PKIとデジタル証明書:今日の課題

公開鍵暗号は、ユーザ、ネットワーク、データ、およびクリティカルなビジネスシステムを保護する方法として普及してきました。データの暗号化とプライバシの保護、文書やメッセージの完全性と信憑性を証明するためのデジタル署名、あるいはユーザやシステムの認証とアクセス制御のどれに使われているかに関わらず、これらの公開鍵のオペレーションは、現代のオペレーティングシステム、市販セキュリティ製品、およびカスタムビルドのシステムにとって不可欠なものになっています。電子商取引、オンラインバンキング、インターネットゲーム、スマートフォン、クラウドコンピューティングはすべて、ユーザ、接続デバイス、ウェブサービス、およびビジネスアプリケーションの電子的なアイデンティティーを表す場合に、デジタル証明書に依存しています。 

詳しくはこちら

それぞれの証明書は高い強度をもつ固有のクレデンシャルを形成する1組の暗号鍵に基づいており、これらは、対象となるユーザや組織に緊密に対応付けられて、暗号化や署名などのセキュアな操作を実行するために使われます。認証局(CA)はデジタル証明書を発行し、それらの証明書がその意図された目的に沿うための適切なレベルの信用を具現化するために、さまざまな手順を実行します。CAは公開鍵インフラストラクチャ(PKI)の中心をなすものであり、1つあるいは複数のアプリケーションのセキュリティーを支え、わずかな数の証明書から数百万におよび数の証明書まで対応します。証明書とそれによって実現されるセキュリティ機能を十分活用しようとする組織は、自前のPKIを構築するか、外部のサービスプロバイダから証明書を購入するかのどちらかを選択できます。異なる組織やドメイン間で証明書やIDを共有して信用を確立する場合は、後者が最も適しています。内部的なPKIを導入する組織は、その組織のニーズに合ったセキュリティモデルを定義できるというフレキシビリティを持つことが出来ますが、そのPKIの使用について組織内で明確化することとそれ自体の維持、およびそのセキュリティの確保にあたって数多くの課題に直面します。

  • PKIは信用の根本をなすものなので、PKIを導入するという作業には単なる技術を超える要素があります。また、適切なチェック機能を持ち技術で自動化される部分と手動作業のバランス取るために、人間が関わるプロセスを慎重に設計する必要もあります。コンプライアンスを証明する必要性が増していることを考慮すると、正式に文書化され、監査を受けた証明プロセスが必要となるでしょう。
  • 組織は、すべての証明書ニーズに単一のPKIを使用するか、個々のアプリケーションやユースケースに合わせて調整され、適切な信頼性モデルを提供する複数の独立したPKIを使用するかを決定しなければなりません。自前のPKIを構築せずに外部のPKIを使用するという選択は、状況をさらに複雑化させる可能性があります。
  • 残念なことに、あらゆるタイプのPKIには明らかな攻撃ポイントが存在します。CAが不正侵入を受けると、デジタル証明書が不正使用のために発行される恐れがあり、システム全体の信用性が疑われる結果となります。
  • PKIに関する議論は証明書の発行プロセスに集中する傾向がありますが、証明書の検証や失効をサポートする関連プロセスの方が、システムの性能や全体的能力により大きく影響することが少なくありません。

セクションを隠す

リスク

  • CAの署名用プライベート鍵やルート鍵を盗み取れば偽造証明書を発行することができるので、漏洩が疑われる場合は、過去に発行された証明書の一部またはすべてを再発行しなければならない場合があります。
  • 署名鍵の使用に関する管理が不十分な場合は、鍵自体が盗用されなくてもCAが不正に利用される恐れがあります。
  • オンラインでの証明書の妥当性確認プロセスに関連して鍵が盗まれるか不正使用された場合は、失効プロセスが操作され、失効した証明書が悪用される恐れがあります。
  • 新しいアプリケーションをオンラインで使い始める際に、発行および検証に関わる署名行為の性能的側面に注意を払わないと、業務に大きな影響が及ぶ恐れがあります。

PKIとデジタル証明書:Thales e-Securityソリューション

Thales e-Securityの製品とサービスは、PKIの完全性、性能、および管理性を確立する助けとなります。証明書発行プロセスのセキュリティを確保し、署名鍵の管理を強化することにより、それらの紛失や盗難を防ぐことが出来、その結果としてデジタルセキュリティのための信頼性の高い基礎を築くことができます。PKIにnShieldハードウェアセキュリティモジュール(HSM)を追加するということは、第三者機関によって認証された耐タンパデバイスを導入するということを意味します。このデバイスは、組織内において最も慎重に扱うべき鍵やビジネスプロセスのセキュリティを確保するために使われますが、これはPKIに関して広く認められたベスト・プラクティスです。タレスは、ユーザ組織が導入を前倒しに早め、リスクを最小限に抑える助けとするために、主要なPKIベンダーとの間で相互運用性テストを行なうとともに、さまざまな包括的なインテグレーション用のガイドを発行しています。タレスの製品、知識と技術、そしてサービスを十分活用することで、企業内全体のPKIの運用を自信を持って運用することが出来るようになります。

利点:
  • 高い信頼性が求められるすべての鍵管理プロセスと証明書発行プロセスに関して、容易に導入可能な、第三者機関の認証を受けたセキュリティを十分活用することができます。
  • 暗号処理をオフロードすることで、CPUに負担のかかる署名操作の処理速度を上げ、性能向上を促進するとともに、アプリケーションやビジネスプロセスの柔軟な規模の変更を可能にします。
  • リスクの高い手動による鍵管理プロセスをなくします。
  • 鍵管理ポリシーの厳密な実行を通じて、コンプライアンスを実証するためのタスク、およびフォレンジックと監査に関する要求に対応するためのタスクを単純化します。
  • 大企業用のPKIから局所的なCA、アプリケーションに特化したCAに至るまで、さまざまな導入シナリオに合わせて、広範囲な選択肢の中からその形状や性能等級を基に最適なHSMを選択できます。