PR

インターネットVPNのセキュリティを高める上で,有効な手法がPKI(公開鍵認証基盤)を構築すること。しかし接続クライアントのなりすましは防げても,正規ユーザーであることの保証にはならない。PKIに必要な認証局(CA)を自ら運用する場合は,外部からのアクセスにできる限りさらさない工夫が必要になる。

 社外からのリモート・アクセスや,拠点間接続の手段として,インターネットVPNを採用する企業が急速に増えている。ディジタル証明書を使って通信相手を認証するPKIは,インターネットVPNのセキュリティを高める手段としても有効だ。

 PKIを構築するには,接続を許可するユーザーや拠点にディジタル証明書を発行するためのCA局(認証局)を導入する。最近は,IDとパスワードを認証するためのRADIUSと一体化したアプライアンス型製品も登場。企業が導入する敷居も下がった。しかしPKIを導入しただけでは,必ずしも十分なセキュリティは確保できない。

図1 A社はディジタル証明書を使ってインターネットVPNを導入
セキュリティを高めるため,ディジタル証明書によるクライアント認証に加え,XAUTH(extended authentication within IKE)に基づくユーザーID/パスワードの認証も導入した。しかし運用開始から1カ月の間に,サーバーに不正アクセスを試みた多数の形跡を発見。不正ユーザーがVPN接続に成功したと見られるケースもあった。

自宅PCから不正アクセス
USB型「証明書」などで解決

PKIは,接続を許可するクライアントや装置を認証するだけで,「正規のユーザーか否か」までは保証しない。PKIを導入しても,ユーザー認証の運用がずさんだと,セキュリティ・ホールを作りかねない。

 生命保険のA社は,営業部門の社員や契約外交員を対象に,社外から社内LANにアクセスする手段として,インターネットVPNの導入を決めた。営業時に持ち歩くノート・パソコンや自宅のパソコンから顧客の契約情報や商品情報を参照・入力できるようにして,営業活動の効率化を図るためだ。

 A社の情報システム部は,インターネットVPNの導入に当たって,PKIを導入してセキュリティを高めることにした。スタッフ1人につき,ノート・パソコンか自宅のパソコンにディジタル証明書を発行し,社内LANにアクセスできる機器を限定する。

 さらに2重にセキュリティ・チェックを行うため,ユーザーIDとパスワードを使ったXAUTHによる認証も取り入れることにした。

PKIとID/パスワードで二重の認証

 インターネットVPNでPKIを導入する場合は,まずCA局から,クライアントにクライアント証明書,VPN装置にはサーバー証明書を発行する。

 クライアントがVPN装置との間でVPNトンネルを張るまでの手順は次の通り。まず,クライアント側のパソコンでVPNソフトを立ち上げると,VPN装置がクライアント証明書が有効かどうかをCRLを使って確認した上で,両方の証明書が相手を相互に認証。次に画面上でユーザーIDとパスワードの入力を促し,XAUTHによる認証を行う。この手続きが終わると,VPNソフトとVPN装置が秘密鍵を交換して,VPNトンネルを張る。

 しかしA社の運用担当者が運用開始から1カ月後に接続ログを調べたところ,VPN装置に不正アクセスを試みた多数の形跡を発見した。PKIの認証は通過したが,XAUTHで間違ったパスワードを入力して接続に失敗している記録が多数残っていたのだ(図1[拡大表示])。