災害時のフリーWi-Fi「00000JAPAN」とは

　セキュリティ視点でまずとりあげるべきは、災害発生後に開放されたWi-Fiアクセスポイントに関する問題だろう。ネットでは、非常用のアクセスポイントなので個人情報の入力には注意が必要という情報が流れたが、その背景と真偽を分析する。

　能登半島地震発生直後、1月1日に無線LANビジネス推進連絡会が、災害用統一SSID「00000JAPAN（ファイブゼロジャパン）」の無料Wi-Fiサービスを開始した。ファイブゼロジャパンとは、2016年の熊本地震のときに最初に設置された、被災地向けの無料Wi-Fi接続サービスだ。

　無線LANビジネス推進連絡会が「00000JAPAN」というSSIDで解放する公衆無線LANアクセスポイントであり、自宅の回線が破壊・停電などで使えなくなったとき、避難場所のネットワーク環境がない場合に設置、解放される。


　その一方で、ネットでは「00000JAPANは暗号化されていないので買い物はするな（個人情報・カード情報の入力はするな）」「緊急用なのでセキュリティ対策がされていない」「偽物（ハニーポット）でもわからないのでむやみに利用すべきではない」「使うならVPNを経由せよ」といった情報も拡散された。その中には、内閣サイバーセキュリティセンター（NISC）が発した注意喚起を挙げる投稿もあった。

　だが、災害用統一SSIDのリスク評価を正しくできる技術者やセキュリティ担当者なら、利用時の注意ポイントはそこではないことを知っている。そのため、すぐさま「00000JAPANは危険」という正確ではない情報の火消しに走った。

災害用だけではない、フリーWi-Fiのリスク

　Wi-Fi通信には接続相手を認証するプロトコルと通信を暗号化するプロトコルが規定さている。現在はWPA3という認証方式にAESという暗号化方式を使う設定が一般的だ。暗号化通信を行うかどうかはアクセスポイントの設定次第なので、情報窃取を目的としたハニーポットならば盗聴による情報漏えいのリスクはある。

　また傍受しやすい無線通信は有線よりもリスクは高いといえる。一般的にWi-Fi通信において、基本的なセキュリティプロトコルは設定するが、システムとしての認証やセキュリティは認証サーバや上位レイヤのしくみを利用するのがセオリーだ。

　SSIDは機器ごとに任意の名前をつけることができるので、攻撃者が騒ぎに乗じて「00000JAPAN」という名前のアクセスポイントを設置するのは簡単だ。リスクとなり得る可能性がある。

　以上をもって、災害用統一SSIDは安全ではないということは可能であるが、「00000JAPANは危険だ」というのは、自宅や会社やショッピングモールのWi-Fiと同じくらいに危険だと、当たり前のことを言っているに過ぎない。災害用の緊急アクセスポイントだからといって、特段に危険があるわけではない。

Wi-Fiからカード情報が盗まれる可能性とは

　では、00000JAPANでECサイトにアクセスしてカード決済するのはどうだろうか。これも普段どおりにフィッシングサイトなどに注意して利用すれば問題ない。ネットの書き込みでもここの誤解があったようだ。

　仮に00000JAPANが暗号を危殆化したWEP暗号を使っていたり、脆弱性が指摘され推奨されていないWPA2以前のセキュリティプロトコルを利用していたりしたとする。しかし、ECサイトとのやり取りはHTTPS通信によって暗号化されているので、正規サイトで入力したカード番号が傍受・盗聴によって解読される危険性は高くない。

　ファイブゼロジャパンを使っているかどうかにかかわらず、注意すべきは接続先の正当性、真正性のほうだ。

　そもそもWi-Fiアクセスポイントはレイヤ2（データリンク層）の機器だ。HTTPSなどのWebアクセスのプロトコルはレイヤ3のプロトコルを利用したアプリケーションプロトコル、つまりレイヤ3以上のプロトコルである。

　プロトコルスタックにおいて、下位レイヤは上位レイヤのプロトコルは解釈できない。あくまでペイロードとして運ぶだけだ。レイヤ2のWi-Fiアクセスポイントで通信の中身がすべて解読できるわけではない。

　にもかかわらず、00000JAPANではカード情報が盗まれる可能性があることを強調するような情報が拡散されたのはなぜか。NISCがそのような注意喚起を行ったからという指摘もあるが本当だろうか。 【次ページ】NISCの注意喚起が混乱を招く要因に？