[connect24h:5634] 無線 LAN アセスメント

[SHIBATA Akira <shibata@xxxxxxxxxxxxxx>]

柴田(あ)です。

議論百出しそうなネタなんですが…


■質問：
無線 LAN アセスメントをしたいので、点数化をしたいと
思いますが、どう評価したらよいでしょうか？
40bit WEP では弱すぎとのことなので組み合わせで
高いセキュリティを実現している状態も評価したい



■はじめに
当方の商売にからむ話なのですが、本意は商売ではなく
無線や有線の LAN のセキュリティの底上げをねらってます。
また、この ML をお読みの方々の中にも同業者や底上げに
貢献したいとお考えの方がいらっしゃると思いますので、
無線 LAN アセスメントのお気軽なひとつの基準があれば
低レベルであってもできるようになると思います。
マズいぶぶんがあったら修正していければと思います。
ご意見等あれば幸いに存じます。



■参考文献
[connect24h:5543] で紹介されている日経ネットワーク
セキュリティの無線 LAN パニックを拾い読み 



■目的
今回は現在導入済みの無線 LAN の電波使用部分のセキュリティの
底上げ(現在の「買ってきてそのまま」から「何らかの対策をする」)を
ねらいます。
あまり格式ばったものではなく、真の無線 LAN アセスメントを
実施したいのであれば、セキュリティの専門家に相談してもらうのが
いいと思います。
当方は一番ローレベルなところをねらいます。
そういったところ(専門家)の紹介もしてもらえるとうれしいです。



■現在考えている方法
無線 LAN の現状を一時間程度でチェックリストによって
調べて、点数化(後述、この基準についてご意見いただければ
ありがたいです)し、何にも知らん人に指針を与えようと
考えています。
無料の範囲で調査できるくらいのライトアセスメントです。



■対象
一般の人で、当社の近隣地域で無線 LAN を利用していて、
当方に調査を希望してきた人。
（委託を受けるので電波法 59 条はクリアできると思います。）



■手順
当方から持っていくもの
現地地図、資料、アセスメントシート、 
netstumbler をインストールした PC
1. 依頼者のお宅にいって、最初にヒアリング
   (設定の具合とか、AP の MAC アドレス)
2. AP の MAC アドレスを元に netstumbler で
   電波の到達範囲をマーキング
   (当方から付近の地図を出力していきます)
3. 下記点数化基準によって点数化し、合計し
   内容によって、なすべきことを指導し、
   資料を置いてくる
   (設定をはじめると時間が足りないので)
(現地にいる時間を最大で一時間と考えてます)



■点数化について
点数化は被調査者に「あなたはまぁまぁ」といって
あげるのか「説教の対象」になるのかなどレベル分けを
してあげて点数を上げる(＝セキュリティレベル向上)には
どうしたらよいかの指針を上げたいと考えてます。



■点数化のレベル
妥当性も怪しいですが、マズはたたき台を考えてみました。

マイナス点のレベル
・今すぐ無線 LAN のセキュリティ向上の設定をするか、
　さもなくば危険なので無線 LAN を使うのをやめることを
　おすすめする

0 点のレベル
・MAC アドレスフィルタ
・WEP なし

100 点のレベル
・95% のスクリプトキディに対応できる
・が、狙いうちには耐えられない
　(ストーカーとか何かで特定の情報を取ろうとする人)

1000 点のレベル
・狙い撃ちでも内通者がいない限りは無線経由で
　情報を盗むことができない

くらいでしょうか、もっと中間レベルがあってもいいかもと
思いますが、考え付きません。



■点数化基準   「ご意見、新しい基準、歓迎」
上記レベルを目安にして、考えてみました。
安易に考えてますので、妥当性は低いので高くしたいです。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
加点減点項目募集！
点数変更意見募集！
（根拠を教えてもらえるとありがたいっす）

設定を買ってきてからいじってない → -40 点

SSID を意味が推測できないものにしている → 10 点
ビーコンに SSID を載せない → 10 点
プローブ応答に関するセキュリティ機能を利用している → 10 点
ANY アクセス拒否機能を利用している → 10 点

MAC アドレスフィルタ → 5 点

管理者 ID とパスワード設定している → 10 点

DHCP によるアドレス配信機能停止 → 10 点

通信速度を最高速に固定する → 10 点

同時接続端末数制限 → 5 点

ビーコン間隔を最大に延長 → 5 点

WEP の鍵長について
 40 bit WEP → 40 点
 64 bit WEP → 64 点
 104 bit WEP → 104 点
 128 bit WEP → 128 点
 その他拡張 WEP → ビット数分の点
 WEP 入力が文字だけ(16 進数でない)の場合には WEP の項目の点を 1/3 にする ( 64 点なら 21 点に)

AES を利用している → 1000 点

上位層での加点項目
 IPsec を利用して上位 LAN と接続している → 1000 点
 PPTP を利用して上位 LAN と接続している → 1000 点


加点減点項目募集！
点数変更意見募集！
（根拠を教えてもらえるとありがたいです）
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝


In message <3E59E433.D49C09F2@xxxxxxxxxxx>
   "[connect24h:5546] Re: まとめ：無線 LANで総務省にアタック質問：総務省に聞くべき事柄（無線  LAN"
   "Mon, 24 Feb 2003 18:21:55 +0900"
   "Kensuke Nezu <nez@xxxxxxxxxxx>" wrote:

> 根津です。
> 
> SHIBATA Akira wrote:
> > 今回最も参考にしたソフトウェアデザイン誌 2003 年
> >  2 月号の記事は解決の指針まであって、嬉しいです。
> 
> 皆さん、特にconnect24h@ に参加されているであろう「セキュリティ啓蒙組」の
> 方たちに少しでもお役に立てたのなら幸いです。

あとは実装をどうするかという部分で考えてみました。

 
> > > D.近隣に誤って接続してしまう可能性のあるAPが設置されているかどうかや、
> > > 　ノイズ源がないかどうかの調査
> > 
> > これは難しい(ダメそう)と思います。
> > 障害が無いのに調べて第三者に存在を漏らすというのが
> > あたりそうです。
> 
> しかし、以前これほど無線ＬＡＮがはやる前は、設置の前には「ノイズだらけの場所に
> 設置しないように」などの目的でアナライザできちんとアセスメントしてから設置しなさい
> というマニュアルがありましたからねぇ・・・。
> 設置前でも、「ここにおいて正常に通信できるかどうか？」を調べてくださいという依頼が
> あれば問題なかろうかと思う部分もあります。

今回はこの方法で行くような実装としてみました。
実装というか、方法論ですが。


> > > > ケーブルテレビでもあるわけなのだから、
> > > > ・こういうふう(無線 LAN の NIC と AP )にすると
> > > > ・こーんなツール(たとえば kismet や netstumbler )で
> > > > 　見えちゃうよ〜ん
> > > > ・だから、ちゃんとしましょうね〜
> > > > ・依頼があれば、当社が調べてあげます
> > > > 　(場合によっては設定もする)
> > > > というような放送をするのはいいでしょうという話はもらいました。
> > > > ただし、当社での「例」というようにくぎを刺されました。
> > > > また、放送時にはメーカー名を隠しましょうって指導もありました。
> > >
> > > いやぁ〜、そんなおもしろいことを実際にやられて実績あがったら
> > > 是非、見に行きたいですね。呼んでください。m(_ _)m
> > 
> > 出演してくださいます？ (*^v^*)
> > ローカル放送なのでギャラでません(爆)
> 
> ええと、必要であれば、いいですよ。
> AirSnortの環境とキャプチャツールを見せて、「ほらっ、取れちゃった」
> こ〜んなに危ないんですね〜・・・と実例を見せるほど、インパクトの
> あるものはありませんから・・・。

おお、それでは社内も調整してみます。
根津さんには映像音声についての複製権も差し上げる方向で…
とか条件詰めたほうがいいですね。

 
> > 実際そんなに技術力ないので、個人でもできるような
> > 簡単な調査を代行するだけなんですが。
> > 
> > 今の段階では 40 ビットであっても WEP をかけて
> > あれば最低限のセキュリティは確保されているよって
> > 言って上げようと思います。
> 
> 40bitはダメです。ブルーとフォースでいとも簡単に破られてしまいます。

あう、やっぱりそうですか。
記事読んだら数時間ですから、実際にがんばろうと思ったら
すぐできそうですね。

 
> > 現状のな〜んにもかかってない状態よりははるかにマシで、
> > マズは底上げをねらい、無線 LAN の普及度合いや
> > PC の能力向上を見て、最低 128 ビットというとか、
> 
> WEPのキー長はPCの能力とは関係しません。（カードが行うので）
> ただ、カードの能力を消費する分だけ通信が遅くなった・・・などと
> いうことはあり得ますが・・・。

誤解してました。
WEP キーを解析するには PC の高い能力が必要かと
思ってましたが、サンプル入手のほうが時間かかる
ようですね。

 
> > PPTP 使うなり IPsec 使うなりするようにとかレベルを
> > 徐々に上げられるといいかなぁと。
> 
> IPSecはまだまだ一般のおじいさん、おばあさんのレベル
> ではないですね。(^^ゞ

やっぱりそうですよね。
でも、降りかかる火の粉くらいは払いのけられる
道筋はつけてあげられるようにしたいと。


> PPTPは・・・セキュリティ的には問題があるかもしれません。

Windows98SE あたりから標準で乗っているらしいので、
対応ルータがあれば経路がダメ( WEP なしとか)でも
安く多重保護という点で使わせたいと思ったわけです。

http://www.planex.co.jp/product/broadlanner/brl04fa.shtml
などは安い割にはそれなりの機能 (PPTP や IPsec)があるように
見えましたので、これから評価してみます。


> いずれにしても、これらの機能はふつーのホームユーザが
> 気軽に使えるレベルにまで民生化しているとは言い難い気がします。
> 
> ＃サーバだけでもあれば、大幅に改善できる気がしますので、
> ＃柴田（あ）さんの局側の方でサーバを運用してくれるだけでも
> ＃いいと思いますが、果たして、その費用を払ってくれるだけの
> ＃人がいるかが・・・問題かもしれません。

RADIUS サーバとかいうアレですか？
不勉強で何にもわからないのですが…
安く( & 手間がかからない)ならサービスしても
いいかもと思います。

一般の人よりちょっと知っているだけなので、
馬脚をあらわしまくりなのですが、
お客さんに無謀なことも言わなくて済むかも(笑)

-- 
SHIBATA Akira      ケーブルテレビはまちづくり
shibata@xxxxxxxxxxxxxx   phone : +81-429-74-3611


--[PR]------------------------------------------------------------------
━┳━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┳━
　　　　　●　あなたに合った英語の講座診断ができます　●
━┻━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┻━
　▼ＤＨＣ総合教育研究所の最適講座診断コーナーへ今すぐ行こう！！▼
 http://ad.freeml.com/cgi-bin/ad.cgi?id=bE3ZJ
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp