無線LANの暗号化（WPA2・WPA3）とは？むせんらんのあんごうか
無線LANの暗号化（WPA2・WPA3）とは、無線区間の盗聴・改ざんを防ぐための暗号化方式で、WPA2はAES-CCMP、WPA3はAES-CCMPに加えてSAE（Simultaneous Authentication of Equals）による鍵交換を採用する。WPA2パーソナルの4ウェイハンドシェイクは事前共有鍵（PSK）から導出した値をやり取りするため、ハンドシェイクを捕捉できればオフラインで辞書攻撃をかけられる。WPA3のSAEはパスワードを直接検証に使わない鍵交換で、1回の試行につき1回しか推測できずオフライン総当たりが成立しない。加えて前方秘匿性（鍵が漏れても過去の通信は復号できない）を持つ。運用上の分岐は暗号強度ではなく認証方式で、パーソナル（PSK）は鍵が全端末共通なので個別失効ができず、エンタープライズはIEEE 802.1X／EAPとRADIUSサーバでユーザ単位に認証・失効できる。移行期のWPA3移行モード（WPA2/WPA3混在）はダウングレードの余地が残る点まで押さえる。
最終更新：2026-10-06
応用情報を最短で暗記・合格する →背景
WPA2は10年以上にわたり標準として機能したが、パーソナルモードの弱点は暗号アルゴリズムではなく鍵導出にあった。4ウェイハンドシェイクを一度捕捉すれば、あとは攻撃者の手元で好きなだけパスワードを試せる——つまり通信を止めなくても、電波を録るだけで攻撃が成立する構造だった。WPA3のSAEは、この「オフラインで検証できてしまう」性質そのものを潰すために設計されている。もう一方の系譜が認証で、PSKは配布が簡単な代わりに個別失効ができないという商習慣上の制約から生まれた妥協であり、組織規模が一定を超えると802.1Xへ移らざるを得ない。試験は暗号方式の年表ではなく、この2軸のどちらを問うているかを読ませてくる。
具体例
シスコのMerakiやHPEのArubaは、WPA2/WPA3エンタープライズでRADIUS連携する構成を製品ドキュメントで公開している。認証基盤をMicrosoft Entra IDやActive Directoryへ寄せておけば、退職処理と同時に無線の接続権も失効する。逆にPSK運用のままだと退職者が1人出るたびに全端末の再設定が要り、この鍵の配布・失効コストがエンタープライズを選ぶ実務上の理由になる。
試験での引っ掛け
記述式で問われるのは「なぜWPA3か」ではなく「なぜエンタープライズか」の切り分け。暗号強度（CCMP／SAE）と認証方式（PSK／802.1X）は別の軸で、WPA3にしても事前共有鍵のままなら個別失効はできない。ここを混ぜて答えると減点される。もう一つ、SAEの効能は「オフライン辞書攻撃を成立させないこと」であって、パスワードを弱くしてよいという意味ではない。境界として、WPA2-EnterpriseとWPA3-Enterpriseの差は主に192ビットモードの有無であり、ユーザ単位認証そのものはWPA2でも実現できる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。