第２回 Around the Auth ライトニングトークセッション 株式会社 NTTデータ 早川 順

1. © 2020 NTT DATA Corporation
2020年5月26日
株式会社NTTデータ ネットワークソリューション事業部 サービスイノベーション担当
早川 順
「第2回 Around the Auth」
VPNはもう卒業！FIDO2認証で次世代リモートアクセス

2. © 2020 NTT DATA Corporation 2
早川 順
株式会社NTTデータ
ビジネスソリューション事業本部
NWソリューション事業部 課長代理
 主な経歴
 シングルサインオンパッケージSecureJoin®
の開発、導入
 認証・ID管理に関する研究開発
 現在
 認証サービスBizXaaS Authentication ®
のチームに所属。
FIDO2を軸にした、次期認証サービスの検証・企画
自己紹介

3. © 2020 NTT DATA Corporation 3
I. VPNのリモートアクセスで辛いところ
II. ゼロトラストモデルと次世代リモートアクセス
III.そしてFIDO2へ…
今日お話ししたいこと

4. © 2020 NTT DATA Corporation 4
Intra
今回は社内のPCやVDIにリモートアクセスしているモデルを想定。
※端末側にはデータをダウンロードさせない
前提
端末 自席PC/VDIVPN+
リモートアクセス
VPNによる構成例
ファイルサーバ等
RADIUS
(認証サーバ) 社内システム
FW

5. © 2020 NTT DATA Corporation 5
I. VPNのリモートアクセスで辛いところ

6. © 2020 NTT DATA Corporation 6
パスワード入力が面倒… セキュリティが不安…
 スマホのように生体認証で簡単に入れない  万一、不正アクセスで社内へ入られてしまう
と、情報漏洩やマルウエア感染が広がる
VPNによるリモートアクセスの課題
＊＊＊＊

7. © 2020 NTT DATA Corporation 7
パスワード、OTP入力が面倒… セキュリティが不安…
 スマホのように生体認証で簡単に入れない
 毎回OTPも入力が必要
 数回失敗するとロックされる
 万一、不正アクセスで社内へ入られてしまう
と、情報漏洩やマルウエア感染が広がる
 セキュリティ強化
セキュリティの強化のしわ寄せで、認証がさらに不便に…
＊＊＊＊ 123456
パスワードロック解除のため出社せざるを得ない
管理者(情シス)がパスワードリセットで逼迫する
OTPを追加して二要素認証させる
パスワードロックの追加や強化

8. © 2020 NTT DATA Corporation 8
VPNの仕組み上、避けられない課題
Intra
FW
自席PC/VDI ファイルサーバ等
RADIUS
(認証サーバ)
セキュリティが不安
⇒VPNによる認証は接続まで。各サーバへの
アクセス制御はスコープ外。
一旦、社内へ入られると、様々なサーバが攻
撃を受けてしまう※
※「ラテラルムーブメント」という攻撃手法として知られている。
パスワード、OTP入力が面倒
⇒VPNとRADIUSは規格が古く、
利用できる認証方式はパスワードやOTP、
証明書に限られる
社内システム
攻撃者
VPN+
リモートアクセス

9. © 2020 NTT DATA Corporation 9
ゼロトラストモデルに変えましょう
写真：GYRO PHOTOGRAPHY/ア フロイメー ジマ ート

10. © 2020 NTT DATA Corporation 10
II. ゼロトラストモデルとSDP
(Software Defined Perimeter)

11. © 2020 NTT DATA Corporation 11
従来型のセキュリティ(境界防御モデル)はFWやVPNから内側は信頼できる前提。
一方、ゼロトラストモデルではすべては信頼できないものとし、全て検証することで脅
威を防ぐというコンセプト。
ゼロトラストモデルとは
画像：[ゼロトラストモデルとの 向き 合い方 ～信じ ない もの が救わ れる～ ](https://www .secu re -s ketch .com/ bl og/ fa ce -the-th ou ght -of-zero-trust-model)

12. © 2020 NTT DATA Corporation 12
SDP(Software Defined Perimeter) では、まずSDPコントローラでユーザを認証す
る。次にSDPゲートウエイで守られた境界(Perimeter)に接続する。IDやデバイスを
チェックする。オンプレもクラウドも同じようにアクセス制御が可能。
SDP -ゼロトラストモデルにおいて、VPNに代わるリモートアクセスの仕組み-
画像：https:// procu rea dvis or.com/ the -defini tive -gui de-to-s oftw are-defined-peri meter/
外部のIdPと
連携可能としてい
る製品が多い

13. © 2020 NTT DATA Corporation 13
ゼロトラストにおける次世代リモートアクセスソリューションの例
Zscaler Private Access
Enterprise Application Access
Netskope Private Access
BeyondCorp Remote Access

14. © 2020 NTT DATA Corporation 14
境界防御モデル:VPN ゼロトラストモデル:SDP
前提 FWから内部は安全 FWから内部であっても安全ではない
境界 FW 個々のサーバやアプリケーション
防御 内部ネットワークの接続時に認証をおこ
なう
最初にIdP等で認証後に接続、アプリケー
ションへのアクセス毎にチェック
構成
例
VPN vs SDP
Intra Intra
不正アクセスで内部に侵入されると、様々
な情報資産にアクセスされてしまう
SDPクラウド
IdP
等
多要素認証で遮断
IDやデバイスチェック
で遮断

15. © 2020 NTT DATA Corporation 15
III. そしてFIDO2へ…

16. © 2020 NTT DATA Corporation 16
FIDOは認証器による所持認証に加え、記憶や特徴によるユーザ認証を組み合わせ、
多要素認証を実現する仕組み。FIDO=生体認証ではない。
認証の3要素(記憶、所持、特徴)とFIDOの位置づけ
記憶 所持 特徴
＊＊＊＊
パスワード PIN セキュリティキー スマートフォン 指紋 顔
FIDO U2F FIDO UAF
FIDO2

17. © 2020 NTT DATA Corporation 17
ADFS向けにMFAモジュールのプロトタイプを開発。ブラウザからFIDO2認証後、
Zscaler Private Access(ZPA)を利用し、リモートアクセスできることを検証。
FIDO2認証とZPAを組み合わせたリモートアクセスイメージ
認可・アクセス制御認証(FIDO2) 連携
FIDO2+
ADFS(IdP)
SAML
Zscaler
クラウド
Zscaler
コネクタ
自席
PC/VDI
フィッシングによる認証情報の詐取や、
不正侵入を排除した、安全なリモートアクセス
パスワードレス認証

18. © 2020 NTT DATA Corporation 18
登録画面イメージ(iPad Pro)
登録時はメールで認証
コードを送るデモ
FIDO2セキュリティキーで
登録

19. © 2020 NTT DATA Corporation 19
認証画面イメージ(iPad Pro)
ここはRDWebの仕様で
パスワードが必要
認証後、社内のRDWebにアクセス
してリモートデスクトップ
FIDO2セキュリティキーで
認証

20. © 2020 NTT DATA Corporation 20
複数の認証方式を組み合わせることで、一つの方法が使えなくても、他の方法に切
り替えてアクセスできるようにするべき。機種変更等も考慮した仕組み、運用が必要。
より実践的な利用に向けて
123456 １２３４５６
認証の方式
メイン
サブ
ADFS
OTP
認証基盤(IdP/IDaaS)
FIDO2
SMS
構成例
組織の状況に合わせ、UXデザイン・運用まで広く見据える事が大切

21. © 2020 NTT DATA Corporation 21
テレワーク経験者の８割以上が業務の生産性向上したと回答。
社会や組織の制度・環境・意識が整ってくることで、リモートワークは多様な働き方の
選択肢として広がっていくと予想される。利便性とセキュリティを両立する仕組みを提
供することで貢献していきたい。
アドビ「テレワーク勤務のメリットや課題に関する調査結果」 2020年3月4日
画像：[アドビ「テレワーク勤務のメ リットや課 題に関 する調査 結果」を 発表 | Adobe](https ://www .a dobe.com/j p/n ews -room/news/2 02 003 /20 20 030 4_a dobe -telew ork-
survey.html)

22. © 2020 NTT DATA Corporation 22
まとめ
VPNのリモートアクセスで辛いところ
パスワード、OTP入力が面倒… セキュリティが不安…
 スマホのように生体認証で簡単に入れない
 毎回OTPも入力が必要
 数回失敗するとロックされる
 万一、不正アクセスで社内へ入られてしまう
と、情報漏洩やマルウエア感染が広がってし
まう
FIDO2とゼロトラストモデルによる次世代リモートアクセス
利便性の高い認証 高セキュリティ
 パスワードレス認証
 複数の認証方式を組み合わせることで、一
つの方法が使えなくても、他の方法に切り替
えてアクセスできる
 FWから内部であっても安全ではないではな
い前提で、個々のサーバやアプリケーションを
守る
 IDやデバイス情報を用い、アクセス毎にきめ
細かいチェックをおこなう

23. © 2020 NTT DATA Corporation

24. © 2020 NTT DATA Corporation 24
参考

25. © 2020 NTT DATA Corporation 25
「SDPホスト」と「SDPコントローラー」で構成され、まずSDPコントローラでユーザを認
証し、それからSDPホスト間を接続する。
参考｜SDPのイメージ
[SDPとは何か。「ゼロトラ スト」で 提唱さ れる新た な「境界」 ｜クラ ウドセキュ リティ ( CAS B) Netskope - サイバネット](https://www .cy bernet.co.j p/nets kope/ ti ps/0 5/)

26. © 2020 NTT DATA Corporation 26
VPNでは、FIDO2のように高いレイヤで多要素認証を行うには、まず接続時に
ID/PW認証や証明書認証をおこなう必要がある。一方、SDPでは接続前に多要素
認証(MFA)をおこなう事ができる点に着目。
参考｜VPNとSDPの認証手順の違い
出典:SDP利用シナリオ集 -リリー ス版 -v1 .0 .pdf(h ttps:/ /www.cl oudsecuri tya ll ian ce.j p/)

27. © 2020 NTT DATA Corporation 27
ゼロトラストモデルを提唱したForrester Research 社は現在、「Zero Trust
eXtended (ZTX)」と改め、SDPはネットワークセキュリティのソリューションと位置づけ
ている。
参考｜ゼロトラストネットワークにおけるSDP
画像：[ゼロトラストモデルとの 向き 合い方 ～信じ ない もの が救わ れる～ ](https://www .secu re -s ketch .com/ bl og/ fa ce -the-th ou ght -of-zero-trust-model)

28. © 2020 NTT DATA Corporation 28
SASEはガートナーが提唱する、包括的なWAN機能と包括的なネットワークセキュリ
ティ機能（SWG、CASB、FWaaS、ZTNAなど）を組み合わせて、デジタル企業の
動的なセキュアアクセスニーズをサポートする新たな製品。
参考｜SASE(Secure Access Service Edge)
画像：[SASEとは？オールインワン製 品で DX推 進に向 けた効 率的 なセ キュ リティ 投資を ！](h ttps ://ww w.s ecu re -s ketch.com/ bl og/secure-a ccess -s erv i ce-edge)
ZTNA
(ZeroTrust Network
Access)
が次世代リモートアク
セス

29. © 2020 NTT DATA Corporation 29
参考｜Zscaler Private Accessの構成
画像：[Zscaler Private Access(ZPA) - 製品情報｜ノックス株式 会社](h ttps:// www.n ox.co.j p/ produ cts/zs caler/ zpa/ index.shtml)