無線LANを安全に使うために

　無線LANのメリットを享受しつつ、セキュリティを高めるにはどうすればよいのだろうか。1つ目の対策ポイントは、不正なデバイスを無線LANアクセスポイント（AP）に接続させないことだ。

　APの種類や準拠する無線LAN規格にもよるが、無線LANの電波はAPの周囲数10メートルの範囲に届く。どれだけの人がAPに接続しているかは目に見えず、例えば壁の向こう側に攻撃者がいて、そこから接続することも可能だ。だから管理者にとって無線LANは管理しにくいだけでなく、攻撃者による不正侵入に気付きにくい。

　教育機関に限らず、無線LANは有線LANを介して、組織内の他のシステムと接続していることが少なくない。そのため無線LANに不正侵入した攻撃者に一定のハッキングスキルがあれば、比較的容易に目的を達成できる。リスクを軽減するには、学習者が接続するネットワークと、教職員が接続する重要な情報が管理されているネットワークを分けることが重要になる。

　ここで重要になるのは「認証」だ。ネットワークにおける認証は、そのネットワークに接続してもよい人やデバイスを判別し、それ以外を不正な接続として接続させない。最も単純な認証手段の1つがID／パスワードだが、攻撃者はID／パスワードを盗めば自由に接続できてしまう。そのためID／パスワード認証だけでは、セキュリティ対策としては心もとない。

　お勧めするのは、LANのユーザーに認証方式を定めた規格である「IEEE 802.1X」を併用することだ。IEEE 802.1XではID／パスワードを使った認証方式だけでなく、「EAP-TLS」「PEAP」といったデジタル証明書を使った認証方式も選択できる。デバイスにデジタル証明書がなければアクセスできない仕組みを構築することが可能だ。盗まれやすいID／パスワードに依存した認証よりも、認証強度の向上が期待できる。重要な情報を扱う無線LANにおいては、デジタル証明書による認証は必須だといえる。

　デジタル証明書に似た認証方式に、デバイスのMACアドレスを事前に登録して、デバイスを識別する「MACアドレス認証」がある。だがMACアドレス認証はお薦めしにくい。理由は簡単で、MACアドレスは詐称できてしまうからだ。昨今発生した大規模な情報漏えい事件でもMAC認証が簡単に破られている。

　MACアドレス認証は、その運用がシンプルで、かつ安価に認証を強化できるので一定の効果はあるし、それなりに普及もしている。だが現在では強固な認証とはいえなくなったのが実際のところだ。

　それ以外にも選択肢は幾つかあるものの、教育機関のシステム認証として運用しやすいのは生体認証だと筆者は考えている。教室や昇降口に生体認証のための機器を置き、あらかじめ登録しておいた指紋や静脈、虹彩などによる認証を経ないと、ネットワークにログインできないようにする。そうすることで、教育機関から許可を得た人しかアクセスできなくなる。生体認証を経ていない人はつまり、教育機関の施設の中にいないはずの人となるはずだ。この仕組みであれば、外部の人がアクセスできず、しかも認証の実施／未実施は一目瞭然となる。運用も非常にしやすい仕組みが出来上がると考えられる。

　2つ目のポイントは、不正なAPを経由したマルウェア感染を防ぐことだ。「野良AP」などと呼ばれる不正なAPは、攻撃者が仕掛けたトラップの可能性が高い。不正なAPにアクセスしたデバイスがマルウェアに感染すると、正規のネットワークに接続したときに、そのマルウェアが悪さをする。このようなリスクに対処するためには、不正なAPに接続させない仕組みを導入することが近道となる。

　デバイスの不正APへの接続を防ぐには、クライアントPCやタブレットにインストールするタイプのモバイルデバイス管理（MDM）製品やアクセス制御製品が必要となる。またIT資産管理製品のエージェントにも同様の機能を有するものもある。こうした製品は機能を限定して価格を抑えていることも多く、デバイス1台当たり数千円程度のコストで導入できるだろう。

　攻撃者による無線LANへの不正なアクセスを防ぐ対策と、攻撃者のトラップに引っ掛からないように機器をマルウェア感染から守る対策という2つの対策ができていれば、攻撃者が好む、つまり攻撃しやすい標的になるリスクを低減できる（図2）。

図2　攻撃者の好むターゲットにならないための対策が不可欠 《クリックで拡大》

　企業と同様、教育機関のシステム構成も千差万別だ。「これさえすれば万全」という都合のよいセキュリティ対策はない。それでも上記のポイントを押さえることは、非常に効果が高いはずだ。

　攻撃者は、明確に特定の情報を狙っている場合を除き、あえて対策が幾重にも施されている箇所を狙うことはまれだ。長期に渡って潜伏して情報を奪い続ける標的型攻撃などの高度な攻撃は、攻撃者の中でもごく一部しかできない。セキュリティ人材は攻撃者側であっても潤沢ではないのだ。そのため一般的な攻撃者は単純に効率を重視し、より脆弱な箇所を狙う。現実世界の空き巣がそうであるように、一定以上の手間暇が掛かるようであれば他の箇所を狙うはずだ。

　現在の脅威には、どんなに高額で高機能なセキュリティ製品であっても、それを導入するだけでは対処できない。常にシステムのセキュリティが無効化、突破されていないかどうかを監視し、管理するセキュリティマネジメントが必須となってきている。ポイントを押さえた対策と、システム全体のセキュリティを保つためのセキュリティマネジメントの組み合わせが、教育機関の不正侵入対策に効果的な対策となるはずだ。