先日、WEPが瞬殺される件をお伝えしたが、WPAも、もうすぐ「12～15分程度」でクラックされるようになるようだ。実際の解読ロジック詳細は「来週東京で開催のPacSec 2008で発表される予定」とのこと。「WPA(TKIP)」に対し、辞書アタックを用いない方法でのクラックを可能とする手法らしく、現時点で明かされている範囲では、「WPAのアクセスポイントをだまして大量のデータを送信させる方法」と「数学上の大発見」を組み合わせる、らしい（特に後者が詳細不明）。

参考：WEP本格死亡の日が近い？DSの運命はどうなる……？ :教えて君.net
WEPが瞬殺される件とDSを安全に利用する方法に関して

さて、無線LANの暗号化は、実はちょっとややこしい。簡単に言うと、以下のような暗号化方式が存在する。

• WEP・・・元々「危険」であったし、先日の件で死亡が確定的
• WPA(TKIP)・・・元々「いずれ危険になるのでは」と言われており、今回の件で現実的に死亡予定
• WPA(AES)/WPA2・・・現在までのところ致命的な穴はない

今回問題となっているのは「WPA(TKIP)」で、「WPA(AES)」には影響がなく、「WPA2」にも影響はない。iPhoneまでを含め、最近の無線LAN接続デバイスは（そもそもWEPにしか対応していないDSを除けば）AESに対応しているし、そもそも「WPA(AES)」は（今回の発表前から）「WPA(TKIP)」より強固であるため、いずれにしても、「ルーターの設定をAESにする」ということでOKだ。

……ただ、問題なのは、Xboxが「WPA(TKIP)」には対応していても「WPA(AES)」に対応していないらしいということ（未検証/参考：SANS Internet Storm Center; Cooperative Network Security Community - Internet Security - isc）。Xbox自体の通信を覗かれて「致命的」となるケースは少ない、というか「Xboxでは会員制サイトなどのウェブ巡回を避ければ良い」のだが、「Xboxを無線LANに繋ぐためには、その無線LANをWPA(TKIP)にする必要がある」ということになる。先日お伝えした記事のDSとほぼ同じだ。従って「XboxだけをWPA(TKIP)で繋ぐ」という方法などを使う必要が出るのだが、ここらへんの考え方は先日のDSとほぼ同じなので、「DS」を「Xbox360」に、「WEP」を「WPA(TKIP)」に置き換えて読んで頂ければ。

なお、GIGAZINEの記事で「Xbox360ユーザーのクレジットカード情報などが危険にさらされるのではないか」という記述があるのだが、これは「Xbox Live」の意味ではないと思われる。Xbox Liveの通信は、HTTPSによって暗号化されている模様だからだ（参考：Xbox 360: Xbox Live における Windows Live ID について）。また、仮に（未調査だが）現時点で保護に「穴」があるとしても、それはXbox Liveというサービスの側で解決可能な問題だ。

……よく分からない人向けに乱暴な説明をすると、WEPやWPAなどでHTTPS通信を行う場合、通信データは二重に暗号保護されている。「WEPやWPAのクラック」とは、いわば「通信データ」という郵便物そのものの暗号化を破る手段（封筒を開ける手段とでも思えば大きな間違いはない）であり、「HTTPSなどによる通信暗号化を破る」とは、「通信データ」の中身の暗号化を破る手段（中の便箋に暗号が書いてあり、それを解読する手段と思えば大きな間違いはない）だ。そして、「Xbox Live」というサービスが安全に運営されている限り、「HTTPSなどによる通信暗号化を破る」は不可能だ。

「一般ユーザーの防衛」という視点としては上記のような感じなのだが、しかし、「無線LANクラック」が遂に現実的にWPAを崩し始めたというのは興味深い。実際の解読方法公開が待たれる。

少なくともXboxユーザー以外は、今すぐルーターの設定を確認し「暗号化」といった項目を「WPA(AES)」「WPA2」などに変更しておこう。

参考
Once Thought Safe, WPA Wi-Fi Encryption Is Cracked - PC World
英語の解説記事
無線暗号化技術「WPA」、一部解読される:ニュース - CNET Japan
「この手法はWiFiアダプターのデータに対してのみ有効で、PCからルータに移動するデータ保護に使われる暗号化キーが解読されたわけではない」という記述があるのだが、おそらくこれは通信の方向に関して。つまり、「PC→ルーター」ではなく「ルーター→PC」の通信、という意味だと思われる。
無線LANのセキュリティに危機？「WEP」に続いて「WPA」までも一部解読 - GIGAZINE
クレジットカード番号流出の危険性が触れられているが、本文通り、これは「Xbox Live」ということではなく、「Xboxのブラウザで、HTTPSを使っていないショッピングサイトなどを利用しクレジットカード番号を送信した場合」ということだと思われる。

執筆：tokix (tokix.net)