クラウドのセキュリティを考える【第8回】

クラウド時代を乗り切る認証強化の勧め

クラウドの普及でアクセス端末や方法が多様化する中で、正規ユーザー認証の重要性が再びクローズアップされている。ベリサインにクラウド時代の認証について聞いた。

公開 2011年03月28日 09時01分

更新 2012年09月04日 15時51分

[谷崎朋子]

印刷する

クラウドで提起されるID／パスワード認証のリスク

　情報へのアクセス権限を確認する方法に、ID／パスワード認証がある。最も浸透している認証方式だが、クラウドコンピューティングの普及でその強度が不安視されつつある。

　ID／パスワードの一番の問題は、漏れたら終わりという点だ。「以前からその脆弱性については議論されてきたが、十分な対策が取られていないのが現状」と、日本ベリサインのIASプロダクトマーケティング部マネージャー岩尾健一氏は指摘する。

日本ベリサイン IAS製品本部 IASプロダクトマーケティング部マネージャー岩尾健一氏

　クラウド需要が増えれば、複数のサービスを利用する機会が増えてくる。その結果、利用するサービスの数だけID／パスワードを管理することになり、管理負荷が上がり、漏えいの危険も上昇する。

　クラウドのサービスと一緒に利用されることが多いスマートフォンなどの活用増加も、ID／パスワードという一要素認証のリスク上昇の要因になっている。「従来の携帯電話はキャリアの閉域網を利用し、しかも独自OSであることから、それほど不正アクセスを心配する必要がなかった。しかし、スマートフォンは公共網を利用し、OSも標準的なものだ。脆弱性を狙われる危険性は高く、早急に対策すべきと感じている」（岩尾氏）

　ただし、セキュリティ強度を上げるためにユーザーの利便性を奪うのは極力避けたい。利便性を保ちつつ、安全性を向上させる。その解決方法として、ワンタイムパスワード（OTP）を使った二要素認証が再び注目されている。

二要素認証でセキュリティレベルをアップ

　OTPは、一度きりで使い捨てるパスワードのことだ。OTP生成機器（トークン）でランダムな数字を生成し、ログイン時にID／パスワードと併せて入力する。OTPは有効時間が設けられているので、流出しても再利用されることはない。

　ただし、企業がOTPを導入するには認証サーバを購入し、OTPの計算に必要な秘密鍵などを管理する必要が出てくる。また、トークンをハードウェア型にした場合は購入および管理コストが、ソフトウェア型にした場合は配布用サーバの管理など諸経費が掛かってくる。

　こうした管理負担やコストを削減し、スムーズにOTPを導入できるようにしたのが、「ベリサインアイデンティティプロテクション（VIP）エンタープライズゲートウェイ」だ。

　VIPエンタープライズゲートウェイでは、リモートユーザーが企業ネットワークにアクセスしたとき、社内のActive DirectoryなどでID／パスワード認証すると同時に、VIPネットワーク内の認証サーバでワンタイムパスワード認証を行う（下図）。OTP関連のシステム全てをVIPネットワークに預けることで、さまざまな負担を軽減できる。

図 VIPエンタープライズゲートウェイの仕組み

　同サービスは、ECサイトを対象に提供している「VIP オーセンティケーションサービス」を一般企業向けに発展させたものだ。「以前よりリモートアクセスでOTPを使いたいというニーズはあった。しかし、自社運用ではコストが掛かり、業務サービスの一部をクラウドに移行するのをきっかけに認証も外に出したい企業も増えると予測される」（岩尾氏）。こうしたニーズに応える形でサービス展開となった。

　VIPエンタープライズゲートウェイを導入するメリットは、複数ある。1つは、導入が簡単な点だ。VIPネットワークと通信するには、VPN認証で広く利用されているRADIUS（Remote Authentication Dial-In User Service）ではなくSOAP（Simple Object Access Protocol）を利用することになるので、その変換作業を行うモジュールを社内に設置する必要がある。だが、それ以外のシステム設計や構築、運用はアウトソースされるので、トータルで管理およびコストは大幅に削減できる。導入もスムーズにいけば最短1カ月で可能だ。

　2つ目は、利用可能なトークンが豊富に用意されている点だ。従来のキーホルダータイプやカードタイプはもちろん、携帯電話やスマートフォンなどにインストールするアプリケーションタイプなども提供される。PCから利用する場合は、Internet Explorerのツールバーに組み込むプラグインタイプの「VIP Access Toolbar」日本語版もある。「ハードウェアトークンは、セキュリティそのものを持つことで安全性を実感したい企業にニーズがあるが、利便性が高く無償で利用できるソフトウェアトークンへシフトしている」（岩尾氏）。なお、VIPエンタープライズゲートウェイはOATH（Initiative for Open AuTHentication）に準拠しているので、OATH対応のサードパーティー製品もハードウェア、ソフトウェア問わず利用できる。

　3つ目は、クラウド／SaaS（Software as a Service）サービスとその他の業務アプリケーションを同一トークンで利用できる点だ。「これまでは利用サービスごとにトークンを持たなければならなかったが、1つに統一できることで利便性の向上と漏えいリスクの軽減が実現できる」（岩尾氏）

　VIPエンタープライズゲートウェイは、国内の金融機関でも利用されており、堅牢性は評価済みだ。また、グローバルに展開するサービスであることから、スケールメリットもある。

クラウド普及で進化する認証サービス

　ネットワーク上での認証技術を提供してきたベリサインにとって、クラウドは親和性の高い仕組みだ。アクセス端末が多様化し、サービスも多角化しても、柔軟に対応しながら進化してきた。

　例えば同社の「VIPオンライン詐欺検出サービス」（FDS）も、クラウド対応版「VIP FDS Hosted」に展開された。VIP FDSは、ルール分析や行動分析を基に不正アクセスを防止するサーバ側のソリューションだ。不正なアクセスと判断された場合、追加質問や電話での本人確認を実施する。ID／パスワードが流出した場合の防火壁として機能し、詐欺被害などを最小限に抑える効果がある。クラウドに対応したことで、これまで費用や運用面で二の足を踏んでいた企業も、より気楽に強力なセキュリティ機能を導入できる。

　この他、クラウドを利用して開設され、短い期間だけ運営されるキャンペーンサイトの増加などを受け、SSLサーバ証明書を1日単位で購入可能にする取り組みも発表した。これは、Amazon EC2やSBIベリトランスの電子決済サービス利用者を対象に提供されるもので、最短1日から利用できる。

　携帯端末のセキュリティ強化にも力を入れている。ベリサインは、Intel Core vProプロセッサなどのIntelアイデンティティプロテクションテクノロジにVIPの固有情報の確認領域を組み込むことを発表している。2011年3月からIntel Core第2世代プロセッサで提供予定だ。PC出荷段階でワンタイムパスワードが組み込まれているので、ハードウェアトークンを購入したりソフトトークンをダウンロードしたりする必要がない。

　このような、ユーザー環境を選ばず、誰もが簡単にセキュリティ強化できる仕組み作りがクラウドの安全性を高めていくのかもしれない。

　なお同社では現在、企業向けに高度認証の重要性を提唱するキャンペーン「SAFE」を展開している。同戦略に伴い、今回紹介したOTP／電子証明書／リスクベース認証製品を提供しており、詳細はこちらのページで確認できる。

印刷する