Slide 1

Transcription

1 Windows 7 と Windows Server 2008 R2 で実現する PKI マイクロソフト株式会社 GMOグローバルサイン株式会社 渡辺清浅野昌和 1

2 はじめに Windows 7 及び Windows 2008 R2 は現在製品候補版 (Release Candidate) 段階であり 本日の情報は最終リリース時と異なる可能性があります 2

3 アジェンダ 背景 PKI 拡張サーバ統合現状シナリオの改善 HTTP ベース Enrollment 強固な認証 (Strong Auth) 3

4 Windows PKI 戦略的投資 Windows 2000, Windows XP, Windows Vista と投資し続ける現状の機能 : サーバ役割 : CA, OCSP, SCEP クライアント : API, UI, クライアントサービスアクティブディレクトリ統合プロトコルやアプリケーション採用参考情報 :

5 PKI トレンド 政府 (US, Europe) 最大証明書発行者!!! 中小企業は PKI ソリューション要望大企業は異種環境に対応する PKI アプリケーションは証明書を承認トークンとして利用 (Short-Lived) 業界は X.509 証明書を拡張 Extended Validation (EV) 証明書 Logo types Advanced crypto の利用検討

6 Windows 7 へ投資 強固な認証 Public Key Infrastructure サーバ統合 現在のシナリオの改善 HTTP ベース Enrollment

7 サーバ統合 Short-Lived 証明書の発行 /DB 書込み選択 新 PKI シナリオとして short-lived 証明書 Network Access 保護 (NAP) OCSP 署名証明書 DB 増大に対する次善策専用サーバ利用又は DB 削除等の DB 管理 Windows Server 2008 R2 管理者によって 認証局 (CA) が DB に証明書を書込むかどうか設定可!!! x64 サポートのみ

8 サーバ統合 Short-Lived 証明書の発行 /DB 書込み選択

9 サーバ統合サーバコアサポート 認証局 (CA) はサーバコアのサポートロカールコマンド群リモート管理 UX HSM ベンダの鍵管理

10 10 サーバ統合フォレスト間登録

11 現状シングルフォレスト Active Directory (AD) CA Client Workstations 1. CA は AD から証明書テンプレートを読み込む 2. クライアントは AD から証明書テンプレートを読み込む 3. クライアントは CA へ証明書リクエストを送信 4. CA は AD のクライアント情報から主体名を生成 5. CA は証明書を発行し クライアントへ返信

12 現状複数フォレスト 複数フォレストは複数サーバ 複数 CA 鍵 複数 HSM, 複数データベースを意味している

13 これからフォレスト間登録 CA Active Directory 2 Client Workstations アカウントフォレスト Active Directory (AD) Client Workstations リソースフォレスト

14 サーバ統合フォレスト間登録 Windows はフォレスト間の証明書登録と発行をサポート予定 アカウントとリソースフォレストの AD フォレストの双方向信頼関係が必要 Windows Server 2008 R2 CA が必要クライアントは Windows XP 以上が必要

15 サーバ統合フォレスト間登録 : 管理 CA はリソースフォレストのテンプレートを読み込むクラインとは アカウントフォレストのテンプレートを読み込むリソースフォレストとアカウントフォレストのテンプレートは シンクしているかどうか確かめる必要あり初期の発行時その後のメンテナンス時

16 サーバ統合 : サマリ 1. NAP 管理の簡素化 2. サーバコアへのインストール 3. フォレスト間登録のサポート 16

17 Windows 7 へ投資 強固な認証 Public Key Infrastructure サーバ統合 現在のシナリオの改善 HTTP ベース Enrollment

18 現在のシナリオ改善 Standard エディションの V2 テンプレートサポート W2K へ V1 証明書テンプレート導入 W2K3 へ V2 証明書テンプレート導入 W2K3 Standard エディションは未サポート W2K8 へ V3 証明書テンプレート導入 W2K8 Standard エディションは未サポート Standard エディションの Windows Server 2008 R2 へインストールされた CA は全ての証明書テンプレートバージョンをサポートする予定自動登録のサポート鍵 archival のサポートその他

19 現在のシナリオ改善 Best practice analyzer ほとんどのサポート Call は 設定ミス Windows Server 2008 R2 は Best Practice Analyzer (BPA) ツールの導入予定 CA がルールを設定し CA 設定変更後 BPA ツールで確認が可能

20 現在のシナリオ改善 Best practice analyzer

21 現在のシナリオ改善証明書選択 Windows Vista 複数アーカイブされた証明書 ソフトウェアベースかスマートカードベースかを見分けるアイコン

22 現在のシナリオ改善エンタープライズ SSL EV 証明書 ルート CA が extended validation (EV) ルートであり EV ポリシー OID が必要グループポリシで設定可

23 現在のシナリオ改善 : サマリ 1. V2 証明書テンプレート 2. Best Practice Analyzer 3. 証明書選択 4. エンタープライズ SSL EV 証明書 23

24 Windows 7 へ投資 強固な認証 Public Key Infrastructure サーバ統合 現在のシナリオの改善 HTTP ベース Enrollment

25 HTTP ベースの Enrollment 設計ゴール Windows PKI クライアントを利用した新しいシナリオ : 1. パブリック CA 発行のサーバ証明書 2. 会社間の証明書発行パートナーシナリオ等 3. ドメイン非参加クライアントへの発行 4. B2C 発行! 銀行サイトが証明書発行 5. その他

26 HTTP ベースの Enrollment デザイン概要 証明書登録用に 2 つの HTTP ベースプロトコル規定その新しいプロトコルに基づきクライアントサービス実装サーバサイドもそれらプロトコルを実装認証局様 他 ISV 様と相互接続 (Interoperability) の活動

27 HTTP ベースの Enrollment Active Directory (AD) HTTP Only Certificate Enrollment Policy WS Client Workstations Certificate Enrollment WS CA 27

28 HTTP ベースの Enrollment 自動登録の拡張 クライアント用に設定された 登録ポリシ 毎に正しい証明書が登録 発行される仕組み 両プロトコルに client role を実装ポリシサーバ URL リストを維持ポリシサーバから返信された登録ポリシのキャッシュ保持ドメイン非参加 ( ワークグループ ) 環境で実施

29 HTTP ベースの Enrollment 認証 Windows クライアントはポリシサーバ及び登録サーバに同じ認証機能を利用するケルベロス Username/Password 証明書ベースクレデンシャル保存サポート ( オプション ) proof of possession による更新 SSL が必須

30 30 HTTP ベースの Enrollment Enrollment ポリシ画面

31 HTTP ベースの Enrollment 証明書ウィザード Enrollment ウィザードの追加ステップ 31

32 HTTP ベースの Enrollment グループポリシ画面 クライアントへポリシサーバを公開 (Publish) ポリシサーバ URI の検証同じ画面でローカルポリシやユーザ設定 32

33 HTTP ベースの Enrollment フォレスト間サポート Active Directory (AD) Certificate Enrollment Policy WS 2 1 Active Directory (AD) 1 5 Client Workstations アカウントフォレスト Certificate Enrollment WS リソースフォレスト CA

34 HTTP ベースの Enrollment ウェブサーバシナリオ : 発行と更新 管理者がウェブサーバにログイン管理者が IE ブラウザを開き CA サイトにアクセスし アカウント作成管理者はユーザアカウント制御を許可し以下を実施 : ポリシサーバの URL をローカルに登録ポリシサーバ用にクレデンシャルを設定ポリシサーバに登録動的な登録ポリシ発行が完了すると 証明書がインストールされる

35 HTTP ベースの Enrollment ウェブサーバシナリオ : 失効からの回復 ポリシサーバエントリ用の設定 User/Password クレデンシャル設定自動登録許可 CA による証明書失効 新しい CRL 公開旧 CRL 失効後 8 時間内に : サーバは新しい CRL ダウンロードサーバは既存証明書は失効と記されるサーバはポリシサーバからポリシをダウンロードし 新しい証明書を発行

36 HTTP ベースの Enrollment ウェブサーバシナリオ : 動的ポリシ更新 ポリシサーバエントリ用の設定例えば SSL 1 年 1024 鍵長のポリシポリシの毎週アップデート CA が 2048 に鍵長を変更し ポリシを変更する 1 週間内に : サーバは新しいポリシをダウンロードサーバは現行証明書を保存 (Archived) として記すサーバは新しい証明書を発行

37 37 GMO グローバルサイン

38 Enrollment アーキテクチャのコンセプト Policy Authority Provides certificate enrollment policy to a requestor Enrollment Client Certification Authority Authentication Authority Receives, processes and responds to certificate requests Provides or validates authentication information Identity Authority Provides identity information 38

39 旧来の Windows の Enrollment アーキテクチャ Policy Authority Enrollment Client 2 LDAP DCOM 3 1 Active Directory 1. クライアントが証明書発行ポリシー (certificate enrollment policy) を要求 Certification Authority ADCS CA 2. クライアントが証明書発行リクエスト (enrollment request) を送信 3. CA が証明書を発行し クライアントへ送信

40 GlobalSign の登録アーキテクチャ Configuration Enrollment Client 2 HTTPS HTTPS 3 1 GlobalSign Policy Store Enrollment Policy Web Service Policy Authority 1. クライアントが証明書発行ポリシー (certificate enrollment policy) を要求 Certification Authority GlobalSign CA Enrollment Web Service 2. クライアントが証明書発行リクエスト (enrollment request) を送信 3. CA が証明書を発行し クライアントへ送信

41 証明書の Enrollment Web Services 41 2 つの Web Services プロトコル Certificate Enrollment Policy [MS-XCEP] Certificate Enrollment [MS-WSTEP] HTTPS ベースで ファイアウォールとの親和性が高い実用的な実装企業内 CA 以外の CA との接続が可能に Web SSL を目的としたパブリックルートにつながる証明書の利用や PKI ホスティング企業内 PKI をより良いものに構築済みの PKI 環境を 尐ない労力と尐ないコストで拡張可能

42 現在のSSL証明書の発行形態 中間CA証明書の インストール 登録 購入 Save as CSR生成 証明書のインストール 審査 証明書 Domain Validation Organization Validation and authorization Extended Validation checking 42 Challenge Response and/or WHO-IS verification of domain ownership. Verification of Organizational existence and authorization of the SSL certificate request. Validation of business registration details, physical existence and a higher degree of verification of the contract signers authority. DomainSSL Save as OrganizationSSL ExtendedSSL

43 新しい SSL 証明書の発行形態 登録 ( 購入 ) 発行要求とインストール 審査 Domain Validation Challenge Response and/or WHO-IS verification of domain ownership. DomainSSL Organization Validation and authorization Verification of Organizational existence and authorization of the SSL certificate request. OrganizationSSL Extended Validation checking Validation of business registration details, physical existence and a higher degree of verification of the contract signers authority. ExtendedSSL 43

44 新しい Windows PKI アーキテクチャをベースにした証明書発行サービス CSR の生成が不要証明書の購入 インストールプロセスがシンプルになり ユーザの負担が軽くなる証明書の更新を自動的に行うことができる! 証明書の有効期間を Windows がハンドリングし 自動的に証明書の発行要求をおこなう

45 Windows 7 へ投資 強固な認証 Public Key Infrastructure サーバ統合 現在のシナリオの改善 HTTP ベース Enrollment

46 強固な認証 Biometric Biometric デバイスの新プラットフォーム指紋認証にフォーカス今後の Certification プログラムに基づく新ドライバーモデル ユーザ UX と統合 Windows ログオン, ローカル及びドメインデバイスや機能検出 エンタープライズ管理グループポリシで Biometric の無効化アプリケーション利用のみ Windows ログオンは禁止

47 強固な認証 SmartCard スマートカード Plug-and-Play Windows Update と WSUS/SUS に基づくドライバーインストールログオン以前でのドライバーインストールアドミン権限無しでのドライバーインストールスマートカードクラス mini-driver NIST SP (PIV) サポート INCITS GICS (Butterfly) サポート Windows 7 スマートカードフレームワーク改善 Biometric に基づいたスマートカード案ロックのサポート改善 Secure Key Injection の新しい API

48 強固な認証 ECC ベースのスマートカードログオン Windows 7 は以下をサポート予定 : ECC 証明書のスマートカード ECC 証明書を利用したログオン

49 強固な認証 : サマリ 1. Biometric 2. スマートカード 49

50 50

51 関連リソース Windows 7 s-7/default.aspx Windows 2008 R2 RC 08/prodinfo/R2.mspx Windows 2008 R2 PKI 51

52 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.