無線LANセキュリティプロトコルの世代

無線LANの通信を保護するセキュリティプロトコルは、脆弱性の発見と対策を重ねながら、WEP → WPA → WPA2 → WPA3という順に進化してきました。CCNA 200-301では、このうちWPA・WPA2・WPA3の3つについて、それぞれの違いを理解しておく必要があります。

WPA（Wi-Fi Protected Access）

WPAは、初期の無線LANセキュリティ規格であるWEPの深刻な脆弱性を受けて登場した、暫定的な改善規格です。暗号化にはTKIP（Temporal Key Integrity Protocol）を採用し、パケットごとの鍵混合、48ビットIV、MICなどによってWEPを改善しましたが、暗号アルゴリズム自体はWEPと同じRC4をベースにしており、根本的な強度には限界がありました。

WPA2（Wi-Fi Protected Access 2）

WPA2は、WPAに代わる本格的な規格として標準化され、長年にわたって広く使われてきました。暗号化には、TKIPに代わってAES（Advanced Encryption Standard）を使うCCMP（Counter Mode with CBC-MAC Protocol）を採用しており、暗号強度が大きく向上しています。認証方式は、用途に応じて2種類に分かれます。

  • Personal（個人向け）：PSK（Pre-Shared Key、事前共有キー）方式です。あらかじめ設定した共通のパスフレーズを、接続するすべてのクライアントで共有します。家庭や小規模拠点向けです。
  • Enterprise（企業向け）：802.1XとRADIUSサーバーを使い、クライアントごとに個別の認証情報で認証を行う方式です。ユーザーごとのアカウント管理や、退職者のアクセス無効化などがしやすく、企業ネットワーク向けです。

WPA3（Wi-Fi Protected Access 3）

WPA3は、WPA2に残っていた課題を解消するために策定された、最新のセキュリティプロトコルです。

  • SAE（Simultaneous Authentication of Equals）：WPA2のPSK方式における、パスフレーズからPMKを得る認証・鍵共有の仕組みに代わる、共有パスフレーズを用いる新しい認証・鍵共有方式です。WPA2のPSK方式は、通信を傍受してオフラインでの辞書攻撃（総当たりでパスフレーズを推測する攻撃）を仕掛けられる可能性がありましたが、SAEは傍受した認証情報を用いるオフライン辞書攻撃への耐性を大幅に高めています。SAEで認証・鍵共有の土台を確立した後も、暗号鍵の導出・設定には4ウェイハンドシェイクが使用されます。
  • Enterprise方式での暗号強度の強化：WPA3のEnterprise方式では、任意の192ビットセキュリティモードとして、より強度の高い192ビットのセキュリティ強度を持つ暗号スイートがサポートされます。
  • WPA3-Personalでは、必須の暗号スイートとしてAES-CCMP-128を使用します。GCMP-256は、WPA3-Enterpriseの192ビットセキュリティモードで使用されます。

3世代の比較

観点WPAWPA2WPA3
暗号化方式TKIP（RC4ベース）AES-CCMPAES-CCMP-128（Personalの必須暗号スイート）、AES-GCMP-256（Enterpriseの192ビットセキュリティモード）
認証・鍵確立の流れパスフレーズからPMKを導出後、4ウェイハンドシェイクパスフレーズからPMKを導出後、4ウェイハンドシェイクSAEでPMKを確立後、4ウェイハンドシェイク
オフライン辞書攻撃への耐性低い低い（傍受した4ウェイハンドシェイクでパスフレーズ候補をオフライン検証できる）高い（SAEにより、傍受した認証情報を用いるオフライン辞書攻撃への耐性が高い）
Enterpriseの暗号強度192ビットセキュリティモードなし192ビットセキュリティモードなしより強力な192ビットセキュリティモードに対応

GUIでのWPA2 PSK WLAN設定

CCNA 200-301の出題範囲5.10では、WLC（Wireless LAN Controller）のGUIを使って、WPA2 PSK方式のWLANを設定・確認する流れを理解しておく必要があります。WLAN自体の作成手順（Profile Name、SSID、Interfaceの割り当て等）は、別記事「無線LAN GUIでのWLAN作成とクライアント接続設定」（2.9）で扱った内容と共通です。本記事では、その中でもセキュリティ設定をWPA2 PSKにする部分に絞って解説します。

以下はCisco AireOS系WLCのGUIを例とした手順です。Catalyst 9800（IOS XE）などでは、画面構成や項目名が異なります。

設定の流れ

  • WLC管理画面にログインし、「WLANs」メニューから、対象のWLAN（またはWLAN新規作成）を選択します。
  • 「Security」タブ内の「Layer 2」サブタブを開きます。
  • Layer 2 Securityのドロップダウンから、WPA+WPA2を選択します。
  • WPA2 Policyにチェックを入れ、WPA2 EncryptionをAESに設定します（TKIPは古いWPAとの互換用であり、WPA2では基本的にAESを使用します）。
  • Auth Key Mgmt（認証キー管理）をPSKに設定します。
  • PSK Format（ASCIIまたは16進数）を選び、共有するパスフレーズを入力します。ASCII形式では8～63文字、16進数形式では64桁のPSKを指定します。
  • 設定をApply（適用）し、WLANがEnabled（有効）になっていることを確認します。

Personal（PSK）方式では、ここで設定したパスフレーズを、接続するすべてのクライアント側でも入力することで、接続が確立します。Enterprise方式（802.1X）を使う場合は、Auth Key Mgmtを802.1Xに設定し、別途RADIUSサーバーの情報を「AAA Servers」タブで指定します（Enterprise方式の詳細は、別記事「ネットワークデバイスの管理アクセス方式」および本記事のAAA関連記事で扱っているRADIUSの仕組みと共通する考え方です）。

設定の確認（WLC CLIでの参考確認）

出題範囲5.10はGUIでの設定操作の理解が中心ですが、設定結果は、WLCのCLIから確認することもできます。以下はCisco AireOS系WLCの出力例であり、機種やソフトウェアバージョンによってコマンドや出力形式は異なります。

WLC# show wlan 1

WLAN Identifier.................................. 1
Profile Name...................................... corp-wlan
Network Name (SSID)............................... Corp-Wifi
Status............................................ Enabled
Security
  802.11 Authentication:......................... Open System
  Static WEP Keys.................................. Disabled
  Wi-Fi Protected Access (WPA/WPA2/WPA3)........... Enabled
    WPA (SSN IE)...................................  Disabled
    WPA2 (RSN IE)...................................  Enabled
      AES Cipher...................................  Enabled
      TKIP Cipher...................................  Disabled
    Auth Key Management
      PSK.............................................  Enabled

WPA2 (RSN IE)がEnabled、AES CipherがEnabled、Auth Key ManagementのPSKがEnabledになっていることから、このWLANがWPA2・AES暗号化・PSK認証で設定されていることを確認できます。

WLC# show client summary

Number of Clients................................ 1

MAC Address       AP Name    WLAN  Status     Auth  Protocol
-----------------  ---------  ----  ---------  ----  --------
0011.2233.4455     AP-1F-01   1     Associated Yes   802.11ac

StatusがAssociated、AuthがYesになっていれば、クライアントがPSK認証に成功し、無線LANへの関連付けと認証が完了していることが分かります。