【Connected.T4】SORACOMで実現する強固なセキュリティ
•
7 recomendaciones•3,231 vistas
クラスメソッド株式会社 AWSコンサルティング部シニアソリューションアーキテクト 大瀧 隆太 氏 株式会社ソラコム プリンシパルソフトウェアエンジニア 片山 暁雄 ご紹介サービス：SORACOM Endorse 新機能：SORACOM Access Management(SAM)
Recomendados
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Destacado
Destacado (20)
Similar a 【Connected.T4】SORACOMで実現する強固なセキュリティ
Similar a 【Connected.T4】SORACOMで実現する強固なセキュリティ (20)
Más de SORACOM,INC
Más de SORACOM,INC (20)
Último
Último (10)
【Connected.T4】SORACOMで実現する強固なセキュリティ
- 1. SORACOMで実現する 強固なセキュリティ 株式会社ソラコム プリンシパルソフトウェアエンジニア 片山 暁雄 SORACOM Conference Connected. 2016 テクニカルトラック SORACOM Conference Connected. 2016 テクニカルトラック
- 2. • 名前：片山 暁雄 • 所属：株式会社ソラコム – プリンシパルソフトウェアエンジニア • ID : c9katayama
- 3. Thanks for our sponsors | Platinum Sponsors | Gold Sponsors | Silver Sponsors | Beverage Sponsors ル
- 5. SORACOMの実現するセキュリティ SORACOM Endorse SORACOM Access Management Agenda
- 6. SORACOMの実現するセキュリティ SORACOM Endorse SORACOM Access Management Agenda
- 16. •IMSI（イムジ） • International Mobile Subscriber Identity • SIMカードから取れる、15桁のユニークID •MSISDN • SIMカードから取れる、いわゆる「電話番号」 •IMEI(イメイ) • International Mobile Equipment Identity • 通信デバイスごとに付与される SIMカード/デバイスから取れるID情報
- 19. •自分の持っているSORACOMのSIM通信であること は保証されるが、どのSIMからの通信かは分からな い SORACOM Canal/Directを使った通信 △ △ Canal Direct
- 21. デバイスの特定を行うには •IMSI/IMEIを使ったデバイス特定はセキュアで便利 • SIMの高い対タンパ性 • デバイスごとのIDや秘密鍵の付与が不要 •SORACOM AirやCanal/Direct、もしくはWifiなど SORACOM以外の通信でもクライアントを特定し たい
- 22. 《 SORACOM Endorse 》
- 23. •SIMの認証情報を、他のシステムにエンドースする ためのサービス •エンドース = 保証、裏書き •SORACOM以外の通信でも、SIMの特定が可能 • SIMの情報と認証の連携が可能に SORACOM Endorse
- 24. 1.認証トークンをリクエスト SORACOM Endorse 2.認証トークンを発行 3.認証トークンを送信 4.公開鍵で トークンを検証 5.独自の認証トークンなどを発行 利用者の サーバ デバイス
- 27. •JWT(JsonWebToken)の形式 •以下の情報の受け渡しが可能 •IMSI • IMEI • MSISDN •任意データ (requestParams) 認証トークン { "iss": "https://soracom.io", "aud": "soracom-endorse-audience", "exp": 1451116301, "jti": "hkK7qNyXzEMVAXfTq1MBuA", "iat": 1451116121, "nbf": 1451116061, "sub": "soracom-endorse", "soracom-endorse-claim": { "imsi": "440XXXXXXXXXXXX" ”requestParams": { "username": "foo", "sessionId": "bar" } } }
- 28. •認証トークンの署名を公開鍵で検証 • 公開鍵はSORACOMの指定サーバに配置 • 検証は各種言語のJWT対応ライブラリで実行可能 • http://jwt.io/ が良い情報源 認証トークンの検証
- 29. • デバイスからのデータ転送のオフロード • SIMで認証を行い、大量データはWifiやLANなどで送信 • 社内サーバへのシングルサインオン • 社内認証サーバと連携し、IMSIと社員情報を紐付け • IMSIとIMEIが指定のものでない場合はアクセスを拒否 • 多要素認証の一部として利用 • IMSIとIMEIの組み合わせで指定のデバイス以外からのログ インを拒否 ユースケース
- 32. 《 SORACOM Access Management 》
- 33. •SORACOM Access Management(SAM)は、 SORACOM自体の操作を管理するための仕組み •SORACOMプラットホームを横断する機能として 提供 SORACOM Access Management
- 35. • ”オペレーター(Operator)” • SORACOMアカウントを作成するときに作 られる • 最も強い操作権限を持つ • UNIX/Linuxでいう”root” • SAMユーザー • 一定の権限のみ与えられた、SORACOM操 作用のユーザー • 利用者や目的ごとに作成できる SAMユーザー
- 37. • 認証キーIDと認証キーシークレットからなる、 キーペア • APIを使用するときの認証に利用 • Operator/SAMユーザーごとに最大2つまで作成 可能 • 認証キーは作成時のみしか取得できない • 紛失した場合は再作成 認証キー（AuthKey)
- 43. Permission構文例 api: このstatementが指定す る対象のAPI(必須) condition: このstatementが適 用される条件（オプション) effect: このstatementsがallow（許 可)を示すのか、deny(拒否)を示す のかを指定(必須)
- 44. api • APIはサービス名とオペレーション名の２つで定義 • サービス名およびオペレーション名はAPIドキュメントに記載 • *(アスタリスク)も使用可能 • “api”:”*” すべての操作 • “api”:”Subscriber:list*” Subscriberのlist操作全般 “api”:”PaymentMethod:getPaymentMethod”
- 45. •組み込み関数と変数 • HTTPメソッド(httpMethod) •通信元IPアドレス(sourceIp) • 日付、時刻(currentDate,currentDateTime) •演算子 • eq(==), ne(!=), lt(<), le(<=), matches(正規表現) な ど condition
- 46. • subscribersコンポーネントのAPI全てを、2016年2月1日 まで、IPアドレスが10.0.0.1～10.0.0.254の範囲内のクラ イアントのみ許可したい。 condition例 { "statements":[ { "effect":"allow", "api":”Subscriber:*", "condition":"currentDate <= date(2016, 02, 01) and ipAddress('10.0.0.1/24')" } ] }
- 47. •直接設定（インライン権限） • SAMユーザーに直接権限を設定する • SAMユーザーと1:1になるためわかりやすい •ロール • “ロール”と呼ばれる権限グループを作成して、権限を ロールに設定する • SAMユーザーにはロールをアタッチする ２つの権限設定方法
- 49. • Adminユーザー • すべての操作が可能 • ただしこの設定にしても、Operator自体の操作（パスワードやメール変 更）は不可 SAMのユースケース { "statements":[{ "effect":"allow", "api":[”*”] }] }
- 51. • 請求周りだけの操作 • 経理の方むけ • コンソールログインはon,認証キーはoff SAMのユースケース { "statements":[{ "effect":"allow", "api":[”Billing:*, PaymentMethod:*”] }] }
- 53. •SAMは利用料 無料 •積極的に活用して下さい! SORACOM Access Management 料金
- 54. 《 まとめ 》