最新のWi-Fiセキュリティー規格「WPA3」に早くも脆弱性「Dragonblood」が見つかる！サイドチャネル攻撃による情報からパスワードが推測される可能性
2019年04月15日06:45 posted by memn0cklist
|
| Wi-Fiの新しい認証・暗号化規格「WPA3」に脆弱性が発見される！ |
ニューヨーク大学アブダビ校のMathy Vanhoef氏およびテルアビブ大学とルーヴァン・カトリック大学のEyal Ronen氏は10日（現地時間）、Wi-Fi Allianceが策定した最新の無線LAN（Wi-Fi）向け認証・暗号化規格「WPA3」にセキュリティー上の脆弱性が見つかったとして論文を公開しています。両氏は既存の認証・暗号化規格「WPA2」および「WPA」の脆弱性「KRACKs」の発見者でもあり、WPA3に見つかった脆弱性は個人向けに提供される「WPA3-Personal」において“Dragonfly”と呼ばれるSAE（Simultaneous Authentication of Equals）方式にパスワードが推測できる可能性があるとのこと。脆弱性は「Dragonblood」と名付けられ、特設Webサイト「Dragonblood: Analysing WPA3's Dragonfly Handshake」も公開し、脆弱性をテストするためのツールなどを公開しています。WPA3はKRACKsの発見を受けて2018年6月に発表された新しいセキュリティー規格ですが、登場から1年経たずして脆弱性が見つかったことになります。Wi-Fiでは通信内容を暗号化して秘匿性を高めるなどの目的でパスワードを用いたセキュリティー対策が推奨されていますが、その認証・暗号化規格の最新バージョンがWPA3です。既存のWPAおよびWPA2の脆弱性であるKRACKsが2017年10月に見つかり、その対策として2018年6月に策定されました。WPA3では既存のWPA2に4つの新機能を追加してセキュリティーを強化しており、主に家庭用や個人利用を想定しているWPA3-Personalではシングルパスワードベースで構成されますが、暗号鍵をこれまでのPSKからSAEに変更し、さらにハンドシェイクの手順などを変更しています。これにより、パスワードの長さが安全とされるレベルに達していない場合でもより強固にデータを保護したり、いわゆる“総当たり攻撃“となる特定の文字列を辞書として用いてすべて試すことなどへの耐性を向上させています。一方で現時点ではWPA3が一般に普及していないこともあり、既存の「WPA2-Personal」と互換性を持たせるためにWPA2ハンドシェイクで接続する移行モードが追加されているのですが、Dragonbloodではこの移行モードを利用して総当たり攻撃によってパスワード解析を行うとのこと。またWPA3のDragonflyハンドシェイク自体に対するダウングレード攻撃も見つかり、接続元がセキュリティーの弱いグループとして接続しようとした際にアクセスポイントにそのグループがない場合、拒否メッセージで応答して別のグループを用いて接続するよう促しますが、接続元とアクセスポイントの両方が持つグループが偽装されるまで続くとのこと。さらにアクセスポイントがMODPセキュリティーグループをサポートする場合、アクセスポイントが応答するのにかかる時間によってパスワードを処理するための時間をシミュレートし、パスワードの長さを計算するほか、攻撃される製品のメモリーへのアクセスパターンを観察することで同様にパスワードの推測に用いられるということです。このようなサイドチャネル攻撃によって得られる情報からパスワードを推測できる可能性があるだけでなく、サイドチャネル攻撃に対する対策が実装されている場合でもアクセスポイントの処理能力が求められ、攻撃者は16個／秒の偽造コミットフレームを生成することで過負荷をかけてサービスを停止もしくは遅くすることが可能だとしています。一方でWPA3では万が一パスワードが漏洩した場合でも将来に渡ってデータトラフィックを保護する高い機密性を提供しているとされており、今回の脆弱性によってどの程度の影響が出るのかは不明ですが、少なくともパスワードが漏洩しなくてもWi-Fiのアクセスポイントをサービス停止もしくは遅延させることは可能となっています。そのため、アクセスポイントだけでなくクラインアントについてもスマートフォン（スマホ）など次期プラットフォーム「Android Q」ではWPA3に対応することですし、より安全・安心かつ便利・快適にネットワーク接続ができるように今後の対策が待たれます。BUFFALO 法人向け 管理者機能搭載 無線アクセスポイント WAPM-1266R [Personal Computers]バッファロー2017-07-24記事執筆：memn0ck■関連リンク・エスマックス（S-MAX）・エスマックス（S-MAX） smaxjp on Twitter・S-MAX - Facebookページ・Wi-Fi Allianceが次世代のセキュリティー規格「WPA3」を発表！従来のWPA2との互換モードも搭載し、ネットワークをより安全・簡単に利用できる仕組みへ【レポート】 - S-MAX・WPA3 関連記事一覧 - S-MAX・Dragonblood: A Security Analysis of WPA3's SAE Handshake (PDF)・Wi-Fi Alliance®、Wi-Fiセキュリティ規格 「Wi-Fi CERTIFIED WPA3」を発表 | Wi-Fi AllianceTweet
ソフトバンクオンラインショップトクするサポート＋で最新のiPhoneを超おトクに人気記事
最新記事Nubia、Snapdragon 8 Gen 1搭載の5Gゲーミングスマホ「REDMAGIC 7 NX679J」を日本で4月18日に発売！4月11日12時に予約開始ワイモバイルにて機種変更一括1万80円で購入した5Gスマホ「OPPO Reno5 A（eSIM）」が着弾！同梱品や初期設定を紹介【レビュー】NTTドコモが「らくらくスマートフォン F-42A」と「らくらくホン F-01M」を3月25日からMNPで2万2千円OFFにNTTドコモ、携帯電話回線を使った固定電話サービス「homeでんわ」を3月29日に提供開始！3300ポイントプレゼントキャンペーンも実施KDDI、au向け5Gスマホ「AQUOS zero6 SHG04」にAndroid 12へのOSバージョンアップを含むソフトウェア更新を提供開始NTTドコモ、迷惑SMSを自動拒否する「危険SMS拒否設定」を提供開始！IIJmioやmineo、OCN モバイル ONEなどの同社回線MVNOもモトローラ、5G対応プレミアムスマホ「motorola edge30 PRO」を発表！日本で4月下旬発売で予約開始。価格は8万9800円au・UQ mobile向けスタンダードスマホ「AQUOS sense6 SHG05」にAndroid 12へのOSバージョンアップを含むソフトウェア更新が提供開始アマゾン、壁掛けもできるスマートディスプレイ「Echo Show 15」を3月23日に予約販売開！4月7日出荷開始で、価格は2万9980円Snapdragon 888搭載のゲーミングスマホ「Black Shark 4 Pro」が3月26日に先行予約開始！発送は4月下旬を予定。価格は8万9980円NTTドコモ、オンライン専用プラン「ahamo」にて月額4950円で月100GBまで使える「大盛りオプション」を6月に提供開始ソニー、フラッグシップスマホ「Xperia 5 III」のメーカー版「XQ-BQ42」を日本で4月22日に発売！FeliCa＆デュアルSIM対応で11万4400円ドコモオンラインショップにてドコモ認定リユース品「docomo Certified」が販売開始！iPhone XS・XR・Xが3万9765円からGoogleのフラッグシップスマホ「Pixel 6 Pro」が楽天モバイル「Rakuten UN-LIMIT VI」の5GでSub6に続いてミリ波にも対応モスバーガーにてメルペイやJ-Coin Pay、ゆうちょPayなどのコード決済サービスが導入開始！ネット注文でd払いやPayPayも利用可能にQRコード読者登録リンク集K-MAXK-MAX BLOGゼロから始めるスマートフォンshimajiro@mobiler配信ニュース先livedoorニュースニューススイートGoogleニュースBLOGOS 検索 特集カテゴリー
タブレットケータイパソコンゲーム機周辺機器アプリ・サービス料金ニュース・解説・コラムイベント・レポートレビュー・ハウツーインタビューNTTドコモau by KDDIソフトバンク楽天モバイルMVNO・SIMフリーWi-Fi月別アーカイブキャリア公式オンラインストアソーシャルネットワークTwitterもチェック@smaxjp からのツイートこのサイトについてスマートフォンを中心としたモバイル全般の使い方やニュース、レビューなどを提供しています。執筆は「K-MAX」メンバーを中心に行っていますが、タレコミ、S-MAX（エスマックス）に寄稿したいというご要望も受け付けていますので、興味をもっていただけましたら、お気軽にご連絡ください。
| S-MAX編集部（連絡先：s-max【at】kmax-biz.com）記事一覧 / Twitter：@smaxjp |
| 編集長・ライター：memn0ck記事一覧 / Twitter：@memn0ck |
>>詳しくはこちらへライター執筆者は以下を参照ください。主なライター
タグクラウド広告のお問い合わせ / エスマックスについて
