第3回 ICチップを搭載するUSBトークンの利点
長谷川 晴彦ペンティオ株式会社
代表取締役
2006/2/14
高いセキュリティニーズにUSBトークンが応えられる理由
ICチップ搭載の有無がなぜセキュリティ上の重要性を持つのか。そのことをもう少し詳しく見ていくことにしよう。
公開鍵暗号方式を利用したセキュリティインフラであるPKIがなぜ高い安全性を担保できるのか。それは公開鍵暗号方式が「暗号化のための鍵と、復号のための鍵が別々である」という特徴を持っているからである。
共通鍵暗号方式の場合、暗号化と復号を同じ鍵によって行う。つまり、あらかじめ何らかの方法で発信者と受信者の間で鍵のやりとりが必要になるが、通信ごと、相手ごとに生成する鍵を通信上でやりとりする場合、もし盗聴・傍受されてしまうと暗号文の復号が可能な鍵が第三者の手に渡ってしまう。
公開鍵暗号方式の場合、暗号化と復号を別々の鍵を使う。暗号化用の鍵を通信上で公開し、それを使って暗号化されたデータを、ICカード内部に格納された復号用の鍵で平文に戻すのである。つまり、暗号化のための鍵（公開鍵）を第三者に公開しても、復号のための鍵（秘密鍵）さえ厳重に管理しておけば、暗号文は解読されないというわけだ。
公開鍵暗号方式の最大のポイントは「秘密鍵が他人の手に渡らないようにする」ということで、もしこの一点が突破されてしまえば、PKIの安全性は完全に瓦解してしまうともいえる。秘密鍵の保持にはいくら慎重になっても、慎重になり過ぎということはない。
USBキーとUSBトークンのサーバとの通信方法の違い
USBキーとUSBトークンがサーバとどのように認証を行っているのか、具体的な通信の流れを比較してみよう。ここでは、サンプルとして弊社のUSBキー「Pentio PKI USB Token type1000」とUSBトークン「Pentio PKI USB Token type2100」を挙げる。
type1000はICチップ（RSA演算回路）を搭載していないタイプのデバイスである。type1000はクライアント側の秘密鍵を署名処理するために、デバイスからクライアントPCに取り出している。デバイスが有しているのは秘密鍵の格納機能だけで、ハッシュ関数（MD5）以外の演算機能はないから、当然のことである。
 |
| 図1 ICチップを搭載しない（RSA演算回路を持たない）USBキー「type1000」の動作 |
一方、ICチップを搭載しているtype2100では、署名を内部処理しているために、秘密鍵は最後までデバイス外部に取り出されることはない。
 |
| 図2 ICチップを搭載する（RSA演算回路を内蔵する）USBトークン「type2100」の動作 |
以上のように「ICチップを搭載しているデバイスは安全である」といえる根拠は、まさにこの点にあるだろう。
 |
3/4
|
 |
| Index | |
| ICチップを搭載するUSBトークンの利点 | |
| Page1 機密情報をUSBトークンによる個人認証で管理 |
|
| Page2 教職員にUSBトークンを配布しアクセス権限を認証する |
|
 |
Page3 高いセキュリティニーズにUSBトークンが応えられる理由 USBキーとUSBトークンのサーバとの通信方法の違い |
| Page4 USBトークンのメリットとデメリット USBトークンの選び方 |
|
 |
USBデバイスとセキュリティ 連載インデックス |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
