株式会社日本総合研究所 金融第二営業部 佐藤 隆行 氏 個人情報保護法の本格施行を 4 月に控え、企業におけるシステムセキュリ
ティ対策は正念場を迎えている。OA 環境のセキュリティを強固にするため には、Windows が本来標準で備えている PKI/IC カード機能を利用して本 人認証のレベルを高めることが、最も費用対効果に優れたソリューションと なる。
FIT 記事 No.16 (2005)
Windows 標準機能活用によるコーポレートセキュリティの向上
～ IC カード/PKI パッケージ JenCa (ジェンカ) ～
トピック
ID/PW 認証の脆弱性 IC カード認証の薦め PKI の意義 コスト上の課題 Windows の再評価
パッケージ JenCa (ジェンカ) とは ガイドラインへの対応
無許可 PC の社内 LAN 接続制限 IC カード発行コストの抑制 実際の導入事例
今後の展開
ID/PW 認証の脆弱性
ID とパスワードのキーボード入力による認証が企業システムにおける一般的な本人認証手段であろうことは論を俟たない。しか し、個人情報保護法下における ID/PW 認証は、あらゆる場面で大きなセキュリティリスクを抱えているといわざるを得ない。それ は一言でいえば ID/PW 盗用による「なりすまし」に集約される。自分の ID/PW を誰かが盗用・使用していても、通常本人がそれ に気づく術はほとんどない。
「なりすまされて」いることが全く判明されない状態が継続されることは、不正アクセスと情報漏えいの大きなリスクを顕在化させ ることになる。事故発生時にアクセスログで証跡をトレースしようとしても、1 つの ID を複数社員が使用していることか ら、ID/PW による本人特定が困難であり、ログの蓄積自体がほとんど意味を成さないということになる。
パスワードを一定期間で変更するなどの運用ルールの設定も可能であるが、根本的な解決策とは言い難い。企業内に業務システムが 複数存在し、複数の ID/PW を使い分けなければならない環境下では、失念防止のため机上あるいはディスプレイの画面脇に ID/PW を明記しておくといった状態が少なからず発生してしまう。
ID/PW の盗用を防ぐため、社員教育・啓蒙でセキュリティ意識の向上を図る施策も必要だが、知識認証 = 「知っていればログイン ができる」という状況である限り、盗用・使用のリスクを大幅に低下させることは非常に困難であり、なんらかの異なる認証手段が 必要とされていると考えるべきであろう。
トップへ戻る
IC カード認証の薦め
知識認証の 1 つ次の段階として「物理認証」がある。ある物理的なデバイスを使って本人確認を行う方式で、このデバイスの最有力 候補として IC カードの利用に注目したい。USB キーなどを用いた製品も存在するが、「本人認証のため 1 日に何度も抜き差しを する」といった使用方法においては、磨耗・故障に強いというメリットを持つ IC カードが最も適した形態のデバイスである。
IC カードによる物理認証の大きな特徴の1つはもちろん、「なりすまし」が困難である、ということである。IC カード型社員証に 本人認証機能を付与した場合を想定しよう。顔写真が印刷された ID カードを使ってログイン認証を行うことになるが、「なりすま し」を行うためには、その IC 社員証を他人が継続的に保有する必要がある。つまり本人にとっては「カードの紛失」というイベン トが必ず発生するわけで、ただちにそのカードを「失効」する手続きを踏むことで、「なりすまし」の期間と被害を最小限に抑える ことができるのである。しかも IC カードによる本人認証には、そのカードが確かに本人のものであることを確認するための「暗証 番号の入力」という作業が必ず求められる。他人のカードを拾ってもこの暗証番号 (IC カード内部に格納されている) を知らなけれ ば使用できないのである。IC カードを「持っている」ことと、暗証番号を「知っている」ことの組み合わせによる本人認証は、前 述の ID/PW による知識認証の脆弱性を充分に補強することができると考えてよい。
トップへ戻る
PKI の意義
IC カードによる物理認証がセキュリティ上強固であることはご理解いただけたであろう。では具体的な方式は何を採用するべきで あろうか。IC カード内部に既存の ID と PW を格納しそれをサーバーに送信する、あるいは何か独自の方式を新たに考案すること も可能だ。しかし企業のシステム担当者が重視すべきは、 (1) スタンダードであること (セキュリティの高さが技術的に認知され、
広く採用されていること) (2) 拡張性が高いこと、であろう。筆者は、IC カードと PKI (Public Key Infrastructure) の組み合わせ が現時点のベストソリューションであると考えている。
すでに電子政府においては、PKI の機能による「電子証明書」を用いて適正な本人確認とする制度が実施されている。例えば総務省
「公的個人認証サービス」、法務省「商業登記に基づく法人認証サービス」などである。また PKI のこの機能は、電子署名法でも担 保されているように、従前の「押印機能」としても使用することが可能だ。この電子署名法での担保を積極的に活用することで、電
FIT 記事 No.16 (2005) Windows 標準機能活用によるコーポレートセキュリティの向上 ¦ 金融 ¦ Microsoft for Business
子契約や社内稟議のペーパーレス化などについても、より安全かつ迅速な対応をすることが組織的にも可能になる。さらにネット上 では、SSL 認証というカタチで WEB サイトのセキュリティ強化方式の標準となっており、電子メールの暗号化/署名で
は、S/MIME にて採用されている。つまり PKI はスタンダードであり、認証以外にも暗号化や電子署名などにも利用可能な、非常 に拡張性の高いセキュリティ方式であるといってよい。しかも IC カードは外部に秘密鍵が漏れないため、PKI における「秘密鍵」
を格納するのに最適な物理デバイスとなる。
トップへ戻る
コスト上の課題
社内セキュリティを強化する上で、相性のよい IC カードと PKIを採用するということは非常に魅力的な選択肢である。では、費用 対効果まで考えてベストなソリューションであるといえるのであろうか。社員分の IC カードの発行費用、PC 台数分の IC カード リーダライターの購入、さらには IC カードを制御するソフトウェアのクライアント導入など、コスト面での検討が必要である。IC カードの導入と同様に PKI の導入も、その高いセキュリティとは裏腹に、過去非常にハードルの高いシステムであった。なぜなら ば、(1) クライアント PC に対応ソフトウェアを導入しなければならない (ライセンス費用 + 導入作業) (2) サーバーに対応ソフト ウェアを導入しなければならない (ライセンス費用 + 導入作業) (3) 電子証明書の発行 / 再発行に費用がかかる、といった負担が大 きかったのである。
トップへ戻る
Windows の再評価
せっかくの IC カードと PKI の組み合わせも、大幅なコスト増が見込まれるのであれば企業は採用に二の足を踏むことになる。ここ で既存の OA 環境に目を転じると、どの企業においても Windows が一般的に導入されていることに気づく。もし Windows が IC カードと PKI に標準対応していて、追加コストが不要であるとしたらどうであろうか。
実は Windows は IC カードと PKI の機能を標準採用しているのである。クライアントは Windows 2000 以降であれば、IC カー ドリーダライターを接続し IC カードを差し込むと、即座に IC カードを認識してくれるのだ。また Windows 2000 Sever 以降で あれば、PKI の電子証明書発行機能を無償で利用することができる。つまり、前述の PKI のコスト上の課題は全てクリアされ、かつ IC カードの制御においても Windows の標準機能を利用すれば、IC カードとリーダライタのハードウェア費用のみが基本的な追加 コストとなるのである。
こうした Windows 標準機能を最大限活用して、個人情報保護対策を最も効率的に実現させるべく日本総合研究所がマイクロソフト 社との技術検証を経て開発した商品が、IC カード/PKI パッケージ JenCa (ジェンカ) である。(図 1 参照)
トップへ戻る
パッケージ JenCa (ジェンカ) とは
JenCa の機能全体像を図 2 に示す。以下、JenCa の 7 つの機能を概観してみよう。
1. JenCa-RA (*1)
Windows Server の電子証明書発行機能を補強するパッケージである。Windows 標準の電子証明書発行機能を使用する場 合、IC カードを 1 枚 1 枚手差しで各人の証明書を格納していくことになる。社員数が数名ならばそうした運用も可能であ るが、ある程度以上の枚数を発行しようとすると、作業にかなりの時間を取られることになる。さらに、IC カード券面の顔 写真とは異なる社員の電子証明書を格納してしまうなどのミスを誘発しやすい。JenCa-RA では電子証明書の大量一括生成 を実現することで、発行作業の手間とミスを削減している。また、証明書の発行・失効の申請→審査→発行→監査といった ワークフローを搭載することで、運用管理作業を効率化している。
2. JenCa-Logon
特別なソフトウェアではなく、Windows クライアントの標準機能「スマートカードログオン」をJenCa ラインナップの中で こう呼称している。追加のアプリケーションは一切不要であり、パッチ管理も OS レベル (Windows Update) で実現され る。
3. JenCa-Crypto
FD や MO などの媒体にてファイルを授受する場合に、公開鍵と IC カード内の秘密鍵を用いてファイルの暗号/復号および 電子署名を行うことで、盗聴/改ざん/なりすましを防止するアプリケーションである。
4. JenCa-Protect (*2)
外部記憶装置 (USB メモリや FD、CD-ROM など)へのファイル書き出しを制限する。また、書き出しを行った場合にもその 操作ログを記録することで、監査証跡を残すことができる。デバイスドライバレベルで制御するため、非常に強固に情報漏え いを防止することができる。
5. JenCa-Print
印刷物の取り忘れを防ぐために、IC カードで本人認証を行うことにより、初めて自分の印刷要求が紙に印刷される機能を提 供する。もちろん印刷ログの取得も行う。プリンタベンダーはマルチベンダーに対応している。
6. JenCa-OfficePC
セキュリティと同じ IC カードを用いて、入退室・入退館管理を行う。出退勤管理などへの機能拡張も別途可能である。
7. JenCa-Cashless
セキュリティと直接の関係はないが、多機能 IC カードの応用として、社内キャッシュレス機能 (クレジットまたは電子マ ネー) の搭載も可能である。社内の経費精算や食堂利用、自動販売機などのキャッシュレスが可能となる。
*1: Windows の電子証明書発行機能に対応したパッケージとしては、国内初。
*2: JenCa-Protect は、サイエンスパーク株式会社 (本社: 神奈川県座間市) が開発したデバイス制御ソフトウェア「DriverwareSoftwareR」
技術を組み込むことで実現しています。
JenCa 導入の前提条件
Windows 標準機能を活用しているため、導入には次の 3 つが前提となる。
クライアントが Windows 2000 以上 サーバーが Windows 2000 Server 以上 Active Directory が構築されている
Windows 95/98/ME/NT はすでにサポート切れまたはサポート切れ間近であり、セキュリティ対策上好ましくない。積極的な OS のアップグレードを推奨したい。
トップへ戻る
ガイドラインへの対応
本来あるべき本人認証のありかたを検討していく中で、Windows の標準機能 + アルファである JenCa パッケージ機能のご紹介を
FIT 記事 No.16 (2005) Windows 標準機能活用によるコーポレートセキュリティの向上 ¦ 金融 ¦ Microsoft for Business
した。ここで、各監督官庁が作成しているガイドラインにどの程度対応できるのかを分析してみよう。図 3 をご覧いただきたい。
システム対応が必要となる物理的・技術的安全管理措置全 26 項目のうち、23 項目に対応できているという結果となった。つま り、Windows の標準機能を活用することで、ガイドラインの約 9 割に対応が可能なのである。
トップへ戻る
無許可 PC の社内 LAN 接続制限
PKI を採用していることの大きいメリットとしてその拡張性の高さをあげるため、具体的な1例を次に示したい。社内 LAN への接続 の際、ドメイン認証の前にネットワーク認証 (社内 LAN にアクセスしてよいかどうかの判断) を無線 LAN/有線 LAN 両方の環境で 簡易に実現することが可能である。IEEE802.1x 認証における EAP-TLS 認証においては、電子証明書を用いることで、認証されて いないクライアントからの通信を全て遮断することができる。Windows はこの IEEE802.1x 認証を標準サポートしている。(図 4 参照)
トップへ戻る
IC カード発行コストの抑制
IC カードの発行コストを抑制する手段について考えたい。社会インフラとして IC カードが確実に浸透しつつあることは図 5 の通 りである。クレジットカードの IC 化が 00 年頃から先行し、続けて鉄道乗車券の IC 化、そして銀行のキャッシュカードの IC 化が 開始された。例えば、IC クレジットカードと一体化する形で社内のセキュリティカードや社員証を発行する場合、その発行コスト の一部はクレジットカード会社の負担となるため、導入コストの低減が可能となる。また 1 枚の IC カードに様々な機能を搭載する ことで、個別導入する場合にくらべ、相対的に発行コスト、導入コストを抑制できる。
トップへ戻る
実際の導入事例
04 年 5 月から販売を開始してすでに 15 社程度ご採用いただいている JenCa であるが、そのいくつかの使用例をご紹介したい。
1. OA 環境への導入
JenCa の基本的な使い方である社内 OA 環境への導入である。個人情報の塊といってよいクレジットカード業務におい て、1 つのパッケージで個人情報保護法に網羅的に対応できる点をご評価いただいた。接触型と FeliCa のハイブリッドカー ドで、PC セキュリティと入退室管理を同時に実現している。(図 6)
2. B to C 型 WEB センターへのアクセス認証
Windows-PKI の新しい利用方法の 1 つである。米国では Contractual-PKI (契約に基づく PKI) として知られているが、
企業が発行するプライベートな証明書をユーザーの WEB アクセス認証に使用する形態である (SSL クライアント認 証)。SSL サーバー認証にはパブリックな証明書が必要であるが、B to C 型の SSL クライアント認証にはプライベート証明 書を活用することで、強固な認証を安価に導入することが可能となっている。(図 7)
FIT 記事 No.16 (2005) Windows 標準機能活用によるコーポレートセキュリティの向上 ¦ 金融 ¦ Microsoft for Business 3. オフラインファイル授受の実現
非常に多数の取引先とデータ授受を行っている会社の適用例である。最終的には全てオンラインでのデータ送受信に移行させ る予定であるが、オンラインに移行できず FD や MO を郵送せざるを得ない取引先が残っている。したがって、オフライン でもオンラインでも利用できるファイル (データ) 暗号化方式が求められた。JenCa では、オフラインの暗号化もオンライン の暗号化も、同じ 1 枚の IC カードで対応することが可能であり、暗号化に加えて電子署名機能によるなりすましと改ざん 防止が可能である点も、評価いただいている。(図 8)
トップへ戻る
今後の展開
個人情報保護法と同じく、05 年 4 月には e - 文書法も施行される。電子 (化) 文書の保存には電子証明書による署名済ファイルと しての保存が求められており、もちろん JenCa を適用することが可能である。こうした Windows ベースの IC カードと PKI の組 み合わせは、今後もさらに適用範囲が拡大していくことが予想される。
トップへ戻る 金融 IT 情報誌 FIT No.16「2005 春号」
本サイトに記載の情報は、日本金融通信社発行「FIT」誌の発行日時点におけるものです。Microsoft は本サイトに記載した内容について の確約や、発行日以降に内容の正確さについての保証を行いません。本サイトは情報を提供するために作成されたものです。
トップへ戻る
