【入門編】 Wi-FiにおけるWPA3-PersonalのSAE（Simultaneous Authentication of Equals）ハンドシェイクの仕組み – 家庭用ネットワーク・IoT・モバイル通信実践ガイド

パスワードはもう「覗かれない」？Wi-Fiセキュリティの救世主「SAE」を直感的に理解しよう

こんにちは！ネットワークの世界に飛び込んだばかりの皆さん、日々のインフラ構築やトラブルシューティング、本当にお疲れ様です。

今日は、Wi-Fiセキュリティの歴史を塗り替えた「WPA3」の心臓部、SAE（Simultaneous Authentication of Equals）についてお話しします。「暗号学的処理」なんて言葉を聞くと身構えてしまうかもしれませんが、大丈夫。実はこれ、皆さんの身近な「郵便の受け渡し」に例えると、驚くほどスッキリ理解できるんです。

—

そもそも、なぜ今のWi-Fi（WPA2）は危ないのか？

これまでのWPA2-Personal（PSK）では、パスワードを使って「共通の合言葉」を生成していました。しかし、この仕組みには決定的な弱点があります。

それは、「空中でやり取りされる通信をすべて録画（キャプチャ）しておけば、後からオフラインでパスワードを総当たり攻撃（辞書攻撃）できてしまう」という点です。

カフェで誰かがパケットを盗聴していたら、あなたが帰った後に、その盗聴データを使ってあなたのパスワードを解析できてしまう……。これがWPA2の限界でした。

—

SAE（Dragonfly）を「手紙の受け渡し」で例えると？

SAEは、この問題を解決するために「Dragonfly（トンボ）」というプロトコルを使います。これを、信頼できない相手に手紙を渡す場面で想像してみましょう。

1. WPA2のやり方（従来のポスト）
「合言葉（パスワード）」を封筒に書いてポストに入れます。通りすがりの人がその封筒を拾い上げ、中身をじっくり時間をかけて解読（解析）しようとします。一度盗まれたら、何度でも解析し放題です。

2. SAEのやり方（魔法の金庫）
あなたとルーターは、お互いに「数字の計算」をして、その結果だけを交換します。

計算には「パスワード」を使いますが、パスワードそのものは相手に渡しません。
計算結果を交換した後、二人だけの「秘密の鍵」をその場で生成します。
もし誰かがこのやり取りを盗聴していても、そこにあるのは「計算の残骸」だけで、パスワードを導き出すことは数学的にほぼ不可能です。

これが、SAEが「オフライン辞書攻撃に強い」と言われる理由です。たとえ通信を録画されても、その場で生成された鍵は二度と再利用できないからです。

—

実践：WPA3-Personal (SAE) を設定してみる

では、現場でWPA3を設定する際、具体的にどう見えるのかを見てみましょう。Linuxベースの無線ルーターやアクセスポイントで、hostapdを使って設定する際のイメージです。

# /etc/hostapd/hostapd.conf の設定例

# WPA3-Personal (SAE) を有効化するための設定
wpa=2
# WPA3の認証方式を指定
wpa_key_mgmt=SAE
# パスワードの設定（WPA2との互換性を持たせる場合はSAE-PSKと書くこともあります）
wpa_passphrase=MySecurePassword123!
# 暗号化方式はCCMP（AESベース）を使用
rsn_pairwise=CCMP

wpa_key_mgmt=SAE: これが今回の主役です。OS側でSAEのハンドシェイクを強制させます。
wpa_passphrase: ここに設定した文字列が、そのまま通信に使われるのではなく、SAEの「計算材料」として使われるのがポイントです。

—

初学者が知っておくべき「落とし穴」

SAEは非常に強力ですが、ネットワーク構築の現場ではいくつか注意点があります。

古いクライアントとの互換性:

WPA3に対応していない少し古いノートPCやIoTデバイスは、wpa_key_mgmt=SAE に設定したアクセスポイントには接続できません。互換性が必要な場合は「WPA3-SAE Transition Mode」を使いますが、これだとセキュリティ強度がWPA2レベルに引きずられてしまう可能性があります。

計算負荷:

SAEは認証のたびに複雑な楕円曲線暗号の計算を行います。超低スペックのマイコンなどは、認証に少し時間がかかるケースがあります。

—

まとめ：ネットワークの未来は「証明」から「導出」へ

WPA3のSAEは、パスワードを「隠す」のではなく、「パスワードを直接使わずに、本人であることを証明し、鍵を導き出す」という賢い手法に切り替わりました。

ネットワークエンジニアとして現場に立つとき、皆さんが設定するその「一行」が、ユーザーのプライバシーをどれだけ強力に守っているか。そう考えると、少しだけインフラ構築が誇らしく感じられませんか？

次は、ぜひご自身の環境でWPA3を有効にして、クライアントとのハンドシェイクをパケットキャプチャツールなどで覗いてみてください。WPA2の時のような「鍵交換の痕跡」とは全く違う、美しい暗号のダンスが見られるはずです。

それでは、また次の記事でお会いしましょう！Happy Hacking!