ここでは、リモートアクセス環境を運用する上での脅威に対する技術的なセキュリティ対策を説明する（図表5）。ここに登場するセキュリティ対策は、リスクに応じて導入することが望ましい。

RASサーバーを使用するリモートアクセスのセキュリティを保護するには、RASサーバーにアクセスしてきた利用者を認証し、登録された正規の利用者だけに接続を許可することが必要となる。

利用者認証の基本的な方法は、ユーザーIDとパスワードの組み合わせで認証を行うパスワード認証である。RASサーバーとモバイル端末の間のパスワード認証で使われる標準的な方式がPAP（Password Authentication Protocol）とCHAP（Challenge Handshake Authentication Protocol）である。市販されているRASサーバーの多くはPAPとCHAPの両方をサポートしているが、なるべくCHAPを使うことが推奨される。

パスワード認証より安全性の高い利用者認証として、ワンタイムパスワードを使った認証がある。ワンタイムパスワードとは、一度しか使用できない使い捨てのパスワードのことである。ワンタイムパスワードを使った利用者認証では、利用者がサーバーにアクセスするたびに毎回異なるパスワードにより認証を行う。
   ワンタイムパスワード方式では、パスワード生成器（ソフトウェアやトークンカード）により自動生成されたパスワード（ワンタイムパスワード）を使って認証する。自動生成されたパスワードは、他人には予測が困難であり、サーバーへのアクセス時に盗聴されたとしても、そのパスワードは二度と使用できないため、なりすましによる不正アクセスを受ける可能性が低くなる。
   ワンタイムパスワードには、タイムシンクロナス方式とチャレンジレスポンス方式の2つの方式がある。ワンタイムパスワードを使った認証は、パスワード認証よりも安全である。ただし、導入にあたっては、コストや運用負担、利用者の使いやすさなども考慮して導入を決定していただきたい。

リモートアクセスによる接続の規模が大きくなるなど、複数のRASサーバーを運用する場合は、各RASサーバーが保持する利用者情報を同期させることが必要となり、そのための管理の手間が増える。そこで、RASサーバーの利用者認証機能を外部の認証サーバーに代行させることが可能である。

   認証サーバーの標準的な方式としてRADIUS ²がある。現在では、ほとんどのRASサーバー製品がRADIUSクライアントの機能をサポートしている。そのほかにTACACSやTACACS+ ³などがある。これらの方式はそれぞれRASサーバーとの連携方法が異なる。RADIUSとTACACSの両方に対応できるようになっているRASサーバーも存在する。

   認証サーバーは通常、社内共通サーバーセグメントに設置される。RASサーバーをDMZに設置した場合は、DMZと社内ネットワークとの間に設置されたファイアウォールにおける適切な設定が必要である。ファイアウォールでは、RASサーバーから、認証サーバーおよびRAS接続からのアクセスを許可する特定のサーバーへの通信だけを許可するようフィルタリングルールを設定する。認証サーバーでは各利用者に対してアクセス可能なサーバーと認証方法をルールとして設定することが可能であり、たとえば、メール利用はユーザーID／パスワードの認証、サーバーへのアクセスはワンタイムパスワードによる認証といった設定も可能である。

   利用者認証を導入することでRASサーバーのセキュリティを強化することができるが、コールバックや発信番号通知を組み合わせると、さらに高いセキュリティを実現できる。

コールバックとは、公衆網を使った接続を行なう際に、接続を要求する側が接続先を呼び出してから回線をいったん切断し、次に接続先から呼び出されてから実際の通信を開始する方法をいう。コールバックを利用すれば不正アクセスを防止することが可能である。しかし、コールバックを採り入れることは、リモートアクセスユーザーが少ない場合には可能であるが、多数のリモートアクセスユーザーが頻繁にアクセスするような場合には採用することは難しい。

発信番号通知サービスは、電話をかけてきた相手の電話番号を通知するサービスであり、このサービスを利用して相手を確認する。利用者が使用する電話番号を認証サーバーに登録しておき、利用者が認証サーバーに接続する際に発信番号と事前に登録しておいた電話番号を比較して利用者を識別することにより、不正アクセスを未然に防止することができる。

今日では、公衆網を使用したリモートアクセス方式よりも、インターネットを使用したリモートアクセス方式が一般的になりつつある（図表8）。

ただし、インターネットを使用しリモートアクセスを行う場合は、公衆網を用いたリモートアクセスよりも盗聴の可能性が高まるため、VPN（Virtual Private Network：仮想プライベート網／仮想専用線）を導入する必要がある。暗号化、認証、鍵交換などの技術を使って、インターネット上で専用線接続と同程度のセキュリティの通信を実現したVPNを張ることができる。インターネット上で張られたVPNを「インターネットVPN」と呼び、通常は、モバイル端末と社内に設置されたVPN機器間でVPNを確立する（図表9）。インターネットVPNを使うことで通信の盗聴や改ざん、なりすましなどを防ぎ、インターネット経由であっても安全に情報を送受信することができる。
   インターネットVPNを提供するための選択肢としては、IPsec、SSL-VPNが代表的である。IPsecはIPレイヤー以上のプロトコルについては透過的であるため、特殊なプロトコルや常時接続用途に向いている。一方、SSL-VPNはブラウザにより手軽に利用できるが、アプリケーションや機能に制限があることが多く、常時接続には向かないなど、それぞれに向き不向きがある。

以下、IPsec、SSL-VPNを用いたインターネットVPNについて説明する。

IPsec（RFC2402、RFC2406、RFC4301、RFC4302、RFC4303、RFC4305他）はIPレベルでトンネル構築、暗号化、認証を行うための技術であり、IETF（Internet Engineering Task Force：インターネット技術委員会）で標準化されている。現在、IPsecは多くのファイアウォール製品やルーター製品に組み込まれている。
  IPsecでは、AH（Authentication Header認証ヘッダ）、ESP（Encapsulation Security Payload暗号ペイロード）という２つのセキュリティプロトコルが規定されている。それぞれはセキュリティ機能に違いがある。AHのセキュリティ機能としては、パケット送信者の認証、送信側および受信側それぞれの本人認証、伝送中のパケットの改ざん検知などがある。ESPのセキュリティ機能は、パケット送信者の認証を除いたAHのセキュリティ機能に加えてIPパケットのデータの暗号化の機能が含まれる（ただし伝送中のパケットの改ざん検知はオプションの機能である）。IPパケットを暗号化して送信する場合はESPを使用することになる。IPsecは、これらのセキュリティ機能をIPレイヤーで実現する。このため、上位のアプリケーションは、IPsecを使用すれば、セキュリティを意識する必要がなくなる。なお、IPv4にはセキュリティプロトコルが組み込まれていないが、IPv6にはIPsecが標準で組み込まれている。

   リモートアクセスでIPsecによるインターネットVPNを利用するには、社内ネットワーク上にIPsec対応VPN機器を設置し、モバイル端末にIPsecクライアントソフトを導入する必要がある。利用者はダイヤルアップ接続でインターネットに接続した後、IPsecクライアントソフトを起動して社内ネットワークのIPsec対応VPN機器に接続する。これにより、モバイル端末とIPsec対応VPN機器の間にIPsecによるインターネットVPNを張ることができる。

   VPN機器には、ファイアウォールにVPN機能が組み込まれた「ファイアウォール一体型」、単独でVPN機能を提供する専用機器としての「VPNコンセントレータ」がある。ファイアウォール一体型以外は、一般的にファイアウォールより内側に設置し、必要となる接続先からの通信だけを許可するようファイアウォールを設定することで、攻撃者からの様々な攻撃からVPN機器を保護することが望ましい。

●　ファイアウォールの設定
  IPsec対応VPN機器がファイアウォールより内側に設置されている場合、ファイアウォールではIPsecで使用するポートを開けておく必要がある（図表10）。

●　NATトラバーサル
  IPsec対応VPN機器がファイアウォールより内側に設置された場合は、上記に示したポートもしくはプロトコルの通過をファイアウォールで許可すればよいが、ファイアウォールでNAPT（Network Address Port Translation）を利用している場合は注意が必要である。TCPもしくはUDPポートが既にIPsecにより暗号化されているため、NAPTが機能しないためである。この場合、「NATトラバーサル」機能を利用することで解決することができる。NATトラバーサルは、NAPTを通過できるように、IPsecデータグラムを4500番UDPデータグラムでカプセル化して送受信する機能である。
   NATトラバーサルを利用する場合は、IPsecのクライアント、VPN機器の両方がNATトラバーサルに対応している必要がある。また、ファイアウォールでは4500番のUDPデータグラムを通過させるよう設定する必要がある（図表11）。

IPsecによるインターネットVPNは、モバイル端末にIPsecクライアントソフトをインストールする必要があるため、導入に負担がかかる場合が多い。これに対し、どのノートPCにもインストールされているブラウザを利用し、インターネットVPNを実現する技術が「SSL-VPN」である。SSL-VPNの導入理由は、初期導入時の負担軽減が最も大きな理由といえよう。
  SSL-VPNを用いてインターネットVPNを構築するためには、社内ネットワーク上にSSL-VPN機器を設置するだけでよい。SSL-VPN機器は種類や実現方法が多く、またSSL-VPN自体は規格化されたものではないため、導入の際は自社の環境に適用できることを十分に調査し、検証することが必要である。

   SSL-VPNの実現方法のひとつに、Javaアプレットを使った方法がある（図表12）。SSL-VPNによりリモートアクセスする場合は、ブラウザからSSL-VPN機器にSSL通信（HTTPS）でログインし、SSL-VPN通信用のJavaアプレットを取得する。このアプレットが動作している間は、モバイル端末自身の決められたポートに対する通信が、SSL-VPNにより目的とする社内のサーバーへ到達する仕組みとなっている。事前に、アプリケーションの通信先の設定を適切に行っておく必要がある。

その他、VPNを実現するプロトコルとしてPPTP、 L2TP を紹介する。

PPTP（Point to Point Tunneling Protocol：RFC2637）は、レイヤー2のデータリンク層で動作するプロトコルである。このプロトコルは、マイクロソフト社が中心になって開発したものであるため、Windowsパソコンで構築されたネットワークへの導入は容易である。
  PPTPでは、PPP（Point-to-point Protocol）のパケットをIPヘッダでカプセル化して、IPネットワーク上にPPPパケットをトンネルさせて運び、PPP接続を確立する。PPTPはトンネル技術だけを定義したプロトコルであり、暗号化を実現するには機能の拡張が必要である。マイクロソフト社では、独自の機能拡張により暗号化を実現している。
  インターネット接続の場合を考えると、TCP/IPパケットを運ぶPPPパケット全体を暗号化し、これに対してGRE（Generic Routing Encapsulation）プロトコルを使ってカプセル化を行う、すなわち暗号化したPPPパケットをGREヘッダで包み込み、GREパケットをIPヘッダで包み込み（IPヘッダでカプセル化して）、インターネット（IPネットワーク）に伝送させる。

L2TP（Layer2 Tunneling Protocol：RFC2661）は、PPTPとL2F（Layer2 Forwarding：RFC2341）を統合してIETFが標準化を図ったプロトコルであり、データリンク層でトンネルを実現する。L2TPはトンネル実現のプロトコルであり、暗号化の仕組みを備えていない。暗号化を実現するにはIPsecを組み合わせて使用する。

モバイル端末を使用する場合は、パスワード等による本人認証を用いることで第三者が安易にアクセスできないようセキュリティを高めておくことが重要である。アクセス制御はひとつではなく、多段にしておくことでセキュリティ強度を高めることができる。また、認証の方式には、

の３つの要素があり、これらを複数組み合わせることで認証の強度を高めることができる。特に、異なる２つの要素を組み合わせた認証のことを「二要素認証」と呼ぶ。

以下、ノートPCを例に、アクセス制御の多段防御について説明する。

ノートPCによってはBIOSの起動時にパスワードを要求することができる。このBIOSパスワードを設定しておくと、ノートPCを起動したときにパスワードの入力が要求され、正しいパスワードを入力しないと起動することができない。BIOSパスワード認証はパスワード入力を要求するタイプが主流であるが、指紋認証などで代用することができるノートPC製品なども存在する。主流なBIOS（AMI, Phoenix, Awardなど）のほとんどがこのBIOSパスワード認証機能を持つ。
  ノートPCがBIOSパスワード認証に対応している場合は追加投資が必要ないため、導入コストはかからない。したがって、手軽に実施することができるセキュリティ対策として有効であるが、以下の点を考慮しておく必要がある。

したがって、BIOSパスワード認証だけでは、十分なセキュリティ強度は得られないことを認識しておかなくてはならない。

HDDによっては、HDDを起動する際にパスワード認証を要求するものがある。HDDへの無許可なアクセスを防止することを目的とし、万が一HDDを抜き出された場合にも、読み出されることを未然に防ぐことができる。通常は、BIOS画面にてBIOSパスワードを入力後、HDDパスワードを求められる。
  HDDパスワード認証に対応したHDDであれば追加投資が必要ないため、導入コストはかからない。BIOSパスワード認証と同様、手軽に実施することができるセキュリティ対策として有効であるが、以下の点を考慮する必要がある。

上記はBIOSパスワード認証でもほぼ同様であるが、BIOSパスワード認証とHDDパスワード認証では守るべき対象が異なるため、一方ではなく両方の対策を取ることが必要である。

上記で述べたとおり、BIOSパスワードおよびHDDパスワードは破られる可能性があるため完全とはいえない。よって、OSが起動してからも攻撃者がログインできないようOSのログインパスワードにより保護しておくことが必要である。しかし、OSのログインパスワードが攻撃者によって何らかの手段により取得されていた場合は、攻撃者にログインを許してしまうことになる。したがって、パスワードだけではなく、別の手段で攻撃者によるログインを保護しておくことが望ましい。
  最近では、利用者の指紋や指静脈などにより本人認証を行う、生体認証機能を備えたノートPCが販売されている。このようなノートPCをモバイル端末として使用すればセキュリティを大きく向上させることができる。ノートPCでは主に指紋照合や指静脈照合が認証に利用される。

�@ 指紋照合による認証
指紋照合は元々警察庁が犯罪捜査に応用したことから始まり、現在最も普及していて、実用化製品が多い。指紋は個人特有の情報であり、身体の成長や年齢を重ねても変化しないという特徴がある。指紋認証は製品によって異なるが、読取装置の認識率が99%以上、他人受入率 ⁴が0.1%以下、本人拒否率 ⁵が1%以下と照合精度が高い。さらに、読取装置の小型化、価格の低下により簡単に導入できるといった利点がある。指紋照合の方法には指紋の特定部分を取り出して、認証する際に読み取った画像と一致する部分があるかどうかによって判別するパターンマッチングによる方法と指紋を形成している特徴を照合する特徴点抽出（マニューシャ）方式などがある。

�A 静脈照合による認証
静脈照合は、身体内部の静脈パターンを使用して照合する。指静脈照合は、手指の静脈パターンで照合するものである。この方式では、手指に赤外線を当てることで内部の静脈パターンを検出する。指静脈照合は非接触型の照合であり、指紋照合と違い、読み取り装置に身体を接触する必要がなく、不快感を感じさせるというマイナスの面がない。

その他の認証機構として、スマートカードがある。利用者の証明書を格納できるICチップを搭載しており、証明書を用いて認証を行う。

先述のとおりモバイル端末の認証機能を強化したとしても、モバイル端末を紛失あるいは盗難した場合、モバイル端末のHDDを直接攻撃者のコンピューターに接続され、情報を盗まれてしまうおそれがある。モバイル端末内に保存してある情報が漏洩することを防ぐためにも、モバイル端末に保存されている情報を暗号化することは重要である

いずれの方式においても、解読の手段である暗号鍵の保護が重要となる。暗号化されたデータは利用時には透過的に復号されるため、利用者が暗号化されていることを意識することはない。導入する場合は、HDD全体を暗号化する方式が望ましいが、後述するTPM（Trusted Platform Module）付ノートPCを購入する場合は、TPMの機能を利用したドライブ単位の暗号化方式も検討する価値がある。

以下、それぞれの方式の特徴を説明する。

この方式は、HDDをセクタ単位で全て暗号化し、HDDに書き込まれるデータは自動的に全て暗号化され、読み出す際は自動的に復号される。HDD全てのデータを保護することができるため、セキュリティ強度は高い。万が一、モバイル端末が攻撃者の手に渡り、攻撃者のコンピューターに接続されても、データを読み取ることはできない。通常、OSが起動する前にHDD暗号化ソフトにより認証を要求されるが、この認証が通ってしまうとOSを起動することができてしまう。したがって、セキュリティ強度はこの認証の強度に依存してしまうため、うかつにパスワードを教えることがないよう徹底しなければならない。

この方式は、ファイルシステム上のドライブ単位で暗号化し、暗号化されたドライブに書き込まれるデータは自動的に全て暗号化され、読み出す際は自動的に復号される。暗号化されたドライブに機密情報を保存するよう徹底することにより、セキュリティ強度を保つことができる。万が一、モバイル端末が攻撃者の手に渡り、攻撃者のコンピューターに接続されても、暗号化されたドライブ内のデータを読み取ることはできない。最近では、TPMと呼ばれるセキュリティチップが搭載されたノートPCが市場に出回っている。HDDのデータを暗号化するための暗号鍵がノートPC内のセキュリティチップに格納されているため、HDD単体を盗まれたとしてもデータを解読できない仕組みとなっている。TPMは標準化団体であるTCG（Trusted Computing Group）が仕様策定を進めている。
   Windows Vista では、BitLockerと呼ばれる暗号化ツールを提供しており、TPMを利用したドライブ単位の暗号化が実現できる。

Windows 2000/Windows XP Pro/Windows Server2003であれば、EFS（Encrypting File System）と呼ばれるフォルダおよびファイルの暗号化機能が利用できる。ログインユーザーが暗号化したフォルダやファイルは、ログインユーザーしか書き込みや読み出しができないため、簡易な機密文書保存用途に利用することができる。しかし、暗号鍵がOS上の規定の場所に置かれているため、攻撃者により簡単にデータを盗まれてしまうことが考えられる。

リモートアクセスする際、出張先で宿泊するホテルや空港など、社内ネットワーク以外にモバイル端末を接続することがあるが、接続したネットワークから不正アクセスやウイルス侵入が起こらないとは限らない。このような状況下における不正アクセスを防止するためにも、モバイル端末にはパーソナルファイアウォールを導入することが望ましい。
   パーソナルファイアウォールは、個々のモバイル端末に組み込むためのファイアウォールであり、導入されたモバイル端末だけを保護する。許可した通信だけを通し、禁止した通信を受信すると警告を出すこともできる。また、許可するアプリケーションを登録しておき、登録されたアプリケーションの通信だけが許可され、それ以外の通信を遮断することもできる。このようにしておくことで、モバイル端末に侵入した不正プログラムの通信を未然に防止することができる。

   Windows XP SP2（サービスパック2）より、Windowsファイアウォールが提供されており、受信データのフィルタリングが実現できる。Windows Vistaが提供するWindowsファイアウォールは、受信データだけでなく、送信データに対するフィルタリングも実現できるため、ウイルスやスパイウェアによるデータ送信を防ぐことができる。
パーソナルファイアウォールのフィルタリングルールを利用者が勝手に設定することを防止するため、統合管理ツールに対応したパーソナルファイアウォール製品を導入することも必要に応じて検討することが望ましい。