スライド 1

Transcription

1 BIG-IP APM と PassLogic で実現する高セキュア & 高パフォーマンスのマルチデバイス認証インフラ パスロジ株式会社酒井寛庸

2 採用実績 企業数

3 導入企業 発行ライセンス数 1,000,000 ID 2015 年 1 月現在 サービスプロバイダ NTTコミュニケーションズモバイルコネクト NTTPCコミュニケーションズ Master s ONE ソフトバンクホワイトクラウドワンタイムパスワード KDDI KDDI Flex Remote Access IIJ IIJ GIOリモートアクセスサービス 富士通 FENICSⅡ NEC UNIVERGE Live 大塚商会 O-CNET AIR GATE エクサファクトリーワンタイムパスワード認証 ASP スターネット STAR-AUTH 外為どっとコムコンシューマ向け外貨取引 ディーアイエスソリューション PassLogic on SaaS 大手金融系法人向けサービス金融 都市銀行行内利用 / メールの認証 信託銀行法人向けWebサービス 証券会社 A 仮想デスクトップ 証券会社 B 社内利用 / リモートアクセス 証券会社 C リモートアクセス / メール官公庁 官公庁( 中央省庁 ) メールシステムの認証 官公庁系外局研究所メールシステムの認証 独立行政法人系外郭団体会員向けWebシステム 中央省庁所管独立行政法人リモートアクセス製造業 工業 食品系会社メールの認証 食品系会社グループウェアの認証 製薬会社 A リモートアクセス 製薬会社 B メール 精密機器製造会社リモートアクセス / メール 電子部品製造会社仮想デスクトップ 金属製品製造会社リモートアクセス 衣服製造会社リモートアクセス / グループウェア文教 関西大学全学 / 学内ポータル 大手総合大学リモートアクセス 文教系グループ仮想デスクトップ 高等専門学校リモートアクセス 私立学校法人 BCP 対策用リモートアクセス広告 マスコミ テレビ局( キー局 ) ユーザー管理システム (WEB) テレビ局( キー局 ) グループ企業間 Web 新聞社リモートアクセス 新聞社情報共有 Web インターネットメディアニュース配信システム ラジオ局 CMS 大手広告仮想デスクトップ / リモートアクセス医療 エネルギー サービスなど その他 病院 A VPN/ 仮想デスクトップ 病院 B グループウェア エネルギー( 石油 ガス ) 事業社受発注システム 航空会社リモートアクセス 道路関事業会社 VPN メールシステム 大手ゲームメーカー SSL-VPN 海洋施設関連企業リモートアクセス 通信関連企業スマートフォン用アプリ ( 組込み ) 株式会社一休 CiscoASAの認証 リース関連会社会員向け業務システム PC 関連機器開発会社 VDI 電力会社法人向けASP など クラウドサービス提供事業者 13 社ワンタイムパスワード認証サービスの標準方式へ * 一部の代表的な導入例です

4 リモートアクセスの現状と課題

5 現在のトレンドと課題 従業員 オフィス 社内システム 契約社員 ノート PC データセンター

6 現在のトレンドと課題 誰が何で何に 雇用形態の多様化 マルチデバイス化 ロケーションの多様化 アプリの場所の多様化 従業員 地下鉄 プライベートクラウド 従業員 ( 役員 ) オフィス ハイブリッドクラウド 契約社員 ipad@ 顧客先 Salesforce パートナー ノート PC@ 自宅 Cloud

7 PassLogic 紹介ムービー 誰が 何で を総合的にコントロール 何に

8 三位一体の認証インフラ デバイス Personal Identification ( 本人確認 ) アプリケーション Device Identification ( 端末確認 ) Access Control ( アクセスコントロール )

9 PassLogic とは?

10 固定パスワードの課題 固定パスワードの問題 辞書に掲載されているような単語を使う 誕生日や電話番号など身近で覚えやすい数字を使う 複数のシステムで同じパスワードを使いまわす 企業の対策 パスワードのメモを禁止 8 桁以上の意味のない英数字 ( 大小 ) 記号の羅列 90 日ごとに利用している全てのログイン用パスワードを変更複数のシステムで共通するパスワードを禁止 実際の運用 プライベートで使っているパスワードと同じパスワードを業務システムで使っている ブラウザにパスワードを保存している 定期的なパスワード変更は 1 文字だけ変えて済ませている 液晶モニターにメモを貼ることはやめたが 実はメモしている セキュリティの向上のためのセキュリティ ポリシーに加えてシステムが必要 10

11 ワンタイムパスワードとは ワンタイムパスワードは ログインごとに毎回異なる値のパスワードを入力します 繰り返し同じパスワードを使わないことでセキュリティを高め 固定パスワードの課題を解決します 1 回目のログイン Password: ****** Login 2 回目のログイン Password: ****** Login Password Password 毎回異なるパスワードでログイン 同じパスワードを繰り返し使わないため セキュリティが向上 11

12 ログインの悩みを PassLogic が解決! トークンデバイス不要! 固定パスワードが不要! 年間 70% コスト DOWN 覚えやすさセキュリティ 大幅 UP 不要 複雑で覚えにくいパスワード H3$zaQe6 不要 経営者運用管理者利用者 コストセキュリティリスク大幅に低減 トークン管理不要運用の自動化 Web ベースの管理 覚え難い PW 不要トークン不要セキュリティ UP 12

13 PassLogic 紹介ムービー

14 利用者の声 年 2 月のアンケート結果より 操作がシンプルで一度理解するとカンタンに使える パスワード忘れの対応件数が減った トークン管理の手間がなくなった ブラウザの設定が不要で メンテナンスと運用がラク 他の多数のシステムと連携して シングルサインオンが実現した 外出時にモバイル端末で業務をすることが多くなった 14

15 エンタープライズ向けの多彩なポリシー設定 項目名 ロック アウトまでの連続失敗回数 ロック アウト解除までの秒数 認証可能な時間帯 端末固定 AD パスワード保存 パラメータ設定機能の利用 項目の説明 連続で認証失敗した回数が設定値に達したユーザはロックされます 指定した秒数でロック アウト状態が自動的に解除されます 指定時間帯のみ認証することができます 認証可能な端末 ( ブラウザ ) を固定します アカウントを AD で管理されているユーザが PassLogic へログインするときに入力した AD パスワードを PassLogic データベースに保管します *AD パスワードが保存されたユーザは 次回以後のログインで AD パスワードの入力を省略できます ユーザー自身に PassLogic の拡張パラメータを変更させたい場合に利用します 主にシングルサインオン用のパスワード登録をしてもらうために利用します 乱数表の有効期限再設定時の制限シークレットパターンの有効期限初回パスワード変更を強制パスワード変更時に現在のパスワードを確認する乱数表の縦横サイズワンタイムパスワードの長さランダム発行時の長さスタティックパスワードの長さシークレットパターンの制約パスワードリマインダーの利用を許可 PassLogic 乱数表の有効時間を設定します 直近 n 回と同じシークレットパターンの設定を禁止します シークレットパターンを定期的に変更させたい場合に日数を設定します 初回利用時と管理者によるパスワード強制変更後にパスワードの変更をユーザに強制します ユーザが PassLogic ログイン中に任意のパスワードを変更する前に 現在のパスワード確認を要求するか否かを設定します 乱数表のサイズを桁数で設定できます ワンタイムパスワードの長さを指定します 初期シークレットパターンをランダム生成するときの長さを指定します スタティックパスワード ( 固定パスワード ) の長さを指定します 安易なシークレットパターンの使用を制限します 一筆書き禁止 全てのブロックから必ず 1 つ以上選択 設定禁止シークレットパターン [ 個別に禁止パターンを登録 ] ユーザがパスワードを忘れてしまった時に ユーザ自身でパスワードを再発行できる機能の使用可否を設定します 15

16 対応する連携プロトコル PassLogic は 広く普及するプロトコル採用していますので システム間の連携に関するトラブルが少なく また連携設定もとても簡単です RADIUS RADIUS SSL-VPN 社内 LAN へ シングルサインオン 業務システムのログインを統合! たった一度の認証だけで多くの業務システムへログイン HTTP ( リバースプロキシ ( ) ) 社内 Web アプリケーションへ クラウド サービス (Google Apps salesforce cybozu.com など Office365) VPN VDI SAML2.0 Collaborative Software Cloud Module or API ADFS Office365 連携用モジュール Office365 Mail ログインに費やしていた無駄な時間を短縮し 本来の業務に専念できる! 16

17 パスワードの再発行機能 セルフリマインダによる再発行 ( ユーザ自身でリカバリ ) ユーザーサポートの課題 専任のシステム担当者がいない 夜間 休日のサポートはできない パスワード何だっけ? 1) パスワードの再発行を依頼 2) 本人のメールに確認用 URL を通知 3)URL をクリック 4) 新規パスワード通知 PassLogic 17

18 ユーザー追加とサポートの自動化 ユーザー追加の自動化 LDAP / AD / CSV と連携しユーザー追加 編集 削除を自動化 PassLogic に AD アカウントを自動追加 管理者は AD のアカウントのみ管理 ユーザアカウント同期 利用 管理者 Active Directory PassLogic 利用者 POINT 管理者は AD のアカ ウント管理をするだ けで OK! LDAP / AD 認証問い合わせ 業務システム A 業務システム B 18

19 冗長化構成 データ レプリケーション機能で冗長構成や災対環境の構築が可能です アクセスの振り分けには別途ロードバランサ が必要です 冗長化構成災害対策用構成 ( ディザスタリカバリ構成 ) ロードバランサ * スティッキーセッション不要です Act Act PassLogic 1 PassLogic 2 PassLogic メインサイト PassLogic サブサイト Replication * リアルタイム同期 Replication * リアルタイム同期 レプリケーションは PostgreSQL(pgpool) の機能で行われます 19

20 BIG-IP 連携ソリューション

21 解決課題 1. リモートアクセスの際に 固定パスワードだけではリスクがあるのでワンタイムパスワードを利用したい 2. 加えて デバイスの認証を人と紐づけて行いたい 3. 人と端末を確認したうえでアクセスコントロールを行いたい 4. デバイス固有情報の収集を自動化したい 再発行や機種交換時も自動化したい

22 システム構成 APM が得たユーザアカウントと デバイス固有情報や AD など既存認証基盤のパスワード等を APM から PassLogic へ API 経由で PassLogic の Attribute に自動的に登録する アプリケーション RADIUS OTP 認証 APM で取得した情報を Attribute に登録する API

23 連携動画 端末登録

24 連携動画 登録されていない端末

25 連携ソリューション 誰が PassLogic 何で APM+PassLogic 何に APM

26 連携事例 数万名が毎朝一斉にデスクトップにログオンしても認証で待たせたくない F5 BIG-IP と PassLogic の組み合わせが最良だと判断しました 社内環境シングルサインオン数万名 社内ネットワーク F5 BIG-IP APM インターネット OTP 認証 Edge Client 社員やパートナー企業 5,000 名を対象に在宅勤務環境 iphone/ipad 背景 / セキュリティ課題 VDIによりクライアントにデータが保存されない 場所や端末に依存しない勤務環境を実現 VDIへのアクセスを如何に安全にするか ソリューション 本人確認 : ワンタイプパスワード 上記のアクセス連携をBIG-IPで実現し ポリシー違反があればアクセス拒否 一斉ログオンのパフォーマンスが良かった

27 まとめ トークンレス ワンタイムパスワードでセキュアな本人確認 コストも低減利用者とデバイスを紐付けてアクセスをコントロール利用者と複数のデバイスの紐付けも自動化して運用機種変更時のデバイス紐付けも自動化大規模運用に適した機能とパフォーマンスと多数の連携実績

28