ルーターの設定をWPA3専用に変えたら、スマートフォンはすぐつながったのに、スマートスピーカーとスマート電球だけ弾かれた。パスワードは合っていて、電波も届いている。この現象には明確な理由があります。WPA3は速度や電波強度とは無関係で、認証の仕組みそのものを刷新した規格だからです。

WPA3が変えるのは速度ではなく認証の仕組み

WPA2は「PSK（Pre-Shared Key）」方式を使います。ルーターとクライアントがあらかじめ共有した鍵をもとに認証を行う設計で、パスワードを知っていれば接続できます。

WPA3-Personalはこれを「SAE（Simultaneous Authentication of Equals）」に置き換えます。SAEはDiffie-Hellman鍵交換をベースにした方式で、通信の傍受から事後的にパスワードを解読する「オフライン辞書攻撃」への耐性が高まります。

WPA3には主に三つの形があります。個人や家庭向けの「WPA3-Personal」、企業向けの「WPA3-Enterprise」、そして公衆Wi-Fiなどパスワードなし環境向けの「Enhanced Open（OWE）」です。家庭のルーター設定で見かける「WPA3」はほぼWPA3-Personalを指し、Enhanced OpenはSSIDを分けて提供するものなので別物として扱います。

SAEとPMFが必須になると何が起きるか

WPA3の仕様では、SAEに加えて「PMF（Protected Management Frames）」が必須とされています。PMFはIEEE 802.11w規格に基づく機能で、接続や切断などの管理フレームを暗号化し、なりすましや強制切断攻撃を防ぎます。WPA2ではPMFは任意でしたが、WPA3では省略できません。

古いIoT機器やWi-Fiアダプターの多くはPMFに対応していません。ルーターをWPA3専用にすると、アクセスポイントはPMF対応を前提とした認証シーケンスのみを受け付けます。その結果、PMF非対応の機器はパスワードが正しくても認証を完了できず、接続を拒否されます。

パスワードの問題でも電波の問題でもなく、認証プロトコルの非互換が原因です。

WPA2-PersonalとWPA3-Personalの認証フローの比較

移行モードは同じSSIDで二種類の認証を並走させる

Wi-Fi Allianceの仕様にはWPA2/WPA3移行モード（Transition Mode）が定義されています。一つのアクセスポイントと一つのSSIDで、WPA3-SAEとWPA2-PSKの両方の認証を同時に受け付ける動作モードです。WPA3に対応したデバイスはSAEで認証し、対応していない古いデバイスはPSKで認証します。

同じSSIDでも別の認証です。

外から見ると一つのネットワークに見えますが、内部ではデバイスの能力に応じて認証経路が分岐しています。この設計を初めて知ったとき、同じ入り口で鍵の形を自動判別するような仕組みだと感じました。ユーザーが何も設定しなくても、対応機器は自動的に強い認証を使う点が興味深いところです。

Androidについては、バージョン10以降でWPA3-Personalのプラットフォームサポートが追加されています。ただし実際に使えるかはチップセットとファームウェアの対応に依存します。Appleはルーター設定の推奨として「WPA2/WPA3 Personal」モード、つまり移行モードを案内しており、iOSとmacOSの両方がSAEに対応しています。

移行モードにも制限があります。WPA2-PSKとの後方互換を保つため、アクセスポイントはビーコンフレームにWPA2の情報も含めて送信します。この状態では、WPA3専用モードと比べると攻撃対象となりうる認証経路が残ります。

セキュリティを最優先にするならWPA3専用が理想です。ただしすべての接続機器がWPA3に対応していることが前提になります。

WPA2/WPA3移行モードと専用モードで各端末がどう接続するかの比較図

設定変更の前に家庭内の機器を確認する

WPA3専用か移行モードかを選ぶ前に、ネットワークにつながっているすべての機器を確認することが先決です。スマートフォンやPCは比較的新しいものが多くWPA3対応の可能性が高いですが、数年前に購入したスマートスピーカー、ネットワークカメラ、スマート家電は非対応のケースがあります。各機器の仕様ページにWPA3またはIEEE 802.11wの記載があれば判断材料になります。

家庭内に旧端末が残る間は、WPA2/WPA3移行モードを使い、すべての端末を確認できた時点でWPA3専用へ切り替えるのが現実的です。

パスワードなし環境でのセキュリティ強化を検討する場合は、Enhanced Open（WPA3 OWE）が選択肢になります。ただしこれはWPA3-Personalとは別の機能で、公衆Wi-FiやゲストSSIDなど認証なしで開放するネットワーク向けの規格です。

WPA3の名が付いていても、家庭のメインSSIDとは用途が別の仕組みです。

出典

  • Wi-Fi Alliance — WPA3™ Specification Version 3.3 (2023)
  • IEEE 802.11w-2009 — Protected Management Frames
  • Android Developers — Wi-Fi WPA3 support (Android 10+)
  • Apple Support — Recommended settings for Wi-Fi routers and access points (HT202068)