Wireless Security Protocol

このページで学ぶこと

• WEP 旧式
• WPA / TKIP 旧式
• WPA2 Personal / PSK
• WPA2 Enterprise / 802.1X
• WPA3 Personal / SAE
• WPA3 Enterprise / 802.1X
• Authentication vs Encryption
• PMF 要件
• WPA2/WPA3 Transition
• 6 GHz Security

ページ027〜029では、

ページ027
→ 無線周波数帯

ページ028
→ 無線チャネル

ページ029
→ RF特性

を確認しました。

ページ030では、

無線LANへ
誰を接続させるか

接続相手を
どのように確認するか

無線フレームを
どのように保護するか

というセキュリティへ進みます。

無線セキュリティでは、

WEP

WPA

WPA2

WPA3

という世代だけでなく、

パーソナル

エンタープライズ

の違いも重要です。

さらに、

認証

キー管理

暗号化

保護管理フレーム

を同じものとして扱わない必要があります。

基本手順は、

セキュリティ世代
↓
パーソナルとエンタープライズ
↓
認証・キー管理
↓
暗号化
↓
PMF
↓
クライアント対応能力
↓
周波数帯要件
↓
適切なセキュリティ方式

です。

1. 無線セキュリティでは複数の役割を分ける

無線セキュリティを考えるとき、

パスワードがある

だけでは十分な説明ではありません。

主に、

認証・キー管理

暗号化

管理フレーム保護

を分けます。

つまり、

誰を接続させるか

どのようにキーを確立するか

データをどのように暗号化するか

管理フレームを
どのように保護するか

は別の役割です。

2. セキュリティプロトコルには世代がある

無線LANでは歴史的に、

WEP
↓
WPA
↓
WPA2
↓
WPA3

とセキュリティ方式が発展してきました。

現在の設計で重要なのは、

古い方式を
新規セキュリティ設計として選ばない

ことです。

3. WEPは旧式セキュリティとして扱う

WEPは、

Wired Equivalent Privacy

です。

初期の802.11無線セキュリティとして使用されましたが、現在では、

旧式

安全でない

な方式として扱います。

したがって、

新しい無線LANの
セキュリティ方式

としてWEPを選択しません。

4. WEPの詳細攻撃を暗記することが目的ではない

ページ030の目的は、

WEPへの暗号攻撃を
詳細に解析する

ことではありません。

CCNAでは、

WEP
→ 古い
→ 現在の安全な選択肢ではない

という位置付けを判断できることが重要です。

5. WPAはWEPの後に導入された

WPAは、

Wi-Fi Protected Access

です。

WEPより後に導入され、

WEPよりセキュリティを改善する

ための仕組みでした。

しかし現在では、

WPA

も旧式セキュリティとして扱います。

6. WPAではTKIPが代表的に関連する

WPAの旧世代セキュリティを説明するとき、

TKIP

が重要です。

TKIPは、

Temporal Key Integrity Protocol

です。

したがって試験で、

WPA
+
旧式暗号化

という組み合わせを問われた場合、

TKIP

を関連付けます。

7. WPA/TKIPも現在の推奨方式ではない

WPA/TKIPは、

WEPより新しい

という理由だけで、現在の安全な方式とはなりません。

現在は、

WPA/TKIP
→ 旧式

として扱います。

したがって、

WEPかWPA/TKIPか

という選択肢しかなければ、

どちらも新規導入向けではない

という判断が必要です。

8. WPA2ではAES-CCMPが重要

WPA2では、代表的に、

AES-CCMP

をデータ保護に使用します。

ここで、

AES-CCMP

は、

利用者を認証する方式

そのものではありません。

主な役割は、

無線データの
機密性・完全性を
提供する暗号方式

です。

9. 認証と暗号化を混同しない

例えばWPA2-Personalでは、

PSK

と、

AES-CCMP

が関連します。

しかし、

PSK
→ 認証・キー管理側

AES-CCMP
→ 暗号化側

です。

同じWPA2の中でも役割が異なります。

10. パーソナルとエンタープライズを分ける

WPA2/WPA3には、

パーソナル

エンタープライズ

という利用形態があります。

概念的には、

パーソナル
→ 共有認証情報を中心に利用

エンタープライズ
→ 利用者・端末単位の
   エンタープライズ認証を利用

という違いがあります。

11. WPA2-PersonalではPSKを利用する

WPA2-Personalでは、

PSK

を利用します。

PSKは、

事前共有キー

です。

一般的には、

AP側

クライアント側

で共通するパスフレーズ・秘密情報を利用して接続します。

12. WPA2-Personalは家庭・小規模環境で理解しやすい

例えば、

SSID
CORP-GUEST

パスフレーズ
example-password

のように、

同じパスフレーズを
クライアントへ設定する

形式を考えると理解しやすくなります。

これは、

利用者ごとに
RADIUS認証する

エンタープライズ方式とは異なります。

13. WPA2-PersonalではPSKとAES-CCMPを分けて覚える

WPA2-Personalを整理すると、

認証・キー管理
→ PSK

通信保護
→ AES-CCMP

です。

したがって、

AES-CCMP
=
WPA2-Personalの
認証方式

とは考えません。

14. WPA2-Enterpriseでは802.1Xを利用する

WPA2-Enterpriseでは、

IEEE 802.1X

を利用したエンタープライズ認証を行います。

概念的には、

無線クライアント
↓
APや無線基盤
↓
認証サーバー

という形で認証します。

15. エンタープライズ認証ではEAPを利用する

802.1Xでは、

EAP

を利用して認証を行います。

EAPは、

Extensible Authentication Protocol

です。

実際には、

EAP-TLS

PEAP

など複数の方式があります。

ページ030ではEAP方式の詳細比較までは扱いません。

16. RADIUSはエンタープライズ認証で重要

エンタープライズWLANでは、一般に、

RADIUSサーバー

が認証基盤として利用されます。

概念的には、

クライアント
↓
APやコントローラー
↓
RADIUS

という関係です。

したがって、

WPA2-Enterprise

という問題では、

802.1X

EAP

RADIUS

を関連付けます。

17. パーソナルとエンタープライズの基本比較

基本的には次のように整理できます。

重要なのは、

パーソナル
=
AES

エンタープライズ
=
802.1X

ではありません。

AES-CCMPは暗号化側です。

18. WPA3はWPA2の次世代セキュリティ

WPA3では、

パーソナル

エンタープライズ

の両方が存在します。

基本対応は、

WPA3-Personal
→ SAE

WPA3-Enterprise
→ 802.1X

です。

19. WPA3-PersonalではSAEを利用する

WPA3-Personalでは、

SAE

を使用します。

SAEは、

Simultaneous Authentication of Equals

です。

WPA2-PersonalのPSK方式から、

WPA3-Personal
→ SAE

へ変わることが重要です。

20. WPA2-PersonalとWPA3-Personalを比較する

基本比較は、

WPA2-Personal
→ PSK

WPA3-Personal
→ SAE

です。

どちらも、

家庭

小規模オフィス

共有パスワード型の利用

と関連付けやすい方式ですが、

認証・鍵確立の仕組みは異なります。

21. SAEを単純なPSKと同一視しない

WPA3-Personalでも、

パスワードやパスフレーズ

を入力することがあります。

しかし、

パスワードを入力する
=
WPA2-PSKと同じ仕組み

ではありません。

WPA3-Personalでは、

SAE

によって認証・鍵確立を行います。

22. WPA3-Personalの重要な改善点

WPA3-PersonalのSAEは、

WPA2-Personalの
従来PSK方式

よりパスワード認証を強化します。

試験では、

WPA3-Personal
↓
SAE

を確実に関連付けることが重要です。

暗号学的交換の数学的詳細までは扱いません。

23. WPA3-Enterpriseでも802.1Xを利用する

WPA3-Enterpriseでは、

802.1X

を利用したエンタープライズ認証を行います。

したがって、

WPA2-Enterprise

WPA3-Enterprise

のどちらでも、

802.1X/EAP

が重要です。

24. WPA3-EnterpriseはSAEではない

次を混同しないようにします。

WPA3-Personal
→ SAE

WPA3-Enterprise
→ 802.1X

つまり、

WPA3
=
すべてSAE

ではありません。

SAEは主に、

WPA3-Personal

で使用します。

25. WPA3-EnterpriseでもRADIUSを利用できる

エンタープライズWLANでは、

802.1X

EAP

RADIUS

を組み合わせて利用できます。

概念的には、

サプリカント（Supplicant）
→ クライアント

オーセンティケータ（Authenticator）
→ APや無線基盤

認証サーバー
→ RADIUS

です。

ページ030では802.1Xの状態遷移の詳細までは扱いません。

26. WPA3-Enterprise 192ビットは別の高度なオプション

WPA3-Enterpriseには、

より高い暗号強度を
要求するモード

として、

192ビットセキュリティ

があります。

しかし、

WPA3-Enterprise
=
常に192ビットモード

ではありません。

ページ030では、

WPA3-Enterprise
→ 802.1X

192ビット
→ より強いエンタープライズセキュリティの選択肢

として区別します。

27. WPA2とWPA3の基本対応

主要な対応は次のとおりです。

この比較を基本として使います。

28. 認証と暗号化は別の機能

例えば、

802.1X

は、

エンタープライズ認証

に関係します。

一方、

AES-CCMP

は、

トラフィックの暗号化・完全性

に関係します。

したがって、

802.1X
=
暗号化アルゴリズム

ではありません。

29. SAEも暗号化アルゴリズムではない

同様に、

SAE

は、

認証・キー確立

に関係します。

SAEそのものを、

無線データを暗号化する
暗号方式

として扱いません。

30. AES-CCMPの役割

AES-CCMPは、無線トラフィックを保護するための、

暗号化・完全性

に関係する仕組みです。

したがって問題で、

WPA2

AES-CCMP

が示された場合、

AES-CCMPの役割は、

通信保護

と判断します。

31. TKIPとCCMPを世代と関連付ける

基本的には、

WPA
→ TKIP

WPA2
→ AES-CCMP

として世代を整理します。

これは、

WPA2では絶対に
他の互換性の選択肢が
存在しなかった

という意味ではありません。

試験上は、

旧式WPA/TKIP

WPA2とAES-CCMP

という基本関係を理解します。

32. セキュリティを1つの名称だけで判断しない

例えば、

WPA2

だけでは、

パーソナルか

エンタープライズか

が分かりません。

同様に、

WPA3

だけでも、

パーソナル（SAE）

エンタープライズ（802.1X）

のどちらかを確認する必要があります。

33. パーソナルでは共有認証情報の管理が課題になる

WPA2-PersonalのPSKでは、

複数クライアントが
同じ共有シークレットを
利用する

構成が一般的です。

その場合、

利用者ごとの
個別認証

というエンタープライズ方式の利点は得られません。

したがって、

多数の企業ユーザーを
個別認証したい

場合にはエンタープライズ方式が適しています。

34. エンタープライズでは利用者・端末単位の認証を行いやすい

802.1Xを利用するエンタープライズ方式では、

ユーザー

端末

証明書

認証情報

などを利用した認証設計が可能です。

したがって、

全員で1つのパスフレーズを共有する

パーソナル方式とは異なります。

35. PMFとは

PMFは、

保護管理フレーム
（Protected Management Frames）

です。

IEEE 802.11wに関連する機能で、

特定の管理フレームを
保護する

ために利用されます。

36. PMFはデータ暗号化そのものではない

PMFは、

ユーザーデータトラフィックを
AESで暗号化する

機能そのものではありません。

主な目的は、

ロバスト管理フレーム

を保護することです。

したがって、

PMF
=
トラフィック暗号化

とは考えません。

37. PMFが保護する管理フレームを区別する

無線LANには、

アソシエーション

関連付け解除

認証解除

など、接続状態に関係する管理処理があります。

802.11w PMFが直接暗号学的に保護するロバスト管理フレームには、

認証解除

関連付け解除

ロバストアクションフレーム

などがあります。

これにより、

保護対象となる
管理フレームへの
なりすまし・改ざん耐性

を高めます。

また、既存セキュリティアソシエーションに対する不正なアソシエーション要求などについても、

SA Query

などの仕組みを利用して、正当なピアとの状態を確認できます。

したがって、

すべての管理フレームが
同じ方法で直接保護される

とは考えません。

38. WPA3ではPMFが重要

WPA3のみのセキュリティでは、

PMF
→ 必須

として扱います。

したがって、

WPA3のみ

PMF無効

という組み合わせは、WPA3要件と整合しません。

39. WPA2ではPMFが常に必須とは限らない

WPA2環境では、

PMF

を利用できる構成があります。

しかし、

WPA2
=
PMF必須

とは一般化しません。

この違いは、

WPA3
→ PMF必須

との比較で重要です。

40. WPA2/WPA3移行モードとは

既存のWPA2クライアントと、

WPA3対応クライアント

が混在する場合、

2.4 GHz/5 GHzでは、

WPA2/WPA3移行モード

を使用する場合があります。

目的は、

旧式WPA2クライアント

+

WPA3クライアント

を移行期間中に収容することです。

41. パーソナル移行ではPSKとSAEが共存する

WPA2/WPA3-Personal移行モードでは、

WPA2クライアント
→ PSK

WPA3クライアント
→ SAE

という形で、クライアント対応能力に応じた接続が可能になります。

したがって、

移行モード
=
全クライアントがWPA3になる

ではありません。

42. 移行モードには互換性上の利点がある

移行モードの主な目的は、

すべてのクライアントを
一度にWPA3へ更新できない

環境で互換性を維持することです。

例えば、

最新ノートPC
→ WPA3対応

旧式携帯端末
→ WPA2のみ

なら、移行期間に移行モードを検討できます。

43. 移行モードはWPA3のみと同じではない

移行モードでは、

WPA2クライアントも接続できる

ため、

WPA3専用

とは異なります。

したがって、

移行モード
=
WPA3のみ

とは判断しません。

44. 互換性とセキュリティのトレードオフを理解する

移行モードには、

旧式クライアントとの互換性

という利点があります。

一方、

WPA2を完全に排除した
WPA3専用環境

とはなりません。

したがって、

互換性を優先する移行段階

と、

WPA3のみへ移行した状態

を区別します。

45. PMFと移行モードの関係

WPA3クライアントではPMFが必要です。

一方、WPA2/WPA3移行モードでは、

旧式WPA2クライアント

との互換性も考慮されます。

そのため、

移行モード
=
全クライアントにWPA3専用と
完全に同じ条件

とは考えません。

46. 6 GHzではセキュリティ要件が強化される

6 GHz無線では、

旧式セキュリティを
そのまま利用する

ことはできません。

特に、

WPA2

を6 GHzのWLANのセキュリティとして利用することは認められません。

47. 6 GHzの保護されたWLANではWPA3を利用する

パスワード型やエンタープライズ認証を利用する6 GHzのWLANでは、

WPA3

が基本になります。

例えば、

パーソナル
→ WPA3-Personal/SAE

エンタープライズ
→ WPA3-Enterprise/802.1X

です。

48. 6 GHzではPMFも必須

6 GHz動作では、

PMF

が必要です。

したがって、

6 GHz

+

PMF無効

というセキュリティ設計は適切ではありません。

49. 6 GHzではWEP/WPA/WPA2を選ばない

6 GHzセキュリティで、

WEP

WPA/TKIP

WPA2-Personal

WPA2-Enterprise

をそのまま利用する設計にはしません。

6 GHzは、

より新しいセキュリティ基準

を前提とします。

50. 6 GHzのオープン型ネットワークでは拡張オープンを利用できる

パスワードや802.1Xを使わないゲスト用途では、

拡張オープン（Enhanced Open：OWE）

という方式があります。

OWEは、

Opportunistic Wireless Encryption

です。

51. OWEはWPA3-Personalではない

OWEでは、

共有パスワード

を利用しません。

また、

WPA3-Personal/SAE

とも異なります。

概念的には、

オープンネットワークの使いやすさ

+

無線データ暗号化

を提供する方式です。

52. OWEは利用者認証を提供する方式ではない

OWEは無線トラフィックを暗号化しますが、

接続者のIDを
パスワードや802.1Xで確認する

方式ではありません。

したがって、

暗号化

と、

認証

を分けて考える例でもあります。

53. 6 GHzで従来のオープン方式をそのまま使うと考えない

6 GHzでゲストWLANを考える場合、

暗号化されていないオープンWLAN

をそのまま6 GHzへ持ち込むのではなく、

拡張オープン（Enhanced Open：OWE）

というセキュリティモードを利用できます。

ページ030では、

6 GHz
→ WPA3または拡張オープン（Enhanced Open：OWE）などの
   最新のセキュリティ

と理解します。

54. 6 GHz帯ではWPA2クライアントをWPA2で収容しない

2.4 GHz/5 GHzでは、

WPA2 + WPA3

の移行を利用できます。

しかし6 GHzでは、

WPA2セキュリティ

を利用しません。

したがって、

6 GHz帯で
WPA2クライアントをWPA2として収容する

という考え方は適切ではありません。

55. 同じSSIDでも周波数帯によってセキュリティ条件が異なる場合がある

複数周波数帯WLANでは、

2.4 GHz

5 GHz

6 GHz

を同じネットワーク設計で扱う場合があります。

しかしセキュリティ条件は、

すべての周波数帯で
必ず完全に同じ

とは限りません。

特に6 GHzでは、

WPA2を使用しない

PMF必須

という条件が重要です。

56. 6 GHzクライアント自身のセキュリティ対応能力も必要

APが6 GHzとWPA3に対応していても、

クライアントが
6 GHzとWPA3へ対応していない

場合、そのクライアントは6 GHzへ接続できません。

したがって、

周波数帯対応能力

+

セキュリティ対応能力

の両方が必要です。

57. セキュリティプロトコルと周波数帯を組み合わせて判断する

例えば、

クライアント
→ WPA2のみ対応

周波数帯
→ 6 GHz

なら、

互換性
→ 不成立

です。

一方、

クライアント
→ WPA3-SAE対応

周波数帯
→ 6 GHz

なら、パーソナルWLANとして必要なセキュリティ対応能力を持つ候補になります。

58. ケース1：旧式WEPネットワーク

セキュリティ：

WEP

が設定されている場合、

現在のセキュリティ設計としては、

旧式で安全ではない

と判断します。

暗号化されているから安全

とは判断しません。

59. ケース2：WPA/TKIP

セキュリティ：

WPA

TKIP

なら、

旧世代無線セキュリティ

として判断します。

新しい企業WLANのセキュリティ方式として選択するものではありません。

60. ケース3：WPA2-Personal

要件：

小規模オフィス

共有パスフレーズでよい

RADIUS不要

なら、

WPA2-Personal

PSK

AES-CCMP

という組み合わせを説明できます。

61. ケース4：WPA2-Enterprise

要件：

企業WLAN

ユーザー単位認証

認証サーバーを利用

なら、

WPA2-Enterprise

802.1X/EAP

RADIUS

AES-CCMP

を関連付けます。

62. ケース5：WPA3-Personal

要件：

パーソナルセキュリティ

WPA3対応クライアント

なら、

WPA3-Personal
→ SAE

です。

WPA3-Personal
→ PSK

とは判断しません。

63. ケース6：WPA3-Enterprise

要件：

企業WLAN

WPA3

ユーザー・端末単位認証

なら、

WPA3-Enterprise
→ 802.1X/EAP

を選択します。

SAEはパーソナル側です。

64. ケース7：AES-CCMPの役割を問われる

問題：

AES-CCMPは何を担当するか

なら、

トラフィックの暗号化・完全性

です。

ユーザー認証

とは答えません。

65. ケース8：SAEの役割を問われる

問題：

WPA3-Personalの
認証・キー確立

なら、

SAE

です。

AES-CCMP

ではありません。

66. ケース9：エンタープライズ認証を問われる

問題：

WPA2/WPA3エンタープライズで
ユーザー認証を行う仕組み

なら、

802.1X

です。

必要に応じて、

EAP

RADIUS

と関連付けます。

67. ケース10：WPA3のみでPMFを確認する

セキュリティ：

WPA3のみ

要件：

PMF

なら、

必須

と判断します。

PMFを、

オプションでなければ
WPA3は動作できない

という逆の理解をしないようにします。

68. ケース11：WPA2クライアントとWPA3クライアントが混在する

環境：

旧式クライアント
→ WPA2-Personalのみ

最新クライアント
→ WPA3-Personal対応

周波数帯
→ 2.4/5 GHz

なら、

WPA2/WPA3移行モード

は移行方法の候補になります。

概念的には、

旧式
→ PSK

最新
→ SAE

として同一WLANへ段階的に収容できます。

69. ケース12：6 GHzでWPA2を使用しようとしている

要件：

6 GHzのWLAN

設定案：

WPA2-Personal

なら、

セキュリティ要件不一致

です。

6 GHzではWPA2を利用する設計にはしません。

70. ケース13：6 GHzパーソナルWLAN要件

6 GHz

パスワード型無線LAN

なら、

WPA3-Personal

SAE

PMF必須

を関連付けます。

71. ケース14：6 GHzエンタープライズWLAN要件

6 GHz

エンタープライズ認証

なら、

WPA3-Enterprise

802.1X

PMF必須

を関連付けます。

必要に応じてEAPとRADIUSを利用します。

72. ケース15：6 GHzゲストWLAN要件

6 GHz

ゲスト

パスワード認証なし

通信は暗号化したい

なら、

拡張オープン（Enhanced Open：OWE）

が候補になります。

これは、

WPA3-Personal/SAE

とは別です。

73. 認証と暗号化のシナリオ

次を考えます。

認証
→ 802.1X

暗号化
→ AES-CCMP

この場合、

802.1X
→ 誰をネットワークへ接続させるか

AES-CCMP
→ 無線トラフィックをどう保護するか

という役割分担です。

74. PSKとAES-CCMPのシナリオ

次の組み合わせ：

WPA2-Personal

PSK

AES-CCMP

では、

PSK
→ 認証・キー管理

AES-CCMP
→ 暗号化

です。

75. SAEとAES-CCMPのシナリオ

次の組み合わせ：

WPA3-Personal

SAE

AES-CCMP

では、

SAE
→ 認証・キー確立

AES-CCMP
→ 通信保護

です。

このように、

WPA3-Personal

という1つのセキュリティモードの中でも役割を分離します。

76. 802.1XとRADIUSも同じものではない

エンタープライズセキュリティで、

802.1X

RADIUS

は密接に関連します。

しかし同義ではありません。

概念的には、

802.1X
→ ポートベースのネットワークアクセス制御と
   認証の枠組み

RADIUS
→ 認証サーバーとの
   AAA通信で利用されるプロトコル

です。

ページ030では詳細AAA設計までは扱いません。

77. WEP/WPAを互換性だけで残さない

古いクライアントが、

WEPしか使えない

WPA/TKIPしか使えない

場合があります。

しかし、

旧式クライアントを接続したい
↓
全体のセキュリティを
WEPへ下げる

ことを適切な現行セキュリティ設計とは考えません。

78. 旧式クライアントと現行セキュリティは分離して考える

古いクライアント要件がある場合は、

旧式端末の更新

分離ネットワーク

セキュリティポリシー

などを検討する必要があります。

ページ030では詳細設計までは扱わず、

WEP/WPA-TKIPを
最新の安全なプロトコルとして
選ばない

ことを押さえます。

79. セキュリティ世代だけで強さを断定しすぎない

例えば、

WPA3

という名称だけを確認しても、

パーソナルか

エンタープライズか

どのAKMか

PMFがどうなっているか

などを確認する必要があります。

セキュリティ判断では、

プロトコル名だけ

ではなく、

セキュリティモード

認証・AKM

暗号化

PMF

を組み合わせます。

80. 無線セキュリティ選択手順

1. 旧式プロトコルか確認

   WEP/WPA-TKIP
   → 新規選択から除外

        ↓

2. パーソナルか
   エンタープライズか判断

        ↓

3. パーソナルなら

   WPA2
   → PSK

   WPA3
   → SAE

        ↓

4. エンタープライズなら

   802.1X/EAP
   を確認

        ↓

5. トラフィック暗号化を確認

        ↓

6. PMF要件を確認

        ↓

7. クライアント対応能力を確認

        ↓

8. 6 GHzなら
   WPA2を使用しないことと
   PMF要件を確認

        ↓

9. 必要なら
   移行モードを判断

81. パーソナルとエンタープライズ比較手順

共有認証情報中心で
小規模環境
↓
パーソナル

ユーザー・端末単位の
エンタープライズ認証
↓
エンタープライズ

その後、

WPA2-Personal
→ PSK

WPA3-Personal
→ SAE

WPA2/WPA3エンタープライズ
→ 802.1X

と判断します。

82. 6 GHzセキュリティ選択手順

6 GHzのWLAN
↓
旧式WPA2を使用しない
↓
PMF必須
↓
認証済みWLANなら
WPA3-PersonalまたはWPA3-Enterprise
↓
オープン型なら
拡張オープン（Enhanced Open：OWE）
↓
クライアント対応能力確認

です。

83. よくある誤判断

誤り1：WEPは暗号化なので現在も安全

WEPは旧式で安全ではないとして扱います。

誤り2：WPA/TKIPはWPA2より古いだけで現在も推奨

WPA/TKIPも旧式として扱います。

誤り3：WPA2-Personalでは802.1Xを使う

代表的にはPSKです。

誤り4：WPA2-EnterpriseではPSKを利用者ごとに設定する

エンタープライズ認証では802.1X/EAPを利用します。

誤り5：WPA3-PersonalはPSK

WPA3-PersonalではSAEを利用します。

誤り6：WPA3ならすべてSAE

WPA3-Enterpriseでは802.1Xを利用します。

誤り7：AES-CCMPは認証プロトコル

AES-CCMPはトラフィック保護側です。

誤り8：802.1Xは暗号化アルゴリズム

802.1Xは認証・アクセス制御側です。

誤り9：PMFはデータフレーム暗号化そのもの

PMFは管理フレーム保護です。

誤り10：WPA3のみではPMFはオプション

WPA3ではPMFが必須です。

誤り11：移行モードでは全クライアントがWPA3になる

旧式WPA2クライアントを収容するための互換モードです。

誤り12：6 GHzでもWPA2をそのまま利用できる

6 GHzではWPA2を使用しません。

誤り13：6 GHzならすべてSAE

エンタープライズでは802.1X、オープン型ではOWEという選択肢があります。

誤り14：OWEはWPA3-Personal

OWEとWPA3-Personal/SAEは別です。

誤り15：APがWPA3対応ならクライアント対応能力は関係ない

クライアント側も必要な周波数帯とセキュリティへ対応している必要があります。

84. セキュリティ方式比較

この表では、

認証

暗号化

を同じ列へまとめず、役割を分けて確認します。

85. WPA2/WPA3の比較

86. 6 GHzセキュリティ比較

87. 最終的に判断できるようにすること

ページ030では最終的に、

WEPを
旧式で安全ではないとして
判断できる

WPA/TKIPを
旧式として判断できる

WPA2-Personalで
PSKを関連付けられる

WPA2-Personalで
AES-CCMPの役割を説明できる

WPA2-Enterpriseで
802.1X/EAPを
関連付けられる

エンタープライズ環境で
RADIUSの役割を認識できる

WPA3-Personalで
SAEを判断できる

WPA3-Enterpriseで
802.1Xを判断できる

SAEと802.1Xを
パーソナルとエンタープライズで
区別できる

認証と
暗号化を分離できる

PSK・SAE・802.1Xの役割を
暗号化と混同しない

AES-CCMPを
通信保護として
説明できる

PMFを
管理フレーム保護として
説明できる

WPA3専用で
PMFが必須と判断できる

WPA2/WPA3移行モードの
目的を説明できる

移行モードで
WPA2クライアントとWPA3クライアントを
段階的に収容できると判断できる

移行モードと
WPA3専用を区別できる

6 GHzでは
WPA2を使用しないと判断できる

6 GHzで
PMFが必須と判断できる

6 GHzパーソナルで
WPA3-Personal/SAEを
関連付けられる

6 GHzエンタープライズで
WPA3-Enterprise/802.1Xを
関連付けられる

拡張オープン（Enhanced Open：OWE）を
パスワードなしの暗号化されたWLANとして
認識できる

OWEと
WPA3-Personalを
混同しない

APとクライアント双方の
セキュリティ対応能力を確認できる

要件から
適切な無線セキュリティ方式を
比較できる

必要があります。

まとめ

無線セキュリティでは、

WEP
↓
WPA
↓
WPA2
↓
WPA3

という世代があります。

現在、

WEP

WPA/TKIP

は旧式セキュリティとして扱います。

WPA2-Personalでは、

PSK

を利用し、

WPA2-Enterpriseでは、

802.1X/EAP

を利用します。

トラフィック保護では、

AES-CCMP

が重要です。

WPA3では、

パーソナル
→ SAE

エンタープライズ
→ 802.1X

と整理します。

重要なのは、

認証・キー管理

と、

暗号化

を分けることです。

例えば、

SAE
→ 認証・キー確立

802.1X
→ エンタープライズ認証

AES-CCMP
→ 通信保護

です。

さらにWPA3では、

PMF
→ 必須

です。

2.4 GHz/5 GHzで、

旧式WPA2クライアント

+

WPA3クライアント

が混在する移行期間には、

WPA2/WPA3移行モード

を利用する場合があります。

一方6 GHzでは、

WPA2を使用しない

PMF必須

というセキュリティ要件があります。

保護されたWLANでは、

WPA3-Personal/SAE

または

WPA3-Enterprise/802.1X

を利用します。

パスワード認証を行わない暗号化されたネットワークでは、

拡張オープン（Enhanced Open：OWE）

という選択肢があります。

最終手順は、

旧式プロトコルを除外
↓
パーソナルとエンタープライズ
↓
認証・AKM
↓
暗号化
↓
PMF
↓
移行要件
↓
周波数帯要件
↓
クライアント対応能力
↓
適切なセキュリティ方式

です。

次のページ031では、

無線干渉

へ進み、

同一チャネル

隣接チャネル

非Wi-Fi干渉

AP密度

広帯域チャネル

DFSとレーダー

などから、無線通信へ影響する干渉の原因を判断します。