フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるか - Qiita

ゴールデンウィークのはじめ（4月29日）に投稿された以下のツイートですが、5月7日20時において、1,938.8万件の表示ということで、非常に注目されていることが分かります。 我が名はアシタカ！スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた。どうすればよい！ pic.twitter.com/e26L1Bj32Z — スタバでMacを開くエンジニア (@MacopeninSUTABA) April 29, 2023 これに対して、私は以下のようにツイートしましたが、 これ入社試験の問題にしようかな。『スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた』と言う事象に至る現実的にありえる脅威を説明せよ。結構難しいと思いますよ。 https://t.co/LH21zphCTV — 徳丸 浩 (@ockeghem) April

[ockeghem]

日記書いた

[punychan]

Qiitaにしてはまれに見る徳丸さんも納得なセキュリティ記事やなと読んでたら、本人だった。

[TakamoriTarou]

よく訓練された社畜だと、社内のクソシステム（笑）に調教されて、警告はデフォで無視するように調教されていたりするんだよなあ。だから、息をするように証明書警告を乗り越える可能性がある

[mohritaroh]

“ではどうすればよいか”以降は一般職スタッフに共有するにも便利そう

[k-6200]

フリーWiFiの盗聴とその対策について。そもそも「不特定多数の目に付く可能性のあるカフェ」の「フリーWiFi」で「機密情報」を扱っちゃう人間の方をどうしようか…

[irh_nishi]

「フリーWiFiであるかどうか」はセキュリティ上ほとんど関係無いんだよね。逆に「フリーWiFiじゃないから大丈夫」と思う人をどうにかした方がいい。ここに書いてあることはフリーWiFiかどうかに関わらず確認すべき事項。

[dollarss]

徳丸さん id:ockeghem が書いてくれる記事はプロにも有用なのでありがたい。

[quabbin]

「秘密情報ぜんぶ抜く大作戦スペシャル　スタバのFree Wifiで抜いてみた」/こうやって見てみると、全部抜くのはそれなりに難しくなってきているよなぁ…

[misomico]

一般的には難しいけど、脆弱性ある古いツールとかPCアップデート放置して使ってる人へは意外といける穴もある感じかな

[NOV1975]

問題の設定が元ツイート通り「全部抜かれた」だともう一段難しいよね。free wifi下で「抜かれるための下準備」が全部できてないと厳しい

[daishi_n]

偽DNSで抜くとしても証明書で警告は出るからCAチェーンの穴で引っ掛けられるかな

[tekitou-manga]

"重要度の高いサイトはブラウザのブックマークからアクセスする" 結構ggっちゃうたちなので、一度ちゃんとリスト化した方がよさそうだなぁ / "ネットワークプロファイルをパブリックに"ノートPCだと危ない人多そう

[l-_-ll]

"Windowsの場合、ネットワークプロファイルをパブリックに設定する"

[sisicom]

こういうしくみだったのね

[deep_one]

「ブラウザではなく専用アプリで利用したが、そのアプリに証明書検証を行わない脆弱性があった」これが利用者側からはわかりにくいんだよな。／セッション固定ってサイトの脆弱性にカウントされなかったっけ？

[tetzl]

やってみた動画の怖さが独特((((；ﾟДﾟ)))))))

[secseek]

こうやって考えてみるとフリーWi-Fiってイメージするほど危なくはないのかもしれませんね

[darupants]

[security]

[igrep]

さすが徳丸先生ありがたや。

[nilab]

フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるか - Qiita

[el-bronco]

Wifiの設定って難しすぎるよなぁ…

[nebos]

フリーWi-Fi利用の際に気を付ける事がまとめてある。ではどうすればよいか、の項を読むこと

[ginpei]

徳丸さん。中間者攻撃があってもブラウザーがちゃんと検出するのでエラーを強行突破しなければ基本的には安全そう。例外としてアプリやサーバー側の脆弱性との組み合わさせはあり得ると。

[tick2tack]

ちゃんとしたセキュリティ意識を持つのは大変だ

[qinmu]

徳丸浩氏。

[obesaburou]

理解が深まった

[hatomugicha]

闇雲にフリーWi-Fiを使わない理由は自動接続で野良Wi-Fiを仕掛けられるから何だけど悪魔の双子って呼ばれているのは知らんかった。けど施設側でWi-Fi必須にしているとこもあって使わざるを得ないから最近は消すのが面倒

[blueribbon]

・HTTPS接続していることを目視確認する ・TLS証明書のエラーを無視しない ・ソフトウェアを常に最新に保つ ・パスワードやクレジットカード番号の入力をする際は、フリーWi-Fiから切断する

[tailtame]

答え合わせありがたい🥰　『Windowsの場合、ネットワークプロファイルをパブリックに設定する』このへん改めて見るか https://twitter.com/ockeghem/status/1655387807601553409

[gnt]

解像度高いとはこういうこと / 「そもそもカフェで仕事すんな」って言ってるオジって「未成年はせっくす禁止！禁止ったら禁止！」って言ってる〇〇〇〇と同じだよね。

[you1]

そもそもスタバってアカウント作っての登録制な気がした。そのサイトさえフィッシングならさもありなん。

[BlueSkyDetector]

いちいち気を遣うのが面倒なので、常にVPN経由にして使ってる。

[miruto]

カフェで仕事しないのが一番の対策だろうけど、カフェで仕事をしたい場合は細心の注意を払わないといけない。

[ultimatebreak]

VPN使えないホテルはゴミ

[minamishinji]

勉強になった。

[teppeis]

要はゼロトラストと同じ議論なので、「フリーWiFiで秘密情報扱うべきじゃない」だけ言ってる人は逆に心配

[shikiarai]

VPNを強制しよう（思考停止）

[kkobayashi]

ちゃんとショルダーハッキングの話にも触れてて隙がない。。httpsとかVPNで暗号化されてたらフリーwifiそのものはそこまで脅威にならないんだよね

[Tiantian]

欲しかった情報。 東横INNのWi-Fiは各部屋でSSIDとパスワードが違うため安心。 (パスワードは変更される)

[tomono-blog]

フリーじゃなくてもwifiは危険性を無視できないって。

[zakinco]

ルータのDNS周りをクラックされてると。。。