パスワードを忘れた？ アカウント作成
Close
4635 story

国の省庁で無線LAN設置が「原則禁止」へ 31

ストーリー by GetSet
便利さと危うさはいつでも紙一重 部門より

84p 曰く、 "asahi.comの記事によると、国の各省庁で情報漏洩等を防ぐために無線LANの使用を制限する動きが広がっている。内閣官房情報セキュリティ対策推進室が策定した、情報セキュリティポリシーに関するガイドライン(PDFファイル)に従って各省庁が見直しを進めているようだ。
ガイドラインによると『無線LANについて、物理的セキュリティにおいて設置の可否の基準を定めるとともに、設置を許可する場合の暗号、認証について技術的セキュリティの項目で基準を定める。』とあるので、上位レイヤで適切な暗号化を行えば無線LANの使用は問題ない、と解釈できそうだ(WEPで暗号化すれば問題ない、と解釈されるかもしれないが…)。ともあれ、「うちの課ぐらいなら大丈夫だろう」なんて言う人がいては意味なしなので、セキュリティポリシーをいかに徹底するかが課題だろう。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

国の省庁で無線LAN設置が「原則禁止」へ More

  • 調査の結果です。 (スコア:3, おもしろおかしい)

    by L.Nizah (7804) on 2002年12月28日 18時41分 (#227708)
    お役所の無線ネットワークはホットスポット [srad.jp]
    「無線ＬＡＮの危険性を調べるための調査用だった」

    ってのは嘘じゃなかったんですね。

  • 上位レイヤだけでいいの？ (スコア:3, 参考になる)

    by Anonymous Coward on 2002年12月28日 20時10分 (#227735)
    上位レイヤで適切な暗号化を行えば無線LANの使用は問題ない、と解釈できそうだ(WEPで暗号化すれば問題ない、と解釈されるかもしれないが…)。
    上位レイヤで適切な暗号化を行えば、該当STAと通信対象間での通信に付いては一定のセキュリティを確保できますが、無線APはスイッチングHUBと等価ですのでネットワーク構成によっては有線LAN側へ入り込む事は可能です。
    また、有線側から漏れて来るブロードキャストなどはダダ漏れのままですので、無線側でWatchしていれば有線側にどのようなホストが接続されているかという情報を得る事ができ、脆弱性を持つホストがあればそこを踏み台にして、有線LAN内で可能な事は全てできてしまいます。

    そもそも無線LANというのは配線がいらないので面倒が無いとか、配置換え等の場合にも配線工事をやり直さなくても済むのでコストが削減できるという理由で導入されている場合が多いと思うのですが、 特別な暗号化プログラムを購入してインストールするというお金や手間のかかる事をしなくてはいけないのであれば本末転倒です。

    • 同感。
      下位層での暗号化を求める話題になると必ず
      それはレイヤが違うという意見が出てきたけど、
      パブリックにさらされる区間だけ暗号化するのは
      自然なことなんじゃないかな？
      ネットワークの一部に盗聴の危険性が出たからと
      言って全ネットワークに暗号化を強いるのは
      まさしく本末転倒かと。
      IPV6で下位層のデータの補正技術を信頼して
      チェックサムをなくしたように、下位層の
      秘話性・秘匿性を信頼した構築もありかと。
      --
      やなぎ
      字面じゃなく論旨を読もう。モデレートはそれからだ
      シェア
      親コメント

  • ついでに、 (スコア:2, 興味深い)

    by abilitei (1889) on 2002年12月29日 0時23分 (#227840)
    　個人のパソコン持込禁止も徹底しておかないとね。
    　またさらに、airH゛などを使用して省庁と外部を接続してし
    まっている人も居るだろうし。
    　個人のモラルに関わる問題なんだろうけどねぇ・・・

    　モラルだけには任せておけないのがセキュリティってもんだし。

  • 本当に危険なのは？ (スコア:2, 興味深い)

    by Kris-K (13195) on 2002年12月29日 3時06分 (#227902)
    省庁もそうですけど、これから医療機関とかで無線LANとか流行ってきたら、自分の処方箋とか医療データとか改ざんされちゃうかもしれず、本当に怖いなーって気がしますねぇ。下手すると生きるか死ぬかの問題なので。

    クレジットカード番号とかプライバシー情報とか、まぁTAPされたりは嫌だけど、そんなに「緊急対策！」ってほどでもないのかなァ？とも思ったりします。クレジットカード会社に電話一本で終わりだからネェ。省庁や企業だと訴訟に発展しちゃうから面倒だけど、死ぬ訳じゃないと。

    こんなこと書いてますが、仕事上は「セキュリティ第一です！」とか言ってますけどね。

  • 意識が低い？ (スコア:1)

    by Anonymous Coward on 2002年12月28日 19時37分 (#227724)
    WEP設定しても完璧じゃないってーのに、気軽に無線ＬＡＮを使ってしまうのは意識が低すぎだと思います。

    自分たちが普段どんなに重要なデータ(個人情報など)を取り扱っているのかが分かってないんじゃない？
    それとも単に管理者が無知なだけ？

    ＃自分も無料ホットスポット(笑)を使ってみたいのでAC

    • Re:意識が低い？ (スコア:2, 参考になる)

      by Anonymous Coward on 2002年12月28日 20時28分 (#227741)
      "無線LANだと便利らしい"程度にしか知らない人が圧倒的多数でしょう

      これに限らず、こういうセキュリティネタだとユーザの意識ってのがよく挙がりますが、
      それを嘆く前に、何も考えないひとでもできるだけ守れるような環境を提供するぜぃみたいな
      技術屋さん根性を出して欲しい気がします

      #やっぱり(時間にしても金銭にしても)コスト？
      シェア
      親コメント

      • Re:意識が低い？ (スコア:2, 参考になる)

        by KAMUI (3084) on 2002年12月28日 21時02分 (#227750) 日記
        "無線LANだと便利らしい"
        と，言うか PC 関係の本・雑誌で無線LAN が紹介され始めた頃に
        「盗聴の危険性がある」と，あからさまに書いてたモノがありましたっけ？
        最初に謳ってたのは利便性，続いてコストパフォーマンス。
        セキュリティ問題について言い始めたのは本当に最近だと思いますけど。

        Windows のセキュリティなんかも同様ですが，市場が広がる段階で
        しっかり啓蒙しないと一般ユーザーに危機意識なんて根付きゃしません。
        何も考えないひとでもできるだけ守れるような
        「出来るだけ」はやってますよね。WEP だって(弱い弱い言われてますが)そうだし。
        けど「何も考えない人」はそれすら要らんモノと見なすので・・・
        シェア
        親コメント

      • Re:意識が低い？ (スコア:2, おもしろおかしい)

        by Mc.N (3705) on 2002年12月28日 22時50分 (#227795) 日記
        何も考えないひとでもできるだけ守れるような環境
        そんな方にお勧めしたい無前方式は IrDA 。指向性があり 50cm 程度の距離でしか通信できないので Sniff されにくいのです。しかも他の無線方式に比べ、人体にもやさしい（笑。
        #やっぱり(時間にしても金銭にしても)コスト？
        ピッキング防止鍵の設置を勧めても「合鍵を作るのに金が掛かるから嫌だ」と断られるご時世に、どれだけセキュリティにお金を掛けてくれるのでしょうか。セキュリティと利便性のバランスも難しい所。

        金庫には金庫の鍵が、自転車には自転車の鍵が丁度良いセキュリティなのではないでしょうか。
        --
        Mc.N
        シェア
        親コメント

      • Re:意識が低い？ (スコア:0)

        by Anonymous Coward
        「原則禁止」の原則ってなんだろ？
        「禁止」にしすべきと思います:-)

    • Re:意識が低い？ (スコア:2, 参考になる)

      by kazzy (13180) on 2002年12月29日 10時20分 (#227960)
      外務省での例を考えてみると、ESS-IDに外務省の部署名が大変わかり
      安く、しかもこのような国際情勢の中で無線LANをWEPぐらいで暗号化
      というのが利用OKですと太鼓判を押すよりは原則禁止が常識の範囲だ
      と思うのです。
      これじゃ日本の手の内バレバレになっても...(以下省略)
      シェア
      親コメント

  • 大学はどうなるのかしら (スコア:1, 興味深い)

    by Anonymous Coward on 2002年12月28日 22時31分 (#227785)
    国立大学でもキャンパス内にホットスポットを設けたり、
    無線LANでネットワークを運営しているところもありそうですよ。
    今は文部科学省の傘下ですが、独立法人になるじゃないですか。
    だから、大丈夫なのかしら。
    先に法人化した国の研究機関はどうなのかしら。
    ちょっと心配。
    ---
    撤去させられると困るのでAC

    • Re:大学はどうなるのかしら (スコア:1, 参考になる)

      by Anonymous Coward on 2002年12月29日 0時19分 (#227837)
      >> 先に法人化した国の研究機関はどうなのかしら。

      数日前の（都庁や気象庁の）問題が発覚した直後に、各所の管理者に対して
      「WEP無しの無線LANは全面禁止、WEP有りでもなるべく使うな」という通達が速攻で出たようです。
      シェア
      親コメント
      • 法人化していない国立の大学の研究所の人間ですが，

        「WEP無しの無線LANは全面禁止、WEP有りでもなるべく使うな」という通達が速攻で出たようです。


        なんて聞いてませんねぇ．．
        もちろん WEP 有りの無線 LAN 基地を研究室に置いてます．
        # 僕が知らないだけかしら．

        # 内部告発なので AC
    • こうやって「ウチだけは特別扱いしてくれ」「あそこがやってんだからウチも」と際限無く広がって、結局無線LANだらけになる罠

  • 私も一応、go.jpの住人ですが、 (スコア:1, 興味深い)

    by Anonymous Coward on 2002年12月28日 23時38分 (#227818)
    ちょっと待ってよ。その前に有線LANのトラフィック監視やってよね。あちこちに100BASE-Tのコンセント作っといて、誰でも使える状況にしといて、無線LANだけ禁止って、そりゃないよ。

    • Re:私も一応、go.jpの住人ですが、 (スコア:1, 参考になる)

      by Anonymous Coward on 2002年12月29日 18時53分 (#228112)
      素で盗聴されるより監視は楽でしょ。
      取り合えず、DHCPがフル稼働してたりNetBIOSだけとか
      ウエルカムなネットワークじゃないんでしょ？

      つーか、誰でもって部外者が勝手に入れるような場所には
      100BASE-Tのコンセント付けないでしょ？

      仮に、侵入者がゴソゴソとLAN引いたりしてても誰も気づかない
      ようであれば、LANとか以前の問題として危機管理が不十分すぎない？書類とかでもコッソリ持ち出したりできるだろうし....。
      シェア
      親コメント

      • つーか、誰でもって部外者が勝手に入れるような場所には
        100BASE-Tのコンセント付けないでしょ？


        怖いのは部外者じゃないけど、半ば部外者な人たちの行動のような
        気がします。システムを組むには多くの人手が要りますし、元請け
        だけでまかなえない場合は、当然、関連会社やら何やらが大量に
        動員されるわけで、その中にはほとんど関連のない会社から来ている
        人たちもいますし、さらに、そう言った人たちの身元確認も完全で
        ない場合が少なくないような気がします。


        危機管理が不十分すぎない？書類とかでもコッソリ持ち出したり


        本気で危機管理をすると、もの凄く手間とお金が掛かるわけで、
        蟻の一穴を見つけだすのはなかなか難しいでしょう。

        もちろん、部内者でも腐った人はいますから、単純に部外者に気を
        つければいいと言う問題でもところがセキュリティの難しいところ
        だと思います。
        シェア
        親コメント

        • go.jpでも (スコア:0)

          by Anonymous Coward
          親分からして腐ってるとこはままあるわけだからねぇ。

  • カンタン設定は恐ろしい (スコア:1, 参考になる)

    by Anonymous Coward on 2002年12月29日 4時14分 (#227914)

    とある公共施設では、WEPキーを設定していない上に、共有フォルダが丸見えになっていたりしますね。

    そりゃヤバイだろと思い、納入業者を聞き出し、問い合わせてみると恐ろしい答えが...

    「WEPキー？ それ何ですか？　ああ、暗号化ね。そんなのややこしいから設定してないですよ。」

    最近の機器は簡単に扱えるので、あやしい知識の業者さんもいるようですね。

    • Re:カンタン設定は恐ろしい (スコア:2, 興味深い)

      by kazzy (13180) on 2002年12月29日 10時27分 (#227961)
      共有フォルダもCドライブ丸々とかあったりするんですよね。

      あやしい知識の業者さんは無線LANがつながらないときの処置として、
      アクセスポイントの設定をリセットボタンで工場出荷値にして終わり
      というところもあるようです。ぉぃぉぃってカンジ。
      シェア
      親コメント

      • あやしくない業者 (スコア:1)

        by SHNSK (10099) on 2002年12月29日 14時37分 (#228043)
        あやしくない業者さんに頼もうとすると、とんでもない額になってしまうのかなぁ...

        バイト先でお願いしている業者さんも最初ついていてくれたマトモな営業さんが会社やめちゃってから、ロクな人来なくなっちゃったし...大学でも業者にまかせるよりはこちらで対応した方が速いし信頼のおけるものができるようだし。
        シェア
        親コメント

  • なんでセグメント分けておかないのか？ (スコア:1, 参考になる)

    by Anonymous Coward on 2002年12月31日 9時30分 (#228577)
    そもそも、無線LANは誰につながれるかわからないし、どこでスニッフィングされているかも、有線のものよりも物理的に特定しにくい。だから、暗号化以前の問題として、ネットワークのセグメントを分けておき、外部にあるネットワークと同じ状態にしておいたうえ、無線LANからのアクセスは外部からのアクセスと同等に扱うようにしておく、というのが、原則だと思うがなぁ。そうしたうえで、内部のLANに入り込むときの認証機構を(ま、セキュリティポリシーにもよるだろうけど)、ネット側からのものと同じものを使う、などのことは当然必要と思うな。

    うちなんかご近所に無線LANアクセスはSSID=ANY/WEPなし/MACアドレス制限なし、で提供しているけど、まずは無線LANアクセスポイントは自宅内のルーティングの茅の外にしてますがね。つまり、無線LANからはネットが使えるだけ、ってことね。自分で自宅内のLANに無線からアクセスしたい場合は、いったんネットに出てそこから入るから、扱いは外部から入ったのと同じ。ふつうは、最低限でこのくらいやるもんだと思うがなぁ。

    「扱うものの性質を100%理解しないで使う」というのは無線LANに限らず非常に危険だよね。でも、我々はきっと「100%理解しないで使う」ことにいろいろ慣らされてきているんだね。少なくとも100%の理解がなく使う、ということに対して「それは危険なんだ」ということをわかっていて運用する、ということも必要。でも、人間は安易なほうに流れる生き物だから、「100%理解していないで動かすことは危険だ」が、いつのまにか「100%理解していなくても大丈夫」なんていう「怠惰」に流れちゃう。最近はコスト的なところからもそういうことになることが多いんだろうね。で、簡単にいえばそこが地獄の一丁目、ってことだな。
    • 個人宅でAP一台だけならそれも簡単にできるけど、無線でどこでもローミングできるようにしようと思ったら、全館に丸々もう一つネットワーク作らなきゃいけなくなるので、事はそう簡単ではない。
    • 同感。
      自分とこになりすましてよそを攻撃されることはあっても（これは無料ホットスポットも一緒なので）、
      自分とこを攻撃されるのは許せん。

      そんなシステムを構築中。
      ルータ１個かますだけで、意外と簡単に、それなりのものができますよ。
typodupeerror

海軍に入るくらいなら海賊になった方がいい -- Steven Paul Jobs