Webinar解説「これからのPKIマーケット～証明書ライフサイクル管理という考え方～」
|
解説： ISC2認定主任講師/株式会社ラック 安田 良明 氏 CISSP, SSSP |
Webinar開催日:2020年6月3日
スピーカー:佐藤 公理, CISSP, シニアテクニカルセールスコンサルタント, エントラストジャパン株式会社.
Webinar視聴のご視聴はこちら
みなさん、こんにちは。ISC2認定講師の安田 良明です。今もCOVID-19の影響により組織と個人の生活スタイルが不安定な状況が続いていますが、僕は前向きにこの対面できない状況の中でしか見つけられない価値を見出さそうと思い、今まで以上に世の中の動向を分析するように心がけ、何をすることで社会貢献ができるのかを考えるようになりました。また講師活動においてはオンライントレーニングに加えオンサイト型が入り混じるハイブリッド型に変化していることでご受講者が受け入れやすいトレーニング環境を作ることの難しさに直面し、講師スキルに加え講義環境を準備する技術を磨き上げています。
そんな中、第17回目に配信されたISC2日本語Webinarのアーカイブ視聴を行いました。第17回目のWebinarでは、従来からITシステムの様々な分野（サーバー証明書・デバイス認証等）で幅広く利用されているPKI・デジタル証明書について基本的な解説があり、ITシステムにおける暗号化、署名、否認防止、認証を具体的な管理策として実装することができることが理解できました。認証についてはアクティブ認証とパッシブ認証が存在しますが、アクティブ認証の場合、認証を重ねることでセキュリティの向上が期待できる反面、ユーザーの利便性が損なわれるデメリットがあるため、パッシブ認証のリスクベース認証を活用することでユーザーの利便性の維持・向上とセキュリティの両立ができることを学ぶことができました。
また、クラウド・IoTによるITシステム活用の広がりにより、PKIの利用範囲やユースケースが広がり、境界防御の限界を感じ取り、人、モノ、サービスを含めたPKI利用基盤の範囲を拡大しなければならないことを理解することができました。PKI・デジタル証明書はCISSPの共通知識分野の中では「暗号および鍵管理」の考え方で解説されていますが、適切なアーキテクチャに基づく仕組みの実装（暗号ライフサイクル・アルゴリズムやプロトコルのガバナンス）と日々のセキュリティの運用（証明書の発行や失効、鍵の発行、失効、回復、保管等）を実現しなければならない困難な情報セキュリティの取り組みの１つになります。
今回は、2020年6月3日に行われた「エントラストジャパン株式会社」様のWebinar「これからのPKIマーケット～証明書ライフサイクル管理という考え方～」について、「セキュリティアーキテクチャとエンジニアリング」で取り扱われているCISSP的な考え方にリンクさせながら解説を行います。なお、PKI・デジタル証明書については、すべてのCISSPのドメインに関連性がありますが、アイデンティティとアクセス管理に関するWebinar解説の中でも人・モノ・サービスの識別、認証の重要性について解説していますので、過去のWebinar解説を合わせて読んでいていただけると幸いです。
CISSPは、「セキュリティアーキテクチャとエンジニアリング」で紹介されている数々のCBK(共通知識分野)を理解することで、組織のビジネスニーズを正確に評価したうえで組織が必要とするシステムセキュリティの主要な原則「機密性」、「完全性」、「可用性」を情報システムに実装する共通知識を学ぶことができます。それらの共通知識を身に着けたCISSPは、特定のシステムまたは環境のニーズに合わせて情報セキュリティ管理策の仕様やパラメータを調整することが可能となり、経営陣が期待する組織の業務環境を提供することが実現できます。
また、PKI・デジタル証明書の基盤は情報セキュリティの3原則となる「機密性」、「完全性」、「可用性」に加えて、よりセキュリティをコントロールしやすくなる「認証」、「否認防止」の機能を提供してくれます。サイバー空間において何かしらの手続きを開始する際、相手を識別し認証することは基本的な要件になるため、人と人が対面しない環境において、どのように相手が本当に手続きを行いたい人なのかどうかを確認する仕組みを準備しなければなりません。そのため、サイバー空間で本人確認をするためには、第三者が証明したデジタル証明書が必要であり、その共通基盤として、PKIが不可欠な要素技術となります。さらにサイバー空間では対面で人と人が契約行為をする手続きを、仕組みを変えて実現しなければなりません。その際、一般的な契約行為と同様に「否認防止」の機能として、利用者が事後になって利用事実を否定することができないようにサイバー空間における手続きでもやり取りの証拠を残すことが要求されています。CISSPでは通常の業務がセキュリティ込みでITシステムとして実装されていくことを期待されていますが、「機密性」、「完全性」、「可用性」に加えて、「認証」、「否認防止」の機能を実装していかなければ、サイバー空間で業務を達成することができないことを理解しておく必要があります。
それでは、佐藤様のwebinarで紹介されている、「これからのPKIマーケット～証明書ライフサイクル管理という考え方～」について解説をしていきます。PKI・デジタル証明書の仕組みが導入され始めたのは2000年～ 2010 年にかけて、IC社員証、VPN、Wi-Fi等各ユースケースでPKI の導入が進んでいったことに佐藤様は触れられております。僕も2001年ごろに約14万人のユーザーを支えるPKI導入プロジェクトに参画したことを覚えています。今から約20年前のことですが、当時は政府認証基盤（GPKI）、住民基本台帳カードによる公的個人認証サービス（JPKI）が展開されることもニュースや報道で周知されていたこともあり、市民、政府、企業や消費者の間でインターネット上の本人確認が普及するのではということで盛り上がりを見せていました。
日本国内だけではなく諸外国における電子政府プロジェクトやオンラインバンキング等電子商取引が導入されるなかで、デジタル社会における安全・安心な社会環境を実現するために PKI は重要な要素技術として普及・啓発されていました。情報処理推進機構（IPA）様やJNSA様では積極的なPKIに関する調査研究、成果発表に関するセミナーを行っており、僕もこの当時にPKIの必要性を学ぶためセミナーに何度も足を運んでいました。IPA様とJSNA様のPKIに関する取り組みの成果は今でも公開されておりますので巻末で紹介いたします。
この当時からPKI・デジタル証明書の仕組みをITシステムに実装することで、サーバー証明書、デバイス認証、クライアント認証、S/MIME（電子署名と暗号化メール）、ドキュメント署名、ネットワーク認証等が実現できることは知識として普及し、実装技術も具体的に存在していました。しかし、デジタル社会においてPKIは不可欠であると理解されているにもかかわらず、2020年においてもPKIを運用している組織が数多く存在していないのが実情です。佐藤様のWebinarでは、PKIを導入している組織では、PKIに詳しい人材がいて、ITインフラにPKIがあることがセキュアで便利ということが理解されているため、ますます組織でのPKI利用が普及していくが、PKIが導入されない組織においては、PKIに詳しい人材がいないため、PKIを言葉としてなんとなく理解はしている場合もあるがPKIのメリットを正しく理解していないため、PKIを導入するには至らないと説明されています。
僕もPKIを構築した経験がありますが、どのようなPKIにしていくのか企画の段階から躓き、設計時には検討事項が多く、それらを実装するための技術も当時は選択肢があまり多くはありませんでしたが、選択肢が少なかったため、限られた実装方式のフレームワークの中で何とかPKIを実装することができました。当時を振り返ると初期構築段階では大きなトラブルは発生しませんでしたが、PKIを802.1Xのネットワーク認証で活用したいと言われた時に迅速に対応できなかったり、PKIで管理する人員を増やしたいニーズにもすぐに対応できなかったり、柔軟性、拡張性については頭を悩ませました。PKIの技術動向やそのお客様の将来ビジョンの共有が足りなかったため、中長期のセキュリティアーキテクチャの検討不足が招いた結果でした。
また、運用面でも大きな失敗を経験しました。PKIではセキュリティ侵害があったことを想定する運用も考えておく必要がありましたが、例えば僕の失敗談としては、認証局サーバーが侵害されたため、14万人分のデジタル証明書を短時間で失効したいというケースを想定した際、そのデジタル証明書の失効トランザクションが一向に終了しないということでテストが中止になった苦い経験もあります。佐藤様のプレゼンテーションの中でも「PKI管理がPKIの複雑さについていけていない」とメッセージがありましたが、まさにPKIが普及しない大きな理由の1つではないかと改めて感じました。
それではPKI・デジタル証明書の仕組みを組織に実装する際、どのようなことを考える必要があるのでしょうか。1つのアプローチとして、CISSPの「セキュリティアーキテクチャとエンジニアリング」のドメインで取り扱われている「アルゴリズム/プロトコルのガバナンス」、「公開鍵基盤（PKI）」、「鍵管理と鍵管理の実践」に関する共通知識を取り扱うことで課題を解決することができます。
「アルゴリズム/プロトコルのガバナンス」の共通知識の考え方を用いることでマネジメントの取り組みとして、組織全体における暗号のポリシー、スタンダード、プロシージャを定義し、鍵の生成、保管、セキュアな破壊、承認済み暗号アルゴリズムおよび鍵サイズ等のガバナンスを確立することが期待できます。組織の中で使用してはいけないアルゴリズムや鍵サイズをあらかじめ把握しておくことは、いつかは破られる暗号を運用する際、暗号ライフサイクルとして必要な考え方です。また、どこで公開鍵や秘密鍵が生成されているのか、どこで公開鍵、秘密鍵、デジタル証明書が保存されているかを把握することができなければ、管理されていないPKIにより組織が認めてない暗号アルゴリズムを使用した鍵の運用が行われてしまうことで、知る必要性が無いユーザーが暗号化されたデータを平文にしてしまう可能性があります。技術的な取り組みとしては、公開鍵暗号方式を使用、管理、制御するのに必要なシステム、ソフトウェア、通信プロトコル一式として「公開鍵基盤（PKI）」を構築します。PKIを構築する際は、組織の目的を達成する機能が有することに加え、組織が成長することを念頭においた柔軟性、拡張性、互換性に対応できる製品やサービスを選択する必要があります。佐藤様のWebinarでは互換性の事例として、デジタル証明書の配布については、Windows、Android、iOS、ネットワーク機器等によって、デジタル証明書の配布プロトコルが変わってくるため、どのようなプロトコルをPKIがサポートしているのかをあらかじめ理解しておくことがCISSPには要求されます。他にも組織内で複数の認証局が存在する場合は、個々の認証局を１つずつ管理することは、暗号ガバナンスが失われしまうことがあるため、個々の認証局を一元管理できる仕組みを考慮する必要があります。今回のWebinarでは「Certificate Hub」のサービス紹介がありましたが、複数のCA にまたがった証明書の可視性とライフサイクル管理が具体的に実現できるサービスであり、このようなサービスをCISSPが知識として理解しておくことで、運用面の煩わしさから解放することが期待できます。
運用面の取り組みとしては、「鍵管理と鍵管理の実践」の共通知識として定義されている鍵の生成、鍵の配送、鍵の変更、鍵の廃棄、鍵の回復、鍵の保管を組織のポリシーやプロシージャ通りにPKI上で運用できる環境を構築する必要があります。組織におけるPKI利用が促進されていくことで、発行するデジタル証明書の数が増えていくため、鍵の発行、鍵の失効等の手続きは、人を介さずに運用していく必要があります。PKIの初期導入時は人だけのデジタル証明書の発行になることがありますが、PKIの利活用が進むに従い、デバイス証明書、クライアント証明書等運用管理対象となるデジタル証明書が増えていきます。また、今後は、佐藤様が指摘している通り、クラウド上のリソースを識別・認証するためや5GセキュリティにおけるIoTデバイスの識別・認証についてもデジタル証明書の配布が必要となります。将来の組織におけるITシステムの全容を把握し、柔軟にスケールアウトでき、APIで運用を自動化できるPKIサービスの選択ができるようにCISSPは最新のPKIマーケットを理解しておく必要があります。
今回は、「セキュリティアーキテクチャとエンジニアリング」の共通知識を元にWebinar解説を行いましたが、CISSPでは、オンライン化した業務環境で本人確認の仕組みを実装することはセキュリティをコントロールしやすくするために不可欠です。COVID-19の流行により多くの組織が対面で業務ができない環境を強いられているため、今まで実施してきた業務のやり方をオンライン化していくことが経営課題となっていると思います。今までにないアイディアを生み出すことは簡単ではないですが、この状況を逆手にとって、人と人が合わない環境だからこそ、生み出せる仕組みがあると思います。その際、必ずオンライン上の本人確認、いわゆる識別と認証についてはセキュリティ上の課題となりますので、PKI・デジタル証明書を運用し課題を乗り越えられるようにしましょう。CISSPでは、暗号に関する共通知識を解説していますが、暗号の仕組み自体をどのようにITシステムに実装するかを解説しています。特にセキュリティアーキテクチャとエンジニアリングでは、暗号を活用することで、暗号化、署名、認証、否認防止の機能をどのようにシステム実装できるかを学ぶことができます。暗号に関する共通知識はCISSPとしては重要な共通知識の１つであり、暗号があるからこそ信頼できないネットワークで営業秘密や個人識別情報を交換することができます。その考え方により、いつでも、どこでも、どんなデバイスからでもサービスを提供する組織を実現することができます。他にもたくさんの共通知識が「セキュリティアーキテクチャとエンジニアリング」にはありますので、是非CISSPトレーニングをご受講いただき、グローバルな考え方に触れていただければ幸いです。
いかがでしたでしょうか。今回は、「エントラストジャパン株式会社」様のWebinar「これからのPKIマーケット～証明書ライフサイクル管理という考え方～」について、セキュリティアーキテクチャとエンジニアリングに焦点を合わせて、CISSPの共通知識分野に紐付けて考えてみました。Webinarでは、PKI・デジタル証明書の従来の仕組みと今後採用する領域の解説や実際にデモンストレーションによる「Certificate Hub」の解説が行われておりますので是非、Webinarを視聴してみてください。
最後に、ISC2が提供するWebinarは、ISC2メンバーまたはそれ以外の方、どなたでも視聴することができますので、是非、みなさんの組織で有効活用していただきたいと思います。Webinarはオンライン視聴だけではなく、Webinarの講演資料やスポンサー様が公開しているホワイトペーパー等をオフラインで確認することもできますので、お時間があるときにWebinarのトピックをISC2 CBK(共通知識分野)に紐付けて読み解いていくことが可能です。また、ISC2メンバーでない方は、Webinarを通じて、グローバルスタンダードにおけるCBK(共通知識分野)に触れていただければと思います。さらに、興味がわきましたら、CISSPチャレンジセミナー、CCSPチャレンジセミナーにお越しいただけると嬉しいです。