【スポンサーリンク】

本当にVPNじゃないと危ないの?(スマホ用の必要性)

この項目は、随時追記します。なにかのヒントになれば嬉しいです。

  • 社外から社内システムやクラウドサービスにリモートアクセスするなら、VPNは必要。
  • 個人なら、公衆Wi-Fiを利用したいなら、そのセキュリティのために有効。
    そうでなければ、あまり必要はない。

セキュリティを重視する人は、大抵は公衆Wi-Fiを利用しないように心がけていることが多いので、セキュリティ対策としてVPNが必要なケースはあまりないです。

\記事が役に立ったらシェアしてね/
【スポンサーリンク】

VPNを勧められたけど……

携帯ショップにスマートフォンの買い替えに言ったら、「セキュリティのため」とVPNの月額サービスを勧められました。

VPNと言えば、リモートワークなどで仕事用のパソコンに入れる、というのは聞いたことがありますが、個人のスマートフォンでは必要ですか?

スマートフォン用のセキュリティアプリでは、「抱き合わせ」になってVPN機能が提供されていることがあります。
しかし、個人のスマートフォンの場合、VPN機能は必要というわけではありません。

たとえば、リモートワークで社内システムにアクセスしたり、公共Wi-Fiをよく利用したり、ネット制限のある国などに行ったりする場合にはVPNは有効です。
しかし、主に自宅のWi-Fiやモバイルデータ通信を使用している場合には、あまり必要ありません。

かえって通信速度が遅くなったり、一部のアプリが正常に機能しなくなることもあって注意が必要です。

しかも、VPNサービスは、通常 月額料金が必要です。
無料のVPNサービスもありますが、アクセス情報を提供する規約になっていることが多く、プライバシー保護という点では本末転倒です。

月額課金サービスには、肯定的な情報や製品紹介が氾濫しているのはどうしてなんだろう。

VPNの利用例(リモートワーク)

会社員のAさんが自宅から会社のネットワークにリモートアクセスして仕事をする場合を考えてみましょう。

VPNを利用すると、自宅のパソコンと会社のVPNサーバーの間に、インターネット上に仮想的な専用トンネルが作られます。
このトンネルの中を通るデータは全て暗号化されるため、第三者から覗き見られる心配がありません。

「VPN」とは?(IPsec) – スマホ教室ちいラボ

Aさんが自宅のパソコンから社内ネットワークにアクセスする際、まず VPNクライアントソフトを使ってVPNサーバーに接続します。

すると、自宅のパソコンには、あたかも社内ネットワークに直接つながっているかのようなIPアドレスが割り当てられます。
これにより、Aさんは社内のファイルサーバーやイントラネットにアクセスできるようになります。

このように、VPNを利用することで、インターネット上に安全な専用ネットワークを構築し、セキュリティを確保しながらリモートワークを行うことができます。
この仕組みにより、場所を問わずに社内リソースにアクセスできるようになり、柔軟な働き方が実現できるのです。

ちなみに

企業向けのVPNサーバは、以下のような企業が提供しています。

Cisco Systemsや Juniper Networksなどのネットワーク機器メーカーやNTTコミュニケーションズ、KDDIなどの通信事業者。
Check Point Software Technologiesなどのセキュリティソフトウェア企業。
Amazon Web Services (AWS)、Microsoft Azure、Google Cloud Platformなどのクラウドサービスプロバイダー。

VPNの利用例(公衆Wi-Fi)

インターネットVPNは、リモートアクセスを主な目的としています。
しかし、同時に公衆Wi-Fiのセキュリティ対策としても利用されることがあります。

この理由は、インターネットVPNの基本的な機能が、通信データの暗号化と IPアドレスの隠蔽だからです。

たとえば、スマートフォンユーザーのBさんが、カフェで公衆Wi-Fiを使ってインターネットに接続するとします。

公衆Wi-Fiは便利ですが、セキュリティ面では不安が残ります。
通信が暗号化されていない場合、悪意のある第三者が通信内容を盗み見たり、大切な個人情報を抜き取ったりする可能性もあります。

パスワード保護なしのWi-Fi アクセスポイントに繋いでしまった場合のリスクは?

そこで、Bさんは公衆Wi-Fiに接続する前にスマートフォンにインストールしたVPNアプリを起動します。

VPNアプリは、スマートフォンとVPN提供会社のVPNサーバーとの間に暗号化されたトンネルを作ります。
これにより、スマートフォンから発信される全てのデータは、VPNサーバーを経由してインターネットに送信されます。
また、BさんのスマートフォンのIPアドレスは、接続先から見るとVPNサーバーのIPアドレスに置き換えられます。

たとえば、Bさんがインターネットバンキングにアクセスする場合、スマートフォンとインターネットバンキングのサーバー間の通信は全てVPNトンネルを通過します。
公衆Wi-Fiを監視している第三者がいても、暗号化された通信内容は読み取られません。

VPNサービスプロバイダー

ノートンセキュアVPNなど、セキュリティアプリにはVPN機能が追加されていることが多いです。

また、個人向けの大手VPNサービスプロバイダーとしては、NordVPN、ExpressVPN、ProtonVPNなどがあります。

VPNとは?(インターネットVPNとIP-VPNの違い)

VPN」とは、データの送受信時にデータを暗号化し、安全性を向上させます。
主に仕事で社内システムにリモートアクセスするとき、途中経路で機密データを傍受されないようにするためのセキュリティです。

コロナ禍以降 テレワークが一般的になって、VPNという言葉を目にすることも増えたよね。

しかし、まず大前提として「インターネットVPN」と「IP-VPN」の違いを整理しておきます。
技術的な仕組みや特徴が大きく異なるため、単に「VPN」と一括りにすると誤解が生じやすいからです。

ざっくり言うと、IP-VPNは企業や組織が使う業務用で、インターネットVPNはより個人ユーザー向けです。

Virtual Private Network」は「仮想専用網」と訳されます。
しかし、「仮想的な専用ネットワーク」を構築するというのは、企業の拠点間通信で使われる「IP-VPN」のイメージに近いです。

スマートフォンやパソコンで関係するのは、「インターネットVPN」の方。
こちらは、「暗号通信」と考えた方が実態に近いです。

比較項目インターネットVPNIP-VPN
用途リモートアクセス,
小規模な拠点間通信
大規模な拠点間通信,
高品質な通信が必要な場合
導入の容易さ比較的容易に導入可能通信事業者との契約が必要で高コスト
ネットワークインターネット網を利用通信事業者の閉域IP網を利用
セキュリティ暗号化により通信を保護
(IPSec, SSL/TLS)
閉域網により高いセキュリティを実現

プライベートネットワークを仮想化する

まずは、VPNから「仮想」と除いたものである、
プライベートネットワーク」を考えてみます。

身近なプライベートネットワークといえば、「LAN(ローカル・エリア・ネットワーク)」があります。
職場内のパソコンやプリンタ、データサーバーなど共用するために、ネットワークでつなぎます。
また、外部からは利用できないように制限しています。

しかし、企業活動ではもっと広い範囲でデータを共有したいケースがあります。
たとえば、店舗がたくさんある場合、各店舗のデータを集計したり、顧客データを一元管理する必要があるからです。
ケーブル(専用線)を伸ばして全ての店舗同士をつなげば可能ですが、実際に敷設・管理するのは大変です。

IP-VPNとは?

プライベートネットワークを広範囲に設置するのは費用がかかります。
他方、既存のインターネット回線を使うなら安上がりですが、今度は不正アクセスが心配です。

そんなときの折衷案が「IP-VPN」です。

IP-VPN」は、通信事業者が提供する閉域のIP網を使ってネットワークを構築します。

インターネットから隔離された専用のネットワークを使うため、高いセキュリティと安定した通信品質を実現でき、複数拠点間の通信や大容量データの送受信に適しています。

通信事業者の持つ「でっかいLANみたいなもの」につなぐんだね。

接続するにはお金がかかる

IP-VPNサービスを利用する場合、
 まず通信事業者の提供する IP-VPN に接続し、
 それを経由して目的の機器(社内システム)につなぐ、
という流れになります。

IP-VPNに接続するには、各拠点に専用線の敷設工事やVPN装置の設置などが必要になります。

  1. 専用線接続:
    専用線を利用して企業の拠点とIP-VPNを接続する
  2. インターネット接続:
    インターネットを介してIP-VPNに接続する
    セキュリティを確保するためにVPN装置が必要
  3. モバイル接続:
    携帯電話網を利用してIP-VPNに接続する
    モバイルVPN装置やSIMカードの設定が必要

IP-VPNはもともと拠点間接続を主目的として設計されています。
リモートアクセスにはコスト面で適しません。

物理的に共有しているが論理的に分離されている(仮想)

閉域IP網は、物理的には複数の企業で通信事業者が提供するインフラを共有しています。
しかし、アクセス制御・暗号化、ルーティング設定などによって各企業のネットワークは論理的に分離されています。

つまり、完全に「自社だけのネットワーク」というわけではないものの、実質的(virtual)には「専用のネットワーク」といえるわけです。
これが「VPN仮想プライベートネットワーク」です。

インターネットVPN

もう少し安価な選択肢として、「インターネットVPN」があります。

公共のインターネット回線を利用するため、IP-VPNに比べてコストを低くできます。
ただし、セキュリティは主に暗号化技術に依存しています。
不特定多数の端末と物理的に分離されているわけではないことには注意が必要です。

通常 個人が利用する「VPN」といえば、「インターネットVPN」のことです。

まず、インターネットを経由して社内システムに(安全に)接続できるようにします。

このときに機密情報を保護するため、
接続の許可は「ファイアーウォール」で管理し、
やり取りするデータは「インターネットVPN」で暗号化します。

インターネットは本質的にオープンなネットワークです。
インターネットVPNを使用しないとデータが平文で送信され、途中経路で悪意のある第三者に傍受されるリスクがあるからです。

インターネットVPNの仕組み

インターネットVPNは、公共のインターネットを利用して安全な通信を実現する技術です。

  1. パケットのカプセル化:
    VPNクライアント(例:スマートフォンやPC)は、
    送信するデータをIPパケットに分割し、
    それを別のIPパケットで包み込みます。
  2. データの暗号化:
    たとえパケットが傍受されても内容が読み取れないように、
    カプセル化されたパケットを暗号化します。
    この部分がインターネットVPNのセキュリティの要。
    IPsecやSSL/TLSなどの暗号化プロトコルによる。
  3. 認証:
    パケットの完全性と送信元の正当性が確保するため、
    暗号化されたパケットに認証ヘッダを追加します。
  4. トンネリング:
    カプセル化、暗号化、認証されたパケットは、インターネット上でVPNサーバーに向けて送信されます。
    この過程は「トンネリング」と呼ばれます。
    公共のインターネット上に仮想的な専用通信路(トンネル)を作り出しているわけです。
  5. VPNサーバーでの処理:
    VPNサーバーでパケットが復号化、認証、デカプセル化されます。

インターネットVPNの接続用アプリ

インターネットVPNを利用するには、社内にVPN機器の設置が必要です。

社内オフィスに設置するもの:
  • VPN対応ルーター・ファイアウォール:
    インターネットVPNを終端する役割。
    インターネットからのVPN接続を受け付け暗号化通信を行うために、インターネットと社内ネットワークの境界に設置される。
  • ユーザー認証基盤:
    RADIUSサーバーなどでVPNに接続できるユーザーを管理し、不正アクセスを防ぐ。
  • ネットワーク設定の変更:
    VPN対応ルーター・ファイアウォールを社内ネットワークに接続するために、ルーティングテーブルやアクセス制御リスト(ACL)の設定をする。

一方、リモートアクセス用のパソコンの方は、「VPNクライアントソフトウェア」を入れます。
つまり、接続用アプリをインストールして設定しておけば、インターネットを介してVPNサーバーに接続し、社内ネットワークにリモートアクセスできます。

つながりにくくなることもある

また、VPNにもデメリットがあります。
VPNサーバーの処理能力によっては、通信速度が低下する可能性があります。
また、一部のアプリやサービスでは、VPNを利用すると正常に動作しない場合があります。

さらに、特に無料のVPNサービスの中には、ユーザーの個人情報を収集しているものもあるため、信頼できるサービスを選ぶ必要があります。

個人、仕事でのVPNの必要性の違い

多くの企業では、セキュリティ対策としてVPNの利用を義務付けています。

特に、機密情報を扱う場合や、リモートワークを行う際には、VPNは欠かせません。
会社が指定するVPNサービスを利用することで、安全に社内ネットワークにアクセスできます。

企業の場合には、インターネットVPNを導入する理由があります。

  1. 社外からのアクセスを安全にする:
    社員が出張先やテレワークなどで社外から社内ネットワークにアクセスする際、VPNを使うことで通信を暗号化し、安全性を確保します。
  2. 機密情報の保護:
    社内の機密データへのアクセスを、VPNを通じて行うことで、データの漏洩リスクを減らします。
  3. マルウェアの侵入防止:
    VPNは、社内ネットワークとインターネットの間に一種の防御壁を作ります。
  4. コンプライアンスの遵守:
    業界によっては、データ保護に関する規制(HIPAA、GDPR等)の遵守が求められます。
    VPNの使用は、これらの規制への準拠を助けます。

個人用のスマートフォンの場合は?

個人用のスマートフォンでは、VPNを常時利用する必要性は高くないと言えます。
自宅や職場のWi-Fiなど、安全性の高い回線を利用する場合は、VPNを使わなくても問題ないからです。

以下のような場合は、VPNを使わなくても問題ありません。

  1. 自宅のWi-Fiを使っている場合:
    自宅のWi-Fiは、適切にセキュリティ設定されていれば、VPNを使わなくても安全です。
  2. モバイルデータ通信を使っている場合:
    携帯キャリアのデータ通信(4Gや5Gなど)は、暗号化されており、比較的安全です。
  3. 信頼できるWi-Fiを使っている場合:
    職場のWi-Fiなど、セキュリティ管理がしっかりしているWi-Fiを使う場合は、VPNを使う必要性は低いです。

一方、カフェやホテルなどの公衆Wi-Fiを利用する場合は、VPNを使うことで安全性を高めることができます。

  1. 公衆無線LANを使う場合:
    カフェ、空港、ホテルなどの公衆無線LANは、セキュリティが脆弱な場合があります。
  2. 地理的制限のあるコンテンツにアクセスする場合:
    VPNを使えば、自分の位置情報を隠して、他の国や地域向けのコンテンツにアクセスできる場合があります。
  3. プライバシーを重視する場合:
    VPNを使えば、インターネット接続プロバイダ(ISP)などから自分のオンライン活動を隠すことができます。

ただし、VPNを使うと、インターネット接続速度が低下する可能性があります。
また、スマートフォンのバッテリー消費が速くなる可能性もあります。

特に暗号化されていない公衆Wi-Fiでは、VPNは強力な予防策となります。

HTTPS、Wi-Fiの暗号化があれば十分

HTTPSのセキュリティ保護があるサイトならVPNは不要なのでは?

確かに、信頼できるHTTPSサイトを閲覧する分には、VPNは必要ありません。
通信内容はTLS/SSLによって暗号化されているからです。

公衆Wi-FiとVPN

ただし、HTTPSは強力なセキュリティ対策ですが、万能ではありません。
状況によってはVPNを併用することで、より高いレベルのセキュリティを確保できます。

その代表例は、公衆Wi-Fiです。

インターネットVPNを利用することで、公衆Wi-Fiのセキュリティリスクを大幅に軽減できます。

  1. 通信データの暗号化:
    インターネットVPNは、利用者のデバイスとVPNサーバーの間の通信を暗号化します。
    これにより、公衆Wi-Fi上での通信データの盗聴を防ぐことができます。
  2. IPアドレスの隠蔽:
    インターネットVPNを利用すると、利用者のデバイスのIPアドレスがVPNサーバーのIPアドレスに置き換えられます。
    これにより、利用者の物理的な位置を隠すことができ、プライバシー保護につながります。

それなら、HTTPSのセキュリティ保護があるサイトでセキュリティ保護のあるWi-Fiを利用しているならVPNは不要ということでよい?

その通りです。
HTTPSで保護されたサイトに、セキュリティの適切に設定されたWi-Fiを通じてアクセスするなら、VPNを使う必要性は低いと言えます。

  1. 訪問するWebサイトがHTTPSを使用している。
  2. Wi-Fiネットワークが暗号化されている(WPA2またはWPA3)。
  3. Wi-Fiのパスワードが適切に管理されている。
  4. Wi-Fiルーターのファームウェアが最新の状態に保たれている。

このような環境なら、通信の傍受や改ざんのリスクは非常に低くなります。

それでもVPNを使う理由

それ以外に特別な理由でVPNを使うこともあります。

  1. 通信元のIPアドレスを隠す必要がある場合。
  2. 訪問するサイトの信頼性が不明な場合。
  3. 企業の機密情報などを扱う場合。
    セキュリティポリシーでVPNの使用が義務付けられている場合。

VPNとTLS/SSLを組み合わせると、次のような効果があります:

  1. 二重の暗号化:
    VPNによってIPパケット全体が暗号化され、さらにTLS/SSLによって個々のアプリケーション層の通信が暗号化されます。
  2. 広範囲な保護:
    VPNは、TLS/SSLに対応していないアプリケーションやプロトコルの通信も保護します。
  3. 接続先サーバーの信頼性:
    HTTPSは、通信内容を暗号化しますが、接続先のサーバーが信頼できるかどうかまでは保証しません。
    フィッシングサイトなど、悪意のあるサイトもHTTPSを使っている可能性があります。
  4. 通信元の秘匿:
    HTTPSは通信内容を暗号化しますが、通信元(IPアドレス)は隠しません。
    VPNを使えば、接続元のIPアドレスを隠すことができます。
  5. アプリケーションレベルの保護:
    ブラウザ以外のアプリケーション(メールクライアントなど)では、TLS/SSLが使われていない場合があります。
    VPNなら、アプリケーションに依存せず、全ての通信を保護できます。
TLS/SSL

TLS/SSL(Transport Layer Security/Secure Sockets Layer)は、主にWebブラウザとWebサーバー間の通信を暗号化するためのプロトコルです。
TLS/SSLは、トランスポート層(OSI参照モデルの第4層)で動作し、HTTP、SMTP、FTPなどの上位プロトコルに対してセキュリティを提供します。

具体的には、WebサイトのURLが「https://」で始まる場合、そのサイトはTLS/SSLで保護されています。

【結論】リモートワークなら必要だけど個人用なら任意でよい

個人用と仕事用でVPNの必要性に違いが生じる本質的な理由は、リスクの性質と影響範囲の違いにあります。
仕事の場合、VPNを使わないことによるリスクは、個人だけでなく組織全体に及ぶ可能性があるからです。

企業の機密情報が漏洩した場合、その企業の競争力に直接影響を与える可能性があります。
また、顧客の個人情報が漏洩した場合、企業の信頼性が大きく損なわれ、法的責任を問われる可能性もあります。
これらのリスクは、企業の存続にも関わる重大な問題になり得ます。

また、企業の場合、社員が取り扱う情報の機密性や重要性が高いことが多いです。
業務上の通信には、営業秘密、財務情報、顧客データなどの極めて重要な情報が含まれています。
これらの情報を保護することは、企業にとって最優先の課題です。

VPNは、こうした重要情報を安全に取り扱うための必須ツールと言えます。

さらに、企業の場合、法令遵守(コンプライアンス)の観点からもVPNの使用が求められることがあります。
個人情報保護法や業界固有の規制によっては、データ保護のために一定レベルのセキュリティ対策を義務付けていることがあります。
VPNの使用は、こうした規制への対応としても重要です。

以上のように、個人と企業では、情報の性質、リスクの影響範囲、法的責任などが大きく異なります。
このため、VPNの必要性についても、個人と企業で大きな違いが生じるのです。

個人の場合は状況に応じてVPNを使えば十分ですが、企業の場合は、セキュリティ、コンプライアンス、リスク管理の観点から、VPNの使用が不可欠だと言えるでしょう。

こちらもどうぞ。
「VPN」とは?(IPsec)
「VPN」は、インターネット通信を暗号化するための仕組みです。 ざっくり言うと、公衆 Wi-Fi からインターネットにアクセスするときに、途中経路で情報漏えいすることを防ぎます。 「テレワーク」で、社外から社内システムにアクセスするときには、通信の暗号化が必要になります。 インターネットは「開かれた通信網」 「VPN」っていう言葉を見かけるんだけど、なんなのかな?インターネットのセキュリティで、必...

家庭用Wi-Fiルーターの一般的な耐用年数は5年ほど
家庭用Wi-Fiルーターの一般的な耐用年数は、おおよそ5年ほどと言われています。 ハードウェアもファームウェア(内部システム)も経年によって問題が出てくるからです。 実際には10年以上利用している家庭も多いです。とはいえ、徐々に「インターネットに接続できない」という不調が多くなります。 熱や衝撃による経年劣化 まず、イメージしやすいのはハード面。 長期間のルーターを使っていると、発熱によって内部部...


FWとVPNを一体化させる利点・欠点(UTM)
ファイアウォールにVPN機能を組み込むことは、一見便利ですが問題もあります。 ファイアウォールとVPNを分けて、それぞれに特化したシステムを使った方が管理しやすいことも多いのです。 特に、大規模な組織やクラウドサービスを主に使う場合、UTM(統合脅威管理)は適していません。 「Keep It Simple and Stupid」ということかぁ。 外部から社内システムにリモートアクセスするより、直接...

QRコードを読み込むと、関連記事を確認できます。

本当にVPNじゃないと危ないの?(スマホ用の必要性)
【スポンサーリンク】
タイトルとURLをコピーしました