質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

新規登録して質問してみよう
ただいま回答率
85.53%
VPN

VPN(Virtual Private Network)は、仮想プライベートネットワークとも呼ばれ、インターネットに接続してるユーザー間に仮想的な通信トンネルを構築した組織内ネットワークです。認証や暗号化を用いて通信経路を保護し安全なネットワークの構築ができます。

セキュリティー

このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

SSL

SSL(Secure Sockets Layer)とは、暗号化されたプロトコルで、インターネット上での通信セキュリティを提供しています。

Webサイト

一つのドメイン上に存在するWebページの集合体をWebサイトと呼びます。

Q&A

解決済

5回答

3646閲覧

フリーwifi使用時にセキュリティ目的でのVPNアプリは使用すべきなのか?SSL通信では不十分なのか?

shubo222

総合スコア8

VPN

VPN(Virtual Private Network)は、仮想プライベートネットワークとも呼ばれ、インターネットに接続してるユーザー間に仮想的な通信トンネルを構築した組織内ネットワークです。認証や暗号化を用いて通信経路を保護し安全なネットワークの構築ができます。

セキュリティー

このタグは、コンピューターシステムの安全性やデータの機密性に関連したトピックの為に使われます。

SSL

SSL(Secure Sockets Layer)とは、暗号化されたプロトコルで、インターネット上での通信セキュリティを提供しています。

Webサイト

一つのドメイン上に存在するWebページの集合体をWebサイトと呼びます。

0グッド

1クリップ

投稿2019/12/16 12:22

編集2019/12/17 06:01

外出先で公共フリーWifiを頻繁に使用するので、VPN使用を考えていますが質問があります。
よくスマホアプリで月額料金型のVPNアプリを見かけます。
鍵マーク無しのWifi使用についてVPNが必須だろうということは分かりますが、以下のようなフリーWifi環境下でVPNを使用していない事で起こりうる具体的なセキュリティリスクが知りたいです。
雑な質問ですいません。

・ここで言うフリーWifiは鍵マークありのWPA2規格。店内にSSIDとパスが提示されているパターンや認証サーバーを使うパターンのものとする。
・使用するスマホやPCには基本的なセキュリティソフト(avastやカスペルスキー・ESETなど)は入っているとする
・VPNアプリは信頼のできる会社の安全なアプリケーションとする

---------------------------------------

また、VPNやフリーWifiのセキュリティについて調べていると以下の質問が以前されていました。

【通信と公共フリーWifiにおいて、具体的なリスクを知りたい。】
https://teratail.com/questions/160123

以下抜粋です。

" フリーWifiの問題点は下記だと認識しています。
攻撃者と同じネットワークに入ってしまう可能性があり、
パケットキャプチャ等を使われるとSSL通信以外の通信が平文で見られてしまい
パスワード等の重要情報が見られてしまうこと
上記で正しいなら、
SSLサイトしか使わないなら
公共のフリーWifiは重要なサイトでログイン等を行ってもOKということでしょうか?
"

この質問で、
>SSL通信以外の通信が平文で見られてしまいパスワード等の重要情報が見られてしまうこと
とありますが、https以外のサイトにアクセスすると、httpsサイトで入力した重要情報が見られてしまう危険性がある、という意味でしょうか?
仮にそうであるならば、VPN使用は必須じゃないか・・・と思ってしまいました。

まとめると、質問としては、
・質問環境下でVPNを使用していないことで起こりうる具体的なリスク
・非SSL通信を行うとHTTPSサイトで入力した情報が見られてしまう可能性があるのか?
の二点です。

ネットワーク通信に関しては無知なので諸兄にはアホみたいな質問かもしれませんが、どうぞよろしくお願いします。

####追記####

皆さん回答ありがとうございました!
SSLがスタンダードになりつつある昨今、フリーwifiでのVPN使用による具体的なメリットがいまいちわかっていなかったのですが、皆さんの回答でより理解が深まりました!
その中でも、丁寧かつ詳しく回答していただいたockeghemさんをベストアンサーにしたいと思います!

また、プログラムに関係のない質問との指摘もありましたので、この辺で終わりにしたいと思います。
ご迷惑おかけしました!

気になる質問をクリップする

クリップした質問は、後からいつでもMYページで確認できます。

またクリップした質問に回答があった際、通知やメールを受け取ることができます。

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

guest

回答5

0

ベストアンサー

引用されている質問の回答者です。

・質問環境下でVPNを使用していないことで起こりうる具体的なリスク

これについては引用されている質問で詳しく書きましたので、それを読んだ上で、わからない点について質問してください。あのレベルの回答を何度もするのはさすがにゴメンです。

・非SSL通信を行うとHTTPSサイトで入力した情報が見られてしまう可能性があるのか?

これは違います。盗聴されるのは非SSL通信の内容のみです。問題は、「知らないうちに非SSLの通信が行われているかもしれない」ということで、これは特にスマホアプリの場合を例にあげています。


追記

仮にVPNを使用していても

・DNSに対する攻撃
・ARPスプーフィング
についてはVPNがあろうがなかろうが関係ないという認識でいいのでしょうか?

VPN経由の通信に関しては保護されると思いますが、VPN接続の際に偽のVPNサーバーをつかまされるという攻撃は考えられます。それを防ぐために「サーバー認証」という仕組みを使いますが、VPNサービスによってはサーバー認証がされていないようです。なので、そこが心配であれば、サーバー認証はされているのかを問い合わせることになると思います。
まぁ、現実問題としては、VPNのサーバー認証を気にする人はあまりいないとは思います。

HTTPSを使ってもCookieの改変は防げないことを実験で試してみた

https://blog.tokumaru.org/2013/09/cookie-manipulation-is-possible-even-on-ssl.html
の内容についてはいわゆるeviltwinsの事なのかなと思ったので、VPNを使えば盗聴や改ざんは不可能(限りなく難しい)と考えて良いのでしょうか?

はい。VPNを使っている前提では、この攻撃は気にしなくてよいと思います。

投稿2019/12/16 13:44

編集2019/12/16 22:09
ockeghem

総合スコア11697

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

shubo222

2019/12/16 15:42

ありがとうございます! すいませんそこまで詳しく見てませんでした! 引用元の具体例のリンクを拝見し、自分なりに検索するなどして調べたのですが、何分ずぶの素人でして理解が追い付かないのが正直なところです。 もともと、引用元の質問ではVPNは触れられていなかったので今回の質問をしたのですが、仮にVPNを使用していても ・DNSに対する攻撃 ・ARPスプーフィング についてはVPNがあろうがなかろうが関係ないという認識でいいのでしょうか? ・HTTPSを使ってもCookieの改変は防げないことを実験で試してみた https://blog.tokumaru.org/2013/09/cookie-manipulation-is-possible-even-on-ssl.html の内容についてはいわゆるeviltwinsの事なのかなと思ったので、VPNを使えば盗聴や改ざんは不可能(限りなく難しい)と考えて良いのでしょうか? あまりにも前提知識に差がありすぎてチンパンジーにものを教えるかのような苦行かもしれません なにとぞご容赦ください。
guest

0

偽物のアクセスポイント(evil twin)(SSIDとパスワードは本物と同じ)に繋いでしまったときに、違ってくると思います。
偽情報のDNSサーバーで別のIPアドレスのサイトに誘導して、偽のSSL証明書でHTTPS通信させるとか。
そこまで心配するのかという気もしますが。

投稿2019/12/16 12:56

otn

総合スコア84264

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

shubo222

2019/12/16 13:20

eviltwinは聞いたことがあります! 上級国民でもなんでもない僕が使用する程度のフリーWifiにそのトラップが仕掛けられるかは確かに不明ですが、具体的なセキュリティリスクですね!ありがとうございます!
otn

2019/12/16 13:31

田舎駅前のマックとかだと心配しすぎな気がしますが、来年のオリンピックでの旅行者向けのWifi APとかだと心配したほうがいいのかもしれません。
guest

0

そこらへんの考え方は人それぞれなので、あなたの思うようにすればいいと思いますよ。

私は、フリーWifiでカネの絡むような作業はしないので、気にせずにそのままつなぎますね

投稿2019/12/16 12:32

y_waiwai

総合スコア87684

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

shubo222

2019/12/16 12:42

回答ありがとうございます! 確かにセキュリティ関連に関して100%ということがないことも分かります。 VPNを使用すればより安全というのはわかるのですが、質問としては ・質問環境下でVPNを使用していないことで起こりうる具体的なリスク ・非SSL通信を行うとHTTPSサイトで入力した情報が見られてしまう可能性があるのか? の二点です。 質問が分かりにくくてすいません よろしくお願いします
y_waiwai

2019/12/16 12:45

通信内容をすべてキャプチャできるというのはおわかりでしょうか。 そして、いくらSSHで暗号化したとしても、それを解読するのは不可能というわけでもないです #時間がかかるだけ また、VPNを使用したところで、その通信内容を解読できないことを保証するのはなにもないですね
shubo222

2019/12/16 13:04

>通信内容をすべてキャプチャできるというのはおわかりでしょうか。 すいません!知りませんでした! 通信内容をキャプチャできるのは公共フリーWifi、つまり同じネットワークに繋いでいるから、という認識でいいのでしょうか?
y_waiwai

2019/12/16 13:24

同じネットワークにつないでるから、というのもありますが、 悪意のある人間が建てたWifiであるならそれこそやり放題になりますよ。
guest

0

そもそもTLS1.3の仕様書には以下のように書かれています。(RFC 8446より抜粋)

TLS allows client/server applications to communicate over the Internet in a way that is designed to prevent eavesdropping, tampering, and message forgery.

なのでSSL/TLS等に脆弱性がない場合、内容は暗号化されます。

ただ、y_waiwaiさんがおっしゃっているように複合はいつか可能です。
時間が途方もなくかかるだけです。

現状、多くのサイトで使われているSHA-2というハッシュ関数も途中まで解析(攻撃)はできています。

ただ、現場ではソルト等を行うことでさらに複合を困難にしているので解析(攻撃)には途方もない時間がかかるでしょう。

ちなみに、

WEBサイトだけに限るとサイト内で非SSL/TLS通信を行なっていた場合、鍵マークが「赤」や「打ち消し線」になったりするのが大半です。

投稿2019/12/16 15:11

編集2019/12/16 15:27
kyoya0819

総合スコア10429

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

shubo222

2019/12/17 06:02

回答ありがとうございます!
guest

0

いずれにしても、あなたのIPアドレスを隠し、本名と正確なアドレスにリンクすることが不可能なように匿名で支払うことができる信頼できるVPNを使用する必要があります。

投稿2020/04/23 13:58

JaneLopez22

総合スコア4

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

あなたの回答

tips

太字

斜体

打ち消し線

見出し

引用テキストの挿入

コードの挿入

リンクの挿入

リストの挿入

番号リストの挿入

表の挿入

水平線の挿入

プレビュー

15分調べてもわからないことは
teratailで質問しよう!

ただいまの回答率
85.53%

質問をまとめることで
思考を整理して素早く解決

テンプレート機能で
簡単に質問をまとめる

質問する

関連した質問