WPA3とは｜ネットミリしら

WPA3とは

WPA3は、WPA2より新しく、個人向けでもSAEなどを採用して安全性を高めたWi-Fiセキュリティ規格です。正式名称はWi‑Fi Protected Access 3（ワイファイ・プロテクテッド・アクセス・スリー）、読み方はダブリューピーエースリーです。

家庭向けのWPA3-Personalは、共通パスフレーズを使いながら、SAE（Simultaneous Authentication of Equals／サイマルテイニアス・オーセンティケーション・オブ・イークォルズ）で端末とAPが互いに秘密を知ることを確認します。

取得したハンドシェイクだけを使い、候補パスワードを無制限にオフライン照合しにくくしたことが、WPA2-Personalとの重要な違いです。ただし弱いパスワード自体が安全になるわけではありません。

秘密の導出、公開値の交換、確認、鍵確立パスフレーズそのものは電波へ送らない

図2SAEの推測一回にはAPとの対話が必要になり、APは過剰な試行を制限できます。正当な接続へのDoS耐性も実装上重要です。

SAEは接続ごとに新しい乱数を使い、forward secrecy（フォワード・シークレシー／前方秘匿性）を提供します。将来パスフレーズが知られても、以前に記録されたハンドシェイクから過去のセッション鍵をそのまま復元しにくくします。

ただし端末上のデータ、APから先の通信、HTTPSの終端までを守る機能ではありません。WPA3が保護する中心範囲は端末とAPの無線区間です。

WPA3ではPMF（Protected Management Frames／プロテクテッド・マネジメント・フレームズ）を必須にします。関連付け解除や認証解除など一部の管理フレームを保護し、攻撃者が偽の切断通知を送る行為へ耐性を持たせます。

すべての管理フレームが暗号化されるわけではなく、ビーコンなど接続前に必要な情報は周囲から観測できます。PMFは無線ネットワークの存在を隠す機能ではありません。

WPA3-Enterpriseは802.1XとEAPを使い、組織の認証基盤と端末・利用者ごとの資格情報を組み合わせます。高い保護要件向けには192-ビットセキュリティモードがあり、暗号スイートと証明書へより厳しい条件を定めます。

「WPA3」と表示されてもPersonalかEnterpriseかで設定と認証主体が違います。企業ネットワークではサーバー証明書を検証し、利用者が偽APへ資格情報を渡さない構成にします。

WPA2/WPA3 移行モードは、一つのSSIDへWPA2端末とWPA3端末を接続できます。更新期間には便利ですが、ネットワーク全体が一律にWPA3だけで保護されるわけではなく、旧端末の接続はWPA2の性質を持ちます。

対応しているのにWPA2へ落ちる実装や、移行モード特有のダウングレード対策も更新で改善されます。APと端末を更新し、対応機器が揃ったらWPA3専用へ移行します。6GHzでは新しい保護方式が前提です。