電子証明書とはインターネット上の身分証明書のことです。現実世界の運転免許証やパスポートのようなものです。都道府県公安委員会が発行する運転免許証や外務省が発行するパスポートを提示すれば、各種申請や本人確認を必要とする手続きがスムーズに行えます。インターネットの世界では電子証明書をID/パスワードの代わりに利用したり、電子メールのなりすまし送信やフィッシング詐欺対策に利用する事も可能です。

電子証明書にはクライアント証明書、サーバ証明書と目的に応じて、呼び方を変えていますが、この記事ではクライアント証明書の便利な用途を紹介し、あわせてクライアント証明書の発行・失効を管理する認証局(プライベートとパブリック)の利点、欠点についても解説します。

クライアント証明書を導入したら、まずどんなことができるのか

ID/パスワードによるアクセス認証のデメリットが解決できる

アクセス認証の方法には古くから、IDとパスワードが使われてきました。しかしながら、ログイン毎にパスワードを打ち込むことが面倒だと感じる利用者が多いのが現実です。パスワードが覚えられずに付箋紙にメモしたり、ブラウザに記憶させてしまったり、すぐに思い出せる簡単なパスワードを使い続けたりといった使われ方が無くなりません。

クライアント証明書を導入すれば、ログイン毎にID/パスワードを打ち込む代わりにクライアント証明書を提示する事で認証を行うことが可能です。クライアント証明書は本人のみ知っている情報、本人しか持ちえない物、本人の身体的特徴の持っている物の要素であるので、2要素認証としてID/パスワードと組み合わせる事で、仮に外部にID/パスワードが漏れてしまったとしても、クライアント証明書がインストールされていないと社内のシステムにアクセスすることはできない、強固な認証の仕組みを構築する事ができます。

「盗聴」「なりすまし送信」「フィッシング詐欺」などの被害を防ぐことができる

メールにはS/MIMEという公開鍵を用いた暗号化方式があり、電子証明書を用いてメールに対し、電子署名、暗号化を行う事ができます。暗号化した場合は「盗聴」は不可能となりますし、電子署名を行う事で、悪意ある第三者による「なりすまし送信」「フィッシング詐欺」も防ぐことが可能です。

S/MIMEを使うには、Microsoft社のOutlookなどのS/MIME対応メールアプリケーションを双方で用意して、電子証明書の設定を行います。暗号化を行う場合は、メール送信時には相手側の署名に含まれる公開鍵が必要となります。事前にお互いの電子証明書で署名したメールの送受信を行うことで公開鍵の交換が完了いたします。その後は相手の公開鍵を使用し、暗号化メールの送信ができます。

クライアント証明書のメリット、利用用途はさらにこんなに広がります

クライアント証明書は大企業、中小企業、公的・教育機関、金融機関、医療・福祉、ホスティングサービスなどで広範囲に利用されています。
クライアント証明書の便利な用途として、下記利用シーンなどがあります。

安全なリモートアクセス

• 外出先から、いつでもクライアント証明書に対応した社内の重要システムへID/パスワードの代わりに安全にアクセスすることが可能です
• 在宅勤務や大規模災害時など、自宅からでもID/パスワードの代わりに長期間安全にクライアント証明書に対応した社内システムへアクセスすることが可能です

セキュリティ強化

• 重要情報の入ったサーバへのアクセス時にクライアント証明書を保持した端末だけを認証し、セキュリティを強化します
• ついつい杜撰になりがちなID/パスワード入力による認証を電子証明書で簡便化し、セキュリティも強化します

スマートデバイス活用

• ノートパソコンやスマートフォンを営業活動用として持ち歩き、インストールされたクライアント証明書を用いて出先からも社内システムへ安全にアクセスすることが可能です
• MDM(モバイルデバイス管理サービス)などと連携すると、より効果的に端末管理の信頼性を向上させることができます

S/MIMEによるメールの署名・暗号化

• 暗号化メールが可能となり、新製品情報や企業戦略などの重要な情報が通信経路上で盗み見られても情報の漏洩を防止できます
• メールにおいては一見しただけでは本物、偽物の区別ができない文面であっても、署名の有無から、フィッシングメールかどうか判別する有力な手助けとなります
• メールの改ざんを検知するとメールソフトで警告が表示され、ユーザに注意喚起することが可能になります

認証局の役割とプライベート認証局とパブリックの認証局のメリット・デメリット

認証局の役割

クライアント証明書を使うにはクライアント証明書に対応したアプリケーションが必要です。クライアント証明書を発行する認証局の役割には発行以外に失効の依頼を受けた電子証明書を失効させることもあります。

発行にはCPSに記載されている運用規定に則ったプロセスが必要で、認証局によっては申請元の個人や組織が実在しているかどうかを印鑑登録証明書や登記事項証明書を用いて確認します。

失効も同様にCPSに運用規定が記載されていますが、銀行のキャッシュカードが紛失した時を思い浮かべると分かりやすいです。キャッシュカードを紛失すると銀行へカードの停止依頼をします。これによりカードの利用ができなくなり、新たなキャッシュカードを発行してもらうようになります。電子証明書も同じような流れになります。

電子証明書の所有者が自分のノートパソコンやスマーフォンを紛失したり盗まれたりして、クライアント証明書がインストールされたデバイス自体が悪意のある第三者の手に渡ってしまった場合などに、認証局へ該当の証明書の失効を依頼します。失効された事を確認した後、必要に応じて新たな証明書を発行してもらうようになります。

プライベート認証局とパブリックの認証局のメリット・デメリット

認証局には2種類あり、ひとつは一般的なウェブブラウザやメールソフトのベンダーが設定したルート証明書搭載基準を満たし、あらかじめ、ルート証明書が組み込まれているパブリック認証局です。もう一つはウェブブラウザやメールソフトにはあらかじめ、ルート証明書が組み込まれておらず、導入する会社が独自の運用基準を設けて設立したプライベート認証局です。

どちらも電子証明書の発行と失効が可能ですが、パブリック認証局ではルート証明書の配布やインストールが不要なため、はじめてクライアント証明書を運用する場合には設定が簡単で便利です。反面、運用規定はあらかじめ規定されていますので社内の独自の設定をしたい場合には不向きだと言えます。

S/MIMEによるメールの送受信を行いたい場合には、パブリック認証局の証明書が向いているといえます。ルート証明書が搭載されていないとS/MIMEを利用できないメールアプリケーションもあります。パブリック認証局の利点であるルート証明書の配布が必要ないことはS/MIMEの導入を検討している組織にとっては外せない項目の一つと言えます。

プライベート認証局はルート証明書の配布や設定などに手間が掛かりますが、運用規程を自由に設定できます。すでに独自のセキュリティポリシーが確立している場合などはプライベート認証局の方が使い勝手が良いでしょう。

管理などの面でSaaS型のパブリック認証局は証明書を管理する専用のインターフェイスが用意されており、ブラウザのみで運用できるケースがほとんどですが、プライベート認証局の場合には、認証局の設定、構築、維持、管理等を全て自身で行わなければならず、人的資源を圧迫する事も有りえます。

まとめ

セキュリティ問題はサーバへの攻撃だけでなく、クライアント側の人為的ミスや管理ミスが原因でも起こる！

通販サイトなどで一般的なSSL/TLSはサーバ側に証明書をインストールし、アクセスしてきたクライアントに対してサーバがフィッシングサイトなどではなく安全な「本物のサーバ」であることを証明します。

社内の機密事項が含まれたサーバにリモートからアクセスしたり、社員同士が電子メールでやり取りしたりする時など、その端末を使っているのが「本物の社員」であることを証明する、クライアント証明書を端末にインストールし、端末の安全性の確保がサーバ側の対策と同じくらい重要になってきます。

WEBサーバやファイルサーバなどのサーバにサーバ証明書をインストールして設定を施し、メンテナンスも情報管理部門が集中管理することができます。

これに対してクライアント証明書では多くの社員が自分で普段使用する端末に証明書をインストールして、設定を施します。営業や出張などで社外へ端末を持ち出すケースもあり、また私物端末を社内に持ち込む場合もあります。クライアント証明書をインストールすることによって、認証強化を行い、サーバに対する不正アクセス対策を進めることが可能になります。

サーバ証明書を導入している企業は非常に多いですが、クライアント側の対策についてもクライアント証明書の活用の検討などを始めてみてはいかがでしょうか。