セキュリティ実装技術

要点と定義

セキュリティ実装技術は、通信、ネットワーク、認証、アプリケーションなどに具体的な対策を組み込み、盗聴、不正接続、改ざん、不正利用、破壊などの脅威を抑える技術です。対策は守る対象と通信の段階に応じて選びます。

セキュアプロトコルは、通信の暗号化や相手の認証などを行うプロトコルです。IPsecはネットワーク層でIP通信を保護し、認証ヘッダ（AH）や暗号ペイロード（ESP）を用います。AHは認証や完全性の確認に関わり、ESPは暗号化などを提供します。HTTP over TLS（HTTPS）はWeb通信をTLSで保護し、SSHはリモートログインなどを保護します。S/MIMEは電子メールの暗号化や署名に用いられ、IPsecとは保護する対象や層が異なります。

WPA3は無線LANのセキュリティ規格です。HTTPやTCP/IP全般の暗号化規格、Webサーバ証明書の規格ではありません。無線LANの接続と通信を保護する技術として区別します。

ディジタル署名とハッシュ値は、役割が異なります。署名は、送信者がメッセージのハッシュ値などを自分の秘密鍵で署名し、受信者が送信者の公開鍵で検証する仕組みです。署名の検証では、受信データから計算したハッシュ値と、署名から確認した値を照合します。これにより署名対象の完全性と、対応する秘密鍵を使ったことを確認できます。公開鍵だけで署名者の実在の身元まで自動的に保証されるわけではなく、鍵と本人を結び付ける証明書などの信頼も必要です。

ハッシュ値はデータから計算する固定長の要約値です。信頼できる方法で得た値と受信ファイルのハッシュ値を比較すれば、内容が変わったかを確認できます。ただし、ハッシュ値だけでは作成者を特定できず、値自体も同じ経路で改ざんされ得ます。また、差分から改ざん箇所を復元することもできません。値の送信者や完全性を確かめるには、署名など別の仕組みが必要です。

利用者認証の連携では、利用者を認証する組織とサービスを提供する側の間で、認証結果などを受け渡すことがあります。例では、認証サーバが利用者IDとパスワードを検証し、IDプロバイダ（IdP）が認証結果、有効期限、利用者IDを含む情報に署名します。クラウドサービスは登録済みのIdPの公開鍵で署名を検証し、認証情報が改ざんされていないことを確かめます。秘密鍵は署名を作る側、公開鍵は検証する側が使います。利用者IDが連携情報に含まれるなら、認証に使ったパスワードをサービスへ送らずに連携できます。

ネットワークセキュリティでは、ファイアウォールのパケットフィルタリングやネットワークの分離により、必要な通信だけを許可します。DMZは外部に公開するサーバを置く領域で、重要なデータを扱うデータベースサーバは内部セグメントに置く構成が考えられます。外部からWebサーバへの接続はDMZで受け、Webサーバから内部のデータベースへは必要な通信だけを許可します。

フィルタルールは送信元、宛先、サービス、許可・拒否を組み合わせて読みます。先に一致したルールを適用する方式では、ルールの順序も結果を左右します。ネットワークプレフィクスは対象範囲を示し、例えば /23 は連続する二つの /24 の範囲を含みます。そのため、事務VMと開発VMを隣接した別ネットワークに置き、送信元を広い /23 で許可すると、意図せず事務VMまで許可する場合があります。目的のVMのネットワークだけを送信元に指定し、宛先やサービスも業務要件に合わせます。

アプリケーションセキュリティには、セキュアプログラミング、脆弱性検査、Web攻撃対策などがあります。静的検査はプログラムを実行せずソースコードなどを調べ、動的検査は実行中の挙動を調べます。マルウェアの動的解析では、隔離したサンドボックスで検体を実行し、動作や外部通信を観察します。実行せず既知のハッシュ値と照合したり、ファイルヘッダを調べたりする方法は静的な検査です。

データベースでは、暗号化、アクセス制御、バックアップ、ログ取得などを組み合わせ、不正アクセスや破壊の影響を抑えます。アクセス制御は利用者や処理ごとに必要な操作だけを許可し、バックアップは障害や破壊後の復旧に備えます。ログは操作の追跡や調査に使います。