Windows 8のクラウドベース認証の可能性と危険性：Windows Server 2008 R2ドメインで検証

Windows 8ではHotmailやWindows Liveのアカウントでログオンできるようになったが、これによって何が実現するのか。クラウドベース認証の可能性を検証するとともに、内在する危険性を明らかにする。

[Joseph Granneman，TechTarget]

　クラウドベースのサービスを導入している企業なら、ユーザー認証の複雑さを実感しているはずだ。クラウドサービスごとに違うユーザーネームとパスワードの組み合わせが要求され、トークンや証明書といった2段階認証のオプションも複数ある。この複雑さは別のセキュリティリスクを呼び込みかねない。ユーザーはディスプレーの上やキーボードの下に付せんを貼るといった、ありがちな対抗策を取るからだ。

　クラウドサービス認証方法の簡易化を目指し、セキュリティ技術も進化している。クラウドベースのアプリケーション向けにシングルサインオンを提供する仕様の筆頭にはSecurity Assertion Markup Language（SAML）、OAuth、OpenIDなどがある。Google、Facebook、Microsoftはいずれもこうしたオープン規格のAPIを提供し、例えば自社のアカウントを利用したサードパーティーのWebサイトへの認証を認めている。こうしたシステムは、Webベースのアプリケーションとサービスの認証を簡易化し、ユーザーがコントロールできるようにするという点で大きな成功を収めてきた。しかしコンシューマーサービスに比べると、企業における採用ははるかに遅れている。

　Microsoftはこれまで、GoogleやFacebookのアカウントがクラウドサービスの認証に利用されるのを羨望のまなざしで見てきた。しかし、同社が2012年2月29日にリリースした次期OS「Windows 8」のConsumer Previewには、ユーザーをMicrosoftのサービスに呼び戻すことを狙った興味深い認証機能が組み込まれている。Windows 8に関するニュースの大半は新しいユーザーインタフェース（UI）の「Metro」に集中している。このため、Windowsの認証にWebベースのMicrosoft IDが利用できる機能が加わったという事実は見過ごされがちだ。しかし、HotmailアカウントでWindows 8にログオンできるということは、脚光を浴びているMetro UIと同じくらい画期的だ。

関連記事

• Windows 8 Consumer Previewに見る企業向け機能
• IT管理者がチェックすべきWindows 8の機能と仕様
• Windows 8環境をUSBメモリで携帯できる「Windows To Go」

　Webベースサービスのアカウントを使って端末にログインするというアイデアに目新しさはない。GoogleはChromebookを発売したときからこの認証方法を使っているし、Appleは最近、iCloudアカウントをMac OS X Lionに統合し、ローカルのMacアカウントのパスワードまでリセットできるようにした。だが、Windowsのような巨大エコシステムには相互運用上の必要条件が付きまとうという点で、MicrosoftのアプローチはAppleやGoogleよりさらに大胆だ。

関連記事

• 勘違いから学んだ、Googleの「Chrome OS」と「Chromium OS」の違い
• 期待が高まるデスクトップ仮想化による「仮想Mac OS」の実現

　MicrosoftはWindows 2000以来、Active Directoryベースの認証を企業向けに売り込んできた。Microsoftはこうした企業のプライベートクラウドにおける市場シェアを維持しながら、ハイブリッド型および商用クラウド市場にも進出する意向だと言って差し支えないだろう。Windows 8の成功は、MicrosoftがActive Directoryのレガシーモデルと新しいクラウドベース認証モデルとのバランスをどれだけうまく取れるかに大きく左右される。新しいWindows 8の認証機能の仕組みと、企業が考慮すべきリスクについて以下に解説する。

Windows 8の認証モデル

　この新しい認証モデルの構築においてMicrosoftがどれだけ進歩したかを評価する最善の方法は、Windows 8を実際に使ってみることだ。今回の評価はWindows 8 Consumer Preview Build 8250をベースとしている。従って、正式リリース前に変更される可能性もある。Windows 8の試験用PCは、Active Directoryとの相互運用を評価するためWindows Server 2008 R2のドメインに追加した。

　Windows 8ではセットアップの段階でユーザーを特定するため、最初に起動する際にMicrosoft IDの入力を求められる。このアカウントは@hotmailでも@liveでも、あるいはそれ以外のMicrosoft製品やサービスのものでも構わない。Microsoftはこれまでローカルユーザーアカウントと呼んでいたものに、@hotmailアカウントを加えることによってこれを実現した。同アカウントはローカル管理者グループに自動的に追加され、ここからマシンのハードウェアとソフトウェアの両方のフルコントロールが可能になる。この種のユーザーアカウントは、経験豊富なWindowsデスクトップ技術者ならなじみがあるだろう。この時点で、Microsoftが新旧の認証モデルの間で保つ必要のあるセキュリティと使い勝手のバランスは達成できそうに見える。

　テストの次の段階では、Windows Server 2008 R2のドメインにこのPCを追加し、2つの異なるセキュリティ領域がそれぞれ互いに切り離された状態をどう保つかを検証した。これは企業がぜひとも知っておきたいリスクだ。HotmailのアカウントはActive Directoryドメイン上にある会社のリソースにアクセスできるのか。答えは明白だった。これらMicrosoft IDは、標準的なWindowsローカルユーザーアカウントと同様に扱われる。ローカルアカウントではActive Directoryのリソースにはアクセスできず、従ってネットワークベースの会社の資産は安全だ。

関連記事

• Active Directoryで見過ごされがちなセキュリティの問題
• コスト削減効果は数万ドル？　Active DirectoryによるWindows 8タブレット管理
• Active Directoryを使ってWindows環境でMacを管理する

Windows 8認証のクラウドモデルがはらむ危険

　ローカルマシンでローカルのアカウントが管理者として設定されている場合のリスクを考慮することも重要だ。デフォルトは依然としてこの設定になっている。これにより、Microsoft IDではマシン上の他のユーザーのディレクトリに存在するファイルにアクセスでき、マシン上にキャッシュされたActive Directoryアカウントのオフラインハッシュにもアクセスできる。このレベルのアクセス権があれば、Microsoft IDを使って各種のパスワードクラッキングツールをこれらアカウントに対して実行することも可能だ。ローカル管理者は以前からずっとこの権限を持っており、これは新たに生じたリスクではない。ただMicrosoft IDによって、企業がWindows 8の導入時に考慮すべき重要な可変要素が1つ加わったといえる。

　企業がWindows 8の導入に当たって考慮すべきもう1つの重要なリスクは、設定がMicrosoft IDアカウントとの間でどのように同期されるかだ。Active DirectoryはMicrosoft IDと関連付けることができ、これによって特定の設定は、ユーザーがログオンしているPCを問わずに同期される。設定に含まれるのはデスクトップのカスタマイズ、ブラウザの設定といったプリファレンスのみだが、ブラウザのお気に入りといったメタデータの同期を通じ、社外秘情報が流出するリスクはある。Microsoft Live IDではMicrosoft SkyDriveにもアクセスできる。ポリシーを通じて適切に設定しておかなければ、従業員が会社の情報を流出させてしまうかもしれない。

　Windows 8では他のクラウドベースサービスへのログイン情報を集約してセキュリティ強化を助けてくれる新機能「Credential Manager」も加わった。この機能はコントロールパネルにあり、ユーザーは外部サービスのユーザー名やアカウント情報を保存できる。これには複数のWindowsベースのログオン情報や証明書も含まれる。これはAppleのMac OS XのKeychainに似た機能であり、多くの組織が付せんで対処している現状に比べて格段の進歩だ。Credential Managerのおかげで、Windows 8はクラウドベースアプリケーションを利用するためのOSとして優位に立つかもしれない。

Windows 8認証の複雑性

　MicrosoftがWindows認証のレガシーモデルをクラウドベース認証モデルと共存させようとしていることには不利な面もある。両方のシステムの設定とメンテナンスが極めて複雑になるのだ。Windows 8には、両方の認証モデルの設定オプションが重複する箇所が複数ある。この複雑さが設定ミスを誘発し、ユーザーや端末のセキュリティレベルに狂いが生じかねない。GoogleやAppleが使っている比較的新しい認証モデルと比べると、Windows 8の複雑性は特に際立つ。

　Windows 8の検証から、認証の未来がクラウドベースにあることははっきりした。Microsoftは主力OSにクラウドベース認証を取り入れることにより、競合各社を追い抜こうとしている。それでもまだ、企業がクラウドベース認証を全面採用するためには、さらに多くのコントロールツールや管理ツール作成の必要がある。Microsoftはそうしたツールを提供できる特異な立場にあり、そうなれば企業は新しいモデルを全面的に取り入れられるだろう。それはまた、ユーザーがWindows AzureやOffice 365といったMicrosoftのクラウドベースサービスに簡単に移行できる手段を提供することにもなる。

　Windows 8のリリースは2012年10月とうわさされており、開発サイクルはまだ初期段階にある。Microsoftがクラウドベース認証における主導権を握れるかどうかは、いずれ見えてくるだろう。