家庭で使われている無線LANルータの83％に脆弱性、米NPO調査 37
ストーリー by hylom
日本の状況も知りたい 部門より
日本の状況も知りたい 部門より
米NPO・American Consumer Institute（ACI）の調査によると、家庭で使われている無線LANルータの83％で既知の脆弱性が修正されずに放置されているという（ITmedia）。
14メーカー・186台の製品を対象に調査した結果、155台に脆弱性が見つかったという。うち危険度が「クリティカル」の脆弱性は7％、「高」の脆弱性は21％だったという。オープンソースのコードを利用するルーターが増えており、こういった製品は脆弱性が見つかりやすい一方で、脆弱性が発覚しても放置しているメーカーも存在し、それがこのような状況を生んでいるようだ。
WPA3に対応しない製品は全部買い替えが必要 (スコア:1)
そもそも今のルーターに採用されてるWPA2には、脆弱性があることが分かっている。
ルーターだけじゃなくて、本体側も何らかの更新が必要なんじゃない？
どれだけの製品が対応するんだろうか？
WPA3は「SAE」採用で鍵の推測が不可能に、KRACKsで悪用の穴ふさぐ、2018年末から登場？
https://internet.watch.impress.co.jp/docs/column/nettech/1146183.html [impress.co.jp]
危険というのは出鱈目で、実際には WPA2 は安全 (スコア:1)
今一般的に使われている WPA2 の CCMP 方式（AES）は、クライアントにパッチがあたっていれば安全です。
KRACK は、アクセスポイントではなく接続するクライアント側に依存する問題であり、例えば Windows では2017年10月の月例パッチで脆弱性対応が行われています。Android, iPhone, OS X なども同様に対策されています。問題となるのは、クライアントにもなるアクセスポイント（中継機）ですが、そちらもサポート対象期間であれば多くの場合パッチが提供されています。
KRACKがWPA2の仕様上の脆弱性だというのはその通りですが、事実上パッチで修正されているので、セキュリティ上はWPA3にする必要性はありません。
WPA3 で改善された、鍵の推測が不可能がどうたらというのは、公衆無線LANや社内LANなどで WPA EAP ではなく WPA PSK (家庭用の事前共有鍵方式) を使うというそもそも間違った運用をしているケースで、事前共有鍵を知っている人がハンドシェイクを盗み見た場合でも通信に使う暗号鍵が推測できなくなるという改善です。
しかし、WPA PSK 方式では、WPA3 であっても 事前共有鍵を公開する場合なりすまし攻撃・中継型偽アクセスポイントを防ぐことができないので、そもそも公衆無線LAN用にPSK方式を安全に使用することは不可能であり、他のユーザの通信に使う暗号鍵（事前共有鍵とは別にハンドシェイク時に生成される）の推測が不可になったのは無意味で、PSK方式の公衆無線LANをユーザが安全だと錯覚してしまう点で改悪ともいえる 仕様変更です。
分かりやすく言うと、「オレオレSSL証明書」が危険なのと同じことです。暗号化自体はきちんと行われているし、なりすまし攻撃が行われていなければセキュリティ上問題ないのですが、なりすましを検知することができないので危険なのです。
日本のメーカーでもこういう調査あるのかしら (スコア:0)
ファームウェアはアップデートするようにはしてるけど、記事にもあるように脆弱性がないかどうかはまた別モンだし
Re: (スコア:0)
イマドキはたいてい自動アップデートになっているような気がします。
手元のアイ・オー・データ機器やエレコムはそうなっているものがあります。
Re: (スコア:0)
え、NECは…
Re: (スコア:0)
NECにもあるしバッファローにもあるしデフォルトで有効だよ
Re: (スコア:0)
コレガ…
実際はもっと悲惨 (スコア:0)
思いついて最新ファームウェアがあるか確認しに行ったら一切なし
過去に更新した記憶があるので間違いなく昔はあったはずなのに
販売終了した製品は買い替えろってことなんだろうけど、ルーターなんて壊れなければ使い続けるものだろうに
数年程度前の販売終了品まで含めると放置されてる数字はもっと上がるだろう
Re: (スコア:0)
販売終了する頃には、文字通り桁が変わるだけ性能が変化してるので、買い替えたほうがいいよ。
規格上の速度上がるだけじゃなく、対干渉対策だったり、いろいろ変更があるからね。
実行速度だと10倍以上は簡単に変わるよ。
Re: (スコア:0)
１７％はどれよ (スコア:0)
リンク先のPDFにメーカーとモデルの一覧があるけど、どれが脆弱なのかは書いてない。
みんなどのルーター使ってるんだろう。やはり日本だと日本メーカー製品が人気なんだろうか。
# Google Wi-Fiを買って速度などは満足だけど、プライバシー問題でやっぱ乗り換えようかと最近思ってる。
# なんでGoogleなんて買ったんだろう・・・
Re: (スコア:0)
WLX202 は多分大丈夫
Re: (スコア:0)
それ、ルーターじゃない。
Re: (スコア:0)
CISCOのSOHO向けVPNルータ(CISCO C841M-4X-JSEC/K9)がちょくちょく8000円ぐらいになってて安いですよ
#WiFiついてないモデルですが
Re: (スコア:0)
ヤマハのRTX-1200も中古が1万円台前半（ヤフオクだと１万切ってたりしますが）で売ってるのでお買い得です。
ciscoよりコマンドがわかりやすいのが良いです
Re: (スコア:0)
ciscoのほうは新品で1万切ってるので、保証諸々考えると…
#今までに見た最安は、1台2980円、2台セットで5000円
Re: (スコア:0)
一世代前の RTX-1100 だけど、もう10年以上も夏場にクソ暑くなる部屋に置いて使い続けて今だピンピン。
丈夫さという点では目を見張る物がある。
Re: (スコア:0)
うちではRTX1000使ってるけどまだピンピンしてる。
回線が100Mbpsなので買い換える理由もないんだよな。
Re: (スコア:0)
まあ確かにWAN側回線が100MbpsでRTX1000ならWAN側性能としては十分ではあるが
今どきはLAN側がGbE、いや場合によっちゃ10GbEなこともあるわけでな。
LAN側のトラフィックを捌くことも考えれば上げる理由がないわけでもないぞ。
あと、古くなってくると経年劣化で突然死ぬこともあるから、生きてるうちに
次を買って予備にする、とかも考えておいたがええぞ。
Re: (スコア:0)
宅内側に10GbEなり1GbEのl2sw置けば済むでしょ。
ネットワークセグメント間でルーティングなりNATなりするなら別だけど。
rtx1000/1100で十分な環境ってことは、そこまで複雑なネットワークでも無いだろうし。
経年劣化で故障してダウンタイムで困る環境ならとっくに交換してる世代だしなー
Re: (スコア:0)
＞日本だと
フレッツだとＮＴＴがレンタルしてるやつをそのまま・・・ってパターンが多い気がする。
＃うちがそうだし、実家もそうだ。
Re: (スコア:0)
海外製品買おうにもLinkSysは撤退しちゃったしなぁ
逸般人以外は日本メーカー以外選択しないですし。
Re: (スコア:0)
Linksys最近日本で販売開始してますよ。AppleStoreでも取り扱い開始してる。
Neatgearなんかもまだ買えると思う。
海外といっても中国・台湾・米国の選択肢しかないですが。
法律で規制しないのは何故か (スコア:0)
対応出来ない製品は違法化すればいいのに。なんでどこの国も規則を作らないんでしょ。
Re: (スコア:0)
テレビや冷蔵庫、エアコン、扇風機のような家電を耐用年数以上使ったり、リコールされた家電を使い続けるのはリスクがあるけど、そういうの差し置いて情報家電だけリスクがあるから規制は難しいのかと
自動車みたいに車検でもあれば継続利用を出来なくできるが
Re: (スコア:0)
個々の製品の基本処理能力が上がっているから、無理矢理にでも規制、ないしメーカの告知義務があるようにしないと駄目じゃない？
個人のリスクもそうだけど、いつの間にか攻撃する側になっているわけだし
Re: (スコア:0)
その分のコストを負担する気持ちはみんなにあるのかしら。無線LANルーターに脆弱性があったとしても、たいてい、持ってる本人は困らないんだよねぇ。
Re: (スコア:0)
インターネット利用者に機器保安税という名前ででも義務付けて、コストの平準化を図ればいい。
補助金を出してファームウェアをメーカーに更新してもらうんだよ。
更新を適用しないネットワーク機器は、自動でシャットダウンするようにすればいい。
そういう車検と同じような仕組みをなぜできないのか？
#危機感が足りないからさ。
Re: (スコア:0)
「ラズパイ買って自宅でLAN環境」みたいな本買ってきて、規制強化でバカ高いルータ買う人いなくなるかも
そして今より状況が悪化する、と
Re: (スコア:0)
ラスパイの Ethernet 性能でルーティングとか、、、、
1000円以下の100Mルータより遅そうだ。
Re: (スコア:0)
最近のルータもCPUやメモリ容量は対して変わらんし
チューニング次第でどうにでもなる気が。
NICが1ポートしかないから多ポートある機器よりは有線は遅くなっちゃうけどさ。
Re: (スコア:0)
製品１年保証とかあるし、現実的には１年間最新ファームウェアで安全に使えたらあとは放置ね、っていうのもありなのかな。
その後の脆弱性は故障扱いで有償対応ですよ、みたいな。悪どい気がするけど。
最近ソフトウェアでも、購入後１年間はアップデート受けられるけど、その後も受けたい場合は契約更新してね(アップデートしなくても使い続けることはできる)、というソフトウェアが増えつつある。
まぁ２０００円とかやっすい製品で５年も１０年も無料でサポートしろ、っていうのは酷な気もする。
それなりの金出してちゃんとした製品買うのが良いのかも。さすがに２万円とかする製品ならもっとやる気出してくれるでしょ。
Re: (スコア:0)
保証なんて保証しないこと前提で書くんですよ。商売の常識です。
ファームの無償配布が習慣の現状では無理じゃない (スコア:0)
ファームの無償配布が習慣の現状では無理じゃないかと。
PS4やSwitchみたいにライセンス料で徴収できたり、製品寿命が長いなら別だけど、
現状、製品価格に十分盛れているとは思えない。
ルーターに限らず、IT自体が脆弱性の塊みたいなもの (スコア:0)
所詮は鼬ごっこなんだよ。ソフトもハード(ファームウェア)もね。
将来は、IoT家電とか車とかもターゲットになる日が来るわよ！。
MacOSも最近になって、新たな脆弱性が見つかっている。
Windowsなんて脆弱製だらけで、毎月修正アプデだしな。
読み方がわからない。 (スコア:0)
・みんなが最新のファームにしていないという話なのか、メーカ更新が止まっていて最新のファームにしても脆弱性があるという話なのか……
・機種について比率を出すことには意味があるのか? 出荷台数で重み付けをしないと意味がないのではないか?
Re: (スコア:0)
>・みんなが最新のファームにしていないという話なのか、メーカ更新が止まっていて最新のファームにしても脆弱性があるという話なのか……
米国の家庭をスキャンして言っているのではなくて、製品評価なので後者ですね。
>・機種について比率を出すことには意味があるのか? 出荷台数で重み付けをしないと意味がないのではないか?
製品のうち何種類が安全か、ということですよね。
広く普及しているのは、大抵サポート費用積んでない廉価機なので、出荷台数で重みづけなんかしたら、
もっと絶望的な数になるかと・・・