ワイヤレスセキュリティ

ワイヤレスセキュリティとは、Wi-Fiネットワークなどのワイヤレスネットワークを使用して、コンピューターやデータへの不正アクセスや損傷を防ぐことです。この用語は、ネットワークの機密性、整合性、または可用性を損なおうとする敵対者からワイヤレスネットワーク自体を保護することも指します。最も一般的なタイプはWi-Fiセキュリティで、これにはWired Equivalent Privacy (WEP)とWi-Fi Protected Access (WPA)が含まれます。WEPは1997年の古いIEEE 802.11標準です。^[1]これは非常に弱いセキュリティ標準であり、使用するパスワードは、基本的なラップトップコンピューターと広く入手可能なソフトウェアツールを使用すれば、数分で解読されることがよくあります。^[2] WEPは2003年にWEPよりもセキュリティを向上させるための当時の手軽な代替手段であったWPAに置き換えられました。現在の標準はWPA2です。^[3]一部のハードウェアは、ファームウェアのアップグレードまたは交換を行わないとWPA2をサポートできません。WPA2は、256ビットのキーでネットワークを暗号化する暗号化デバイスを使用します。キーが長いほど、WEPよりもセキュリティが向上します。企業では、標準 802.11X に従って、接続デバイスを認証する 証明書ベースのシステムを使用してセキュリティを強化することがよくあります。

2018 年 1 月、Wi-Fi Alliance はWPA2 の代替としてWPA3 を発表しました。認証は 2018 年 6 月に開始され、2020 年 7 月以降、「Wi-Fi CERTIFIED™」ロゴが付いたデバイスでは WPA3 のサポートが必須となっています。

多くのラップトップ コンピュータにはワイヤレス カードがプリインストールされています。移動中にネットワークに接続できることは大きな利点です。ただし、ワイヤレス ネットワークはセキュリティ上の問題に陥りやすい傾向があります。ハッカーはワイヤレス ネットワークに比較的簡単に侵入できることに気付き、ワイヤレス技術を使用して有線ネットワークに侵入することさえあります。そのため、企業が重要なリソースへの不正アクセスを防ぐ効果的なワイヤレス セキュリティ ポリシーを定義することが非常に重要です。^[4] ワイヤレス侵入防止システム(WIPS) またはワイヤレス侵入検知システム(WIDS) は、ワイヤレス セキュリティ ポリシーの適用によく使用されます。

ワイヤレス技術のサービスが普及するにつれ、ワイヤレス技術のユーザーに対するリスクは増大しています。ワイヤレス技術が最初に導入されたとき、危険は比較的少なかったです。ハッカーが新しい技術に飛びつく時間はまだなく、ワイヤレスネットワークは職場で一般的に見られるものではありませんでした。しかし、現在のワイヤレスプロトコルと暗号化方法、およびユーザーと企業のITレベルに存在する不注意と無知に関連するセキュリティリスクは数多くあります。^[5] ワイヤレスアクセスにより、ハッキングの方法ははるかに洗練され革新的になりました。使いやすいWindowsまたはLinuxベースのツールがWeb上で無料で利用できるようになり、ハッキングははるかに簡単でアクセスしやすくなりました。

ワイヤレス アクセス ポイントを導入していない組織の中には、ワイヤレス セキュリティの問題に対処する必要性を感じていないところもあります。In-Stat MDR と META Group は、2005 年に購入が予定されていた企業のラップトップ コンピュータの 95% にワイヤレス カードが搭載されていると推定しています。ワイヤレス ラップトップを企業ネットワークに接続すると、ワイヤレス非対応の組織でも問題が発生する可能性があります。ハッカーは駐車場に待機して、ラップトップやその他のデバイスから情報を収集したり、ワイヤレス カードを搭載したラップトップに侵入して有線ネットワークにアクセスしたりする可能性があります。

オープンで暗号化されていないワイヤレス ネットワークの地理的ネットワーク範囲内にいる人は誰でも、トラフィックを「スニッフィング」、つまりキャプチャして記録し、内部ネットワーク リソースやインターネットに不正にアクセスして、その情報やリソースを使用して破壊行為や違法行為を行うことができます。このようなセキュリティ侵害は、企業ネットワークと家庭ネットワークの両方にとって重要な懸念事項となっています。

ルーターのセキュリティが有効化されていない場合、または所有者が利便性のために無効化している場合は、無料のホットスポットが作成されます。 21 世紀のほとんどのノート PC にはワイヤレス ネットワークが組み込まれているため (Intel「Centrino 」テクノロジを参照)、 PCMCIA カードやUSB ドングルなどのサードパーティ アダプターは必要ありません。 所有者が気付かないうちに、組み込みのワイヤレス ネットワークがデフォルトで有効化されている可能性があり、その場合、ノート PC のアクセス可能性が近くのどのコンピューターにもブロードキャストされます。

Linux、macOS、Microsoft Windowsなどの最新のオペレーティング システムでは、インターネット接続の共有を使用して PC をワイヤレス LAN「ベース ステーション」として設定することが非常に簡単になり、家庭内のすべての PC が「ベース」PC を介してインターネットにアクセスできるようになります。ただし、このようなシステムの設定に固有のセキュリティ問題についてユーザーが知識を持っていない場合、近くにいる他の人が接続にアクセスできてしまうことがよくあります。このような「ピギーバック」は通常、ワイヤレス ネットワーク オペレーターの知らないうちに行われます。侵入したユーザーのコンピューターが近くの安全でないワイヤレス ネットワークを自動的に選択してアクセス ポイントとして使用する場合、 侵入したユーザーの知らないうちに行われることもあります。

ワイヤレスセキュリティはコンピュータセキュリティのもう一つの側面です。組織は不正なアクセスポイントによって引き起こされるセキュリティ侵害^[6]に対して特に脆弱である可能性があります。

従業員がシステムのセキュリティ保護されていないポートにワイヤレス インターフェイスを追加すると、ネットワーク セキュリティが侵害され、機密資料へのアクセスが可能になる可能性があります。 スイッチ構成時に開いているスイッチ ポートを無効にしたり、VLAN 構成でネットワーク アクセスを制限したりするなどの対策を講じて、ネットワークとそこに含まれる情報を保護できますが、このような対策はすべてのネットワーク デバイスに均一に適用する必要があります。

無線通信は産業用マシンツーマシン（M2M）通信に有用である。このような産業用アプリケーションには、多くの場合、特定のセキュリティ要件がある。WLAN、NFC、ZigBeeを考慮した産業用コンテキストにおけるこれらの脆弱性の評価と、その結果得られる脆弱性カタログが利用可能である。^[7]

リンク、機能、データへの不正アクセスのモードは、それぞれのエンティティがプログラム コードを使用するのと同じくらい多様です。このような脅威の完全な範囲のモデルは存在しません。ある程度、予防は既知の攻撃モードと方法、および適用された方法を抑制するための適切な方法に依存します。ただし、新しい操作モードごとに、新しい脅威のオプションが作成されます。したがって、予防には着実な改善が必要です。説明した攻撃モードは、適用される一般的な方法とシナリオのスナップショットにすぎません。

企業ネットワークのセキュリティ境界の侵害は、さまざまな方法や意図から発生する可能性があります。これらの方法の 1 つは、「偶発的な関連付け」と呼ばれます。ユーザーがコンピューターの電源を入れたときに、コンピューターが隣接する会社の重複ネットワークのワイヤレス アクセス ポイントに接続した場合、ユーザーはこれが発生したことに気付かない可能性があります。ただし、会社の機密情報が漏洩し、ある会社から別の会社へのリンクが存在する可能性があるという点で、これはセキュリティ侵害です。これは、ラップトップが有線ネットワークにも接続されている場合に特に当てはまります。

偶発的な接続は、「誤った接続」と呼ばれる無線の脆弱性のケースです。^[8]誤った接続は、偶発的なもの、意図的なもの（たとえば、企業のファイアウォールをバイパスするために行われるもの）のいずれかであり、または無線クライアントを攻撃者の AP に接続するように誘導する意図的な試みの結果である可能性があります。

「悪意のある関連付け」とは、攻撃者がワイヤレス デバイスを、会社のアクセス ポイント (AP) ではなく、自分のラップトップ経由で会社のネットワークに接続するように積極的に仕向けることです。このタイプのラップトップは「ソフト AP」と呼ばれ、サイバー犯罪者がワイヤレス ネットワーク カードを正当なアクセス ポイントのように見せるソフトウェアを実行すると作成されます。泥棒がアクセスできるようになると、パスワードを盗んだり、有線ネットワークに攻撃を仕掛けたり、トロイの木馬を仕掛けたりすることができます。ワイヤレス ネットワークはレイヤー 2 レベルで動作するため、ネットワーク認証や仮想プライベート ネットワーク(VPN) などのレイヤー 3 保護では防ぐことができません。ワイヤレス 802.1X 認証はある程度の保護には役立ちますが、ハッキングに対しては依然として脆弱です。このタイプの攻撃の背後にある目的は、VPNやその他のセキュリティ対策に侵入することではない可能性があります。犯罪者はおそらくレイヤー 2 レベルでクライアントを乗っ取ろうとしているだけです。

アドホックネットワークはセキュリティ上の脅威となる可能性があります。アドホックネットワークは、アクセスポイントを介さないワイヤレスコンピュータ間の [ピアツーピア] ネットワークとして定義されます。これらのタイプのネットワークは通常、保護がほとんどありませんが、暗号化方式を使用してセキュリティを確保できます。^[9]

アドホック ネットワークによってもたらされるセキュリティ ホールは、アドホック ネットワーク自体ではなく、通常は企業環境にある他のネットワークへのブリッジであり、ほとんどのバージョンの Microsoft Windows では、明示的に無効にしない限りこの機能がオンになるという残念なデフォルト設定になっています。そのため、ユーザーは、自分のコンピューターでセキュリティ保護されていないアドホック ネットワークが動作していることに気付かない可能性があります。同時に有線または無線のインフラストラクチャ ネットワークも使用している場合は、セキュリティ保護されていないアドホック接続を介して、セキュリティ保護された組織ネットワークへのブリッジを提供しています。ブリッジには 2 つの形式があります。直接ブリッジでは、ユーザーが実際に 2 つの接続間のブリッジを構成する必要があり、明示的に要求されない限り開始される可能性は低いため、間接ブリッジはユーザーのコンピューター上の共有リソースです。間接ブリッジでは、共有フォルダーやプライベート ネットワーク接続ストレージなど、ユーザーのコンピューターから LAN 接続に共有されるプライベート データが公開される可能性があり、認証された接続またはプライベート接続と認証されていないアドホック ネットワークの区別はありません。これは、オープン/パブリックまたはセキュリティ保護されていないWi-Fiアクセスポイントにすでに知られている脅威ではありませんが、オペレーティングシステムまたはローカル設定が適切に構成されていない場合、ファイアウォールルールが回避される可能性があります。^[10]

個人ネットワークのBluetoothデバイスなどの非伝統的なネットワークはハッキングに対して安全ではなく、セキュリティリスクと見なす必要があります。^[11]バーコードリーダー、ハンドヘルドPDA 、ワイヤレスプリンターやコピー機でさえもセキュリティ保護する必要があります。これらの非伝統的なネットワークは、ラップトップとアクセスポイントに焦点を絞ったIT担当者によって簡単に見落とされる可能性があります。

個人情報の盗難（またはMACスプーフィング）は、ハッカーがネットワークトラフィックを盗聴し、ネットワーク権限を持つコンピュータのMACアドレスを特定できる場合に発生します。ほとんどのワイヤレスシステムでは、特定のMAC IDを持つ承認されたコンピュータのみがネットワークにアクセスして使用できるように、何らかのMACフィルタリングが可能です。ただし、ネットワーク「スニッフィング」機能を備えたプログラムが存在します。これらのプログラムを、ハッカーが望むMACアドレスをコンピュータが持っているように見せかける他のソフトウェアと組み合わせると、^[12]ハッカーは簡単にそのハードルを回避できます。

MAC フィルタリングは、ワイヤレス デバイスが「オフ ザ エア」のときにのみ保護を提供するため、小規模な住宅 (SOHO) ネットワークでのみ有効です。「オン ザ エア」の 802.11 デバイスは、暗号化されていない MAC アドレスを 802.11 ヘッダーで自由に送信し、それを検出するために特別な機器やソフトウェアは必要ありません。802.11 レシーバー (ラップトップとワイヤレス アダプター) とフリーウェアのワイヤレス パケット アナライザーがあれば、範囲内で送信中の 802.11 の MAC アドレスを取得できます。ほとんどのワイヤレス デバイスがアクティブな勤務シフト中ずっと「オン ザ エア」である組織環境では、MAC フィルタリングは、組織のインフラストラクチャへの「偶発的な」または意図しない接続のみを防ぎ、直接的な攻撃を防ぐことはできないため、セキュリティに対する誤った認識しか提供しません。

中間者攻撃者は、ソフト AP (アクセス ポイント)として設定されているコンピュータにログインするようコンピュータを誘導します。これが完了すると、ハッカーは別のワイヤレス カードを介して実際のアクセス ポイントに接続し、透過的なハッキング コンピュータを介して実際のネットワークへのトラフィックが安定して流れるようにします。その後、ハッカーはトラフィックをスニッフィングできます。中間者攻撃の 1 つのタイプは、チャレンジ プロトコルとハンドシェイク プロトコルのセキュリティ上の欠陥を利用して「認証解除攻撃」を実行します。この攻撃により、AP に接続されたコンピュータは接続を切断され、ハッカーのソフト AP に再接続します (ユーザーをモデムから切断するため、イベントの記録から抽出できるパスワードを使用して再度接続する必要があります)。中間者攻撃は、プロセスの複数のステップを自動化する LANjack や AirJack などのソフトウェアによって強化され、以前はある程度のスキルが必要だったものが、今ではスクリプト キディによって実行できるようになりました。 ホットスポットは、これらのネットワークにはほとんどセキュリティがないため、攻撃に対して特に脆弱です。

サービス拒否攻撃( DoS) は、攻撃者が偽のリクエスト、早期の接続成功メッセージ、失敗メッセージ、その他のコマンドなどで、標的の AP (アクセス ポイント) またはネットワークを継続的に攻撃すると発生します。これにより、正当なユーザーがネットワークに接続できなくなり、ネットワークがクラ​​ッシュすることもあります。これらの攻撃は、拡張認証プロトコル(EAP) などのプロトコルの悪用に依存しています。

DoS 攻撃自体は、ネットワークの中断によってデータの流れが妨げられ、実際にはデータが送信されないようにすることで間接的にデータが保護されるため、組織のデータを悪意のある攻撃者にさらすことはほとんどありません。DoS 攻撃を実行する一般的な理由は、ワイヤレス ネットワークの回復を観察することです。この回復中に、すべての初期ハンドシェイク コードがすべてのデバイスによって再送信され、悪意のある攻撃者がこれらのコードを記録し、さまざまなクラッキング ツールを使用してセキュリティの弱点を分析し、それらを利用してシステムに不正にアクセスする機会が与えられます。これは、WEP などの弱い暗号化システムで最も効果的です。このシステムでは、ネットワーク回復中にキャプチャされた「モデル」セキュリティ キーに基づいて、「受け入れられる可能性のある」セキュリティ キーの辞書形式の攻撃を開始できるツールが多数あります。

ネットワーク インジェクション攻撃では、ハッカーはフィルタリングされていないネットワーク トラフィック、具体的には「スパニング ツリー」(802.1D)、OSPF、RIP、HSRPなどのブロードキャスト ネットワーク トラフィックにさらされているアクセス ポイントを悪用します。ハッカーは、ルーター、スイッチ、インテリジェント ハブに影響を及ぼす偽のネットワーク再構成コマンドを注入します。この方法でネットワーク全体がダウンし、すべてのインテリジェント ネットワーク デバイスの再起動や再プログラミングが必要になる場合があります。

Caffe Latte 攻撃はWEPキーを取得する別の方法で、ターゲットネットワークの近くのアクセス ポイントを必要としません。^[13] Caffe Latte 攻撃は、WEP パスワードを保存したクライアントをだまして、ターゲット ネットワークと同じSSIDを持つ悪意のあるアクセス ポイントに接続させることで機能します。クライアントが接続すると、クライアントはARP要求を生成し、悪意のあるアクセス ポイントはそれを使用してキーストリーム データを取得します。次に、悪意のあるアクセス ポイントはクライアントに認証解除パケットを繰り返し送信し、クライアントの接続を切断して再接続し、追加の ARP 要求を送信させます。悪意のあるアクセス ポイントはそれを使用して追加のキーストリーム データを取得します。悪意のあるアクセス ポイントが十分な量のキーストリーム データを収集すると、[aircrack-ng] などのツールを使用して WEP キーを解読できるようになります。

Caffe Latte 攻撃はWindowsワイヤレス スタックに対して実証されましたが、他のオペレーティング システムも脆弱である可能性があります。

この攻撃は、コーヒー一杯を飲むのにかかる6分未満で遠隔地の旅行者からWEPキーを取得することができることから、研究者のヴィヴェック・ラマチャンドランによって「カフェラテ」攻撃と名付けられました。^{[14] [15] [16]}

ワイヤレス ネットワークを保護するには、主に 3 つの方法があります。

• クローズド ネットワーク (ホーム ユーザーや組織など) の場合、最も一般的な方法は、アクセス ポイントでアクセス制限を構成することです。これらの制限には、暗号化やMAC アドレスのチェックが含まれる場合があります。ワイヤレス侵入防止システムを使用して、このネットワーク モデルでワイヤレス LAN セキュリティを提供できます。
• 商用プロバイダー、ホットスポット、および大規模組織の場合、オープンで暗号化されていないが完全に分離されたワイヤレス ネットワークを使用するのが望ましいソリューションであることがよくあります。ユーザーは、最初はインターネットにもローカル ネットワーク リソースにもアクセスできません。商用プロバイダーは通常、すべての Web トラフィックを、支払いや承認を行うキャプティブ ポータルに転送します。別のソリューションとしては、ユーザーにVPN を使用して特権ネットワークに安全に接続するように要求する方法があります。
• ワイヤレス ネットワークは有線ネットワークよりも安全性が低く、多くのオフィスでは侵入者が簡単に訪問して自分のコンピューターを問題なく有線ネットワークに接続し、ネットワークにアクセスできます。また、リモート侵入者がBack Orificeなどのバックドアを通じてネットワークにアクセスできることもよくあります。一般的な解決策の 1 つは、エンドツーエンドの暗号化で、一般に公開すべきではないすべてのリソースに対して独立した認証を行うことです。

無線通信の不正使用を防止したり、無線通信を行うコンピュータやその他のエンティティのデータや機能を保護したりするための既製のシステムはありません。ただし、共通理解に基づいて、講じられた対策全体を最先端技術と見なすための認定システムはあります。認定システムは、ISO/IEC 15408に規定されているように、国際的なコンセンサスです。

ワイヤレス侵入防止システム(WIPS) は、ワイヤレス セキュリティ リスクに対抗する最も堅牢な方法の概念です。^{[17]ただし、このような WIPS は、ソフトウェア パッケージとして実装するための既製のソリューションとしては存在しません。WIPS は通常、既存の}ワイヤレス LANインフラストラクチャへのオーバーレイとして実装されますが、組織内でワイヤレス禁止ポリシーを実施するためにスタンドアロンで展開されることもあります。WIPS はワイヤレス セキュリティにとって非常に重要であると考えられており、2009 年 7 月、Payment Card Industry Security Standards Council は、大規模な組織でのワイヤレス スキャンと保護を自動化するために WIPS を使用することを推奨するPCI DSSのワイヤレス ガイドライン^[18]を発行しました。

ワイヤレス セキュリティ対策にはさまざまな種類があり、その効果や実用性はさまざまです。

無線ネットワークのセキュリティを確保するための単純だが効果のない方法は、SSID（サービスセット識別子）を隠すことです。^[19]これは、ごく軽率な侵入行為以外に対してはほとんど保護を提供しません。

最も単純な手法の 1 つは、既知の、事前に承認された MAC アドレスからのアクセスのみを許可することです。ほとんどのワイヤレス アクセス ポイントには、何らかのタイプのMAC ID フィルタリングが含まれています。ただし、攻撃者は承認されたクライアントの MAC アドレスをスニッフィングして、このアドレスを偽装することができます。

一般的な無線アクセスポイントは、DHCP経由でクライアントにIPアドレスを提供します。クライアントに独自のアドレスを設定するように要求すると、一般的な侵入者や経験の浅い侵入者がネットワークにログオンすることが難しくなりますが、熟練した攻撃者に対する保護はほとんど提供されません。^[19]

IEEE 802.1X は、ワイヤレス LAN に接続するデバイスに対する IEEE 標準の 認証メカニズムです。

有線同等プライバシー（WEP）暗号化規格は、ワイヤレスの元々の暗号化規格でしたが、2004年のWPA2の批准以来、IEEEはこれを「非推奨」と宣言しました。^[20]サポートされていることは多いものの、現代の機器ではデフォルトになることはほとんどありません。

2001年にはすでにそのセキュリティに関する懸念が提起され、^[21] 2005年にはFBIによって劇的に実証されましたが、^[22] 2007年にはTJ MaxxがWEPへの依存が一因となって大規模なセキュリティ侵害があったことを認め、^[23]ペイメントカード業界は2008年になってようやくその使用を禁止し、その後も2010年6月まで既存の使用を許可しました。^[24]

Wi -Fi Protected Access (WPA および WPA2) セキュリティ プロトコルは、WEP の問題に対処するために後に作成されました。辞書に載っている単語や短い文字列などの弱いパスワードを使用すると、WPA および WPA2 は解読される可能性があります。十分に長いランダム パスワード (たとえば、ランダムな 14 文字) またはパスフレーズ(たとえば、ランダムに選択した 5 つの単語)を使用すると、事前共有キーWPA は事実上解読不可能になります。第 2 世代の WPA セキュリティ プロトコル (WPA2) は、 802.11標準の最終IEEE 802.11i修正版に基づいており、 FIPS 140-2準拠の資格があります。これらすべての暗号化方式により、ネットワーク内のキーを知っているクライアントは、すべてのトラフィックを読み取ることができます。

Wi-Fi Protected Access (WPA) は、WEP のソフトウェア/ファームウェアの改良版です。WEP で動作する通常の WLAN 機器はすべて簡単にアップグレードでき、新しい機器を購入する必要はありません。WPA は、IEEE 802.11によってWEP に代わるものとして開発された、802.11iセキュリティ標準の簡略版です。TKIP 暗号化アルゴリズムは、WPA 用に開発され、WEP を改良して、既存の 802.11 デバイスのファームウェアアップグレードとして適用できるようにしました。WPA プロファイルは、802.11i および WPA2 で推奨されるアルゴリズムである AES-CCMPアルゴリズムのオプション サポートも提供します。

WPA Enterprise は、 802.1X を使用したRADIUSベースの認証を提供します。WPA Personal は、事前共有共有キー ( PSK ) を使用して、8 ～ 63 文字のパスフレーズでセキュリティを確立します。PSK は、64 文字の 16 進文字列として入力することもできます。弱い PSK パスフレーズは、クライアントが認証解除後に再接続したときに 4 方向の交換でメッセージをキャプチャすることにより、オフライン辞書攻撃を使用して破ることができます。aircrack -ngなどのワイヤレス スイートを使用すると、1 分未満で弱いパスフレーズを解読できます。その他の WEP/WPA クラッカーには、AirSnort やAuditor Security Collectionがあります。^[25]それでも、WPA Personal は、「適切な」パスフレーズまたは完全な 64 文字の 16 進キーを使用すれば安全です。

しかし、Erik Tews (WEP に対するフラグメンテーション攻撃を考案した人物) が、2008 年 11 月に東京で開催される PacSec セキュリティ カンファレンスで、WPA TKIP 実装を破る方法を発表し、パケットの暗号を 12 ～ 15 分で解読するという情報がありました。^[26]それでも、この「解読」の発表はメディアによってやや誇張されていました。なぜなら、2009 年 8 月の時点で、WPA に対する最良の攻撃 (Beck-Tews 攻撃) は、短いデータ パケットでしか機能せず、WPA キーを解読できず、機能するには非常に特殊な WPA 実装が必要であるという点で、部分的にしか成功していないからです。^[27]

WPAv1に加えて、TKIP、WIDS、EAPも追加できます。また、VPNネットワーク（非連続の安全なネットワーク接続）を802.11標準で設定することもできます。VPNの実装には、PPTP、L2TP、IPsec、SSHが含まれます。ただし、この追加のセキュリティレイヤーは、PPTPの場合はAnger、Deceit、 Ettercap 、 ^[28] 、IPsec接続の場合はike-scan、IKEProbe、ipsectrace、IKEcrack などのツールで破られる可能性もあります。

これは Temporal Key Integrity Protocol の略で、頭字語はティーキップと発音されます。これは IEEE 802.11i 標準の一部です。TKIP は、再キー生成システムによるパケットごとのキー混合を実装し、メッセージの整合性チェックも提供します。これにより、WEP の問題を回避できます。

IEEE 802.1X 標準に対する WPA の改善により、無線および有線LANへのアクセスの認証と承認がすでに改善されています。これに加えて、拡張認証プロトコル(EAP) などの追加手段により、セキュリティがさらに強化されました。これは、EAP が中央認証サーバーを使用するためです。残念ながら、2002 年にメリーランド州の教授がいくつかの欠点を発見しました^[要出典]。その後数年間で、これらの欠点は TLS の使用やその他の機能強化によって解決されました^[29] 。この新しいバージョンの EAP は現在、Extended EAP と呼ばれ、EAP-MD5、PEAPv0、PEAPv1、EAP-MSCHAPv2、LEAP、EAP-FAST、EAP-TLS、EAP-TTLS、MSCHAPv2、EAP-SIM など、いくつかのバージョンがあります。

EAP バージョンには、LEAP、PEAP、その他の EAP が含まれます。

飛躍

これは、Lightweight Extensible Authentication Protocol の略です。このプロトコルは802.1Xに基づいており、WEP と高度なキー管理システムを使用することで、元のセキュリティ上の欠陥を最小限に抑えます。この EAP バージョンは EAP-MD5 よりも安全です。これも MAC アドレス認証を使用します。LEAP は安全ではありません。THC-LeapCracker を使用すると、Ciscoの LEAP バージョンを破ることができ、辞書攻撃の形でアクセス ポイントに接続されたコンピューターに対して使用できます。最後に、Anwrap と asleap は LEAP を破ることができる他のクラッカーです。^[25]

ピーピー

これは、Protected Extensible Authentication Protocol の略です。このプロトコルにより、証明書サーバーを必要とせずに、データ、パスワード、暗号化キーを安全に転送できます。これは、Cisco、Microsoft、およびRSA Securityによって開発されました。

その他の EAP EAP フレームワークに基づく他の種類の拡張認証プロトコル実装もあります。確立されたフレームワークは、既存の EAP タイプだけでなく将来の認証方法もサポートします。^[30] EAP-TLS は相互認証のため、非常に優れた保護を提供します。クライアントとネットワークの両方が証明書とセッションごとの WEP キーを使用して認証されます。^[31] EAP-FAST も優れた保護を提供します。EAP-TTLS は、Certicom と Funk Software によって作成された別の代替手段です。ユーザーに証明書を配布する必要がないため便利ですが、EAP-TLS よりも保護はわずかに劣ります。^[32]

解決策には、有線ネットワークと無線ネットワークの両方でセキュリティを強化することを約束する、新しい認証システムIEEE 802.1Xが含まれます。このようなテクノロジーを組み込んだ無線アクセス ポイントには、ルーターも組み込まれていることが多く、無線ゲートウェイになります。

レイヤー 2とレイヤー 3 の暗号化方式は、パスワードや個人の電子メールなどの貴重なデータを保護するには不十分であると主張する人もいます。これらのテクノロジは、通信パスの一部にのみ暗号化を追加するため、有線ネットワークに何らかの方法でアクセスした人がトラフィックをスパイすることは依然として可能です。解決策としては、 SSL、SSH、GnuPG、PGPなど のテクノロジを使用して、アプリケーション レイヤーで暗号化と認証を行うことが考えられます。

エンドツーエンド方式の欠点は、すべてのトラフィックをカバーできない可能性があることです。ルーター レベルまたは VPN での暗号化では、単一のスイッチですべてのトラフィック (UDP および DNS ルックアップも含む) が暗号化されます。一方、エンドツーエンド暗号化では、保護する各サービスで暗​​号化を「オン」にする必要があり、多くの場合、すべての接続も個別に「オン」にする必要があります。電子メールを送信するには、すべての受信者が暗号化方式をサポートし、キーを正しく交換する必要があります。Web の場合、すべての Web サイトが https を提供しているわけではなく、提供している場合でも、ブラウザーは IP アドレスをクリア テキストで送信します。

最も貴重なリソースは、多くの場合、インターネットへのアクセスです。このようなアクセスを制限しようとするオフィス LAN 所有者は、各ユーザーにルーターに対して認証を行わせるという、容易ではない強制タスクに直面することになります。

現在 WLAN に実装できる最新かつ最も厳格なセキュリティは、802.11i RSN 標準です。ただし、この本格的な 802.11i 標準 (WPAv2 を使用) では、最新のハードウェア (WPAv1 とは異なります) が必要なため、新しい機器の購入が必要になる可能性があります。必要な新しいハードウェアは、AES-WRAP (802.11i の初期バージョン) またはより新しく優れた AES-CCMP 機器のいずれかです。2 つのハードウェア標準には互換性がないため、WRAP または CCMP 機器のどちらが必要であるか確認する必要があります。

WPA2は、最終的な802.11i規格のWiFi Allianceブランドバージョンです。^[33] WPAに対する主な強化点は、AES-CCMPアルゴリズムが必須機能として含まれていることです。WPAとWPA2はどちらも、RADIUSサーバーと事前共有キー（PSK）を使用したEAP認証方式をサポートしています。

WPAおよびWPA2ネットワークの数は増加しているが、WEPネットワークの数は減少している。^[34]これはWEPのセキュリティ上の脆弱性によるものである。

WPA2 には少なくとも 1 つのセキュリティ脆弱性が発見されており、Hole196 というニックネームが付けられています。この脆弱性は、同じBSSIDのすべてのユーザー間で共有される WPA2 グループ一時キー (GTK) を使用して、同じBSSIDの他のユーザーに対して攻撃を仕掛けます。この脆弱性について説明されている IEEE 802.11i 仕様の 196 ページにちなんで名付けられました。このエクスプロイトを実行するには、攻撃者が GTK を知っている必要があります。^[35]

802.1X とは異なり、802.11i には TKIP などの他のほとんどの追加セキュリティ サービスがすでに備わっています。WPAv1 と同様に、WPAv2 はEAPおよびWIDSと連携して動作する可能性があります。

これは、WLAN 認証およびプライバシー インフラストラクチャの略です。これは、中国政府によって定義されたワイヤレス セキュリティ標準です。

セキュリティトークンの使用は、必要なトークンを所有する許可されたユーザーのみに依存する認証方法です。スマートカードは、カードリーダーを必要とする、認証用の組み込み集積回路チップを使用するカード内の物理トークンです。^[36] USBトークンは、USBポートを介して接続してユーザーを認証する物理トークンです。^[37]

場合によっては、部屋や建物に特殊な壁用塗料や窓用フィルムを塗布して無線信号を大幅に減衰させ、信号が施設外に伝わらない様にすることが実用的である。これにより、ハッカーが駐車場など施設の管理区域外から信号を受信することが困難になるため、無線セキュリティが大幅に向上する。^[38]

ほとんどの DoS 攻撃は簡単に検出できます。ただし、検出後も阻止するのが難しい攻撃も多数あります。ここでは、DoS 攻撃を阻止する最も一般的な 3 つの方法を紹介します。

ブラック ホールは、DoS 攻撃を阻止できる 1 つの方法です。これは、攻撃者からのすべての IP パケットをドロップする状況です。攻撃者はソース アドレスを非常に迅速に変更できるため、これは長期的な戦略としてはあまり適切ではありません。

これを自動で行うと、悪影響が出る可能性があります。攻撃者は、企業パートナーの IP アドレスを使用して、故意に攻撃パケットを偽装する可能性があります。自動化された防御により、そのパートナーからの正当なトラフィックがブロックされ、さ​​らなる問題が発生する可能性があります。

ハンドシェイクの検証には、偽のオープンを作成し、送信者が確認するまでリソースを確保しないことが含まれます。一部のファイアウォールは、TCP ハンドシェイクを事前に検証することで SYN フラッドに対処します。これは、偽のオープンを作成することで行われます。SYN セグメントが到着するたびに、ファイアウォールは SYN セグメントをターゲット サーバーに渡さずに、SYN/ACK セグメントを送り返します。

ファイアウォールが ACK を返した場合 (これは正当な接続でのみ発生します) のみ、ファイアウォールは元の SYN セグメントを本来の宛先であるサーバーに送信します。ファイアウォールは SYN セグメントが到着したときに接続用のリソースを確保しないため、多数の誤った SYN セグメントを処理することはわずかな負担で済みます。

レート制限を使用すると、特定の種類のトラフィックを、適切に処理できる量まで減らすことができます。内部ネットワークへのブロードキャストは引き続き使用できますが、たとえば、制限されたレートでのみ使用できます。これは、より巧妙な DoS 攻撃用です。攻撃が単一のサーバーを狙っている場合は、伝送ラインを少なくとも部分的に他の通信用に開いたままにしておくことができるため、これは有効です。

レート制限は、攻撃者と正当なユーザーの両方を困惑させます。これは役に立ちますが、問題を完全に解決するわけではありません。DoS トラフィックがインターネットへのアクセス ラインを詰まらせると、境界ファイアウォールで状況を改善することはできません。ほとんどの DoS 攻撃はコミュニティの問題であり、コンピューターをボットとして乗っ取って他の企業を攻撃するために使用される ISP や組織の支援によってのみ阻止できます。

802.1Xインターフェースを備えたモバイルデバイスの数が増えるにつれて、そのようなモバイルデバイスのセキュリティが懸念されるようになりました。Kismetなどのオープンスタンダードはラップトップのセキュリティ保護を目的としていますが、^[39]アクセスポイントソリューションはモバイルデバイスもカバーするように拡張する必要があります。802.1Xインターフェースを備えた携帯電話とPDA用のホストベースのソリューション。

モバイル デバイス内のセキュリティは、次の 3 つのカテゴリに分類されます。

1. アドホックネットワークからの保護
2. 不正アクセスポイントへの接続
3. 上で説明したWPA2などの相互認証方式

ワイヤレス IPSソリューションは、モバイル デバイスにワイヤレス セキュリティを提供します。^{[引用が必要]}

モバイル患者モニタリングデバイスは医療業界に不可欠な要素になりつつあり、これらのデバイスは最終的には遠隔地にいる患者の健康診断にアクセスし、実施するための選択肢となるでしょう。これらのタイプの患者モニタリングシステムでは、セキュリティと信頼性が非常に重要です。なぜなら、それらは患者の状態に影響を与える可能性があり、侵害された場合、医療専門家が患者の状態について何も知らないままになる可能性があるからです。^[40]

802.11i を実装するには、まずルーター/アクセス ポイントとすべてのクライアント デバイスの両方がネットワーク暗号化をサポートするように装備されていることを確認する必要があります。これを行うには、RADIUS、ADS、NDS、LDAPなどのサーバーを統合する必要があります。このサーバーは、ローカル ネットワーク上のコンピューター、統合認証サーバーを備えたアクセス ポイント/ルーター、またはリモート サーバーにすることができます。統合認証サーバーを備えた AP/ルーターは、非常に高価な場合が多く、特にホット スポットなどの商用利用向けのオプションです。インターネット経由でホストされる 802.1X サーバーには月額料金が必要です。プライベート サーバーの運用は無料ですが、セットアップが必要で、サーバーを継続的にオンにしておく必要があるという欠点があります。^[41]

サーバーをセットアップするには、サーバー ソフトウェアとクライアント ソフトウェアをインストールする必要があります。必要なサーバー ソフトウェアは、RADIUS、ADS、NDS、LDAP などのエンタープライズ認証サーバーです。必要なソフトウェアは、Microsoft、Cisco、Funk Software、Meetinghouse Data などのさまざまなサプライヤや、いくつかのオープン ソース プロジェクトから選択できます。ソフトウェアには次のものが含まれます。

• Aradial RADIUS サーバー
• Cisco セキュア アクセス コントロール ソフトウェア
• freeRADIUS (オープンソース)
• ファンク ソフトウェア スチール ベルト RADIUS (オデッセイ)
• Microsoftインターネット認証サービス
• 集会所データ EAGIS
• SkyFriendz (freeRADIUS をベースにした無料クラウド ソリューション)

クライアント ソフトウェアは Windows XP に組み込まれており、次のいずれかのソフトウェアを使用して他の OS に統合できます。

• AEGIS クライアント
• Cisco ACU クライアント
• インテル PROSet/Wireless ソフトウェア
• オデッセイクライアント
• Xsupplicant (open1X) プロジェクト

RADIUS (リモート認証ダイヤルイン ユーザー サービス) は、リモート ネットワーク アクセスに使用されるAAA (認証、承認、アカウンティング) プロトコルです。RADIUS は 1991 年に開発され、当初は独自のプロトコルでしたが、1997 年に ISOC 文書 RFC 2138 および RFC 2139 として公開されました。 ^{[42] [43]} その考え方は、ユーザーが事前に決定したユーザー名とパスワードを使用して ID を検証することにより、内部サーバーをゲートキーパーとして機能させることです。RADIUS サーバーは、ユーザー ポリシーと制限を適用したり、課金などの目的で接続時間などのアカウンティング情報を記録するように構成することもできます。

今日、多くの都市部ではワイヤレス ネットワークがほぼ完全にカバーされています。ワイヤレス コミュニティ ネットワーク(インターネットの未来であると考える人もいます^{[誰? ]} ) のインフラストラクチャはすでに整備されています。ノードが一般に公開されていれば、移動しながら常にインターネットに接続できますが、セキュリティ上の懸念から、ほとんどのノードは暗号化されており、ユーザーは暗号化を無効にする方法を知りません。多くの人^{[誰? ]}は、アクセス ポイントを一般に公開して、インターネットに自由にアクセスできるようにすることが適切なエチケットであると考えています。他の人^{[誰? ]}は、デフォルトの暗号化により、自宅の DSL ルーターでも相当な可能性があると懸念されるオープン アクセスの危険に対して、わずかな不便で十分な保護が得られると考えています。

アクセス ポイントの密度も問題になることがあります。利用可能なチャネルの数は限られており、部分的に重複しています。各チャネルは複数のネットワークを処理できますが、プライベート ワイヤレス ネットワークが多数ある場所 (アパートなど) では、Wi-Fi 無線チャネルの数が限られているため、速度低下などの問題が発生する可能性があります。

オープン アクセス ポイントの支持者によると、ワイヤレス ネットワークを一般に公開しても大きなリスクは伴わないはずです。

• ワイヤレス ネットワークは、結局のところ、狭い地理的範囲に限定されます。インターネットに接続されていて不適切な構成やその他のセキュリティ上の問題を抱えているコンピューターは、世界中のどこからでも悪用される可能性がありますが、オープン ワイヤレス アクセス ポイントを悪用できるのは狭い地理的範囲内のクライアントだけです。したがって、オープン ワイヤレス アクセス ポイントの危険性は低く、オープン ワイヤレス ネットワークのリスクは小さいです。ただし、オープン ワイヤレス ルーターはローカル ネットワークへのアクセスを許可し、多くの場合、ファイル共有やプリンターへのアクセスも許可することに注意してください。
• 通信を真に安全に保つ唯一の方法は、エンドツーエンドの暗号化を使用することです。たとえば、インターネット バンクにアクセスする場合、Web ブラウザーから銀行に至るまで、ほぼ常に強力な暗号化が使用されるため、暗号化されていないワイヤレス ネットワークで銀行取引を行うことは危険ではありません。誰でもトラフィックを盗聴できるという議論は、システム管理者やハッカーがリンクにアクセスしてトラフィックを読み取ることができる有線ネットワークにも当てはまります。また、暗号化されたワイヤレス ネットワークのキーを知っている人なら誰でも、ネットワーク経由で転送されるデータにアクセスできます。
• ファイル共有、プリンタへのアクセスなどのサービスがローカル ネット上で利用できる場合は、アクセスするための認証 (パスワードなど) を設定することをお勧めします (プライベート ネットワークは外部からアクセスできないと決して想定しないでください)。正しく設定すれば、外部からのローカル ネットワークへのアクセスを安全に許可できます。
• 現在最も一般的な暗号化アルゴリズムを使用すると、スニファーは通常、数分でネットワーク キーを計算できます。
• トラフィックに対してではなく、インターネット接続に対して毎月固定料金を支払うのが一般的です。そのため、余分なトラフィックによって損害が発生することはありません。
• インターネット接続が豊富で安価な場所では、フリーライダーが大きな迷惑になることはめったにありません。

一方、ドイツを含む一部の国では^[44] 、オープンアクセスポイントを提供する者は、このアクセスポイントを介して行われた違法行為に対して（部分的に）責任を負わされる可能性がある。また、ISPとの契約の多くでは、接続を他の人と共有してはならないと規定されている。

• エアクラック
• 電磁シールド
• 運命
• クラック
• ルーターファームウェアプロジェクトのリスト
• ネットワーク暗号化のクラッキング
• モバイルセキュリティ
• ペイメントカード業界データセキュリティ標準
• ステルス壁紙
• テンペスト（コードネーム）
• 無線侵入防止システム
• ワイヤレス公開鍵インフラストラクチャ(WPKI)
• 無線ネットワークの悪用

• Wi-Foo: ワイヤレスハッキングの秘密(2004) – ISBN 978-0321202178 
• リアル 802.11 セキュリティ: Wi-Fi 保護アクセスと 802.11i (2003) – ISBN 978-0321136206 
• WLAN 認証とセキュリティの設計と実装(2010) – ISBN 978-3838372266 
• 「802.11 ワイヤレス セキュリティの進化」(PDF)。ITFFROC。2010 年 4 月 18 日。
• ボイル、ランドール、パンコ、レイモンド。企業向けコンピュータセキュリティ。ニュージャージー州アッパーサドルリバー。2015年^{[ ISBN不明]}

• 無線ホームネットワークを安全にする方法（wikiHow）