6.3家庭用ルータの無線セキュリティ設定

無線LAN（Wi-Fi）は電波なので、有線と違って「近くにいる誰でも受信を試みられる」という前提で守る必要があります。家庭用ルータのセキュリティ設定は難しく見えますが、要点は「どの暗号化規格を選ぶか」と「鍵の配り方をどうするか」の2つです。この節では、無線暗号化の世代であるWPA/WPA2/WPA3の違い、家庭向けのPersonal（PSK）と企業向けのEnterprise（802.1X/RADIUS）という2つのモード、そして今も選択肢に残る古いWEPやWPA（TKIP）をなぜ避けるべきかを、「この環境ならどれを選ぶか」という基本判断として学びます。

6.3.1WPA/WPA2/WPA3の世代

• WPA2＝長く標準だった規格で、強力な暗号AES/CCMPを使う。現在も広く使われており、家庭用ルータの安全な最低ラインとして選んでよい。古いWPA（初代）が使うTKIPは既に弱く、非推奨。
• WPA3＝最新世代で、鍵交換にSAEを採用し、パスワードの推測攻撃に強い。さらにPMF（保護管理フレーム）が必須化され、より安全。対応機器がそろっているならWPA3を選ぶのが最善。
• 世代の強さは WPA（TKIP） < WPA2（AES） < WPA3（SAE） の順。古い端末が混在してWPA3に統一できない場合は、次善としてWPA2/WPA3混在（移行）モードを選び、少なくともWEPや初代WPAは使わない。

6.3.2PersonalとEnterprise

• Personal（PSK：事前共有鍵）＝1つの共通パスワード（事前共有鍵）を全員で使うモード。家庭や小規模オフィスに向き、設定が簡単。ただし鍵を知っている全員が接続でき、鍵が漏れたら全員分を変える必要がある。
• Enterprise（802.1X/RADIUS）＝利用者ごとに個別のID/パスワード（や証明書）で認証するモード。RADIUSサーバと連携し、802.1Xで一人ひとりを認証する。誰がいつ接続したか管理でき、退職者だけ無効化するなど個別制御ができるため、企業向き。

小さなカフェのオーナーから「店の無線がつながりにくいので新しいルータに買い替えた。セキュリティはどう設定すればいい？」と相談を受けたとします。まず暗号化規格の選択です。設定画面には WEP・WPA・WPA2・WPA3 が並んでいるかもしれませんが、WEPと初代WPA（TKIP）は既に破られており選んではいけません。スタッフとお客様の端末が新しめならばWPA3を、古い端末も混じるならWPA2（AES）、あるいはWPA2/WPA3の移行モードを選ぶのが妥当です。次にモードの選択です。カフェのように利用者を1人ずつ管理する必要がなく、共通パスワードで十分な小規模環境では、Personal（PSK）が適切です。ここで「大企業が使うEnterpriseの方が高機能だから店にも導入しよう」と考えるのは過剰で、EnterpriseはRADIUSサーバの用意と運用が必要になり、カフェには重すぎます。一方で、もし相談相手が「社員ごとにアクセスを記録し、退職者のアカウントだけ止めたい」中規模のオフィスであれば、802.1Xによる個別認証ができるEnterpriseが正解に変わります。このように、無線セキュリティの設定は「新しいほど良い（暗号化はWPA3寄り）」という軸と、「規模と管理要件で選ぶ（Personal か Enterprise か）」という軸の2つを分けて判断するのがコツです。そして共通して外せない原則が、WEPや初代WPA/TKIPという古い方式は、たとえ選択肢に残っていても使わない、という一点です。

6.3.3この節のまとめ

• 暗号の強さは WEP < WPA（TKIP） < WPA2（AES） < WPA3（SAE・PMF必須）。WEPと初代WPA/TKIPは非推奨で、WPA2以上を選ぶ
• Personal（PSK）は全員共通の事前共有鍵で家庭・SOHO向き、Enterprise（802.1X/RADIUS）は利用者ごとの認証で企業向き
• 選択は「暗号は新しい世代を（WPA3寄り）」と「規模で選ぶ（PersonalかEnterpriseか）」の2軸で分けて判断する