2020 年 2 月 6 日 Ryan Orsi 著

Ubiquiti 社は、国際的なネットワークテクノロジ企業であり、低価格製品を一般市場に提供し、通信関連企業がハードウェアの代わりにサービスによってマネタイズできるようにする 2005 年から始めた画期的なアイデアで、市場のメインストリームに躍り出ています。ただどのようなビジネスモデルにも長所と短所があるもので、Ubiquiti 社の低価格路線は行き過ぎており、利益を研究や開発部門への投資に回せていないという批判もあります、一方で、低価格路線は、UniFi というブランドが Cisco Meraki のような大手ネットワークサービスなどと名前を並べることに一役買っているという意見もあります。どちらの意見を支持するにせよ、Ubiquiti 社の UniFi アクセスポイントは世界中のビジネスにおいて大変多く使用されており、また同時に、昨年明らかになった脆弱性でも分かる通り、サイバー犯罪者にとっての第一の標的ともなっています。

ハッカーが UniFi アクセスポイントを通じてハッキングをした場合、盗聴、認証情報の盗み出し、Web の履歴やメールの盗み出しなどの企業への脅威の被害は甚大になります。その懸念から、Miercom の Wi-Fi 専門家は、Ubiquiti 社の UniFi Secure HD アクセスポイント（AP）が 6 つの既知の Wi-Fi 脅威を自動で検知し防ぐことができるのかどうか、検証しました。その結果、UAP-AC-SHD が自動で検出できたのは 6 つの脅威のうちの 1 つ、「双子の悪魔 AP」だけでした。他の 5 つの脅威に関しては、自動で検出することはできませんでした。保護に関しては、UAP-AC-SHD は6 つの脅威のどれも防ぐことができませんでした。結果は下図のとおりで、検証の詳細はこちらからダウンロードできます。青の列は UAP-AC-SHD のみを使用した場合で、赤い列は WatchGuard AP125 をネットワークに追加し、UAP-AC-SHD を Wi-Fi ハッキングから保護した場合であることにご注目ください。

サイバーセキュリティの専門家であれば、この結果が意外であるとは思わないでしょう。一般市場においては、Wi-Fi ハッキングという問題の深刻さについて知る機会がなく、多くの買い手にとっても、セキュリティは優先事項ではないので、ほとんどのWi-Fi 機器メーカーは、セキュリティ対策を長いあいだ後回しにしてきたのです。しかしあなたがセキュリティの専門家ではない、あるいは Ubiquiti アクセスポイントをまさに使用しているユーザであるとしたら、ショックを受けるかもしれません。特に同社の Web サイトには、UniFi Secure HD AP が「脅威を常に監視し、保護する」ために専用の電波を持っていると書かれているのですから。

筆者は電気工学を学んできたこともあって興味が湧き、なぜ UAP-AC-SHD のセキュリティ専用電波が主要な Wi-Fi ハッキングに対してほとんど効果がないのか、その手がかりがどこかに書かれていないかと技術的な詳細を読んでみました。すると、UniFi Secure HD AP データシートの 5 ページに、アスタリスクと共にこのような注釈がありました。

UniFi SHD AP のセキュリティ専用電波は、ワイヤレス侵入防止システム（WIPS）やワイヤレス侵入検知システム（WIDS）として機能し、持続的な脅威管理機能を提供します。このような専用電波には周波数可変能力があります。つまり、AP が使っているチャネルに限らず、利用可能な Wi-Fi チャネルはすべて、脅威に対抗できるように常に監視されています。
* 現在のところ、セキュリティ専用電波の WIPS の主な機能は、不正アクセスポイントの常時検知です。

ひとまず技術的な詳細の詮索は終えましたが、UAP-AC-SHD は実際のところ不正 AP の検出テストに失敗していますので、Ubiquiti がまだこれらの機能を開発中なのではないかと思っています。

UniFi AP をハッキングから守る

Miercom のテストプロフェッショナルは、ウォッチガードが独自のセキュリティ機能によってクラウドマネージドの AP ロードマップを調整していることを評価しています。Miercom は、UAP-AC-SHD を既知の 6 つの Wi-Fi 脅威から保護する WatchGuard AP125 AP をセキュリティセンサとして構成し、Ubiquiti 社の既存の UniFi ネットワークが Trusted Wireless Environment にどれほど準拠できるかを確かめました。結果、6 つの Wi-Fi 脅威に対して脆弱であった Ubiquiti Wi-Fi ネットワークは、WatchGuard AP125 APが追加されたことにより 100％ 保護されるということが示されました。これは、ネットワーク管理者とセキュリティ管理者が簡単に設置できるソリューションであり、WatchGuard AP がワイヤレス侵入防止システム（WIPS）として機能するため、UniFi AP が通常どおり Wi-Fi ユーザへのネットワークアクセスを提供しつつ、ワイヤレス環境や有線ネットワークに 6 つの脅威のいずれかが存在していないかどうかを監視することもできます。

Wi-Fi ハッキングは昨今話題になっていますが、この用語は曖昧で、ときに矛盾した意味にさえ誤解されることのある専門用語です。そこで、Trusted Wireless Environment という解決策が提示されています。この Trusted Wireless Environment というフレームワークは、今日ほぼすべてのビジネスに影響を与えているレイヤ 2 Wi-Fi の 6 つのハッキング手法を簡潔に定義し、Wi-Fi が各種の攻撃から保護されているかどうかを確かめるシンプルなテスト基準も提供しています。

自身の Ubiquiti Wi-Fi ネットワークを Trusted Wireless Environment 準拠のためにテストしたい場合は、Trusted Wireless Environment のテストガイドに従って操作してください。Web サイトを通じて Miercom に連絡を取れば、実際のクライアントワークロードをシミュレーションしながら、厳密にテストすることができます。最後になりますが、既存の Ubiquiti Wi-Fi ネットワークに何台の WatchGuard AP を追加すればいいかわからない場合は、各地域ウォッチガードの販売代理店にお問い合わせください。ウォッチガードのプロフェッショナルサービスと連携し、調査を行い、推奨される WatchGuard AP の数と、インストール場所、WIPS/Wi-Fi のカバレッジ範囲を調査いたします。