有線同等のプライバシー

Wired Equivalent Privacy ( WEP ) は、802.11ワイヤレス ネットワーク用の、時代遅れで重大な欠陥のあるセキュリティアルゴリズムです。1997 年に承認されたオリジナルのIEEE 802.11標準の一部として導入され、従来の有線ネットワークに匹敵するセキュリティ/プライバシーを提供することを意図していました。^{[1] 10 桁または 26 桁の}16 進数 (40 ビットまたは 104 ビット)のキーで認識される WEP は、かつては広く使用されており、ルーター構成ツールによってユーザーに最初に提示されるセキュリティの選択肢になることがよくありました。^{[2] [3]}

2001年にアルゴリズムの重大な設計上の欠陥が明らかになって以来、^[4] WEPは実際には二度と安全ではなくなりました。ほとんどの場合、WEPセキュリティに依存するWi-Fiハードウェアデバイスは、安全な動作にアップグレードできませんでした。一部の設計上の欠陥はWEP2で解決されましたが、WEP2も安全ではないことが判明し、次の世代のハードウェアは安全な動作にアップグレードできませんでした。

2003年、Wi-Fi AllianceはWEPとWEP2がWi-Fi Protected Access (WPA)に置き換えられたことを発表しました。2004年、完全な802.11i規格(WPA2)が承認され、IEEEはWEP-40とWEP-104の両方が廃止されたと宣言しました。^[5] WPAはWEPの設計特性の一部を保持しており、問題が残っていました。

WEPは、 802.11gデバイスで利用可能なWPA規格以前に製造された802.11aおよび802.11bデバイスで利用可能な唯一の暗号化プロトコルでした。ただし、一部の802.11bデバイスでは、後にWPAを有効にするファームウェアまたはソフトウェアの更新が提供され、新しいデバイスにはWPAが組み込まれました。^[6]

WEP は 1999 年に Wi-Fi セキュリティ標準として承認されました。WEP の最初のバージョンは、さまざまな暗号化技術の輸出に対する米国の規制により、リリースされた当時でも特に強力ではありませんでした。これらの規制により、メーカーはデバイスを 64 ビット暗号化のみに制限しました。規制が解除されると、暗号化は 128 ビットに増加しました。256 ビット WEP が導入されたにもかかわらず、128 ビットは最も一般的な実装の 1 つであり続けています。^[7]

WEPは、1997年に批准されたオリジナルのIEEE 802.11 ^[8]標準のプライバシーコンポーネントとして含まれていました。 ^{[9] [10]} WEPは、機密性のためにストリーム暗号 RC4を使用し、^[11]整合性のためにCRC -32チェックサムを使用します。^[12]これは2004年に廃止され、現在の標準に文書化されています。^[13]

標準の 64 ビット WEP では、40ビットのキー (WEP-40 とも呼ばれる) が使用され、これが 24 ビットの初期化ベクトル(IV) と連結されて RC4 キーが形成されます。元の WEP 標準が起草された当時、暗号化技術に対する米国政府の輸出規制により、キー サイズが制限されていました。この規制が解除されると、アクセス ポイントの製造元は、104 ビットのキー サイズ (WEP-104) を使用する拡張 128 ビット WEP プロトコルを実装しました。

64 ビットの WEP キーは、通常、10 個の 16進数(基数 16) 文字 (0～9 および A～F) の文字列として入力されます。各文字は 4 ビットを表し、4 ビットの数字が 10 桁あると 40 ビットになります。24 ビットの IV を追加すると、完全な 64 ビットの WEP キーが生成されます (4 ビット × 10 + 24 ビットの IV = 64 ビットの WEP キー)。ほとんどのデバイスでは、ユーザーが 5 つのASCII文字 (0～9、a～z、A～Z) としてキーを入力することもできます。各文字は、ASCII での文字のバイト値を使用して 8 ビットに変換されます (8 ビット × 5 + 24 ビットの IV = 64 ビットの WEP キー)。ただし、これにより、各バイトが印刷可能な ASCII 文字に制限され、これは可能なバイト値のごく一部に過ぎないため、可能なキーのスペースが大幅に減少します。

128 ビットの WEP キーは、通常、26 桁の 16 進文字の文字列として入力されます。4 ビットずつの 26 桁で 104 ビットになり、24 ビットの IV を追加すると、完全な 128 ビットの WEP キーが生成されます (4 ビット × 26 + 24 ビットの IV = 128 ビットの WEP キー)。ほとんどのデバイスでは、13 個の ASCII 文字として入力することもできます (8 ビット × 13 + 24 ビットの IV = 128 ビットの WEP キー)。

一部のベンダーでは、152 ビットおよび 256 ビットの WEP システムを提供しています。他の WEP バリアントと同様に、そのうち 24 ビットは IV 用で、実際の保護には 128 ビットまたは 232 ビットが残ります。これらの 128 ビットまたは 232 ビットは、通常、32 または 58 の 16 進文字として入力されます (4 ビット × 32 + 24 ビット IV = 152 ビット WEP キー、4 ビット × 58 + 24 ビット IV = 256 ビット WEP キー)。ほとんどのデバイスでは、16 または 29 の ASCII 文字として入力することもできます (8 ビット × 16 + 24 ビット IV = 152 ビット WEP キー、8 ビット × 29 + 24 ビット IV = 256 ビット WEP キー)。

WEP では、オープン システム認証と共有キー認証の 2 つの認証方法を使用できます。

オープン システム認証では、WLAN クライアントは認証時にアクセス ポイントに資格情報を提供しません。どのクライアントもアクセス ポイントで認証し、関連付けを試みることができます。実際には、認証は行われません。その後、WEP キーを使用してデータ フレームを暗号化できます。この時点で、クライアントは正しいキーを持っている必要があります。

共有キー認証では、WEP キーは 4 段階のチャレンジ レスポンスハンドシェイクでの認証に使用されます。

1. クライアントはアクセス ポイントに認証要求を送信します。
2. アクセス ポイントはクリアテキストチャレンジで応答します。
3. クライアントは、設定された WEP キーを使用してチャレンジ テキストを暗号化し、別の認証要求で送り返します。
4. アクセス ポイントは応答を復号化します。これがチャレンジ テキストと一致する場合、アクセス ポイントは肯定応答を返します。

認証と関連付けの後、事前共有 WEP キーは RC4 を使用してデータ フレームを暗号化するためにも使用されます。

一見すると、共有キー認証はオープンシステム認証よりも安全であるように思われるかもしれません。なぜなら、オープンシステム認証は実際の認証を提供しないからです。しかし、実際はまったく逆です。共有キー認証のチャレンジフレームをキャプチャすることで、ハンドシェイクに使用されるキーストリームを導き出すことができます。^[14]そのため、共有キー認証では、オープンシステム認証よりもデータの傍受や復号化が容易になります。プライバシーが主な懸念事項である場合は、WEP 認証に共有キー認証ではなくオープンシステム認証を使用することをお勧めします。ただし、これは、すべての WLAN クライアントが AP に接続できることも意味します。(どちらの認証メカニズムも脆弱です。共有キー WEP は WPA/WPA2 に取って代わられています。)

RC4 はストリーム暗号であるため、同じトラフィック キーを 2 回使用することはできません。プレーンテキストとして送信される IV の目的は、重複を防ぐことですが、24 ビットの IV では、混雑したネットワークでこれを保証するには長さが足りません。IV の使用方法により、WEP は関連キー攻撃にもさらされました。24 ビットの IV の場合、5,000 パケット後に同じ IV が繰り返される確率は 50% です。

2001 年 8 月、Scott Fluhrer、Itsik Mantin、およびAdi Shamir は、WEP での RC4 暗号と IV の使用方法を悪用したWEP の暗号解読法^[4]を公開しました。この解読法は、ネットワークを盗聴した後で RC4キーを復元できる受動的な攻撃に繋がります。ネットワーク トラフィックの量、つまり検査可能なパケットの数によっては、キーの復元に 1 分もかからない場合があります。送信されているパケットの数が不十分な場合、攻撃者はネットワークにパケットを送信して応答パケットを刺激し、それを検査してキーを見つける方法があります。この攻撃はすぐに実装され、その後自動化ツールがリリースされました。パーソナル コンピュータ、市販のハードウェア、aircrack -ngなどの無料で入手できるソフトウェアを使用して攻撃を実行し、数分で任意のWEP キーを解読することが可能です。

Cam-Winget ら^[15]は、 WEP のさまざまな欠点を調査しました。彼らは、「現場での実験により、適切な機器を使用すれば、ターゲットから 1 マイル以上離れた場所から WEP で保護されたネットワークを盗聴することが現実的であることが示されました」と書いています。また、彼らは 2 つの一般的な弱点も報告しています。

• WEPの使用はオプションであったため、多くのインストールではWEPを有効化することすらなく、
• デフォルトでは、WEP はユーザー間で単一の共有キーに依存しているため、侵害の処理において実際的な問題が発生し、侵害が無視されることが多々あります。

2005年、米国連邦捜査局のグループが、公開されているツールを使用して3分でWEPで保護されたネットワークを解読するデモンストレーションを行いました。^[16] Andreas Kleinは、RC4ストリーム暗号の別の分析を発表しました。Kleinは、RC4キーストリームとキーの間には、Fluhrer、Mantin、およびShamirによって発見されたものよりも多くの相関関係があり、WEPのような使用モードでWEPを解読するためにさらに使用できることを示しました。

2006 年に、Bittau、Handley、および Lackey は、802.11 プロトコル自体を WEP に対して使用して、以前は非現実的であると考えられていた初期の攻撃を可能にすることを示しました^[2]。 1 つのパケットを盗聴した後、攻撃者はすぐにブートストラップして任意のデータを送信できるようになります。 盗聴されたパケットは、1 バイトずつ復号化され (1 バイトあたり約 128 パケットを送信して復号化)、ローカル ネットワークの IP アドレスを検出できます。 最後に、802.11 ネットワークがインターネットに接続されている場合、攻撃者は 802.11 フラグメンテーションを使用して盗聴されたパケットを再生し、新しい IP ヘッダーを作成できます。 アクセス ポイントを使用してこれらのパケットを復号化し、インターネット上の仲間に中継することで、最初のパケットを盗聴してから 1 分以内に WEP トラフィックをリアルタイムで復号化できます。

2007 年、Erik Tews、Andrei Pyshkin、および Ralf-Philipp Weinmann は、Klein の 2005 年の攻撃を拡張し、WEP に対して使用できるように最適化しました。新しい攻撃^[17]では、キャプチャされたパケットが 40,000 個のみで、104 ビットの WEP キーを 50% の確率で復元できます。利用可能なデータ パケットが 60,000 個の場合、成功確率は約 80%、85,000 個の場合、成功確率は約 95% です。Wi -Fi 認証解除攻撃やARP再注入などのアクティブな手法を使用すると、良好な条件下では 1 分未満で 40,000 パケットをキャプチャできます。実際の計算には、Pentium-M 1.7 GHz で約 3 秒と 3 MB のメイン メモリが必要で、さらに低速の CPU を搭載したデバイス向けに最適化することもできます。同じ攻撃を 40 ビットのキーに使用すると、成功確率がさらに高くなります。

2008年にPCI SSC（Payment Card Industry Security Standards Council ）はデータセキュリティ標準（DSS）を更新し、2010年6月30日以降にクレジットカード処理の一部としてWEPを使用することを禁止し、2009年3月31日以降にWEPを使用する新しいシステムのインストールを禁止しました。WEPの使用はTJ Maxx親会社のネットワーク侵入の一因となりました。^[18]

Caffe Latte 攻撃は WEP を破る別の方法です。このエクスプロイトを使用するには、攻撃者がネットワークのエリア内にいる必要はありません。Windowsワイヤレススタックをターゲットとするプロセスを使用することで、リモート クライアントから WEP キーを取得できます。^{[19]暗号化された}ARP要求を大量に送信することで、攻撃者は 802.11 WEP の共有キー認証とメッセージ変更の欠陥を利用します。攻撃者は ARP 応答を使用して 6 分以内に WEP キーを取得します。^[20]

暗号化されたトンネリング プロトコル(例: IPsec、Secure Shell )を使用すると、安全でないネットワーク上でも安全なデータ転送が可能になります。ただし、ワイヤレス ネットワーク自体のセキュリティを回復することを目的として、WEP の代替手段が開発されています。

WEP のセキュリティ問題に対する推奨される解決策は、WPA2 に切り替えることです。WPAは、WPA2 をサポートできないハードウェアに対する中間的な解決策でした。WPA と WPA2 はどちらも WEP よりもはるかに安全です。^[21] WPA または WPA2 のサポートを追加するには、古い Wi-Fiアクセス ポイントの一部を交換するか、ファームウェアをアップグレードする必要があります。WPA は、新しいハードウェアの即時導入を回避できる、WEP の暫定的なソフトウェア実装可能なソ​​リューションとして設計されました。^[22]ただし、TKIP (WPA の基礎) は設計寿命の終わりに達し、部分的に破損しており、802.11-2012 標準のリリースで正式に廃止されました。^[23]

このWEPの暫定的な強化は、初期の802.11iドラフトの一部に存在していました。これは、 WPAやWPA2を処理できない一部の（すべてではない）ハードウェアに実装可能で、IVとキー値の両方を128ビットに拡張しました。^[8]これにより、重複IVの欠陥が排除され、ブルートフォースキー攻撃が阻止されることが期待されました。

WEP アルゴリズム全体に欠陥があり (IV とキー サイズだけでなく)、さらに修正が必要であることが明らかになったため、WEP2 の名前と元のアルゴリズムは両方とも廃止されました。2 つの拡張キー長は、最終的に WPA のTKIPとなったものに残りました。

WEPplus は WEP+ とも呼ばれ、Agere Systems (旧Lucent Technologiesの子会社) による WEP の独自の拡張機能であり、「弱い IV」を回避することで WEP のセキュリティを強化します。^{[24]これは、ワイヤレス接続の}両端で WEPplus が使用されている場合にのみ完全に有効です。これは簡単に実施できないため、依然として重大な制限となっています。また、必ずしもリプレイ攻撃を防ぐわけではなく、弱い IV に依存しない後の統計的攻撃に対しては効果がありません。

ダイナミック WEP は、802.1x テクノロジーとExtensible Authentication Protocolを組み合わせたものです。ダイナミック WEP は WEP キーを動的に変更します。これは、 3Comなどの複数のベンダーが提供するベンダー固有の機能です。

動的変更のアイデアは TKIP の一部として 802.11i に取り入れられましたが、WEP プロトコル自体には取り入れられませんでした。

• ストリーム暗号攻撃
• ワイヤレスセキュリティ
• Wi-Fi保護アクセス

• 802.11 ワイヤレス セキュリティの進化、Kevin Benton 著、2010 年 4 月 18 日、Wayback Machineで 2016 年 3 月 2 日にアーカイブ