ネットワークスペシャリスト、技術士として、資格取得を目指す方に有益な情報を発信します。午後問題には、情報セキュリティに関する最新の動向を反映した題材が採用されています。なった後も能力向上のために学習していきましょう。今回は、「無線LANを侵入経路としたマルウェアへの感染」を題材にした「IEEE802.1X」を解説していきます。「IEEE802.1X」IEEE802.1XとはIEEE802.1Xとは、有線LAN、無線LANにおけるユーザ認証の規格の一つです。動作の流れ端末が通信を開始すると、ネットワークの末端にあるLANスイッチ、アクセスポイントなどが端末に対して認証を要求する端末は認証に必要な情報(ID、パスワードなど)を送信し、LANスイッチ、アクセスポイントなどが認証サーバに問合せを行う認証に成功すると、LANスイッチ、アクセスポイントなどが通信を許可する構成要素サプリカント(Supplicant):クライアントにインストールするソフトウェア。最近のPCには標準搭載されている認証装置(Authenticator):サプリカントと認証サーバの仲介役となるネットワーク機器。Protocol)というデータリンク層の上位層で動作するプロトコルが、各種の認証プロトコルを仲介するプロトコルスタックになります。認証プロトコルには、TLS、MD5、TTLS、PEAP、LEAP、EAP-FASTなどがあります。実際によく使われているのは、TLSとPEAPになります。ちなみに、サプリカントから送信されるEAPメッセージはIP層ではありません。EAPメッセージを受信した認証装置がIPパケットに変換して認証サーバに送信する仕組みになっています。Authentication)クライアント認証に「ID・パスワード」、サーバ認証に「証明書」を用いる方式。Security)クライアント認証に「証明書」、サーバ認証に「証明書」を用いる方式。「無線LANを侵入経路としたマルウェアへの感染」を題材に、マルウェアの調査と対策について出題されました。それでは「IEEE802.1X」の問題となった部分を見ていきましょう。総務部では、無線LAN接続型のタブレットPCを導入している。無線LANの暗号化では、WPA2を使用している。W-APでは、不正な端末の接続を防ぐための対策として、次の機能を使用している。802.1X認証では、認証サーバと連携して、利用者IDとパスワードを使用している(EAP-PEAP)。〔無線LANの脆弱性〕P君は、総務部のW-APは、MACアドレスによる接続制御をしているのに、攻撃者がなぜ接続できたのか疑問に思い、W主任に聞いてみた。W主任は、WPA2を使用していても、無線LANの通信が傍受されてしまうとBさんが利用しているタブレットPCのMACアドレスを攻撃者が知ることができることと、攻撃者が、自分の無線LAN端末を総務部のW-APに接続可能にする方法をP君に説明した。802.1X認証で使用するBさんの利用者IDとパスワードを攻撃者が入手する方法について、次のように話した。W主任:最近、KRACKsと呼ばれるWPA2への攻撃手法が報告され、攻撃用のサンプルコードも公表されている。この攻撃を高い確率で成功させるためには、攻撃者は不正なW-APを設置し、正規のW-APと端末との間の中間者として動作させる必要がある。この攻撃が成功すると、WPA2で暗号化したパケットを解読されるおそれがある。N社は、4月10日より前に、この攻撃に遭っていながら、攻撃に気付かなかったのではないか。P君は、KRACksについて調べてみた。その結果、KRACKsは、攻撃者が特定の通信に介入することによって、WPA-TKIP及びWPA2が使用するAES-CCMPというプロトコルの暗号を解読するものであることが分かった。解読の手段は、AES-CCMPの場合、CTRモードにおける初期カウンタ値を強制的に再利用させるものであった。AES-CCMPは、AESというブロック暗号とCTRモードという暗号モードをベースとしている。〔暗号モード〕ここまで調べたP君は、イントラポータルサーバへのアクセスはHTTPであり、かつ、ベーシック認証を使用しているので、WPA2の通信を解読されると利用者IDとパスワードの流出に直結していしまうことに気付いた。無線LAN経由で侵入された可能性のある時期には、タブレットPCはKRACKsへの対策がされていなかったので、P君は、KRACKsによる攻撃を受けた可能性を調査する必要があると考えた。そこでP君は、W主任に相談して、攻撃者が不正なW-APを設置していないか、N社の周囲の無線状況を調査した。その結果、総務部のW-APと同一のSSIDが設定された不審なW-APが、N社敷地外にあることを発見し、KRACksによる攻撃を受けたと結論付けた。そこで、W主任は、KRACKsによってWPA2の通信が解読された場合でも被害を防ぐ対策として、イントラポータルサーバへのアクセスをHTTPSに変更する案を提案した。R課長は、FW1にはL7FW機能があることを思い出した。今回のインシデントでは、FW1が、マルウェアによる通信を不正な通信として検出した形跡はなく、通過させていた。この件について、R課長はP君に調査を指示した。P君が、プロキシサーバのログを分析したところ、4月10日の10:00以降、問合せ用PCが発信元であるHTTPSと思われる通信が、通常よりも大幅に増加していた。これらの通信の大半は、表3のC&CサーバのIPアドレスを含む不審なIPアドレスへの通信であったことから、マルウェアによるものと推測された。問合せ用PCが発信元であるHTTP通信は、ほとんどなかった。続いてP君が、FW1の機能の設定状態を確認したところ、L7FW機能は有効化されていたが、HTTPS通信によって送受信されるデータを復号する機能(以下、HTTPS復号機能という)はライセンスがないので有効化されていなかった。この状態では、HTTPS通信に対してL7FW機能は効果がないことが分かった。P君は、これら一連の内容をR課長に報告した。R課長は、インシデントの調査を終了し、W-APのIEEE802.1X認証の方式をEAP-TLSに変更する案と、イントラポータルサーバへのアクセスをHTTPSに変更する案を実施するとともに、残りの対策の検討に移ることにした。週間)やさしいエンジニアを目指して、ネットワーク・セキュリテイ分野に長年携わってきました。ネットワークスペシャリストなど各種資格を保有しています。役立つ情報をわかりやすく提供できたらと思います。月別アーカイブリンクプライバシーポリシーUdemyスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。