第1章 Enterprise Security Client の概要
Enterprise Security Client は、スマートカードの管理を簡素化する Red Hat Certificate System のツールです。エンドユーザーは、セキュリティートークン (smart カード) を使用して、シングルサインオンアクセスやクライアント認証などのアプリケーションに使用されるユーザー証明書を格納できます。エンドユーザーには、署名、暗号化、およびその他の暗号化機能に必要な証明書および鍵が含まれるトークンが発行されます。
トークンの登録後、Mozilla Firefox や Thunderbird などのアプリケーションは、トークンを認識して、クライアント認証や S/MIME メールなどのセキュリティー操作に使用するように設定できます。Enterprise Security Client は、以下の機能を提供します。
- Global Platform 準拠のスマートカードをに対応しています。
- セキュリティートークンを登録して、Red Hat Certificate System のトークン管理システムで認識されるようにします。
- トークンの再登録など、セキュリティートークンを維持します。
- 管理対象トークンの現在のステータスに関する情報を提供します。
- トークンが失われた場合に別のトークンで鍵をアーカイブおよび復元できるように、Certificate System サブシステムによるサーバー側の鍵生成をサポートします。
1.1. Red Hat Enterprise Linux、シングルサインオン、および認証
ネットワークユーザーは、使用する各種サービスに複数のパスワードを送信する必要があります (電子メール、Web ブラウジ、イントラネット、およびネットワーク上のサーバーなど)。複数のパスワードを維持して、これらの入力を使い分けることは、ユーザーおよび管理者にとって困難です。シングルサインオン は、管理者が単一のパスワードストアを作成してユーザーが一度ログインし、単一のパスワードを使用してすべてのネットワークリソースに認証できるようにするための設定です。
Red Hat Enterprise Linux 6 は、ワークステーションへのログインやスクリーンセーバーのロック解除、Mozilla Firefox を使用して暗号化された Web ページへのアクセス、Mozilla Thunderbird を使用した暗号化された電子メールの送信など、複数のリソースのシングルサインオンをサポートします。
シングルサインオンは、ユーザーにとって利便でかつ、サーバーおよびネットワークにさらなる層のセキュリティーを確立できます。シングルサインオンは、セキュアで効果的な認証をオンにします。Red Hat Enterprise Linux は、シングルサインオンを有効にするために使用できる認証メカニズムを 2 つ提供します。
- Kerberos ベースの認証
- Red Hat Certificate System が実装する公開鍵インフラストラクチャーに関連付けられるエンタープライズセキュリティークライアントを使用したスマートカードベースの認証
セキュアなネットワーク環境を確立するための第一歩は、ネットワークへのアクセス権限を持つユーザーにアクセスが制限されるようにすることです。アクセスが許可されると、ユーザーはシステムに対して 認証できます。つまり、ユーザーはアイデンティティーを検証できるということです。
多くのシステムは、Kerberos を使用して チケット と呼ばれる有効期限の短い認証情報のシステムを確立します。この認証情報は、ユーザー要求で生成されるアドホックが生成されます。ユーザーは、ユーザーを特定し、チケットを発行できるシステムを示す username-password ペアの形式で認証情報を表示する必要があります。このチケットは、Web サイトや電子メールなどの他のサービスが繰り返し参照できます。これには、ユーザーが単一の認証プロセスを経由する必要があります。
アイデンティティーを検証する代替的な方法は、証明書を提示することです。証明書とは、提示するエンティティーを特定する電子ドキュメントです。スマートカードベースの認証では、これらの証明書は、スマートカードまたはトークンと呼ばれる小規模なハードウェアデバイスに保存されます。ユーザーがスマートカードを挿入すると、スマートカードは証明書をシステムに提示し、ユーザーを認証できるように識別します。
スマートカードを使用したシングルサインオンには、以下の 3 つの手順があります。
- ユーザーがスマートカードをカードリーダーに挿入します。これは、Red Hat Enterprise Linux のプラグ可能な認証モジュール (PAM) により検出されます。
- システムが証明書をユーザーエントリーにマッピングし、スマートカードで提示された証明書をユーザーエントリーに保存されている証明書と比較します。
- 証明書がキー配布センター (KDC) に対して正常に確認されると、ユーザーはログインを許可されます。
スマートカードベースの認証は、追加の識別メカニズム (証明書) と物理アクセス要件を追加することで、Kerberos によって確立されtるシンプルな認証レイヤーで構築されます。
