ゼロトラスト製品は、現代の通行手形となり得るか？ 否！
現代の通行手形とサイバー空間の認証
江戸時代の通行手形に似た現代の手形と言えば、ゲートシステムに使用できる社員証、娯楽施設への入場券、FeliCaに代表される交通系非接触ICカード、各国のパスポート等があげられるでしょう。これらは、物理的な空間での移動を制限するための手段として、我々の日常生活に深く根ざしています。
一方、サイバー空間での通行を許可する／拒否する事にあたる行為を思い浮かべてみると、サーバーへのアクセスやある特定のネットワーク（主にイントラネット）へのアクセスを許可／拒否する仕組みが相当するでしょう。これはネットワークへの認証と言い換えていいと思います。ある特定の境界点（社内のイントラネットとインターネットの境）において通行手形を確認して、通過させて良い人物だけにイントラネットのリソースの使用を許可するというイメージです。
サイバー空間で有効な通行手形手段にはどんなものがあるか
サイバー空間で通行を許可するための一般的な手段にはどんなものがあるかをChatGPTに聞いてみました。以下が回答でした。
1. ユーザーアカウントとパスワード：
ほとんどのオンラインサービスやウェブサイトは、ユーザーのアカウントとパスワードを要求してアクセスを許可します。正しい認証情報を提供することで、特定のリソースへのアクセスが可能となります。
2. 二要素認証（2FA）または多要素認証（MFA）：
これは、追加の認証要素を要求するセキュリティメカニズムです。通常、パスワードとともに、SMSコード、ワンタイムパスワード（OTP）、指紋認証、ハードウェアトークンなどの追加要素が必要になります。
3. アクセス制御リスト（ACL）：
ネットワークルーターやファイアウォールなどで使用される方法で、特定のIPアドレスやユーザーに対してのみアクセスを許可するかどうかを制御します。
4. バーチャルプライベートネットワーク（VPN）：セキュアな通信チャネルを提供し、外部からのアクセスを制限するために使用されます。
これらの手段は、サイバー空間での通行を許可する際にセキュリティとアクセス制御を確保するために重要な役割を果たしていて情報やリソースを適切な人物にのみ提供し、サイバーセキュリティを向上させることができます。
というのが、ChatGPTからの回答でした。
VPNとACLの問題点
4.のVPNは、通行手形には相当するかというと、個人的には疑問符が付きますが、情報やリソースを適切なユーザーにのみ提供するという視点からみてみると、通行手形といえばいえそうです。言い換えるとVPNは、これを使用できる人物にのみ許可を与えるという事を確実にしなければならないので、VPNはサイバー空間の通行手形と言えそうです。問題点はハッカーがVPN装置から侵入してくる事例が多発している点です。
最近IPAから【注意喚起】インターネット境界に設置された装置に対するサイバー攻撃について～ネットワーク貫通型攻撃に注意しましょう～
が発行されています。
https://www.ipa.go.jp/security/security-alert/2023/alert20230801.html
サイバー空間における通行手形っぽいのは、3.のACLですが、これらの装置を正しく維持管理し、運用できる企業ばかりでない事が問題になりそうです。特に、大企業のサプライチェーンに属している中小企業においては、これらの装置を正しく使用する為の設定がデフォルトのままで、設定ミスに気が付かないまま運用しているケースがありそうです。しかも、設定の見直しはたぶん実施されていないと思います。また、これらの装置のソフトウェアのバージョンアップや仕様変更がメーカーから通知されていても、見過ごしていることが多そうです。
多いだろうという予測は、上記のIPAのページに、平時の備えとして、以下が指摘されているからです。
（実際には実行できていないケースが多い事を物語っていると思います）
・製品ベンダから発信された情報を基に対応するための体制整備
・ゼロデイの脆弱性情報または、攻撃を確認した際の対応手順整備
・整備した体制、対応手順が運用可能なものであるかの確認と随時の改善
では、1.のユーザーアカウントとパスワードあるいは、2.の二要素認証（2FA）または多要素認証（MFA）が確実に実行されていたら、ハッカーに対して通行手形として十分に機能するかという疑問が発生します。理由はハッキング被害が後を絶たないからです。
ゼロトラストアプローチの登場
そこで認証に対する考え方として、ゼロトラスト（Zero Trust）アプローチなる考え方が、最近特に注目を集めていますので、このアプローチが有効か否かを考えてみたいと思います。
これは、従来の信頼モデルに依存せず、常に厳格な認証とアクセス制御を行うというモデルです。換言すると人物が、一度認証されたとしても、その後も継続的に認証を要求して、人物のアクセス権を都度確認しなければならないという考え方です。なんだか、人物の顔が見えないサーバー空間において認証を通行手形として機能させるためには必要な考え方のように思います。
認証の方法と言えば、認証を許可しても良い人物が「知っている」、「持っている」を活用するのが一般的ですが、ゼロトラストアプローチを考慮した認証をChatGPTにある程度満足が行くレベルの返答になるまで聞いてみました。以下になりますが、ChatGPTは、確率で言葉を次々と選ぶ仕組みですので、毎回同じ回答とならない事をご承知おきください。
ゼロトラストアプローチでは、一度認証が成功しただけでなく、継続的にユーザーのアクセスを確認することが重要です。セッション全体を通じて、ユーザーが正当なユーザーであることを保証するために、複数の方法で継続的な確認を行います。
以下に、ゼロトラストアプローチにおいて継続的に確認するための方法を列挙します：
1. ユーザービヘイビア分析：
セッション全体を通じて、ユーザーの行動パターンやアクセス履歴を監視し、不審な挙動を検知します。異常なアクティビティが検知された場合、追加の認証を要求することがあります。
2. デバイス評価とトラストレベルの監視：
セッション全体を通じて、ユーザーが使用するデバイスのセキュリティ状態を定期的に監視し、変化があった場合には再認証を要求することがあります。
3. コンテキストベースのアクセス制御：
セッション全体を通じて、ユーザーの位置、デバイス情報、接続元のネットワークなどを監視し、リソースへのアクセスを許可または拒否します。
4. アクセスコンテキストの監視：
ユーザーのアクセスが特定の場所や時間帯と異なる場合に、追加の認証を要求することがあります。例えば、通常はオフィス内からのアクセスだが、海外からのアクセスが試みられた場合など。
これらの方法を組み合わせることで、ゼロトラストアプローチが実現され、セキュリティが強化されます。継続的な確認がセッション全体で行われることによって、ユーザーのアクセスが常に評価され、セキュリティが向上します。
以上が、ChatGPTの回答です。
なんとなく納得できるようなキーワードと文章が列挙されていますが、特定のケースにおいては、セキュリティ効果は期待できるとは思いません。何故かと言うと、どの施策も何か問題が確認／検知出来たら、再度認証を実施し、認証できたらセッションを継続するからです。
ハッカーが最初の認証を突破できたとしたら（これが上記で述べた特定のケースになります）、何かあるたびに継続的に何度も認証を求められても、その認証は問題ないと判断されるからです。理由は、最初の認証時に利用した状況／データがリアルタイムに変化する可能性がほぼないので同じ認証データを利用できるからです。
しかも、この特定のケースは、頻繁に起こっています。
ゼロトラストアプローチの限界を知っておこう
この事をChatGPTに指摘して、問いただしたところ、あっさりと認めてくれて出してくれた回答が以下です。
ゼロトラストアプローチは、確かに完璧なセキュリティを提供するものではありません。ハッカーが認証情報を盗み出し利用できる場合は、再認証を要求しても認証が通ることはあります。このようなケースでは、ゼロトラストアプローチ単独ではハッカーのアクセスを完全に防ぐことは難しいです。
ゼロトラストアプローチは、一つのセキュリティ対策だけでなく、複数のセキュリティ機能を組み合わせることによってセキュリティを強化することが重要です。例えば、多要素認証を採用することで、ハッカーが単純に認証情報を盗み出しても正当なユーザーとして認識されないような仕組みを導入することが考えられます。
さらに、ゼロトラストアプローチでは、ユーザービヘイビア分析やデバイス評価などによる継続的な監視も行われます。もし異常なアクティビティが検知された場合、再認証だけでなく、セッションの終了や特定のリソースへのアクセスを制限することも考えられます。
最終的に、完全なセキュリティは不可能であり、常に新しい脅威が出現する可能性もあるため、ゼロトラストアプローチは複数のセキュリティ機能を組み合わせ、階層的なセキュリティアプローチを採用することが重要です。それによって、セキュリティリスクを最小限に抑え、ハッカーの攻撃を防ぐことができる可能性が高まります。
上記のChatGPTの回答を読んで、皆さんはゼロトラストアプローチがサイバー空間の通行手形になり得ると思いましたか？
私たちgoenは、認証に頼らないアプローチが必要だと思いました。（認証を強化する事は必要です。不要とは考えていません）
さらには、特定のケースがこれからも頻繁に発生でしょうから、この特定のケースにおいてもハッカーを排除できなければならないと考えています。
goenの提案：ゼロトラストオリエンテッドな新たなVPNシステムが必要
上記のChatGPTの回答は、お金を稼げるコンサルタントやSIerのトップ営業が答えるような実に素晴らしい回答ですね。
さて、私たちgoenが、ゼロトラストアプローチに関して、出した答えは以下の３つです。
これを実装したVPNは、まだ世の中に存在しませんが、開発完了すれば効果をアピールできる革新的なVPNとなるはずです。
A.認証方法は、いくつもありますし、今後も優れた認証方法が出てくるでしょうが、今までの歴史を振り返るとハッカーは、これらの認証を突破してきています。この事実を謙虚に受け止め、認証に依存しないゼロトラストアプローチが重要になります。さらにこのアプローチを実行した結果、怪しい場合は、即座にセッションを終了させる事が何よりも必要であると考えます。
B.現代ビジネスにおいて、サプライチェーン課題（サプライチェーンの中で最もセキュリティ対策が弱い企業を狙って侵入後、上流の企業まで侵入するという課題）は避けて通れません。この課題解決が難しいのは、中小企業はIT技術者やネットワークスペシャリストを雇用できないという現実があるからです。この事を考慮する必要があります。（侵入検知ツール、侵入防止ツールの導入は有効性がありますが、日々出力されたログを精査し、不審な点があれば対応する必要があります）
C.量子コンピュータが出現すると、公開鍵から秘密鍵を容易に見つける事ができると言われています。この理由から電子証明書を利用した認証や、秘密鍵を利用してＶＰＮ通信を実行する際に使用する暗号鍵をネットを介して交換する方式は採用しない必要があります。
（既によく知られている中間者攻撃を無効化する為にも、暗号鍵はネットを介して交換しないほうが良いと考えています）
私たちgoenは、これらの条件を満たしたＶＰＮシステムの開発を考えていて、特許出願準備中です。これが完成した暁には、遠隔操作（医療現場や工事現場やバス運転）がクラウドサーバーを経由させることなく安心安全に実行できます。（ＶＰＮのスループットにも注意を払って、作成する予定です）
クラウドサーバーを経由させないので、サーバー維持管理コストが不要になるだけでなく、このサーバーからの情報漏洩の心配も必要ありません。誰もが知っているブランドの大企業から、社員の内部犯罪により監視カメラで撮影された動画が流出していますが、これを防止するコストも不要となります。
クラウドサーバーを経由させる必要がないだけでなく、監視カメラを含むＩｏＴデバイスとの双方向のデータのやり取りも可能です。
以上の理由により、以下の産業領域にも適用できます。
・スマートハウス
・スマートファクトリー
・スマートファーム
・スーパーシティ
・海底ケーブルからの情報漏洩を心配する必要がある企業、団体
（海底ケーブルの盗聴は簡単 日本だけ知らない事実 https://wedge.ismedia.jp/articles/-/30727 ）
開発は、必要なノウハウを有した外部の協力会社と進めます。
POCレベルなら開発に取り掛かって、８か月後ぐらいには提供可能と考えています。（特許技術の全てをインプリメントしたPOCが要求された場合は、約１年を想定しています）
私たちgoenへの開発資金の協力や協業を考えてくださる企業の方は、どうぞご連絡ください。
Comments