Wi-FiとはIEEE802.11系で認証を受けた製品。
という出だしにすると難しそうだけれども、スマホやタブレットの普及によりPCユーザ以外もWi-Fiの危険性を知っておいた方が良いと思い、簡単に判るよう解説。専門用語の意味とか無視で読んでOK。
先に最近のタダ乗り事件から。
元ネタはこちら。
狙われる自宅の無線ＬＡＮ、犯罪に巻き込まれる可能性（1/3）-産経
http://www.sankei.com/premium/news/150630/prm1506300003-n1.html
何がどうなったか、要点を書き出すとこの辺り。
- 全く知らない人の無線LANへ勝手に接続して逮捕
- 電波を強力にするアダプタ利用で数十m先に接続
- 発信元をなりすましネットバンキングで不正送金
- タダ乗りされた人の無線LANの暗号はWEPを利用
誰が悪いかはもちろん電波法違反や不正アクセス禁止法に抵触した人だけれども、タダ乗りされた側も今時WEPとか使っていたならガードが甘かった。
Wi-Fiの電波は障害物などで弱まるものだけれども、9倍にして数十m先に接続出来るという事は、住宅密集地やマンションは特に注意すべきですな。
この手口は、作年から話題になっていたPC遠隔操作と同じと言えるやり方で、タダ乗りした状態で犯罪予告をされたなら、タダ乗りされた人が誤認逮捕されていた可能性が今なお残るところ。※あの事件で警察側は接続元を判明出来ず終わったので、本当の意味でPC遠隔操作事件は解決していない。
Wi-Fi接続の設定や利用で注意する事5つ
設定3つと接続2つ。もっと有るだろうけれど、最低限これだけは知っておいた方が良いと思った5点。
1.古くもろいWEPとかを使わない
WEPとは暗号化の一つで、私の知る限りでは家庭用に無線LANが普及し始めた軽く10年以上前の方式。そのWEPは9年くらい前、既に解読される事が判明しております。
2008年10月に開催された「コンピュータセキュリティシンポジウム2008」で、神戸大学と広島大学のグループから無線LANの暗号化方式である「WEP」の解読にわずか10秒で成功したという興味深い発表がなされた
この後、実際にWEPを解読するフリーソフトなどが出回る事になり、より強力な暗号化へと進化。
無線LAN親機（ルータ）が凄く古い機種なら、WEP以外に対応しているか、WEP以外に設定しているか確認しましょう。IEEE802.11bのみとか、b/gだけに対応する10年以上前の機器なら危ないかも知れない。
2.接続はWPSやAOSSを利用する
これが普及し始めて無線LANはかなり手軽になったと思う、ボタン押すだけで接続出来る最近の無線親機。
source：ワンプッシュで無線がつながる「WPS」 | IODATA アイ・オー・データ機器
端末や子機が対応しているなら、双方のボタンを押すだけで暗号化通信が確立し、安全な接続が可能。
バッファローのAOSSという機能も似た感じ。
source：ワイヤレスホームネットワークの未来を広げるAOSS | BUFFALO
例として、iOSはどちらも対応しております。
iPhone/iPad/iPod touchでインターネットモードの設定方法 | BUFFALO
http://faq.buffalo.jp/app/answers/detail/a_id/14616#2
昔のように長いキーを入力する手間無く、手軽に高度な暗号化。ここ数年内の機器は対応しているはずなので、やった記憶が無ければ確認してみましょう。
3.古い端末専用の無線親機を増設
問題はWEPにしか対応していないような年代物の端末。最初に貼ったBB Watchより画像を拝借。ニンテンドーDSはWEPのみ。※3DSは違う
無線LAN親機のモード設定は1つに限られ、WPAとWEP混合は無理。
その場合は、無線LAN親機を2台用意し、1つはWEPか暗号化無し専用、もう一つはワンタッチな暗号化用、とすれば良さそうに思えるけれど、WEP側の親機でタダ乗りされるとなりすまし可能。安全に行くならやめておきましょう。
4.ホテルなど共有無線親機の注意点
Wi-Fi対応の宿などで、おもむろに電波を拾うとSSIDが表示され、適当にクリックやタップすると繋がってしまう場合。また、ネットワークを見ると知らない端末名がずらずらと表示される場合。
こういう時は、全開している共有フォルダなどを設定していないか意識しましょう。私は仕事用のノートPCでフォルダ1つ何でも有りにしていたけれど、出張で持ち歩く事になり設定を変更。
また、暗号化されていないなら、やはり無線の傍受は可能となってしまう為、自分は大丈夫とか、そんな人が居るとは限らない、など思わない方が安全。
5.auやソフトバンクの公衆無線もヤバい？
スマホが良く解らないので専門サイト内を検索すると、このような情報が。
例えば、au が提供する「Wi2premium」「Wi2」「wifi_square」は暗号化されていません。（中略）
ソフトバンクが提供する「FON_FREE_INTERNET」「FON」「0001softbank」は暗号化されていません（一括設定プロファイルで確認）。「0002softbank」は WPA2-AES を使っているようですが、ソフトバンクのウェブサイトには記載がありません。
2013年1月の記事なので今は改善されているのかも知れないけれど、一応確認を。私はドコモ、しかもガラケーなので検証不能。
SSIDを意識しタダ乗りしてしまわないように（まとめ）
無線LAN（Wi-Fi）というものは近くにある端末を探す特徴が有り、何となくでSSIDを意識せず適当に接続し、もし繋がってしまったならタダ乗りとなり不正アクセス禁止法に違反してしまう。
乗ってしまった親機が暗号化されていなければ、「知らなかった」で済む可能性は有るけれど、済まない可能性もございましょう。
また、繋がるからと知らないSSIDへ接続すると、悪意の有る親機所有者ならば情弱ホイホイとして情報を盗まれてしまう可能性。
更に、私が悪意有る人間とするなら、例として「MELCHIOR」というSSIDが近くに有ったなら「MELCHI0R」（Oがゼロ）のように紛らわしいSSIDで罠を張るかも知れない。
端末が「暗号化されていませんが何か？」のように言うはずだけれども、ユーザが「なにそれうまいの？」と思ってしまえば終わり。自分は大丈夫でも家族が引っ掛かる可能性なども有りましょう。
スマホやタブレットの普及以外にゲーム機がWi-Fi対応とか、挙句の果てにはテレビや楽器なども無線LANに繋がってしまう時代。今後、IoT（照明や家電がネット接続）の時代が来るなら、更に範囲は広がると思われ、PCユーザ以外でも最低限、今回の知識くらいは有れども損は無いと思う。
GoogleがSSLを推奨する理由はスマホの普及が要因？（おまけ）
この記事を書きつつ気付いたかも知れない事は、GoogleがSSL導入サイトを優先したり、非対応ページに警告を表示しようとしている件。
Google Chrome 開発版、「安全ではない」警告マークを非HTTPSページに表示 | 海外SEO情報ブログ
https://www.suzukikenichi.com/blog/chrome-canary-marks-non-secure-origins-as-non-secure/
SSLとは、リンク先の鈴木氏のサイトのようにURLが https: で始まるページを挿しており、簡単にいうと情報の受送信が暗号化されるページという意味。
当サイトは個人情報やカード番号を送信するような使い方はしておらず、匿名の人が公開用の投稿をするのみなので関係無いと思っていたけれど、スマホユーザが増えるとネットワーク素人が増え暗号化が重要になるとして、GoogleはSSL対応を勧めているのかと思った。
私や当サイトは、SSL対応は知識や技術的には可能だけれども、まずサーバー移転や再構築が面倒。そして上位プランとなるサーバー代や毎年証明書用に高額な費用が要るとか、匿名では厳しいなど、個人の趣味としてはハードルが高い。無料の証明書サービスも有るには有るれど、いつ消えるか分からない証明書とか逆に怖い。
モバイルフレンドリーに続くGoogleの斜め思考に付き合っていられない。スマホから検索すると、ユーザが求めた情報より、スマホレイアウト対応のSSL対応サイトが検索上位へ出るようになるなら、それは検索結果の精度としてますます問題が有ると思う。
最近は地方の宿でも無線LAN完備なところも増えましたが、そこでも暗号方式はWPA＆WPA2とAESが基本でしたね。WEPのみを使っている所は、私の知る限り皆無。
＞WPSやAOSS
ほか、QRコードを読み込んで云々、という方式もありましたね。だいたいが別途にアプリが必要でしたが。
QRコードを読むだけ! AtermらくらくQRスタート｜ルータ活用コンテンツ｜AtermStation
http://121ware.com/product/atermstation/special/rakuraku_qr/
無線LAN設定アプリ「QRコネクト」 | IODATA アイ・オー・データ機器
http://www.iodata.jp/product/network/info/app/qrconnect.htm
＞ホテルなど共有無線親機
＞適当にクリックやタップすると繋がってしまう
ホテルやら旅館やらにも協会やら協定やらあるのか、現在はどこも暗号化はされていましたね。職人宿でも暗号化済み。もちろんWEPでは無し。ただし個人経営のような旅館は不明。とりあえずビジネスホテルならどこも安心できるはず。
不安なら持ち歩ける無線LANルータでも使うと良さそう。私は念のため、ELECOMの「WRH-300WH2-S」を持ち運んでいます。小型で速度は出るため便利。
価格コム：WRH-300WH2-S
http://kakaku.com/item/K0000685257/
＞スマホレイアウト対応のSSL対応サイトが検索上位へ出る
スマホは電話とメールとゲームだけやろう。サイトの閲覧はパソコンで。
無線LANのノーガード。こういう笑い話で済めば良いのですがね。
稲妻速報：何気なくWi-Fiの電源落としたら隣の部屋から悲鳴とうめき声が……
http://inazumanews2.com/archives/34419822.html
>SSL対応は知識や技術的には可能だけれども、まずサーバー移転や再構築が面倒
そうですよね。
現状個人のサイトでそこまでする意味はないと思います。
>SSL対応は（中略）、サーバー代や毎年証明書用に高額な費用が要るとか、匿名では厳しい（後略）
共有SSL証明書ではダメなんでしょうか？
例えばさくらのレンタルサーバでは、515円／月 のスタンダードプラン以上で共有SSLが使えます。もちろん無料です。
http://www.sakura.ad.jp/function/security/common-ssl.html
>SSIDを意識せず適当に接続し繋がってしまったなら不正アクセス禁止法に違反してしまう
細かいこと書くのは無粋なのかもしれませんが、アクセス制御機能のないネットワークに接続しただけでは違法行為にならないと思います。
第二条四項を参照：
http://law.e-gov.go.jp/htmldata/H11/H11HO128.html
>スマホレイアウト対応のSSL対応サイトが検索上位へ出る
スマホレイアウト対応だからといってスマホで使いやすいとは限らない現状では、スマホレイアウト対応が上位に出るのはやめていただきたいです。
使いづらいサイトが多すぎます。
>不安なら持ち歩ける無線LANルータでも使うと良さそう。
意外と安いんですね。
容量を気にしながらテザリングするより精神的に楽そうです。
今のところ頻繁にホテルに行ったりしないのですが、必要になったら検討してみます。
＞最近のタダ乗り事件
どうやって警察は不正アクセスを割り出したんですかね？ｗ Wi-Fiルーターのログを調べたのでしょうかｗ
＞古くもろいWEPとかを使わない
WEPは無効にしておいたほうがいいかもしれませんねｗ
＞ニンテンドーDSはWEPのみ。
「ニンテンドーDS」および「Wii」ソフトの「ニンテンドーWi-Fiコネクション」サービス終了のお知らせ｜サポート情報｜Nintendo
http://www.nintendo.co.jp/support/information/2014/0227.html
ニンテンドーWi-Fiコネクションが終了したのでDSをネット接続する場面は限られてくるのではｗ
＞※3DSは違う
「ニンテンドーDSi」が発表。カメラやSDカードスロットを搭載
http://bb.watch.impress.co.jp/cda/news/23361.html
DSi/DSiLLもWPAとWPA2に対応しているみたいですよｗ
＞auやソフトバンクの公衆無線もヤバい？
au Wi-Fi SPOT | au Wi-Fi：スマートフォン | au
http://www.au.kddi.com/mobile/service/smartphone/wifi/wifi-spot/
au Wi-Fiのうち「au_Wi-Fi」(WPA2)、「au_Wi-Fi2」(WPA2エンタープライズ)、「Wi2premium_club」(WPA2)、「Wi2_club」(WPA2)は暗号化されているみたいですよｗ
＞私や当サイトは、SSL対応は知識や技術的には可能だけれども、まずサーバー移転や再構築が面倒。
＞そして上位プランとなるサーバー代や毎年証明書用に高額な費用が要るとか、匿名では厳しいなど、個人の趣味としてはハードルが高い。
私もSSL対応を検討しましたが、個人では難しいですよねｗ
＞無料の証明書サービスも有るには有るれど、いつ消えるか分からない証明書とか逆に怖い。
GoogleがSSL発行サービスをやればいいのにｗ
＞モバイルフレンドリーに続くGoogleの斜め思考に付き合っていられない。
WHOISのドメイン名登録代行ができなくなるかもしれない？ : ギズモード・ジャパン
http://www.gizmodo.jp/2015/07/whois.html
これもアメリカの著作権ヤクザによる斜め思考ですｗ 企業や商売をやっている個人が住所や電話番号を公開するのは意味があるかも知れないが、趣味でやっている個人が住所や電話番号を公開するメリットは無くリスクしかないｗ もし代行が不可能になると趣味で個人がドメインを持ちづらくなりますな…ｗ
> 庶民A さん
数が少ないので説得力も何も無いけれど、私が昨年出張で宿泊した宿でまともに暗号化されていたのは体感3/10くらい。某RHRロゴの少し高めなホテルでさえ、チェックアウト後に建物の外から繋がったので結構どうかと思う。
> 木芥子 さん
共有SSLでは独自ドメインが使えず、それはそれで不利に。
例：アカウントがbtopcjpの場合
https://btopcjp.sakura.ne.jp/btopc-com/ になってしまい、
https://bto-pc.jp/btopc-com/ で独自したいなら、現在年間約6千円の維持費が4万+証明書（4～10万円かそれ以上）になってしまいマジキチ。
> 窓辺 さん
晒したいなら証明書発行というものが有るのだからWHOISとか要らないと思うけれど、昔から有りますな。私は15年くらい前からドメインをいくつか持っているけれど、自分の個人情報を登録した事は一度も無いほどネット上で実名公開とか嫌（きり
＞私が昨年出張で宿泊した宿でまともに暗号化されていたのは体感3/10くらい
駅の無線LANも暗号化されていないところは多いですよ（※ただし数少ない私の経験上）ｗ その後メールアドレスの登録があったりしますが、どこまで暗号化されているのか不安ですｗ
＞自分の個人情報を登録した事は一度も無い
代行をやっているんですかね？ｗ それとも架空の個人情報を登録しているか、他人の情報を登録しているんでしょうか？ｗ
ん？
証明書って年間900円ぐらいからありますけど。
私自身HTTPS化してますが、さくらインターネットのスタンダードでドメイン認証のCoreSSLで年間6,000円ぐらいなんですが。
なお、https化するのは良いですが、ガラケーと古いandroidやサポート切れOSは切り捨てになりますよ。
SNI SSLが対応していないので。
あと、公衆無線LANはセキュリティの問題があるので、利用しないようにしています。
スマホのテザリングで運用しますし。
こういった内容は少し難しいかもしれませんね。