🛡️
中身はすでにHTTPSが守っている
まともなWebサイトとアプリのほぼすべてが、通信を端から端まで暗号化しています。パスワードもメッセージもカード番号もTLSの中を運ばれるので、カフェのWi-Fiの盗み見役に見えるのは暗号文であって、あなたのデータではありません。昔の脅威のその部分は、おおむね消えました。
ガイド
公衆Wi-Fiで本当に危ないもの
カフェで誰かが電波からパスワードを盗む——という定番の怖い話は、ほぼ過去のものです。ほとんどすべての接続の中身は、すでにHTTPSが暗号化しているからです。公衆Wi-Fiに残っているのは、もっと地味な脅威です。ドメイン名のような見えるメタデータ、偽のアクセスポイント、キャプティブポータル、そして同じネットワークを共有する他の端末たち。
🌍
それでもメタデータは漏れる
暗号化が隠すのは「何を話したか」であって、「誰と話したか」ではありません。DNSの名前解決とTLSハンドシェイク内のサーバー名から、どのサイトやサービスを使っているかが分かり、ネットワークの運営者やそこに陣取る者は、そのリストを収集できます。
🔑
ネットワーク自体が嘘をつける
カフェや空港の名前を付けたホットスポットは、誰でも飛ばせます。端末は見覚えのある名前の最も強い電波につながり、その瞬間から攻撃者があなたのゲートウェイです。パスワードの盗聴ではなく、これが現代の現実的な攻撃です。
公衆Wi-Fiは今でも危険なのか
言い伝えほどではなく、ゼロでもない、が答えです。10年前はWebの多くが非暗号化で動いていて、隅の席のノートPCが本当に電波からログイン情報を捕まえられました。今日、意味のある通信のほぼすべてはTLSに包まれています。銀行、メール、メッセンジャー、通販は、どのネットワークにいようと、端末とサーバーの間で中身を暗号化します。
生き残っているのは別の種類のリスクです。暗号化がカバーしないメタデータ、名乗りどおりではないアクセスポイント、個人情報を求めるポータルページ、そして見知らぬ人たちとローカルネットワークを共有しているという単純な事実。
ネットワークに今でも見えるもの：DNSとSNI
TLSは通信の中身を隠しますが、行き先は隠しません。端末がホスト名を引くとき、そのDNSクエリはネットワークから読めることが多く、TLS接続を開くとき、サーバー名はたいていハンドシェイクのSNIフィールドに平文で現れます。ホットスポットを運営する者、あるいは監視する者は、あなたが触れたすべてのサイトとアプリの、タイムスタンプ付きのきれいなリストを作れます。
ほとんどの人にとって、これは緊急事態というよりプライバシーの問題です。訪問ドメインのリストはあなたについて多くを語り、公共のネットワークでは、誰が何のためにそれを集めているのか知りようがありません。暗号化DNSは漏れを狭めますが、SNIまでは消せません。
これこそ、敵対的なネットワークでVPNが完全に塞ぐ唯一の穴です。トンネルの中では、DNSもハンドシェイクもホットスポットからは見えず、見えるのはあなたがVPNサーバーに接続しているという事実だけです。
偽ホットスポットと、そっくりネットワーク
今いるカフェ、ホテル、空港の名前を付けたWi-Fiを飛ばすことを、誰も止められません。端末は見覚えのある名前の最も強い電波に喜んでつながりますし、古いネットワークを記憶しているスマホは、あなたが何も触らなくても、そっくりさんに自動で再接続します。
攻撃者のアクセスポイントに乗った時点で、相手はあなたのゲートウェイです。DNSを割り当て、全パケットの経路を握り、本物そっくりの偽ページへ誘導しようと試みられます。きちんと保護されたサイトはTLSが守り続けます——なりすましがあればブラウザが大声で警告します——が、暗号化されていないもの、証明書エラーを無視するアプリ、そして攻撃者が出すページに入力したものは、すべてさらされます。
実際の防御は地味です。公共ネットワークへの自動接続をオフにする、使わなくなったホットスポットを削除する、そして公共ネットワーク上では証明書の警告を決して無視しない。
キャプティブポータルとログインページ
ホテルや空港のWi-Fiで最初に現れるページ——部屋番号、メールアドレス、SNSログインを求めてくるあれ——自体、疑ってかかる価値があります。ネットワーク運営者の権限で動いており、偽ホットスポットで真似るのも造作ありません。
ポータルには最小限だけ渡しましょう。入力が必須なら捨てメール、他で使っているパスワードは決して入れない、カード情報は絶対に入れない。無料Wi-Fiを提供するのに、ポータルが決済情報を求める正当な理由はありません。
実用上のメモをひとつ。VPNアプリは普通、ポータルを済ませるまで接続できません。ネットワークがそれ以外を全部ブロックしているからです。ポータルを済ませ、トンネルが張られたことを確認してから、機微なことに手を付けてください。Auroraのアプリは、ネットワークが通信を通し始めれば自動で再接続します。
ここでVPNができること、できないこと
公衆Wi-Fiにおいて、VPNはひとつの仕事を極めてうまくやります。ローカルネットワークを無関係にすることです。ホットスポットにも、その運営者にも、同じ電波の他の誰にも、見えるのはVPNサーバーへの1本の暗号化された流れだけ。DNSクエリもSNIも行き先もなく、誘導できるものもありません。WireGuardのようなプロトコルなら、バッテリーと速度のコストはわずかで、つけっぱなしが現実的です。
VPNがやらないことも同じくらい重要です。あなたが入力するポータルページの善し悪しは審査しませんし、ローカルサブネットにファイル共有をさらしている端末は守れませんし、フィッシングサイトを本物にもしません。VPNは、信頼の預け先を正体不明のホットスポットから自分で選んだ事業者へ移すものです——良い取引ですが、魔法ではありません。
公共ネットワークでの実践的な習慣
本当の防御のほとんどは、一度設定すれば済むいくつかの項目と、守り続ける2つの習慣から生まれます。専門知識は何も要りません。
設定が効くのは、公衆Wi-Fiでの攻撃が場当たり的だからです。無頓着な多数派がさらしているものを刈り取っているだけなのです。パッチの当たった端末が、何にも自動接続せず、ローカルに何も共有せず、通信をトンネルに通していれば、狙う価値のある標的ではなくなります。
- OSとブラウザを最新に保つ——現実の侵害の大半は、既知でパッチ済みのバグを突いている
- オープンネットワークへの自動接続をオフにし、古い保存済みホットスポットを定期的に削除する
- 自分の管理下にないネットワークでは、ファイル・プリンター・AirDrop系の共有を無効にする
- 公共ネットワークでは証明書の警告を決してクリックで突破しない
- キャプティブポータルには最小限のデータだけ。使い回しのパスワードとカード番号は絶対に入れない
- ポータルを済ませたらVPNをオンにし、セッションの間ずっとオンのままにする
よくある質問
カフェのWi-Fiでパスワードを盗まれることはありますか？
きちんと保護されたサイトなら、現実的にはありません。HTTPSがブラウザとサーバーの間でログイン情報を暗号化するので、盗み見役が捕まえられるのは暗号文です。現実的なリスクは別のところにあります。誘導された偽ページ、クリックで突破してしまった証明書の警告、暗号化していないアプリ。公共ネットワークでのブラウザのセキュリティ警告は、絶対に止まるべき赤信号として扱ってください。
HTTPSが守ってくれるなら、なぜ公衆Wi-FiでVPNを使うのですか？
HTTPSが隠すのは中身であって、行き先ではないからです。ホットスポットには、DNSとSNIを通じて、あなたが名前解決し接続するすべてのドメインが見えていますし、悪意あるゲートウェイは暗号化されていないものを何でも操作できます。VPNはそれら全部を1本の不透明な流れに包むので、ローカルネットワークは何も知ることができず、何も誘導できません。
偽ホットスポットとは何ですか？どう見分けますか？
攻撃者が、信頼できそうな名前——カフェ、空港、ホテル——を使って飛ばすネットワークです。見た目では区別できないことが多く、そこが狙いです。だから構造で守ります。自動接続を無効にする、古いネットワークを削除する、証明書の警告を決して迂回しない、そしてVPNをオンにしておく。敵対的なゲートウェイに見えるのはトンネルの通信だけになります。
ホテルのWi-Fiはカフェのオープンネットワークより安全ですか？
有意な差はありません。壁に貼られたパスワードで変わることはわずかです。建物中の全員が同じネットワークを共有し、運営者にはメタデータが見え、そっくりホットスポットも同じくらい簡単に立てられます。どこでも同じルールを。アップデート、共有オフ、ポータルには最小限のデータ、セッション中はVPNオン。
公衆Wi-Fiでのネットバンキングは避けるべきですか？
銀行のアプリとサイトは強力なTLSに独自の保護を重ねているので、接続そのものは十分に守られています。リスクはその周辺にあります。偽のポータルページ、そっくりネットワーク、のぞき見。端末を最新に保ちVPNをオンにしていれば、公衆Wi-Fiで残高を確認するのは十分に妥当な行為です。
VPNは同じWi-Fi上の他の端末から守ってくれますか？
部分的には。あなたの通信は彼らから完全に隠されるので、主要な露出は消えます。しかし、端末自体がローカルサブネットにサービスをさらしていれば——ファイル共有、開いたデバッグポート——隣人はそこへ直接届くかもしれません。だからこそ、信頼できないネットワークでの共有オフは、VPNの代わりではなく、VPNと並べて行うべきなのです。
あわせて読みたい
IPアドレスを隠す
IPアドレスを隠すには、通信を別のサーバー経由にして、Webサイトにあなたのアドレスではなくサーバーのアドレスを見せます。VPNは端末全体で、プロキシはアプリ1つで、Torは速度と引き換えに最大限の秘匿でこれを行います。IPを隠して変わるのはサイトに見えるものであって、あなたが誰かではありません。
ノーログとは
「ノーログ」が「何も記録しない」を意味することは、まずありません。普通はアクティビティログがない——訪問したサイトや転送したデータの記録がない——という意味です。接続メタデータ、診断情報、支払い記録は別のカテゴリで、その定義は事業者ごとに違います。どれが保存されるのかを教えてくれるのは、スローガンではなくプライバシーポリシーです。
VPNプロトコル
VPNプロトコルは、端末とサーバーが暗号化トンネルをどう組み立てるかの取り決めです。WireGuardは最速かつ最シンプル、OpenVPNは最も成熟して柔軟、IKEv2/IPsecはモバイルでのネットワーク切り替えに最も強く、TLS上のXray/VLESSはトンネルの通信を普通のHTTPSに見せかけます。それぞれ、強みと引き換えに何かを差し出しています。