Wi-Fi保護アクセス

Wi-Fi Protected Access ( WPA )、Wi-Fi Protected Access 2 ( WPA2 )、およびWi-Fi Protected Access 3 ( WPA3 ) は、2000 年以降にWi-Fi Allianceがワイヤレス コンピュータ ネットワークのセキュリティ保護のために開発した 3 つのセキュリティ認証プログラムです。Alliance は、研究者が以前のシステムであるWired Equivalent Privacy (WEP)に発見した重大な脆弱性に対応するためにこれらを定義しました。^[1]

WPA (TKIP 標準とも呼ばれる) は 2003 年に利用可能になりました。Wi-Fi Alliance は、より安全で複雑な WPA2 が利用可能になるまでの中間手段としてこれを意図していました。WPA2 は 2004 年に利用可能になり、完全な IEEE 802.11i (またはIEEE 802.11i-2004 ) 標準の一般的な略語となっています。

2018年1月、Wi-FiアライアンスはWPA2に比べてセキュリティ面でいくつかの改善を加えたWPA3のリリースを発表しました。^[2]

2023 年現在、ワイヤレス ネットワークに接続するほとんどのコンピューターは、WPA、WPA2、または WPA3 の使用をサポートしています。

WEP (Wired Equivalent Privacy) は、無線ネットワークの初期の暗号化プロトコルで、WLAN 接続のセキュリティ保護を目的として設計されました。64 ビットおよび 128 ビットのキーをサポートし、ユーザーが設定可能なビットと工場で設定されたビットを組み合わせています。WEP は、データの暗号化に RC4 アルゴリズムを使用し、新しい初期化ベクトル (IV) を共有キー (40 ビットのベクトル キーと 24 ビットの乱数) と組み合わせて、各パケットに固有のキーを作成します。復号化では、このプロセスを逆に実行し、IV と共有キーを使用してキー ストリームを生成し、ペイロードを復号化します。当初は WEP が使用されていましたが、重大な脆弱性があったため、より安全なプロトコルが採用されました。^[3]

Wi-Fi Alliance は、完全なIEEE 802.11i標準が利用可能になるまで、 WPA をWEPに代わる中間手段として想定していました。WPA は、1999 年に出荷が開始された WEP 用に設計されたワイヤレス ネットワーク インターフェイス カードのファームウェア アップグレードによって実装できます。ただし、ワイヤレス アクセス ポイント(AP) に必要な変更はネットワーク カードに必要な変更よりも広範囲であったため、2003 年以前のほとんどの AP は WPA をサポートするようにアップグレードできませんでした。

WPA プロトコルは、Temporal Key Integrity Protocol (TKIP) を実装しています。WEP は 64 ビットまたは 128 ビットの暗号化キーを使用していましたが、このキーはワイヤレス アクセス ポイントやデバイスに手動で入力する必要があり、変更されませんでした。TKIP はパケットごとのキーを採用しており、パケットごとに新しい 128 ビット キーを動的に生成し、WEP を侵害するタイプの攻撃を防ぎます。^[4]

WPA には、攻撃者がデータ パケットを変更して再送信するのを防ぐためのメッセージ整合性チェックも含まれています。これは、WEP 標準で使用されていた巡回冗長検査(CRC) に代わるものです。CRC の主な欠陥は、処理するパケットのデータ整合性を十分に保証できないことでした。 ^[5]これらの問題を解決するために十分にテストされたメッセージ認証コードが存在しましたが、古いネットワーク カードで使用するには計算量が多すぎました。WPA は、パケットの整合性を確認するためにTKIPと呼ばれるメッセージ整合性チェック アルゴリズムを使用します。TKIP は CRC よりもはるかに強力ですが、WPA2 で使用されているアルゴリズムほど強力ではありません。その後、研究者は、WEP の古い弱点とMichaelと呼ばれるメッセージ整合性コード ハッシュ関数の制限を利用して、短いパケットからキーストリームを取得し、再注入やスプーフィングに使用する WPA の欠陥を発見しました。^{[6] [7]}

2004年に批准されたWPA2は、WPAに代わるものです。Wi-Fi Allianceによるテストと認証を必要とするWPA2は、IEEE 802.11iの必須要素を実装しています。特に、AESベースの暗号化モードであるCCMPのサポートが含まれています。^{[8] [9] [10]}認証は2004年9月に開始されました。2006年3月13日から2020年6月30日まで、Wi-Fi商標を付すすべての新規デバイスにはWPA2認証が必須でした。^[11] WPA2で保護されたWLANでは、複数のステップからなるプロセスを通じて安全な通信が確立されます。最初に、デバイスはアソシエーション要求を介してアクセスポイント（AP）にアソシエートします。その後、4ウェイハンドシェイクが行われます。これは、クライアントとAPの両方が正しい事前共有キー（PSK）を実際に送信することなく持っていることを確認する重要なステップです。このハンドシェイク中に、安全なデータ交換のためにペアワイズトランジェントキー（PTK）が生成されます。^[12]

WPA2は128ビットキーのAdvanced Encryption Standard AESを採用し、Counter-Mode/CBC-MacプロトコルCCMPを通じてセキュリティを強化しています。このプロトコルは、暗号化と認証の目的で異なる初期化ベクトル（IV）を使用して、堅牢な暗号化とデータの整合性を保証します。^[12]

4 ウェイ ハンドシェイクには次の内容が含まれます。

• AP がクライアントに乱数 (ANonce) を送信します。
• クライアントは乱数 (SNonce) で応答します。
• AP はこれらの数値から PTK を計算し、暗号化されたメッセージをクライアントに送信します。
• クライアントはPTKを使用してこのメ​​ッセージを復号化し、認証が成功したことを確認します。^[13]

ハンドシェイク後、確立されたPTKはユニキャストトラフィックの暗号化に使用され、グループ一時キー（GTK）はブロードキャストトラフィックの暗号化に使用されます。この包括的な認証と暗号化のメカニズムにより、WPA2はワイヤレスネットワークの堅牢なセキュリティ標準となっています。^[13]

2018年1月、Wi-FiアライアンスはWPA2の代替としてWPA3を発表しました。^{[14] [15]}認証は2018年6月に開始され、^[16] 2020年7月以降、「Wi-Fi CERTIFIED™」ロゴが付いたデバイスではWPA3のサポートが必須となっています。^[17]

^{新しい規格では、WPA3-Enterpriseモード[18]}で同等の192ビットの暗号強度（HMACとしてSHA-384を使用したGCMモードでのAES-256）を使用し、WPA3-Personalモードでは最小暗号化アルゴリズムとしてCCMP-128（CCMモードでのAES-128 ）の使用を義務付けています。TKIPはWPA3では許可されていません。

WPA3規格では、事前共有キー（PSK）交換を、IEEE 802.11sで最初に導入された方法である同時同等認証（SAE）交換に置き換え、パーソナルモードでの初期キー交換の安全性を高めています^{[19] [20]}および前方秘匿性^[21]。Wi -Fiアライアンスはまた、WPA3により脆弱なパスワードによって引き起こされるセキュリティ問題が緩和され、ディスプレイインターフェイスのないデバイスのセットアッププロセスが簡素化されると述べています。^{[2] [22] WPA3は、パスワードのないオープンWi-Fiネットワーク向けの}Opportunistic Wireless Encryption（OWE）もサポートしています。

IEEE 802.11w修正で指定されている管理フレームの保護は、WPA3 仕様でも強制されます。

WPAは、WPAプロトコルの導入前に製造された無線ハードウェアで動作するように特別に設計されており、^[23] WEPではセキュリティが不十分です。これらのデバイスの中には、ファームウェアのアップグレードを適用しないとWPAをサポートしないものもありますが、これは一部のレガシーデバイスでは利用できません。^[23]

2006年以降に認定されたWi-Fiデバイスは、WPAとWPA2の両方のセキュリティプロトコルをサポートしています。WPA3は2020年7月1日から必須です。^[17]

さまざまなWPAバージョンと保護メカニズムは、対象となるエンドユーザー（WEP、WPA、WPA2、WPA3など）と認証キーの配布方法、および使用される暗号化プロトコルに基づいて区別できます。2020年7月現在、WPA3はWPA標準の最新バージョンであり、セキュリティ機能が強化され、WPA2で見つかった脆弱性に対処しています。WPA3は認証方法を改善し、より強力な暗号化プロトコルを採用しているため、Wi-Fiネットワークのセキュリティ保護に推奨される選択肢となっています。^[22]

WPA-PSK (事前共有キー) モードとも呼ばれるこのモードは、家庭、小規模オフィス、基本的な用途向けに設計されており、認証サーバーを必要としません。^{[24]各ワイヤレスネットワークデバイスは、256 ビットの共有}キーから 128 ビットの暗号化キーを導出して、ネットワークトラフィックを暗号化します。このキーは、64 桁の16 進数の文字列、または8 ～ 63 文字の印刷可能な ASCII 文字のパスフレーズとして入力できます。^[25]ただし、このパスフレーズから PSK へのマッピングは拘束力がなく、最新の 802.11 標準では付録 J が参考情報となっています。^[26] ASCII 文字が使用される場合、256 ビットのキーは、SSIDをソルトとして使用し、 HMAC - SHA1を 4096 回繰り返して、PBKDF2キー導出関数をパスフレーズに適用することによって計算されます。^[27] WPAパーソナルモードは3つのWPAバージョンすべてで利用可能です。

このエンタープライズ モードでは、認証に802.1Xサーバーを使用し、脆弱な WEP をより高度な TKIP 暗号化に置き換えることで、より高いセキュリティ制御を実現します。TKIP は暗号化キーの継続的な更新を保証し、セキュリティ リスクを軽減します。認証はRADIUSサーバーを介して行われ、特に企業環境で不可欠な堅牢なセキュリティを提供します。この設定により、Windows ログイン プロセスとの統合が可能になり、証明書を使用して安全な認証を行う拡張認証プロトコルや、クライアント証明書を必要とせずに認証用の保護された環境を作成する PEAP などのさまざまな認証方法をサポートします。^[28]

TKIP (一時鍵整合性プロトコル)

RC4ストリーム暗号は、128 ビットのパケットごとのキーで使用され、パケットごとに新しいキーが動的に生成されます。これは WPA で使用されます。

CCMP ( CBC-MACプロトコルを使用したCTR モード)

WPA2 で使用されるプロトコルは、強力なメッセージの信頼性と整合性のチェックを伴う AES ( Advanced Encryption Standard ) 暗号に基づいており、WPA で使用されるRC4ベースの TKIPよりもプライバシーと整合性の両方の保護が大幅に強力です。非公式の名前にはAESやAES-CCMPなどがあります。802.11n 仕様によると、この暗号化プロトコルは高速な802.11n 高ビットレート方式を実現するために使用する必要がありますが、すべての実装でこれを強制しているわけではありません^{[あいまい]}。^[29]そうでない場合、データレートは 54 Mbit/s を超えません。

当初、 Wi-FiアライアンスではEAP-TLS（拡張認証プロトコル-トランスポート層セキュリティ）のみが認定されていました。2010年4月、 Wi-Fiアライアンスは、 WPAおよびWPA2エンタープライズ認定プログラムに追加のEAP ^{[30]タイプを含めることを発表しました。 [31]}これは、WPAエンタープライズ認定製品が相互運用できることを保証するためでした。

2010 年現在、^{[アップデート]}認定プログラムには次の EAP タイプが含まれています。

• EAP-TLS (以前にテスト済み)
• EAP-TTLS /MSCHAPv2 (2005 年 4 月)
• PEAP v0/EAP-MSCHAPv2 (2005 年 4 月)
• PEAPv1/EAP-GTC (2005 年 4 月)
• PEAP-TLS
• EAP-SIM (2005年4月)
• EAP-AKA（2009年4月^[32]）
• EAP-FAST (2009年4月)

特定の企業によって開発された 802.1X クライアントとサーバーは、他の EAP タイプをサポートする場合があります。この認定は、一般的な EAP タイプを相互運用するための試みです。2013 年現在、相互運用が実現されていないことが、^{[アップデート]}異種ネットワークでの 802.1X の展開を妨げる大きな問題の 1 つです。

商用802.1Xサーバーには、Microsoft Network Policy Server、Juniper Networks Steelbelted RADIUS、Aradial Radiusサーバーなどがあります。^[33] FreeRADIUSはオープンソースの802.1Xサーバーです。

WPA-Personal と WPA2-Personal は、ユーザーが弱いパスワードやパスフレーズを使用している場合、パスワードクラッキング攻撃に対して脆弱なままです。WPA パスフレーズハッシュは SSID 名とその長さから生成されます。上位 1,000 のネットワーク SSID と多数の一般的なパスワードのレインボーテーブルが存在するため、WPA-PSK のクラッキングを高速化するには、簡単な検索のみが必要です。^[34]

Aircrack Suiteを使用すると、アソシエーション中または定期的な再認証中に交換される4方向認証ハンドシェイクから、単純なパスワードのブルートフォース攻撃を試みることができます。 ^{[35] [36] [37] [38] [39]}

WPA3は、オフライン解析の影響を受けやすい暗号化プロトコルを、推測されたパスワードごとにインフラストラクチャとのやり取りを必要とするプロトコルに置き換え、推測回数に一時的な制限を設けるとされています。^[14]しかし、WPA3の設計上の欠陥により、攻撃者はブルートフォース攻撃を仕掛けることができます（§ Dragonbloodを参照）。

WPA と WPA2 は前方秘匿性を提供していません。つまり、悪意のある人物が事前共有キーを発見すると、将来、さらには過去にその PSK を使用して送信されたすべての暗号化パケットを解読できる可能性があり、攻撃者が受動的かつ密かに収集する可能性があります。これはまた、WPA で保護されたアクセス ポイントが公共の場所で無料で提供されている場合、そのパスワードは通常その場所にいる誰にでも共有されるため、攻撃者が密かに他の人のパケットをキャプチャして解読できることも意味します。言い換えると、WPA はパスワードにアクセスできない攻撃者からのみ保護します。そのため、機密データの転送には、トランスポート層セキュリティ(TLS) などを使用する方が安全です。ただし、WPA3 以降では、この問題は解決されています。^[21]

2013年、Mathy VanhoefとFrank Piessens ^[40]は、Erik TewsとMartin BeckのWPA-TKIP攻撃を大幅に改良しました。 ^{[41] [42]}彼らは、各パケットに最大112バイトのペイロードを含む任意の数のパケットを挿入する方法を実証しました。これは、WPA-TKIPを使用する任意のクライアントに対して実行できるポートスキャナーを実装することによって実証されました。さらに、クライアントに送信された任意のパケットを復号化する方法を示しました。彼らは、これを使用してTCP接続をハイジャックし、被害者がWebサイトにアクセスしたときに攻撃者が悪意のあるJavaScriptを挿入できると述べました。対照的に、Beck-Tews攻撃は、 ARPメッセージなど、ほとんどが既知のコンテンツを含む短いパケットのみを復号化でき、最大28バイトの3〜7個のパケットしか挿入できませんでした。また、Beck-Tews攻撃ではサービス品質（ 802.11eで定義）を有効にする必要があるが、Vanhoef-Piessens攻撃ではその必要はありません。どちらの攻撃も、クライアントとアクセス ポイント間の共有セッション キーの回復にはつながりません。著者らは、短いキー再生成間隔を使用すると一部の攻撃は防げますが、すべての攻撃を防げるわけではないと述べ、TKIPからAES ベースのCCMPに切り替えることを強く推奨しています。

Halvorsenらは、Beck-Tews攻撃を修正して、最大596バイトのサイズを持つ3〜7個のパケットを挿入できるようにする方法を示しています。^[43]欠点は、攻撃の実行にかなり長い時間、約18分25秒かかることです。他の研究では、VanhoefとPiessensは、ブロードキャストパケットの暗号化にWPAを使用すると、元の攻撃も実行できることを示しました。^[44]これは重要な拡張です。なぜなら、はるかに多くのネットワークが、ユニキャストパケットを保護するためよりも、ブロードキャストパケットを保護するためにWPAを使用しているからです。この攻撃の実行時間は平均で約7分ですが、元のVanhoef-PiessensとBeck-Tews攻撃の14分と比べて短いです。

TKIP の脆弱性は重大です。なぜなら、WPA-TKIP はこれまで非常に安全な組み合わせであると考えられてきたからです。実際、WPA-TKIP は、多くのハードウェア ベンダーが提供するさまざまなワイヤレス ルーティング デバイスの構成オプションとして今でも使用されています。2013 年の調査では、71% が依然として TKIP の使用を許可しており、19% が TKIP のみをサポートしていることが示されました。^[40]

2011 年 12 月、Stefan Viehböck 氏によって、より深刻なセキュリティ上の欠陥が明らかになりました。これは、暗号化方式に関係なく、 Wi-Fi Protected Setup (WPS) 機能を備えたワイヤレス ルーターに影響します。最近のモデルのほとんどにはこの機能があり、デフォルトで有効になっています。多くの消費者向け Wi-Fi デバイス メーカーは、ユーザーが新しいワイヤレス アダプターまたはアプライアンスをネットワークに追加したときに、強力なキーを自動的に生成して配布する代替方法を推進することで、弱いパスフレーズ選択の可能性を排除する措置を講じてきました。これらの方法には、デバイスのボタンを押すか、8 桁のPINを入力することが含まれます。

Wi-Fi Allianceはこれらの方法をWi-Fi Protected Setupとして標準化しましたが、広く実装されたPIN機能によって新たな重大なセキュリティ上の欠陥が生じました。この欠陥により、リモートの攻撃者は数時間でWPS PINを復元し、ルーターのWPA/WPA2パスワードも復元することができます。^[45]ユーザーにWPS機能をオフにするよう促されていますが、^[46]一部のルーターモデルではこれが不可能な場合があります。また、PINはWPS対応のほとんどのWi-Fiルーターのラベルに記載されており、侵害されても変更できません。

2018年にWi-Fiアライアンスは、十分なユーザーインターフェース機能を持たないデバイスの構成に対する新たな代替手段としてWi-Fi Easy Connect ^[47]を導入しました。これにより、近くのデバイスがネットワークプロビジョニングの目的で適切なUIとして機能できるようになり、WPSの必要性が軽減されます。^[48]

MS-CHAPv 2にはいくつかの弱点が発見されており、そのいくつかはブルートフォース攻撃の複雑さを大幅に軽減し、現代のハードウェアで実行可能にしています。2012 年には、MS-CHAPv2 を破る複雑さは、単一のDESキーを破る複雑さにまで軽減されました ( Moxie Marlinspikeと Marsh Rayによる研究)。Moxie は次のようにアドバイスしています。「WPA2 Radius サーバーへの接続に MS-CHAPv2 の相互認証プロパティに依存している企業は、すぐに別のものに移行し始める必要があります。」^[49]

この脆弱性の悪用を防ぐために、MSCHAPv2 交換を暗号化する TTLS または PEAP を使用したトンネル EAP 方式が広く導入されています。しかし、2000 年代初頭に普及した WPA2 クライアント実装は、エンド ユーザーによる構成ミスが発生しやすく、場合によっては ( Androidなど)、AAA サーバー証明書 CN の検証を適切に構成するためのユーザーがアクセスできる方法がありませんでした。これにより、MSCHAPv2 の元々の脆弱性がMiTM攻撃シナリオにまで影響を及ぼしました。^[50] WPA3 と同時に発表された WPA2 のより厳格なコンプライアンス テストでは、認定クライアント ソフトウェアは AAA 証明書の検証に関する特定の動作に準拠する必要があります。^[14]

Hole196 は、WPA2 プロトコルの脆弱性で、共有グループ一時キー (GTK) を悪用します。中間者攻撃やサービス拒否攻撃に使用できます。ただし、攻撃者がすでにアクセス ポイントに対して認証されており、GTK を所有していることが前提となります。^{[51] [52]}

2016 年、WPA および WPA2 規格に安全でない説明用乱数生成器(RNG) が含まれていることが示されました。研究者らは、ベンダーが提案された RNG を実装すると、攻撃者はアクセス ポイント(AP) によってランダムに生成されるはずのグループ キー (GTK) を予測できることを示しました。さらに、GTK を所有することで、攻撃者はネットワークに任意のトラフィックを注入でき、ワイヤレス ネットワーク経由で送信されるユニキャスト インターネット トラフィックを復号化できることを示しました。研究者らは、 MediaTekのツリー外ドライバー (GTK 自体を生成する) を使用するAsus RT-AC51U ルーターに対する攻撃を実証し、GTK を 2 分以内に復元できることを示しました。同様に、研究者らは、VxWorks 5 以降で実行される Broadcom アクセス デーモンによって生成されるキーを 4 分以内に復元できることを示しました。これは、たとえば、Linksys WRT54G の特定のバージョンや Apple AirPort Extreme の特定のモデルに影響します。ベンダーは、安全な RNG を使用してこの攻撃を防御できます。そうすることで、 Linuxカーネル上で動作するHostapdはこの攻撃に対して脆弱ではなくなり、したがって典型的なOpenWrtまたはLEDEインストールを実行するルータではこの問題は発生しません。^[53]

2017年10月、 WPA2に対するKRACK（キー再インストール攻撃）攻撃の詳細が公開されました。^{[54] [55]} KRACK攻撃はWPAとWPA2のすべてのバリアントに影響を与えると考えられていますが、セキュリティへの影響は、個々の開発者が規格の不十分な部分をどのように解釈したかに応じて、実装ごとに異なります。ソフトウェアパッチで脆弱性を解決できますが、すべてのデバイスで利用できるわけではありません。^[56] KRACKは、暗号化キーを生成するための重要なプロセスであるWPA2 4ウェイハンドシェイクの弱点を悪用します。攻撃者は複数のハンドシェイクを強制し、キーのリセットを操作できます。ハンドシェイクを傍受することで、暗号化を直接解読することなくネットワークトラフィックを復号化できます。これは、特に機密データの送信ではリスクをもたらします。^[57]

メーカーはこれに対応してパッチをリリースしましたが、すべてのデバイスがアップデートを受けているわけではありません。ユーザーは、このようなセキュリティリスクを軽減するために、デバイスを最新の状態に保つことをお勧めします。定期的なアップデートは、進化する脅威からネットワークセキュリティを維持するために不可欠です。^[57]

Dragonblood攻撃は、WPA3およびEAP-pwdで使用されるDragonflyハンドシェイクプロトコルの重大な脆弱性を露呈しました。これには、機密ユーザー情報を漏らす可能性のあるサイドチャネル攻撃や、EAP-pwdおよびSAEの実装上の弱点が含まれていました。また、WPA2とWPA3の両方をサポートする移行モードのセキュリティが不十分であるという懸念も提起されました。これに対応して、これらの脆弱性に対処し、Wi-Fiセキュリティ全体を強化するため、セキュリティアップデートとプロトコル変更がWPA3とEAP-pwdに統合されています。^[58]

2021年5月11日、新たなセキュリティ脆弱性であるFragAttacksが明らかになりました。これはWi-Fiデバイスに影響を及ぼし、範囲内の攻撃者が情報を盗んだりデバイスを標的にしたりすることを可能にします。これには、ほとんどのデバイスに影響を与えるWi-Fi規格の設計上の欠陥や、ほぼすべてのWi-Fi製品を脆弱にするWi-Fi製品のプログラミングエラーが含まれます。この脆弱性は、WPA3やWEPを含むすべてのWi-Fiセキュリティプロトコルに影響します。これらの欠陥を悪用するのは複雑ですが、Wi-Fi製品のプログラミングエラーは悪用されやすいです。Wi-Fiセキュリティは改善されていますが、これらの調査結果は継続的なセキュリティ分析と更新の必要性を浮き彫りにしています。これに対応してセキュリティパッチが開発され、ユーザーは保護のためにHTTPSを使用し、利用可能な更新プログラムをインストールするようアドバイスされています。^[59]

• 公式標準文書: IEEE Std 802.11i-2004 (PDF) . IEEE (The Institute of Electrical and Electronics Engineers, Inc.) . 2004 年 7 月 23 日. ISBN 0-7381-4074-02005年5月17日時点のオリジナル（PDF）よりアーカイブ。
• Wi-Fi Allianceの相互運用性証明書ページ
• Robert Moskowitz 著「WPA インターフェースのパスフレーズ選択の弱点」。2004 年 3 月 2 日取得。
• 802.11 ワイヤレス セキュリティの進化、Kevin Benton 著、2010 年 4 月 18 日、Wayback Machineで 2016 年 3 月 2 日にアーカイブ