エンタープライズ:ニュース 2003/02/27 23:51:00 更新


「危険な無線LAN」と「安全な無線LAN」の境目

2月27日に行われた「マネージド・セキュリティ・ソリューション・セミナー」の中で、NTTコミュニケーションズの大水祐一氏は、すべての無線LANが危険なわけではなく、適切な設定や運用がなされていないルーズな無線LANこそ問題であると指摘した。

「すべての無線LANが危ないわけではない。適切な対策を取ることによって、相応のセキュリティは実現可能だ」――ルーセント・テクノロジーズの主催で2月27日に行われた「マネージド・セキュリティ・ソリューション・セミナー」のセッションにおいて、NTTコミュニケーションズの大水祐一氏はこのように指摘した。

 しばしば「無線LANは危ない」と言われるが、この表現は正しくない。正確には、「“ルーズな”無線LANは危ない」とすべきだ。

 ここでいう“ルーズな無線LAN環境”とは、ESS-IDによるグルーピング機能やMACアドレスの登録、WEPの利用といった基本的な対策をしていなかったり、すべての端末が同一のチャンネルを利用していたり、導入作業を納入業者に任せきりで、その後の定期的な監査も行っていないような環境を指す。システム部門の知らないうちに勝手に設置されたアクセスポイントに至っては、言うまでもない。

 一方で、無線ならではのリスクもある。「セキュリティを考慮した無線LANの設計」と題したセッションの中で、大水氏は、無線LANならではの脅威はいくつかあるが、中でも「物理的に離れた場所から所在を隠して攻撃を実行できる点が、有線LANとの大きな違いだ」と述べた。しかも「記録が残らないため、攻撃者を特定するどころか、攻撃を受けたことすら分からない可能性もある」という。

 ではいったいどうしたら、ルーズではない、安全な無線LAN環境を実現できるのか。

 まず最初のステップは、ESS-IDとMACアドレスの登録、WEPという基本設定からだ。これら3つの手段には、それぞれ問題点が指摘されており、けっして万能ではない。しかし、その限界を踏まえたうえで適切に運用すれば、相応のセキュリティレベルに達せる。例えばWEPならば、64bitなどではなく128bitを採用し、定期的に変更を行う。ESS-IDではビーコンを停止させ、しかも類推の難しいものを設定するべきだと大水氏は述べている。

 別解の1つがIPSecの採用だ。無線LANと有線LANのセグメントの間にVPNゲートウェイを配置することにより、認証と通信の暗号化を実現する。ただこの方法にも限界はあるという。まず、無線LANセグメント側の脆弱性――無線LAN端末どうしはIPSecなしで通信が可能であったり、ニセアクセスポイントによるなり済ましの問題を解決できなかったりといった問題は引き続き残る。そのうえ、エンドユーザーの利便性に、多少なりとも影響を与えずには済まない。

 こうした事情を踏まえると、現時点で最も現実的であり、しかも安全な対策が、IEEE802.1xによる認証の導入だ。「端末認証ではなくユーザー認証を実現でき、しかもWEPキーの動的な生成、定期的な更新が可能なことから、問題はほぼ解消できると期待している」(大水氏)。

 ただ、一口に802.1xといっても、実際には5つの仕様が存在しており、「どれが主流になるのか、見極めはできていない」(大水氏)。そのうえ、クライアント側のサポートも、Windows XPを除けば普及しているとは言いがたい。しかしながら、アクセスポイントやRADIUSサーバでのサポートは広がっており、今後に期待したいところだ。

大事なのは「セキュリティポリシー」

 もう1つ、ルーズではない無線LAN環境を作るために不可欠な要素が残っている。セキュリティポリシーと、それに基づく継続的な取り組みだ。「いろいろと技術について説明してきたが、それよりも大事なのがセキュリティポリシーだ」(大水氏)。

 無線LANを導入するその環境では、いったいどんなユーザーがいて、どのような業務が行われており、どんなトラフィックが流れるのか、そして考え得るリスクにはどういったことがあるかを分析し、それに沿って導入を行い、IT部門の管理下に置く。導入後も定期的に監査を行うとともに、無線LANをめぐる情報を収集し、未知の脆弱性への対処も視野に入れる。こうして見ると何のことはない、セキュリティポリシーを基盤にしたライフサイクル管理と同じことだ。

 こういった同氏の言葉からは、確かに無線LANならではのリスクはいくつか存在するが、無線LANでも有線LANでも、セキュリティ問題と対策の基本に変わりはないということが分かる。

 無線であろうと有線であろうと、100%完全なセキュリティはありえない。特効薬も存在しない。しかもセキュリティは一過性の取り組みではなく、継続的な監査と見直しというステップを繰り返しながら高めていくべきだ。

 例えば有線LAN環境で、完全にリスクを排除できないからといって、その利用を止めることがあるだろうか? 顕在的なリスクと潜在的なリスクを把握し、それに基づいて対策を施し、リスクを許容可能な範囲にまで下げる、というのが一般的なアプローチであるはずだ(守るべき“資産”の価値や内容によっては、イーサネットを引き抜くという判断もあるだろうが)。無線LAN環境でも同じことが言える。今必要なのは、無線LANがもたらすメリットとリスクを冷静に判断し、脅威を減らすためのステップを確実に踏んでいくことではないか――大水氏の説明は、そうしたことまでに思いを至らせる内容だった。

関連リンク
▼ルーセント・テクノロジーズ
▼NTTコミュニケーションズ

[高橋睦美,ITmedia]



Special

- PR -

Special

- PR -