カフェのWi-Fiでパケットを覗き見られる瞬間：MitMの現実と、Linuxカーネルを知るエンジニアがVPNを選ぶ理由
街のカフェや空港、ホテルで提供されているオープンなパブリックWi-Fi。ノマドワーカーや急ぎのテックリードにとって生命線とも言えるインフラだが、ネットワークの底流を流れるレイヤーを少しでも知る者にとって、それは「見知らぬ他人に自分の通信の全貌を差し出している」と同義の危険な空間だ。
暗号化されていない、あるいは事前共有鍵（PSK）が全員共通のフリーWi-Fiに接続した瞬間、あなたのデバイスとゲートウェイの間で行き交うすべての生パケットは、同一セグメントに潜む悪意あるアクターの無線インターフェースに無防備に晒される。今回は、この空間でいかにして中間者攻撃（MitM：Man-in-the-Middle）が成立し、パケットレベルで何が起きているのか。そして、インフラエンジニアがなぜ「個人の利便性」を超えた強固なセキュリティ基盤としてVPNの常時接続を選択するのか、プロトコルの内部挙動からディープに紐解いていこう。
—
パブリックWi-Fiにおける暗黒のシナリオ：ARPスプーフィングからSSL/TLSストリッピングまで
攻撃者が狙うのは、レイヤー2（データリンク層）の脆弱性だ。IEEE 802.11のオープンネットワークでは、接続時に暗号化ハンドシェイクが存在しないため、無線空間を飛ぶフレームは誰でもキャプチャ可能になる。
攻撃者はまず、ARP（Address Resolution Protocol）スプーフィングやDHCPの偽装を用いて、同一セグメント上のターゲット端末とデフォルトゲートウェイ間のMACアドレスとIPアドレスの対応関係を毒殺（Poisoning）する。
[被害者端末] -- (偽のARP応答) --> [攻撃者ホスト (IP: 192.168.1.100)] -- (正当な通信) --> [ルーター]
^ |
|--------- (すべてのパケットが転送) -------|この状態を作ると、被害者端末からインターネットへ向かうすべてのTCPセグメント、UDPデータグラムは、一度攻撃者のLinuxカーネル（IPフォーワーディングが有効化された状態）を経由してルーティングされるようになる。
SSL/TLSストリッピングの脅威とHSTSの限界
多くの現代的アプリケーションはHTTPS（TLS暗号化）を使用しているため、「中身は見られないだろう」と高を括りがちだ。しかし、攻撃者はここでSSL/TLSストリッピング（例：sslstripツールの活用）を仕掛ける。
1. ユーザーがブラウザに http://example.com と入力（またはリンクをクリック）。
2. 初回のリクエスト（プレーンテキストのHTTP）が攻撃者に傍受される。
3. 攻撃者はサーバー側にHTTPSで接続し、ユーザー側にはHTTPのままコンテンツを返す。
4. ユーザーは暗号化されていない通信経路でセッションを維持させられ、CookieやセッションID、フォームに入力したクレデンシャルが平文で流出する。
HSTS（HTTP Strict Transport Security）が有効なドメインであれば、ブラウザ側で強制的にHTTPSへアップグレードされるためこの手法は防げるが、HSTSプリロードリストに登録されていない新規ドメインや、レガシーな社内システム、IoTデバイスの管理画面などは依然としてこの罠にかかりやすい。
—
トランスポート層の要塞：なぜVPN（WireGuard / OpenVPN）がMitMを無効化するのか
こうしたレイヤー2/レイヤー3の悪意ある介入を根本から無力化するのが、エンドポイント間で構築される仮想プライベートネットワーク（VPN）だ。特に、近年の主流であるWireGuardは、Linuxカーネルスペースで高速に動作し、現代の暗号プリミティブ（ChaCha20-Poly1305等）をフル活用することで、オーバーヘッドを最小限に抑えつつ完全な秘匿性を担保する。
VPN接続時のパケットカプセル化の挙動
VPNを有効にした瞬間、デバイスのネットワークスタックには wg0 や tun0 といった仮想インターフェースが生成される。このとき、アプリケーション層から出力されたパケットの挙動は劇的に変化する。
1. アプリケーションがHTTPSリクエストを生成（TCPペイロード）。
2. OSのネットワークスタックがこれを通常のIPパケットに包む（外側IP：宛先はVPNサーバー）。
3. 【ここが重要】 VPNクライアント（WireGuard等）が、そのIPパケット全体をさらに暗号化し、UDPデータグラム（通常ポート51830等）にカプセル化する。
4. 物理Wi-Fiインターフェースから送出されるのは、宛先が「信頼できるVPNサーバーのIP」である暗号化されたUDPパケットのみとなる。
万が一、近傍の攻撃者がARPスプーフィングを行ってパケットを強奪したとしても、手に入るのは強固に暗号化されたバイナリの塊（Ciphertext）だけであり、AEAD（Authenticated Encryption with Associated Data）構造により改ざんも即座に検知・破棄される。
—
実践：Linux環境におけるWireGuardクライアントの極限チューニング
単にVPNを繋ぐだけでは、パケットロスが多いパブリックWi-Fi環境下でレイテンシ（RTT）の増大やスループットの低下を招く。ここでは、テックリードとして知っておくべき、Linuxカーネル（sysctl）およびWireGuard設定ファイル（wg0.conf）の最適化チューニングの具体例を示そう。
1. MTU（Maximum Transmission Unit）の最適化
パブリックWi-Fiやルーターの設定によっては、標準的なMTU 1500ではフラグメンテーションが発生し、パケットロス時の再送遅延が跳ね上がる。カプセル化のオーバーヘッド（WireGuardの場合は通常60バイト）を考慮し、MTUを適切に設定する。
/etc/wireguard/wg0.conf の設定例：
[Interface]
# クライアント側の秘密鍵
PrivateKey = <クライアントの秘密鍵>
# このクライアントに割り当てられた内部IPアドレス
Address = 10.0.0.2/32
# カプセル化のオーバーヘッドを考慮し、MTUを1360〜1420程度に縮小してフラグメンテーションを防止
MTU = 1380
[Peer]
# VPNサーバーの公開鍵
PublicKey = <サーバーの公開鍵>
# VPNサーバーのグローバルIPとリスニングポート
Endpoint = vpn.example.com:51830
# すべてのトラフィックをVPN経由にする（フルテナント）
AllowedIPs = 0.0.0.0/0, ::/0
# NAT越えのためのキープアライブ（25秒ごとにパケットを送り、ステートフルファイアウォールのセッションを維持）
PersistentKeepalive = 252. LinuxカーネルのTCPバッファとBBR輻輳制御の適用
パブリックWi-Fiは電波干渉によるパケットロスが日常茶飯事だ。従来のCUBIC輻輳制御アルゴリズムでは、ロスを「輻輳（混雑）」と誤認してウィンドウサイズを急激に絞ってしまいがちだが、Googleが開発したBBR（Bottleneck Bandwidth and Round-trip propagation time）を適用することで、ロス率の高い無線環境でも帯域を限界まで引き出すことができる。
/etc/sysctl.d/99-vpn-optimization.conf に以下の設定を記述し、カーネルパラメータをチューニングする。
# BBR輻輳制御アルゴリズムの有効化
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr
# TCP送受信バッファの動的チューニング範囲を拡大（高帯域・高遅延・ロス環境対策）
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
# パケットロス耐性を高めるためのTCPウィンドウのスケーリング有効化
net.ipv4.tcp_window_scaling = 1
# SYNフラッド攻撃等の対策をしつつ、コネクション確立のレスポンスを最適化
net.ipv4.tcp_max_syn_backlog = 8192設定を適用するには、以下のコマンドを実行する。
# sysctlの設定を即時反映させる
sudo sysctl --system
# 現在の輻輳制御アルゴリズムがBBRになっていることを確認
sysctl net.ipv4.tcp_congestion_control—
結び：インフラを守る者としての「ゼロトラスト」の思想
パブリックWi-Fiは、本質的に「敵対的なネットワーク（Hostile Network）」であるという前提に立つべきだ。ネットワークの物理的・論理的な安全性を信じるのではなく、「通信経路上のすべてのルーター、スイッチ、そして無線空間の電波は信用できない」というゼロトラストの原則を、個人のデバイスレベルから徹底すること。
暗号化されていない生データを一歩たりとも野ざらしにせず、カーネル層からしっかりとカプセル化とチューニングを施したVPNトンネルに流し込む。このエンジニアリングの徹底こそが、サイバー空間の荒波を安全に渡るための、唯一無二の防壁となるのだ。
コメント