アカウント名:
パスワード:
WPA(2)-PSKはPSKを知っている相手に対して通信内容を秘匿する能力は無いに等しいので、こんな施策に意味があるとは思えません。詳しくない人に「暗号化しているから安心！」と勘違いさせてしまうことを考えると、PSKばら撒きタイプは暗号化なしよりもタチが悪いように思います。
それはそれで正論だけど、それを言い出すなら「自分が管理してないネットワークに平気で繋ぐことが当たり前になった時点でアウト」だと思う。
何をもって「自分が管理してない」にするかは微妙だけどね。まさか大手町まで直結回線持ってる個人宅なんてないだろうし。
WPA-EAP のアクセスポイントにだけ繋ぐようにしてれば、「自分が管理してないネットワークに平気で」繋いでも問題ないわけだが。
> WPA-EAP のアクセスポイントにだけ繋ぐようにしてれば、「自分が管理してないネットワークに平気で」繋いでも問題ないわけだが。
違うでしょ
無線区間の暗号化の部分の強度についてはWPA-PSKかWPA-EAPかで変わってくるが、WPA-EAPを採用したAPに接続する場合であっても、無線区間よりも上流のNWや、APから通知されるDNSその他の情報群やその実体については何細工されているかはわからないもちろんパケットをキャプチャされていることもありえるし、悪意あるDNSに誘導されることもある
これは、APや上流回線を設置した業者自身の手落ちということもあれば、それの脆弱性を突いて介入している奴がいる場合もある
なので、WPA-PSKだろうがWPA-EAPだろうが、信用できないネットワークを使うならそれでも安全が担保できる仕組みのSSLなりVPNなりを可能な限りすべての通信で使う必要がある
>WPA(2)-PSKはPSKを知っている相手に対して通信内容を秘匿する能力は無いに等しいので、
全然違う
複数の利用者でPSKを共有していても、経路暗号化はPSK自体ではなくそこから生成された各利用者ごとの一時鍵で行われるので周囲の利用者は通信内容を盗聴することはできない
ただし、WPA自体は無線区間の暗号化しかしないので、ルータやそれよりも上流のところで悪意あるものがいたらそこは当然暗号化されていないここを守りたければsslなりVPNなりが必要
複数の利用者でPSKを共有していても、経路暗号化はPSK自体ではなくそこから生成された各利用者ごとの一時鍵で行われるので 周囲の利用者は通信内容を盗聴することはできない
ただし、WPA自体は無線区間の暗号化しかしないので、ルータやそれよりも上流のところで悪意あるものがいたらそこは当然暗号化されていない ここを守りたければsslなりVPNなりが必要
お前のような技術を理解できん馬鹿文系は、権威のある人に叱ってもらわないと間違いを認められないようだ
お前がACで嘘をまき散らしているのに耐えかねて、高木浩光大先生がお前が間違いだとツイートしたから見ろ！
Hiromitsu Takagiさんのツイート: "こういう知ったか厨っているんだね。 https://t.co/LSJdyLu2Xn" [twitter.com]
リンクで #3314445 を指してお前が「知ったか厨」だと断言している
これで間違ってること分かっただろ、WPA-PSK はWPAパーソナルの規格だから家庭内での利用に限り安全なものでパスワードを不特定多数で共有してよいものではないんだよ
だいたい、なんのためにWPAエンタープライズという別の規格もあるのか考えりゃ分かるだろ
ひろみちゅ先生スラド見てたんだっていうかこんなつっこみまでしてくれるとはつっこみ受けたACは大いに反省して貰いたいね
>全然違う>複数の利用者でPSKを共有していても、経路暗号化はPSK自体ではなくそこから生成された各利用者ごとの一時鍵で行われるので>周囲の利用者は通信内容を盗聴することはできない違いません。4way handshakeのパケットとPSKがあれば一時鍵は簡単に得ることができます。 https://www.cisco.com/c/ja_jp/support/docs/ [cisco.com]
元ACとは別人ですが、実際 WPA2-PSK AES は PSK を知っている人に対して極めて脆弱で、PSK さえ知っていれば通信の傍受・改ざんは可能です。
興味本位で試してみたことがありますが、私にはできました。Wireshark というソフトがあれば簡単にできてしまうので、自宅の Wi-Fi で試してみてください（公衆 Wi-Fi でやると電波法違反となる恐れがあります）。
傍受できてしまう理由の前に、まず今主流の WPA2-PSK AES での接続時に何が行われているかを簡単に書くと、
といった感じです。
4-Way-Handshake を傍受すれば、Nonce と MACアドレスを知ることができ、そこから PTK を算出することが可能ですので、PSK を知っている人であれば通信内容の傍受や成りすましが可能 なわけです。
4-Way-Handshake はクライアントが Wi-Fi AP に接続する瞬間のみに行われるので、接続の瞬間に周囲に居る必要があります。 しかし、妨害電波を出して強制的に切断させることで、多くのクライアントは自動再接続を試みて、そこで 4-Way-Handshake が行われるので、それを傍受する方法もあります。
なお、バッファロー等の家庭用無線LAN APの設定項目にある「Key更新間隔」は、GTK (Group Transient Key) というマルチキャスト・ブロードキャスト通信で使う別の暗号鍵で、これは一般的な Wi-Fi AP では全クライアント共有です。これは PTK とは違うので、この「Key更新」のタイミングの通信を傍受しても PTK を知ることはできません。この GTK は PTK に含まれる KEK (Key Encryption Key) で暗号化して受け渡されます。
※より厳密に書くと、PTK は KEK (Key Encryption Key)、KCK (Key Confirmation Key)、TK (Temporary Key) の3つから構成され、ユニキャスト通信の暗号化・復号に用いられるのは TK。
一応補足しておくと、Wireshark でできるのは「傍受」までで、通信の改ざん等を行うのには別のツールが必要です。
当然ながら、上述の方法では TLS (HTTPS など) や VPN の暗号化された通信の内容を復号して知ることはできません。
とっても恥ずかしい書き間違いしてました…×寡黙にして〇寡聞にして
>「難しくてもできなくはないだろ」なんていうセキュリティにおいてちゃぶ台返しに等しいことやって、ええと、「難しくてもできなくはないだろ」なんてことも、それに類するようなことも書いていない認識です。
そもそも4way handshakeのパケットをsniffすることってそんなに難しい作業でしょうか？電波が届く範囲にノートPCおいてWiresharkでも動かしてれば勝手に収集できますが…。
# もちろんPSKはばら撒かれている（たとえば何かしらの店のWifiであれば、壁に貼られた紙に書かれているとかそういう感じ）想定ですよ
手を動かした人のコメントだけ華麗に無視しながら何か言ってる大馬鹿物が居る……
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
Stableって古いって意味だっけ？ -- Debian初級
意味がない (スコア:0)
WPA(2)-PSKはPSKを知っている相手に対して通信内容を秘匿する能力は無いに等しいので、こんな施策に意味があるとは思えません。
詳しくない人に「暗号化しているから安心！」と勘違いさせてしまうことを考えると、PSKばら撒きタイプは暗号化なしよりもタチが悪いように思います。
Re: (スコア:0)
それはそれで正論だけど、それを言い出すなら「自分が管理してないネットワークに平気で繋ぐことが当たり前になった時点でアウト」だと思う。
何をもって「自分が管理してない」にするかは微妙だけどね。まさか大手町まで直結回線持ってる個人宅なんてないだろうし。
Re: (スコア:0)
WPA-EAP のアクセスポイントにだけ繋ぐようにしてれば、「自分が管理してないネットワークに平気で」繋いでも問題ないわけだが。
Re: (スコア:0)
> WPA-EAP のアクセスポイントにだけ繋ぐようにしてれば、「自分が管理してないネットワークに平気で」繋いでも問題ないわけだが。
違うでしょ
無線区間の暗号化の部分の強度についてはWPA-PSKかWPA-EAPかで変わってくるが、
WPA-EAPを採用したAPに接続する場合であっても、
無線区間よりも上流のNWや、APから通知されるDNSその他の情報群やその実体については何細工されているかはわからない
もちろんパケットをキャプチャされていることもありえるし、悪意あるDNSに誘導されることもある
これは、APや上流回線を設置した業者自身の手落ちということもあれば、
それの脆弱性を突いて介入している奴がいる場合もある
なので、WPA-PSKだろうがWPA-EAPだろうが、信用できないネットワークを使うなら
それでも安全が担保できる仕組みのSSLなりVPNなりを可能な限りすべての通信で使う必要がある
Re: (スコア:0)
>WPA(2)-PSKはPSKを知っている相手に対して通信内容を秘匿する能力は無いに等しいので、
全然違う
複数の利用者でPSKを共有していても、経路暗号化はPSK自体ではなくそこから生成された各利用者ごとの一時鍵で行われるので
周囲の利用者は通信内容を盗聴することはできない
ただし、WPA自体は無線区間の暗号化しかしないので、ルータやそれよりも上流のところで悪意あるものがいたらそこは当然暗号化されていない
ここを守りたければsslなりVPNなりが必要
Re:意味がない (スコア:1)
>WPA(2)-PSKはPSKを知っている相手に対して通信内容を秘匿する能力は無いに等しいので、
全然違う
複数の利用者でPSKを共有していても、経路暗号化はPSK自体ではなくそこから生成された各利用者ごとの一時鍵で行われるので 周囲の利用者は通信内容を盗聴することはできない
ただし、WPA自体は無線区間の暗号化しかしないので、ルータやそれよりも上流のところで悪意あるものがいたらそこは当然暗号化されていない ここを守りたければsslなりVPNなりが必要
お前のような技術を理解できん馬鹿文系は、権威のある人に叱ってもらわないと間違いを認められないようだ
お前がACで嘘をまき散らしているのに耐えかねて、高木浩光大先生がお前が間違いだとツイートしたから見ろ！
Hiromitsu Takagiさんのツイート: "こういう知ったか厨っているんだね。 https://t.co/LSJdyLu2Xn" [twitter.com]
リンクで #3314445 を指してお前が「知ったか厨」だと断言している
これで間違ってること分かっただろ、WPA-PSK はWPAパーソナルの規格だから家庭内での利用に限り安全なものでパスワードを不特定多数で共有してよいものではないんだよ
だいたい、なんのためにWPAエンタープライズという別の規格もあるのか考えりゃ分かるだろ
Re: (スコア:0)
ひろみちゅ先生スラド見てたんだっていうかこんなつっこみまでしてくれるとは
つっこみ受けたACは大いに反省して貰いたいね
Re: (スコア:0)
>全然違う
>複数の利用者でPSKを共有していても、経路暗号化はPSK自体ではなくそこから生成された各利用者ごとの一時鍵で行われるので
>周囲の利用者は通信内容を盗聴することはできない
違いません。
4way handshakeのパケットとPSKがあれば一時鍵は簡単に得ることができます。
https://www.cisco.com/c/ja_jp/support/docs/ [cisco.com]
実際 WPA2-PSK AES は PSK を知っている人に対して脆弱 (スコア:5, 参考になる)
元ACとは別人ですが、実際 WPA2-PSK AES は PSK を知っている人に対して極めて脆弱で、PSK さえ知っていれば通信の傍受・改ざんは可能です。
興味本位で試してみたことがありますが、私にはできました。Wireshark というソフトがあれば簡単にできてしまうので、自宅の Wi-Fi で試してみてください（公衆 Wi-Fi でやると電波法違反となる恐れがあります）。
傍受できてしまう理由の前に、まず今主流の WPA2-PSK AES での接続時に何が行われているかを簡単に書くと、
といった感じです。
4-Way-Handshake を傍受すれば、Nonce と MACアドレスを知ることができ、そこから PTK を算出することが可能ですので、PSK を知っている人であれば通信内容の傍受や成りすましが可能 なわけです。
4-Way-Handshake はクライアントが Wi-Fi AP に接続する瞬間のみに行われるので、接続の瞬間に周囲に居る必要があります。 しかし、妨害電波を出して強制的に切断させることで、多くのクライアントは自動再接続を試みて、そこで 4-Way-Handshake が行われるので、それを傍受する方法もあります。
なお、バッファロー等の家庭用無線LAN APの設定項目にある「Key更新間隔」は、GTK (Group Transient Key) というマルチキャスト・ブロードキャスト通信で使う別の暗号鍵で、これは一般的な Wi-Fi AP では全クライアント共有です。これは PTK とは違うので、この「Key更新」のタイミングの通信を傍受しても PTK を知ることはできません。この GTK は PTK に含まれる KEK (Key Encryption Key) で暗号化して受け渡されます。
※より厳密に書くと、PTK は KEK (Key Encryption Key)、KCK (Key Confirmation Key)、TK (Temporary Key) の3つから構成され、ユニキャスト通信の暗号化・復号に用いられるのは TK。
Re:実際 WPA2-PSK AES は PSK を知っている人に対して脆弱 (スコア:1)
一応補足しておくと、Wireshark でできるのは「傍受」までで、通信の改ざん等を行うのには別のツールが必要です。
当然ながら、上述の方法では TLS (HTTPS など) や VPN の暗号化された通信の内容を復号して知ることはできません。
Re:実際 WPA2-PSK AES は PSK を知っている人に対して脆弱 (スコア:1)
Re: (スコア:0)
とっても恥ずかしい書き間違いしてました…
×寡黙にして
〇寡聞にして
Re: (スコア:0)
>「難しくてもできなくはないだろ」なんていうセキュリティにおいてちゃぶ台返しに等しいことやって、
ええと、「難しくてもできなくはないだろ」なんてことも、それに類するようなことも書いていない認識です。
そもそも4way handshakeのパケットをsniffすることってそんなに難しい作業でしょうか？
電波が届く範囲にノートPCおいてWiresharkでも動かしてれば勝手に収集できますが…。
# もちろんPSKはばら撒かれている（たとえば何かしらの店のWifiであれば、壁に貼られた紙に書かれているとかそういう感じ）想定ですよ
Re: (スコア:0)
手を動かした人のコメントだけ華麗に無視しながら何か言ってる大馬鹿物が居る……