iPhoneから野良APにアクセスで個人情報が漏えい

　さて、前回の「自分しか知らないはずの暗証番号が使われた」はいかがだったでしょうか。暗証番号やパスワードは、利便性とセキュリティのトレードオフという一面も確かにありますが、イチかゼロかで考えるのではなく各々の情報の大事さを踏まえて設定すべきではないかと思います。今回は「普段の行動」に潜むリスクの第2弾として、Wi-Fiに関するお話です。

●無線LANで個人情報がのぞかれる？

　Aさんは、いわゆる新しモノ好きな会社員です。ブランド小物やデジタル家電、新作スイーツなどいろいろなジャンルの新製品が出るたびに雑誌やインターネットでチェックをしています。気になったものは店頭でチェック、そんな時間がとても幸せです。時間が過ぎるのを忘れて帰宅が遅くなり、奥さんに怒られることもしばしば。独身時代のように簡単にモノを購入できなくなったのがちょっとだけ不満です。

　そんなAさんは、iPhoneが気になって仕方がなかったのですが、決して安くない買い物でもあり、なかなか購入には踏み切れませんでした。しかし奥さんは、Aさんの誕生日にiPhoneの購入を許してくれました。Aさんは大喜びで奥さんとショップに向かい、ついに念願のiPhoneをゲットしました。

　こうしてAさんはiPhoneのある生活を謳歌していたのですが、街中のあちこちで「Wi-Fiネットワークを選択」というポップアップが出てくるのが気になっていました。公衆無線LANサービスを契約していないAさんは、外出先の無線LANについてはiPhoneユーザー向けに提供されている「BBモバイルポイント」以外はいっさい使えないと考えていたため、そのポップアップが出るたびにキャンセルボタンを押していました。

　駅構内やホテル、飲食店など、街中のさまざまなところにアクセスポイント（AP）と呼ばれる無線LAN（いわゆる公衆無線LAN）を利用できるエリアが広がっています。Aさんはある日、いつものように表示された「Wi-Fiネットワークを選択」というポップアップのリスト中に、鍵のアイコンが付いていないAPが表示されていることに気付きました。いたずら心でそのAPを選んでみたところ、何事もなかったかのようにインターネットに接続できてしまいました。

　友人にそのことを話してみると、その友人は「それは野良APというヤツで、タダで使えるんだ」と教えてくれました。それ以来Aさんは、通勤経路などでそうした鍵アイコンのないAPを見つけては接続するようになりました。

　それからしばらく経って、iPhoneのメールアドレスに覚えのない請求や、アダルトサイトなどから、いわゆる迷惑メールの類がものすごくたくさん送られてくるようになりました。無作為に送ってきているにしては数も多く、また、中には自分の情報をある程度知っているかのようなメールも見受けられました。気味が悪くなったAさんは友人にそのことを相談しましたが、たまたまそういう文面だっただけだろう、重く考えるなとアドバイスされました。

　数日は気にしないように努めたものの、どうしても気になったAさんはいろいろと自分で調べてみました。すると、いわゆる野良APの中にはわざとセキュリティをかけずに設置して、罠に引っかかって接続してきた人の通信内容を盗み見ているモノがある、といった情報を発見しました。

　怖くなったAさんはすぐにiPhoneを初期化し、メールアドレスも変え、Wi-Fi機能も無効にしたのですが、恐怖心から外出先でiPhoneを使うことを躊躇するようになり、最終的には普通のケータイに戻すことにしました。以来Aさんは、インターネットを使うこと自体が怖くなり、大好きだった通販サイトからも遠ざかり、会社以外では、インターネットを使わないようになってしまいました。

●WEPは数秒で解読可能、専用ツールも出回る

　iPhoneの設定で「Wi-Fi」「接続を確認」という項目を有効にした状態で持ち歩いていると、街中のあちこちで「Wi-Fiネットワークを選択」というポップアップが出てくると思います。これは、街中のさまざまなところにある、アクセスポイント（AP）と呼ばれる無線LAN（いわゆる公衆無線LAN）スポットをiPhoneが見つけているということです。

　さて、この無線LANを自宅に導入し、iPhoneに限らず、PCやさまざまなデバイスで無線によるインターネットを楽しんでいる方は多いでしょう。ここでセキュリティ的に問題になるのは、一般的な有線のPCネットワークと異なる部分、すなわち「無線」の部分です。

　有線（ケーブルで物理的につながっている）ネットワークであれば、実際に電気信号が流れるのは物理的につながっている機器間だけですから、物理的なつながりのない外部にその電気信号が伝達されることはありません。しかし、無線ではただ単に電波の到達可能距離の範囲に（＝相手を問わず）データが飛ばされることになります。

　つまり電波の届く範囲内では、受信機さえあれば誰でも受信が可能ということになります。そのため、無線LANを含めた無線通信では、「無線部分のセキュリティ」が必要となり、端末と基地局間の送受信データ（電波として飛ばすデータ）は、たいがいのケースで「暗号化」が施されています。

　無線LANに関しては、かつてはWEP（Wired Equivalent Privacy）と呼ばれる暗号化の方式が主流で、これは現在でも用いられていますが、セキュリティの強度が弱く、比較的簡単に通信の中身が読み取られてしまいます。たとえば2008年に神戸大学の森井昌克教授らが発表した方法では、わずか数秒～数十秒で解読されてしまうほどです。

　さらに、誰でもカンタンにWEPの通信内容を解読できるツールすら存在します。今やWEP方式についてはセキュリティ強度はないに等しい、と言っても過言ではないでしょう。現在ではより強度の高いWPA/WPA2方式といった暗号化が強く推奨されていますが、WPA方式でもWPA-TKIP方式はやはり強度が弱いため、WPA-AES方式か、可能であれば強度の高いWPA2方式を使用することが望ましいでしょう。

　なお、こうした複数の暗号化方式に対応している無線LAN製品でも、デフォルトではWEP方式になっている場合もありますので注意が必要です。また、機器によっては接続設定を自動で行ってくれる機能を持つ機器もありますが、特に古い機種ではWEP方式で設定されてしまうものも多くあります。

●安全に無線LANを利用するために

　それでは、無線LANを使ってインターネットに接続する場合に気を付けるべき点をいくつか挙げていきます。ただし、あまり難しいことは取り上げず、比較的カンタンで「最低限ここだけは気を付けて欲しい」ということだけ紹介します。

1）外出先では「契約していないAP」には接続しない

　公衆無線LANサービスでは、プロバイダーなどがAPを提供しています。これらのプロバイダーと公衆無線LANの利用契約をしていれば、そのプロバイダーがさまざまな場所に設置するAPを利用できるようになります。

　これらのプロバイダーは、すべてのAPに接続する際のESSID（Extended Service Set Identifier：ネットワークの名前のようなもの。利用者的にはログインIDのようなもの考えていい）と鍵（パスワードのようなもの）を発行しているので、複数のAPがすべて同じ設定で利用できます。自分で契約していないAPには絶対に接続しないようにしましょう。

2）WEP方式は利用しない

　前述の公衆無線LANサービスについては、残念ながらWEP方式が主流なのですが、WEP暗号化だけでなく「IEEE 802.1X」というLAN上でユーザーを認証するための技術を利用し、接続後にユーザーIDとパスワードを入力することで、個別の専用鍵を接続のたびに配布し、盗聴されにくくしているプロバイダーもあります。

　公衆無線LANを利用する際は、WPA/WPA2の接続をサポートするサービスを選ぶことを強くオススメしますが、非常に数が少ないこともあり、最低でも上記のIEEE 802.1Xに対応するプロバイダーを選びましょう。また、同じAPに接続している他の端末からの侵入を防ぐために何らかの対策がされているかどうかも、選ぶ際の要チェック項目です。家庭内で無線LANを導入する際も、WEP方式は使わず、WPA-AESもしくはWPA2方式で設定してください。

3）自動接続設定機能の仕様に注意

　自動で接続設定を行う機器の中には、WEP方式で設定するものがありますので、こうした機能を使用する場合は十分注意しましょう。仮にWEP方式でしか接続できない端末を利用したいのであれば、その端末が個人情報などリスクのある重要なデータをやり取りしない（ゲーム機とか）という前提で、そういった端末のみWEP方式で接続し、PCなどそれ以外の端末はWPA-AESもしくはWPA2方式で接続するように設定してください。古い無線LANルーターなどでは同時に複数の方式が設定できないものもありますので、こうした設定をしたい場合は複数方式が同時に利用できるものに買い換えた方が無難です。

　ちなみに新しい製品の中には、WEP方式での接続ではネットワーク内の他の端末には接続できないようになっているものもあります。ただし、WEP方式による接続でもインターネットには接続されますので、こうした機器でも上記の注意は必要です。このような設定が自分でできないようであれば、無線LANに詳しい人に頼むか、もしくは無線LANを利用することはキッパリあきらめて、iPhoneなどのスマートフォンの持ち主であれば、無線は3G通信を利用する方がいいかもしれません。

4）メール設定で暗号化を行う

　メールなど個人情報がやり取りされるアプリケーションでは、その通信を暗号化できるものもあります。たとえばiPhoneでもメールにSSL（Secure Socket Layer：インターネット上で情報を暗号化して送受信する仕組み）を使用できるので、この設定をオンにすることを強く勧めます。

　このほかにもできることはまだまだありますが、少なくとも上記の4点ぐらいは気にした方がいいでしょう。

　ITというのはそもそも人々の利便性を高める、便利な世の中にするための技術なわけです。ユビキタスなどまさにその象徴的な存在ですよね。こうした技術を利用することは自分たちの生活を豊かにしてくれる、素晴らしいことだと思うのですが、その利便性を損なわず、かつ安全に利用することができてこそ、本当に有益な技術と言えるのではないでしょうか。