ネットワークを流れるデータ（パケット）を第三者が不正に取得し、内容を盗み見る行為のこと。他のユーザーが送受信したメールの内容や閲覧しているWebページの内容などが狙われる。
有線LANを盗聴する場合、まずLANに盗聴用のパソコンを接続する。LAN構築にスイッチング機能を持たないハブを使っているときは、ハブの全ポートに同じデータが流れているので、ハブに盗聴用パソコンを接続するだけでデータを盗み見ることができる。この場合、盗聴用パソコンで「スニファ」と呼ぶソフトを動作させる。スニファは本来、ネットワーク管理者がトラブルの原因を探るためにネットワークのデータを取得するソフトだが、この機能を悪用して盗聴する。
LAN構築にスイッチング・ハブを使っていると、各ポートごとに異なるデータが流れる。このため盗聴の手順はいくぶん複雑になる。「ARP（アープ）（Address Resolution Protocol）ポイゾニング」と呼ぶ手口を使う。ARPとは、あるIPアドレスを持つ機器のMACアドレス（機器固有のID）を割り出すためのプロトコル。ARPポイゾニングでは、盗聴用パソコンが偽のARP信号をスイッチング・ハブに送り、データを盗み見したいパソコンになりすます。
最近は、あるポートの内容をそのまま別のポート（ミラー・ポート）に出力する機能を持つスイッチング・ハブが多い。このミラー・ポートにも注意したほうがよい。本来はネットワーク管理者の運用/保守を支援する機能だが、盗聴にも悪用できるという問題がある。
盗聴用パソコンがネットワークに接続されているかどうかを検出するソフトもある。代表的な製品はセキュリティフライデーが開発した「PromiScan（プロミスキャン）」。盗聴用パソコンはネットワーク・インタフェースを「プロミスキャス・モード」という特殊なモードで動作させる必要がある。このモードになっているパソコンをARPの挙動を手がかりに探し出すことで、盗聴用パソコンが分かる。
一方、無線LANは有線LANより簡単に盗聴できる。無線LAN機能を持つ盗聴用パソコンを電波の圏内に置くだけで、データを拾い読みできる。これを可能にする無線LAN専用の盗聴ツールが存在する。盗聴できる無線LANを求めて車で移動する「ウォー・ドライビング」という手口もある。
無線LANの盗聴を防ぐには、データの暗号化が必須だ。通常は「WEP（ウェップ）（Wired Equivalent Privacy）」と呼ぶ暗号化方式を使う。ただし、一般的な40ビットの暗号キーはハッキング・ツールを使い、数時間で解読できる。WEPの暗号キーを頻繁に変えるユーザーはあまりいないので、一度解読されるとかえって危険が大きい。より強固な暗号化方式としては、TKIP（ティーキップ）（Temporal Key Integrity Protocol）やAES（Advanced Encryption Standard）がある。
本記事は日経コンピュータ2004年11月1日号に掲載したものです。
同誌ホームページには，主要記事の概要や最新号およびバックナンバーの目次などを掲載しておりますので，どうぞご利用ください。
・日経コンピュータ・ホームページ
・定期購読お申し込みや当該号のご購入
