あなたのルーターにはパスワードが二つある。そして、ほとんど誰もそれを知らない。
一つは Wi-Fi のパスワード。電話口で読み上げ、台所の紙に書きつけ、修理に来た人に教えるあれだ。もう一つは機器そのものの管理用パスワードで、すべての設定をおこなう管理画面を開く鍵である。この二つ目はほとんど手をつけられない。 あなたが変えていないなら、それは今も、本体の裏のシールに印刷されたままの文字列だ。
二つは守っているものが違い、壊れ方も違う。分けて考える価値がある。「Wi-Fi のパスワード」をめぐる20年ぶんの会話は、いくつかの効用と引き換えに、もう一方を覆い隠してきたからだ。
覚えているほうと、一度も見ていないほう
Wi-Fi のパスワードは、誰がネットワークにつなげるかを決める。入場許可証だ。それがあれば、機器はあなたのローカルネットワークに入り、ほかの機器と同居する。
管理用パスワードは、誰がネットワークの動き方そのものを変えられるかを決める。この画面からは、ネットワーク名も、暗号化方式も、家じゅうが使う DNS サーバーも、外向きに開いているポートも、インターネット越しに管理できるかどうかも変えられる。ドアが一枚増えているのではない。ほかのドアを設定しなおすためのドアである。
ここに落ち着かない非対称がある。Wi-Fi のパスワードを持っている人は、あなたのネットワークの「中にいる」。管理用パスワードを持っている人にとっては、あなたのネットワークはその人のものだ。Wi-Fi のパスワードを変えることも、暗号化を弱めることも、通信の出口を付け替えることもできる。そしてあなたは、通知ではなく、症状としてそれに気づくことになる。
この点についての CISA の勧告に含みはない。ルーターのログイン用のユーザー名とパスワードを変えること。工場出荷時の情報は公開されていて誰でも入手できる可能性があるからだ。そして新しいものは、長く、ランダムで、他と重ならないものにすること。もう一つ、ほとんど全員が気づかずに破っている原則を足しておく。Wi-Fi のパスワードと同じにしないこと。 別のものであり、共有のされ方がまったく違う——片方は近所の半分が知っている。もう片方は誰も知らなくていい。
2011年 便利そうに見えたボタン
あなたのルーターには、ほとんど話題にならない三つ目の秘密がある。WPS の PIN だ。本体のボタンとして、そしてシール上の8桁の数字として現れる、簡易ペアリングの仕組みである。
2011年12月、CERT/CC は Stefan Viehböck の研究にもとづき、脆弱性ノート VU#723755 を公開した。その PIN の検証方法にある設計上の弱点についてのものだ。あなたにとって重要なのは技術的な中身ではなく、公式の回答のほうである。それは15年たった今も変わっていない。パッチはなかった。スイッチがあった。 推奨は——当時も今も——設定画面に入って WPS を無効にすることだ。CISA も今日の家庭内ネットワーク向けの手引きで同じことを言っている。リモート管理を無効にせよ、と書いてあるのと同じリストの中で。
この記事でいちばん割のいい部分がここだ。一度チェックを外せば、二度と気にしなくていいチェックボックスが二つ。
2015年 工場出荷時のキーが計算で出せた時代
工場出荷時のパスワードは、あなたの秘密ではない。メーカーが決めた値であり、機器に印刷され、マニュアルに載り、しばしば同じ機種の全個体で同じである。
そして、もっと悪い事例も公表されている。工場出荷時のキーがランダムですらなく、ルーター自身が電波で発信しているデータから計算されていたというものだ。NIST のカタログには CVE-2015-0558 がある。固定の文字列と自分の MAC アドレスから WPA キーを生成していた家庭用ルーターについての記録だ。その少し後、ヨーロッパで広く使われていたケーブルモデムについての SEARCH-LAB の公開アドバイザリは、それを一文でこう言い切っている。「初期設定の SSID とパスフレーズは MAC アドレスのみから導出される。機器の MAC アドレスは Wi-Fi で発信されているため、初期パスワードは容易に計算できる。」 その事業者は最終的に、パスワードを変更するよう顧客に手紙を書くことになった。
それがどうやって行われたのかを知る必要はない——ここで説明するつもりもない——。残しておくべきはただ一点だ。メーカーが生成できたキーは、他人にも再現できた。 あなたの工場出荷時のキーは、長くて醜いからランダムなのではない。手順から出てきたから醜いのであって、手順は研究される。
いちばん簡単に長くできるパスワード
ここでいい知らせがくる。セキュリティの助言でタダのものはめったにないので、これは珍しい。
人生のあらゆるパスワードには、同じ隠れた敵がついてまわる。打ち込まなければならないことだ。しかも何度も、手で、スマホで、急いで。だから人は短くするし、「30文字にしなさい」が罰のように響く。
Wi-Fi のパスワードにはその問題がない。 機器ごとに一度打てば、二度と目にしない。スマホもノートパソコンもテレビも、永久に覚えていてくれる。そして誰かに教える必要が出たときは、ほとんどのスマホと最近のルーターの多くが QR コードで渡してくれる。誰も何も打たずに済む。
つまり、長さは実質タダで手に入る。だから短くしていい言い訳がない。 これを2004年から定めている IEEE 802.11i 規格は、最大63文字のパスフレーズを認めている。その半分に届く人すら、ほとんどいない。
では何にするか。CISA の提案はきわめて具体的で、そのまま従える。互いに無関係な5〜7語からなる、覚えやすいパスフレーズ。合計で最低16文字。そして他のどのアカウントにも使わないこと。diceware の考え方を自宅の居間に持ち込んだものだ。ランダムな文字列にして QR に働いてもらうほうが好みなら、そのほうがなお良い。ジェネレーターから取り出して、二度と見なければいい。そして今使っているものに不安があるなら、何かを決める前にチェッカーに通してみることだ。
2018年 WPA3 とは何で、なぜ計算が変わるのか
2018年、Wi-Fi Alliance が WPA2 の後継として WPA3 を発表した。今日では、Wi-Fi CERTIFIED の認証を受けようとするすべての機器で必須になっている。
根っこにある変更には SAE という見栄えの悪い名前がついているが、その帰結はきわめてわかりやすい。WPA2 では、近くにいる誰かがあなたのスマホとルーターの最初のやりとりを捕まえ、自宅に持ち帰って、そのファイルに対して毎秒何百万個ものキーを試すことができた。試行回数の制限もなく、誰にも気づかれないまま。これはパスワード流出とまったく同じ問題である。材料が攻撃者のディスクの上にあるとき、「だめだ」と言う人は向こう側に誰もいない。
WPA3 はそれを断ち切る。Wi-Fi Alliance 自身の言葉ではこうだ。「WPA3-Personal は WPA2 の事前共有鍵 (WPA2-PSK) を Simultaneous Authentication of Equals (SAE) に置き換える。WPA2-PSK とは異なり、SAE はオフライン辞書攻撃に耐性がある。」 一回試すたびに、またルーターと話をしなければならない。そして何千回もの失敗を受け取るルーターは、それに気づいて速度を落とすことができる。
そのうえで、同じ文書がわざわざ書いている正直な部分がある。この耐性は*「パスワードの安全性の負担がユーザーに課されなくなる」*ことを意味し、大文字小文字混在や記号を要求することは SAE ではもはや妥当な要件ではない、と。だがこれは悪いパスワードを使っていいという許可ではない。能動的な攻撃は依然として存在し、仕様書は身も蓋もなく言い切っている——SAE で使うパスワードは、きわめて推測しにくいものでなければならない。これは NIST が残りのパスワードについて何年も言ってきたことと同じだ。長さは、ひねりに勝つ。
実務上の注意が二つ。ルーターが WPA3 に届かない場合、CISA が良しとするのは WPA3 Personal と AES を使う WPA2 の二つだけである。オープンなネットワーク、WEP、TKIP は「弱いパスワード」ではなく、パスワードがないのと同じだ。そして移行モードを有効にすると、古い機器が入れるようにネットワークが WPA3 と WPA2 を同時に受け入れる。2013年製のプリンターがある家では妥当な判断だが、それが何なのかは知っておいたほうがいい——有効なあいだ、あなたのネットワークには WPA2 の扉が残る。手持ちのすべてが WPA3 で入れるなら、切ることだ。
2024年 法律がシールの下まで手を伸ばす
何十年ものあいだ、これは助言の問題だった。今では規制の問題でもある。
2024年4月29日、英国で接続機器のセキュリティに関する法律 PSTI の制度が施行され、消費者向けの接続製品において共通の初期パスワードが禁止された。ある製品の全個体が同じキーで出荷される、というやり方の終わりである。ただしこの法律は、個体ごとに固有の初期パスワードは認めている。ルーターごとに違う文字列が刷られたシールは、まさにこれにあたる。欧州連合では、無線機器指令のサイバーセキュリティ要件——委任規則 (EU) 2022/30——が2025年8月1日から義務として適用されている。
ここから導かれることは二つあり、同じではない。一つ目、新しいルーターは工場出荷の時点でよりましな状態で届くようになる。二つ目、そしてこちらがあなたに関わるほうだ。そのどれ一つとして、すでに居間に置いてある機器にさかのぼって適用されはしない。 そこに6年前から置いてあるなら、あなたの家ではまだ以前の世界のルールが生きている。
ゲストネットワーク、あるいはパスワードを読み上げるのをやめること
あなたの Wi-Fi のパスワードを何人が知っているか、数えてみてほしい。親戚、ベビーシッター、2022年に夕食に来てまだスマホに設定が残っている友人、何かを取り付けに来た業者。
その誰もが、単にインターネットへ出る許可を得ただけではない。一台の機器があなたのローカルネットワークの中にいるのだ。NAS の隣、プリンターの隣、カメラの隣に。そしてその機器がどんな状態なのか、あなたには見当もつかない。
答えはゲストネットワークで、これはもう持っているのに使っていない機能である。CISA ははっきり書いている。ルーターにゲスト Wi-Fi があるなら有効にし、専用のパスワード——長く、ランダムで、他と重ならないもの——を設定し、日常的に自宅の Wi-Fi につながない人にはそちらを使わせること。そして、ほとんど誰もやっていないことを足しておく。つながる家電もそちらへ送ること。スマートプラグ、テレビ、ロボット掃除機——インターネットに出られればいいだけの機械は、家の中の他の機器を見つけられない場所に置く。
このブログ全体を貫く原則を、居間に当てはめただけのことだ。場所ごとに一つの資格情報。あなたのメインの Wi-Fi は一つの場所。来客はもう一つの場所である。
何を、どの順でやるか
- ルーターの管理画面に入って、管理用パスワードを変える。 このリストの中で、おそらく一度も触ったことがなく、いちばん強い権限を持つ項目だ。長く、ランダムで、Wi-Fi のパスワードとは別のものにする。
- Wi-Fi のパスワードを長くする。 無関係な5〜7語か、ジェネレーターから取った文字列。打つのは一度きりで、あとは QR で渡す。
- ルーターが対応しているなら WPA3 に上げる。 対応していなければ AES の WPA2 に。
- WPS とリモート管理を無効にする。 チェックボックス二つ、一度だけ。
- ゲストネットワークを有効にして、来客とつながる家電をそちらへ送る。
- ファームウェアを更新し、自動更新があるなら有効のままにしておく。
- どちらのパスワードも他所で使い回さない。 すでに使っているもので不安があるなら、チェッカーに通してみる。
どれも20分以上はかからないし、その20分は一度きりで済む。
ルーターは家の中でいちばん重要な機器であり、そして誰も管理しないかぎり自分で自分を管理してくれる唯一の機器だ。何年も隅で電源が入ったまま、文句も言わずに仕事をしている。だからこそ、それを見にいく「今」は永久に来ない。
工場出荷時のパスワードが悪いのは、短いからでも醜いからでもない。あなたのものではないからだ。 それを選んだのは他人であり、シールに刷られ、あなたの家とそっくりな何千もの家に送り出された。それを変えることは、家庭の情報機器において、引っ越しのときに鍵を替えることにいちばん近い行為である。
出典：CISA「Project Upskill · Module 5: Securing Your Home Wi-Fi」(Joint Cyber Defense Collaborative)——工場出荷時の情報は公開されている可能性があるためルーターのログイン用ユーザー名とパスワードを変更すること、互いに無関係な5〜7語で合計16文字以上のパスフレーズ、安全とみなされる暗号化は WPA3 Personal と WPA2 AES のみであること、WPS とリモート管理の無効化、接続機器も含めたゲスト Wi-Fi の有効化 · Wi-Fi Alliance「WPA3 Security Considerations Overview」(2019年4月)、WPA2-PSK から SAE への置き換え、オフライン辞書攻撃への耐性、およびパスワードがきわめて推測しにくいままであるべきだという要件について · CERT/CC 脆弱性ノート VU#723755 (2011年12月27日)、報告者 Stefan Viehböck、推奨される解決策は WPS の無効化 · NVD (NIST) CVE-2015-0558、固定の文字列と MAC アドレスから WPA キーを生成していた家庭用ルーターについて · SEARCH-LAB (Gergely Eberhardt) による Ubee EVW3226 モデムの公開アドバイザリ、2016年7月に Full Disclosure で公開 · IEEE 802.11i、パスフレーズを8〜63文字と定義 · 英国、Product Security and Telecommunications Infrastructure Act の制度、2024年4月29日施行 · 欧州連合、無線機器指令の委任規則 (EU) 2022/30、2025年8月1日から義務適用 · NIST SP 800-63B、複雑さより長さについて。
写真: Jakub Zerdzicki · Pexels