「企業での無線LAN、セキュリティを重視するも約半数の企業でWEPが現役」記事へのコメント

WEP でも VPN でセキュリティを確保すれば無問題

[Printable is bad. (38668)]

きちんとしたセキュリティ対策をやっている会社は、

• 無線LANはWEPで、パスフレーズは「会社名」や「部署名」など簡単なもの
• ただし、当該無線LANに接続しても、アクセスできるところは自社のVPNサーバのみ。
• VPNとの通信はTLSで暗号化されており、接続にはUSBメモリ内のクライアント証明書と、各自が手帳などに書き留めてあるID、そして暗記しているパスワードの3つが必要。勿論、それらは従業員ごとに異なる。
• 更にセキュリティを高めるために、個人情報を含むファイルサーバーに接続できる VPNへの接続に、よく従業員が首からぶら下げているようなワンタイムパスワードトークンが必要な

Re:

[Anonymous Coward]

きちんとしたセキュリティ対策をやっている会社には多層防御という概念がないのか。たまげたなあ。
「TLSで暗号化されており(ただし暗号はRC4)」とかいうオチがありそう。あるいは認証がMS-CHAPv2とか。

Re:

[StandardIO (47182)]

皮肉で言っているんですよ、きっと。
ともあれ最初の接続がWEPのみでいけるのなら、上から3つ目の・のところは
1. TLS証明書の無効化
2. IDのブルートフォースまたは一覧の取得
3. パスワードを無線LANと同じにしているやつ、passwordにしているやつ、メールアドレスのパスワードと同じにしているやつ、の3つで当てていく
これで大概はいけるのではないでしょうか。

ユーザーが管理できるパスワードの数には限りがある

[Printable is bad. (38668)]

無線LANのパスフレーズを複雑にして全従業員に管理させることによる防御効果より、管理すべきパスワードが増えたことによって重要なパスワードまで書き留めてしまうリスクの方が大きいと思います。

情報システム部門が弄る範囲の場所は「多層防御」を行うべきです。しかしながら、現実的なセキュリティ対策としては、一般の従業員が管理するパスワードはできる限り減らす必要があります。管理する必要のあるパスワードが増えると「絶対に書き留めないこと」を要求しても、ユーザーはデスクトップのテキストファイルなどに書き留めてしまうからです。

例えば、無線LANの暗号

Re:

[Anonymous Coward]

結局の所、なぜWEPにするのか説明になっていない。
あなたがやりたいことは、WPA2でも何も不都合がないし、わざわざ攻撃者の興味を引くWEPにする必要は無い。

Re:ユーザーが管理できるパスワードの数には限りがある

[Anonymous Coward]

ハニーポットでも仕掛けてあるとか？