「無線LANを勝手に使用しパスワードを改竄した高校生、書類送検される」記事へのコメント

ノーガード戦法

[celtis (33470)]

つい先日も怖い記事を見かけました。
「自宅のWi-Fiをパスワード保護しないと、米SWATが閃光弾を投げて突入してくるよ」
http://www.gizmodo.jp/2012/07/wi-fiswat.html [gizmodo.jp]

ネタ元の動画にはハリウッド映画みたいに突入するシーンが。
これからの無線LAN製品は「暗号化なし」と「WEP」を選べないようにしたほうがいいような気がします。

Re:ノーガード戦法

[Anonymous Coward]

WEP不可にしちゃうとニンテンドーDSが繋げない！！って苦情が殺到するから無理じゃね…

Re:ノーガード戦法

[s02222 (20350)]

DS用にホワイトリスト方式で接続先を限定する機能を持ったルータって出ないのかな。

DSのブラウザからの自由な接続は諦めて貰うとすると、ゲームで繋ぎうるホスト名かIPアドレスは限定されるだろうから、 ルータのメーカ側でホワイトリストを作って、ルータは定期的にそれをダウンロード、WEP接続からのパケットは、そこに乗ってるホスト宛の分だけ通す。

「DS用にサービスを提供してるホスト」→「WEPを介してパケットが飛んでくる前提のサイト」→「全く追跡不可能な誰かからアクセスしまくられる可能性があるサイト」だから、ホワイトリストに載るようなサイトは、そもそも徹底的にセキュアでなきゃならない。何せ、そのサービスを使おうとするユーザは、WEPでノーガードでなきゃならないんだから、メーカ側にはそういうユーザに被害が出ないようサービスを提供する道義的な義務がある。

WEP乗っ取り不正使用者が、不適切な書き込みをしたり不正なメディアデータをアップロードした結果、無辜のWEPユーザの家に捜査令状が下りたらいかんので、そういう使い方は絶対に出来ないようなサービス設計・サーバの運用が必須。ゲームサーバへのDoS攻撃の類に関しては、どんなにやられても訴えを起こさない。

ゲームメーカがそこまでの考えで対策してくれてればありがたいけど、そうなってなくても、最悪、そういう理屈で裁判で争えばなんとかな・・・って欲しい。

と言うような方策を採れば、解決は出来ると思うんだけど、コストとセキュリティ意識のバランスの問題かな。 家にどうしてもDSをネットに繋ぎたい人が居るなら、個人的にはちょっと高くても買っても良いなとは思うんだけど。

# 以上、自分の息子が何としてもDSをネットに繋ぐんだ! と言い出した時にのためにしてた、対策の妄想
# やろうと思えばご家庭で勝手にでも出来るし

Re:ノーガード戦法

[nmaeda (5111)]

家庭で使用する端末なんか、台数が限られているんだから、気になるならMACアドレスで制限しちゃえば良いと思いますが。

ただ、現状の無線LAN APのWebインターフェースでそれを設定するには、ネットワークの基本的な知識が必要だし、面倒なのは事実だから、UIに改善の余地はあると思いますが。

Re:ノーガード戦法

[s02222 (20350)]

いえ、MACアドレス制限は、MACアドレスほ暗号化されず、大抵の機械で自由に勝手に付け替えれるため、ほぼ無意味です。なんでそんな誤解が広がったかという経緯も含めた分かりやすい解説は例えば高木先生のやつ [takagi-hiromitsu.jp]とか。ので、なんか他に個人で可能なその場しのぎはないものかな、と考えた次第です。

手間暇掛けてMACアドレス制限をしている方がを見かけたら、そのネットワークはセキュリティポリシの設計が適切に為されてない可能性があるので、注意喚起差し上げた方が親切と言っても良いレベルかと。

Re:ノーガード戦法

[yohata (11299)]

「本気のセキュリティ」という点では、まさしく無意味な行為だと思いますが。

無線データからMACアドレスを探したり、MACアドレス総当たりでアクセスを仕掛けてくると言うのも、それはそれで手間のかかるお話で。
「何が何でも、そのアクセスポイントに入りたい」と思っている人でない限り、仕掛けてくる物ではないように感じます。

スラドに来るような人の発想として「破られる可能性のあるセキュリティなんか、付ける意味がない」と考えるのも、もっともな話ですが。
セキュリティというものは、１か０かと言う物では無いように感じます。

使い勝手にさして影響することなく、攻め手に「メンドくさいから、こいつの所はやめとくか」と思わせる程度の工夫、そんな「個人宅のちょっとしたセキュリティ」としては、MACアドレス制限もアリなんじゃないでしょうか。

Re:ノーガード戦法

[s02222 (20350)]

いえ、MACアドレス偽装も含めてボタン一つで出来るツールが広く出回ってるらしいですから、「WEPを破って人の家の無線LANを勝手に使おう」とする人は、大抵の場合、MACアドレス偽装も仕掛けてくる事になります。

頑張ってWEPを破って、別途MACアドレス偽装をして・・・という手間をかけるのは、自分で原理を調べて自分で実践てみたいというような意識の高いハッカーの卵のいたずらぐらいでしょう。単に無線LANにタダ乗りしたい人はそんな手間をかけません。

ですので、「なんちゃってセキュリティ」で考えても、MACアドレスフィルタリングは手間に見合う効果は無いです。 WEPの上にMACアドレスフィルタリングをかけるのは、例えば、ペンチで簡単に壊せる南京錠(WEP)だけだと安心できないからと、その上から荷物紐でくくりつける(MACフィルタリング)のようなもので、南京錠ぐらいなら壊して侵入してやろうと言う空き巣は、どっちみち紐もぴっと切っちゃいます。

Re:ノーガード戦法

[shibuya (17159)]

都市部の防犯みたいに

　隣近所に声掛け合って: 相互に野良APにならないように監視し合う
　警備会社と契約: 勝手に使われたら通報するようISPまたはそれとは別の監視サービス会社に委ねる
　戸締まり鍵やガラス破りしにくくする: 安くない構成になるんだろうなあ

みたいな喩えで議論するのはこのケースではふさわしくないか。

Re:ノーガード戦法

[deleted user (18918)]

そこまで懸念されるようでしたら、子供がネットにつなぎたいとせがんできたら3DSでもDSiでも買ってあげた方が人的コストも含めてトータルコストを安くかつセキュアにできる気がします。

Re:ノーガード戦法

[s02222 (20350)]

基本的にその方針で良いと思いますが、若干の罠があって、コチラのコメント [srad.jp]にもあるように、ハードウェアがDSiでも3DSでも、DSのソフトで通信対戦をする場合は、DSなりのネットワーク設定(要するにWEP以下)で繋いでおかなければならないという制約があります。

ですので、せがんできたソフトがDS版しか無いような古い物だと、そのソフトでネット対戦をやるのを諦めるよう諭してあげたうえで、DSiや3DSソフトを買って上げる必要もあります。

多分、上手いこと後方互換性を保証する方法が無かったため、「DS完全互換のプロトコルスタック」と「DSi以降から使えるやつ」を分けて実装したとかだと思いますが、3DSにWPA2/PSKなどの安全な無線接続を設定してあっても、起動したのがDS用ソフトだった場合にはDS用ソフトからはそっちは使用不可能なため「接続無し」として動作するそうです。

普段、ネットワークとアプリケーションが比較的綺麗に分離できてるPC環境を使っていると、ソフトウェアによって使える回線/使えない回線があると言うのは奇妙な話にも思えますが、多分、IPv6に移行するときにPC上でも同じ体験はできるはずです。IPv6接続のみでインターネットに繋がってるPCを用意すると、多くの有名ソフトが問題なくネットワークを使える一方、マイナーなフリーウェアやらゲームやらがちらほら「ネットワーク接続が利用できません」とか訴えて転けるはずです。

3DSなりDSiのOS上にダミーのWEPプロトコルスタックを作ってブリッジして外に出す・・・とかやってやれば、技術的に何とかなるとは思うんですが、まあ、コストの問題などから採用されなかったんでしょうね。

それで思い出しましたが、あと、まさにセキュリティ確保を目的とした、数10cmしか電波の飛ばない無線基地局、みたいなのもあると言う噂を聞いた事がありますから、そういうのを使うのもありですね。

Re:ノーガード戦法

[deleted user (18918)]

電波の伝播制限ということなら電磁波シールドテントなるものもありますが…
そんな中でゲームをするのは目に悪そうなのでお勧めはしないでおきます。

Re:ノーガード戦法

[minet (45149)]

確かに良さそうですね。
WEP接続だけサブネットを分離する無線LANルーターなら普通にありますしウチで使ってますが、
WEP接続だけ異なるフィルタリングを適用できる無線LANルーターっていうのは、あるんでしょうかね？

Re:ノーガード戦法

[deleted user (18918)]

DHCPで特定のMACアドレスに対して特定のIPを払い出すよう設定して、そのIPに対してアクセス先を限定すれば今あるルータで十分対応できる気がしますよ。

Re:

[Anonymous Coward]

SSIDを複数持てて、SSID毎にネットワークを分離できるルーターはそう珍しくないはず。

DSなど WEP接続する SSIDと、他の暗号化モードのSSIDを複数管理できるルーターなら
仮に、SSID毎に 許可する MACアドレスを変えられなくても
上記＋許可MACアドレスのみにすることで対応は容易でしょう。

ただし、所有者が機能を理解してない場合、他の暗号化モードのクラックも出回っている場合、
分離されたネットワークでも侵入出来てしまうルーター自体のクラックが出回っている場合は、結局無駄でしょうけど。

Re:

[Anonymous Coward]

3DSは繋げるので問題ありません。

＃　んなこたーない。

Re:

[Anonymous Coward]

DSi 以降なら大丈夫、なはず

Re:ノーガード戦法

[monaoh (12125)]

それほど大丈夫ではないです。

DSのゲームはゲームソフト側でWEP接続の設定しか対応してなかったりするので、そういう古めのゲームをするならDSiだろうとWEPを使わざるを得ません。

さらに、無線LAN設定画面にでかでかと現れる接続先1～3を使うとWEPで設定する事になるという仕様です。
WPA/WPA2で繋ぐにはそこから上級者設定を開いて接続先4～6で設定する必要があります。

古いバッファローのアクセスポイントの話ですが、DSiやPSPがAOSSに対応しているからと何の気なしに自動設定を使うと、勝手にアクセスポイントの設定がWPA2からWEPに変わったりして慌てることになります。

Re:

[Anonymous Coward]

自宅が野良フリースポットになってた人が、その問題に気付いて
暗号かけたら、間もなくしてピンポーンと呼び鈴が鳴って誰かがやってきた。

ドアを開けると小学生たちが数人。
「なんで使えなくしたんですか？」
「DSで遊べないじゃないか！」

というクレームをつけてきたという都市伝説なんだかDQN話なんだか
痛い話なんだか、聞いたことがある。