公共のWi-Fiセキュリティルール9：接続前・中・後チェックリスト

公共のWi-Fiはなぜ危険なのですか？

公共Wi-Fiが危険な理由は3つあります。誰が動作しているのか確認できず、同じネットワークに見知らぬ人がいるので、通常のログイン画面と偽の画面を区別することは困難です。上の図の偽の接続点が最初の危険を示しています。イブルツインとは、公式Wi-Fiと同じ名前または類似の名前で作成された偽の無線接続ポイントを指します。スマートフォンは、以前に接続した名前を発見すると自動的に接続することが多く、同じ名前が2つの場合、信号が強い側に付くことができます。攻撃者は、ラップトップまたはポータブルルーターのいずれかでこのようなネットワークを作成する可能性があります。

ただし、リスクを誇張する必要はありません。米国連邦取引委員会（FTC）が説明するように、今日のほとんどのウェブサイトはHTTPSで暗号化されています。パブリックWi-Fiでは、ページの内容がそのまま現れる場合は大幅に減りました。残っているリスクは下表のとおりです。

HTTPSがあっても、ネットワークにはどのサイトに接続するのかが見えます。これは、サイト名をアドレスに置き換えるDNSルックアップとTLS接続のサーバー名の表示がほとんど暗号化されていないためです。同じネットワークの利用者や運営者は、ページの内容は見えなくても、どの銀行、どのメールサービスに接続したのかがわかります。 VPNはこの情報をトンネルに入れます。偽のログイン画面は異なる種類の危険です。通常のキャプティブポータルを模倣したページにカード番号やパスワードを入力すると、暗号化に関係なくその情報は攻撃者に渡されます。

表の「VPN エフェクト」は、大幅に削減、一部の削減、効果なしの 3 つのステップです。 VPNはデバイスとVPNサーバー間の通信を暗号化するため、偽の接続ポイントを通過しても攻撃者にはVPNサーバーへの暗号化通信のみが表示されます。

ただし、VPNをオンにする前に偽のログイン画面に情報を入力した場合、VPNはそれを元に戻すことはできません。偽のネットワークがVPN接続自体を妨げる可能性もあります。そのため、9つの規則はVPNではなく名前解決から始まります。

接続前：規則1～2

接続前のルールの目的は、間違ったネットワークに接続しないことです。一度間違って接続すると、その後のすべての通信がそのネットワークを通過します。

Wi-Fiリストの南京錠表示は、無線区間にWPA2・WPA3のような暗号化がかかっているという意味です。パスワードを知っている人はみんな同じネットワークに入ってくるので、カフェのようにパスワードを公開したところではロックがあっても見知らぬユーザーと一緒に使うわけです。パスワードのないオープンネットワークは、無線区間自体が暗号化されていないため、リスクが高くなります。どちらにしてもVPNをオンにすると、無線区間とその先のルータ・インターネット事業者区間まで共に暗号化されます。

接続するとき：規則3〜5

接続する際の規則は順序が重要です。ログイン画面を最初に、VPNを次にオンにします。共有機能は接続前にオフにしておきます。

通常のログイン画面は通常、利用規約の同意または簡単な情報のみを要求します。無料Wi-Fiなのにカード番号を要求したり、メール・SNSアカウントの普段パスワードを尋ねたり、アプリ・構成プロファイル・証明書のインストールを要求したり、アドレスウィンドウのドメインが施設名と関係ない場合は偽画面である可能性を疑って接続を切ってください。

一部のブラウザはアドレスウィンドウの南京錠アイコンを別の形に変更しました。アイコンの外観よりもアドレスがhttpsで始まるかどうか、ドメインのスペルを見てください。接続状態は機器ごとに異なる場所で確認してください。 iPhoneはステータスバーまたはコントロールセンターのVPNを表示し、Androidは通知領域のキーの外観を表示し、ChromeはツールバーのStageVPN for Chromeアイコンのステータスを表示します。

使用中と普段：規則6～8

上の図の9つのカールのうち、前の5つはつながる瞬間の規則であり、残りの4つは習慣です。規則6は公衆Wi-Fiを書いている間保つことであり、規則7および8はいつものように前もって置くことである。

使用後：規則9

使用後の規則は次の訪問のためのものです。今日安全に書き込んでも保存された名前が残っている場合は、次に自動接続が問題を作成します。

VPNは、パブリックWi-Fiセキュリティの複数のフロアの間に接続区間を引き受けます。どのネットワークに接続するかを選ぶこと、サイトが本物であることを確認すること、アカウントとデバイスを守ることは、他の階の役割です。

VPNの役割と制限は VPNがブロックするものとブロックできないものに、DNSルックアップが漏れていないことを確認する方法は DNS流出とWebRTC流出にまとめました。

パブリックWi-FiでStageVPNアプリとStageVPN for Chromeはどう違いますか？

保護範囲が異なります。 StageVPNアプリ（iPhone・Android）は、デバイス全体のIPv4・IPv6トラフィックとDNSルックアップをWireGuardトンネルに送信します。 StageVPN for ChromeはChromeブラウザからの通信のみHTTPSプロキシに送信され、ブラウザとプロキシ間はTLSで暗号化されます。接続中は、WebRTCがプロキシをバイパスしないようにChromeのWebRTCポリシーを調整し、プライベートIPとlocalhostアドレスはプロキシを介さずに直接接続します。カフェからノートパソコンでChromeだけを書くだけでは拡張で十分ですが、メールプログラムやメッセンジャーを一緒に書けば、その通信は保護されません。

StageVPNはVPN接続が切断されたときに通信を自動的に防ぐ機能を案内しません。両製品の詳細比較は ブラウザVPNとアプリVPNの比較に、機能リストは 機能ガイドにあります。

場所ごとにリスクが異なる理由は何ですか？

場所ごとにリスクが異なる理由は、利用者数、滞在時間、ログイン方式、運営主体が異なるためです。空港はユーザーが最も多く、頻繁に偽の接続ポイントを作成するのは簡単です。ホテルはゲスト全員が同じネットワークを数日間使用し、ログインセッションが期限切れになるとログイン画面が再び表示されます。カフェは、領収書や壁に書かれた公共のパスワードをすべてのゲストが書き込みます。図書館と公共機関は、運営主体がはっきりしているが、公共PCと一緒に使う環境です。地下鉄とバスは移動中にネットワークが頻繁に変わり、接続状態を見逃すことがあります。機内や電車の有料Wi-Fiもログイン画面を通る公共ネットワークなので同じ手順を守ります。お支払い画面が航空会社または鉄道会社の公式ドメインであることを確認してからお支払いいただき、お支払いが終わったらVPNをオンにします。

国内公共のWi-Fiには、無線区間を暗号化するセキュア接続用「Public WiFi Secure」が付属しているところがあります。運営機関である韓国知能情報社会振興院（NIA）は、セキュア接続を使ってもフィッシング・ファーミングなど他の経路で情報が漏れていくことができると案内します。オープンな名前とセキュアな接続用の名前が並んで見えることが多く、セキュアな接続用を選ぶと無線区間が暗号化されますが、速度が少し遅くなることがあると運営機関は案内します。セキュア接続用の名前を選択し、VPNとHTTPS検証を一緒に使用すると、より安全です。コワーキングスペースやシェアハウスのように、同じパブリックネットワークを毎日長く使用している場所では、VPNをデフォルトでオンにして共有機能をオフにすることをお勧めします。海外での接続順序は 海外旅行VPN使用ガイドに、海外でVPNが特に必要な理由は、 海外でVPNが必要な理由7つにあります。

接続前・中・後チェックリスト

次の表は、9つの規則を接続前、接続中、接続後の3列にまとめたものです。各列の項目だけを確認しても、ほとんどの間違いを避けることができます。旅行中は、接続後の列に銀行の設定を元に戻すことが加算されます。

基本案内は 公共Wi-Fiガイドと セキュリティ習慣ガイドでも見ることができます。