無線LANのセキュリティに係わる脆弱性の報告に関する解説

RCIS Technical Notices 2009-01 (A)

2009年8月26日 (初版)
2009年8月27日 (第1.1版)

産業技術総合研究所 情報セキュリティ研究センター

無線LANで使われるセキュリティプロトコルのうち,WPA (TKIP) 及びWPA2 (TKIP) に対しては,諸文献で指摘されている理論的な攻撃が成立する可能性があります. 一方,WPA (AES) 及びWPA2 (AES) は設計上,少なくとも現時点で論文等で報告されている攻撃に対しては安全であることも確認しました.

1. 概要

以前より,無線LANのセキュリティ対策について,脆弱性が指摘されているWEPの代替手段としてWPA及びWPA2への移行が推奨されてきました.ところが,最近,WPA及びWPA2に対する攻撃についての発表が学会等でなされ,この件について複数の矛盾した報道もなされるなど,一部において安全性に対する理解に混乱が生じています.そこで,我々は発表された攻撃が成功する可能性と,推奨する対策についてまとめました.

2. 我々の検討

我々のこれまでの研究成果および知見と,2009年8月までに発表されている複数の論文をもとに,我々は現時点でのWPAのセキュリティ状況に関する再評価を行い,WPA (TKIP) 及びWPA2 (TKIP) について,以下に述べる攻撃回避のための対策を施さない場合,諸文献で報告されている攻撃が理論的に成立するという結論を得ました. また,WPA (AES) 及びWPA2 (AES) に対して同一手法が適用できないため,現時点で指摘されている攻撃に対しては安全であるということができます.

表1: 暗号化アルゴリズムと安全性の関係
暗号化アルゴリズム
WPA の版WEPTKIPAES
WPA×要対策
WPA2要対策
表2: TKIP の安全化対策の導入と脆弱性の影響
鍵更新間隔
QoS 機能2分程度に短縮通常
あり・不明
なし
表1・2の凡例:
◎=推奨、○=可、△=リスクの検討を要する
▲=リスクが存在する、×=高いリスクが存在する

但し、検討の前提として、WPA 等で用いる PSK (パスフレーズ) は推測不可能であることとしています。

取るべき対策については次節を,検討の詳細・想定される被害等については,「WPA の脆弱性の報告に関する分析」 (RCIS Technical Notices 2009-01 (B)) をご覧下さい.

3. 運用における対策

まず安全性の前提として、 WPA および WPA2 においてパスフレーズ(PSK)を用いる場合、パスフレーズ(PSK)には 必ず20文字以上の十分に予測困難な文字列を利用することを強く推奨します.

その上で、無線LANにおいてWEP,WPA (TKIP) 及び WPA2 (TKIP) を利用している場合,下記のような対策をお薦めします. 各設定の仕方は,製品へ添付されている取扱説明書をご参照ください.

  1. 可能であれば,安全性の高いWPA (AES) もしくはWPA2 (AES) へ設定を変更してください.
  2. やむをえず TKIP を使い続ける場合,アクセスポイントの暗号化設定のうち「鍵更新間隔」の項目を, 2分(120秒)程度の値に変更して下さい.これにより,指摘されている脆弱性の影響を回避することができます. この変更ができない場合,あるいはこの設定でネットワークが不安定になる場合は, AES 対応機器への更新の検討をお薦めします.
  3. 以上の変更およびAESへの移行ができない場合,攻撃の可能性が存在します. 但し,現時点で WEP に報告されている脆弱性と比較して,現実の計算機環境におけるリスクは比較的小さいと考えられます. 「WPA の脆弱性の報告に関する分析」 (RCIS Technical Notices 2009-01 (B)) (1.1節、3.2.1 節) 等を参考にリスクを検討した上で,WEP と TKIP の選択が可能な環境ではとりあえず TKIP を利用することをお薦めします. また、必要な場合には下記に挙げるような運用上の対策を取ることも,加えてお薦めします.
  4. 機器が WEP にしか対応していない場合,または,性能面などでどうしても WPA に移行できない場合, 無線ネットワークへの侵入・改竄などに高いリスクが存在します.下記に挙げるような運用上の対策を必ず取ることを強く推奨します.

また,脆弱性がある無線環境を用いる場合,次のような運用上の対策を施すことで,一般的にリスクを低減することが出来ます. 上記 4. の場合および 3. でリスクを無視できない場合には,導入を検討してください.

担当著者 (概要編)