無線LAN（Wi-Fi）の盗聴を防ぐ暗号通信規格に、盗聴される危険のある脆弱性が見つかった。悪用攻撃は今のところ確認されていないが、万一の盗聴に備え、ログイン時や重要な情報を入力する際には、HTTPS接続で錠前マークが表示されていることを確認することを心がけたい。
脆弱性の影響を受けるのは主にパソコンやスマートフォン、ネットカメラなどのWi-Fiの子機のほう。Wi-Fiルーターなどの親機のほうは、子機や中継機として利用している場合に影響を受ける可能性がある。現在各社が調査と対応を進めており、該当製品にはソフトウェアのアップデートで対処するとみられる。各社のサポートサイト等の更新情報に注意し、使用している端末やWi-Fi機器のシステムソフト、ドライバソフト、ファームウェア（ハードウェアに組み込まれたソフトウェア）がアップデートされたら、逐次適用していただきたい。
一部製品はすでに対処しており、マイクロソフトは16日、月例パッチの脆弱性情報を更新し、今月11日の月例パッチでWindowsがこの脆弱性に対応済であることを表明している。ただし、スリープ（スタンバイ）状態でWi-Fi接続を維持する機能を利用する場合には、制御がハードウェア側に移るので、ハードウェアベンダーから更新されたデバイスドライバーを入手するよう勧めている。アップル製品に関しては、一般公開前のベータ版のOSで修正、グーグルは11月のアップデートで対応予定（各社の端末に反映されるのはさらに先）との報道がある。
■脆弱性の概要
KRACK（Key Reinstallation AttaCK～キー再インストール攻撃）と名付けられたこの脆弱性は、ルーヴェン・カトリック大学（ベルギー）の研究者マシー・ヴァンホフ氏が発見し、16日に公開されたもの。通信の盗聴を防ぐ暗号通信規格「WPA2」（Wi-Fi Protected Access 2）の接続時に行う暗号通信用のキーの生成過程で、この問題が発生するという。
家庭のWi-Fiで使用しているWPA2では、接続するWi-Fiルーターなどの親機とパソコンなどの子機に、接続に必要なIDとパスワードに相当するものを設定して接続する。前者は「SSID」と呼ばれており、後者は「パスワード」「セキュリティキー」「暗号化キー」「共有キー」「パスフレーズ」などいろいろな名前で呼ばれている。接続時の設定欄に、MacやiPhone、Androidでは「パスワード」、Windowsで「セキュリティキー」または「ネットワークセキュリティキー」と表記されているものだ。
暗号通信は、この共通のパスワードを直接使って通信を暗号化するのではなく、親子間でMacアドレス（機器が持つ固有のアドレス）などを交換し、それらと組み合わせて暗号通信用のキーを生成する。発見された脆弱性は、この暗号キー生成のやり取りに割り込み操作することで、暗号解読などの攻撃が行える可能性があるというもの。
WPA2は、機器に設定するパスワードがわかると、無線LANの通信圏内からの攻撃で盗聴されるおそれがあるが、この脆弱性を悪用した場合には、パスワードに関係なく解読される可能がある。もちろん攻撃可能なのは通信圏内だけなので、ターゲットは限定される。また、ログイン時やカード情報などの重要な情報を入力する際に、HTTPS接続で錠前マークが表示されていることを常に確認するよう心がけていれば、たとえ通信が盗聴されても通信の中身までは盗聴されない。
（2017/10/20 ネットセキュリティニュース）
【関連URL】
・無線LAN（Wi-Fi）暗号化における脆弱性について（注意喚起）（総務省）
http://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000274.html
・WPA2 における複数の脆弱性について（IPA）
https://www.ipa.go.jp/security/ciadr/vul/20171017_WPA2.html
・JVNVU#90609033：Wi-Fi Protected Access II (WPA2) ハンドシェイクにおいて Nonce およびセッション鍵が再利用される問題（JVN）
https://jvn.jp/vu/JVNVU90609033/index.html
・KRACK: Wi-Fi 暗号化で見つかった新しい脆弱性についての基礎知識（シマンテック）
https://www.symantec.com/connect/ja/blogs/krack-wi-fi
・WPA2の脆弱性「KRACKs」、ほぼすべてのWi-Fi通信可能な端末機器に影響（トレンドマイクロ）
http://blog.trendmicro.co.jp/archives/16162
・KRACK: Wi-Fiの安全を脅かす脆弱性（カスペルスキー）
https://blog.kaspersky.co.jp/krackattack/18448/
・KRACK公式サイト[英文]
https://www.krackattacks.com/
・Wi-Fi Alliance® security update[英文]（Wi-Fi Alliance）
https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-security-update
＜各社の対応＞
・CVE-2017-13080 | Windows Wireless WPA Group Key Reinstallation Vulnerability（マイクロソフト）
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2017-13080
注）閲覧には利用規約の確認・同意が必要
・WPA2の脆弱性に関する弊社調査・対応状況について（アイ・オー・データ機器）
http://www.iodata.jp/support/information/2017/wpa2/
・無線LAN製品のWPA2の脆弱性について（バッファロー）
http://buffalo.jp/support_s/t20171017.html
・【重要】「WPA2」の脆弱性に関するお知らせ（NEC）
http://www.aterm.jp/product/atermstation/info/2017/info1018.html
・【重要】弊社無線製品のWPA2脆弱性対応状況について（ネットギア）
https://www.netgear.jp/supportInfo/NewSupportList/209.html
・WPA2の脆弱性に関する弊社調査・対応状況について（エレコム）
http://www.elecom.co.jp/support/news/20171018/
・WPA2 セキュリティの脆弱性に関して(KRACKs)（TP-LINK）
http://www.tp-link.jp/news-details-17650.html
・【重要】 WPA2に関する弊社調査状況について（D-LINK）
http://www.dlink-jp.com/release/21799