正解：ウ
各選択肢の解説
アアクセスポイントのSSIDを通知しない設定（ステルス）にして、周囲から見えにくくする。
誤り。SSIDを通知しなくても、端末が接続するときのやり取りには電波が出ており、 傍受はできます。見えにくくするだけで、記録からパスフレーズを割り出されることは防げません。
イ登録した端末のMACアドレスからだけ、アクセスポイントへの接続を許可する。
誤り。MACアドレスフィルタリングは接続できる端末を絞る仕組みで、MACアドレスは偽装できます。 正規の端末の接続を傍受されれば、パスフレーズを割り出されるおそれも変わりません。
ウWPA3-Personalに切り替え、SAEという方式で接続時の鍵の交換を行わせる。
正解。WPA3-PersonalのSAEでは、傍受した記録を持ち帰ってもパスフレーズを試せません。 推測を1回試すたびにアクセスポイントとのやり取りが必要になり、総当たりが難しくなります。
エWPA2-Personalのまま、データの暗号化の方式をTKIPからAES（CCMP）に変更する。
誤り。AESにすると接続後のデータの暗号化は強くなりますが、接続時の鍵の確認の手順は WPA2-Personalのままです。傍受した記録からパスフレーズを試せる弱点は残ります。
理解を深めるために
合言葉の確かめ方を、持ち帰って試せない形に変える
WPA2-Personalでは、端末とアクセスポイントが接続時に交わすやり取りに、共通のパスフレーズから 作った値が含まれます。これを傍受して持ち帰ると、攻撃者は自分のコンピュータで候補を次々に当てはめ、 相手に気づかれずに何度でも試せます（オフライン辞書攻撃）。 WPA3-Personalは、この確かめ方そのものを変えた規格です。
なぜWPA3-Personalで防げるのか
- SAE（Simultaneous Authentication of Equals）: WPA3-Personalが使う接続時の鍵の交換の方式。 やり取りを傍受しても、その記録だけでパスフレーズを試すことはできない
- 推測を試すには、1回ごとにアクセスポイントと実際にやり取りする必要があるので、 総当たりに時間がかかり、アクセスポイント側で異常にも気づける
- 接続ごとに別の鍵が作られるので、後でパスフレーズが漏れても、 過去に記録された通信をさかのぼって解読されにくい（前方秘匿性）
なお、WPA2とWPA3の両方を受け付ける移行モードでは、WPA2で接続する端末の通信には 従来の弱点が残ります。
混同しやすいものとの違い
| 対策 | 何が変わるか |
|---|---|
| WPA3-Personal（SAE） | 傍受した記録からパスフレーズを試せなくなる |
| SSIDステルス | 一覧に出なくなるだけ。接続時の電波は傍受できる |
| MACアドレスフィルタリング | 接続できる端末を絞る。偽装でき、傍受は防げない |
| TKIPからAES（CCMP）へ | 接続後のデータの暗号化が強くなる。接続時の確認の手順は同じ |
試験では、指摘された弱点が「接続時の確かめ方」なのか「接続後のデータの暗号化」なのか 「誰が接続できるか」なのかで見分けます。