パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

企業での無線LAN、セキュリティを重視するも約半数の企業でWEPが現役」記事へのコメント

  • きちんとしたセキュリティ対策をやっている会社は、

    • 無線LANはWEPで、パスフレーズは「会社名」や「部署名」など簡単なもの
    • ただし、当該無線LANに接続しても、アクセスできるところは自社のVPNサーバのみ。
    • VPNとの通信はTLSで暗号化されており、接続にはUSBメモリ内のクライアント証明書と、各自が手帳などに書き留めてあるID、そして暗記しているパスワードの3つが必要。勿論、それらは従業員ごとに異なる。
    • 更にセキュリティを高めるために、個人情報を含むファイルサーバーに接続できる VPNへの接続に、よく従業員が首からぶら下げているようなワンタイムパスワードトークンが必要な
    • by Anonymous Coward

      きちんとしたセキュリティ対策をやっている会社には多層防御という概念がないのか。たまげたなあ。
      「TLSで暗号化されており(ただし暗号はRC4)」とかいうオチがありそう。あるいは認証がMS-CHAPv2とか。

      • 皮肉で言っているんですよ、きっと。
        ともあれ最初の接続がWEPのみでいけるのなら、上から3つ目の・のところは
        1. TLS証明書の無効化
        2. IDのブルートフォースまたは一覧の取得
        3. パスワードを無線LANと同じにしているやつ、passwordにしているやつ、メールアドレスのパスワードと同じにしているやつ、の3つで当てていく
        これで大概はいけるのではないでしょうか。

        • 無線LANのパスフレーズを複雑にして全従業員に管理させることによる防御効果より、管理すべきパスワードが増えたことによって重要なパスワードまで書き留めてしまうリスクの方が大きいと思います。

          情報システム部門が弄る範囲の場所は「多層防御」を行うべきです。しかしながら、現実的なセキュリティ対策としては、一般の従業員が管理するパスワードはできる限り減らす必要があります。管理する必要のあるパスワードが増えると「絶対に書き留めないこと」を要求しても、ユーザーはデスクトップのテキストファイルなどに書き留めてしまうからです。

          例えば、無線LANの暗号

          • by Anonymous Coward

            結局の所、なぜWEPにするのか説明になっていない。
            あなたがやりたいことは、WPA2でも何も不都合がないし、わざわざ攻撃者の興味を引くWEPにする必要は無い。

            • #2864861氏の構成について。

              WPA2にしない理由について考察:
              ・どんなPC、デバイスも接続できるようにしておいて、
               WEBページを立ち上げるとアナウンス用のWEBサイトを表示できるように
               一番簡単なWEPのみのシステムにしているのかも。
               しかしながら、ならば暗号なしのWEPの方がいいような。
               (パスワードありにする理由は書いてあるが)

              ・加えて、VPNしているのにさらにAES暗号化するのは無駄に見えるから、
               VPNオンリーにしたいのかなと読めたのですが。

              親コメント
              • by Anonymous Coward

                VPNオンリーにしたいなら無線LANなんか設置せず、3G/LTE-USB端末のVPN限定契約回線を社員に配ればいいんですよ。
                例:http://www.docomo.biz/html/service/internet/

                そもそも「どんなデバイスでも」というのは無理筋で、まともなVPNだとOS選ぶので、前提が間違ってる。

ハッカーとクラッカーの違い。大してないと思います -- あるアレゲ

処理中...