パケットキャプチャ — 空中の手紙を、虫眼鏡で読む

Wi-Fiの電波は、部屋じゅうに手紙をばらまいているようなものです。宛先の人だけが拾う約束になっていますが、拾おうと思えば誰でも拾えます。ネットワークを流れるパケットをそのまま拾い集めて眺めることをパケットキャプチャと言い、その定番の道具が Wireshark です。

図1は、カフェのWi-Fiで隣の席の人の通信を拾ったという想定の画面です。「キャプチャ開始」を押して、流れてきたパケットを1行ずつクリックして虫眼鏡で覗いてみてください。右下の手帳に、分かってしまったことが書き込まれていきます。

パケットは、層ごとに開ける封筒

図1で行をクリックすると、中身が Ethernet → IP → TCP/UDP → HTTP と入れ子で開きます。外側の封筒ほど配達のための情報(どの機器から、どの住所へ、どの窓口へ)で、いちばん内側がアプリの本文です。Wiresharkはこの封筒を全部開けて、読める形に翻訳して見せてくれます。

表示フィルタに dns や http と入れると、その種類だけに絞れます。実際のキャプチャは1秒で数千行流れることもあるので、目的の手紙だけ拾い出すフィルタが Wireshark の使い方の中心になります。

暗号化で隠れるもの、隠れないもの

#6 の HTTP は暗号化されていないので、フォームに打ったパスワードがそのまま文字として流れています。一方 #10 の TLS(HTTPS) は本文が意味のないバイト列になっていて、何を送ったのかは読めません。

それでも手帳は空になりません。DNSの問い合わせ(#8)や、TLSの最初のあいさつに書かれる接続先の名前(#9 の SNI)、いつ・どれだけ送ったかは外から見えます。暗号化が守るのは手紙の中身で、封筒の宛名までは隠さないのです。

本来は、トラブルを調べる道具

ここまで盗み見の話をしてきましたが、パケットキャプチャの本来の用途は原因調査です。「つながらない」「遅い」と言われたとき、本当にパケットが出ているのか、返事が来ているのかを実際の通信で確かめられます。推測ではなく証拠を見るための道具です。

ただし、自分が管理していないネットワークで他人の通信を拾うことは、法律や規約で禁じられている場合があります。試すなら自分の機器と自分のネットワークで行ってください。

まとめ

電波やケーブルを流れるパケットは、拾おうと思えば拾えます。暗号化していなければパスワードも本文も丸見え、暗号化していても誰と・いつ・どれだけは残る。図1の手帳が最後まで埋まったなら、「HTTPSなら何も漏れない」が言いすぎだということも、もう分かっているはずです。