Wi-Fiのセキュリティ基盤を揺るがす「KRACK」とユーザーが受ける影響

ネットの安全
2017.10.20

1990年以前に生まれた人ならば（90年代生まれの方でも）、あらゆるものが有線でつながれていたことを覚えていると思います。電話線、CDプレイヤーのケーブル、そして、もちろんインターネットもケーブルで接続していました。ところが、80年代後半から90年代初頭から、世界が変わり始めます。レジシステムには、WaveLANと呼ばれる新機能が登場しました。1999年までにはWi-Fiアライアンスが形成され、現代の私たちが利用する通信の大半を占めるWi-Fiに、確固たる標準が築かれました。

Wi-Fiは、この現代社会を語る上での決定的な特徴と言えます。カフェではWi-Fi利用可能と謳われ、友人同士でのログインパスワード共有が頻繁に行われています。Wi-Fiがこれほど幅広く普及した理由には（非常に便利というだけでなく）、「Wi-Fi Protected Access（WPA）」と「Wi-Fi Protected Access II（WPA2）」という2つの一般的機能により、比較的高い安全性を確保できることが挙げられます。要するに、データパケットや無線ネットワーク送信周りのセキュリティを大幅に向上させたセキュリティプロトコルを標準仕様として確立させたのです。その結果、傍受されづらい安全なWi-Fiネットワークを形成することができています。

だだし、それは今日で終わりを告げます。サイバーセキュリティ研究者が、解読不能であるべきパスワードやメッセージを含むデータを傍受し、これを解読できる概念実証（「KRACK」）を開発しました。それだけではありません。日曜日にこのニュースを発表したArs Technicaによると、この理論上の脅威は、「ウェブサイトにランサムウェアなどの悪質なコンテンツを投入する」こともできると言います。つまり、場合によっては、信頼性の高いウェブサイトでも、知らずにマルウェアや悪意のあるコンテンツにリンクしてしまう可能性があるのです。

この脆弱性はWi-Fi規格にも対応しているため、ほぼすべてのデバイスが危険にさらされます。ただし、この概念実証攻撃は特定の条件下でなければ成功しないため、少し注意しなければならない点があります。（ちなみに「Proof of Concept：PoC概念実証」とは、元々は机上や調査環境で発見および検証され、今のところ、サイバー犯罪者による悪用は確認されていない、特定の脆弱性を意味する業界用語です。）

まず、この攻撃は、WPAの上位版であるWPA2 Wi-Fiネットワーク規格に影響があることを理解しなければなりません。また、この攻撃は、「four-way handshake」の脆弱性を利用します。「four-way handshake」の概念は難しいのですが、簡単に言うと、ハンドシェイクで共有された特定の鍵を利用し、すべてのデバイスの正当性を確保するものです。例えるなら、秘密結社の扉の向こうに潜入するには、4通りの秘密の握手を知っていなければならない、というようなものです。

KRACKが問題となるのは、本質的に被害者（この場合は、ユーザーではなく、コンピュータ―ですが）を騙し、既に使われている鍵を新しい鍵として再インストールさせるように仕向けることです。攻撃者が知るマシンに、ランダムと思われる数値をリセットする信号を送っているものと思われます。攻撃者は、このようにして、秘密結社（つまり、ユーザーのネットワーク）に侵入することができます。

そう、私が言及した先ほどの警告のためです。この攻撃を成功させるためには、標的とするWi-Fiネットワークの範囲内に入らなければなりません。つまり、ユーザーのネットワークを攻撃するには、しばらくそのユーザーの家の周りにいなければならないということです。可能ですが、あまり現実的ではありません。

また、この攻撃は一部のOS（Windows、Mac OS、Androidなど、お使いのコンピュータ―を起動させるために使われるソフトウェア）に特に大きな影響があるようです。最も危険なOSは、LinuxとAndroidです。さらに、攻撃を発生させるためには、標的のネットワークがしばらく確立された状態でなければなりません（短ければ数秒間以上）。これは、大規模なWi-Fiネットワークが攻撃される可能性があることを意味しています。そして、そこに接続したデバイスも危険にさらされます。

では、このような攻撃から身を守るためには、どうすればいいのでしょうか。大部分は、メーカーやソフトウェア開発会社がこうした脆弱性を修正するためのパッチをリリースするスピードにかかっています。そして、自分の身を守るためにユーザーができることもあります。

•デバイスのソフトウェアを更新する。今後、数週間から数カ月に渡り、携帯電話などのデバイスから、KRACKで判明した脆弱性に対応するための更新プログラムが数多く発行されます。できるだけ早く、これらのアップデートを導入してください。
•ルーターのファームウェアを更新する。無線ネットワークのセキュリティでは、ルーターが極めて重要です。先ほど述べたように、ユーザーの運命はデバイスメーカーやソフトウェア開発会社がいかに早くパッチを作成できるかにかかっています。お使いのデバイスのメーカーのウェブサイトをご覧になり、KRACKパッチの詳細や状況をご確認ください。
•VPNを検討する。仕事用のデバイスを提供されている従業員には、使用すべき仮想プライベートネットワーク（VPN）も与えられていると思います。VPNを使うことで、公衆Wi-Fiネットワーク上のデータのセキュリティと暗号化を強化できます。また、この脆弱性に対するパッチが完成するまでの間、ユーザーのデータを守ってくれます。ですが、KRACKは、ルーターとデバイス間を行き来するデータを狙うため、McAfee Secure Home Platformに搭載されるようなルーター主導型のセキュリティ機能は、お使いの無線デバイスやIoTデバイスを保護できませんのでご注意ください。ルーターを更新しなければ、この問題は改善されません。

また、Twitterで私や@McAfee_Homeをフォローしたり、Facebookで「いいね！」して、常に最新のユーザー脅威やモバイルセキュリティ脅威をご確認ください。

原文：How KRACK Threatens Wi-Fi’s Security Underpinnings and What It Means for You

著者：Gary Davis