認証基盤ワークショップ_ 認証基盤におけるセキュリティと利便性のこれまでとこれから_第２回全体ミーティング
•
2 recomendaciones•732 vistas
• 認証基盤におけるセキュリティ • 認証基盤における利便性 • 認証基盤ワーキンググループ
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Similar a 認証基盤ワークショップ_ 認証基盤におけるセキュリティと利便性のこれまでとこれから_第２回全体ミーティング
Similar a 認証基盤ワークショップ_ 認証基盤におけるセキュリティと利便性のこれまでとこれから_第２回全体ミーティング (20)
Más de ID-Based Security イニシアティブ
Más de ID-Based Security イニシアティブ (20)
認証基盤ワークショップ_ 認証基盤におけるセキュリティと利便性のこれまでとこれから_第２回全体ミーティング
- 2. もくじ • 認証基盤におけるセキュリティ • 認証における問題点 • 電子証明書 • 導入事例 • 認証基盤における利便性 • シングルサインオン • 利便性向上を支援する基盤 • 認証基盤ワーキンググループ 2
- 8. 電子認証における優位性 ID+パスワードの脆弱性 固定パス ワード 認証 チャレンジ レスポンス 認証 ワンタイム パスワード 認証 電子証明書 認証 リ ス ク の 高 さ 盗聴 高 低 低 低 なりす まし 高 低 低 低 改ざん 高 高 高 低 フィッ シング 高 高 高 低 認証におけるリスク 推測やれやすいパスワード fjR8n pYDbL6 fh0GH5h F6&B is 1秒あたりの試行回数 桁数 5 大文字・小文字・数字 6 大文字・小文字・数字 7 大文字・小文字・数字 7 大文字・小文字・数字 記号・スペース混在 － 組合せ 916,132,832 56,800,235,584 3,521,614,606,208 55,784,660,123,648 GPU ＞1秒 4秒 17.5秒 7時間 33億回 CPU 24秒 90分 4日 75日 980万回 8,884 5,246 4,753 3,262 1,774 1,425 1,221 1,139 944 882 0 2,000 4,000 6,000 8,000 10,000 1234 0000 2580 1111 5555 5683 0852 2222 1212 1998 総当たり攻撃に要する解析時間 Smart PhoneにおけるPIN Top10 （iPhone Applicationによる調査） 出現回数 8
- 9. 認証方式の比較 ID/Password ワンタイム パスワード マトリックス認証 電子証明書 （PKI） 認証プラット フォーム（PKI） 認証強度 脆弱 やや脆弱*1 脆弱 強固 強固 複数アプリケーショ ンへの対応 ▲ × × ○ ○ ポリシーの柔軟性 強度を上げやすいか × ▲ ▲ ○ ◎ アカウント管理の 容易さ × ～ ▲ × ～ ▲ × ～ ▲ ▲ ～ ◎ ◎ 構築コスト ◎ × ▲ × ◎ 構築期間 ○ ▲ ▲ × ◎ ユーザライセンス ◎ × ▲ × ○ 運用コスト ◎ × ▲ × ○ ユーザビリティ パスワード地獄が 発生 H/Wが必要 視覚障害者、高齢者 に不具合 認証ごとに証明書を 選択する必要性 シンプルな操作で複 数認証可能 その他 ワンタイムパスワー ドとユーザが紐付い ていない 他人許容率が 高くなる 証明書の配付、 更新が困難 クレデンシャルの配 付、更新が容易、安 価 ◎：優れている ○：やや優れている ▲：やや劣る（設計に依存） ×：劣る（設計・制御が困難） ＊１ アカウント管理とパスワード管理の両立が必要であり、H/W紛失のリスクが高い 9
- 11. 電子証明書を利用した厳格な機器認証 適用サービス ✓ AD/LDAPクライアント認証 ✓ SSL-VPNクライアント 認証 ✓ WiFiアクセスポイント 認証 ✓ Webサービス 認証 電子証明書 従業員 なりすまし OK NG お客様企業 お客様管理者 VPN機器 証明書 発行申請 許可されたデバイスだけにインストールすることで 厳格なデバイス認証を実現します。 ID／パスワードが漏えいしても心配ありません 電子認証局 11
- 13. 「使う」・「セキュア」を簡単に ID/PW 覚える 入力ログイン時に入力 していたID／PWを入力 する際に不便だと感じ ませんか？ 電子証明書で簡単ログ イン、そしてセキュア な環境が作れます。 証明書 PIN 所持 電子証明書を使うと 入力する手間 パスワードの更新 マルチデバイス 解決 解決 解決 ID/PW認証から証明書認証へ PC以外のタブレットにも対応 ログイン時に入力していたID／PWを証明書認証に切り 替えることで簡単にログイン。サーバー証明書とクラ イアント証明書を利用することでセキュリティレベル を最高レベルまで確保します。 iPhoneやiPadのようなスマートフォンやタブレットに も証明書をインストールすることができます。 13
- 15. 証明書でマッチング（認証）をかけます！ 証明書のサブジェクト 電子証明書の優位性 電子証明書のメリットとディテール インターネット上で本人確認 I’m Smith. ID+Password I’m Smith. NG × 電子証明書 OK 〇 CN：Mike Smith（氏名） Issue：CA名称（発行元） O：××商事 Co,ltd,.（所属） OU：××××（認証ID） E-mail：（アドレス） 証明書を所持していない ので入ることはできません！ 証明書を所持しているのでOK 暗号化通信で安全・安心 Internet SSL／暗号化通信 証明書認証でシングルサインオン ・グループウェア ・ファイルサーバ ・人事 1枚の証明書でワンストップ管理！ 15
- 16. IoT時代の認証プラットフォームへの拡張 1枚の証明書で複数認証が可能に 1枚の証明書でワンストップ認証！ 低コストで次世代のユーザー認証を実現！ OK 厳格なユーザ認証でセキュアに マルチサービスで高いユーザビリティ マルチデバイス／マルチサービスに対応、次世代のユーザー認証 Mr.Smith NG × シングルサインオン 認証プラットフォーム （電子認証局サービス） 適用サービス ✓ AD/LDAPクライアント認証 ✓ SSL-VPNクライアント 認証 ✓ WiFiアクセスポイント 認証 ✓ Webサービス 認証 Matching SSL暗号化通信 信頼できる認証局 なりすまし × 16
- 18. 導入事例① Webサイトでの証明書認証 全国各支店／従業員 電子証明書を利用したASPサービス認証 クライアント証明書と、代表的なWebサーバであるApacheやIIS（Internet Information Service）との組合せによ り、電子証明書によるWebへのアクセス認証が可能となります。 通常のパスワード認証は、記憶という一因子に頼る認証方法であり、Webサービスに於いては安易なパスワード設定を 行うユーザが多いため、「なりすまし」を防ぐことがが難しいのが実情で、これでは十分な認証を行えているとは言え ません。 これに対し、PKI(公開鍵基盤)を活用した認証方法を用いることにより、高度なセキュリティ強度を持つユーザ認証が可 能になります。 電子認証局 18
- 25. 人事情報アプリ 給与情報アプリ 経理情報アプリ 営業情報アプリ 技術情報アプリ ID: TARO Password: oxoxo ID: 10294 Password: xoxox アクセス権なし ID: taro@domain Password: xooxo ID: taro@domain Password: xooxo さまざまな業務アプリケーションが乱立し、Aさんは それぞれ異なる資格情報でログインして利用している ディレクトリサーバー ID: domain¥taro Password: xooxo ディレクトリ連携
- 26. App 1 App 2 App 3 IAM directory IAM policy manager SSOの仕組み Webアプリケーション利用者
- 27. どこからでも いつでもどのデバイスでも Mobility 24x7 workforceBring your own device • 多くの企業では、社内の独自ソリューションを今後も構築したり維 持するよりも、クラウドベースのサービスを採用し始めています • クラウドプロバイダは、専門性の高いサービスを、高い費用対効果 で顧客に提供します（サブスクリプション、マルチテナント）
- 28. • クラウドアプリ個別でユーザ管理 運用負荷増大 • オペレーションミス (i.e.退職に伴うアカウント削除漏れ) セキュリティリスク • セキュリティポリシーのばらつき セキュリティリスク • 各サービス利用毎にID/Passを入力 利便性の低下 インターネット 利用者 AAAAAAAAAAAA 管理者
- 29. 用語 意味／役割 アイデンティティ・プロバイダ（IdP） 認証を行いアイデンティティ情報を提供する サービス・プロバイダ（SP） IdPに認証を委託し、IdPからの認証情報を信頼し てサービス提供する Assertion（アサーション） IdPが本人性を証明するために発行する文書。属 性やアクセス権情報などを含む場合もある SP Website IdP 直接通信なし User １．SPへアクセス ２．IdPへ リダイレクト ３．認証 ４．認証結果を POST SPで直接認証を行わな いためSPにパスワード 情報が不要 POST REDIRECT 型連携パターン Assertion
- 30. • クラウドアプリ個別でユーザ管理 集中管理が可能 • オペレーションミス (i.e.退職に伴うアカウント削除漏れ) 集中管理が可能 • セキュリティポリシーのばらつき 認証に関してポリシーの統一化 • 各サービス利用毎にID/Passを入力 一度の認証で複数アプリケーションに対応 認証システム インターネット Identity and Access Management 端末 AAAAAAAAAAAA AAA 管理者
- 34. チェック項目例：iOS プラットフォーム情報 iOS モデル名 iPhone 6 バージョン情報 10.1 ユニークID(UUID) 8ccaf965e51e3077 Jailbreak no ワンタイムパスワード 123456 誰が、いつ、どこから、どんな端末から アクセスしたのかをチェックします。 ポリシーエディタ 端末の状況確認 ユーザA アクセス制御 検疫結果とポリシーに基づき 認証と認可を実施します。 ポリシー例 ユーザAというアカウント名のユーザーは、 最新のiOSをインストールした デバイスID"XXXXX"というiPhoneから でなければアクセスを拒否する かつワンタイムパスワードを入力する アクセス端末 アクセス許可 アクセス拒否 任意のメッセージを表示