OpenAMと連携する、発行枚数に依存せず定額な電子証明書とは？（第３回）

（連載）

（第１回）OpenAMとは
（第２回）OpenAMを拡張した、「ThemiStruct-WAM(テミストラクト-ワム)」
（第４回）OpenAMを活用し、事前に許可したスマートフォンやタブレットにのみ、アクセスを許可するには？
（第５回）OpenAMを活用した、BYODにおけるセキュリティ強化の手法は？
（第６回）OpenAMによる、Office 365の認証統合
（第７回）OpenAMを活用して、Office 365のセキュリティを強化するには？

（第３回）発行枚数に依存せず定額な電子証明書

オープンソースを活用したソリューション提供に積極的に取り組んでいる株式会社オージス総研。今回は、オープンソースの「OpenAM」を活用した統合認証ソリューションで、今業界から注目を集めている「ThemiStruct-WAM(テミストラクト-ワム)」について、開発元である株式会社オージス総研 サービス事業本部 テミストラクトソリューション部の千野様、諸橋様にお話しをお伺いました。

第３回は、OpenAMを拡張し、ユーザID、パスワードの認証に、さらにもうひとつ要素を加える「二要素認証」の代表格、電子証明書（クライアント証明書）についてお話しを伺いました。（インタビューア：オープンソース活用研究所 寺田）

電子証明書の概要

寺田
これまで、OpenAMや、OpenAMを拡張したオージス総研の統合認証ソリューション「ThemiStruct-WAM(テミストラクト-ワム)」についてお話しを伺ってきました。今回は、「ThemiStruct-WAM(テミストラクト-ワム)」の特徴の１つである、電子証明書についてお話しを伺いたいと思います。まずは電子証明書について、簡単にご説明頂けますでしょうか。

諸橋
まず、二要素認証についてご説明します。 昨今のセキュリティ強化の時流の中で、ユーザIDとパスワードだけでの認証では十分とはいえず、より堅牢で信頼性の高い認証方法が求められています。従来のユーザID、パスワードによる認証は、「ユーザが知っているもの」による認証でした。二要素認証では「ユーザが知っているもの」に「ユーザが持っているもの」を加えて、この２つの要素で認証を行います。

株式会社オージス総研
サービス事業本部 テミストラクトソリューション部 諸橋様

電子証明書は「ユーザが持っているもの」の１つで、ユーザID、パスワードの他に、端末からサーバに送信される電子証明書が正しいことを確認して、初めて認証が完了します。

ワンタイムパスワードなど、他の二要素認証との違いは？

寺田
なるほど。二要素認証では、他にもワンタイムパスワードなどの方法もあると思いますが、電子証明書の特徴はどんなところでしょうか。

諸橋
電子証明書は、ユーザが利用する端末やデバイスが正しいものであることを証明します。情報システムにアクセスする端末やデバイスを限定させたいとき、例えば会社が許可した端末以外の利用を制限したいときなどは、電子証明書が適しています。

寺田
お客様から見て、どのような課題を解決できるものなのでしょうか。

電子証明書は、社外から社内ネットワークへのアクセス時に使う

諸橋
最近では、ワークスタイルが多様化しており、自宅やコワーキングスペース、外出先など、社外からインターネット経由で情報システムにアクセスするニーズが高まっています。しかし、インターネットからのアクセスをユーザIDとパスワードだけで認証するのは大変危険です。そこで、事前に電子証明書をインストールしてある端末からしかアクセスを受け付けない、という仕組みを導入し、セキュリティを確保するケースが増えています。

千野
従来は、社外から社内ネットワークに接続する場合には、VPN接続をすることが一般的でした。しかし、諸橋が言ったように社外からアクセスするユーザ数が増えてきたため、VPNにかかるコストが高額になってきています。このようは背景もあり、電子証明書に対するニーズが高まっています。

寺田
わかりました。では次に、オージス総研の電子証明書ソリューションについて、概要を教えて頂けますでしょうか。

「ThemiStruct-CM（テミストラクト-シーエム）」とは？

千野
オージス総研では、「ThemiStruct-CM（テミストラクト-シーエム）」という名称で、電子証明書発行ソリューションを提供しています。「ThemiStruct-CM（テミストラクト-シーエム）」は、EJBCAという電子証明書の発行を行うオープンソースをベースに、独自の機能を追加したり、シングルサインオンの「ThemiStruct-WAM(テミストラクト-ワム)」との連携を行いながら、ソリューションを提供しています。オージス総研では以前からEJBCAのコミュニティに参加しており、国内での電子証明書に対するニーズの高まりを受けて、ソリューション化しました。

寺田
どのような機能があるのでしょうか。

千野
電子証明書の発行、証明書の端末への導入、証明書の有効期限の管理、証明書の更新、といった機能があります。 特に管理系の機能は充実しています。例えば、認証局を複数構築することが可能で、さらに認証局毎に別の管理者を指定したり、それぞれの管理者の権限を詳細に制御することが可能です。

図１：「ThemiStruct-CM（テミストラクト-シーエム）」の概要

電子証明書の発行、インストールも簡単に

寺田
電子証明書の場合、よく「運用が大変だ」という声を聞きます。一昔前は、いちいち証明書をCDに焼いてユーザに送付するといった運用を行っているケースもありました。「ThemiStruct-CM（テミストラクト-シーエム）」の場合、電子証明書をインストールする手順というのはどのようなイメージになるのでしょうか？

諸橋
まず、管理者が「ThemiStruct-CM（テミストラクト-シーエム）」の画面から各ユーザの電子証明書を作成します。そうすると各ユーザにその旨が通知されます。ユーザは「ThemiStruct-CM（テミストラクト-シーエム）」のWebサイトにアクセスし、ユーザID、パスワードで本人確認すると、電子証明書のインストールが行われます。ブラウザだけの操作で簡単に行うことが可能です。