公衆無線 LAN のセキュリティと VPN
今回は総務省が行った公衆無線 LAN に関するセキュリティ意識調査を元ネタにいろいろ書いてみる。
公衆無線LAN利用に関する情報セキュリティ意識調査
調査の目的として2020年の東京オリンピックをにらんだ情報セキュリティの強化があるらしい。 いやぁ，役人ってのはなんでも利権にするんだねい。
調査時期は2014年11月ごろ。 直近1年間に日本（東京都，神奈川県，千葉県，埼玉県の1都3県）を観光目的で訪れ，かつ自分の端末でインターネット接続をした人（1都3県居住者を除く）が対象で，以下の内訳になっている。
- 公衆無線LAN利用の日本人 200人 ： ふだん携帯端末（スマートフォン・タブレット）で日常的に公衆無線LANを利用している
- 自宅利用の日本人 200人 ： ふだん携帯端末で自宅のみで無線LANを利用している
- 訪日外国人 660人 ： ふだん携帯端末で日常的に公衆無線LANを利用している（アメリカ：214人，イギリス：217人，中国：229人）
上述のページでは総評として
- 観光地で利用するインターネット接続手段として、訪日外国人は半分近く、日本人は8割近くが無料公衆無線LANを選択しており、公衆無線LANは携帯電話回線と並ぶ主要な利用手段となっている。
- 公衆無線LANにおける情報セキュリティ対策について、無料の公衆無線LANであっても、4割近くの利用者が、事業者が対策すべきと考えている。（翻訳：つまり6割程度は利用者が対策すべきと考えている）
- 公衆無線LAN利用時の脅威について半数以上が認知しているが、脅威への対策については実施率が大きく下がり、特に日本人においては半数以上が対策を取っていない。
- アクセスポイントのSSIDや暗号化、SSL通信の確認等の基本的な情報セキュリティ対策について、日本人の実施率が2～3割と極めて低い。
と結んでいる。
「情報セキュリティ対策」について少し補足しておくと，「公衆無線LAN利用時の脅威」として
- 通信の盗聴の懸念
- なりすましの懸念
- 悪意あるAPやサイトへの誘導の懸念
を挙げているが，訪日外国人に比べると日本人の認知度は低く，対策を実施している日本人はさらに少ない。 対策の内容としては
- 接続端末のブラウザやOSのアップデートを行っている
- 接続端末のファイル共有禁止の設定をしている
- 無線LAN利用時のみ接続端末のWi-Fiの設定をONにしている（無線LAN未利用時はOFFにしている）
- 接続する無線LANのSSIDを確認し、知らないアクセスポイントには接続しないようにしている
- 接続するAPの暗号化種類について確認し、その種類によっては、接続をやめたり重要な通信は行わないようにしている
- サイト上で大事な情報を入力する際にはSSLを利用しているサイトであるか確認し、そうでない場合には重要な情報を入力しない
- そもそも無線LANで接続しているときには、盗聴されては困る情報は入力しない
- 無線LANサービスの接続認証時にIDやPWを設定する際には、他のサイトで利用していないものを設定している
と示されており，この中で特に 4, 5, 6, 7 の項目について「公衆無線LAN利用にあたり講じるべき基本的な対策」として注目しているようだ。
またセキュリティに関してはユーザを
- セキュリティ／ユーザビリティともに重視
- ユーザビリティのみ重視
- セキュリティ／ユーザビリティともに重視しない
- セキュリティのみ重視
の四つの群に分けている。 このうち最も割合が多いのは 1 なのだが， 3, 4 の割合が日本人ではほぼ同じで少数派なのが面白い（訪日外国人の場合は 4 は 3 の倍近くいる）。
脅威の認知については，当然ながら 2, 3 の群のほうが低いのだが，ここでも日本人の（訪日外国人と比しての）認知の低さが際立つ。 2 と 3 の比較では訪日外国人では 3 のほうが若干認知度が低いのに対し，日本人では 3 のほうが（2 に比べて）認知度が高いのが面白い。 日本で「ユーザビリティのみ重視」人というのは本気で知らない（知ろうとしない）のだろうか？ この群に対してもっと踏み込んだ調査があると面白いかもしれない。
その無線 LAN セキュリティ対策は正しいですか？
そういえば先日，面白い記事があった。
以下，タイトルだけを列挙する。 詳しくは元記事を見てください（タイトルだけ見て脊髄反射しないように）。
- APは購入時のデフォルト設定のまま運用しても問題はない → 設定の確認と変更をすべき
- WPS、AOSSなどの簡単接続機能は常時オンでよい → 使用時のみオンにした方がよい
- WEP側のSSIDはWPA側と独立しているので、セキュリティ上問題はない → LAN内に侵入されなかったとしても、踏み台にはされうる
- MACアドレス制限をかけているので他人が勝手に接続する心配はない → 接続していればMACアドレスは丸見えであり、かつMACアドレスの偽装は容易
- WPAは古くて危険。WPA2を使うべき → 「WPA」のセキュリティが劣る訳ではない。TKIPとAES（CCMP）の違いを誤解していると思われる
- WPA/WPA2-PSKでAESを使用していれば、パスワードがクラックされることはない → 弱いパスワードなら、認証パケットを入手することによりオフラインでクラックできる
- APのSSIDはデフォルトのものから変更すべき → 現在では無意味。下手な変更はむしろ危険性を増す
- APのSSIDは隠すべき → 隠しても意味はないばかりか、余計なリスクを招く
- 公衆無線LANでも暗号化されていれば安全（公衆無線LANでもWPA2-PSK AESで暗号化されていれば安全） → WEPであれWPAであれ、公衆無線LANでの暗号化は無意味。安全な接続を使うべき
- 公衆無線LAN経由でも、SSLなら問題ない → Cookieが漏れたり改竄される可能性がある
このうち 9 について少し引用すると
公衆無線LANのAPでは、WEPやWPA/WPA2-PSKが使用され、申し込みをするとパスワードが送られてきて接続できるといった運用のものもある。だが、この暗号化は全くの無意味だ。WEPだから、WPAだからという話ではない。有線LANと異なり、APとクライアントの通信は誰でも傍受できる。暗号化されていたとしても、パスワードを知っていれば誰でも復号できる。そして公衆無線LANではそのパスワードは誰でも入手可能だから、暗号化されていないのと同じだ。
無線LANセキュリティ10の誤解（後編）より
これにはいろいろ対策が考えられていて，キャリア系の公衆無線 LAN サービスの場合は認証や鍵配布に PSK（Pre-Shared Key）ではなく認証サーバを用いた EAP（PPP Extensible Authentication Protocol; RFC 3748, 5247, 7057）を使うようになっている。 ケータイを使ったサービスでは SIM を使った EAP-SIM/EAP-AKA で認証を行っている。 また最近では
といったサービスもあるらしい（これなら任意のユーザに対して個別にパスワードを発行できるし，2週間で使い捨てできる）。 しかし無料のサービスや自治体等が運営するフリースポットで EAP など期待するほうが無理な話ではある（暗号化すらしてないサービスもあるしね。とはいえ自治体には頑張ってほしいんだけどねぇ）。
無線 LAN は（有線と比べて）第3者による傍受（無線の場合は「盗聴」ではなく「傍受」というべきだろう。黙ってたって聞こえてしまうのだから）やなりすましを受けやすい。 公衆無線 LAN では更にリスクが跳ね上がる。 それでも公衆無線 LAN を使いたいのであれば VPN を使って武装するしかない。
Virtual Private Network いろいろ
VPN（Virtual Private Network）は物理的な回線・ネットワークの上に構築された仮想的（virtual を仮想的と訳すのは本来は間違いらしいのだが面倒なのでこのまま）なネットワークである。 もともと VPN は拠点間接続や（企業イントラネットなどの）プライベートネットワークに外からアクセスするための手段として使われてきた。 しかし最近は公衆無線 LAN やホテル・サービス用の LAN など内部構成が公開されておらず「安全でない」ネットワークをバイパスするための VPN サービスが台頭してきている。 このへんの話は以前にも書いたので，参考にしていただけると嬉しい。
最近 VPN サービスについて隙を見てちょこちょこ調べているのだが，無料で手軽に使える VPN サービスとして筑波大学の VPN Gate プロジェクトがあるようだ。
このプロジェクトでは世界中で9千台以上の VPN 中継サーバがボランティアで稼働し，無償で利用可能となっている。 また VPN 中継サーバとしてプロジェクトに参加することも可能なようだ。
（以下 3/21 修正）
ただし，このプロジェクトでは VPN 接続ログを最低3ヶ月は保持し必要であれば国内外の捜査機関に開示すると宣言している。 また VPN サーバは誰でも参加することができ，なおかつ VPN サーバを監査・監視する仕組みがない。 VPN サーバの出口ノードはサーバ運営者による盗聴やなりすましを受けやすい（このため VPN サーバやその運営者が信用できることがとても重要である）。 今のところ同プロジェクトに対してそのような疑義が持ち上がったことはないようだが，利用するのであれば注意が必要である（少なくとも常用するサービスではない，サーバへの監視・監査機能があれば手を出しやすいんだけどねぇ）。
もうひとつ， F-Secure の Freedome のようなセキュリティ企業の提供する VPN サービスを利用する方法がある。 ただしこれは有料の場合が多い（Hotspot Shield のように機能限定版を無償で提供している場合もある）。 また技術の詳細が公開されていない場合が多く（F-Secure のような老舗ならある程度は信用できるかもしれないけど）あまりメジャーでない企業のサービスは躊躇するものがある。
最近 TorrentFreak が VPN サービスの比較記事を出している。
この記事では， VPN サービス・プロバイダに「ログをとっているか」とか「決済方法は安全か」などの質問を送り，その回答を掲載している。 この記事に載っているサービス・プロバイダは全て有料で海外拠点ばかりだが，日本に出口ノードがあるものもあり，安全のためにお金を払って構わないという方なら利用する手はあるかも知れない。
（TorrentFreak は友人に紹介してもらったのだが，こういう記事を定期的に出しているらしい。 この記事を見て自分なりにまとめてみようかと思ったのだが，英語不得手なこともあり，途中で断念してしまった。 だれかまとめ記事を作って！）
公衆無線 LAN は便利だが安全な通信手段ではない。 これは肝に銘じておいて欲しい。 でも安全でない通信経路を安全に使う手段はいくつかある。 VPN はそうした手段のうちのひとつで，現在もっとも実効性のある手段でもある。 現在，パソコンに malware 対策ソフトを入れるのが当たり前になっているように，これからは携帯端末に VPN サービスを入れるのが当たり前になってくると思われる。
まずは公衆無線 LAN に関する問題の認知から。 それができたら VPN を含む対策を考えていって欲しい。