マネージドPKI Lite

クライアント証明書を使ったユーザ認証は、従来のIDとパスワードによる認証と比べ、より強固なセキュリティを実現する。

不正アクセスをシャットアウト
あらかじめ許可されたクライアント証明書を格納したPCやデバイス（USBトークンなど）でなければシステムにログインすることはできない。そのため、IDとパスワードを使った「なりすまし」による不正アクセスを防ぐことができる。

ネット銀行でも採用されている認証方式だから安心
利用端末を限定できるクライアント証明書は、高度なセキュリティが求められるネット銀行のユーザ証明にも採用されている。「マネージドPKI Lite」は、ネット銀行で利用しているクライアント証明書と同等レベルの高いセキュリティ強度を持っている。

初期費用なし
一般的に、自前で認証局を構築してクライアント証明書を発行すると多額の初期費用がかかる。アプライアンスや生体認証を導入するにしても、ハードウェアやシステム構築のコストがネックとなる。「マネージドPKI Lite」は初期費用が一切かからないので、導入のハードルが上記の方法と比べてかなり低い。

中小企業に便利な10ライセンスから
企業向けのサービスは、最少でも100ライセンス以上といった大規模なものが多い。「マネージドPKI Lite」は、10ライセンスから導入が可能なので、社員数が少ない中小企業でも導入しやすい。また、ライセンス数に応じた利用料金を支払うだけなので、システムの運用コストも不要だ。

導入も運用も簡単
ASP/SaaSタイプの「マネージドPKI Lite」は、導入時も導入後もネットワーク機器やサーバの設定など、ハードウェアの設定は一切不要。また、申請・発行・更新・失効・再発行など、Web上で一元管理できるため運用も簡単。

「マネージドPKI Lite」で発行されるクライアント証明書は、電子メールのS/MIME署名・暗号化に対応するため、S/MIMEとアクセスコントロールの共用が可能。

電子署名により改ざんやなりすましを防止
電子メールに電子署名を行うことにより、受信者は送信元を確認することができる。また、送信途中でメールまたは添付ファイルが改ざんされていた場合、受信側で改ざんを検知することが可能。

メールの暗号化で情報漏洩を防止
相手側もクライアント証明書を所有している場合、メールを暗号化して送ることができる。メール本文や添付ファイルを暗号化して送るため、通信途中で第3者に盗聴されたり、重要な機密情報が流出したりすることはない。

発行方法は用途や目的に合わせてチョイス
管理者申請…管理者がエンドユーザに代わって申請する。エンドユーザは証明書を取得するのみ。
ユーザ申請…エンドユーザが専用ポータルサイトにアクセスして直接申請する。
一括申請…管理者が発行対象者リスト（CSVファイル）をアップロードする。大量の証明書を発行したい時に便利。

証明書有効期間内の無償再発行
PCの故障などでクライアント証明書を紛失してしまうと、通常は新しい証明書を発行しなければならず、そのためのライセンス料金がかかる。「マネージドPKI Lite」は、有効期限内であれば無償で再発行する。

複数のプロファイルの設定が可能
クライアント証明書は、組織名や部署名などの設定を変えた複数のプロファイルを所有することができる。また、管理者も複数設定でき、スムーズな発行が可能である。

PKCS12形式の証明書が無償で発行可能
電子証明書と秘密鍵をまとめた「PKCS12形式」に対応する。

【導入企業】
光ディスク修復装置で高いシェアを持つディスク研磨機メーカー。社員数は80名前後。

【課題】
同社では業務システムのWeb化が浸透し、顧客情報管理、経費精算、商品発送などの処理をWebシステムで実行している。そのため、IDとパスワードによる管理では、情報漏洩などの不安があった。
また、営業社員が全国に飛んでいるため、緊急時には外出先から経費精算や商品発送を行うこともある。IDとパスワードの履歴を消し忘れると第3者による不正ログインを許しかねないため、安全にログインできる仕組みを作る必要があった。

【導入】
社員1人ひとりにクライアント証明書を配布し、確実に本人を確認する体制を作ることを決定。当初からプライベートな認証局でなく、Webブラウザなどに組み込まれているパブリックの認証サービスを検討した。その中から、最少10枚から導入できる手軽さと、コストの安さが決め手となり、「マネージドPKI Lite」を100ユーザ分購入する。クライアント証明書は、電子証明書のコピーができないUSBトークンに書き込んで社員に配布。USBトークンにはシリアルを登録し、データベースで一元管理している。そのため、USBトークンを紛失した場合でもシリアルを無効にすることで情報漏洩を防ぐことができる。

【成果】
高いセキュリティを低コストで実現し、社内システムを安全に利用する体制を構築することができた。現在は、社員の本人確認をするためのデジタル社員証として活用している。

【今後の展望】
S/MIMEにおいてクライアント証明書を利用することを検討中。S/MIMEとクライアント証明書を組み合わせることで、メールの暗号化や差出人の実在確認、改ざん通知を実現し、セキュリティの高いメール運用体制を目指す。