最新セキュリティ『WPA3』がスマホ盗聴・ハッキングを防ぐ！ Wi-Fi利用時の注意点も

通信の傍受を防ぐセキュリティプログラム

Wi-FiとはスマホやパソコンとWi-Fiルーターなどのアクセスポイントを結ぶ無線ネットワークのことだ。いまや私たちの生活になくてはならないものといえるが、空中を飛び交う目に見えない通信手段である無線は、悪意あるハッカーなどに傍受されるリスクもある。

そこで、Wi-Fiネットワークを行き来するデータをハッカーによる盗聴から防いできたのがWPAという暗号化方式だ。WPA3というのは、2018年に登場したWi-Fiのセキュリティプログラムの最新版。WPA3は、いわばWi-Fiネットワークの最新の守り神である。

Wi-Fiの規格はWi-Fiアライアンス（Alliance）という世界的な業界団体が定めている。セキュリティについてもこのWi-Fiアライアンスが中心となってその対策を講じており、WPA3もWi-Fiアライアンスが策定したセキュリティ・プログラムだ。では、いったいWPA3がどういう働きをしているのか？それはWi-Fiのセキュリティの歴史から見るとわかりやすい。

最強といわれたWPA2

Wi-Fiというものが登場して間もない1999年に、Wi-Fiのためのセキュリティ手段として用いられたのがWEPというプログラムだった。ところが2001年にはこのWEPの脆弱性（プログラムの弱点）をついた暗号解読法が発見され、もはや安全とはいえなくなった。そこで登場したのが「TKIP（ティーキップ）」という暗号化技術を搭載した2001年のWPAであり、その改良版として2004年に登場したWPA2だった。

ここで暗号とはなにか、ちょっと説明しておこう。ネットのやり取りで使われる暗号とは、暗号をつくるプログラム（手順）と、その暗号を復号（暗号を解読することをいう）するための鍵（文字や数字）からなる。コンピュータを使って暗号をつくるプログラムは、実はその多くが公開されている。だから、その気になれば、誰だって暗号をつくることができる。でも、その暗号を解くために必要な鍵がなければ、その暗号文を解読することはできない。

たとえるとこんな感じ。暗号文が金庫の中に入っている宝物だとして、その金庫の鍵がダイヤル式の番号鍵だったとしよう。とすれば、その金庫を開けるためにはその鍵の番号（数字）が必要だ。つまり、金庫の中に宝物を入れること（暗号化すること）はだれにでもできるが、その金庫の鍵を開けるのは秘密の番号を知っている人だけというわけだ。そして、この番号である数字のケタ数が大きければ大きいほど番号鍵は破られにくいということになる。

発見されたWPA2の脆弱性

WEPはこの鍵のケタ数が短く、しかも推測されやすいという脆弱性があった。一方、WPAやWPA2で使われているTKIPは、通信の途中で頻繁に鍵を変えてしまう。金庫の例でいえば、昨日と今日では番号鍵の数字が変わってしまうようなものだ。つまり、TKIPによって、ハッカーがネットワークへ侵入するのはほぼ不可能となり、これでWi-Fiネットワークは絶対安全だとだれもが考えた。

ところが……。この強力だと思われていたWPA2にも、2017年10月に致命的な脆弱性があることが発見されてしまった。この脆弱性はKRACK（クラック）と名づけられ、世界中の技術者に波紋が広がった。もはやWPA2も安全ではなくなったのだ。そして2018年、そんなWPA2に取って代わるべく生まれたのが、脆弱性を根本から解決し、さらに強固で堅牢になった暗号技術を備えた、このWPA3というわけだ。

WPA3の特徴

では、WPA2とWPA3はどこが違うのか。

クライアント（スマホやパソコンのこと）がWi−Fiルータに接続するとき、まず最初にパスワード認証や暗号鍵の設定などをお互いにおこなうのだが、これをハンドシェイクという。まさに2つのマシンが握手（ハンドシェイク）をするわけだ。WPA2の脆弱性は、このハンドシェイクの段階にあり、ハッカーはここから暗号鍵を盗むことができた。

それを防ぐべく、WPA3は「SAE」というまったく新しい仕組みのハンドシェイクを搭載した。これは楕円曲線暗号という新しい暗号理論に基づいたもので、ハンドシェイクの段階で乱数が混じった数字を送り合い、暗号鍵そのものは送らなくて済むため、暗号鍵が盗まれることがないのだ。また、この仕組みでは、たとえば「123456」などという短くて見破られやすいパスワードだったとしても、パスワードだけではハッカーには暗号を解読することができない。セキュリティ意識が低い人でもWPA3は守ってくれるというわけだ。

Wi−Fiアライアンスによれば、この新しいハンドシェイク技術では、想定されるパスワードを手当たり次第に入れていくハッカーの「辞書攻撃」なども撃退できるという。ほかにもWPA3の企業向け規格では、暗号鍵の長さが192ビットという（普通は長くても100ビット程度）、軍事にも利用できるという暗号強度になっているなど、多くの点で飛躍的な強化が図られたのだ。

WPA3が普及するまでの課題

とはいえ、このWPA3にも課題がある。WPA3が普及するにはWPA3対応のWi-Fiルーターへの転換や、スマホ、パソコンのOS対応が必要で、そのルーターやOSの対応が整うまで、WPA2の環境でWi-Fiを使い続けなければならないのだ。

ただし、攻撃対策も進んでおり、KRACKが見つかって以降、多くの企業や技術者たちが対策を懸命に探し出したことにより、現在では、最新のOSにしたり、ルーターのファームウェアをアップデートすることでKRACK攻撃から通信を守ることができるようになっている。

一方で気をつけなければいけないのが、公衆Wi-Fiだ。街やお店で提供している公衆Wi-Fiネットワークには、WPA2どころか、いまだWEPを搭載している古いWi-Fiルーターを使っているところがある。クレジットカード情報など、大事な個人データを盗まれないためにも、スマホのユーザーならば、以下のことに気をつけてWi-Fiを使うようにしよう。

【公衆Wi-Fiを利用するときの注意点】

・買い物やネットバンキングなどでは、URLが「https」で始まるサイトであることを確認しよう。「https」で始まるサイトは「SSL暗号化通信」で守られているので、Wi-Fiで傍受されても情報を盗まれる可能性が低い。

・URLが「https」ではないサイトで大事な情報をやり取りする必要があるときは、いったんWi-Fiから離脱して、携帯電話回線（モバイルデータ通信）を使ってアクセスしよう。

・使用する際にパスワードを必要としないような公衆フリーWi-Fiネットワークはセキュリティが低いと考え、個人データを必要とするネットのやり取りは絶対にしないこと。

・スマホのOSを常に最新の状態にしておこう。OSのアップデートには最新のセキュリティ対策が盛り込まれていることが多いため、セキュリティの観点では、常に最新にしておくことを推奨する。

日本を含む世界15カ国で行われた意識調査「ノートンWi-Fiリスクレポート」2017年版によれば、フリーWi−Fiが安全だと思っている人は日本が39％で世界最小だったという。これはこれで喜ばしいことだが、一方で、フリーWi−Fiを使ってオンラインバンキングやショッピングをするなど、リスクのある行動をしていた人は71％にも達したという。

フリーWi−Fiの危険性は理解していても、行動は伴っていないというわけだ。たとえWPA3が普及したとしても、すべてのWi−Fi環境が安全になることはあり得ない。サイバー犯罪の餌食にならないためにも、セキュリティへの高い意識は常に忘れずにいよう。

文：太田穣