでそちらをご覧ください。

※ 本記事、およびリンク先のブログに掲載した行為を自身の管理下にないネットワーク・コンピュータに行うと、攻撃行為と判断されるケースがあり、最悪の場合、法的措置を取られる可能性もあります。このような調査を行う際は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。また、本記事、およびリンク先のブログ内容をを利用した行為による問題に関しましては、筆者および株式会社マイナビは一切責任を負いかねます。ご了承ください。

それでは、公衆無線LANを利用しないほうがいいのでしょうか。

これの回答としては、「利用しなくても済む状況なのであれば利用しないほうが安全であり、安心できるとは思いますが、自衛の策を講じていれば問題ありません」となります。

筆者は基本的に外出先ではモバイルルータやスマートフォンのテザリングを使ってインターネットに接続するようにしているのですが、通信量の制限や速度が気になるときには、暗号化されているされていないに関わらず、公衆無線LANを利用することがあります。そのようなときには、筆者は利用する無線LANの暗号化の有無に関わらず「Private VPN」を利用するようにしています。

Private VPNとは

「Private VPN」がどういうものかを簡単に説明すると、目的のサーバにアクセスする前に別のサーバを経由してからアクセスを行い、自身とその経由するサーバとの間の通信は暗号化されるというものです。また、アクセスされる側の目的のサーバから見ると、経由したサーバからのアクセスに見え、元々のアクセス元、つまり、あなたは見えないわけです。

Private VPNのイメージ

上図でいうと(1)が「Private VPN」を使用しない通常のアクセスで、(2)と(3)が「Private VPN」を利用したアクセスです。(2)の通信は、「Private VPN」の機能により暗号化されているため公衆無線LANのような安全ではないネットワークでhttpのような暗号化されていない通信を行った場合でも覗き見することはできません。(3)の通信は使用されているプロトコルに依存する形になります。httpであれば暗号化されていませんし、httpsであれば暗号化されます。

「Private VPN」を利用することで通信の秘匿と通信の匿名性をある程度保つことが可能になるわけです(ただし、これらのサービスを利用して犯罪行為を行たユーザーに対して、法執行機関による捜査が行われ、身元が判明する可能性はありますし、そういった事例も過去にはあります)。

また、国によってネット検閲が厳しく、自由に自国外のサーバとの通信が許可されていなかったり、コンテンツの内容次第でブロックされてしまうという場合があります。そういった場合にも「Private VPN」は下図のように効果を発揮します。

「Private VPN」で自国以外を経由して規制の厳しい国へするアクセスする例も

[A国]はネット検閲が厳しく、何かしらの理由で[C国]への通信が許可されていないとします。しかし、[A国]は[B国]との通信は許可されており、[B国]は[C国]と自由に通信ができるとします。

その場合、[A国]から[B国]にある[Private VPNサーバ]を経由することで結果[C国]にある[目的サーバ]と通信できるというわけです。また、こちらも前述した通り[クライアント]と[Private VPNサーバ]との間の通信は暗号化されているため通信内容を見ることができず[A国]による検閲も回避できるということになります。

現在は、至るところに無線LANのアクセスポイントが設置されています。6年後の東京オリンピックの開催も手伝って、これからもどんどん増えていくことでしょう。

そのアクセスポイントの中には悪意を持って通信の覗き見を行ってくるユーザが潜んでいるかもしれません。有料、無料問わず、提供されているサービスは、サービス提供側が利用者を保護することが大切なことだと思います。

利用者も利便性と危険性の把握を

しかし、考えてみてください。どんなに安全機能を実装した車が開発されたとしても、運転手が不注意や違反をし危険な運転をしてしまっては交通安全が実現しないことと同じで、利用しているサービスがどのようなものか、利便性だけではなく、危険性を理解した上で自衛の策を講じることもユーザは今以上に意識していく必要があると筆者は考えています。利用者がセキュリティを意識せずとも安全なネットワーク利用をすることができる世界であることが理想的ではあるのですが、残念ながらまだそのような世界ではありません。

交通安全と同じく、ネットワークの安全はサービス提供側と利用側の双方の努力により実現していく必要があります。みんなでよりよいセキュリティを実現していきましょう。自衛をする技術は皆さんが思っている以上に沢山あります。それらを利用しないのは勿体ないので是非、調べて利用を検討してみてください。

1つの例として過去に自分のブログで書いた無料の「Private VPN」のエントリーをここに紹介しておきます(こちらはブラウザでの通信のみを対象にしているものです)。この他にも沢山のサービスが提供されていますのでご興味のあるかたは調べていただけると嬉しいです。

この記事が皆さんのネットワークにおける自衛を考えるきっかけになれば幸いです。

以上、行き付けの喫茶店の暗号化されていない無線LANを「Private VPN」を利用しながら調べ物をしつつ、この記事を書かせていただきました。