ホテルの無料Wi-Fiは安全なのか？～公衆無線LANは通信内容をのぞき見られる可能性あり～

先日出先でブログの更新をしようと思い公衆Wi-Fiについて調べた。結論を言うと通信内容をのぞき見られる可能性があり公衆Wi-Fi接続を断念。代替としてスマホのデザリングを使用した。二日間で3時間ほど作業したが通信量は300M程度と思ったより少なかった。大容量データのやり取りが無いのであればデザリングで十分なので公衆Wi-Fiへの接続は控えた方がいいだろう。どうしても安全に公衆Wi-Fiを利用したい場合は初期化直後のまっさらな端末を使用し一切の個人情報を入力しないこと。個人情報なしのまっさらな端末であれば情報漏洩の心配はない。

公衆無線LANの危険性

自宅のWi-Fiに比べると危険性は高い。場合によっては内容を傍受されアカウント乗っ取りなどの被害にあう可能性もある。

通信内容は簡単に見れる

以前通信モジュールのテストでネットワークに流れるデータをモニタリングしたことがある。開発途中のモジュールだったので暗号化機能を外してデータを送信。ネットワークに流れるデータをツールで読み取って確認。ネットワークには他人の情報も流れており簡単に見れてしまう。暗号化されていないデータは丸見えである。当時こんな簡単にネットワーク上のデータを見れるんだと驚いたのを覚えている。

他人と同じパスワードのネットワーク

見知らぬ人が同じパスワードでルーターを使うとか普通に怖い。PCの設定によっては同じルーターを使っている他PCの内容が簡単にのぞけてしまう。ネットワークの設定を公衆ネットワークにしておけば多少リスクは減るが個人情報てんこ盛りのスマホで接続するのは怖すぎる。

危険性１　通信内容がのぞき見される
適切なセキュリティを施していない公衆無線LANを利用すると、端末（パソコン、スマートフォンやタブレット等）とアクセスポイントの間の通信が傍受される可能性があります。

危険性２　無断で端末にアクセスされる
端末の設定によっては、同じ公衆無線LANに接続している第三者が、貴方の端末にアクセスする場合があります。

引用：公衆無線LANの利用にご注意！ | 暮らしの安全 | 香川県警察

被害の可能性

最近だとSNSの乗っ取りなんか話題になっている。カード番号やネットバンキングなどは実被害がありそうで怖い。これらの情報が流出することで様々な被害にあう可能性がある。

が、逆に言えばこれらの情報を使わなければ無敵なんじゃないだろうか・・・。

WPA2の安全性

自宅のWi-Fiを確認したらWPA2パーソナルであった。最近行ったリゾートホテルのWi-Fiもこの方式であった。第三者も同じパスワードを使っているということで安全とは言い難い。誰もがパスワードを知っている状態なのでセキュリティ無しの状態と変わらないような気がする。

WPA2にはその詳細方式が複数あり、費用をかけずに手軽に利用できるものが「WPA2パーソナル（WPA2-PSK）」という方式です。この方式は、家庭や個人での利用に限れば十分な安全性を持った方式です。しかしながら、この方式の特徴として、アクセスポイントに接続する人全員が同じパスワードを共有する必要があるため、不特定多数が利用する公衆Wi-Fiでは、利用者全員がパスワードを知っている状態にあります。パスワードが知られてしまっている場合、アクセスポイントの通信内容は、条件が整えば比較的容易に解読できてしまいます。加えて、パスワードが分かっていれば、同じ名前（SSID）とパスワードを設定することで、偽のアクセスポイントを設置して、容易に通信内容を盗むことも可能となります。

引用：Wi-Fi利用者向け 簡易マニュアル（令和2年5月版）PDF

野良Wi-Fi

屋外でたまに見かける暗号化されていない出所不明の公衆Wi-Fiを野良Wi-Fiと呼称する。この野良Wi-Fiはお店やホテルよりも危険性が高い。怪しい無線LANに不用意に接続するのはおすすめしない。「パスワードかかってないSSID見つけた、つないじゃえっ！！」とかやらないように。

安全に使うには

結論を言うと初期化直後の端末使えば公衆Wi-Fiに接続しても安全だと思う。

個人情報一切なし端末

通信が傍受されるの前提で公衆Wi-Fiを使えば問題ないのではないだろうか。漏れても困る情報が一切ないんだから全く不安などない。個人情報を一切含まない端末を使えばどんな公衆Wi-Fiであっても安全に利用できる。

SNSなどは通信量が少ないので4G使えばいい。通信量の多い動画サイトやYouTubeなどはログアウト状態やシークレットモードでアクセス。個人情報やアカウント情報（IDやパスワードなど）さえネットワークに流れなければ比較的安全。バックグランドで勝手に動くアプリもあるので完全に防ぐのは無理かもしれないが安全性は高まる。

正直初期化直後の端末を準備して一切アカウント情報や個人情報を入力しないと言うのは現実的でない気もする。

ホテルの備え付け端末

特にビジネスホテルにはエントランスに共有のパソコンが置いてあることが多い。ちょっとしら調べものであればこれを使えばいい。ただしメールチェックなどでアカウント情報を入力するのはNG。利用はアカウント情報や個人情報を入力せずに簡単なブラウジング程度にとどめる。

諦めてスマホでデザリング

先日出先のリゾートホテルでブログを更新した。3Gバイト制限の格安SIMであったが問題なし。トータル3時間ほどで300Mしか使わなかった。繰り越しも含め5Gバイト以上余っていたので通信量は全然問題なし。ちょっとした作業でネットワークにつなぐなら安全性を考え公衆Wi-Fiではなくスマホのデザリング機能にした方がよい。ブラウジングや情報整理程度であればスマホのデザリングで十分に対応できる。

接続する場合の注意点

基本的に公衆Wi-Fiへの接続はおすすめしないがどうしてもやる場合のセキュリティ対策を考えてみた。とにかくネットワークにIDパスワードや個人情報を流さないようにする。ただし、アプリがどんなデータを流しているか実際にはわからないので気やすめにしかならない。アプリへの端末アクセスを一時的にOFFにするのは手間がかかり現実的ではない。

アカウントの二段階認証

アカウントが乗っ取られてパスワードを変えられたら復旧が困難になってしまう。最近では二段階認証と呼ばれる仕組みがあり自身の電話番号などを第二キーにして安全性を高めることができる。一番怖いアカウントの乗っ取りを防止できるので絶対に設定しておきたい。公衆Wi-Fi以外にフィッシング詐欺などの危険性もあるので二段階認証すぐに設定していただきたい。

次のようなよくある行為では、いずれもパスワードが盗まれる可能性があります。

複数のサイトで同じパスワードを使用する
インターネットからソフトウェアをダウンロードする
メールの本文にあるリンクをクリックする
2 段階認証プロセスを使用すれば、パスワードが盗まれてもアカウントの不正使用を防止できます。

引用：Google 2 段階認証プロセス

高セキュリティでの接続

総務省のWi-Fi利用者マニュアルでは以下のセキュリティ方式が紹介されていた。現時点では対応している場所が少ないようなので今後高セキュリティの公衆Wi-Fiが増えることを期待したい。

●WPA2エンタープライズ（WPA2-EAP）
共通のパスワードを利用するWPA2パーソナル（WPA2-PSK）方式とは異なり、利用者ごとにID等を設定し、接続の際に利用者側とアクセスポイント側で相互に認証する方式です。認証の際に暗号伴も個別に設定されます。利用者からアクセスポイントに対する認証も行うため、偽アクセスポイントへ接続する心配もありません。しかしながら、個別にID等を配付し設定する必要があるため、不特定多数が利用するWi-Fiサービスでは利用が難しい状況です。
●SIM認証（WPA2-AKA）
携帯電話事業者が提供している方式です。WPA2エンタープライズ（WPA2-EAP）の一種ですが、ID等を個別に配付する代わりに、SIMの情報を伴として利用し、認証や暗号化を行います。対応しているスマートフォンでは、自動でWi-Fiに接続できるため、安全性と共に利便性も高くなっています。
●Wi-Fi CERTIFIED Enhanced Open
2018年に発表された新しい方式です。パスワードなしで接続でき、暗号伴は個別に設定されるため、不特定多数に提供するWi-Fiサービスのセキュリティ強化策として期待されています。今後、対応した製品が増えていくと考えられます。

引用：Wi-Fi利用者向け 簡易マニュアル（令和2年5月版）PDF

まとめ

公衆Wi-Fiはのぞき見られる前提で使うくらい慎重でいいと思う。一番怖いのがアカウントの乗っ取り。パスワードを変えられてしまったら手も足も出なくなってしまう。これはアカウントの二段階認証である程度防げるので絶対に設定しておきたい。どうしても公衆Wi-Fiでガンガン通信したい場合は個人情報なしのまっさらな端末を使用。初期化直後の端末であれば情報漏洩する可能性はゼロに近い。PCで作業するならスマホのデザリングをおすすめする。動画など通信量が多いコンテンツを利用しなければ問題なく使える。筆者の場合はExcelとテキストサイトのブラウジング3時間で約300Mバイトであった。現時点では公衆Wi-Fiの利用はセキュリティ面からみて控えた方がいいだろう。今後安全な公衆Wi-Fiが普及することを期待したい。

アカウントの二段階認証はセキュリティ強化のため今すぐに設定してください。