無線攻撃：Evil Twin、Deauth、Rogue AP

無線ネットワークは信号を物理的な境界内に閉じ込められないため、特に脆弱です。攻撃者は駐車場の車内や隣接するオフィスから攻撃したり、数百メートル離れた場所から長距離指向性アンテナを使ったりできます。Security+で扱われる主な無線攻撃のカテゴリは、evil twin攻撃、認証解除攻撃、不正アクセスポイントです。それぞれ、Wi-Fiクライアントがアクセスポイントを検出し、接続し、信頼する仕組みに存在する異なる弱点を悪用します。

不正アクセスポイントとは、企業ネットワークに接続された認可外の無線APです。物理アクセスを得た攻撃者が設置する場合もあれば、利便性のために善意の従業員が設置する場合もあります。不正APは、攻撃者やマルウェアに内部ネットワークへの無線アクセスポイントを提供し、組織の有線セキュリティ対策を迂回させる可能性があります。Wireless intrusion detection systems（WIDS）と定期的なRFサーベイでは、無線上で検出されたMACアドレスを認可済みAPのインベントリと照合し、不正APを検知します。

evil twinとは、同じSSID（ネットワーク名）をブロードキャストして正規のアクセスポイントになりすます不正APです。既知のSSIDへの自動接続が設定されたクライアントは、攻撃者の信号が強い場合などに、正規APではなくevil twinへ接続することがあります。接続後、攻撃者はMitM攻撃を実行したり、HTTP経由で認証情報を収集したり、暗号化されていないトラフィックを傍受したりできます。evil twin攻撃は、クライアントが本物のAPと偽のAPを区別できないパブリックWi-Fiネットワークに対して特に効果的です。

802.11標準規格には、接続を制御するための管理フレームが含まれており、その中にはクライアントがAPから切断されたことを通知する認証解除フレームがあります。802.11w（Protected Management Frames）がない場合、これらのフレームは認証されないため、誰でも偽造できます。認証解除攻撃では、偽造した認証解除フレームをクライアントに送信し、強制的に切断と再接続を行わせます。攻撃者は、クライアントに4ウェイハンドシェイクを送信させてWPA2を解読したり、より強い信号を持つevil twin APへクライアントを誘導したりするために、認証解除攻撃を利用します。

多くのパブリックWi-Fiネットワークでは、インターネットアクセスを許可する前に、利用規約への同意や認証情報の入力を求めるWebページであるキャプティブポータルを使用します。攻撃者は、クライアントを偽のキャプティブポータルへリダイレクトする不正APを設置し、認証情報を盗み取ったり、マルウェアをインストールしたりできます。キャプティブポータルは通常HTTPSではなくHTTPを使用するため、MitM攻撃を受けやすくなります。WPA3のOWE（Opportunistic Wireless Encryption）は、認証なしの暗号化を提供してオープンネットワークの問題に対処しますが、キャプティブポータルは依然として一般的で危険です。キャプティブポータルを使用するネットワークでは、必ずVPNを使用してください。

企業では、Wireless Intrusion Detection Systems（WIDS）を使ってRF環境を継続的に監視し、evil twin攻撃を検知します。WIDSセンサーは、承認済みリストにないBSSIDで企業のSSIDをブロードキャストしているAPを特定したり、クライアントが認可されていないAPに接続していることを検知したりします。有線ネットワークのデータと相関させることで、不審なAPが実際に内部ネットワークへ接続されたもの（不正AP）なのか、外部にのみ存在するもの（evil twin）なのかを確認できます。Enterprise WLANコントローラー（Cisco、Aruba、Juniper）には、こうした検知を自動化するWIDS機能が組み込まれていることがよくあります。

RF妨害とは、標的ネットワークと同じチャネルで無線周波数信号を意図的に送信し、干渉を引き起こして利用不能にする行為です。実質的には無線DoS攻撃にあたります。妨害電波の送信は、多くの法域で違法となる可能性があります。電子レンジ、ベビーモニター、同じチャネルを使用する近隣ネットワークなどによる意図しない干渉のほうが一般的で、同様の症状を引き起こすことがあります。干渉が長期間続く組織では、RFスペクトラム分析を実施して妨害電波と干渉を区別し、利用可能であれば空いているチャネルまたは5 GHz／6 GHz帯へ移行する必要があります。

802.1Xを使用するWPA2-Enterpriseでは、クライアントがEAP（Extensible Authentication Protocol）を使用してRADIUSサーバーに認証するため、evil twinによる認証情報の窃取を防止できます。クライアントは、認証情報を送信する前にRADIUSサーバーのTLS証明書を検証する必要があります。クライアントがサーバー証明書を検証し、想定されるCAをピン留めするよう設定されていない場合、evil twinが不正なRADIUSサーバーを稼働させ、EAP認証情報を窃取できます。このダウングレードを防ぐには、企業所有デバイスでMDMプロファイルを使用して証明書検証を強制する必要があります。

802.11規格では、接続を終了するために使用される2種類の異なる管理フレームを定義しています。deauthenticationフレームは認証状態を解除する一方、disassociationフレームは認証状態を維持したまま、APのアソシエーションテーブルからクライアントを削除します。802.11wがなければ、どちらのフレームも偽造できます。Security+の受験者は、どちらのフレームも再接続を強制する攻撃ベクトルとして悪用できることを理解しておく必要があります。802.11wの修正版（WPA2ではオプションとして、WPA3では必須として組み込まれています）では、これらのフレームにMessage Integrity Code（MIC）が追加され、偽造を防止します。

無線の技術的なセキュリティ対策は、物理セキュリティによって補完する必要があります。手の届く場所に設置されたAPは、工場出荷時の設定にリセットされ、すべてのセキュリティ設定を回避される可能性があります。ベストプラクティスには、APを施錠された場所や高所に設置すること、改ざん検知ねじやAPセキュリティケージを使用すること、可能な場合はソフトウェアでリセットボタンを無効にすること、APを資産台帳の監査対象に含めることなどがあります。APに電力を供給するPoEスイッチも施錠された配線室に設置し、攻撃者が正規のAPを単に取り外して自分のデバイスを接続できないようにする必要があります。

あらゆる無線攻撃に対抗するには、WPA3またはWPA2-Enterpriseを有効にしてPSKのクラッキングを防止し、PMF（802.11w）を強制してdeauthentication攻撃を阻止し、WIDSを導入してevil twinや不正APを検出し、RADIUS証明書を検証してevil twinによるRADIUS認証情報の窃取を防ぎ、WPSを無効にしてPINの総当たり攻撃を排除します。さらに、役割（企業、ゲスト、IoT）ごとに無線ネットワークを分割し、異なるVLANにマッピングした個別のSSIDを使用します。これらの対策を組み合わせ、多層防御による無線セキュリティ体制を構築してください。

このレッスンでは、rogue APとは有線のセキュリティ対策を回避して企業ネットワークに接続された不正なアクセスポイントであり、evil twinは正規のSSIDになりすましてMitMによってクライアントの通信を傍受すること、そしてdeauthentication攻撃は802.11管理フレームを偽造してクライアントを切断する攻撃であり、WPA3で必須となったProtected Management Frames（802.11w）によって緩和できることを学びました。次は、802.1XとRADIUSを使用するエンタープライズ無線について学びます。