質問: (1)SSLのサイトしか使わないなら公共のフリーWifiでパスワードや重要な通信を行ってもOK? (2)非SSLサイトでも公共Wifiなど攻撃者と同じネットワークの中にいないなら大丈夫? (3)公共のフリーWifiを使っていても、パスワード等の重要な通信を行わなければ問題ない?(非SSL通信で) (4)非SSLと公共フリーWifiの具体的なリスクを知りたい #### (1)SSLのサイトしか使わないなら公共のフリーWifiでパスワードや重要な通信を行ってもOK? フリーWifiの問題点は下記だと認識しています。 攻撃者と同じネットワークに入ってしまう可能性があり、 パケットキャプチャ等を使われるとSSL通信以外の通信が平文で見られてしまい パスワード等の重要情報が見られてしまうこと 上記で正しいなら、 SSLサイトしか使わないなら 公共のフリーWifiは重要なサイトでログイン等を行ってもOKということでしょうか? もし、ブラウザが保持しているクッキーやローカルストレージの値まで見られてしまうということであれば SSLなどは関係無しに危ないと思うのですが、 通信中のパケットだけが攻撃対象なら大丈夫なの?と疑問に思っています。 ### (2)非SSLサイトでも公共Wifiなど攻撃者と同じネットワークの中にいないなら大丈夫? (1)の認識から、 SSLじゃなくても公共Wifiなどを使わないなら傍受のリスクはない?と疑問に思っています。 ### (3)公共のフリーWifiを使っていても、パスワード等の重要な通信を行わなければ問題ない?(非SSL通信で) (1)の認識から、 そのように思っています。 ### (4)非SSLと公共フリーWifiの具体的なリスクを知りたい セキュリティに関して、 具体的にどういった理由でどのようなリスクがあるのかを知りたいです。 例えば、 公共のWifiは通信が傍受される可能性があるから危険 といった抽象的な話ではなく、 下記のように どのような手法でどのような被害が起こるのかを教えていただきたいです。 (例) パケットキャプチャは同じネットワーク内のパケットを見ることができ、 非SSL通信でのパケットにはパスワード等が平文で記載されている。 そのため、公共Wifiで非SSLを行っているサイトに(パスワードを入力して)ログインを行うと、 パケットキャプチャによってパスワードがバレてしまい、 傍受したパスワードを利用してサイトになりすましログインされてしまうリスクがある。 不足している情報等があれば 補足させていただきますので 以上、よろしくお願いします。 追記 2018.11.28 ockeghem様のご回答で かなり理解が進んだのですが、 その中でまだ理解が怪しい箇所があるため、 ockeghem様とのコメントのやりとりに関して ご回答をお待ちしております!
回答: 無線技術を使用した通信の危険性と、信頼性の低いネットワークを使用する危険性は全く別物です。 ・無線技術の危険性 電波の届く範囲で、通信内容の漏洩の危険があります。アクセスポイント-端末間のセキュリティはアクセスポイント側に主導権があるので、適切な対応(暗号化/脆弱性対策等)がなされていない場合、通信パケットが漏洩する危険性があります。https を使用した通信は、端末-サーバ間で暗号化されるため、サーバ側に問題がない限り、通常の有線接続と同程度には安全になります。 ・信頼性の低いネットワークの危険性 物理レイヤからアプリケーションレイヤに対して各種トラップを仕掛けることが可能となります。名前解決すら信頼できません。物理レイヤ以上のすべてが信頼できなくなるので、https を使用していようがいまいが関係なく危険性は高いです。