パスワードを忘れた? アカウント作成
13740156 story
セキュリティ

家庭で使われている無線LANルータの83%に脆弱性、米NPO調査 37

ストーリー by hylom
日本の状況も知りたい 部門より

米NPO・American Consumer Institute(ACI)の調査によると、家庭で使われている無線LANルータの83%で既知の脆弱性が修正されずに放置されているという(ITmedia)。

14メーカー・186台の製品を対象に調査した結果、155台に脆弱性が見つかったという。うち危険度が「クリティカル」の脆弱性は7%、「高」の脆弱性は21%だったという。オープンソースのコードを利用するルーターが増えており、こういった製品は脆弱性が見つかりやすい一方で、脆弱性が発覚しても放置しているメーカーも存在し、それがこのような状況を生んでいるようだ。

  • by Anonymous Coward on 2018年10月10日 6時24分 (#3494985)

    そもそも今のルーターに採用されてるWPA2には、脆弱性があることが分かっている。
    ルーターだけじゃなくて、本体側も何らかの更新が必要なんじゃない?
    どれだけの製品が対応するんだろうか?

    WPA3は「SAE」採用で鍵の推測が不可能に、KRACKsで悪用の穴ふさぐ、2018年末から登場?
    https://internet.watch.impress.co.jp/docs/column/nettech/1146183.html [impress.co.jp]

    ここに返信
    • by Anonymous Coward on 2018年10月10日 15時19分 (#3495301)

      今一般的に使われている WPA2 の CCMP 方式(AES)は、クライアントにパッチがあたっていれば安全です。

      KRACK は、アクセスポイントではなく接続するクライアント側に依存する問題であり、例えば Windows では2017年10月の月例パッチで脆弱性対応が行われています。Android, iPhone, OS X なども同様に対策されています。問題となるのは、クライアントにもなるアクセスポイント(中継機)ですが、そちらもサポート対象期間であれば多くの場合パッチが提供されています。
      KRACKがWPA2の仕様上の脆弱性だというのはその通りですが、事実上パッチで修正されているので、セキュリティ上はWPA3にする必要性はありません。

      WPA3 で改善された、鍵の推測が不可能がどうたらというのは、公衆無線LANや社内LANなどで WPA EAP ではなく WPA PSK (家庭用の事前共有鍵方式) を使うというそもそも間違った運用をしているケースで、事前共有鍵を知っている人がハンドシェイクを盗み見た場合でも通信に使う暗号鍵が推測できなくなるという改善です。

      しかし、WPA PSK 方式では、WPA3 であっても 事前共有鍵を公開する場合なりすまし攻撃・中継型偽アクセスポイントを防ぐことができないので、そもそも公衆無線LAN用にPSK方式を安全に使用することは不可能であり、他のユーザの通信に使う暗号鍵(事前共有鍵とは別にハンドシェイク時に生成される)の推測が不可になったのは無意味で、PSK方式の公衆無線LANをユーザが安全だと錯覚してしまう点で改悪ともいえる 仕様変更です。

      分かりやすく言うと、「オレオレSSL証明書」が危険なのと同じことです。暗号化自体はきちんと行われているし、なりすまし攻撃が行われていなければセキュリティ上問題ないのですが、なりすましを検知することができないので危険なのです。

  • by Anonymous Coward on 2018年10月10日 1時30分 (#3494961)

    ファームウェアはアップデートするようにはしてるけど、記事にもあるように脆弱性がないかどうかはまた別モンだし

    ここに返信
    • by Anonymous Coward

      イマドキはたいてい自動アップデートになっているような気がします。
      手元のアイ・オー・データ機器やエレコムはそうなっているものがあります。

      • by Anonymous Coward

        え、NECは…

        • by Anonymous Coward

          NECにもあるしバッファローにもあるしデフォルトで有効だよ

    • by Anonymous Coward

      コレガ…

  • by Anonymous Coward on 2018年10月10日 2時41分 (#3494970)

    思いついて最新ファームウェアがあるか確認しに行ったら一切なし
    過去に更新した記憶があるので間違いなく昔はあったはずなのに
    販売終了した製品は買い替えろってことなんだろうけど、ルーターなんて壊れなければ使い続けるものだろうに
    数年程度前の販売終了品まで含めると放置されてる数字はもっと上がるだろう

    ここに返信
    • by Anonymous Coward

      販売終了する頃には、文字通り桁が変わるだけ性能が変化してるので、買い替えたほうがいいよ。
      規格上の速度上がるだけじゃなく、対干渉対策だったり、いろいろ変更があるからね。
      実行速度だと10倍以上は簡単に変わるよ。

      • by Anonymous Coward
        10倍もいくかなぁ? 規格が変わるならまだしも、同じ規格の初期製品と最終製品でも数倍は変わらないでしょ そもそもボトルネックがWifiルータなら変わるかもしれないけど 家のネットワークがボトルネックだったり wifiの受信側(AndroidだったりPCだったり)の方のスペックが古かったら 何も変わらないんじゃないかな
  • by Anonymous Coward on 2018年10月10日 3時11分 (#3494974)

    リンク先のPDFにメーカーとモデルの一覧があるけど、どれが脆弱なのかは書いてない。
    みんなどのルーター使ってるんだろう。やはり日本だと日本メーカー製品が人気なんだろうか。

    # Google Wi-Fiを買って速度などは満足だけど、プライバシー問題でやっぱ乗り換えようかと最近思ってる。
    # なんでGoogleなんて買ったんだろう・・・

    ここに返信
    • by Anonymous Coward

      WLX202 は多分大丈夫

      • by Anonymous Coward

        それ、ルーターじゃない。

    • by Anonymous Coward

      CISCOのSOHO向けVPNルータ(CISCO C841M-4X-JSEC/K9)がちょくちょく8000円ぐらいになってて安いですよ
      #WiFiついてないモデルですが

      • by Anonymous Coward

        ヤマハのRTX-1200も中古が1万円台前半(ヤフオクだと1万切ってたりしますが)で売ってるのでお買い得です。

        ciscoよりコマンドがわかりやすいのが良いです

        • by Anonymous Coward

          ciscoのほうは新品で1万切ってるので、保証諸々考えると…
          #今までに見た最安は、1台2980円、2台セットで5000円

          • by Anonymous Coward

            一世代前の RTX-1100 だけど、もう10年以上も夏場にクソ暑くなる部屋に置いて使い続けて今だピンピン。
            丈夫さという点では目を見張る物がある。

            • by Anonymous Coward

              うちではRTX1000使ってるけどまだピンピンしてる。
              回線が100Mbpsなので買い換える理由もないんだよな。

              • by Anonymous Coward

                まあ確かにWAN側回線が100MbpsでRTX1000ならWAN側性能としては十分ではあるが
                今どきはLAN側がGbE、いや場合によっちゃ10GbEなこともあるわけでな。
                LAN側のトラフィックを捌くことも考えれば上げる理由がないわけでもないぞ。

                あと、古くなってくると経年劣化で突然死ぬこともあるから、生きてるうちに
                次を買って予備にする、とかも考えておいたがええぞ。

              • by Anonymous Coward

                宅内側に10GbEなり1GbEのl2sw置けば済むでしょ。
                ネットワークセグメント間でルーティングなりNATなりするなら別だけど。

                rtx1000/1100で十分な環境ってことは、そこまで複雑なネットワークでも無いだろうし。
                経年劣化で故障してダウンタイムで困る環境ならとっくに交換してる世代だしなー

    • by Anonymous Coward

      >日本だと

      フレッツだとNTTがレンタルしてるやつをそのまま・・・ってパターンが多い気がする。
      #うちがそうだし、実家もそうだ。

    • by Anonymous Coward

      海外製品買おうにもLinkSysは撤退しちゃったしなぁ

      逸般人以外は日本メーカー以外選択しないですし。

      • by Anonymous Coward

        Linksys最近日本で販売開始してますよ。AppleStoreでも取り扱い開始してる。
        Neatgearなんかもまだ買えると思う。
        海外といっても中国・台湾・米国の選択肢しかないですが。

  • by Anonymous Coward on 2018年10月10日 7時32分 (#3494997)

    対応出来ない製品は違法化すればいいのに。なんでどこの国も規則を作らないんでしょ。

    ここに返信
    • by Anonymous Coward

      テレビや冷蔵庫、エアコン、扇風機のような家電を耐用年数以上使ったり、リコールされた家電を使い続けるのはリスクがあるけど、そういうの差し置いて情報家電だけリスクがあるから規制は難しいのかと

      自動車みたいに車検でもあれば継続利用を出来なくできるが

      • by Anonymous Coward

        個々の製品の基本処理能力が上がっているから、無理矢理にでも規制、ないしメーカの告知義務があるようにしないと駄目じゃない?
        個人のリスクもそうだけど、いつの間にか攻撃する側になっているわけだし

    • by Anonymous Coward

      その分のコストを負担する気持ちはみんなにあるのかしら。無線LANルーターに脆弱性があったとしても、たいてい、持ってる本人は困らないんだよねぇ。

      • by Anonymous Coward

        インターネット利用者に機器保安税という名前ででも義務付けて、コストの平準化を図ればいい。
        補助金を出してファームウェアをメーカーに更新してもらうんだよ。
        更新を適用しないネットワーク機器は、自動でシャットダウンするようにすればいい。
        そういう車検と同じような仕組みをなぜできないのか?

        #危機感が足りないからさ。

    • by Anonymous Coward

      「ラズパイ買って自宅でLAN環境」みたいな本買ってきて、規制強化でバカ高いルータ買う人いなくなるかも
      そして今より状況が悪化する、と

      • by Anonymous Coward

        ラスパイの Ethernet 性能でルーティングとか、、、、
        1000円以下の100Mルータより遅そうだ。

        • by Anonymous Coward

          最近のルータもCPUやメモリ容量は対して変わらんし
          チューニング次第でどうにでもなる気が。

          NICが1ポートしかないから多ポートある機器よりは有線は遅くなっちゃうけどさ。

    • by Anonymous Coward

      製品1年保証とかあるし、現実的には1年間最新ファームウェアで安全に使えたらあとは放置ね、っていうのもありなのかな。
      その後の脆弱性は故障扱いで有償対応ですよ、みたいな。悪どい気がするけど。

      最近ソフトウェアでも、購入後1年間はアップデート受けられるけど、その後も受けたい場合は契約更新してね(アップデートしなくても使い続けることはできる)、というソフトウェアが増えつつある。

      まぁ2000円とかやっすい製品で5年も10年も無料でサポートしろ、っていうのは酷な気もする。
      それなりの金出してちゃんとした製品買うのが良いのかも。さすがに2万円とかする製品ならもっとやる気出してくれるでしょ。

      • by Anonymous Coward

        保証なんて保証しないこと前提で書くんですよ。商売の常識です。

  • by Anonymous Coward on 2018年10月10日 9時26分 (#3495047)

    ファームの無償配布が習慣の現状では無理じゃないかと。

    PS4やSwitchみたいにライセンス料で徴収できたり、製品寿命が長いなら別だけど、
    現状、製品価格に十分盛れているとは思えない。

    ここに返信
  • 所詮は鼬ごっこなんだよ。ソフトもハード(ファームウェア)もね。
    将来は、IoT家電とか車とかもターゲットになる日が来るわよ!。

    MacOSも最近になって、新たな脆弱性が見つかっている。
    Windowsなんて脆弱製だらけで、毎月修正アプデだしな。

    ここに返信
  • by Anonymous Coward on 2018年10月10日 14時15分 (#3495251)

    ・みんなが最新のファームにしていないという話なのか、メーカ更新が止まっていて最新のファームにしても脆弱性があるという話なのか……
    ・機種について比率を出すことには意味があるのか? 出荷台数で重み付けをしないと意味がないのではないか?

    ここに返信
    • by Anonymous Coward

      >・みんなが最新のファームにしていないという話なのか、メーカ更新が止まっていて最新のファームにしても脆弱性があるという話なのか……

          米国の家庭をスキャンして言っているのではなくて、製品評価なので後者ですね。

      >・機種について比率を出すことには意味があるのか? 出荷台数で重み付けをしないと意味がないのではないか?

          製品のうち何種類が安全か、ということですよね。
      広く普及しているのは、大抵サポート費用積んでない廉価機なので、出荷台数で重みづけなんかしたら、
      もっと絶望的な数になるかと・・・

typodupeerror

クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人

読み込み中...