快適なテレワークをするためのネットワークとは遅い、つながらないVPNで困っている場合の選択枝は！
ゼロトラストって敷居が高いの？

2020年10月22日

株式会社ムービット

会社概要

社名

株式会社ムービット

設立

1995年12月8日

所在地

東京都北区王子1－28－6

主な製品

Powered BLUE シリーズ

アプライアンスサーバー ( Linux )ソフトウエア開発

2

ダークWeb

ダーク・Web

サーフェス・Web

特定のソフトでアクセス

一般的なブラウザでアクセス

3

ダークWeb / データやアクセス権の売買

医科系大学へのアクセス権
999ドル

米国有力企業へのアクセス権
1万ドル

ランサムウエアのサービス
900ドル

2020/9/5 日本経済新聞

4パスワード流出チェックサイト
https://haveibeenpwned.com/②①① パスワードを入力② pwned ? を押す
Oh no --- pwned !
残念でしたGood news — no pwnage
found!
大丈夫

6

テレワーク

自社サーバー への アクセス7

社内LAN側 への アクセス手法
項目

ターゲット

主な特徴●VPNnetwork

VPNソフトが必要●リバースプロキシ

Web

既存のWebへのアクセスに利用複数の認証が適用できる●ゼロトラストWeb
アプリ

idPとID認識型プロキシ型が必要

8

VPNの負荷増大

Before コロナ

With コロナ

VPN

遅いVPN

つながらない9

VPNの特徴■ ソフト
クライアントソフトが必要■ アクセス
ネットワークへのアクセス■ セキュリティ
ネットワークへのログイン後のセキュリティは無し■ 負荷
機器やネットワークの負荷が大きい

10

国内38社がVPNで不正接続被害

VPNのパスワードやIDの漏洩＆ダークWebで公開

日立化成
住友林業
自動車総連
ダイヘン
日本アンテナ…

2020/8/26 日本経済新聞

12

リバースプロキシ

リバースプロキシ経由で既存のWebへアクセス
13リダイレクト先Web の 隠蔽

サーバー名 見える

サーバー名 見えない

リバースプロキシ先を隠蔽
14

ビックロ

15

リバースプロキシ例

びっくろ
www.big-c.co.jp

0www.uni-black.com
0 リバースプロキシ

http://www.uni-black.com/

1 リバースプロキシ先

http://www.big-c.co.jp/pc

ブラウザへのURL表示

http://www.uni-black.com/pc

16

認証＆リバースプロキシ

0 リバースプロキシ
1 認証
AD認証 / OTP認証 / SSLクライアント認証
ゼロトラスト対応 SAML認証
17

VPNとリバースプロキシの比較■ VPN● ネットワーク内にすべてアクセス可能● ログイン後のセキュリティは無し● 利用時に際して機器や回線に大きな負荷● 専用ソフト■ リバースプロキシ● ターゲットサーバー個別へのアクセス● ターゲットサーバーへの認証設定が可能● Webなので利用時の負荷は小さい● ブラウザのみで利用

19

Google は VPN を 使わない

20

ゼロトラスト① idPと② ID認識型プロキシ①②22

idP / IDaaS など

iDaaS = iD As A Service23

ゼロトラスト② ID認識型プロキシ は 2タイプ①②①②

透過プロキシ型

リバースプロキシ型

24

ゼロトラスト

ID認識型プロキシ＝透過プロキシ型 での 構成①②③透過プロキシ型
④①②③
④idP
ID認識型プロキシ
プロキシコネクタが必要
エージェントが必要
対応のサービス（ idPは指定が多い ）（透過プロキシ）（LAN側）（動作するサーバーに制限）
Web / 他

25

ゼロトラスト

ID認識型プロキシ＝透過プロキシ型 SaaS 構成①②③

透過プロキシ型④SaaS① idP② ID認識型プロキシ（ idPは指定 ）（透過プロキシ）自社③ プロキシコネクタが必要④ エージェントが必要
対応のサービス（LAN側）（動作するサーバーに制限）
Web / 他

④26

ゼロトラスト

ID認識型プロキシ＝リバースプロキシ型での構成①②リバースプロキシ型①②idP
ID認識型プロキシ
エージェント不要
対応のサービス

( idpはどこのサービスでも利用可能 ）(リバースプロキシ）
ターゲットサーバーのOS制限なし
Web のみ28

ゼロトラスト

透過型とリバースプロキシ型の比較■ 透過プロキシ型● Web以外のサービスにも対応（提供の会社による）● エージェントが必要 / OSやアプリによっては未対応● idPを選択できないケースもある● 導入の敷居が高い■ リバースプロキシ型● ターゲットはWebのみ● エージェント不要 / ターゲットのOSを選ばない● idPは任意に選択できる● 導入の敷居が低い
30

既存の社内Webへのアクセス
Web認証が弱い
認証がない

Web側の変更
したくない

31

認証対応

「Powered BLUE 」 アプライアンス①

Web / Mail / DNS 機能 / マルチドメイン対応 / GUI②

AD認証 / OTP認証 / SSLクライアント認証
ゼロトラスト対応 SAML認証③

リバースプロキシ

ID認識型リバースプロキシ

認証対応リバースプロキシ
①＋②＋③

32

リバースプロキシ経由のアクセスのみを許可
WAN

LAN
WAN側へ設置のWebサーバーでもセキュリティを確保

33

ドコモ 口座事案

地方銀行などに預けられていたお金が、ＮＴＴドコモの電子決済サービス「ドコモ口座」を使って不正に引き出されていた

メガバンク
一時的なパスワードを発行などで対応

2020/9/10 読売新聞

34

認証

その1

ワンタイムパスワード認証

ソフトウエアトークン

35

OSS や 無償 の ソフトウエアトークン
製品

ロゴ

iOS
Android

PC

言語

備考

GoogleAuthenticator〇

英語

オープンソース

IIJSmartKey

〇

日本語

無償

Authy

〇

〇
WindowsMac
Linux

英語

無償

〇
Windows

英語

無償

WinAuth37

QRコード を 写メ

サイト の 簡単登録

Powered BLUE サイト
ユーザーのQRコード

39

ワンタイムパスワード認証 + リバースプロキシ

40

ワンタイムパスワード認証

ワンタイムパスワード ＋任意パスワードに対応
41

認証

その2

SSLクライアント認証

相互に確認■ SSLクライアント証明書■ SSLサーバー証明書

SSLクライアント認証 + リバースプロキシ

46

SSLクライアント認証例

証明書

有効

スマートフォン

証明書

なし・失効

47

ワンタイムパスワード + SSLクライアント認証48

ワンタイムパスワード認証 ＋ SSLクライアント認証

49

認証

その3 AD認証

50

AD認証

51

AD + SSLクライアント認証52

AD + SSLクライアント認証

53

認証

その4SaaS のアプリ

SAML（サムル）認証対応

54

(親) SAML認証

idP / IDaaSなど

iDaaS = iD As A Service

55

SSO対応 の IdaaSと SaaSアプリ

親/ID管理（idP)

SAMLで認証

子/アプリ（SP）

57

ゼロトラスト対応 + ID認識型リバースプロキシ* レガシーなWebサーバーへ、SSO対応のリバースプロキシ経由でアクセス出来ます59リバースプロキシ には ユーザーアカウント不要■ ID認識型リバースプロキシからのアカウント 漏洩の心配不要■ エージェント不要●ターゲットのWebサーバーの変更不要●任意のidPと連携可能■ ゼロトラスト対応/ID認識型リバースプロキシの 設置運用は簡単
61

リバースプロキシ での 独自認証

SSLクライアント認証* ＳＳＬクライアント認証＋ＳＡＭＬ認証対応のリバースプロキシ経由でアクセス
62

アプライアンスでの提供・動作環境

78

最後に

「快適なテレワークのために」■ VPNの代替

VPN機器増強よりも認証対応のリバースプロキシを併用■ ゼロトラストの導入
リバースプロキシ型は導入が簡単
84

Webサイト

認証対応
リバースプロキシ

https://www.mubit.co.jp/85