「企業の無線LANセキュリティ対策は大丈夫なのだろうか？」――。日経NETWORKは，Web調査「企業ネットワークの構成に関するアンケート」を毎年実施している。（分析結果の詳細は「今どきの企業ネット2008」を参照）。担当として分析した記者が，2008年の調査結果で最も驚いたのが，「無線LAN導入企業のうち57％は暗号化にWEPを使用している」という結果だった。

WEPによる暗号化は無いも同然

　実はWEPは，暗号化としてはほとんど無意味だ。記者は，WEPが盗聴や不正アクセス対策にはならないことはユーザーにも知れ渡っていると思っていた。もちろんアンケートでは，個別の企業の事情まではわからない。WEPではセキュリティ対策にならないことを承知の上で，限定的に使用している企業もあるだろう。しかし，それだけでは57％という割合は説明できなさそうだ。

　そこで記者は，改めてWEPの危険性について解説しておきたい。

　WEPは，2001年頃から攻撃方法の存在が指摘されている。最初に指摘されたのは，FMSという攻撃方法。FMS攻撃を実装した攻撃ツールも登場した。ただFMS攻撃では，WEPキーを復元するのに数百万パケットのやりとりを受信する必要があった。クラッキング・ツールは当時から出回っていたが，実際に解読するのは今から思えばなかなか大変なことだった。

　ところが2007年になって事情は一気に悪化した。平均4万パケットを採取すればWEPキーが解読できるPTW攻撃が登場したのだ。1パケットが平均1000バイトとすれば，約40Mバイトのやりとりを受信するだけでWEPキーが解読できてしまう計算だ。ファイル転送中であれば，1分以内に解読できてしまう。

　もちろん，無線LANクラッキング・ツールもPTW攻撃に対応した。悪いことに，クラッキング・ツールはインターネット上で簡単に手に入る。Linux，Windows版，果てはPDA版も出回っている。PDA版を使えば，目立たない形でWEPキーを解読することもできてしまう。

WPAかWPA2を使いましょう

　対策はどうか。実はそれほど難しいことではない。無線LANをクラッキングされないようにするには，暗号化にWEPを使わずWPAかWPA2を使えばよい。ただしWPAの場合，ユーザーが登録するパスフレーズを暗号鍵に変換するアルゴリズムに弱点が見つかっており，20文字以上のパスフレーズにする必要がある。さらに可能であれば，IEEE802.1X認証を使ってユーザーごとにパスフレーズを使い分ける。それができなければ，ユーザーの出入りがあるたびにパスフレーズを交換するといった方法で，外部にパスフレーズが漏れないようにすればよいだろう。

　このように，自分の管理している無線LANであれば，WEPはすぐにでもやめられる。しかし問題はほかにもある。実は，第三者の提供している無線LANの多くは暗号化にWEPを使っているのだ。例えば通信事業者が提供する公衆無線LANサービスのほとんどはWEPを使っている。ゲーム機などに，WPAやWPA2に対応していないものが存在するといった事情があるためだろうが，企業が業務に使うには問題がある。このような環境では盗聴されることを前提に，IPsecやSSLといった手段で別に認証や暗号化を施す必要がある。

　あなたの会社で無線LANの暗号化にWEPを使っておられるなら，これを機会にWPA2やWPAへの変更を検討されることを，強くお勧めしたい。