環境変化に応じて重要性が増す端末認証
サイバー攻撃の複雑化や高度化に伴い、パスワードのみの認証ではなくMFA（多要素認証）を導入するなど、ユーザー認証においては多くの企業でセキュリティ強化のための対策がとられてきました。さらに、ニューノーマルな働き方によりテレワークが普及・定着したことで、社外からのアクセスが一般的となり、端末認証の必要性も高まってきました。
CloudGate UNOの認証はデバイス認証とユーザー認証で構成されています。ユーザーがクラウドサービスにアクセスする際には、まず端末確認が行われ、認証成功後にユーザー認証が行われます。この2つの認証が成功して初めてクラウドサービスへのアクセスが可能となります。
ここでは、『なぜCloudGate UNOがユーザー認証だけでなく、
デバイス認証も重要だと考えるのか』という点について、私達ISRのビジョンとともに、安全なデバイス認証を可能にするために新たに開発したCloudGate証明書をご紹介します。
ISRが目指す「安全かつ便利な認証」
（私たちのジャーニーの始まり）
ISRは2008年12月27日よりCloudGateサービスの提供を開始しましたが、わずかその1年後の2010年1月、インターネット、金融、科学など、様々な分野の大企業を標的とした、オーロラ作戦(*1)と呼ばれる一連のサイバー攻撃が発覚しました。
この攻撃はゼロデイ脆弱性(*2)を入り口としており、攻撃者はユーザーのPCにキーロガー(*3)を導入することでクラウドサービスにアクセスするためのパスワードを盗み、ソースコードや他の重要なデータを盗むことに成功していました。
この出来事を受け、私たちはパスワードによる認証だけでは不十分であること、常にサイバー攻撃を受ける可能性があるということを認識しました。
そして私たちは「Security First」の考えのもと、「全力でお客様の情報資産を守る」という経営理念を掲げ、パスワードに頼らない認証による安全な世界を実現するジャーニーを始めました。
生体情報を活用したMFAにより、
安全で便利なパスワードレス認証を実現
CloudGate UNOは国内SSOベンダーとして初めて、パスワードに依存しない仕組みであるFIDO規格に基づくユーザー認証方式を採用しました。2014年に初めてU2Fを採用し、2019年からはFIDO2に対応しています。
パスワードが不要で、顔や指紋をかざすだけでよいため、複雑なパスワード管理や入力の手間が省け、安全性の確保だけでなく、利便性の向上にもつながります。
しかし、企業のセキュリティポリシーを変えてパスワードレス認証を本格的に導入するには時間がかかるということもあり、パスワードを利用しつつ他の認証要素を加えるMFAの導入が増えています。SMSやOTPを利用する方法もありますが、コードをネットワーク上でやり取りするため途中で窃取される恐れがあります。そのため、顔や指紋などの生体情報を用いた本人確認をローカル端末で行い、その結果を認証に用いる方法がより安全性が高いと考えられます。
2015年からは、スマートフォンに搭載の生体認証機能を利用して安全なMFAを実現する機能の提供を開始しました。仮に攻撃者がMan-in-the-Browser攻撃を仕掛けたとしても生体認証で使用する資格情報を再利用した不正アクセスが不可能なため、CloudGate UNOへのアクセスは失敗に終わります。
ゼロトラスト・アーキテクチャの導入
2021年7月には、ネットワークの場所、ベースとなるOS、ブラウザ、ユーザーといったすべてのものを信用せず常に認証する必要があるとする、ゼロトラスト・アーキテクチャをCloudGate UNOに採用しました。
SSOサービスにおいて情報の機密性などに応じてクラウドサービスごとにアクセス制限を設定できるようにするとともに、クラウドサービスへアクセスするたびに認証を行うアプローチへと変更しました。
働き方の変化によって必要性が増すデバイス証明書
リモートワークが普及・定着した昨今においては、業務で使用する社内システムやクラウドサービスへ社外からアクセスする機会が増加しており、「会社のセキュリティポリシーに沿った端末からのアクセスかどうか」を判断することが難しくなっています。
従業員が会社に許可されていない端末を使って社内ネットワークに入った場合、どのようなセキュリティリスクが考えられるでしょうか。例えば、この端末がマルウェアやウイルスを持っている場合、社内ネットワークやシステムに感染させるリスクがあります。またこの端末を踏み台にして不正アクセスされた結果、社内の機密情報にアクセスされる可能性もあります。
以下は、セキュリティ対策をされていない不特定端末で起こったインシデント事例です。
ある企業で、顧客情報の漏洩が発覚しました。不正アクセスされた証拠を見つけるためのフォレンジック調査の結果、ハッカーは特権的なアクセスを持つ社員の自宅にある個人用パソコンにマルウェアを仕込み、この社員のパスワードを窃取し、社内の機密情報へ不正アクセスを行ったことが判明しました。
更に調査を進めていくうちに、不正アクセスを行ったハッカーは、この社員の個人用パソコンにインストールされていたソフトウェアの脆弱性を狙ってマルウェアを仕込んだことが特定されました。この脆弱性については、ソフトウェアを開発した企業から脆弱性を修正のするためのパッチがすでに公開されていましたが、驚くべきことにこの社員はそのパッチを有効にするためのアップデートを3年もの間行っていなかったということも分かったのです。
一般的に、企業が管理する端末は情報資産の漏洩を防ぐため、適切なセキュリティ対策を講じており、もちろんソフトウェアのアップデートに関しても最新の状態になるように管理がされています。
この事例は、ソフトウェアを最新の状態に保つことの重要性を示すものですが、それと同時に従業員に企業が管理していない不特定のパソコンを介して極めて機密性の高いデータにアクセスさせることは、大きなセキュリティリスクを招くということも分かります。
セキュアエレメントに基づき、
安全性が確保されたCloudGate証明書
現在の証明書は、秘密鍵をネットワーク経由で受け渡しする方式が一般的なため、漏洩の危険性があります。また、マルウェアや攻撃者に端末内に侵入された場合には、秘密鍵が複製やエクスポートされてしまう可能性もあります。
一度エクスポートされると、高度な攻撃者であれば自分の端末を正規の端末として見せることができるため、ユーザーになりすまして侵入することが可能となります。
現在の証明書ではホストOSの完全性に依存し、ホストが管理するCPUとハードディスクを使用して暗号鍵を生成し保護しているため、このような危険性があります。
ユーザー認証におけるパスワードのように、もはやいかなる種類の証明書の生成や保存も信頼することはできないと言えます。 そこでISRでは、オリジナルのデバイス証明書「CloudGate証明書」を開発しました。
CloudGate証明書は、セキュアエレメントに基づいた証明書発行という方法をとっています。セキュアエレメントとは、鍵ペアの生成や鍵の保存および使用制限などの機能を備えた、秘密鍵や生体情報などの秘匿データを保護・保存するためのものであり、ほとんどの端末に搭載されています。また、内部に格納されている秘密鍵は取り出すことができないため、 安全性が担保されます。
現時点ではCloudGate証明書のサポート対象はWindowsOS、ChromeOSのみですが、今後iOSやmacOS、 Androidなどより多くのプラットフォームのサポートと 機能拡張を予定しています。
※1 オーロラ作戦 （英 Operation Aurora）
2010年1月にGoogleが公表したことで明らかとなった一連のサイバー攻撃（APT攻撃）。Internet Explorerの当時未発表であった脆弱性（ゼロデイ脆弱性）が攻略された。
少なくとも20社の大企業が標的となったとされる。
※2 ゼロデイ脆弱性 (英 Zero-day vulnerability)
ソフトウェアベンダーが不具合を認識しているものの、公表前やパッチが公開される前のソフトウェアバグのこと。
※3 キーロガー (英 Keylogger)
コンピュータへのキー入力を監視し、それを記録するソフトウェアもしくはハードウェアのこと。
