この記事の要点
- 米カリフォルニア大学リバーサイド校などの研究者らが、クライアント分離を突破するAirSnitchを2月に発表した。
- 家庭用・法人用ルーターや大学ネットワークなど、調査した全環境が攻撃で分離を無効化され得るとした。
- ゲストWi-Fiを点検し、クライアント分離だけに依存せず重要通信の扱いを見直す必要がある。
米カリフォルニア大学リバーサイド校などに所属する研究者らは2月、Wi-Fiの「クライアント分離」を突破する攻撃手法を示す論文「AirSnitch: Demystifying and Breaking Client Isolation in Wi-Fi Networks」を発表した。検証では、ルーター「Netgear R8000」で約2秒で中間者攻撃（MitM）を確立できたという。
事案の詳細
論文「AirSnitch: Demystifying and Breaking Client Isolation in Wi-Fi Networks」は、同じWi-Fiネットワーク上の端末同士の直接通信を遮断する「クライアント分離」を突破し得る手法を整理し、実環境での影響を示した研究報告だ。
研究者らは家庭用・法人用ルーターや大学ネットワークなどを調査し、調査したすべての環境が、少なくともいずれかの攻撃によって分離機能を無効化され、通信の盗聴やデータ注入といった脅威にさらされることが判明したとしている。想定されているのは、同じWi-Fiに接続できる攻撃者が、分離を回避して被害者端末の通信に割り込む状況だ。
提示された主な抜け道は3つある。1つ目は、ネットワーク内の全端末へ一斉送信するために共有されている暗号鍵「グループ一時鍵」（GTK）の悪用だ。攻撃者が共通鍵を使い、ルーターからの一斉送信を装ったデータの内部に被害者宛ての個別パケットを埋め込んで送ると、端末がこれを正常な通信として受け入れてしまうという。
2つ目は、ネットワーク階層の連携不足を突く「ゲートウェイ・バウンシング」だ。多くの機器が端末の識別番号（MAC層）での直接通信は遮断する一方、IPアドレス（IP層）での制限を行っていないため、直接の宛先をルーター、最終的な宛先IPアドレスを被害者に指定してデータを送ると、ルーターが踏み台となって被害者へそのまま転送してしまうと説明している。
3つ目は、アクセスポイント（AP）内部のスイッチ機能と暗号化処理のズレを突いた「ポートスティーリング」による通信の横取りだ。現代のAPは周波数帯やメイン用・ゲスト用など用途ごとに複数の接続口（BSSID）を持ち、内部では別々の仮想ポートとして扱われる。攻撃者がゲスト用Wi-Fiなどの別ポートから被害者のMACアドレスを偽装して接続すると、APが被害者が移動したと誤認し、被害者宛ての下り通信を攻撃者側へ転送するようになるという。
研究者らは、特にパスワードのないオープンなゲストWi-Fiでこの手法を行うと、本来は強固に暗号化されているはずの被害者の通信が、暗号化なしで空中に漏えいしてしまうと指摘する。さらに、ルーター自身のMACアドレスを偽装すれば、他の端末からインターネットへ向かう上り通信も奪取できるとしている。
これら通信の横取りとデータの再注入を組み合わせることで、攻撃者は被害者にほとんど気づかれることなく双方向の通信に割り込む中間者攻撃（MitM）を確立できるとされる。実験では、ルーター「Netgear R8000」で約2秒で確立できたという。
実証実験では、ゲストWi-FiからメインWi-Fi上の端末の通信を遅延なく傍受できたほか、企業の有線側にある認証サーバ（RADIUS）の通信を盗聴してパスワードを解読し、ネットワークを乗っ取る偽APを立ち上げて通信や認証情報を傍受できることも確認されたとしている。
影響と背景
研究報告は、クライアント分離が「同じWi-Fi内の端末同士を隔離する」目的で用いられる一方、環境によっては分離が破られ得る点を示した。調査対象には家庭用・法人用ルーターや大学ネットワークが含まれ、少なくともいずれかの攻撃で無効化され、盗聴やデータ注入にさらされると結論付けている。
対策・今後の展望
- ゲストWi-Fiの運用を点検する：オープンなゲストWi-Fiでの「ポートスティーリング」により、暗号化なしで通信が漏えいし得るとされているため、ゲスト用の提供形態を含めた運用の見直しが重要になる。
- 分離を前提にしない設計を検討する：調査したすべての環境がいずれかの攻撃で無効化され得るとされるため、重要通信や認証情報の扱いでは分離だけに依存しない前提が求められる。
- 同一ネットワーク内の盗聴・注入リスクを意識する：論文はMitMの確立や通信傍受、データ注入を示しており、同じWi-Fiにいる第三者を想定したリスク評価が必要になる。
CSRIからのアドバイス
同種の事案では、攻撃者が「同じWi-Fiに接続できる」状況で起きやすい点が要点になる。ゲスト用の無線LANや、端末間通信を遮断する設定を置いたネットワークでも、実装差や設定の抜け道があると影響が広がり得る。
例えるなら、同じ部屋にいる人同士を仕切り板で見えないようにしていても、仕切りの裏側に回り込める通路があると会話を聞かれてしまうようなものだ。つまり「端末同士は直接話せない」はずでも、別の経路で通信が届くと盗聴や差し込みが起こり得る。
まず社内や施設のWi-Fiで、メイン用とゲスト用の分離方法（オープン運用の有無を含む）を確認する。次に、同じWi-Fi上で盗聴やデータ注入が起こり得る前提を担当者に共有し、認証情報など重要な通信の扱いを見直す。
