ESET/マルウェア情報局
モバイルルーターは確実に安全とは言えない
本記事はキヤノンITソリューションズが提供する「マルウェア情報局」に掲載されたモバイルルーターはセキュリティ的に安心！？屋外でのWi-Fi利用時に気を付けるべきことを再編集したものです
まずモバイル利用でのインターネット接続の仕組みをおさらいしよう
ここでは、オフィス外でのモバイル接続についての考察とするため、以降の説明は無線での接続を前提とする。基本的には、無線でのインターネットへの接続は以下のような流れとなる。
まず、後述する「野良Wi-Fi」と呼ばれる接続方法を除いて、アクセスポイント以降の接続は安全性が高いと考えてよいだろう。それは簡潔に言ってしまえば、公衆Wi-Fiでもモバイルルーターでも高レベルのセキュリティ対策が施された回線を利用しているためだ。しかし回線の安全性が高くとも、通信内容が暗号化されていなければ、「のぞき見」のリスクが伴うことには注意したい。この点についても後ほど説明していく。
まず「端末→アクセスポイント」の接続について解説していこう。主なものに「公衆Wi-Fi」、「野良Wi-Fi」、そして「モバイルWi-Fi」の3つがあり、すべてアクセスポイントまでの接続を担っている。
・公衆Wi-Fi（フリーWi-Fi）
公共機関や店舗などが提供しているWi-Fiサービス。提供元で設定されたSSIDとパスワードを利用してアクセスすることになる。不特定多数が利用するため、悪意のあるユーザーが同じWi-Fiを利用している場合、通信を「のぞき見」されるリスクに注意が必要だ。
・公衆Wi-Fi（有料Wi-Fi）
公衆Wi-Fiには「フリーWi-Fi」だけでなく携帯電話会社などが提供する有料版も存在する。こちらもフリーWi-Fi同様に、提供元で設定されたSSIDとパスワードを利用してアクセスすることになるが、フリーのものと比較すると回線速度が安定していることが特徴だ。フリーWi-Fiだと利用者が多く、回線速度が低いケースがよくあるが、有料版だと比較的安定的に速度が出ることが多いとされる。
一方、注意しておきたいのは接続時のセキュリティだ。有料版であっても原則、フリーWi-Fiとセキュリティレベルに変わりない。そのため、後述する「のぞき見されないための対策」が必要となる。また、OSの設定によってはパソコンへの侵入リスクが伴うのも忘れてはならないだろう。
・野良Wi-Fi
多くの場合、「野良Wi-Fi」は悪意のあるユーザーが「のぞき見や不正侵入をする」ために仕掛けた自前のWi-Fi網を指すことが多い。ただ、多くはないが提供側の管理不備で野良状態となっているWi-Fiもある。いずれにせよ、この方法を利用してアクセスすることは、「のぞき見」や「不正侵入」されるリスクが公衆Wi-Fiより遥かに高いことに十分注意する必要がある。ユーザー側で取りうる対策は「見知らぬWi-Fiにはアクセスしない」ことが基本となるが、公衆Wi-Fiと同じSSIDやパスワードを利用し、偽装している悪質なものもあるため気を付けたいところだ。
・モバイルWi-Fi（スマートフォンでのテザリングを含む）
モバイルルーター端末とWi-Fi経由でアクセスポイントに接続する方法。3つのインターネットへの接続では一番安全といえるだろう。しかしあくまで、利用する端末のSSIDとパスワードは利用するユーザーしか知りえないというのが前提となる。推測されやすいパスワードを利用していると、「タダ乗り」と呼ばれる別のユーザーに利用されるような事態を招きかねない。最近ではこの「タダ乗り」を利用して悪意ある行動を起こすケースが増えていると言われている。もしそうした行動に巻き込まれた場合、自身の身に覚えが全くなくても犯罪者扱いされてしまう危険性があるのだ。そのため、パスワードは推測が難しい文字列にするべきだろう。もし他人と端末を共有した場合は利用後にその都度変更しておくことが望ましい。オフィスで利用するモバイルルーターは複数の社員で利用することが多いため、一定期間でパスワードを更新するなどルールを設けておこう。
パスワードが他のユーザーに知られない限り、安全度が高い接続ではあるものの、後述するように接続方法によっては危険性が出てくることは頭に入れておきたい。
接続方法で安全度が異なる!? モバイルルーターでの3つの接続方法
先に触れたように、モバイルルーターやスマートフォン経由のテザリングを利用する接続は、その他の接続手段と比較すると安全性が高く、セキュリティ的に安心と考えることができる。モバイルルーターでの接続には3つの方法があり、それぞれ特徴がある。
・「Wi-Fi経由」での接続
モバイルルーターで一番利用されるのがWi-Fi経由だ。回線スピードが安定しており、最近のノートパソコンやタブレットなどでは接続方法も簡単なことがその大きな理由だ。しかし、利用するSSIDが端末の接続画面上に表示されるため、悪意のあるユーザーにSSIDと紐づくパスワードを把握された場合、「タダ乗り」される危険がつきまとう。
・「Bluetooth経由」での接続
Bluetooth接続はペアリング（1対1の関係）が前提となるため、他者に利用されることはまずないので安心して利用することができる。近年の通信規格のバージョンアップで、速度も向上しているものの、Wi-Fiの比ではなく、動画などの閲覧には支障が生じかねない。ただ、ビジネスでの利用は動画閲覧より、メールやチャットツール経由のやりとりやインターネット接続といった利用が主というケースも多いだろう。そういった場合、安全なこの接続方法はおすすめだ。
・「USB経由」での接続
USBケーブルで直接、モバイルルーターやスマートフォンとノートパソコンなどの端末を接続するため、通信速度・安全性ともに高いことが特徴だ。しかし、Androidなどの一部の端末では、ブリッジ接続時にグローバルIPが接続している端末に振られてしまい、モバイルルーターのセキュリティ機能が働かなくなるものが存在する。グローバルIPが振られることで外部から特定できるため、侵入リスクが高まることにつながるのだ。
また、物理的なケーブルが必要になるため、所持し忘れた際は接続方法として選択できなくなる。予備のケーブルをビジネスバッグのサイドポケットに忍ばせるなどといったバックアップを心掛けておきたい。
モバイルルーターでの接続時に意識しておきたい、通信内容の暗号化
先述の通り、公衆Wi-Fiなどを利用する場合は有料Wi-Fi、フリーWi-Fiともに「のぞき見」のリスクが伴う。そしてそれはモバイルルーターを利用する場合でもゼロではない。機密性が高い情報などを取り扱うことが多いビジネスでの利用は、通信内容自体を暗号化することでそのリスクを軽減することが望ましい対策となる。ノートパソコンやタブレットなどのモバイル端末からアクセスポイント、インターネットと、経由するすべてのルートにおける通信内容を暗号化する方法がVPNである。
・VPN
VPNとはVirtual Private Networkの略で、「仮想専用回線」のことである。「専用回線」をソフトウェアで技術的に実現しており、VPNサーバーを経由して暗号化されたデータをやりとりすることで安全な状況を作り出している。ただし、接続するプロトコルの種類によっては安全性が高いといえないものもあるため、VPNサービスを選定する際は注意したい。また、スマートフォンのアプリなどでVPNを無料で提供しているサービスもあるが、提供元から何かしらの情報が漏えいする可能性が否定できないためおすすめできない。
・SSL
最近はGoogleの推奨もあり、ブラウザーでのやりとりを暗号化するSSL採用のウェブサイトが急増し、2018年夏には全体の50%を超えたとされる。URLが「https」から始まるものがSSLでの接続を採用しているウェブサイトである。SSLは利用者側で設定できるわけではないが、検索結果ページでの表示が「https」から始まっているかどうかで判断できるので、インターネット利用時はアドレスバーも含め、SSL接続されているかの確認をしておくとよいだろう。
SSLには「DV」、「OV」、「EV」と3つのサーバー証明書がある。いずれも通信内容の暗号化は担保されているものの、以下のように違いがある。
「DV」 ・・・ ドメインが管理されていることのみを証明
「OV」 ・・・ ドメインを管理する会社などの組織が実在することを証明
「EV」 ・・・ 各認証局のガイドラインに則り、厳格に組織の実在することを証明
要するに、ウェブサイトの提供元が本当に存在するのかをより高い精度で保証するかどうかで異なり、厳格な審査を経て認証される「EV」証明書は一番信頼度が高いとされる。金融機関などセキュリティ的にシビアなウェブサイトでEV証明書が利用されているのはそのためだ。EV証明書がインストールされているウェブサイトの場合、主要なブラウザーでは安全を意味するマークがアドレスバー上に表示される。最近では金融機関などの著名なウェブサイトに偽装してフィッシング詐欺を仕掛けたり、「ホモグラフ攻撃」と呼ばれる一見しただけでは別URLとは判別しがたい手法を使ったりするケースも増えてきている。このような被害に遭わないためにも、重要な情報を入力するケースなどではアドレスバーを都度確認することを心掛けたいところだ。
まとめ
ここまで見てきたように、モバイルルーターやスマートフォン経由のテザリングでの通信は比較的セキュリティ的に安全性が高いといえる。しかし、適切にパスワードを管理しないと「タダ乗り」のリスクが生じることもあり、通信内容を暗号化するなど複合的な対策を施すことで安全性は一層高まることになる。
インターネット接続を利用する際に、やりとりするデータが常に危険に晒されているということは、ビジネスで利用する限り常に意識しておいてほしい。特に最近では犯罪の手口も高度化しており、技術の抜け穴を応用した手口が次々と登場してきている。完全な防犯対策などあり得ないように、インターネット環境でも完全に危険性を除去することは不可能だ。その前提でデータの送受信方法に工夫を凝らすなど、運用面への配慮など包括的な対策でリスクを減らすことが望ましい対策といえるだろう。