公衆Wi-Fiの危険性と安全に使うための具体策

外出先でカフェや駅、空港のフリーWi-Fiにつなぐとき、その回線が安全かどうかを利用者が見分けるのは簡単ではありません。公衆Wi-Fiには家庭の回線とは異なるリスクがありますが、通信の大半がHTTPSで暗号化された現在では、危険の中身も以前とは変わっています。この記事では、公衆Wi-Fiで何が起こりうるのかを機構ごとに分け、現在の実態を踏まえたうえで、一般の利用者が取れる具体策を整理します。

公衆Wi-Fiの盗聴は通信が暗号化されているかで分かれる#

公衆Wi-Fiでまず挙がる脅威が、通信内容を第三者に読み取られる盗聴です。IPAのテクニカルウォッチは、アクセスポイントと端末の間の通信が暗号化されていない場合、第三者が通信データを傍受すると内容を知られてしまうと説明しています。鍵を設定していない開放型のアクセスポイントでは、同じ電波の届く範囲にいる第三者が、やりとりされる無線データをそのまま受信できる状態に置かれます。

暗号化されたアクセスポイントであっても、フリーWi-Fiでは盗聴の余地が残ります。IPAは、接続に必要なSSIDと暗号化キーを不特定多数の利用者で共有するようなフリーWi-Fiでは、第三者が復号に必要な情報を得られるため盗聴される可能性があると指摘しています。共有された同じキーを誰もが知れる運用では、利用者どうしを隔てる強度が弱く、通信開始時のやりとりを捕捉するなどの条件がそろうと、別の利用者に通信を解かれる余地があるという機構です。一方で、WPA3や、オープンなWi-Fiでも利用者ごとに無線を暗号化するEnhanced Open(OWE)に対応した環境では、この前提は変わります。共有キー型のフリーWi-Fiでは安心しきれない、と整理しておくのが安全です。

ここで盗聴の対象になるのは、あくまで端末とアクセスポイントの間の無線区間です。この区間がHTTPSなどでさらに暗号化されていれば、傍受されても内容はそのままでは読めません。次に述べる現在の実態は、この点に深く関わります。

HTTPSの普及で素の盗聴の効きは下がった#

公衆Wi-Fiを語るとき、経路上の盗聴を最大の脅威として強調する説明が長く使われてきました。この前提は、WebサイトとアプリのほとんどがHTTPSで暗号化された現在では、以前ほど当てはまりません。GoogleがChromeの利用統計から公開する透明性レポートでは、読み込まれるページに占めるHTTPSの割合は2020年ごろに9割を超える水準に達し、その後も高い水準で推移しています。

HTTPSで通信していれば、端末とWebサーバの間の内容はアプリケーションの層で暗号化されます。したがって、たとえ無線区間が開放型で傍受されても、攻撃者が受け取るのは暗号化されたデータであり、パスワードやメッセージの本文をそのまま読み取ることはできません。URLの先頭がhttpsであることは、この区間が暗号化されている目印です(かつてはアドレスバーの鍵マークも目印でしたが、Chromeは2023年に鍵アイコンを廃止しており、表示はブラウザによって異なります)。素朴な盗聴の効果が下がったのは、公衆Wi-Fi側の改善ではなく、Web全体の暗号化が進んだ結果である点に注意します。

ただし、これは盗聴がなくなったという意味ではありません。HTTPSに対応していないページや、暗号化を使わない一部のアプリ通信は依然として読み取られる余地があります。さらに、暗号化された通信であっても、どのサイトに接続したかという接続先の情報やパケットの大きさは経路上に残ります。盗聴の脅威は小さくなったものの消えてはおらず、次に述べる別系統のリスクへ攻撃の重心が移ったと捉えるのが正確です。

偽アクセスポイントと偽ログインは暗号化では防げない#

盗聴の効きが下がった一方で、利用者を偽の接続先へ誘い込む手口は、HTTPSの普及とは別の軸のリスクとして残っています。代表が、正規のアクセスポイントになりすます偽アクセスポイント(悪魔の双子、イビルツイン)です。IPAはこれを、第三者が通信内容を窃取する目的で、実在する正規のアクセスポイントと同一のSSIDや暗号化キーを設定したアクセスポイントと定義しています。利用者から見ると正規のものと区別がつかず、接続するとその第三者が通信の経路上に座ることになります。

偽アクセスポイントの危険は、盗聴と同じではありません。経路上に座った攻撃者は、利用者を自分が用意した偽のログインページへ誘導しようとします。ただし、正規サイトがHTTPSとHSTSで守られていれば、攻撃者がその正規ドメインになりすましたページを警告なしに見せることはできません。そのため攻撃者は、接続直後に出る偽のログイン画面(偽キャプティブポータル)や、正規とよく似た別ドメイン、証明書の警告を無視させる誘導といった手口を使います。利用者がそうしたページにIDやパスワード、クレジットカード番号を入力すれば、入力先が攻撃者であるため、通信が暗号化されていてもその情報は攻撃者へ渡ります。暗号化は通信の途中を守る仕組みであって、入力する相手が本物かどうかを保証する仕組みではないという点が、ここでの分かれ目です。

この偽アクセスポイントを成立しやすくするのが、端末の自動接続です。東京都のサイバーセキュリティポータルは、自動接続が以前接続したSSIDへ自動的につなぐ機能であり、SSIDなどの設定が同一であれば偽アクセスポイントであっても自動的に接続されてしまうと注意を促しています。IPAも、過去に接続した正規のアクセスポイントの情報が端末に保存されていると、同じSSIDの悪意あるアクセスポイントを認識した時点で自動的に接続してしまうと説明しています。利用者が画面を操作していなくても、端末が裏で偽の接続先へつながる経路が、ここにあります。

公衆Wi-Fiを安全に使うための具体策#

ここまでの脅威を踏まえると、利用者が取るべき対策は、入口の管理と、入力する情報の管理の二つに整理できます。総務省は公衆Wi-Fi利用時のポイントとして、接続先のアクセスポイントをよく確認すること、通信先のURLがHTTPSであるかを確認すること、端末のソフトウェアを最新の状態にすることを挙げています。これらは、偽の接続先につながない、暗号化されていない区間に重要情報を流さない、既知の弱点を残さないという三つの目的に対応します。

これらのうち、自動接続のオフと提供元の確認は偽アクセスポイントへの備えにあたり、HTTPSの確認と入力情報の限定は盗聴と偽ログインへの備えにあたります。IPAは、暗号化されない区間の盗聴リスクが避けられない状況では、重要な情報の入力をHTTPS対応サイトに限定することが重要だとし、それでも判断が難しい場面ではVPNの利用を推奨しています。重要な操作をそもそも公衆Wi-Fiで行わないという選択が、最も確実な備えになる場面もあります。

VPNが守れる範囲と守れない範囲#

VPNは、公衆Wi-Fiの盗聴対策としてよく挙げられます。IPAは、VPNがインターネットなど不特定多数で利用する回線で、暗号化やトンネリングによって通信経路上の盗聴を防ぐ技術だと説明しています。端末からVPNサーバまでの通信がまとめて暗号化されるため、アクセスポイントの暗号化方式や接続先サイトのHTTPS対応の有無を一つずつ意識しなくても、経路上の盗聴を抑えられます。IPAは、万が一、悪意のあるアクセスポイントに接続してしまった場合の盗聴に対してもVPNが有効だとしています。

一方で、VPNを使えば公衆Wi-Fiが常に安全になるわけではありません。VPNが守るのは端末とVPNサーバの間の経路であり、その先で接続するサイトが本物かどうかは別の問題です。偽のログインページに自分から情報を入力してしまえば、VPNを通していても情報は攻撃者へ渡ります。また、端末がマルウェアに感染している場合や、ダウンロードしたファイルが不正である場合、経路の暗号化はそれらを防ぎません。

VPNを使う際には、VPN事業者そのものへの信頼も前提になります。VPNを経由する通信は、いったんVPN事業者のサーバを通るため、事業者が通信を記録したり覗いたりしない運用であることが前提になります。出所の不明な無料VPNでは、この前提が満たされるとは限りません。VPNは経路上の盗聴と偽アクセスポイント経由の盗み見を抑える有効な手段ですが、接続先の真偽やマルウェア、事業者の信頼という別のリスクには、それぞれ別の備えが必要だと整理しておきます。

公衆Wi-Fiは、危険だから一切使わないと身構える対象ではなく、何が守られて何が守られないかを理解したうえで使う対象です。自動接続をオフにして接続先を自分で選び、HTTPSを確かめ、重要な操作は回線や状況を選ぶ。これらの習慣が、現在の公衆Wi-Fiで現実的に効く備えになります。

盗聴と偽アクセスポイント(悪意のAP)の定義、共有キー型フリーWi-Fiでの盗聴の余地、VPNの守れる範囲については、IPAテクニカルウォッチ「公衆無線LAN利用に係る脅威と対策」(IPA)を参照しました。利用時の確認事項は総務省の案内(総務省)、自動接続による偽アクセスポイントへの接続は東京都のサイバーセキュリティポータル(東京都)を参照しました。HTTPSの普及状況はGoogleの透明性レポート(Google)によります。

あわせて読みたい

VPNの選び方と使うときの注意点。用途別の考え方と誇大広告に惑わされないコツ

あわせて読みたい

暗号化の基礎。共通鍵・公開鍵・ハッシュ・TLSはどう情報を守るのか

あわせて読みたい

家庭用ルーターのセキュリティと買い替えの目安。ファーム更新・初期パスワード・サポート期間で守る