第3回 電子署名導入プラン
サーバ編その1
池谷千尋 ネットマークス 2001/12/14 |
|
今回から、実際にシステムにPKIを導入する実例を解説する。まずはWebサーバへのデジタル証明書の組み込みを解説していくが、これから解説するWebサーバへの利用はSSL/TLSのためのデジタル証明書であって、直接電子署名に関係することではない。
しかし、署名文書の配布などに利用されることを考慮し、Webサーバへのデジタル証明書適用を取り上げることにする。
| 証明書を手に入れるには？ |
少ないコストで効果的な（信頼の対象が広い）デジタル証明書を利用するには、パブリックな証明書発行サービスを利用するのが一般的である。
デジタル証明書の発行サービスを提供している会社はいろいろあるが、いずれの会社もWeb上に情報を公開しているので内容をじっくり検討することをお勧めする。
●サービスの種類
認証局の証明書発行サービスにはどのようなサービスがあるのかを調べてみると大まかに以下のサービスがあることが分かる。どのサービスベンダでもWebサーバ向けの証明書は発行しているが、クライアント証明書や認証に利用する特定グループ向けの証明書に関しては提供しているベンダは限られ、またその形態もベンダにより異なる。
- Webサーバ証明書
- クライアント証明書
- 認証に使用する証明書
今回利用するWebサーバ証明書とはいったいどういうものなのか？ 用途については皆さんご存じのとおりWebサーバでSSL＊1(セキュア・ソケット・レイヤー)を利用するためのものである。そして、その目的はちょっと堅苦しくいえば次のとおりである。
Webサーバ証明書はWebサイトの実在性を保証することにより、Webサイトを訪れるユーザーがインターネットを通じて買い物や電子商取引でビジネスをする際に、当該Webサイトを運営する会社（法人）の真正性を保証することと、SSLによる通信経路の暗号化を提供するものである。
その発行には、電子商取引や、ビジネスに利用されるため通常のオンラインの確認／審査だけでなくオフバンドのやり取り、例えば書留などで申請書類の送付や電話確認などを行う。
|
- クライアント証明書
クライアント証明書というのは、Webブラウザもしくはメールソフトに格納される証明書のことであるが、個人対個人がメールをやり取りするような場合と、特定のクローズドなグループ内の認証に使用するデジタル証明書とでは、利用するサービスが異なる。
これはソフトウェアや機器の設定上の問題で、不可能というわけではなく用途に対して向き不向きがあるという意味で理解していただきたい。どのサービスベンダでも、特定グループ向けのクライアント証明書の発行が、別メニューになっているのはそのためである。
個人がメールのやり取りをする際に証明書を利用したい場合、国内のCA証明書の入手先は非常に限られている。
- 認証に使用する証明書
イントラネットやインターネットを利用し、会社内や特定組織／団体の所属員が、特定のWebサーバへアクセスするためのデジタル証明書を発行するサービス。クローズドな会員組織向けのサービスということで、証明書利用者(エンドユーザー)に対する審査や、証明書利用および運用方法などの運用規定をカスタマイズできる場合もある。
 |
|
図1 Webサーバがクライアントを信頼できる3つのパターン |
●サービス一覧
日本国内で証明書の発行サービスを利用したいときに下記のサービスベンダから証明書を発行してもらうことができる。
| 日本ベリサイン | 世界的なデジタル証明書ブランドである。少なくとも国内では実績ナンバーワンなのは間違いないだろう。オーダーメイドサービスのベリサインオンサイトをはじめ、サービス内容も多岐に渡り、PKI利用アプリケーションとの連携を取るGo Secure!シリーズのサービスも開始している。http://www.verisign.co.jp/ |
| セコムトラストネット | 日本のセキュリティのブランドで、ご存じ「セコムしてますか？」のセコムグループであるセコムトラストネットのサービス。エントラストの主要な株主の1つがセコムということもあり、密接な関係と技術力を背景にIdentrus対応のCA構築運営の実績を持つ。セコムパスポートfor WebのルートはEntrust.netを提供。http://www.secomtrust.net/index.html |
| ビートラステッド・ジャパン | ビートラステッド・ジャパンは、PKI製品Unicertの販売以外にもPKIホスティングを提供。デジタル証明書の発行サービスは歴史の長いパブリックルートOmniRootにより運営されている。OmniRootはGTECyberTrustによって創設され、その後、Baltimore Technologiesに引き継がれ、現在は、米国情報セキュリティプロバイダCybertrust社によって所有及び運用されている。http://www.betrusted.co.jp/ |
| 日本認証サービス（JCSI） | 日本認証サービスは、富士通、日立製作所、日本電気の3社が1997年9月に共同で設立、49社が出資している電子認証専門サービス会社。特定認証業務の証明書（AccreditedSign）も発行しており、個人での取得も可能。http://www.jcsinc.co.jp/ |
| 帝国データバンク | 帝国データバンクのデジタル証明書発行サービスやCA/IAの運営は、日本ベリサインとビートラステッド・ジャパンが担当している。会社の信用情報、調査会社のトップブランドを付加価値としてRA業務を行っている。全国に調査網を持つ同社の調査ノウハウを生かして、会社の実在性の保証と会社信用情報のサービスを組み合わせたビジネスモデルを展開。http://www.tdb.co.jp/ |
| 綜合警備保障 | 2001年9月にサービスを開始したばかり。同社のサービスもボルチモアテクノロジーズがCA/IAを担当し、英ボルチモアテクノロジーズ（GTEサイバートラスト）のルートを利用。セキュリティの総合サービスの一環としてセコムトラストネットに対抗。https://cert.sok.co.jp/index.html |
●GPKI対応（特定認証業務）
今回の話題とは直接関係ないが、電子政府の実現に向け民間の認定認証業務もすでにスタートしている。今後、確実に増えていくと思われるが、いまのところ使い道はない。正確にはまだ一般の方には、まず関係がないといった方が正確だろう。
「電子署名及び認証業務に関する法律」による認定認証業務は、2001年10月19日現在、以下のとおり（認定順）である。
|
AccreditedSign
パブリックサービス |
日本認証サービス
|
|
電子入札用
電子認証サービス |
帝国データバンク ＋ ビートラステッド・ジャパン
|
|
AccreditedSign2
パブリックサービス |
日本認証サービス
|
| Webサーバ証明書とクライアント証明書 |
●証明書はどこに入る？
証明書の格納場所とアプリケーションからの利用を以下に記す。
- Webブラウザ
- ハードディスク／Windowsのレジストリ
Internet Explorerでは、デジタル証明書をレジストリに書き込む。レジストリということは、データをハードディスクに持っていることになる。そのため、盗難、PCの故障などの危険を考慮してパスワードの付与や、鍵のバックアップを取る必要がある。
- トークンデバイス（スマートカード／USBトークン）
鍵をICカードやUSBのトークンに持たせ、上記のようにコンピュータのハードディスクには置かない方法もある。ただし、Internet Explorer 5.Xでは、デバイスから直接証明書を読み出せないため、一度レジストリに書き込んでから使用する形式を取ることが多い。Netscape Communicator 4.Xでは、トークンデバイスからの読み出しが行える。
- ハードディスク／Windowsのレジストリ
- Webサーバ
- ファイル（鍵ペア）
鍵ペアを生成した場合に、ファイルとしてWebサーバのハードディスク内に存在する。SSL/TLSは通信経路の暗号化はするが、Webサーバ自体のセキュリティを高めたりコンテンツの保証をするものではないため、重要な役割を担うWebサーバの場合、鍵ペアの保管場所も考慮する必要がある。
- HSMの機能紹介（セキュアな鍵保管）
CAサーバでは、自身の私有鍵を厳重に保管したりバックアップするためにHSM（ハードウェア・セキュリティ・モジュール）を使用している場合が多いが、重要なサーバなどでも鍵の保管をサーバのハードディスクではなく、HSMにすることを検討したいところだ。 HSMにアクセスするには、専用のPIN（Personal Identification Number）を必要とするものもあるので、より安全性が確保される。SSLのアクセラレーション機能を持つ製品もあるので、性能向上とセキュリティ向上を図ることができる。
図2 セキュアな鍵保管
- ファイル（鍵ペア）
- SSL Accelerator
SSLによる暗号通信で、送受信されるデータの暗号化・復号化を高速に行うハードウェアのこと。通常のサーバでは、SSLの通信時にデータの暗号／復号にCPUのパワーが必要である。そのためWebサーバでは、暗号化しない場合に比べ著しくパフォーマンスが低下することがある。そこで、暗号処理を専用のハードウェアで行うことによって、サーバの負荷を軽減する。形態として、PCIカードなどWebサーバ内に設置するタイプの製品と、Webサーバとは独立にネットワーク上に設置するタイプの製品がある。ネットワーク上に設置するタイプのSSLアクセラレータには、負荷分散機能など、L4 Switchの拡張機能としてサポートされるものもある。
- L4 Switch
冗長化されたWebサーバの場合、SSLのセッション中に別のWebサーバに通信を引き継げないので、SSLアクセラレータとの併用もしくはその機能を有するモデルを選択する。
 |
| 図3 L4 SwitchとSSLアクセラレータによるWebサーバ・ロード・バランス |
今回は、ここまでの解説にする。次回は、実際の手順を追って、証明書サービスの申し込み、 Webサーバへの組み込み、SSLの解説などを行うことにする。
 |
Security&Trust記事一覧 |
|
||||||||||||
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
