IDパスの入力を必要としないTLS認証こそビジネスチャンス～NTT東の森山氏

【イベントリポート】

～WPCセキュリティ/最新技術トラックにて

IDパスの入力を必要としないTLS認証こそビジネスチャンス～NTT東の森山氏

■URL
http://arena.nikkeibp.co.jp/expo/

　東京ビックサイトで開催されている「WPC EXPO 2002」での「セキュリティ/最新技術トラック」では18日、「ホットスポットのセキュアな活用術」という講演が行なわれた。

●ID・パスワード入力の煩わしさがインターネット発展の足を引っ張っている

NTT東日本研究開発センタ
森山　浩幹部長

　前半では、NTT東日本研究開発センタIPネットワーク開発担当部長の森山浩幹氏が「無線LANのセキュリティーを高めるIEEE802.1x」と題した講演を行なった。この講演では、無線LANがホットスポットの登場などにより急激に普及する一方で、そのセキュリティー面が危惧されている点について語られた。

　まず同氏は、現状の無線LANのセキュリティがWEPやMACアドレスで認証などを行なっている点に触れ、設定によっては他人のマシンに入れてしまうことや、認証の弱さなどの問題点があることを指摘している。そして、それらの危険性を回避するためにも「IEEE802.1x(以下、802.1x)」の導入を推奨した。

　なぜ、802.1xがセキュリティーや認証面で現状の方式より優位なのか、という点については、プロトコルそのものの特徴を挙げている。802.1xプロトコルは「端末認証のセキュリティーを考慮して作られている」、「無線（802.11b）の場合、WEPキーの動的交換を配慮してある」、「認証プロトコルとしてEAP（PPP Extensible Authentication Protocol）を想定している」などの特徴がある。これらの機能により、全ユーザーが同じ暗号鍵を使う従来のWEPに比べ、無線通信の盗聴やユーザーのなりすましの危険が軽減されるという。

　EAPは、PPPでの認証方式がCHAP/PAPのみであったものを、多様な認証方式に対応できるように拡張したもの。認証方式として、MD5やOne Time Password、TLS（Transport Layer Security）などをサポートしている。TLSは、Microsoftが提唱するSSLの後継デジタル証明書による認証方式。EAPが認証方式としてこのTLSを利用する「EAP-TLS」方式は、将来を見越した認証方式として期待されており、NTT西日本の無線アクセスサービス「フレッツ・スポット」などでも採用されている。

　また、今後注目すべき技術として無線暗号化プロトコルTKIP（Temporal Key Integrity Protocol）やAES（Advanced Encryption Standard）などを挙げている。TKIPは、WEPの仕組みを利用して暗号強度を上げたもの。パケット毎に鍵を変更する機能やメッセージ毎に改ざんを防ぐ機能が盛り込まれている。AESは、米国政府が次世代標準として選定した新しいパケット構造と暗号化技術を盛り込んだもので、この暗号化技術は未だに解読されていない。これは、鍵を交換する方法として802.1xを採用する方向となっている。

　最後に森山氏は、「EAPは、ユーザーIDやパスワード等の認証の弱点を強化するものだ。iモードなどが良い例だが、いちいちWebや電話をかけるのにID・パスワード入力を必要としない。やはり、認証の度に入力することは手間がかかり、それが煩わしさに繋がっている。EAP-TLS方式では、ユーザー認証を秘密鍵等を利用して認証しているため、ID・パスワードの入力は必要なくなる。このEAP-TLS方式の適用は、インターネットの飛躍の足を引っ張ってるとも言える『ID・パスワード入力』からの脱却を図る良い機会だ。EAP-TLS方式は大きなビジネスチャンスとも言えるだろう」とEAP-TLS方式への期待を語った。

◎参照記事
■NTT西日本の「フレッツ・スポット」、月額800円で7月より提供
■米商務省が次世代の暗号標準技術「AES」を承認

●ホットスポットには、不正侵入や盗聴などの脅威が沢山ある

新日鉄ソリューションズ基盤システムプロダクツ事業部
松島　正明課長

　次には、新日鉄ソリューションズ基盤システムプロダクツ事業部セキュリティプロダクツ部課長の松島正明氏が「ホットスポットの有効活用～VPNを使用するための課題と対策」と題した講演を行なった。

　松島氏は現状のホットスポットの脅威として、「同一スポットに存在する端末間は通信が可能」や「ポートスキャンなどで簡単に調べることが可能」といった不正アクセスの危険性を挙げた。また、盗聴される可能性として「WEP Keyの脆弱性」を理由に挙げた。例えば、40bitのWEP Keyの解読に必要な時間は、最長でも2.7日程度であり、英数字しか利用しない場合は数十分程度で解読できるという。従って、企業でWEP Keyを利用する場合には、必ず128bitを利用すべきだと語った。また、これらの不正アクセスや盗聴の脅威から身を守るための対策として、IPsecを導入してIP層による暗号化を図ることや、sshやTLSの導入による上位（4層以上）層の暗号化が必要だとしている。

　IPsecは、IPにセキュリティー機能を持たせるためのプロトコルで、暗号と鍵管理を分離して標準化している。そして、2つのモードと2つのヘッダ形式を持っている。また、もともとはIPv6用に作られたものだが、IPv4にも対応している点が特徴だ。認証機能としては、鍵管理プロトコル（IKE）を備えている。

　このように、利点の多いIPsecだが、ホットスポットで利用する場合には、「IPsecのMainモードで認証できない問題」、「IPsecのヘッダがNATに対応できない問題」、「IPアドレスが重なる可能性がある問題」など、いくつかの問題点があるという。

　最後に松島氏は、「VPNゲートウェイとリモートクライアントソフトの異機種接続性は、殆どできていないのが現状だ」と語っており、VPNゲートウェイの導入検討時にはクライアントソフトも考慮に入れなければならないと警告した。また、クライアントソフトに関しても、操作性や設定に関する機能、既存認証システムとの連携、NAT対応、アドレス重複等に対する機能などを検討しなければならないと語った。

(2002/10/18)

[Reported by otsu-j@impress.co.jp]

【INTERNET Watchホームページ】

INTERNET Watch編集部internet-watch-info@impress.co.jp