デバイス認証はユーザー認証にプラスするもの

新たな認証レイヤを追加するアイデンティティ対応ネットワークデバイス

アイデンティティ対応デバイスは、エンタープライズ認証システムとして注目を集めつつある。

公開 2007年10月25日 04時00分

更新 2012年09月06日 13時26分

著者

Joel Dubin

[TechTarget]

印刷する

　デバイス認証はユーザー認証に取って代わるのではなく、これを強化する。アイデンティティ対応ネットワークデバイスはこのことを前提に、デバイスがネットワークにアクセスする前に、ユーザーではなくデバイスを認証するという考え方で使われる。

　この新しい認証の枠組みは、ワークステーション、デスクトップPC、ノートPC、PDA、携帯電話、さらには無線アクセスポイントなど、あらゆるタイプのネットワークデバイスに新たなセキュリティレイヤを追加することを目的としている。この枠組みの下では、ユーザーがネットワークにログオンするには従来と同様にユーザーIDとパスワードなどの認証メカニズムを使わなければならないだけでなく、デバイス自体の認証も必要になる。

　従来のアクセス管理は正当なユーザーにアクセスを許可し、不正なユーザーや悪意あるユーザーをブロックすることを狙いとしている。ハードウェア認証では、デバイスを対象に同じことが行われる。正当なデバイスは、正当なユーザーと同様に信頼できる。正当なデバイスは以下のような条件を満たしている。

ウイルスやマルウェアに感染していないことが確認されている
最新のソフトウェアにより不具合が修正されている
害をもたらさず、ネットワークからデータなどを不正に引き出すこともない

　アイデンティティ対応デバイス技術の中心となっているのは、Trusted Platform Module（TPM）という組み込みチップだ。TPMは、パスワードや暗号鍵、デジタル証明書といった一般的な認証要素をすべて装備している。TPMによるハードウェア認証は、Trusted Computing Group（TCG）によって推進されている。TCGは2003年、特定ベンダーに依存しない業界標準仕様の普及促進を目的に設立されたベンダー団体だ。

　TPMでは、内部ファームウェアが重要な役割を果たす。内部ファームウェアに対してはアクセスや変更を簡単に行うことができず、インストール後にプログラミングし直す必要がない。搭載デバイスを紛失したり盗まれた場合、TPMの証明書などの認証資格情報をほかの認証資格情報と同様に無効にできるため、デバイスはネットワークに接続できなくなる。

デバイス認証とNAC

　アイデンティティ対応ネットワークデバイスは、「トラステッドコンピューティング」「エンドポイントセキュリティ」「ネットワークアクセス制御（NAC）」といったさまざまな技術分野に属すると言われている。だが、このデバイスをNAC分野に分類するのは、実は若干そぐわない。NACはプロセスだ。そのプロセスでは、ネットワークにアクセスするデバイスを監視するソフトウェア、ハードウェア、サーバといった一連の技術の一部またはすべてが利用される。NACシステムは、ネットワークに接続しようとするデバイスが信頼でき、安全かどうかをチェックするが、それらを認証するとは限らない。

　アイデンティティ対応ネットワークデバイスは、使い方がかなり厳格にコントロールされている。自力で認証を行い、エンドポイントセキュリティを確保することが可能だ。だが、アイデンティティ対応ネットワークデバイスに関しては、次の点に注意する必要がある。

触れ込み通り、ほかのNACシステムよりもセキュリティを高め、厳格なネットワーク管理を実現するか
現実的な選択肢か
どのベンダーが提供しているか
提供ベンダーはどのようにしてこの技術を普及させようとしているか

　アイデンティティ対応デバイスが有効に機能するには、クロスプラットフォームでなければならない。ほかのハードウェアと同じように、ネットワーク上のどこにでも配置できる必要がある。ハードウェアに組み込まれるチップが標準化されていなければならないのは明らかだ。

　TPMを搭載するVPNクライアントや無線クライアントは、内蔵のデジタル証明書を使って認証を行える。TPMは、多層的なアプローチでネットワークアクセスの安全を確保するために、スマートカードやワンタイムパスワードトークン、バイオメトリクスなど、ほかの認証方法と組み合わせることができる。

アイデンティティ対応デバイスの今後

　TCGによると、2006年までに大手ベンダー20社が出荷するすべてのエンタープライズデバイスにTPMが搭載されるようになり、Lenovo Group、Hewlett-Packard（HP）、Dell、Gateway、富士通、東芝、Acer、PanasonicといったベンダーからのTPM搭載デバイスの累計出荷が推計約2000万台に達した。

　またTCGは、製薬、食品、レンタカーなどさまざまな業界の企業や、米国国家安全保障局（NSA）などの政府機関によるTPM搭載デバイスの使用例を紹介している。

　TPMのこれまでの成功の一因は、TCGがTPMをクロスプラットフォーム技術として策定、推進していることにある。TPMは、Microsoftのネットワークアクセス保護（NAP）やCisco SystemsのNetwork Admission Control（NAC）に代わる選択肢と見られている。後者はCiscoのネットワークハードウェアと密接に結び付いた技術だ。

　だが、そうした状況は変わるかもしれない。Microsoftが最近、TCGと協力して、NAPにトラステッドコンピューティング技術を統合する取り組みに乗り出したからだ。

　企業がアイデンティティ対応デバイスの導入を検討する際には、ほかのデバイスの場合と同様に自社のネットワークアーキテクチャを徹底的に調査し、TPMが既存インフラと互換性があるかどうかを判断しなければならない。TPM対応デバイスの導入とともに、トラステッドコンピューティングが段階的に実現されることになる。

　アイデンティティ対応技術は、まだ発展成長の途上にある。この技術は既にほとんどの新しいハードウェアに搭載されている。だが今のところ、この技術がエンタープライズ認証システムの一部として広く採用されるか、あるいは鳴かず飛ばずで終わるかは、予断を許さない状況だ。

本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」（29th Street Press）があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。

印刷する