MACアドレスフィルタリングは本当にWiFiを守れるのか？そのリスクと正しい活用法

MACアドレスフィルタリングは、賛否が分かれる機能のひとつです。「絶対に使うべき」と信じる人もいれば、「時間と手間の無駄だ」と切り捨てる人もいます。では、どちらが正解なのでしょうか？結論から言えば、目的によってどちらにもなり得ます。

残念ながら、この機能は「セキュリティ強化策」として宣伝されており、技術に詳しい人が努力すれば使える安全対策のように見られています。しかし実際には、追加のセキュリティはほとんど提供せず、むしろWiFiネットワークをかえって危険にさらす可能性さえあるのです。詳細については後ほど説明します。

ただし、まったく役に立たないわけではありません。MACアドレスフィルタリングには正当な用途もあります。ただし、それはセキュリティの向上ではなく、あくまで管理ツールとしての活用です。例えば、子供が特定の時間帯にインターネットへアクセスできないよう制限したり、ネットワークに接続するデバイスを手動で登録して監視したりする用途に向いています。

なぜMACアドレスフィルタリングではネットワークは安全にならないのか

この機能がセキュリティ向上につながらない最大の理由は、MACアドレスの「なりすまし（スプーフィング）」が非常に簡単だからです。専用ツールが容易に入手できるため、ハッカーは特別な専門家だけではありません。誰でもネットワーク上のMACアドレスを特定し、自分のコンピュータにそのアドレスを偽装できてしまいます。

「ネットワークに接続できなければ、どうやってMACアドレスを知るのだろう？」と思うかもしれません。実は、これこそがWiFiの根本的な弱点です。WPA2で暗号化されたネットワークでも、パケット内のMACアドレス部分は暗号化されていません。つまり、電波が届く範囲にいれば、パケット解析（スニッフィング）ソフトとワイヤレスカードを持っているだけで、ルーターと通信中のすべてのデバイスのMACアドレスを簡単に取得できるのです。

通信内容そのものは見えませんが、攻撃者は暗号を解読しなくてもネットワークへ侵入できます。MACアドレスを手に入れた攻撃者は、それを偽装したうえで「ディソシエーションパケット」と呼ばれる特殊なパケットをルーターに送信し、あなたのデバイスをネットワークから強制的に切断できるからです。

その後、攻撃者のデバイスはあなたの有効なMACアドレスを使ってルーターへの接続を試みます。すると、ルーター側はそれを「信頼されたデバイス」として受け入れてしまいます。これこそが、冒頭で「この機能はネットワークをかえって危険にする」と述べた理由です。ハッカーは面倒なWPA2パスワードの解読を一切せずに済み、「信頼されたコンピュータになりすます」だけで侵入できてしまうからです。

しかも、これはコンピュータの知識がほとんどない人でも実行可能です。「Kali Linux WiFi ハッキング」などと検索すれば、隣人のWiFiに数分で侵入する方法を解説したチュートリアルが大量に見つかるでしょう。

本当に安全を保つための最善策

前述のようなハッキングツールは確かに機能します。ただし、WPA2暗号化と十分に長いWiFiパスワードを組み合わせていれば、そう簡単には突破されません。短く単純なパスワードは絶対に避けてください。こうしたツールが行うのは、基本的に総当たり攻撃（ブルートフォースアタック）だからです。

総当たり攻撃では、攻撃者は暗号化されたパスワードをキャプチャし、高性能マシンと巨大なパスワード辞書を使って解読を試みます。パスワードが堅牢であれば、解読には数年かかることもあります。また、暗号化方式は必ず「WPA2-AESのみ」を選択してください。「WPA(TKIP)＋WPA2(AES)」の混合モードは安全性が大幅に低下するため避けるべきです。

一方、MACアドレスフィルタリングが有効になっていると、ハッカーはこうした手間をすべて省略できます。MACアドレスを取得して偽装し、あなたやネットワーク上の別のデバイスをルーターから切断し、自由に接続するだけです。一度侵入されれば、ネットワーク上のあらゆるデータにアクセスされ、深刻な被害を受ける恐れがあります。

代わりに使える他の対策

とはいえ、「うちのネットワークに誰が接続するかを制御したい」というニーズは依然としてありますよね。確かに一理あります。しかし、外部の人間のアクセスをコントロールしたいのであれば、より良い解決策はゲスト用WiFiネットワークを利用することです。

最近のルーターのほとんどにはゲストWiFi機能が搭載されており、他人にインターネット接続を許可しながら、自宅ネットワーク内のデバイスやファイルは見えないようにできます。もしルーターが対応していなければ、安価なルーターをもう1台購入して既存ネットワークに接続し、別のパスワードと別のIPアドレス帯域を設定する方法もあります。

さらに注意すべき点として、「SSIDブロードキャストを無効にする」といったWiFiセキュリティ強化策も、実はネットワークをより安全にするどころか、かえって危険にする場合があることです。静的IPアドレスの割り当ても同様です。ハッカーがネットワークのIPアドレス帯域を特定できれば、割り当て済みかどうかにかかわらず、その範囲内の任意のアドレスを使用できてしまいます。

MACアドレスフィルタリングの適切な用途と、抱くべき期待値について理解が深まったでしょうか。もし異なる意見があれば、ぜひコメント欄でお聞かせください。