脆弱性

Wi-Fi AllianceはWi-Fi Protected Accessの最新版「WPA3」を発表。

WPA(Wi-Fi Protected Access)というのは無線LANのセキュリティ規格で、当然昨年のKRACKs騒ぎで指摘された脆弱性もケアされているが、基本的にはIoTデバイスのWi-Fi接続を見越した接続手順の簡素化や攻撃耐性強化などの改善を中心とした、10余年分に相当する順当な進化。

2018年後半より対応機器がリリースされる予定、とのこと。特に

時代遅れの古いプロトコルを拒否

という点で多少の混乱が予想されるが、これも時代の流れとして受け入れざるを得ないだろう。

参照

ITmedia NEWS http://www.itmedia.co.jp/news/

• Wi-Fiの暗号化技術「WPA2」に脆弱性発見か　専門家が公開を予告 2017年10月16日
• WPA2の脆弱性「パッチで対応可能」　Wi-Fi標準化団体が見解 2017年10月16日
• WPA2の脆弱性「KRACK」対処パッチ、Microsoftは対応済み、AppleのOSとAndroidは数週間中 2017年10月17日
• WPA2の脆弱性は“大げさ”だった？　「初報だけ盛り上がる問題」を考える 2017年10月27日
• 新しいWi-Fiセキュリティ規格「WPA3」登場 2018年6月28日

TechTargetジャパン セキュリティ http://techtarget.itmedia.co.jp/

• 無線LANの新プロトコル「WPA3」　「WPA2」との違いは？ 2018年6月29日

ケータイ Watch https://k-tai.watch.impress.co.jp/

• Wi-Fi Alliance、セキュリティを高めた「WPA3」発表 2018年6月29日

Engadget 日本版 https://japanese.engadget.com/

• WiFiアライアンスがWPA3認証を開始、対応機器発売へ。KRACK対応、公共WiFiやIoTのセキュリティ向上 2018年6月26日

Wi-Fi Alliance https://www.wi-fi.org/ja/

• セキュリティ

Wikipedia https://ja.wikipedia.org/wiki/

• Wi-Fi Alliance
• Counter mode with Cipher-block chaining Message authentication code Protocol
• Wi-Fi Protected Access

あらゆる機器が影響を受けるWPA2の脆弱性という予告に騒然としかけたが…

どうやら無線電波経由で盗聴される恐れがある、つまり地理的に近接している必要があり、またアップデートで改修できるという事なので、マスメディアが大騒ぎするほどの話では無さそうだ。

参照

PC Watch https://pc.watch.impress.co.jp/

• Wi-Fiを暗号化するWPA2に脆弱性発見 ～対応のあらゆる機器が影響 2017年10月16日
• あらゆる端末が影響を受けるWi-Fiの脆弱性はパッチ対応可能 2017年10月16日
• Apple、iOS/macOSなど全OSでWi-Fi脆弱性の対応パッチを近く提供へ 2017年10月17日
• NETGEAR、WPA2脆弱性問題の対応ファームウェアを公開 ～ルーターモード、アクセスポイントモードでは問題は発生せず 2017年10月17日
• Windows 7以降はすでにWPA2脆弱性問題に対処済み ～ただし、一部製品はWi-Fiドライバの更新も必要 2017年10月17日
• Googleも数週間以内にWPA2脆弱性対策パッチを提供 2017年10月17日

INTERNET Watch https://internet.watch.impress.co.jp/

• WPA2の脆弱性「KRACKs」、Wi-Fi通信での盗聴や内容の改ざんが可能 2017年10月17日
• WPA2脆弱性「KRACKs」、HTTPS通信時は影響受けず、有線LANやVPNの利用も推奨 2017年10月17日
• WPA2脆弱性、主要無線LANベンダーの対応状況まとめ 2017年10月18日

ITmedia NEWS http://www.itmedia.co.jp/news/

• Wi-Fiの暗号化技術「WPA2」に脆弱性発見か　専門家が公開を予告 2017年10月16日
• WPA2の脆弱性「パッチで対応可能」　Wi-Fi標準化団体が見解 2017年10月16日
• WPA2の脆弱性「KRACK」対処パッチ、Microsoftは対応済み、AppleのOSとAndroidは数週間中 2017年10月17日
• WPA2の脆弱性は“大げさ”だった？　「初報だけ盛り上がる問題」を考える 2017年10月27日

IPA 独立行政法人 情報処理推進機構 https://www.ipa.go.jp/

• WPA2 における複数の脆弱性について 2017年10月17日

KRACK Attacks: Breaking WPA2 https://www.krackattacks.com/

Wikipedia https://ja.wikipedia.org/wiki/

• Microsoft Windows 10

「楽天カード」に他人が住所変更できる問題　既に対策済みという話。

ハッキングや詐欺的な行為をせずとも、単に名前、生年月日、電話番号、勤務先の個人情報を流用し異なる住所で新規カードを発行すると、同一人物と見なされる発行済みカードの現住所が変更されてしまったという事だ。

家族カードじゃ無いので新規カードの請求口座は違うはずだし、実際のところ「気味が悪い」以外の何が問題なのかよくわからなかったのだが、暗証番号の再発行や更新カードなどの郵送時は異なる住所に届くという事になるので、危ない。

確かに複数カードを持っている際には同期して変更しておきたい気持ちもわからないではないが、どっちかというと家族カードやETCカード以外に新規カードを発行するという振舞いは「要注意」とみるべきではないかと思うぞ。

参照

ITmedia NEWS http://www.itmedia.co.jp/news/

• カードの暗証番号、Webで確認可能に　楽天カードの新サービスに不安の声も 2012年11月12日
• 「楽天カード」に他人が住所変更できる問題　既に対策済み 2017年10月11日

Togetterまとめ https://togetter.com/

• 楽天カードを作り会員専用サイトを見てみたら住所などの登録情報が住んだこともない所に勝手に変更されていた？

Wikipedia https://ja.wikipedia.org/wiki/

• 楽天カード

【やじうまPC Watch】の記事に驚いた。

セキュリティコンテスト「Pwn2Own」において、VMwareの脆弱性を突いて仮想マシン上のゲストOSからホストOSを攻撃する事ができたそうな。

“VMwareの脆弱性"を突いたと言われれば「そら無理も無いか」と思わなくもないが、VMware toolsすらインストールされていない環境だったというから「Tencent Security」は信じられないスキルだよ。

「仮想マシンでWebを見ているからホストOSは安全」と思いたくなるのは山々だが、100％安全とか完璧はありえ無いという事か。

参照

PC Watch http://pc.watch.impress.co.jp/

• 【やじうまPC Watch】「仮想マシンでWebを見ているからホストOSは安全」という常識を覆す ～100万ドルを賭けたハッキング大会で証明される 2017年3月23日

ITmedia エンタープライズ http://www.itmedia.co.jp/enterprise/

• ハッキングコンペ「Pwn2Own」、今年も中国チームの独壇場　EdgeもSafariも破られる 2017年3月17日