| IIOPアプリケーションゲートウェイ説明書 (運用管理Webサーバ編) |
|
目次
索引
|
| 第3章 運用前の準備 |
通常のInterstage Proxyが使用する通信プロトコルではセキュリティが行われていないため、ネットワーク上でデータを第三者に傍受、改ざんされる危険性があります。SSL(Secure Sockets Layer)セキュリティではInterstage Proxyの通信プロトコル部分をSSLプロトコルに置き換え、これらの危険を回避し、Interstage Proxy−クライアント間およびInterstage Proxy−サーバ間でセキュアな通信を行うことができます。Interstage Proxyは、SSLバージョン2.0とバージョン3.0をサポートしています。また、本バージョン・レベルでは、CORBAクライントとInterstage Proxy間のSSLのみをサポートしています。
■SSLによるセキュリティの特長
■ネットワークの危険性
通常、Interstage Proxyがクライアントまたはサーバと通信する場合、ネットワーク上に流れるデータは第三者に傍受される危険があります。パスワード、秘密文書、クレジットカード番号などの極秘なデータが悪意を持った第三者に傍受されると本人の利害を侵したり、データの改ざんによる情報の混乱を起こしかねます。ネットワークの危険はインターネット上ではもちろんのことイントラネットでも危険はあります。
そのため、Interstage Proxy−クライアント間またはInterstage Proxy−サーバ間の通信にセキュリティをかける必要があります。Interstage Proxyのセキュリティには、世界で広く使われているNetscape Communications Corporationが提唱するSSLプロトコルを搭載しています。SSLプロトコルは、以下に示す機能を持つセキュリティを実現しています。
平文のデータを暗号化するためには、鍵が必要です。公開鍵暗号方式では、データのやりとりをするために、秘密鍵と公開鍵という２種類の暗号鍵を使います。秘密鍵と公開鍵は常にペアで使用されます。秘密鍵はその名のとおり他人には知られないように秘密に管理し、パスワードで保護されます。公開鍵は平文のデータを暗号化する時に使用され、秘密鍵は暗号データを平文にもどす（この処理を復号化と呼ぶ）ために使用します。
■証明書
証明書とは公開鍵が間違いなく本人(サーバ、クライアント)のものであることを証明するためのものです。証明書の中には、名前、公開鍵等の情報が格納され、発行局の電子署名が付加されています。
■機密性
ネットワーク上を流れるデータは第三者に傍受される可能性があります。第三者に情報を読まれたくないが、ネットワークを通じて遠隔地の相手同士で通信を行う方法が要求されてきました。そこで、データをある鍵で変換して暗号化したデータ通信を行うことで、第三者が見ても分からない方法が必要になりました。Interstage Proxyが搭載しているSSLプロトコルでは公開鍵暗号方式を用いてデータを暗号化します。
Interstage Proxyは、この公開鍵暗号方式を使用してその時の通信だけ有効な鍵(セション鍵)を生成し、その鍵を使用して暗号化を行います。こうすることで第三者にデータを傍受されることを防ぐことができます。
■改ざん検出
ネットワークを流れるデータは、悪意を持った第三者によって改ざんされる可能性があります。暗号化されていてもデータが故意に変更され、送ったデータが本当のデータなのかクライアントはわかりません。そこで、Interstage Proxyから送ったすべてのデータから電子署名を作成してクライアントにその署名もデータと一緒に送ります。クライアントは受け取ったデータから電子署名を作成し、Interstage Proxyから受け取った電子署名と一致していれば改ざんはなかったと判断できます。電子署名は、送ったデータが少しでも違っていると大きく変わるようになっていますので、改ざん検出が行えます。
Interstage Proxy−クライアントの通信についても同じことが言えます。
■なりすまし防止
公開鍵は、証明書と呼ばれる本人の身元を証明するデータ(本人の名前、メールアドレスなどを含む)の中に格納されます。通信を行う場合、Interstage ProxyはInterstage Proxy証明書をクライアントに送ります。しかし、クライアントは、Interstage Proxy証明書が本当にそのサーバのものなのかわかりません。そこで、第三者的な存在で証明書を発行する機関として発行局(CA局(Certification Authority)とも言う)があります。
Interstage Proxy証明書の中には発行局の秘密鍵で作った電子署名も含まれるためクライアントは、その電子署名を発行局の公開鍵(実際には発行局の証明書)で復号化することによりInterstage Proxy証明書がその発行局で発行された証明書と認証します。
またクライアントは、Interstage Proxy証明書に含まれるサーバの公開鍵で暗号化したデータをサーバに送り、サーバが秘密鍵を使って復号化して通信が確立した場合にサーバが本人であることを認証します。
第三者機関としての発行局が身元を保証することによって、第三者がある本人になりすますことを防止できます。
SSLのバージョン3.0ではクライアント認証の機能を使用し、クライアントのなりすましを防止することができます。
Interstage Proxy−サーバ間の通信についても同じことが言えます。ただし、本バージョン・レベルでは、Interstage Proxy−サーバ間のSSL通信はサポートしていません。
■CRL
CRL(Certificate Revocation List)とは、無効となった証明書のリストです。CRLの中には発行者名、発行時刻、無効証明書のリスト等の情報が含まれています。
SSLを使用するためには、Interstage Proxy、CORBAクライアント、CORBAサーバそれぞれで環境設定が必要になります。以下にその手順を示します。
Interstage Proxyの運用手順
(1) 動作環境の設定
↓
(2) Interstage ProxyでのSSL環境設定
↓
(3) 起動
CORBAクライアントの運用手順
クライアントSSL連携のセットアップ
(1) 発行局の証明書をCORBAサーバに登録
↓
(2) クライアント証明書の発行依頼、登録
CORBAサーバの運用手順
サーバSSL連携のセットアップ
(1) 発行局の証明書をCORBAサーバに登録
↓
(2) サイト証明書の発行依頼、登録
SSLを使用するための動作環境の設定は、以下の手順で行います。
|
↓ |
|
↓ |
|
↓ |
(1) 証明書／鍵管理環境の作成と設定
SSL使用時の動作環境である証明書／鍵管理環境を作成します。
管理ディレクトリの作成
証明書、秘密鍵管理に必要な管理ディレクトリを作成します。
詳細については“C.2 証明書／鍵管理環境の作成／設定コマンド”を参照してください。
秘密鍵管理環境の作成と設定
秘密鍵の管理に必要な秘密鍵管理環境の作成と設定を行います。
詳細については“C.1 SSL使用時の動作環境設定”を参照してください。
証明書／CRL管理環境の作成と設定
証明書およびCRLの管理に必要な証明書／CRL管理環境の作成と設定を行います。
詳細については“C.1 SSL使用時の動作環境設定”を参照してください。
証明書および秘密鍵の取得／登録方法は以下のとおりです。
Interstage Proxyで、証明書発行局が発行した証明書を使用するには、証明書発行局に証明書の発行を依頼し、証明書を取得する必要があります。
証明書発行局から証明書を取得する手順は以下のとおりです。
(手順1)証明書取得申請書の作成
証明書発行局へ証明書の発行を依頼するための、証明書取得申請書を作成します。
証明書取得申請書の作成は、証明書／CRL取得申請コマンドで行います。コマンドに、Interstage Proxy証明書の情報、Interstage Proxy秘密鍵を登録するトークンのトークンラベルおよびユーザPINを指定することにより、証明書取得申請書の作成が行われ、同時に公開鍵と秘密鍵の鍵ペアが作成されます。
ここで指定したトークンラベルは、SSL制御設定のトークンラベル入力項目に設定します。また、ユーザPINはSSL制御設定のユーザPIN入力項目で使用します。
証明書／CRL取得申請コマンドの詳細は、“C.2.3 証明書／CRL取得申請コマンド”を参照してください。
(手順2)証明書の発行依頼
証明書取得申請書を証明書発行局へ送り、Interstage Proxy証明書の発行を依頼します。
依頼方法は証明書発行局に従ってください。
(手順3)証明書の取得
証明書発行局により署名された証明書を取得します。
取得方法は証明書発行局に従ってください。
[注意]
発行局証明書、Interstage Proxy証明書を証明書／CRL管理環境に登録します。
証明書の登録は、証明書／CRL管理コマンドで行います。証明書／CRL管理コマンドに、証明書を識別するためのニックネームを指定することにより、証明書が証明書／CRL管理環境に登録されます。
ここで指定したInterstage Proxy証明書のニックネームは、Interstage ProxyのSSL環境設定のCORBAサービスへの登録に設定します。
証明書／CRL管理コマンドの詳細は、“C.2.4 証明書／CRL管理コマンド”を参照してください。
Interstage ProxyのSSL中継機能で中継を行うための環境情報を設定します。
Interstage ProxyのSSL環境設定の詳細は、“6 SSL環境設定”を参照してください。
証明書発行局によって発行されたInterstage Proxy証明書を使用してクライアントまたはサーバとSSLを使用した通信を行うためには、Interstage Proxy証明書を承認した発行局の証明書をクライアントに登録する必要があります。登録方法は証明書発行局に従ってください。
SSLバージョン3.0を使用してクライアント認証をするためには、クライアントにクライアント証明書が必要です。また、そのクライアント証明書を発行したCA局の発行局証明書を証明書／CRL管理環境に登録する必要があります。
クライアント証明書は、証明書発行局に証明書の発行を依頼し、取得します。Interstage Proxyで使用できるクライアント証明書は、当社のインターネット／イントラネットで証明書管理を実現するソフトウェアであるInfoCA 1.0で発行する証明書です。
InfoCA 1.0でのクライアント証明書の発行については『InfoCA説明書 V1.0』を参照してください。
クライアント証明書の発行局の証明書(クライアントCA証明書)を証明書／CRL管理環境に登録します。
クライアントCA証明書の登録については、“C.2.4 証明書／CRL管理コマンド”を参照してください。
SSLバージョン2.0または3.0を使用してサーバ認証をするためには、サーバにサイト証明書が必要です。また、そのサイト証明書を発行したCA局の発行局証明書を証明書／CRL管理環境に登録する必要があります。
サイト証明書は、証明書発行局に証明書の発行を依頼し、取得します。Interstage Proxyで使用できるサイト証明書は、当社のインターネット／イントラネットで証明書管理を実現するソフトウェアであるInfoCA 1.0で発行する証明書です。
InfoCA 1.0でのサイト証明書の発行については『InfoCA説明書 V1.0』を参照してください。
サイト証明書の発行局の証明書(発行局証明書)を証明書／CRL管理環境に登録します。
発行局証明書の登録については、“C.2.4 証明書／CRL管理コマンド”を参照してください。
InfoCAを使用してInterstage Proxy証明書を発行する場合、WWWサーバに証明書を発行する場合と同様の手順で証明書を発行してください。また、作成した証明書、および発行局証明書を退避する場合には、DER形式(バイナリ)を選択して退避してください。
|
目次
索引
|