「HTTPSとWPAの役割の違いについて」に関しての考えをまとめました。

目次

WPAとHTTPSの役割レイヤがごっちゃになったので、概要と違いをまとめる

WPAとは？

無線LANで通信内容を暗号化するための形式。WPA3が2024年1月時点で最新。 AES形式の共通鍵暗号方式を採用している。

無線LANの攻撃手法のひとつに、同一ネットワーク内の通信を盗聴する方法がある。 WireShark等を使うことで全無線LAN利用者の通信内容を見れるらしい。

しかし、WPA3によって通信を暗号化しているため、 仮に見られたとしても、中身を検証される心配がない…と。

とはいえ、これも万能ではないらしい。 WPA3の暗号化はルーター等の設定が脆弱であれば複合化の恐れがあるそう。

というわけで、次のHTTPSの通信も必要になる。

HTTPSとは

サーバー・ブラウザ間のインターネット通信を暗号化するための方式。 CAから各サーバーごとに証明書が発行されている。 インターネットではクライアント・サーバー間で通信が行われるが、お互い通信を行う前段階で共通鍵を共有する。 GET/POST処理の前には、下記の通り５つのステップによる検証が実施される。

1. サーバーへの接続要求
2. サーバーからの応答
3. サーバーからの応答内容をCAに検証
4. 共通鍵をサーバー側へ送信
5. 通信開始
6. GET/POST送信の開始

クライアント・サーバ間のみの通信が暗号化されるため、通信の中身を解読されなくなる。 WPA3の通信と違い、複合化が容易ではない（現状できない？）

となると、すべてHTTPS通信であればいいのではないか？と疑問が浮かぶ。

まさにその通り。すべてHTTPS通信なら安全。

フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるか #Security - Qiita

しかし、利用者側がHTTP通信を許可してしまうケースもある。いわゆるヒューマンエラー。 ゼロトラストの考えで、無線LANを使用するときは気を付けておきたい。

参考資料

WiresharkでWifiでの通信を取れるか検証した話 | PG_MANAの雑記 →無線LANアクセスポイントの通信内容を検出できるか検証した記事。本文中にも触れているが、悪意の有無にかかわらず盗聴は電波法に抵触するため注意