学術情報処理研究 No.15 2011

トレーサビリティネットワークの構築       

沖野浩二 Ý 山田純一 Ý 布村紀男 Ý 柴田啓司 Þ             
        

富山大学 総合情報基盤センター
富山大学 大学院 理工学研究部   ! " #$%  !
&   "      '  (  $%  !

概要
不特定多数が利用するネットワークでは、コンピュータ・ウィルスに感染したノードや不正なユー
ザによる利用が発生する場合がある。このような場合に対応するために認証を行い通信記録を取得する必要があるが、このようなトレーサビリティネットワークを構築するためには、メーカー独自の機構を利用したり専用装置を導入する必要があった。本論文では、既存ネットワークの構成を変更せずに導入可能な、トレーサビリティネットワークの構築手法を提案し、トレーサビリティネット
ワークを構築するに当たり、利用形態に基づいた階層とそれらの階層における要件の定義と提案手法の実装を行った。結果として、既存の無線
ザ情報)* *+ やインテリジェントスイッチを用いて、ユー,+ アドレス-*# アドレス利用者. の収集を行い、それぞれの階層において想定される不正利用を抑止することが可能になった。

キーワード





ネットワークセキュリティ 情報コンセント ユーザ認証

 はじめに
昨今では、軽量なノートトの処理能力が課題になり、エッジコントロール方式で+# やスマートフォンの普及によって、各自の情報端末を持ち歩き、利用する機会がは専用のネットワーク構成や無線要になる。

増えている。これに伴い、大学においても、旧来の固定

+ アドレスによる運用だけでなく、パブリックスペー
スでの情報コンセントや無線 )* *+ の整備が求めら)* に特化した方法など、エッジの種類に応じてそれぞれ対処することが必
実際に複数の異なるベンダーの機器が導入されている組織において、ゲート認証方式を導入する例が多いのは、エッジの種類ごとに対応することが難しいためだとれている。このような不特定多数が利用する環境では、 考えられる。そこで本論文では、多くのメーカがサポー
アドレスではなく利用者単位で認証を行う仕組みがでの認証機構トしている認証機構、無線

+

必要であり、不正利用が起きた場合には追跡調査できる
ような仕組みが不可欠である。

/01 らや大谷/1 らによるゲート認証方式と、石橋 /21 らや大江 /31 らネットワークにおける認証機構は、鈴木によるエッジ側のコントロール機能を利用した方式に大

)*

+'*+
および有線 )* におけるエッジの -*# アドレス認証
及び 4 認証を利用することにより、遠隔キャンパスも含めた組織内全域において適応可能なトレーサビリ

ティネットワークを、エッジコントロール方式で実現する手法を提案する。

別される。ゲート認証方式では、ゲートへの誘導やゲー- 12 -

原著論文

 トレーサビリティネットワーク
に関する正しい情報を収集し、これらの間のひも付けを保証する必要がある。

要件

しかし、組織の規模が大きくなるにつれて、サブネッ

本論文におけるトレーサビリティネットワークとは、トごとに別の責任者に管理業務が委任されるなど、階層的に管理されている場合も多く、組織全体における0 いつ
 どこで2 だれが3 何をしたか+ アドレス利用者や -*# アドレス利用者等に関する情報のひも付けを適切に行うことは難しいのが現状である。
本学においても、学部の研究室では固定の申請制を採用し、教室や会議室などでは

+ アドレス
67#+ による運用を行っている。利用者が申請書を提出せずに勝手+# を更新しても申請内容を訂正し
+ アドレ

を、管理者が追跡することが可能なネットワークと定義に利用する事例やする。

ないなどの事例が多発していた。そのため、

0 いつ と 3 何をしたかは、54 や組織内サーバ
等に記録された通信記録の内容とする。 どこでに関しては、一般にネットワークにおいて、54 等のログに記録される + アドレスしかわからない。+ アドレスか

ス 利用者等の情報に関して、適切にひも付けを行うことが難しく、障害対応の際の問題となっていた。

ら実際の利用者を特定するのは、組織によって採用されている

+ アドレス等の管理方法に依存する。

考えられる脅威

トレーサビリティを確実なものにするためには、

0 ユーザが正しく設定し、正しく情報提供していた

本論文におけるトレーサビリティの確保とは場合

特定 正規の利用者がネットワークを利用した場合に、

 ユーザが誤った設定あるいは誤った情報提供をし利用者（責任者）が特定できることていた場合

不正防止 他人へのなりすましや、身元を隠した状態で2 ユーザが意図的にトレースを回避し、不正利用をネットワークにパケットを送出できないこと行った場合と定義する。

2

0の つのパターンに対応する必要がある。 パターンの場合は、申請書に記載された

必要とされる要件と現実の問題

54 等に記録されトレーサビリティを実現するには、る+ アドレスとその + アドレスの利用者とのひも付けを行うことが必要である。
組織内における

+ アドレスや -*# アド

レスにより利用者は特定できる。しかし、実際には、悪+ アドレスの管理方法は、利用者の申請に基づいて固定的に割り当てる方法と自動的にネッ

意のない利用者においても

 のパターンが発生する確率がかなりの程度ある。

+# には、有-*# アドレスが割り当ててあ

なぜならば、現在仕様されている多くの



線用と無線用の 種類のり、この２つを区別して正しく申請できる利用者は多く

48 では ! "や '''0293 などが加わり、ユーザが実際に利
分けられる。申請制が適切に運用されている場合には、
+ アドレスから利用者の特定は容易である。67#+ に 用している + アドレスや -*# アドレスを正しく認識することはより難しくなっている。そのため、申請制よる運用では、+ アドレスから対応する -*# アドレ
によるひも付け情報を利用したトレーサビリティの確スを調べ、-*# アドレスから利用者を特定する必要がトワーク設定を取得する

67#+ による運用の  種類に

保は、利用者の増大とともに難しくなることが考えらある。
実際に、トレーサビリティネットワークを適切に運用するためには、管理者が0 + アドレス利用者
 -*# アドレス利用者
2 -*# アドレス+ アドレスないという現実がある。加えて、れる。

2 のパターンのユーザが意図的にトレースを回避する
場合に対応するためには、 + アドレスおよび -*# ア
ドレス偽装について考慮する必要がある。

 の分類

組織内におけるネットワークは、利用形態に基づいて、次の- 13 -

2 種類に分類することができる。

学術情報処理研究 No.15 2011

 管理された  管理組織が確実に管理し、接続さ+# が固定化されている )*。本学においては、情報センター端末室や事務室の +# を収
容する )* に相当する。
れている 委任された  下位組織に管理が委任されている

 求められる性能
組織全域で運用するトレーサビリティネットワークにおいて求められる要件としては、下記の< つがあげられる。

)*。利用形態は多種多様であり、7$: を経由し、 性能と拡張性 大規模なネットワークにも対応できる性
能と拡張性を有すること+# だけでなく、サーバやプリンタなどが接続される。上位の管理組織が実際の利用者を知ることはできない。本学においては研究室内)* に相当する。

 認証  構成員のうち誰が利用するかわからない)*。認証によりユーザを特定する必要がある。アクセス方式により無線 )* と有線 )* に分けられる。本学においては、会議室や講義室などで提供される認証

既存システムとの親和性 新規に導入する際、既存のネットワークを大きく変更する必要がないこと
メーカ非依存性 特定の製品でしか実現できないものでないこと
運用コスト システム運用のコストが大きく増大しない)* に相当する。

こと
追跡性の確保 トレーサビリティを確保できること。具



体的には、

トレースレベル

上記の３つのの関係に関する情報が取得できること。

)* はそれぞれ求められるトレースレ

ベルが異なっている。

)* では、組織的に管理された +# と +
アドレスが利用されるということが前提であり、-*#
アドレス偽造や + アドレス偽造は行われないものとする。実際の利用者を特定するには、+# 利用申請者の特管理された

+ アドレスと -*# アドレスと利用者

これらの要件を鑑み、本学のトレーサビリティネット
ワークを構築する際の、基本的要件を以下のように定義した。

定を行えばよい。

)* では、+ アドレスや -*# アドレスの積極的な偽造は行われないが、+ アドレスの設定間違いや -*# アドレス申請の際の間違い等は発生するも委任されたのとする。利用者の特定を行うためには、接続されている情報コンセントの位置と管理者が誰であるかが判明す

0 富山大学全域に対する広域サービス

0==== 台に対応できること。 は、48 -  ) >
*  に対応すること。
遠隔キャンパスにも対応でき、マシン台数

 性能低下の防止
0==== 台のマシンが同時に利用しても著しい性能低下を起こさないこと。

+ アドレスと -*# アドレスの突き合わせを2 メーカ依存の禁止
本学では現在、## 社製製品を主に利用してい行い、適切に利用されているかを監視する必要がある。

るが、今後の更新等に際して束縛とならないようればよい。上位管理者は、下位組織管理者からの申請に基づき、)* では利用者の特定が必要である。また、認+ アドレスおよび -*# アドレスの偽造が行われる可能性があることに注意する必要がある。)*
ごとに必要な確認範囲を表 0 に示す。
認証

証の回避や

## 社製以外の製品にも対応できること。

3 導入コスト、運用コストの低減
既存の機器を更新することなくそのまま利用できること。また、現在の運用手段が大きく変化しな
いこと。

 0; )* ごとの確認項目
+-*# 確認 ユーザ認証管理された )*任意
必要
委任された )*必要
委任側認証 )*
必要
必要
表< 事前情報登録作業の削減-*# アドレスや + アドレスの登録作業が必要でないこと。

? 認証データの統合 ,学内認証基盤との同一 6.
学内認証基盤の 6+8 を利用して認証を行)* は、ログイン時認証など別の手段でトレースするものとし、委任された )* 及び認証 )*
管理されたを対象として検討を行った。

- 14 -えること。

@ +-*# アドレステーブルの監視
+-*# アドレス対応表を監視でき、長期間利用していない + アドレス等の把握ができること。

原著論文

 実現方式 差分抽出プログラム

一定時間ごとに、基幹スイッチに対して製品比較

-+ ポーリ-*# − + アドレスリストを作成する。

ングを行い、

前記の基本要件を満たす製品を調査したところ、認証## 社製 #    *  #" /<1 を検討したが、2 及び ? の仕様を満たす

これを一つ前のタイミングのリストと比較して、変更ことができなかった。また、ネットワーク管理システム+# の新規接続 ,8.
 同一 + アドレスに対する -*# アドレスの変化,+.
 同一 -*# アドレスを複数の + アドレスで利用,- .

システムとしてとしてダイキン工業社製?

があった場合に、次のデータをメールで管理者に送付する。

+66*/?1 を検討したが、こ

れは、仕様 を満たすことができなかった。ゲート認証

0 及び 3 を満たすことが方式も検討を行ったが、仕様難しいと判断した。



システム構成メールの具体例を次に示す。

2

そこで、 節で定義したトレーサビリティネットワー
          
       ! " 
 # #   " ""       ! $#% &'&'(&#   " ""     !
   $#% &'&'(&クに求められる性能の基本的要件を満たすため、エッジ
コントロール方式のトレーサビリティシステムを2つのシステムを組み合わせて構築した。構築したトレーサ
ビリティシステムの構成を図0 に示す。

DHCP

加えて、週に一度、IPͲMacᑐᛂ䝔䞊䝤䝹⟶⌮

+-*# アドレスの対情報を管理者に送付する。

,#"?<==. の標準 *(+!" 保持時間が 3 時間であり、3 時間のうちに一度でも接続した場合には基幹スイッチ上に +-*# アドレスのテーブルが残ることから、ポーリングの頻度は、0
時間に 0 回としている。

᭷⥺LAN
ㄆド

本学では、基幹スイッチ

ㄆドᇶ┙
↓⥺LAN
ㄆド



無線  認証システム)* については、'*+ の一種である +'*+ 認証を利用し、(  サーバ経由で学内認証基盤のデーシステムは、-*#+ 対応テーブル管理システム、 タを用いて、ユーザ認証を行うことした。/@1## 社製 *+ における設定例は次の通りである。
無線 )* 認証システム、有線 )* 認証システムから図 0; システム構成図

無線

なる。





 対応テーブル管理システム-*#+ 対応テーブル管理システムは、基幹スイッチ ,)2. に接続して + アドレスと -*# アドレスの対を取得して管理する。これは、次の項目で構成される。
 基幹スイッチ

+ リスト-+ ポーリングプログラム
 -*#+ アドレスリスト
- 15 - )*+, -+ .  /.  00$$ 11
2+   +   2)+) +-) 11
/*2+ -+ /,+  +3*2)+) +)  /*2+2)+) )+4 /*2+2)+) 43*)-*) -*+)5 +'+)3+) *+ 2 * 4 (,. 6
11

学術情報処理研究 No.15 2011))7 5+* 82. 2+  00$$ 11
2+   +   43 000000
. . ) +))- ネットワーク配下に 7$: が接続される可能性がある。特に B=0C 認証においてはポートあたり一台の機器が接続されると想定されており、7$: 経由+'*+ 認証におけるシーケンスは図  に示すとおりで複数台が接続した場合の動作が不定である。

2 ファームウェアの更新によって、システムの動作がである。

変更される場合がある。
Supplicant(PC)Authenticator(AP)Authentication㛤ጞEAP䝸䜽䜶䝇䝖/IDせồ

EAP/Authentication
ServerLDAP Sever



ID㏻▱
ID/Crypto㏻▱

有線

TLS
Ͳnego

㘽,ド᫂᭩㏻▱

アドレス認証とᬯྕ௙ᵝ㏻▱
TLS㛤ጞ
䝴䞊䝄ㄆド

MSͲChapv2
EPAᡂຌ

↓⥺䜻䞊

有線  認証システム)* 認証については、エッジスイッチで -*#4 認証を組み合わせて利用することとした。現在 -*# アドレス認証や 4 認証は多くのメーカで採用されている。-*# 認証はポートあたり複数の -*# アドレスの認証に対応し、4 認証は + アドレスごとに認証が行われるため、エッジスイッチの 0

TLSͲnego 㛤ጞ

NTLMㄆド䝴䞊䝄ㄆドつのポートに複数のユーザが同時に接続しても認証を行うことが可能である。

図-*# アドレス認証や 4 認証を行うには、( 
2 を解決する
ために、有線 )* 認証用の専用 (  サーバを開発した。認証をすべて専用 (  サーバで行い、( 
側にメーカごとに対応した設定および   属性を ; +'*+ 認証シーケンス図

サーバが必要となる。前述の問題点１と+ アドレスから利用者を特定するのは、(  サーバの記録持たせることとした。これにより、メーカおよびファー9) :)  !
2 ;+-) &<=>>>>?)+ @+ 6AB
C5+* ) 63 / +    !6!!D

ムウェアの違いによる動作の差異を吸収することができ(  サーバは、機種や   が異なる
認証スイッチからの認証を振り分ける機能、- アド
レス認証機能、ユーザ認証からなる。-*# アドレス認証部分には三井情報社製の -  *  % をた。専用

67#+ サーバの記録:)  ! 2.- 2 %'"E@"9(5+  $$$  5+*   
!6 !!C000D.  $$$

-*# アドレスの偽造は、認証時に記録されるため不可能であり、+ アドレスを手動で設定した場合には、認証時の -*# アドレスが (  サーバに記録されており、- アドレスから -*#+ 対応
テーブル管理システムでその時に利用していた + アド
レスと -*# アドレスの対を確認することで可能である。+'*+ 認証は、4+*A4+* において標準に組み込まれており、業務向けの 45 *""  の承認機器により可能となる。

利用し、振り分け機能部分とユーザ認証の認証基盤への連携部分の開発を新たに行った。専用
構成を図2 に示す。

MAC䜰䝗䝺䝇ㄆド
SmartAuthServer
MACㄆド
䛩䜉䛶OK

(  サーバの

䝴䞊䝄ㄆド

䝴䞊䝄ㄆド
ၥྜ䛫

Ꮫෆㄆドᇶ┙
LDAP䝃䞊䝞

᣺䜚ศ䛡䝃䞊䝞
(ServiceType䛻䜘䜛᣺䜚ศ䛡)

で利用できる。
ㄆド䝇䜲䝑䝏


無線

有線  認証における問題点

Web⏬㠃䛻䜘䜛ㄆド)* *+ においては、認証手法が標準化されているため、メーカに依存しないシステムの構築が可能であった。しかし、有線)* 認証においては、下記に述
図べるのようないくつかの問題点がある。

0 メーカごとに認証部分の実装方法が異なる。

 2; 有線 )* 認証用 (  サーバ構成図## 社製 7$: における設定例は次の通りである。
- 16 -

原著論文

 +))- 2+>3 5 11+ -+  +))- +> 5 11+ -+  +))- )+4 5 11+ -+ , . 4) *+) )*  +>3 11
2 ).3* ,)5 F-6"2)? 
2+  .) (((2+ *+  -+ +3 )2)+) 2+*+ *2
2)+) + *6 62
2)+) ++)+ +*6
+>  2)+
+> *+ >+ )))- +5 *+) ,. 6
11))7. 2+  G$ 11
2+   +   43 000. . ) 2)+)有線

AccessͲRequest(1)UserͲName(1):MAC
ServiceͲType(6):CallͲcheck(10)AccessͲAccept(2)Authenticator(Hub)Web㏻ಙ䛾Ⓨ⏕

MACㄆド
OK

AccessͲAccept(2)図

LDAP Radius Server䝴䞊䝄ㄆドLDAPbindㄆドOK <; サーバにおける (  シーケンス図'72)+ H K5-*+6 から利用しているポートが、#""6 から -*# アドレスを取得することができる。4 認証の記録は、と記録され、(2 :)  !
9+) H I I)-9+) H I   I
9+ H ! 9+ H IF-I@ * H I>>>333I
2) H '@99(3 H 99+(3 H "2)
9+ H ! 9+ H IF-6"2)? I
9.(3 H &6+)@9 H  GG3(* H @)79+) H I 5    I(** H   !
'72)+ H K5

AuthenticationServer

MAC
ㄆド

Webㄆド

OK

MAC
ㄆド

Webㄆド

ㄆド䝨䞊䝆䜈䛾㑄⛣
䝴䞊䝄ㄆド

MACㄆド

LDAP Sever

LDAP Sever

DHCP➼䛾㏻ಙⓎ⏕

MKI Radius Server

OK

AccessͲRequest(1)UserͲName(1):xxx.yyy
ServiceͲType(6):OutboundͲUser(5))* 認証におけるシーケンスを図 3 に示す。

Supplicant(PC)᣺䜚ศ䛡 Radius

HUB

LDAPbindㄆド䝉䝑䝅䝵䞁䛾☜ㄆ

+ アドレスは、#"" 欄に記$ に記録されることにと記録され、

録され、ユーザ名は、
図 3; 有線 )* 認証シーケンス図(  サーバにおけるシーケンスを図 < に示す。
(  サーバ内にエッジの + ごとの利用記録は、

フォルダーに分けて格納される。利用記録の具体例を示す。

+ アドレスからの利用者の特定が可能となる。
提案手法は、+-*# アドレスの対情報は -*#+より、-*# アドレス認証記録は、

対応テーブル管理システムで確認しているため、ユーザを特定するためには、

+ アドレス又は -*# アドレスのどちらか一方が特定されれば良い。

)* 認証システムでは、ユーザ確認の手段として学内認証基盤の統一 6 とパスワードを利用し 4
認証を行っている。本認証システムでの -*# アドレス
認証の利用目的は、-*# アドレスがどの 7$: のどの有線(2 :)  9+) H I I@ * H I566 I
2) H '@99(3 H 99+(3 H "2)
9+ H ! 9+ H IF-6"2)? I9+) H I  ! I)-9+) H I JJ """I
9.(3 H *@9 H  GG3(* H @)79+) H I6555  I
(** H   ! 

ポートに接続されたかに関する情報を取得するためであり、認証の手段としては利用していない。そのため、(  サーバは、すべての -*# アドレスに対して認証  を返答するように設計をしている。
-*# アドレスを認証のための手段として利用しない
理由は、-*# アドレスは偽造が容易であるため、認証- 17 -

学術情報処理研究 No.15 2011

9= 台で、平均は < 台であっ(  サーバ用の個体識別番号として利用することは意味がないかりの収容数は、最高がらである。

た。認証サーバの負荷は、通信量と攻撃者が、調査のためにネットワークに接続した場合や-*# アドレスを偽造した場合は、-*# アドレス認証によって接続したエッジとそのポートが記録される。

+ アドレスを手動で設定した場合には、4 認証により + アドレスが記録される。
加えて、有線 )* 認証システムは、ポートごとに接続情報収集を目的とする -*# アドレス認証と、ユーザ認証を目的とする -*# アドレス認証かつ 4 認証を管理者が選ぶことができる。具体的には、-*# アドレ
ス認証かつ 4 認証の場合には、
2)+) + *6 62)* 認証では、'*+ メッセージで <0 以下である。一方有線 )* 認証では、4 認証と -*# 認証の  回で B  以下である。そのた無線

め、ネットワークへの負荷はないと判断している。

(  サーバによる認証は *  % 側が毎秒 === 台処理でき、認証基盤側は毎秒 2== 回程度ならば問題なく認証できていることを確認している。

2 メーカ依存の禁止
本認証システムでは、機種依存部分は有線と設定し、ポートに接続される機器のトレースが目的ならば
2)+) + *6)+  *+) と設定すればよい。これにより一台のエッジスイッチ
で、委任されたの性能に依存する。一回の認証に必要な通信量は、)* と認証 )* の機構を提供することができる。

)* 認## 社以外のエッジに対応するためには、(  サーバの改良及び   追加にて対応することが可能である。
証システムだけである。

3 導入コスト、運用コストの低減
導入に際しては、既存の 7$: のファームウェアをアップデートし、認証機能を追加することで対応した。導入から

< 年以上経過した認証に対応していないエッジに関しては更新が必要であったが、ユー システム評価

ザ数が少ない場合には上流のエッジで認証を行う
ことで対応できた。ネットワーク構成の変更の必今回設計したシステムを、先述の@ つの要件に基づなかった。認証システム側でユーザの追跡が可能

いて評価する。

0 富山大学全域に対する広域サービス+# ごとの管理は、エッジによる認証で行われるた
め、エッジ機器のハードウェア性能による台数制
限は存在するが、全体として利用数に対する制限はない。エッジと要がなかったため、運用コストに関しては変化し(  サーバとの間で通信が可能であれば、遠隔キャンパスであっても問題なく導入できる。三井情報社製(  の保証台数は、?==== 台であり、本学での運用においては十分であると判断している。

)* 認証は 48 -  *
 搭載機器については動作確認している。) >については、ユーザから動作報告がある。有線 )*
認証については、 に依存しない実装となってまた、無線となり、管理コストは低減できた。増加したコストとしては、認証用(  サーバの導入・保守コス(  サートがある。この費用については既存のバと統合により削減していく予定である。

< 事前情報登録の削減-*# アドレスや + アドレスの登録作業は必要がない。頻繁に変更される + アドレスや -*# アド
レス等が発見された場合は、-*#+ 対応テーブル管理システムからの通知を受けて、管理者から

+-*# アド

ユーザに問い合わせを行っている。

レスの対情報が正しいかの確認は別途行う必要がある。これについては毎年別途実施している実態調査により、突き合わせを行うことにより確認し
ている。

いる。

性があるが、一度認証されると、すべての負荷は? 認証データの統合（学内認証基盤との同一 6）
学内認証基盤の 6 を利用し認証を行っている。このため 6、パスワードを別途配布する必要がなく、エッジの処理能力に依存する。認証機能を有してい

導入をスムーズに行うことが可能となった。ユーるエッジには専用ハードウェアが実装されており、ザからの問い合わせも少なくなった。

 性能低下の防止
認証時には、認証サーバの負荷が問題となる可能性能限界に達することは少ないと考えられる。またエッジあたりの処理台数も、高々そのエッジに接続される台数である。本学の事例では、エッジあた- 18 -@ +-*# アドレステーブルの監視利用されていない + アドレスは +-*# アドレ

原著論文

今後は、このシステムを全学に広げるとともに、管理

ステーブルの記録が存在しないことになる。これ
により長期間利用していない

+ アドレス等の把握ができる。

者が認証や利用状況のデータを

4 から閲覧できるシ

ステムの開発を検討している。

)* ごとのトレースレベルに対応しているか)* において、情報コン 参考文献
セントごとに利用している + アドレスと -*# アドレ/01 鈴木 彦文，永井 一弥，浅川 圭史，今井 美香，不スの対情報を取得することは、エッジ側の設定を -*#破 泰D$!- を用いたユーザ認証ネットワーク
アドレス認証モードで運用することにより可能である。
「セキュアネット =0=」の構築D 学術情報処理研
また、認証 )* においては無線 )*、有線 )* とも究03 02= =0=
に利用者と + アドレスと -*# アドレスの対情報を取得することが可能である。
/1 大谷 誠 江藤 博文 渡辺 健次 只木 進一 渡辺 義
最後に、脅威への対応であるが、認証 )* において明Dシングルサインオンに対応したネットワーク
は認証情報を不正に利用されなければ、+ アドレス、
利用者認証システムの開発D 情報処理学会論文誌-*# アドレスのどちらの偽造にも対応できる。委任さE" <=  2 09 =0=
れた )* において、+-*# アドレスの一方を実際に/21 石橋 勇人 山井 成良 安倍 広多 阪本 晃 松浦 敏
存在する機器と同一に設定すればトレースを回避する
雄D利用者ごとのアクセス制御を実現する情報コことが可能であるが、このような場合には、正規の機器
ンセント不正利用防止方式D 情報処理学会論文誌
接続がされないことが必要である。もし同時に接続されE"3 0 @9BB ==0
た場合には、-*# アドレス衝突はスイッチ側で -*#アドレスフラップとして検出され、+ アドレス衝突は/31 大 江 将 史 櫨 山 寛 章 山 本 成 一 白 畑
正規の利用者側にエラーが発生する。このため、管理者
真D'''B=00 ワ イ ヤ レ ス ネット ワ ー ク 管が近くにいる委任された )* では、このような攻撃の理システムの構築と検証D  電子情報通信学会論文発生、または、その攻撃が成功する可能性は低いと判断
誌 : 通信 B@:,0=. 0?=@0?0< ==3
している。
/<1 ##   *  #" 
次に、の評価であるが、委任された 制限事項現在、## 社製 7$: の認証は、ポートあたり B+# を接続台までという制限がある。そのため、多数のしている研究室において、そのままでは本システムによ              /?1 ダイキン社製 +66*     

る認証が利用できないことが判明している。
このような0 ポートに多数の接続を行う箇所につい)* の利用の促進や情報コンセントては、今後、無線の増設を検討している。

 おわりに
既存ネットワークに導入可能なトレーサビリティネッ-*#+ 対応テーブル管理システム及び無線 )*、有線 )* 認証システムの構築により実装
トワークを、した。
これにより、不正利用の防止に寄与するだけでなく、-*#+ アドレスの対情報の保証、または、-*#+ アドレス利用者の対をネットワークのレベルに応じた/@1 沖野 浩二 小林 大輔 布村 紀男D学外者向け認証無線 )* の構築D 富山大学総合情報基盤センター
広報 E"@ 3?39 =0=
/B1 沖野 浩二 布村 紀男D富山大学における認証基盤の整備による業務軽減評価D 学術情報処理研究03202B =0=
/91   7"" 著 アクセンス・テクノロジー訳
D(*6$ ユーザ認証セキュリティプロトコル D
オライリー・ジャパン==2

取得することが可能となった。

)* システムは全キャンパスで運用しており、有線 )* 認証システムはキャンパスの一部にて
現在、無線運用を開始している。

- 19 -