暗号・認証・WAFの基本

要点と定義

IPsecのESPは、設定に応じて通信データの暗号化による機密性を提供する。AHは完全性や送信元認証などに関わるが、暗号化は行わない。チャレンジレスポンス認証は、サーバが提示するチャレンジと利用者の秘密情報から応答を生成し、その応答で認証する方式である。共通鍵暗号は暗号化と復号に同じ鍵を使い、公開鍵暗号は対応する公開鍵と秘密鍵を使う。リスクベース認証はアクセスの状況からリスクを判断し、必要に応じて追加認証を求める。ハイブリッド暗号方式は、共通鍵暗号と公開鍵暗号を組み合わせる。WAFはWebアプリケーションに届く通信を検査して攻撃を検知し、遮断する仕組みである。

適用条件と例

IPv6では、IPsecのESPを用いる通信で、設定に応じてパケットを暗号化し機密性を確保できる。チャレンジレスポンス認証では、サーバから受け取ったランダム値と秘密情報を用いて応答を計算する。データベース内のデータ暗号化には共通鍵暗号を利用でき、AESはその例である。リスクベース認証はアクセス状況に応じて認証を追加する。ハイブリッド暗号では、データの暗号化に共通鍵暗号を使い、その鍵の配送などに公開鍵暗号を使う。成人の虹彩模様は一般に長期にわたり安定しているため、登録パターンの更新はほとんど不要である。WAFはWebアプリケーションへの通信を検査し、不正と判断した通信を遮断する。

IPv6の拡張ヘッダにはIPsecで使うESPやAHがある。ESPは設定に応じて暗号化による機密性を確保できる一方、AHは暗号化を行わない。この違いにより、拡張ヘッダを利用する暗号化機能を説明できる。

チャレンジレスポンス認証では、サーバがランダムなチャレンジを送り、クライアントはその値とパスワードなどの秘密情報から応答を計算して返す。認証のたびに変わる応答を用い、秘密情報そのものは送信しない。

暗号化と復号に同じ鍵を使う方式は共通鍵暗号であり、AESはその方式の一つである。データベース内のデータ暗号化にも利用できる。

リスクベース認証は、端末や場所などのアクセス状況を基にリスクを判断し、普段と異なる状況では追加認証を求める。状況に応じて認証を追加することで、不正アクセスへの対策と利便性の両立を図る。