WPAとは？仕組み・設定・WPAとWPA2/WPA3の違いを徹底解説！

Wi-Fiの安全設定で迷っていませんか。

WPAの基礎からWPA2/WPA3との違い、PSKと802.1Xの選び方、AES/CCMPやPMFなど守るべき設定、KRACKや辞書攻撃への対策、古い機器を抱えた場合の現実解まで、実務で役立つ手順を簡潔に整理します。

この記事で、迷いなく最適なWPA運用へ進めます。

WPAとは何か ― 基本概念と歴史的背景

1-1. WPA（Wi-Fi Protected Access）の定義と目的

1-1-1. WPAの基本定義

WPA（Wi-Fi Protected Access）とは、無線LANの通信を安全に保つためのセキュリティ規格です。

具体的には、アクセスポイントと端末のあいだで交わされるデータを暗号化し、第三者による盗聴や改ざん、なりすましを難しくします。

WPAは、脆弱性が見つかった旧規格のWEPを置き換えるために登場しました。

つまり、WPAは「すぐに現場で使える対策」として、暗号化と認証の仕組みを強化した規格だと捉えると分かりやすいです。

主なポイントは次のとおりです。

• 暗号化の強化：WEPの固定的で弱い仕組みを補うため、パケットごとに鍵を変える発想を導入
• 認証の強化：共有鍵だけに頼らず、企業ネットワークでは802.1X（RADIUS）による個別認証を利用可能
• 鍵管理の改善：セッション鍵の再生成（リキー）やメッセージ完全性チェック（MIC）を追加

1-1-2. WPAの目的を一言でいうと

WPAの目的は、無線LANの「盗聴」「なりすまし」「改ざん」という三つの代表的なリスクを現実的な運用で抑え込むことです。

したがって、WPAは「安全」と「互換性」と「移行のしやすさ」のバランスを重視して設計されています。

とくに、当時すでに普及していた機器でも使えるよう配慮された点が重要です。

1-1-3. WPA、WPA2、WPA3の関係（位置づけ）

WPAは移行期の“橋渡し”として登場し、その後継がWPA2、さらに改良版がWPA3です。用語が似て混同しやすいため、整理しておきましょう。

• WPA：主にTKIPという方式で暗号化を強化（WEPより強いが、のちに後継へ）
• WPA2：AES-CCMPの採用で強度が大きく向上（現在も広く利用）
• WPA3：さらに現代的な攻撃に備えて改良（パスワード推測耐性などを強化）

つまり、WPAは「WEPからWPA2/WPA3へ進むための実用的な第一歩」でした。

---

1-2. WEP から WPA へ：なぜ WPA が必要になったか

1-2-1. そもそもWEPの何が問題だったのか

WEPは登場当初こそ標準でしたが、後に次のような根本的な弱点が明らかになりました。

• 初期化ベクトル（IV）の短さにより、同じ鍵が繰り返し使われやすい
• 鍵管理が静的で、長期間同じ共有鍵を使い回しがち
• メッセージ完全性の検査が弱く、改ざん検出が不十分
• 結果として、ツールを使った鍵の復元が現実的な時間で可能に

だからこそ、WEPの延命ではなく、実運用で“今すぐ強化できる”代替策が求められました。

1-2-2. WPAで何が改善されたのか（実務目線）

WPAはWEPの課題に対し、運用を変えずに安全性を底上げする設計が特徴です。

具体的には以下の改善が効きました。

• パケット単位の鍵混合（TKIP）：同じ鍵が続けて使われにくくなる
• メッセージ完全性チェック（MIC）：改ざんの検知能力を向上
• 4ウェイハンドシェイク：端末とAP間で安全にセッション鍵を確立
• 鍵の定期的な更新（リキー）：長期使用によるリスクを低減
• 802.1X（エンタープライズ）：個別アカウントでの認証運用が可能

つまり、WPAは“今ある機器を活かしつつ、WEPの弱点を現実的に補う”ことを目的とした更新でした。

1-2-3. WEPからWPAへ移行した背景（歴史の流れ）

当時の企業・家庭の現場では、すでに多数の無線LAN機器が稼働していました。

ここで“全部買い替え”は非現実的です。

したがって、WPAは次の条件を満たす必要がありました。

• 既存ハードウェアでのソフト更新や設定変更で導入可能であること
• セキュリティ強度を確実に引き上げられること
• 家庭用（PSK）と企業用（802.1X）の双方に適用できること

その結果、WEPからWPAへ、さらにWPA2へという段階的な移行が現実のものとなりました。

---

1-2-4. 参考になる整理表（WEPとWPAの違いを一目で）

観点	WEP	WPA（移行期の本命）
目的	基本的な暗号化	WEPの弱点を現場で補強
暗号方式	RC4（固定的で脆弱）	TKIP（パケットごとに鍵混合）
鍵管理	静的共有鍵	4ウェイハンドシェイク＋リキー
改ざん検知	弱い	MICで強化
認証	共有鍵中心	PSKと802.1Xの二本柱
実運用	侵害リスクが高い	移行の現実解として普及

WPA の仕組みと暗号方式

2-1. TKIP／AES／CCMP：暗号方式の違いと特徴

2-1-1. TKIPとは（WPAで採用された“つなぎ”の方式）

WPAが登場した当時、既存の無線LAN機器（WEP世代）をなるべく活かす必要がありました。

そこで採用されたのがTKIPです。

TKIPはRC4というストリーム暗号を使いながら、次の工夫でWEPの弱点を緩和します。

• パケットごとに鍵を混合して再生成（鍵の使い回しを抑制）
• パケット改ざん検出のためのMIC（Message Integrity Code）“Michael”を追加
• 送信シーケンス番号によるリプレイ攻撃対策
• 定期的なリキー（鍵更新）

とはいえ、TKIPはあくまで移行期の現実解です。

現在の目線では強度・速度ともに見劣りするため、WPAの設定でTKIPしか使えない状況はできる限り避けたいところです。

2-1-2. AES／CCMPとは（WPA2以降で主流の“本命”）

次に押さえるべきはAES／CCMPです。

AESはブロック暗号で、CCMPは“CCM”モード（CTR＋CBC-MAC）を使う運用仕様のこと。

つまり、暗号化（機密性）と認証（完全性）を一体で強化できます。

• AES（堅牢なブロック暗号）＋CCM（暗号化と認証の組み合わせ）
• MICが方式に内包され、改ざん検出が強力
• ハードウェア支援により実測でも高速化（端末・APの世代が新しいほど有利）

結果として、家庭でも企業でも“WPAはAES／CCMPを使う”が現在の基本方針です。

2-1-3. どれを選ぶべきか（結論と運用のコツ）

• まずはAES／CCMPを最優先に選択する
• 互換性のためにTKIPを同時有効にしない（旧端末切り捨てを検討）
• 可能ならWPA2／WPA3混在の“トランジションモード”から段階的に移行する

つまり、WPAの時代背景を理解しつつも、実運用では“AES／CCMP一択”がベストプラクティスです。

2-1-4. 比較表（ざっくり要点整理）

項目	TKIP（WPA）	AES／CCMP（WPA2以降の標準）
暗号アルゴリズム	RC4（ストリーム）	AES（ブロック）
完全性検証	MIC（Michael）	CCMに内包（CBC-MAC）
強度評価	旧世代・推奨外	現行主流・推奨
実効速度	低～中	中～高（HW支援で有利）
互換性	旧端末に配慮	近年の端末は標準対応
推奨設定	非推奨	最優先で採用

---

2-2. 鍵交換・4ウェイハンドシェイク・メッセージ整合性（MIC）

2-2-1. WPAの鍵の種類をまず整理

WPAの理解を一気にラクにするコツは、鍵の“役割分担”を掴むことです。

• PMK（Pairwise Master Key）：親玉の鍵。PSK（事前共有鍵）や802.1X認証の結果から得られる。
• PTK（Pairwise Transient Key）：端末とAPの“個別通信”に使う鍵束。4ウェイハンドシェイクで生成。
• TK（Temporal Key）：実際に暗号化で使う作業用の鍵（PTKの一部）。
• GTK（Group Temporal Key）：ブロードキャスト／マルチキャストに使う“全員共通”の鍵。

このように、WPAは“マスター鍵（PMK）→セッション鍵（PTK/TK, GTK）”という多段構造で安全性と運用性を両立します。

2-2-2. 4ウェイハンドシェイクの流れ（要点だけ）

4ウェイハンドシェイクは、APと端末が“同じPMKを共有していること”を確認し、そこからPTKを生成・配布する手順です。

流れは次のとおり。

1. AP→端末：ANonce（APの乱数）を送る
2. 端末→AP：SNonce（端末の乱数）と情報を返す
3. AP：PMK・ANonce・SNonce・双方のMACアドレスからPTKを導出
4. 端末：同条件でPTKを導出（結果が一致）
5. 双方：PTKをインストールし、TKを使って暗号通信を開始
6. 続けて、GTK（グループ鍵）も配布・同期

ポイントは、“鍵そのものを送らず、同じ材料から同じ鍵を作る”こと。

したがって、盗聴されても鍵が漏れにくい設計です。

2-2-3. グループキー・ハンドシェイク（全員共通鍵の入れ替え）

ブロードキャストやマルチキャストで使うGTKは、メンバーの出入りや一定時間経過で定期的に更新します。

これにより、退場した端末が“昔の鍵”で通信を解読するリスクを下げられます。

• イベント発生時（例：端末の離脱）にGTKを更新
• タイマーで周期的に再配布（リプレイや漏えいの影響を局所化）

2-2-4. MIC（メッセージ整合性）の役割と実装の違い

WPAでは“改ざんされていないか”を検知する仕組みが重要です。

• TKIP系：MIC（Michael）を追加して改ざん検出。ただし設計上の限界から強度は控えめ。
• AES／CCMP系：MICがCCMに内包。強度・設計ともに現代的で推奨。
• さらに、再送や順序入れ替えを検知するため、パケット番号（TSC/PN）でリプレイ攻撃を防ぎます。

したがって、WPAを安全に運用するには“MICの強度が高い方式（AES／CCMP）を選ぶ”ことが本質です。

2-2-5. 実運用チェックリスト（今日からできる設定見直し）

• “AES／CCMPのみ”を有効化し、TKIPを無効化する
• 事前共有鍵（PSK）は12文字以上、可能なら20文字以上の長さで作る
• キー更新間隔（rekey interval）を短めに設定（ベンダー推奨値を採用）
• 802.1X（WPAエンタープライズ）を導入できる環境では優先的に採用
• 管理フレーム保護（PMF/MFP）を有効化（対応機器での接続を優先）
• ファームウェア更新を定期実施（脆弱性修正・暗号実装の改善を取り込む）

WPA のモードと用途別選び方

3-1. WPA パーソナル（PSK） vs WPA エンタープライズ（802.1X）

3-1-1. WPA パーソナル（PSK）の特徴と向いている環境

WPA パーソナル（PSK）は、共通のパスフレーズ（事前共有鍵）で認証する方式です。

設定が簡単で、家庭や小規模オフィスに広く使われています。

ただし、同じ鍵を全員で共有するため、誰かにパスワードが漏れるとネットワーク全体が危険になります。

したがって、運用のコツが重要です。

• 強み
  • 設定が簡単（ルーターと端末で同じWPAパスワードを設定するだけ）
  • 導入コストが低い（RADIUSサーバーなどが不要）
• 弱み
  • 人の出入りや端末の増減に弱い（退職者や卒業生がパスワードを知っている問題）
  • パスワード推測攻撃の対策が課題（短い・使い回しのWPAパスワードは危険）
• 使うなら
  • AES/CCMPのみを有効化（TKIPは避ける）
  • 20文字以上の長いWPAパスフレーズ＋ランダム生成
  • ゲスト用 SSID を分離し、帯域やアクセス先を制限

3-1-2. WPA エンタープライズ（802.1X）の特徴と導入判断

WPA エンタープライズは、ユーザーや端末ごとに個別認証する方式です。

RADIUS サーバーと EAP（PEAP、EAP-TLS など）を使い、アカウント単位でアクセス制御できます。

つまり、セキュリティと運用管理の“伸びしろ”が大きい方法です。

• 強み
  • アカウント単位で認証・取り消し（退職者のIDだけを無効化できる）
  • 端末証明書（EAP-TLS）で強固な認証が可能
  • ネットワーク分離（VLAN割当）や詳細なログ取得が容易
• 弱み
  • 初期設計と運用に知識が必要（証明書、RADIUS、EAP設定）
  • 小規模ではコスト/手間が相対的に重い
• 導入判断の目安
  • 利用者が10〜20人を超え、アカウント管理や監査が必要
  • 端末の持ち込み（BYOD）が多く、パスワード共有が現実的でない
  • 規制や監査要件（ログ、可用性、トレーサビリティ）がある

3-1-3. WPA パーソナル vs エンタープライズ（比較表）

観点	WPA パーソナル（PSK）	WPA エンタープライズ（802.1X）
認証方式	共有のWPAパスフレーズ	個別ID/証明書＋RADIUS
導入難易度	低い	中〜高
運用管理	パスワード一括変更が必要	ユーザー単位で失効・権限付与
規模適性	家庭・小規模	中規模以上・セキュリティ重視
セキュリティ	パス共有が弱点	強固（証明書/EAPで強化可能）
ログ・監査	限定的	詳細な監査が可能
おすすめ暗号	AES/CCMP	AES/CCMP（WPA2/WPA3-Enterprise）

したがって、WPA を「まず安全に」使いたいなら小規模は PSK、大規模・厳格運用は 802.1X が基本方針です。

さらに、どちらも AES/CCMP を前提に選ぶとよいでしょう。

---

3-2. 利用シーン別おすすめモード（家庭／オフィス／公共施設）

3-2-1. 家庭：シンプル運用を最優先

家庭では、WPA パーソナル（PSK）＋AES/CCMP が最適です。

理由は、導入が簡単で、家族全員の端末を短時間で接続できるからです。

とはいえ、セキュリティの要点は外せません。

• 推奨設定
  • SSIDごとに強固なWPAパスワード（20文字以上、記号・数字を混在）
  • ゲスト用 SSID を別に用意し、LAN 内部へのアクセスを遮断
  • ルーターのファームウェア更新を定期実施
• 追加の工夫
  • スマート家電用 SSID を分け、権限を最小化
  • WPS は無効化し、手動でWPAパスワードを入力

3-2-2. 小規模オフィス：拡張性と現実解のバランス

人数が少ないうちは WPA パーソナルでも運用可能です。

ただし、人の出入りが増えると“WPAパスワードの定期変更”が負担になります。

だからこそ、早めに WPA エンタープライズへの移行計画を立てるとスムーズです。

• 当面の現実解（PSK）
  • AES/CCMPのみ有効
  • 退職者・外注対応のたびに PSK を更新（更新の手間を手順化）
  • 社内と来客で SSID を分離（ゲストはインターネットのみ）
• 移行ステップ（802.1X）
  • RADIUS の用意（クラウド/オンプレは規模と要件で選択）
  • EAP-TLS（証明書）または PEAP の設計と端末配布手順の整備
  • ネットワーク分離（VLAN/ACL）とログ運用の定義

3-2-3. 中規模〜大規模オフィス：セキュア運用が主役

中規模以上では、WPA エンタープライズが実質の標準です。

ユーザー/端末単位でアクセス制御でき、なりすましや情報漏えいの抑止に有効です。

さらに、WPA2-Enterprise から WPA3-Enterprise への段階移行を計画すると、将来の強度不足を避けられます。

• 推奨事項
  • EAP-TLS を優先（証明書ベースで強力）
  • PMF（管理フレーム保護）を対応端末で必須化
  • VLAN割当やロールベース制御で最小権限を徹底
  • 802.11r/k/v を活用しローミング品質を改善（VoIP/会議室で効く）
• 運用ポイント
  • 証明書のライフサイクル管理（発行・失効・自動更新）
  • 監査ログの保存と可観測性（誰が、いつ、どこで）

3-2-4. 公共施設／店舗／イベント会場：利便性と安全性の両立

公共エリアでは、来訪者が簡単に接続できることが重要です。

一方、内部ネットワークは厳重に守らなければなりません。

そこで、スタッフ向けと来客向けで“SSIDの役割分担”を行います。

• スタッフ向け
  • WPA エンタープライズ（802.1X）で端末/アカウント単位の制御
  • 社内システムへはゼロトラストの考え方で最小権限
• 来客向け
  • ゲスト用 SSID は社内から分離（ファイアウォール/ACL）
  • 機器が対応していれば OWE（Enhanced Open）で暗号化を付与
  • 認証が必要な場合はキャプティブポータルを併用（帯域制御・通信先制限）
• 共通対策
  • クライアント分離（同一ゲスト間の相互通信を遮断）
  • アクセスポイントの定期アップデートと強度設定の統一

3-2-5. 迷ったらここを見る：WPA モード選定チェックリスト

• ユーザー規模：10〜20人を超えたら 802.1X を検討
• 端末の多様性：BYOD が多いなら証明書ベース（EAP-TLS）を計画
• ログ/監査要件：誰が接続したか証跡が必要ならエンタープライズ
• 互換性：古い端末が混在するなら、段階的に SSID を分けて移行
• セキュリティ強度：いずれも AES/CCMP を前提。TKIP は採用しない

WPA の脆弱性と攻撃手法

4-1. 既知の脆弱性（TKIP 攻撃、KRACK、辞書攻撃など）

4-1-1. TKIP に起因する弱点（WEP時代の負債を引きずる）

WPA の初期に導入された TKIP は、WEP 世代の機器を延命させる“つなぎ”の方式でした。

ところが、TKIP は RC4 を前提としており、次のような弱点が現実的な攻撃につながりました。

• 小さなパケット（ARP など）の復号や偽造を許しやすい設計
• MIC（Michael）の強度が低く、改ざん検出が不十分
• したがって、TKIP を残すと侵入口が増える

結論として、WPA を使うにしても TKIP は無効化し、AES/CCMP へ一本化するのが基本戦略です。

4-1-2. KRACK（Key Reinstallation Attack：実装依存の再インストール問題）

KRACK は 4 ウェイハンドシェイクの“鍵の再インストール”を悪用する攻撃です。

攻撃者はハンドシェイクの特定メッセージを繰り返し送ることで、端末側の nonce（使い回し禁止の値）をリセットさせ、暗号文の再利用を誘発します。

• 影響の中心はクライアント実装（AP より端末が要修正）
• 重要なのは“更新済みファームウェア/OS”で対処すること
• AES/CCMP 環境でも、未更新の端末は狙われ得る

つまり、WPA の安全性は“方式”だけでなく“実装と更新”にも大きく依存します。

4-1-3. PSK の辞書攻撃・総当たり（オフライン）

WPA-PSK（事前共有鍵）は、4 ウェイハンドシェイクや PMKID（環境によっては AP から取得可能）を手掛かりに、オフラインでパスフレーズを推測されることがあります。

• 短い・よくある単語・流行りの置換（0→o など）は危険
• 攻撃者は“正解が出るまで好きなだけ”試行できる
• 弱い PSK は方式に関係なく破られやすい

だからこそ、長く予測困難な WPA パスワードが必須です。

4-1-4. Evil Twin（なりすまし AP）と強制切断（Deauth）

攻撃者が同名 SSID の偽アクセスポイント（Evil Twin）を立て、クライアントを“こちらに”誘導して通信や資格情報を奪う手口です。

併せて、保護されていない管理フレームに対し Deauth（切断）フレームを偽装してクライアントを強制切断し、再接続の隙を作ることもあります。

• 管理フレームが保護されていないと成立しやすい
• 公共空間や混雑エリアで実施されやすい
• SSID を隠しても防げない（可視性の問題であって安全化ではない）

4-1-5. WPS（PIN 認証）の総当たり・設計上の脆弱性

WPS は“簡単接続”の仕組みですが、PIN 認証モードは総当たりに弱い歴史的な問題が知られています。

• PIN を段階的に検証できる実装が存在
• 一部の実装では“極めて短時間”で破られる事例も
• したがって、WPS は原則オフが安全

4-1-6. 802.11 プロトコル由来の攻撃（フラグ攻撃など）

Wi-Fi の断片化処理や再集合、管理フレームの扱いなど、暗号方式の外側（レイヤ 2 プロトコル）に起因する攻撃もあります。

• フレーム断片化の悪用、キャッシュや再送の不備
• 暗号と別レイヤの実装差を突くため、パッチ適用が決め手
• “方式は強いのに破られた”は実装・設定の隙が原因になりがち

---

4-2. WPA による攻撃防止策・リスク緩和のポイント

4-2-1. まずは“方式”の最適化（TKIP を捨てる）

• AES/CCMP のみを有効化（TKIP は無効）
• 可能な環境では WPA2 から WPA3（SAE, 192-bit Suite）へ段階移行
• 管理フレーム保護（PMF/MFP）を“必須”に設定できるなら必須化

なぜなら、方式そのものを強化すると“根の深い攻撃面”が消えるからです。

4-2-2. PSK 運用の鉄則（オフライン攻撃に勝つ）

• WPA パスワードは 20 文字以上、無作為（英大小・数字・記号を混在）
• 定期的な更新と、漏えい時の即時ローテーション手順を用意
• WPS はオフ（どうしても使うなら PBC のみに限定し、PIN は無効）
• ゲスト用 SSID を分離し、内部 LAN への到達を遮断（ファイアウォール/ACL）

つまり、“強いパスワード＋分離＋WPS 無効化”の三点セットが効果的です。

4-2-3. 802.1X（WPA エンタープライズ）で“人単位”に守る

• EAP-TLS（端末証明書）を優先。次点で PEAP（MSCHAPv2 の扱いに注意）
• ユーザー/端末ごとに失効・権限付与（退職者のアクセス即遮断）
• VLAN やロールでネットワーク分離（来客・社員・機器で到達先を分ける）
• 監査ログを保存し、誰が・いつ・どこからを追跡可能に

結果として、“パスワード共有の弱さ”から卒業できます。

4-2-4. Deauth/Evil Twin への対策（電波面の衛生管理）

• PMF を必須化して管理フレームの偽装を防止
• 電波測定（WIDS/WIPS）で不正 AP を検出し、アラート運用
• 公共空間では“スタッフ用”と“来客用”を SSID で分離、クライアント分離を有効化
• SSID ステルスは安全策にならないため、過信しない

4-2-5. パッチ＆ファームウェア管理（“最新であること”が最大の盾）

• AP/コントローラ、OS、無線 NIC ドライバを定期更新
• 既知の脆弱性（KRACK など）への修正の有無を棚卸し
• 古い機器は“セキュリティ非対応資産”としてリタイア計画を立案

したがって、WPA を安全に保つ最短ルートは“更新を止めないこと”です。

4-2-6. 設定テンプレ（実務ですぐ使える）

• 暗号：AES/CCMP のみ
• モード：家庭/小規模は PSK、組織は 802.1X（EAP-TLS を第一候補）
• PMF：必須（Required）
• PSK：20 文字以上（管理はパスワードマネージャで）
• WPS：無効
• 分離：ゲスト SSID と社内を L3 以上で遮断、クライアント分離オン
• ログ：RADIUS/コントローラ/認証ログを集中管理し、保存期間を定義

---

4-2-7. 攻撃手法 × 対策マッピング（まとめ表）

攻撃手法（WPA 関連）	主な原因	有効な対策
TKIP 攻撃	TKIP/Michael の設計限界	TKIP 無効化、AES/CCMP へ移行
KRACK	ハンドシェイク実装の不備	端末/AP のパッチ適用、最新 OS/ドライバ
PSK 辞書・総当たり	短い/推測容易な PSK	20 文字以上の乱数 PSK、WPA3-SAE へ移行
Evil Twin	偽 AP への誘導	PMF 必須、WIDS/WIPS、来客と社内の分離
Deauth 切断	管理フレーム未保護	PMF 必須、ファーム更新、無線環境監視
WPS PIN 攻撃	PIN 認証の設計・実装弱点	WPS 無効（PBC も原則避ける）

WPA2／WPA3 との比較と移行戦略

5-1. WPA2／WPA3 の強み・弱みと相違点

5-1-1. コア技術のちがい（CCMP と SAE／OWE／192-bit Suite）

WPA2 は AES-CCMP を中核に据え、安定した強度と互換性を実現しました。一方、WPA3 は現代の攻撃に合わせて認証と暗号の両面を刷新しています。

• WPA2（Personal/Enterprise）：暗号は主に AES-CCMP（128-bit）。PMF（管理フレーム保護）は任意。
• WPA3-Personal：PSK の代わりに SAE（パスワード認証付き鍵共有）を採用。オフラインの辞書攻撃に強く、前方秘匿性も確保。
• WPA3-Enterprise：802.1X に加え「192-bit Security Suite」（例：GCMP-256、HMAC-SHA-384 等）を選択可能。
• OWE（Enhanced Open）：パスワードなしの“オープン”でも暗号化を付与する拡張（公共向け）。

つまり、WPA3 は“パスワード推測耐性”と“管理フレーム保護の必須化”で実害を減らす方向へ大きく前進しています。

5-1-2. セキュリティ観点の比較（要点表）

観点	WPA2	WPA3
Personal 認証	PSK（4ウェイHS）	SAE（オフライン辞書攻撃に強い）
Enterprise 認証	802.1X（EAP 各種）	802.1X＋192-bit Suite 選択可
暗号方式	AES-CCMP（128）	GCMP/CCMP（128/256 構成）
PMF（管理フレーム保護）	任意（推奨）	必須
オープンネットワーク保護	なし	OWE（暗号化のみ付与）
互換性	端末幅広い	旧端末は非対応あり
耐性の焦点	実装と設定が決め手	認証方式そのものが強化

このように、WPA3 は“方式の地力”が高い一方、端末対応状況が導入可否のポイントになります。

5-1-3. どちらを選ぶべきか（現場の結論）

• 新規導入・更改：WPA3（Personal は SAE、Enterprise は 192-bit Suite を要件に合わせ選択）を第一候補。
• 既存環境：WPA2-AES/CCMP を維持しつつ、対応端末から段階的に WPA3 へ移行。
• 混在期：WPA3-Transition（WPA2-PSK と WPA3-SAE の併用）を使う場合は、最弱端末に合わせて強度が落ちる点を理解し、移行期間を限定する。

したがって、最終ゴールは「WPA3 完全移行」。

ただし、現実的には“移行計画”が鍵になります。

5-1-4. パフォーマンス・運用面のチェック

• スループット：近年の AP／端末は AES/GCMP のハードウェア支援が効くため、実効速度は良好。
• 運用：SAE は PSK と比べて設定フローが近く、現場負担は大きく増えにくい。Enterprise は証明書運用（EAP-TLS 等）を自動化できるかが成否。
• 互換性：古い IoT や業務端末は WPA3 非対応が残存。SSID 分離で段階移行を成立させるのが定石。

---

5-2. 古い機器で WPA を使わざるを得ない場合の対処法

5-2-1. リスクを正しく位置づける

WPA（特に TKIP 前提）を残すと、既知の攻撃面（改ざん検出の弱さ、辞書攻撃耐性不足など）が消えません。

だからこそ、“使い続ける前提の安全策”を二重三重に重ねる必要があります。

5-2-2. ネットワーク分離（最重要）

• SSID を用途別に分離：旧端末専用 SSID を作り、WPA のみ接続させる。
• L3 分離とファイアウォール：旧端末セグメントから社内重要系への到達を遮断。
• クライアント分離：同一 SSID 内の端末間通信を禁止し、横移動を阻止。

つまり、“古い WPA の島”をネットワーク上で孤立させ、影響範囲を限定します。

5-2-3. 代替アーキテクチャで強度を底上げ

• ブリッジ／コンバータ活用：WPA2/WPA3 に対応した小型ルーターやクライアントブリッジを介し、古い有線機器を間接的に最新暗号で保護。
• オーバレイ VPN：旧端末とサーバ間の実データは IPsec／TLS で二重化（Wi-Fi の弱さを上位レイヤで補完）。
• 可能なら 802.1X（WPA-Enterprise）：WPA でも PSK より 802.1X を優先し、アカウント単位での失効を可能にする。

5-2-4. 設定のベストプラクティス（WPA を使うなら）

• TKIP しか選べない場合：リキー間隔を短縮、古い暗号設定を統一、WPS は無効。
• PSK の強化：20 文字以上で乱数的に生成。漏えい時の即時ローテーション手順を用意。
• 電波面の露出を抑制：出力調整、指向性アンテナ、5GHz 利用（対応範囲で）。
• 監視：WIDS/WIPS で偽 AP／Deauth を検知。ログは集中管理し、警告に即応。

その結果、WPA の残存リスクを“許容可能な範囲”へ押し下げられます。

5-2-5. 業務継続と更新計画（ロードマップ）

• 資産棚卸し：WPA しか使えない機器を一覧化し、影響度と代替手段を評価。
• 更改優先度：機密度×露出度×代替可否でスコアリングし、置き換え順を決める。
• 移行マイルストーン：
  1. 旧端末専用 SSID を分離（即日）
  2. ブリッジ／VPN で上位の暗号を追加（短期）
  3. 対応機器から順に WPA2/WPA3 へ（中期）
  4. WPA SSID を段階的に停止（期限を決めて通知）

5-2-6. 判断を助ける簡易チェック表

質問	はい	いいえ
WPA2/AES へファーム更新できるか	直ちに更新	5-2-3 の代替案を適用
802.1X が使えるか	Enterprise へ移行	強 PSK＋分離で運用
物理分離できるか	VLAN/L3 分離を強化	ACL で厳格に制限
オーバレイ VPN を張れるか	即時展開	機微系は無線経由禁止を検討

5-2-7. まとめ（現実解と最終目標）

• 現実解：古い機器で WPA を使うなら「分離」「上位レイヤ暗号」「強 PSK」「監視」の四点セットで守る。
• 最終目標：WPA2／WPA3 への完全移行。特に WPA3 は SAE／PMF 必須で実害を減らせるため、移行価値が高い。
• 結論：今日できる最初の一歩は“旧端末専用 SSID の分離”と“WPS 無効化”。明日以降は“更改計画の明文化”です。

この方針なら、WPA の制約下でも攻撃面を最小化しつつ、段階的により強い WPA2／WPA3 環境へと移行できます。

WPA を安全に設定・運用するための実践ガイド

6-1. ルーター／アクセスポイントでの WPA 設定手順と注意点

6-1-1. 事前準備（いまある環境を正しく把握）

まずは準備が成否を左右します。つまり、設定前の棚卸しが近道です。

• 機器の把握：AP、コントローラ、ルーター、クライアント（PC、スマホ、IoT）の型番とOSを一覧化
• 対応状況の確認：各機器が WPA3、WPA2、PMF に対応しているかを整理
• ファームウェア更新：APと無線アダプタのドライバ／OSを最新化
• コンフィグのバックアップ：現行設定を保存してロールバック手段を確保

6-1-2. 無線の基本設定（土台を整える）

電波設計が甘いと、強いWPAでも“つながらない悩み”が増えます。

• 国設定：国コードを地域に合わせる（例：日本であればJP）
• 帯域：まずは5GHz（混雑回避）。2.4GHzは必要最小限
• チャネル幅：5GHzは40〜80MHzを状況に合わせて選択
• 出力：必要以上に強くしない。セル設計と干渉回避が鍵

6-1-3. 暗号・認証方式の選定（ここがWPAの要）

“何を使うか”で安全性が大きく変わります。したがって次を基本にします。

• 家庭・小規模：WPA3-Personal（SAE）。非対応端末が多い間はWPA2/WPA3トランジションを短期間だけ
• 組織：WPA2-Enterprise または WPA3-Enterprise（EAP-TLS を第一候補）
• 暗号：AES/CCMP または GCMP。TKIP は無効
• PMF（管理フレーム保護）：可能なら必須（Required）

6-1-4. PSK（WPAパスワード）運用の要点

PSKを使うなら“推測されない”が最優先です。

• 長さ：20文字以上を推奨（英大小＋数字＋記号を混在、辞書語を避ける）
• 共有範囲：必要最小限。退職・離脱時は速やかに変更
• WPS：PIN方式は無効。基本的にWPS自体をオフ
• ゲスト用は別SSID：内部LAN到達を遮断

6-1-5. 802.1X（WPAエンタープライズ）の設定

個別認証で“人単位・端末単位”に管理します。

• RADIUSの用意：サーバ冗長化、時刻同期、証明書を適切に配備
• EAP方式：EAP-TLS優先。次点でPEAP（MSCHAPv2の扱いに注意）
• 証明書配布：MDMやスクリプトで自動配布と失効運用を整備
• VLAN割当：ロール別にネットワークを分離

6-1-6. 追加の保護機能（効かせどころ）

• PMF：偽の切断フレーム対策として必須化
• ローミング最適化：802.11r/k/v を業務要件（VoIP等）に合わせて有効化
• クライアント分離：同一SSID間の横移動を禁止
• 帯域制御：ゲストやIoTに上限を設定

6-1-7. ゲストネットワークと分離設計

利便性と安全性を両立させます。

• SSID分離：社内用と来客用を分ける
• L3分離：VLAN＋ACLで内部資産への到達を遮断
• キャプティブポータル：同意取得や一時アカウントを運用に応じて併用

6-1-8. 鍵更新とタイマー（“古い鍵を使い続けない”）

• GTKリキー：定期的にグループキーを更新
• セッションタイムアウト：長過ぎない値で再認証を促す
• キー更新イベント：離脱者発生時は即時ローテーション

6-1-9. ログ・監視・アラート（見える化が強さになる）

• ログ集中：AP、RADIUS、コントローラ、DHCPを集約
• 可観測性：接続可否、失敗理由、ローミング指標を可視化
• WIDS/WIPS：不正APやDeauth検知をアラート化

6-1-10. 推奨設定のひな型（用途別の目安）

用途	認証モード	暗号	PMF	補足
家庭	WPA3-Personal（併用期はTransition）	AES/CCMP	必須	ゲストSSID分離、WPS無効、強PSK
小規模オフィス	当面PSK→段階的に802.1X	AES/CCMP	必須	退職者発生時にPSK即更新
中大規模	WPA3-Enterprise（EAP-TLS）	CCMP/GCMP	必須	VLAN割当、証明書自動配布

6-1-11. ありがちな落とし穴（避けたい設定）

• TKIPを残す：互換目的でも無効化が原則
• 隠しSSIDで安心と思う：安全性は向上しない
• トランジションを長期放置：WPA2依存端末の整理を先送りしない
• 古いIoTを同居：旧端末専用SSIDを作り、L3分離で影響を限定

6-1-12. 導入後の運用ルーティン（チェックリスト）

• 月次：ファーム更新確認、接続失敗ログの傾向分析、PSKの見直し
• 四半期：証明書の有効期限棚卸し、VLAN/ACLの到達テスト
• 半期：SSID設計の再評価、WPA3対応率の測定と移行計画の更新