Wi-Fiルーターを堅牢化する

強力な暗号化を選ぶだけでなく、さまざまな実用的な設定を適用して無線ルーターをhardeningし、攻撃を受けにくくすることができます。Hardeningとは、攻撃者がネットワークに侵入したり悪用したりする経路を減らすことです。このレッスンでは、パスワードからファームウェアまで、管理者がWi-Fiルーターを安全にするために行うべき、試験にも関係する具体的な手順を説明します。

まず基盤となる設定から始めます。WPA3を有効にするか、WPA3を利用できない場合はWPA2 with AESを有効にし、WEPやWPA-TKIPは絶対に使用しないでください。次に、長くランダムなstrong, unique passphraseを設定します。辞書に載っている単語や初期値を使ってはいけません。WPA2であっても、弱いPSKはオフラインで解読される可能性があるため、パスフレーズの品質がネットワークの実際の安全性を直接左右します。

ルーターには、admin/adminのような、モデルごとにオンラインで公開されている、よく知られたデフォルトの管理者ユーザー名とパスワードが設定されています。管理ページに到達した攻撃者は、ルーターを乗っ取ることができます。すぐにデフォルトの管理者認証情報を変更し、強力で固有のパスワードを設定してください。これにより、ユーザーが接続に使うWi-Fiパスフレーズとは別に、ルーターの設定自体を保護できます。

ルーターのfirmwareには、デバイス上で動作するソフトウェアが含まれており、時間の経過とともにセキュリティ修正が提供されます。古いファームウェアには、既知で悪用可能な脆弱性が存在する可能性があります。定期的にファームウェアを更新してこれらの脆弱性を修正し、利用できる場合は自動更新を有効にしてください。ほかの設定が適切でも、パッチ未適用のルーターは格好の標的になるため、ファームウェアを最新に保つことが不可欠です。

WPS（Wi-Fi Protected Setup）を使うと、ボタンを押すか短いPINを入力するだけで接続できます。便利な機能ですが、PIN方式は非常に安全性が低く、攻撃者は8桁のPINを総当たり攻撃してWi-Fiパスワードを取得できます。ベストプラクティスはWPSを無効にすることです。特にPIN機能を無効にすることで、強力なパスフレーズを迂回する簡単な攻撃経路を取り除けます。

訪問者用に独立したguest networkを設定します。ゲストにインターネットアクセスを提供しながら、メインネットワークのデバイスから分離できるため、ゲストがコンピューター、プリンター、共有ファイルにアクセスできなくなります。この分離によって、侵害されたゲストデバイスの影響も封じ込められます。独自のパスワードを設定したゲストネットワークは、信頼できないユーザーによるリスクを簡単かつ効果的に制限する方法です。

SSID（ネットワーク名）についても検討してください。攻撃者の手がかりになる可能性があるため、個人情報やルーターのモデルが分かる名前は避けます。SSIDを非表示にする（ブロードキャストしない）方法が勧められることもありますが、実際のセキュリティ効果はほとんどありません。名前は依然として検出できますし、接続が複雑になることもあります。名前を隠すよりも、強力な暗号化のほうがはるかに重要です。

MAC filteringを使うと、一覧に登録されたデバイスのハードウェアアドレスだけが接続できるようになります。一見安全そうですが、保護効果は限定的です。攻撃者は有効なMACアドレスを傍受すれば、簡単に偽装できます。また、管理の手間が増えることもあります。MACフィルタリングは、よくても小さな障壁にすぎないと考え、強力な暗号化や認証の代わりには決してしないでください。

ここまでの内容をチェックリストにまとめます。以下のスニペットには、特に重要な手順がまとめられています。これらを組み合わせて実施すると、無線ネットワークの攻撃対象領域を大幅に縮小できます。特に効果が大きいのは、強力なパスフレーズを使った強力な暗号化、管理者認証情報の変更、ファームウェアの更新、WPSの無効化です。そのほかの対策も多層防御として役立ちます。

多くのルーターにはremote management機能があり、インターネット経由で管理ページにアクセスできます。便利な反面、世界中の攻撃者がスキャンできる状態になり、ルーターのログイン画面がさらされます。本当に必要でない限り、リモート管理を無効にすることで、管理インターフェイスに自分のネットワーク内部からのみアクセスできるようにしてください。また、必要がなければUPnPなど、使用していないほかのサービスも無効にして、攻撃対象領域をさらに縮小します。

Hardeningによって、初期状態の脆弱なルーターを、はるかに攻撃しにくい標的に変えられます。WPA3 or WPA2-AESとstrong passphraseを使用し、デフォルトの管理者認証情報を変更し、ファームウェアを更新し、WPSを無効にして、ゲストネットワークを追加してください。MACフィルタリングと非表示のSSIDによる効果は限定的であることも覚えておきましょう。これらを組み合わせることが、無線ネットワークを安全にするための実用的で、試験でも問われる方法です。

セキュリティ強化に関する知識を確認しましょう。

Wi-Fiルーターは、多層的な対策でセキュリティを強化します。WPA3 or WPA2-AESとstrong, unique passphraseを有効にし、デフォルトの管理者認証情報を変更し、定期的にファームウェアを更新し、WPSを無効にし（PINは総当たり攻撃が可能です）、分離されたゲストネットワークを追加します。MAC filtering（偽装可能）とSSIDの非表示によるセキュリティ向上は限定的です。特に効果が大きいのは、強力な暗号化、強力なパスフレーズ、パッチ適用済みのファームウェア、WPSの無効化です。