今月開催された 2018 RSA Conference には、世界中のセキュリティ業界を代表する数多くの研究者やベンダが来場しましたが、セキュリティ意識が極めて高い参加者といえども、公共 Wi-Fi の単純なハッキングと無縁ではないことがわかりました。公共 Wi-Fi を使った攻撃がいかに簡単であるかを実証するため、ウォッチガードのチームは、RSA Conference のウォッチガードのブースにハニーポット AP（アクセスポイント）を設置し、無料のオープン Wi-Fi ネットワークを来場者向けに提供することにしました。その実験の詳細を、ウォッチガードの戦略アライアンス担当ディレクタであり、Wi-Fi のエキスパートでもある Ryan Orsi が、Help Net Security に寄稿した記事で説明しています。

ウォッチガードのブースに訪れた 16,621 人の来場者の 30％ が、我々の用意したハニーポット AP に接続し、その滞在時間は 5 〜 15 分であったことがわかりました。一般的な中間者攻撃の所要時間は 2 分足らずであるため、犯罪者が同様のアクセスポイントを設置していたとすれば、ブースを訪れた 3 人に 1 人が、ディスプレイを見たり、ウォッチガードの担当者に質問したりしている間に、簡単に情報を盗まれてしまっていた可能性があるということになります（もちろん、我々が用意した AP は、セキュアインターネット接続を提供する以外のいかなる行為も行っておらず、この調査は、未知のネットワークへのデバイスの接続を許可している人の割合を知ることのみを目的とするものです）。

それでは、どのような対策を実施しておくべきだったのでしょうか。Ryan の記事の中から、公共 Wi-Fi を安全に利用するための簡単なベストプラクティスを解説している部分を抜粋し、以下に紹介します。

1. 公共 Wi-Fi を利用しようとしたときに似たような SSID がいくつもブロードキャストされている場合は、正規の SSID ではありません。接続するのを止めましょう
2. 銀行口座や社外秘のレポートなどにアクセスする必要がある場合は、Wi-Fi を無効にして 4G 接続を使用することをお勧めします。そして、個人情報をやり取りする作業がすべて終わってから、Wi-Fi 接続に戻すようにします
3. 保存されている Wi-Fi ネットワーク名をそれぞれのデバイスから消去し、デバイス設定の「自動接続」機能を無効にするのも、1 つの方法です

今年の RSA Conference では、ワイヤレス環境の脅威が多くの講演で取り上げられましたが、これは、Wi-Fi があらゆる場所で利用されるようになった現状を考えれば、当然のことと言えるでしょう。無料の公共 Wi-Fi を提供する企業や自治体が増える中、Wi-Fi のハッキングによって生じるリスクを十分に認識し、提供者と利用者の双方を保護するセキュリティ対策を実施する必要があるでしょう。

Help Net Security の Ryan の記事全文(英文)で詳細をご確認いただき、Wi-Fi 環境のセキュリティに関するベストプラクティスについては、Secplicity のこちらの記事を参照してください。また、デイリーセキュリティバイトでは、RSA Conference で特に興味深かった講演を振り返るビデオや、ウォッチガードの脅威アナリストである Marc Laliberte による Ethereum ブロックチェーンのセキュリティに関するプレゼンテーションの概要もご紹介しています。併せてご覧ください。