インストラクター：このレッスンでは､
ワイヤレスネットワークを脅威から守る方法についてお話します｡
ワイヤレス・ネットワークは私たちに多くの利便性を提供してくれるが､
有線ネットワークとは異なり､ ワイヤレス信号の範囲内にいる限り､
スマートフォンやタブレット､ ノートパソコンで接続することができるため､ セキュリティ上のリスクも大きい｡
ネットワークを保護するためには､ デバイスが何に接続しているのかを確認し､
接続後は送信されるデータが暗号化されていることを確認する必要がある｡
今､ 私たちが最初にしたいことは､ ネットワークのセキュリティを高めるために､
私たちが送信しているものはすべて非公開であることを確認することです｡
その方法のひとつが､
事前共有キーと呼ばれるものだ｡
さて､ 事前共有鍵とは､ アクセスポイントとラップトップやスマートフォンのクライアントの両方のエンドポイントが同じ暗号鍵を持つことである｡
一方の側でパスワードを使い､ もう一方でも同じパスワードを使い､
それらが一致すれば､ 同じ事前共有キーを使って暗号化トンネルを作成していることになる｡
しかし､ 事前共有キーを使う場合､
いくつかの問題がある｡
まず､ スケーラビリティが大きな問題になる｡
例えば､ あるオフィスに50人のユーザーがいて､ 全員がワイヤレス・ネットワークに接続しており､
全員が同じ事前共有キーを使っているとしよう｡
しかし､ 明日私が職場に行き､ 従業員の一人を解雇したとしよう｡
さて､ その従業員は事前共有キーを知っている｡
私が事前共有キーを変更しなければならないので､
他の50人の従業員全員に新しいキーが何であるかを伝え､
全員がそれを変更できるようにする必要がある｡
家の玄関の鍵を変えるようなものだ｡
家族が10人いれば､ そのキーのコピーを10部作らなければならない｡
すべての顧客が同じパスワードと同じキーを使っているため､
私たちが変更したり､ 適切なキー管理をしたりするのは本当に難しくなります｡
これが､ 大規模な環境で事前共有キーを使わない大きな理由のひとつだ｡
しかし､ 小規模オフィスや自宅のようなホームオフィス環境､
あるいは従業員10人以下の小規模オフィスであれば､ 事前共有キーを使用することができます｡
さて､ ワイヤレス・セキュリティーについて考えてみると､
これには主に3つの方法がある｡
最初はWEPで､ 次にWPAとWPA2がある｡
WEPとは､ Wired Equivalent
Privacyのことです｡
これは､ 無線LANの最初のバージョンである802で発明されたオリジナルのワイヤレスセキュリティです｡
11.
現在では､ 有線ネットワークと同程度に安全だと主張しているため､
「有線と同等のプライバシー」と呼ばれている｡ WEPは非常に安全性に欠けるプロトコルである｡
さて､ WEPの仕組みは､ 事前共有キーを使うというものだ｡
誰もが同じ鍵を持っており､ それは固定された40ビットの鍵で､
非常に小さく､ 強力なコンピューターを使ってブルートフォース（総当たり）または推測するのが簡単です｡
WEPをより安全なものにするために､
彼らはキーを40ビットから64ビットに､ そして128ビットにアップグレードした｡
さて､ WEPの仕組みは､ 24ビットの初期化ベクトルを使用します｡
これは24個の1と0を並べたもので､ この初期化ベクトルと呼ばれます｡
これは平文で送信され､ これらの初期化ベクトルを十分に捕捉すれば､
実際に暗号化キーをクラックし､ WEPのパスワードに使用した事前共有キーを逆推測することができる｡
実際､ Aircrack NGを使えば､ ほとんどの最新のノートパソコンで2〜3分程度でこの作業ができる｡
さて､ 次に話したいのはWPAだ｡
WPA（Wifi Protected Access）は､
この24ビットの初期化ベクトルの弱点からWEPに取って代わられた｡
これを克服するために､ 彼らはTKIP（Temporal Key Integrity
Protocol）として知られるものを導入した｡
現在TKIPは､ 24ビットの初期化ベクトルを48ビット長の新しいベクトルに置き換えている｡
これによって強度は2倍になったが､ それでも現代のコンピューティングではかなり弱いと考えられている｡
もうひとつは､ RC4（Rivest
Cipher 4）と呼ばれる新しい暗号化タイプを追加したことだ｡
WPAはまた､ デバイスに完全性を持たせ､ 誰も中間者攻撃（man
in middle attack）を行って情報を変更できないようにすることで､
それを実現した｡
そのために､ 彼らはMIC（メッセージ・インテグリティ・チェック）と呼ばれるものを使用した｡
これは､ 送信前にデータをハッシュ化するもので､ そうすることで､
ネットワークを通過する際に､ 転送中にデータが変更されていないことを確認することができる｡
さて､ WPAもこの事前共有キーに欠陥があり､ 新しいキーを非常に素早く送信できることに気づいたため､
WPA内部にエンタープライズ・モードというものを追加した｡
エンタープライズ・モードでは､ 鍵を交換する前にユーザー認証を行い､
クライアントとアクセス・ポイントの間で一時的に新しい鍵を作成することができる｡
これは､ 事前共有キーのスケーラビリティの問題を解決しようとしたが､
結局のところ､ WPAは今日の基準ではまだ弱いと考えられており､
WPA2またはWifi Protected Access
2として知られているより近代的なバージョンに置き換えられている｡
現在では､ WPA2が現在の標準であり､ 802.PSAの一部として作成されたものである｡
11i標準｡
最初に実装されたのはワイヤレスGで､
その後ワイヤレスNとワイヤレスACになった｡
より強力な認証と､ より強力な暗号化と完全性チェックが必要となる｡
完全性のチェックはCCMPを使って行われる｡
さて､ CCMPとは､ Counter Mode with Cipher Blockchaining
Message Authentication Code
Protocolの略で､ 試験のために暗記する必要もなければ､ その意味もわからない｡
覚えておく必要があるのは､ CCMPを見るたびに､ これがWPA2セキュリティの一部であることを考えるべきだということだ｡
2つ目は､ RC4からVES Cipher 4という古い暗号化メカニズムを､
Advanced Encryption
Standard（AES）という新しい暗号化メカニズムに置き換えたことだ｡
現在､ AESは128ビットのキーを使用しており､ 新しいモデルの中には256ビット以上のキーを使用できるものもある｡
これにより､ このワイヤレスネットワークを経由するデータのセキュリティと機密性がさらに高まります｡
この録画の時点では､ AESはまだ解読されていないし､
WPA2もアルゴリズム自体は解読されていない｡
現在､ これらのネットワークをクラックできる唯一の方法はパスワード攻撃であり､
ブルートフォースアタックやディクショナリーアタックを使って可能な限りのオプションを推測し､
パスワードを推測しようとしている｡
ですから､ ネットワークを保護したいのであれば､ しっかりとした､ 長くて強力なパスワードを使うようにしてください｡
WPA2はまた､ 使用するネットワークに応じて2つの異なるモードをサポートしている｡
家庭や小規模なオフィス環境で使用する場合は､
全員が同じパスワードを持つ事前共有キーを使用することになる｡
これはパーソナルモードと呼ばれる｡
もう1つの方法は､ 大規模な環境でエンタープライズ・モードを使用することで､
各ユーザーに固有のユーザー名とパスワードを与え､ ネイティブのWPA2を使用して中央認証サーバーを使用するか､ 801にオフロードすることだ｡
1x認証サーバー｡
試験に向けて､ ワイヤレス・セキュリティについて4つのことを覚えておいてほしい｡
この表にある4つのことを覚えれば､ 素晴らしい結果を残せるだろう｡
まず､ ワイヤレスネットワークに関してオープンという言葉を目にするときはいつでも､
セキュリティも保護もパスワードもないことを意味する｡
WEPと聞いたら､ 初期化ベクターを連想してほしい｡
これがWEPの欠点であり､ テストではこの点について聞くことになる｡
WEPは弱く､ WEPは悪い｡
WEPは初期化ベクターを使用する｡
WPAを見たら､ TKIPとRC4を思い浮かべてほしい｡
TKIPはすべて初期化ベクターを置き換えるために使われ､
RC4はその暗号化形式だったからだ｡
繰り返すが､ WPAは弱いと考えられている｡
次に､ WPA2を見たら､ CCMPとAESの頭文字を思い浮かべるはずだ｡
CCMPはインテグリティ・プロトコルであり､ AESは我々が使用している暗号化メカニズムである｡
これは､ 試験当日のセキュリティのためのワイヤレス質問に答えるための鍵です｡
次に､ MACアドレス・フィルタリングについて少し説明しよう｡
アクセスポイントにACLを設定することで､
これらのアドレスを見て､ 特定のMACアドレスのネットワークへの接続を許可または拒否することができる｡
例えば､ 私のiPhoneがネットワークに接続しようとしても､
認証されていなかったり､ 拒否リストに載っていたりすると､
ハンドシェイクができず､ 通信ができない｡
さて､ Macフィルタリングの問題は､ MACアドレスを変更したり､
なりすましたりすることが実に簡単だという事実にある｡
知識のあるユーザーなら､ 自由に利用できるツールを使ってMacのアドレスを本当に素早く変更することができる｡
これで止められる人もいるだろうが､ 確実ではないし､ すべての人を止められるわけでもない｡
Macのアドレスを変更したい場合､ Windows用のMac Address
Changer､ OSXおよびMACシステム用のMac
Daddy X､ またはLinux用のMac changerのようなツールを使用すると､
これらはすべて本当に使いやすいツールです｡
Macのアドレスは､ あなたにとって大きなプロテクションの源にはならないだろうが､
試験によれば､ ディフェンスとデプス戦略の一部を形成するために使用できるプロテクションである｡
だから､ 現実の世界ではマックのフィルタリングをあまり気にする必要はないが､
試験ではセキュリティ対策として有効だと考えられている｡
次に､ SSIDブロードキャストを無効にすることで､
ネットワークを保護することができます｡
さて､ 試験によれば､ MACフィルタリングと同じように､
これはやっておいたほうがいいことだという｡
しかし現実の世界では､ 隠されたSSIDを見つけるのにそれほど時間はかからない｡
さて､ SSIDとはいったい何だろう？
これはサーバー・セット識別子の略で､
ワイヤレス・ネットワークの実際の名称だ｡
例えば､ スターバックスに行けば､ "Starbucks
Guest "という名前のサーバーがあり､ 私の家に行けば､
"Dion "という名前のサーバーがある｡
そして､
ネットワークを検索すると､ 自分の周りにある名前のリストがすべて表示されますよね？
サーバーセットIDのブロードキャストをオフにすれば､
ブロードキャストされなくなり､ 利用可能なネットワークに表示されなくなります｡
こうすることで､ ユーザーはネットワークに接続するために手動で名前を入力しなければならないので､
実際にそこにあることを知る必要がある｡
さて､ これの問題点は､ 無線侵入技術を使えば､ これらを見つけるのは本当に簡単で､
あなたはまだそれらに接続することができるということだ｡
ブロードキャストを無効にするだけなら､
あまり安全とは言えない｡
しかし､ MACフィルタリングや長く強力なパスワードの設定と組み合わせれば､
セキュリティの層が厚くなり､ より良いセキュリティ態勢を築くことができる｡