1. SVPN とは 3 ネットワークに対する脅威と防御法攻撃防御策不正アクセス盗聴なりすまし改ざんウィルス不正アクセスアクセスログ Firewall Onetime Password 暗号化認証電子署名ウィルスチェックソフト 4

(1)

Copyright Copyright Copyright

1

11

1 Secure Virtual Private Network

Secure Virtual Private Network

株式会社ディアイティ

技術部

山田　英史

2001/

2001/12/6

12/6

IPsec

による

VPN

構築　第一部

IPsec

の概要と構築事例について

2

22

2 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

内容

1.

1. 1. SVPN

SVPN

SVPNとは

とは

2.

2. 2. IPsec

IPsec

IPsecによる

による

によるSVPN

SVPN

SVPNの構築事例

の構築事例

3.

(2)

3

33

3

1.

1. 　SVPN

SVPN

SVPNとは

とは

4

44

4 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

ネットワークに対する脅威と防御法

　

　攻　撃

　　防御策

不正アクセス　

アクセスログ・

アクセスログ・Firewall

Firewall

Firewall・

・・

・Onetime Password

Onetime Password

盗　聴

暗号化

なりすまし

認　証

改ざん

電子署名

ウィルス

ウィルスチェックソフト

(3)

5

55

5 SVPN =

SVPN =

通信経路上のデータを守る技術

– ファイアウォールは侵入を防御できても、通信経路上の

ファイアウォールは侵入を防御できても、通信経路上の

データは守れません。

– ユーザの手許を離れて通信経路上を飛び交うデータを

ユーザの手許を離れて通信経路上を飛び交うデータを

保護するのが

保護するのがSVPN

SVPN

SVPNの役目です。

の役目です。

6

66

6 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

通信経路上におけるアタック

• 盗　聴

盗　聴

• なりすまし

なりすまし

• 改ざん

改ざん

(4)

7

77

7 通信経路上におけるアタック（１）

通信経路上におけるアタック（１）

• 盗　聴

盗　聴

HUB

パケットモニタリング

ソフトを使用しデータ

を収集

Attacker

8

88

8 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

通信経路上におけるアタック（１）

• 盗聴（続き）

盗聴（続き）

モニタリングソフトで収集したデータ

(5)

9

99

9 通信経路上におけるアタック（１）

通信経路上におけるアタック（１）

• 盗聴（続き）

盗聴（続き）

モニタリングソフトで解析したパケット

10

10 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

暗号化されたデータ

• 暗号化されたパケットのサンプル

暗号化されたパケットのサンプル

(6)

11

11 通信経路上におけるアタック（１）

通信経路上におけるアタック（１）

• 盗聴（続き）

盗聴（続き）

– スニファーソフト、パケットモニタリングソフト、監視ソフト

スニファーソフト、パケットモニタリングソフト、監視ソフト

– 社内

社内

社内LAN

LAN

LAN上

LAN

上

– ISP

ISP

ISP内の設備上

内の設備上

– ルーティング設定ミスによる漏洩：社内

ルーティング設定ミスによる漏洩：社内

ルーティング設定ミスによる漏洩：社内LAN

LAN

LAN、

LAN

、

、ISP

ISP

12

12 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

通信経路上におけるアタック（２）

• なりすまし

なりすまし

Internet

百貨店などの名前をかたって

クレジットカード番号を収集

Attacker

(7)

13

13 通信経路上におけるアタック（２）

通信経路上におけるアタック（２）

• なりすまし（続き）

なりすまし（続き）

– パソコン通信の架空登録による、アカウント／パスワー

パソコン通信の架空登録による、アカウント／パスワー

ドの収集

– 偽った電子メールの送信元

偽った電子メールの送信元

14

14 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

通信経路上におけるアタック（３）

• 改ざん

改ざん

Peter

Attacker

Mary

ハチ公前で

待ってます

モヤイ前で

待ってます

(8)

15

15 通信経路上におけるアタック（３）

通信経路上におけるアタック（３）

• 改ざん（続き）

改ざん（続き）

– 振込先／振込金額の書き替え

振込先／振込金額の書き替え

– ブロック暗号では、提携フォームの各項目が予想可能？

ブロック暗号では、提携フォームの各項目が予想可能？

　金額欄、振込先欄

16

16 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

SVPN

の基礎技術

• トンネリング

トンネリング

– 仮想的な専用経路の構築

仮想的な専用経路の構築

• 暗号技術

暗号技術

– 通信データの秘匿

通信データの秘匿

• 電子署名による認証

電子署名による認証

– 身元保証

身元保証

– 完全性

完全性

– 否認防止

否認防止

• 認証局

認証局

認証局（

認証局

（（

（PKI

PKI

PKI）

））

）

– 第三者による身元保証

第三者による身元保証

– 否認防止

否認防止

(9)

17

17 SVPN

SVPN

のニーズ

• コスト削減

コスト削減

– 専用線　

専用線　

専用線　→　

→　

→　安価なインターネットへ

安価なインターネットへ

– 用途別の配線　

用途別の配線　

用途別の配線　→　

→　

→　VPN

VPN

VPNで１本に統括

で１本に統括

• 情報の守秘

情報の守秘

– 取引先との電子決済

取引先との電子決済

– CAD/CAM

CAD/CAM

CAD/CAMデータ等製造データ

データ等製造データ

– 人事データ、経理データその他

人事データ、経理データその他

– 個人データ

個人データ

• 銀行・証券の顧客データ

銀行・証券の顧客データ

• 病院の患者データ

病院の患者データ

• 行政などの住民データ

行政などの住民データ

18

18 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

2.

(10)

19

19 IPsec

IPsec

--

-

--

-

VPN

の

市場

• 海外拠点とのインターネット接続

海外拠点とのインターネット接続

• インターネット経由のモバイル環境

インターネット経由のモバイル環境

• 社内

社内

社内LAN

社内

LAN

LAN上の

上の

上のVPN

VPN

• キャリアの

キャリアの

キャリアのVPN

キャリアの

VPN

VPNサービス

VPN

サービス

20

20 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

IPsec

--

-

--

-

VPN

の

構成

BackBone

Hub

IPsec

IPsec Gateway

Gateway

IPsec

IPsec Gateway

IPsec

Gateway

IPsec

(11)

21

21 IPsec

IPsec

--

-

--

-

VPN

の導入事例：　専用線費用

• 初期費用

初期費用

– 専用線ルータ費用＋設定費用

専用線ルータ費用＋設定費用

専用線ルータ費用＋設定費用 ¥

¥

¥1,300,000.

¥

1,300,000.

1,300,000.-

1,300,000.

--

-• ランニングコスト月額

ランニングコスト月額

デジタルリーチ

128 128kkkk接続の場合

128

128 接続の場合

接続の場合

– 前提

前提

• バリュークラス、保守タイプ１の場合

バリュークラス、保守タイプ１の場合

– 東京～大阪

東京～大阪

東京～大阪(400

(400

(400Km)

Km) ¥

Km)

¥

¥138,200.

138,200.

138,200.-

--

-– 東京～名古屋

東京～名古屋

東京～名古屋(270

(270

(270Km)

Km) ¥

Km)

¥

¥116,580.

116,580.

116,580.-

--

-– 東京～福岡

東京～福岡

東京～福岡(900

(900

(900Km)

Km) ¥

Km)

¥

¥184,180.

184,180.

184,180.-

--

-DSU

DSU

Router

東京本社

大阪支社

Router

DSU

Router

DSU

Router

名古屋支店

Router

DSU

福岡支店

Router

DSU

22

22 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

IPsec

--

-

--

-

VPN

の導入事例：　フレームリレー費用

大阪支社

Router

DSU

Router

DSU

Router

名古屋支店

福岡支店

Router

DSU

東京本社

FR

FR網

網

論理パス論理パス論理パス論理パス

•初期費用

–フレームリレ用ルータ費用＋設定費用

¥1,000,000.-•ランニングコスト月額東京128k拠点64k接続

–前提

•CIR 東京96k 拠点32k POIまで15km以内の場合

–東京

¥73,190.-–名古屋

¥37,190.-–福岡

¥37,190.-–大阪

(12)

¥37,190.-Copyright Copyright Copyright

23

23 IPsec

IPsec

--

-

--

-

VPN

の導入事例：　

Internet

-

--

-

--

-

VPN

費用

• 初期費用

初期費用

– Biz768

Biz768

Biz768側

側

側 IPsec

側

IPsec

IPsecゲートウェイ＋設定費用

ゲートウェイ＋設定費用

ゲートウェイ＋設定費用+

ゲートウェイ＋設定費用

+Biz

++

Biz

Biz初期費用　

Biz

初期費用　

初期費用　 ¥

¥

¥1,110,000.

1,110,000.

1,110,000.-

--

-– フレッツ

フレッツ

フレッツADSL

ADSL

ADSL側

側

側 IPsec

IPsecゲートウェイ＋設定費用

IPsec

ゲートウェイ＋設定費用

¥

¥810,000.

¥

810,000.

810,000.-

810,000.

--

-• ランニングコスト月額

ランニングコスト月額

– Biz768(SDSL768Kbps)

Biz768(SDSL768Kbps)

Biz768(SDSL768Kbps)とフレッツ

とフレッツ

とフレッツADSL(ADSL1.5Mbps)

ADSL(ADSL1.5Mbps)

ADSL(ADSL1.5Mbps)の混在

ADSL(ADSL1.5Mbps)

の混在

– 東京

東京

東京 ¥

東京

¥

¥38,000.

¥

38,000.

38,000.-

--

- /

/ 大阪

/

大阪

大阪 ¥

大阪

¥

¥6,500.

6,500.

6,500.-

6,500.

--

- /

/ 名古屋

/

名古屋

名古屋 ¥

¥

¥6,500.

6,500.

6,500.-

6,500.

--

- /

/ 福岡

/

福岡

福岡 ¥

¥

¥6,500.

6,500.

6,500.-

--

-大阪支社

大阪支社

m

東京本社

R

SDSL

Internet

ADSL

IPsec IPsec IPsec IPsec Gateway Gateway Gateway Gateway

m

福岡支店

名古屋支店

IPsec IPsec IPsec IPsec Gateway Gateway Gateway Gateway IPsec IPsec IPsec IPsec Gateway Gateway Gateway Gateway IPsec IPsec IPsec IPsec Gateway Gateway Gateway Gateway Copyright Copyright Copyright

24

24 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

費用比較

※

※金額は概算で計算いたしております。

金額は概算で計算いたしております。

ネットワーク構成や回線容量により

金額は上下致します。

総額

¥

¥57,500

57,500

¥

¥184,760

184,760

¥

¥438,960

438,960

月額

¥

¥3,990,000

3,990,000

¥

¥2,070,000

2,070,000

¥

¥1,920,000

1,920,000

Internet

Internet（

（（

（VPN

VPN

VPN）

VPN

））

）

¥

¥7,651,360

7,651,360

¥

¥6,651,360

6,651,360

¥

¥1,000,000

1,000,000

フレームリレー

¥

¥17,102,560

17,102,560

¥

¥15,802,560

15,802,560

¥

¥1,300,000

1,300,000

専用線

3

33 3年間

年間

ランニングコスト

初期費用

利用回線

(13)

25

25 IPsec

IPsec

--

-

--

-

VPN

の導入事例

• 電機メーカの研究所間リモート環境における

電機メーカの研究所間リモート環境における

電機メーカの研究所間リモート環境におけるSVPN

SVPN

Router

FIREWALL

事業所

事業所LAN

LAN

事業所

事業所LAN

LAN

事業所

事業所LAN

LAN

IPsec

IPsec Gateway

Gateway

京都研究所

東京研究所

米国研究所

Internet

IPsec

IPsec Gateway

Gateway

IPsec

IPsec Gateway

Gateway

26

26 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

IPsec

--

-

--

-

VPN

の導入事例

• プラント会社の海外からのモバイルアクセス

プラント会社の海外からのモバイルアクセス

プラント会社の海外からのモバイルアクセスSVPN

SVPN

Router

FIREWALL

IPsec

IPsec Gateway

IPsec

Gateway

日本

日本HQ

HQ

Router

A

B

A

A向けサーバ

向けサーバ

B

B向けサーバ

向けサーバ

台湾拠点

IPsec

IPsec Client

Client

台湾拠点

Internet

IPsec

IPsec Client

Client

(14)

27

27 IPsec

IPsec

--

-

--

-

VPN

の導入事例

• 大学内

大学内

大学内LAN

LAN

LANの事例

の事例

事務サーバ

（

（（

（Notes

Notes

Notes）

））

）

ATM

コンセント

レータ

ATM

コンセント

レータ

職員

IPsec

Client

学生

研究者

ATM

ATM網

網

IPsec

IPsec Gateway

Gateway

職員

IPsec

Client

職員

IPsec

Client

28

28 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

IPsec

--

-

--

-

VPN

の導入事例

• LAN

LAN

LAN上における

上における

上におけるSVPN

SVPN

経理サーバ

経理部長

IPsec

IPsec Client

Client

IPsec

IPsec Gateway

Gateway

一般社員

一般のサーバ

経理部門

一般社員

IPsec

IPsec Gateway

Gateway

(15)

29

29 IPsec

IPsec

--

-

--

-

VPN

の導入事例：

無線

LAN

における危険性

B

ack B

o

ne

B

ack B

o

ne

B

ack B

o

ne

B

ack B

o

ne

AP

AP：　

：　

：　アクセスポイント

アクセスポイント

AP

スニファーによる盗聴

許可の無い参加

スニ

フ

ァ

ーによる盗聴

スニ

フ

ァ

ーによる盗聴

スニ

フ

ァ

ーによる盗聴

スニ

フ

ァ

ーによる盗聴

30

30 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

IPsec

--

-

--

-

VPN

の導入事例：

無線

LAN

の

基本セキュリティ機能

• ESS ID

ESS ID

（

（（

（Extended Service Set ID

Extended Service Set ID

Extended Service Set ID）

））

）によるアクセスポイント

によるアクセスポイント

の秘匿

– 名前の異なるＡＰへ移動する場合、手動で切り替え

名前の異なるＡＰへ移動する場合、手動で切り替え

– スニファーによる盗聴には有効ではない

スニファーによる盗聴には有効ではない

• Mac

Mac

Macアドレス

Mac

アドレス

登録による排他処理

– 手入力で

手入力で

手入力でAP

AP

APへ各端末の

へ各端末の

へ各端末のMac

Mac

Macアドレスを登録・削除

Mac

アドレスを登録・削除

– バックボーンへのアクセス制御になるが

バックボーンへのアクセス制御になるが

バックボーンへのアクセス制御になるがAP

AP

AP配下は接続可能

配下は接続可能

– スニファーによる盗聴には有効ではない

スニファーによる盗聴には有効ではない

• WEP

WEP

（（

（Wired Equivalent Privacy

（

Wired Equivalent Privacy

Wired Equivalent Privacy）

Wired Equivalent Privacy

））

）によるフレームの暗号化

によるフレームの暗号化

– 暗号化は

暗号化は

暗号化はAP

AP

AP配下のみ有効

配下のみ有効

– 40

40

40 40bit

bit

bit暗号では一部製品は

bit

暗号では一部製品は

暗号では一部製品は5

暗号では一部製品は

55 5文字のキャラクタで

文字のキャラクタでShared

文字のキャラクタで

Shared

Shared-

--

-Secret

Secret

Secretを表

を表

現

(16)

31

31 無線

無線

LAN

パケットモニタのパケットウィンドウ

32

32 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

無線

LAN

パケット詳細

• 802.11

802.11

802.11 802.11b

bb

b規格のワイヤレ

規格のワイヤレ

ス

スLAN

LAN

LANプロトコルを下位

LAN

プロトコルを下位

層から上位層まで全てデ

コード

(17)

33

33 IPsec

IPsec

--

-

--

-

VPN

の導入事例：

拡張されたセキュリティ

AP

サーバ

VPN Gateway

VPN

Gateway

AP

VPN Client

サーバ

・

・・

・ IPSec

IPSec

IPSecなど

IPSec

など

などVPN

VPN

VPN製品による盗聴の防御

製品による盗聴の防御

　　・

　　・SSH

SSH

SSH、

、

、SSL

、

SSL

SSLなどアプリケーションレベルの

SSL

などアプリケーションレベルの

　　　暗号化通信も有効

・

・・

・サーバのアクセス制御の強化

サーバのアクセス制御の強化

　　・ユーザ認証によるアクセス権の制限

34

34 IPsec

IPsec

IPsecの概要と構築事例について

の概要と構築事例について

IPsec

--

-

--

-

VPN

の導入事例

• Web E

Web E

Web E-

--

-Commerce

Commerce

Firewall FirewallFirewall

Firewall RouterRouterRouterRouter DB DB DB DB IPsec IPsec IPsec IPsecににによるによるよるよる暗号化と認証暗号化と認証暗号化と認証暗号化と認証

顧客

Web

Webサーバ

サーバ

DB

DBサーバ

サーバ

IPsec

Gateway

DMZ

グローバル認証機関

売り手

SSL SSL SSL SSLによるによるによるによる暗号化と認証暗号化と認証暗号化と認証暗号化と認証

1. SVPN とは 3 ネットワークに対する脅威と防御法 攻撃防御策 不正アクセス盗聴なりすまし改ざんウィルス 不正アクセスアクセスログ Firewall Onetime Password 暗号化認証電子署名ウィルスチェックソフト 4

1

11

1

Secure Virtual Private Network

Secure Virtual Private Network

Secure Virtual Private Network

Secure Virtual Private Network

Secure Virtual Private Network

Secure Virtual Private Network

Secure Virtual Private Network

Secure Virtual Private Network

株式会社ディアイティ

株式会社ディアイティ

株式会社ディアイティ

株式会社ディアイティ

技術部

技術部

技術部

技術部

山田 英史

山田 英史

山田 英史

山田 英史

2001/

2001/

2001/

2001/12/6

12/6

12/6

12/6

IPsec

IPsec

IPsec

IPsec

IPsec

IPsec

IPsec

IPsec

による

による

による

による

による

による

による

による

VPN

VPN

VPN

VPN

VPN

VPN

VPN

VPN

構築 第一部

構築 第一部

構築 第一部

構築 第一部

構築 第一部

構築 第一部

構築 第一部

構築 第一部

IPsec

IPsec

IPsec

IPsec

IPsec

IPsec

IPsec

IPsec

の概要と構築事例について

の概要と構築事例について

の概要と構築事例について

の概要と構築事例について

の概要と構築事例について

の概要と構築事例について

の概要と構築事例について

の概要と構築事例について

2

1. SVPN とは 3 ネットワークに対する脅威と防御法攻撃防御策不正アクセス盗聴なりすまし改ざんウィルス不正アクセスアクセスログ Firewall Onetime Password 暗号化認証電子署名ウィルスチェックソフト 4

山田　英史

山田　英史

山田　英史

山田　英史

構築　第一部

構築　第一部

構築　第一部

構築　第一部

構築　第一部

構築　第一部

構築　第一部

構築　第一部

1.　

　SVPN