WPA2問題についてもう少し調べてみた
こんばんは。昨日からWPA2の脆弱性問題についての様々な情報が流れています。昨日の段階では「とにかくWPA2は危ない！」というような論調で、かなり混乱していた印象があります。中には「WPA2が危ないからWEPで使え！」などという意見が出てきたりもしていました。
クライアント側の対応で解決しそうです
「さて、本当のところはどうなんだろうか？」という疑問が出てきました。一夜明けるとかなり情報が整理されてきたように見受けられました。どうやら、WPA2そのものがダメだというわけではなく、クライアント側（サプリカント）の問題があるようだということも分かってきました。
IPAをはじめとして、多くの情報が流れています
調べてみると、かなり多くのサイトで記事が載っていました。まずはこちら。定番中の定番IPAからです。
悪意の第三者による盗聴の危険性が指摘されています。概略しか記載されていませんが、ユーザ側の対策についても述べられています。こちらにはWindowsに関する記載があります。10月10日（日本時間ですと11日）にパッチが提供されているとあります。11日以降にWindowsアップデートを実行していれば、今回の脆弱性についての影響は受けないとのことです。
回避策としては
の3点が挙がっていました。こちらは「回避策」であって、本質的解決ではありませんが、アップデート対応までのつなぎという考え方でしょうか。
分かりやすかった2つのサイト
両者共にたいへん分かりやすくまとめられていました。今回の一件の概要をざっくりと掴むのにたいへん助かりました。これらの記事を基に理解を深めて行きたいと思います。
ここで注意しておきたいのは以下の点でしょうか。
- パスワード変更は効果がない
- VPNやTLSを使った通信経路の暗号化で回避可能
- 攻撃者は当該Wi-Fi環境に接続出来ること（すぐ近くにいないと不成立）
- ファームウェアやソフトウェアアップデート等のソフト的対応でしのげる
- WEPやWPAに戻るのではなく、WPA2を使い続ける方が安全
- 鍵管理の問題であって、AESの問題ではない
最後の項目は混同しがちですね。WPA2の鍵管理の仕組みの問題であり、暗号化アルゴリズムであるAESの脆弱性ということではないんですよね。
前者のページにありましたが、WPA2で用いられる4ウェイハンドシェイクでのメッセージ3再送→受信により、鍵の再インストール・Nonceのリセットが起きるとのことです。
他のOSの対応は？
IPAでは言及されていませんでしたが、MacOSやiOSについては、次期アップデートで提供されるそうです。
しかし、Androidが曲者なようです。今回の脆弱性の影響をもろに受けそうで、古い機種ですとアップデートによる対応が難しそうです。アップデータが提供されない・メーカー側が対応出来ないということもありそうです。（上記サイトによると、Linuxも危険なようです）
無線APについては、今のところYAMAHAからのアナウンスがありました。こちらです。
FAQ for YAMAHA RT Series / Security
現時点ではWLX402についてのみで、WLX302とWLX202については現在調査中となっていますね。
この話題については引き続きウォッチして行きます。
