WEP から WPA3 までの暗号方式の違い、PSK 方式とエンタープライズ方式の使い分け、SSID を隠す対策が有効でない理由、偽アクセスポイントへの備えを整理。情報処理安全確保支援士試験での問われ方まで解説します。
無線 LAN の難しさは、通信が壁を越えて届いてしまう点にあります。有線なら、繋ぐには物理的にその場所へ来る必要がありました。無線では、建物の外からでも電波が拾えます。だから「その場にいること」を前提にした守り方が通用しません。暗号化と認証を、通信路の側で成立させる必要があります。
| 方式 | 暗号 | 状態 |
|---|---|---|
| WEP | RC4 | 解読手法が確立。使ってはならない |
| WPA | TKIP | 移行用。既に非推奨 |
| WPA2 | AES（CCMP） | 広く使われている。現行の下限 |
| WPA3 | AES（SAE による鍵交換） | 推奨。総当たりに強く、盗聴にも強い |
WEP が使えなくなった経緯は、暗号の危殆化の代表例としてよく引かれます。設計上の弱点により、十分な量の通信を集めれば鍵を求められてしまう、という状態になりました。方式が新しいうちは安全に見えても、時間が経てば破られる——だから定期的に見直す、という教訓です。
WPA3 で改善された点の一つが、パスワードの推測に対する強さです。WPA2 の事前共有鍵方式では、接続時のやり取りを記録しておけば、後からオフラインでパスワードを試し続けられました。WPA3 の鍵交換（SAE）はこれを防ぎ、さらに、同じパスワードを共有していても利用者ごとに異なる鍵になるため、同じ無線 LAN の利用者どうしで盗聴し合うこともできなくなりました。
事前共有鍵（PSK）方式は、全員が同じパスワードを使います。設定は簡単ですが、退職者が出るたびに全端末で変更しなければならず、誰が接続したかも分かりません。組織で使うなら、利用者ごとに認証するエンタープライズ方式（IEEE 802.1X と認証サーバ）を使います。アカウント単位で許可を取り消せ、接続の記録も残ります。
SSID を隠す（ステルス）、MAC アドレスで接続端末を制限する——どちらも古くから紹介されてきましたが、いずれも決め手にはなりません。SSID は接続する端末との通信の中に現れますし、MAC アドレスは通信を観測すれば分かり、書き換えることもできます。「補助にはなるが、これで守れているとは言えない」という位置づけです。設問では、この誤りを正す形で出ます。
同様に、業務用と来客用のネットワークを同じ機器で提供している場合、SSID を分けただけでは不十分です。互いに到達できないように分離されているかまで確かめます。来客用から業務用のサーバへ届くなら、分けた意味がありません。
正規のものと同じ名前のアクセスポイントを立てられると、端末が自動で繋いでしまうことがあります。繋いだ先が攻撃者の機器なら、通信の内容を見られ、偽のページへ誘導されます。公衆無線 LAN で特に問題になる形です。
守る側の対策は二方向あります。利用者側では、その通信路を信用しない前提を持つこと——重要な通信は VPN を通す、証明書の警告を無視しない。管理者側では、社内に見慣れない機器が電波を出していないか定期的に確かめること、そして相互認証が働く方式（証明書を使うエンタープライズ方式）にしておくことです。相互認証なら、端末側も接続先が正規かを確かめるため、偽物には繋がりません。
設計の段階で見落とされやすいのが、電波の到達範囲です。出力を上げれば繋がりやすくなりますが、その分だけ建物の外からも届きます。必要な範囲を満たす最小の出力に調整し、アクセスポイントの設置場所を建物の中心寄りにする。物理的な配置が、そのまま守りの一部になります。
来客用のネットワークでは、利用できる時間や帯域を絞ることも検討します。常時開放されていると、外部から継続的に接続を試みる足場になります。使う時間帯だけ有効にする、パスワードを定期的に変える、といった運用で、晒される時間そのものを減らせます。
午前Ⅱでは、各方式の暗号アルゴリズム、WPA3 の改善点、802.1X の役割が問われます。午後では、事務所の無線 LAN 構成を示して「設定のどこが問題か」「来客用をどう分けるか」を書かせる形が出ます。「SSID を隠す」「MAC アドレスで制限する」を答えとして書くと点にならないので、暗号方式の更新と利用者ごとの認証を中心に据えます。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。