無防備な空気に潜む獣：公共Wi-Fiにおける「透過的」な脅威と、その先にあるゼロトラストの解
空港のラウンジ、あるいは喧騒のカフェでノートPCを開くとき、あなたは隣席の誰かが「ただの善意の傍観者」であると確信できるだろうか。
ネットワークエンジニアとして現場を渡り歩いてきた私にとって、暗号化されていない公共Wi-Fiは、まるで全裸で戦場を歩くようなものだ。今回は、多くのエンジニアが「TLSがあるから大丈夫」と高を括っている、無線区間のパケットレベルの脆弱性と、その背後で蠢くスニッフィングのメカニズムを、インフラの深淵から解き明かしていこう。
無線区間に潜む「透明な」スニッファー
公共Wi-Fiにおける最大の誤解は、「接続先のAP（アクセスポイント）が正規のものなら安全である」という認識だ。しかし、無線通信の本質は「空中に向かってパケットを撒き散らす」ことにある。
802.11フレームをキャプチャするツール（airmon-ngやtcpdump）を手に取れば、暗号化されていないオープンネットワークにおいて、誰がどのMACアドレスで、どのようなシーケンス番号を用いて通信しているかは筒抜けだ。
傍受のメカニズム：レイヤー2の悲劇
たとえアプリケーション層がTLSで保護されていても、攻撃者は「何に対して通信しているか」というメタデータを容易に吸い上げることができる。
- DNSクエリの漏洩: 暗号化されていないDNSリクエストは、ユーザーがどのドメインにアクセスしようとしているかを露呈させる。
- TCPのフィンガープリント:
TCP SYNパケットの初期ウィンドウサイズやTTL値、オプションフィールド（Window ScaleやSACKのサポート状況など）を解析することで、クライアントのOSやデバイス環境を特定できる。
TLSは「銀の弾丸」ではない：ハンドシェイクという隙間
昨今のモダンなWebブラウザは HTTPS をデフォルトとするが、TLSハンドシェイクの冒頭、Client Hello において、SNI（Server Name Indication）は平文で流れる。
# tcpdumpを用いて無線区間のSNIを覗き見る例
# 攻撃者はこのコマンドで、ターゲットがどのサービスに接続しようとしているか即座に把握できる
sudo tcpdump -i wlan0 -n "tcp port 443" -v | grep "SNI"ここで重要なのは、攻撃者は通信内容そのものを解読できなくても、ユーザーの「行動ログ」を完璧に構築できるという点だ。DNSとSNIの組み合わせは、プライバシーの欠如を意味する。
パフォーマンスとセキュリティのトレードオフ：TCPチューニングの現場
我々インフラ屋が公共Wi-Fi環境下でパフォーマンスを維持しようとするとき、TCPの輻輳制御アルゴリズムとバッファサイズは頭痛の種となる。パケットロスが頻発する公共無線環境では、BBR（Bottleneck Bandwidth and RTT）のような、ロスベースではなくモデルベースの輻輳制御が推奨される。
Linuxカーネルレベルでの設定例を挙げる。
# sysctl.confへの追記例
# ネットワーク環境が悪化しがちな無線環境でのRTT改善策
# BBRを有効化し、ロス耐性を高める
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr
# TCPウィンドウサイズを調整し、パケットロス時の回復を速める
net.ipv4.tcp_window_scaling = 1
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216ゼロトラストの視点：VPNは単なる「トンネル」か？
公共Wi-Fiの脅威に対抗する唯一の解は、レイヤー3での暗号化トンネリング、すなわち VPN である。しかし、単に繋げば良いわけではない。
VPNを選択する際のアーキテクトとしての評価軸は以下の通りだ。
1. プロトコル選定: OpenVPN (UDP) のようなオーバーヘッドの大きいものより、WireGuard のようなカーネル空間で動作する高速でモダンなプロトコルを採用すべきだ。
2. DNSリークの封じ込め: トンネルを構築しても、DNS解決がローカルのルーターで行われていれば本末転倒だ。VPNのインターフェース経由で、セキュアなリゾルバ（1.1.1.1や8.8.8.8のDoH/DoT対応）へ強制的にルーティングされているか確認せよ。
3. MTU最適化: VPNのオーバーヘッドにより MTU が適切でないと、フラグメンテーションが発生し、パケットロスが激増する。MTU は 1420 程度まで下げてテストを重ねるのが現場の鉄則だ。
結びに：ネットワークは「信用できないもの」として設計する
この記事を読んでいるあなたが、プロのエンジニアであるならば、もう二度とカフェの「無料Wi-Fi」を素のまま使うことはないだろう。
ネットワークの安全性は、「境界をどこに置くか」ではなく「すべての通信をパケット単位で疑う」ことから始まる。もしあなたがまだ暗号化なしの通信を許容しているなら、それは自身のインフラを他人のスニッフィングに委ねているのと同じことだ。
次の打ち合わせまでに、自身のデバイスに WireGuard のクライアントを仕込み、tcpdump で自分の通信が綺麗に「ブラックボックス化」されていることを確認してほしい。それこそが、技術者が持ちうる最低限の防衛策であり、誇りである。
コメント