Pocket PC のセキュリティ
By Douglas Dedo - Mobility Group, Microsoft Corporation
発行 : 2002 年 5 月
トピック
はじめに
危険性について
セキュリティの実践
認証
暗号化データ
暗号化された接続
セキュリティ管理
まとめ
はじめに
Bill Gates は、Microsoft が長期的に取り組んでいる "信頼性できるコンピューティングの実現" について理解を得る努力を続けています。ここでいうコンピューティングとは、電気用品や電話と同程度の安全性と信頼性を持つコンピューティング、という意味です。弊社のソフトウェアは、Web サービスとやり取りする豊富な機能を持つインターフェイスを、スマート クライアントのプラットフォームに提供することを目標としています。これらは、モバイル デバイスを使用するビジネス ユーザーの生産性の向上および運用コストの軽減のために利用されています。モバイル ソリューションとは、紙面主体のプロセスをフォーム主体のアプリケーションに転換したり、既存のデスクトップ コンピューティング システムを Pocket PC などのモバイル デバイス上で実行するように拡張するものです。このようなエンド ツー エンドのソリューションでは、関与する情報が個人情報であれ、または機密性の高い取引情報であれ、安全性と信頼性が求められます。
組織においてモバイル エンタープライズ ソリューションを検討する際、評価の重要なポイントの 1 つとなるのがセキュリティです。Pocket PC は、大容量のデータを格納して広範囲なネットワーク群に接続できます。そのため、組織のセキュリティ計画の対象として見た場合、ノートブック PC と同じように重要で機密性の高いコンピューティング プラットフォームになります。
Pocket PC にはさまざまな業界規格の拡張スロットがあり、それらは Secure Digital/マルチメディアカード (SD/MMC)、コンパクトフラッシュ (CF)、および PC の各データ保存用カードをサポートしています。これらのカードでは、数百 MB (メガバイト) から最大 5 GB (ギガバイト) までのデータを取り扱うことが可能です。さらに、最大 60 GB ものデータを保持する外付けデータ記憶装置という選択肢もあります。このようなデータ保存装置は、大量のデータを扱うエンタープライズ アプリケーションを実現するうえで欠かすことのできない重要なものですが、これらのデータがすべて不正な第三者の手に渡るという懸念もまた大きくなります。
Pocket PC からは、各種の拡張スロットや外部取り付け拡張ユニット、内蔵のワイヤレス チップなどを通じて、個人ネットワークや LAN、WAN に接続できます。Pocket PC によっては、これら 3 つの接続オプションが 1 つのデバイスですべて使用できるものもあります。さまざまなネットワーク接続や PC 接続を通じて、機密性の高い、重要なビジネス データが、これらのモバイル デバイスに容易に転送される可能性があります。
モバイル デバイスは従業員の生産性の向上や運用コストの低減をもたらすことができますが、そのサイズが小さいために容易に紛失したり盗難に遭うおそれがあります。モバイル デバイスに格納されているものが、個人の予定表や連絡先であれ、または組織全体のデータベースであれ、これらのデータの管理がおろそかになると組織にとって深刻な脅威となる可能性があります。このため Microsoftｮ では、業界に導入されているすべての世代の Windowsｮ Powered モバイル デバイスについて、セキュリティ オプションを組み込み、セキュリティ アプリケーション用のプログラミング インターフェイスを文書化しています。
このホワイト ペーパーでは、モバイル デバイスに関係のあるセキュリティ上の脅威を示すと共に、これらの脅威に対抗するために Pocket PC に組み込まれている各種の機能やアプリケーションについて説明します (図 1 参照)。また、モバイル デバイスにおけるセキュリティのポリシーおよび手順についても説明します。これらの後で、デバイスへのアクセスのセキュリティ保護、データや通信リンクの暗号化、および大規模展開のためのリモート管理について、それぞれのテクノロジを説明します。
このホワイト ペーパーに記載されている会社名や製品名は情報の提供のみを目的とするものであり、今日利用できる製品の一部について紹介するものです。このホワイト ペーパーに記載されている製品や会社について、Microsoft はなんら推奨または支持するものではありません。
.gif "図 1: モバイル デバイスをセキュリティ保護するための 3 つのポイント")
図 1: モバイル デバイスをセキュリティ保護するための 3 つのポイント
危険性について
個人の予定表に潜むリスク
モバイル デバイスの多くは "裏口" から企業に持ち込まれます。従業員はこれらのデバイスを小売店で購入して自分の職場に持ち込みます。たいていは、個人の予定表や連絡先に簡単にアクセスできるようにすることが最初のニーズになります。組織の中には、モバイル デバイスのセキュリティ リスクについて、ビジネス アプリケーションをインストールさせた時点でしか考慮しないところがあります。
しかし、もし従業員の予定表が競合他社の手に渡ったり、公に知れ渡ったりしたらどうなるか、ということについて考えておくことには意味があります。たとえば、経営幹部の予定表のメモには、社内の問題、顧客への対応の問題、さらには合併や買収に関する情報など、ミーティングでのさまざまな背景情報が記述されている可能性があります。万一このような情報が外部に漏れれば、厄介な問題になるおそれがあります。
盗難や紛失
保険代理店会社 Safeware (英語) では、2001 年に盗難されたノートブック パソコンの数を 591,000 台と推定しています。また、Home Office Research (英語) の調査によれば、2000 年に英国だけでも 470,000 台の携帯電話が盗難に遭っています。Gartner Group (英語) では、アメリカ合衆国の空港で置き忘れられた、または紛失したモバイル デバイスの台数を、250,000 台と推定しています。高機能携帯電話や PDA (携帯情報端末) の台数が増えるにつれて、情報が不正な第三者の手に渡る可能性もまた大きくなっています。デバイスの盗難や紛失の問題には二重の影響があります。1 つは、新しいデバイスが供給され準備が完了するまでユーザーが効率よく作業できなくなることです。もう 1 つは、デバイスに格納されていたデータが競合他社にとって価値ある情報となる可能性があることです。
組織はまた、盗難に遭ったデバイスの法的な側面についても考慮する必要があります。多くの国や地域では、医療記録などの機密情報を格納しているデバイスが盗難に遭った場合、データ保護のための法律に基づき、そのデータの所有者がデータの紛失や悪用に対して責任を問われる可能性があります。
デバイスの個人所有権
ハードウェアデバイスの個人所有権は、その管理が IT 管理者の手から離れ、確実に従業員の手に移ります。企業の所有するデータが、従業員が個人的に所有するデバイスに常駐すれば、明らかに利害の衝突が発生する可能性があります。このことは企業のデータ セキュリティにとって悪い影響を及ぼすおそれがあります。
個人がデバイスを所有しており、会社に不平不満を持つ従業員が機密データを盗んだり悪用したりしている疑いがある場合、企業ではそのような疑いを証明するために、費用のかかる法的手段に踏み切らなければならないことがあります。このような問題はすべての個人用コンピューティングデバイスに関係しますが、モバイル デバイスに格納できるデータの量、特にリムーバブルのデータ保存用カードに格納できるデータは、相当な量になります。
数多くの接続オプションがデバイスにインストールされている場合、ユーザーはさまざまな公衆ネットワークに自由に接続できます。このため、ユーザーが次に企業ネットワークに接続すると、システムの広範囲な損傷や、悪意のあるコードの伝染といった事態を招く可能性があります。また、エンド ツー エンドで暗号化や認証が行われるかどうかによって、組織のデータだけでなく、機密性の高い企業の資格情報が、クリア テキスト送信のために改ざんされるおそれもあります。ネットワーク接続で必要となるセキュリティのセットアップは、接続の種類によりさまざまに異なります。
この問題に対処するための手段として、IT 管理者がモバイル デバイスコンピューティングを企業の管理区域内に収めるという方法があります。IT 管理者は、組織のネットワークに接続する、または組織のネットワークとデータを交換するあらゆるデバイスについて、明確なセキュリティ ポリシーに従うように求めることが必要です。たとえば Compaq では、Pocket PC のためのセキュリティ アドオン (英語) が設けられており、これによって未承認のコンピュータによる接続や同期を防ぐことができます。
システム セキュリティは、テクノロジの実装だけで保護できるものではありません。デバイスやビジネス データ、個人情報などの紛失による脅威について従業員が認識し、組織上のプロセスや手順を策定し実施することも、システム セキュリティ保護の要件となります。
悪意のあるソフトウェア
Microsoft Windows Powered モバイル デバイスは、まだ悪意のあるコードの重要な標的にはなっていませんが、時間の問題に過ぎないとの指摘もあります。たとえ、デバイスそれ自体は影響を受けないとしても、デバイスをネットワークに接続することによって、有害なソフトウェアが他のコンピューティング システムに転送されるための手段となってしまうおそれがあります。
悪意のあるソフトウェアは、ウイルスや "トロイの木馬" など、さまざまな形態をとります。ウイルスは、他のファイルに入り込むことによって検知されずに感染することによって蔓延します。一方、トロイの木馬では、不正な操作を実行するために、正常なアプリケーションであるかのように装う形態をとります。ウイルスの別の形態としてワームがあり、システムに入り込みデータを破壊します。ウイルスは通常、ユーザーが起動したなんらかの操作 (例 : 添付ファイルを開く、スクリプトやアプリケーションを実行する) によって伝染しますが、これ以外にデバイスがネットワークからハッキングされることもあります。
クラッキングまたはハッキング
モバイル デバイスはもともと不正なアクセスに対して脆弱ですが、それに加えて接続先のシステムへの経路ともなります。ハッカーは登録ユーザーに成りすますことによって、なんらかの手段でデータを盗み出したりシステムに損害を与えることができます。
また別の脅威として、ポート スキャンの実行があります。ハッカーは、まず DNS サーバーから接続先コンピュータの IP アドレスを割り出し、それによってモバイル デバイスへの侵入を試みることができます。この既知の IP アドレスに対して、ハッカーはポート スキャンを実行し、独自の方法で IP アドレスの TCP/UDP スタックにアクセスします。そして、どの通信ポートがファイアウォール ルール データベース内で許可されているのかを調べます。たとえば、FTP (File Transfer Protocol) 送信は通常、ポート番号 21 に割り当てられていますが、このポートが保護されていない場合、ハッカーによって悪用される可能性があります。ポートをポート スキャンから守るためには、不正な受信データ パケットをトラップし、それによってデバイスの存在と識別情報が漏洩するのを防ぐようにするためのソフトウェアが必要になります。Pocket PC 上のパーソナル ファイアウォールは、インターネットへの直接接続や RAS (Remote Access Server) 接続を使用している場合に、この種の攻撃に対して有効な保護障壁となることができます。ゲートウェイを経由してインターネットや組織のプライベート ネットワークにアクセスする場合は、パーソナル ファイアウォールをゲートウェイ自身に設置するのが最適です。どちらの場合でも、強力な認証キーを実装した安全なアクセス手法を導入することによって、いっそう堅固な保護を実現できます。認証キーについてはこの後で説明します。
セキュリティの実践
セキュリティの水準は、法的その他の外的な制約条件に従い、モバイル デバイスを使用する組織にとってふさわしいものにする必要があります。組織により、セキュリティの手順やツールを広範囲に実装する場合もあれば、対価性や利便性の方に重点を置く場合もあります。
システムやプロセスのさまざまな要素について最適なセキュリティ水準を特定するためには、専門家との連携を考慮した危険分析を実施する必要があります。この作業が完了したら、次に技術的な設計作業を開始します。これにより、セキュリティ水準を実現するための製品やテクノロジに加えて、適切なポリシーや手順を特定できます。セキュリティの評価、設計、導入、および継続的な管理を実施するには、ISO 17799 (英語) や BS 7799 (英語) といった規格に準拠した手法がいくつかあります。
セキュリティはまず、CEO や社長自らがセキュリティを真剣に受け止めることから始め、その意思を組織全体にわたって伝える必要があります。セキュリティのための最適な技術が採用されていても、それらが実際に使用されることを保証する組織のポリシーや自動化の実施がなければ、意味がありません。場合によっては、企業ネットワークへの特別なアクセス権が既に上級幹部に与えられているために、標準のセキュリティ手続きが回避されてしまうことがあります。
標準化すべきコンピューティング プラットフォームをどれにするかについて考慮する際は、すべての PDA や高機能携帯電話が必ずしもエンタープライズ クラス向けのセキュリティを持つように設計されているとは限らないことを念頭に置いてください。Windows Powered Pocket PC は、エンタープライズ ソリューションに対応したプラットフォームとして設計されています。デバイスの規格だけでなく、セキュリティの規格についても盛り込むようにしてください。
Microsoft では、組織がデータ セキュリティについて考慮する際に、モバイル デバイスに関する次のようななんらかのセキュリティ ポリシーを設定することを推奨しています。
パスワード : ノートブック コンピュータに関する組織の標準における場合と同様に、すべてのモバイル デバイスで電源オン時のパスワードを有効にすることが必要です。このパスワードをアクティブにしていないデバイスについては、プライベート ネットワークからのアクセスをブロックすることが必要です。システム管理製品は、このパスワード チェックおよびブロックの機能を自動化できるほか、それ以外の企業セキュリティ ポリシーの実施にも役立ちます。SecurID カード、指紋や署名による生体識別認証システム、絵文字パスワード、スマート カードなどを使用すれば、より厳密な認証を実現できます。モバイル デバイス自身へのアクセスに認証を必要としない場合、デバイスのユーザーは自分のエンタープライズ ネットワーク用のアクセス パスワードをモバイル デバイスに格納しないでください。これには、リモート アクセス サーバーへのダイヤルアップ接続や電子メール サーバーへのアクセスに使用するパスワードも含まれます。デバイスを紛失した場合の回収が容易なように、電源オン時に各自の所有者情報がデバイスに表示されるようにしておくことをユーザーに奨励します。
ウイルス対策 : モバイル デバイスにウイルス対策ソフトウェアをインストールし、電子メールの添付ファイルやファイル転送を通じて企業にウイルスが侵入するのを防ぎます。サードパーティ製ウイルス対策製品については、以下を参照してください。
フラッシュ ROM : システム管理、セキュリティ、ウイルス保護、およびその他のカスタム アプリケーションをフラッシュ ROM に配置するようにし、ユーザーがバッテリをすべて取り外してデバイスのハード リセットを実行した場合でもこれらのアプリケーションが失われることのないようにします。
暗号化 : デバイス上のデータやネットワーク リンク経由によるデータを保護するための暗号化オプションについて評価することが必要です。世界規模の組織では、各地域間で一貫したアプローチを実現するために CryptoAPI 対応の暗号化テクノロジを使用しなければならない場合があります。デバイス内や外部保存用カードに格納された機密情報を暗号化することを検討するとともに、インターネットを通じてワイヤレス リンク経由の仮想プライベート ネットワーク (VPN) を使用する際にもエンド ツー エンドでの暗号化を行うことを検討してください。
データを知る必要性 : モバイル デバイスを利用するユーザーの組織におけるさまざまな役割に応じて、組織全体に関わるデータのごく一部だけしか個人のモバイル デバイスに格納しないようにすることが可能な場合があります。たとえば、SQL Server for Windows CE を使用すれば、パーティション化された SQL Server データベースのごく一部だけを Pocket PC と同期させることが可能になります。このアプローチには、いくつかの有効な点があります。不要なデータがなくなるため、従業員が各自の業務を速やかに遂行できるようになります。また、モバイル デバイスに保持するデータが少なくなるため、同期時間が短縮されます。さらに、セキュリティの観点から見ても、漏洩するデータが少なくなリます。
以上のポリシーに加えて、これらのポリシーの適用を自動化することも必要になります。この自動化は各社から提供されているシステム管理ソリューションを使用することで実現できます。システム管理ソリューションを利用すると、企業ネットワークに接続するデバイスの資産一覧を管理できます。また、構成設定の修正や更新されたソフトウェアの配布を、それらが利用できるようになった時点で自動的に実行できます。Windows Powered モバイル デバイス用のシステム管理ソリューションの例については、「Enterprise Solutions」 Web サイト (英語) にアクセスし、Software Solutions セクションで "Systems Management" カテゴリを選択して検索してください。また、Vertical Market Solutions セクションの "IT Administration" カテゴリも参考になります。
さらにもう 1 つ、組織のセキュリティ ポリシーの実施を自動化する際に考慮すべき技術として、従業員名簿システムなどの重要な社内ユーティリティを準備する方法があります。従業員名簿システムでは、デバイスの設定がポリシーに準拠しているかどうかをチェックします。準拠していない場合、ユーティリティはさまざまな操作を実行できます。たとえば、ポリシーに準拠するように設定を自動的に変更したり、デバイスの設定がポリシーに準拠するまで機能しないようにしたり、電子メールまたは SMS (Short Message Service) を使用してポリシー違反を示すメッセージを送信したり、あるいはすべての機密データをデバイスから消去したりできます。このユーティリティによる方法では、正規の手段で企業ネットワークに接続していないデバイスについて、ポリシーに準拠しているかどうかを継続的にチェックできるという利点があります。
最後に、モバイル デバイスを対象とした低額控除保険が利用できます。大手無線電話保険会社の Signal では、Insurance Company of North America (INA) を引き受け会社とするモバイル デバイス保険 (英語) を提供しています。
認証
モバイル デバイスの情報を保護するうえで最初のステップとなるのが、不正なアクセスからのデバイスの保護です。このためには、さまざまなメカニズムを通じてユーザーを識別または認証します。次の 3 つの項目から 2 つを使用する方式であれば、高水準のセキュリティを実現できます。
ユーザーが知っていること (パスワードなど)
ユーザーが所有しているもの (スマート カード、SecurID カードのセキュリティ証明書など)
ユーザー固有のもの (指紋など)
デバイスにアクセスするための認証メカニズムを組み合わせて使用することに加えて、次のように補足的な認証を必要とする場合もあります。
アプリケーションが一定期間、または一定間隔 (15 分ごとなど) の間、使用されなかった場合に、再実行にユーザー認証を必要とする場合。
データ保存用カードに、データ解読のための独自の認証メカニズムを持たせる場合。
組織のプライベート ネットワークにアクセスする際に追加の認証を必要とする場合 (たとえば、Microsoft Mobile Information Server は Windows Active Directory 認証を使用することで、モバイル デバイスから企業の電子メールや予定表、連絡先などに安全にアクセスするための手段を提供します。MIS のセキュリティの詳細については後の説明を参照してください)。
保護された共有ファイル サーバーへのアクセスに追加のログオン手順を必要とする場合。
セキュリティ保護された Web サイトで追加のサインオン資格情報を必要とする場合。
Pocket PC 2002 はデバイスへのアクセスを保護するために、4 桁のパスワードと、電源オン時の強力な英数字混在パスワードの両方をサポートしています (図 2 を参照)。正しくないパスワードが試行されるたびに、指数関数的に増加する時間遅延が適用されます。[ファイル エクスプローラ] アプリケーションは、新しく、共有の Windows ベース ファイル サーバーへのアクセスをサポートしています。これらのサーバーにアクセスするためにはユーザー認証が必要になります (図 2 を参照)。組織の認証ポリシーは集中管理ソフトウェアを使用することで自動的に適用できます。集中管理ソフトウェアについてはこの後説明します。
.gif "図 2: Pocket PC の電源オン時のパスワード オプションと共有ファイル サーバーへのアクセス")
図 2: Pocket PC の電源オン時のパスワード オプションと共有ファイル サーバーへのアクセス
Pocket PC はまた、企業ネットワークや制限付きインターネット サイトにアクセスするための組み込みの認証機能も備えています。これには、Windows NTｮ の "チャレンジ/レスポンス" を使用したダイヤルアップ認証のサポート、そして、SSL (Secure Sockets Layer) と PCT (Private Communications Technology) テクノロジを使用してセキュリティ保護された Web サイトにアクセスするときの認証があります。仮想プライベート ネットワーク認証のために、CHAP (Challenge-Handshake Authentication Protocol)、Microsoft CHAP (MS-CHAP 1 および 2)、および PAP (Password Authentication Protocol) が組み込まれています。
Pocket PC の組み込み認証機能 |
|---|
4 桁パスワード、および強力な (7 文字以上の英数字および区切り文字の混在) デバイス パスワード オプション。パスワードはハッシュ処理されてから格納されます。 |
SSL (Secure Socket Layer) および PCT (Private Communications Technology) によるセキュリティ保護された Web サイトの認証。 |
Windows NT LAN Manager (NTLM) チャレンジ/レスポンス ダイヤルアップ ネットワーク認証。 |
ファイル マネージャにおけるネットワーク ファイル共有パスワード認証。 |
CHAP、MS-CHAP 1 および 2、PAP による仮想プライベート ネットワーク認証。 |
その他、次の機能を提供しているセキュリティ ベンダ各社のアドオン製品が利用できます。
署名認証
画像方式によるパスワード
指紋認証
スマート カード セキュリティ証明書認証
SecurID カード認証
データ保存用カードの証明書認証
従来のホスト アクセス
Pocket PC 対応の認証製品を提供している会社のいくつかを次に示します。Microsoft ではこれらの製品を情報提供の目的で記載しているだけであり、これらの製品をなんら支持するものではありません。
会社名 |
製品 |
|---|---|
署名認証 |
- |
Security Builder は、開発者が暗号化、デジタル署名、キー交換の各メカニズムをアプリケーションに容易に統合できるようにするための総合的なスイートを提供します。 |
|
InkTools は、電子インク署名や手書き署名を使用するシステムを実装するためのソフトウェア開発キットです。 |
|
Cloakware/Signature は、パスワードに代わって Pocket PC での安全な手書き署名検査を可能にする、開発者向けのソフトウェア開発キット (SDK) です。 |
|
Sign-On は、生体識別署名検査を使用する Pocket PC 用のログオン セキュリティ ユーティリティです (図 3 を参照)。 |
|
Pocket PC 対応の Digipass は強力な認証とデジタル署名のセキュリティ ソフトウェアを提供しています。 |
.gif "図 3: Communication Intelligence Corp 社の Sign-On for Pocket PC")
図 3: Communication Intelligence Corp 社の Sign-On for Pocket PC
強化されたパスワード保護
Security Enhancements for Microsoft Pocket PC は、ハッシュ処理されてから格納することによって保護されている英数字パスワードをサポートしています。正しくないパスワードが事前に定義された回数だけ入力されると、システム メモリが安全に消去されます。また、未承認の PC による接続や同期を防ぐこともできます。
絵文字認証
Check Point Software Technologies
画像方式によるパスワードです。不正なパスワードが事前に定義された回数だけ入力されると、このソフトウェアはデバイスをロック ダウンします。回復には IT 管理者によるサポートが必要になります。
指紋認証
KRYPTIC 指紋リーダーを提供しています。
BioHub は、Pocket PC のコンパクトフラッシュ (CF) カード スロットに装着する指紋認証デバイスです。
BioSentry は Compaq iPAQ 対応の指紋検査拡張ユニットです。
指紋認証と 15 桁の PIN を、コンパクトフラッシュおよび PCMCIA 両サイズの暗号化されたフラッシュ保存用カードに統合します。
カード方式による認証
HP Jornada 560 シリーズ Pocket PC 対応のスマート カード リーダーと標準バッテリを提供しています。これらは最低数量を 1,000 とする注文生産となります。図 4 を参照してください。
RSA ACE/Server カードおよび RSA SecurID カードは、モバイル デバイスから企業ネットワークにアクセスするための高度な認証レベルを提供します。
Reflex 20 PCMCIA スマート カード リーダーを提供しています (readers@slb.com に連絡して Pocket ドライバを入手してください)。
.gif "図 4: HP のスマート カード リーダー付き標準バッテリ (最低注文数量 : 1,000)")
図 4: HP のスマート カード リーダー付き標準バッテリ ( 最低注文数量 : 1,000)
データ保存用カードの証明書認証
AccessRights は、任意のメモリ カードにおいて特殊なキーを使用して Pocket PC へのアクセスをロックまたはロック解除できます。
従来のホスト アクセス
sshCE は、Blowfish およびトリプル DES 暗号化と強力な認証を使用してリモート ホストに接続する VT100/VT52 をサポートした、SSH (Secure Shell) クライアントです。
Windows Powered モバイル デバイスのアドオン ソフトウェアおよびハードウェアの最新情報については、Microsoft Web サイトの Enterprise Solutions セクション (英語) を参照してください。
暗号化データ
Pocket PC のデータを保護するにはいくつかの方法があります。データはデバイス内または外部保存用カードのランダム アクセス メモリ (RAM) に格納できます。
Microsoft では、暗号化されたデータを Pocket PC のリレーショナル データベースに格納するためのメカニズムを提供しています。SQL Server 2000 Windows CE Edition (SQL Server CE) に格納されたデータは、128 ビットの暗号化およびパスワードのサポートによって保護されます。SQL Server CE は、エンタープライズのデータ管理機能をモバイル デバイスにまで拡張するアプリケーションを迅速に開発するための、コンパクトなデータベースです。
Pocket PC の暗号化機能
Pocket PC 用の SQL Server CE での 128 ビット暗号化データ
Pocket PC 対応のデータ暗号化製品を提供している会社のいくつかを次に示します
ハードウェア記憶装置による暗号化
ハードウェア暗号化によるセキュリティ機能付きの CF 保存用カードを提供しています。
指紋認証と 15 桁の PIN を、コンパクトフラッシュ (CF) および PCMCIA 両サイズの暗号化されたフラッシュ保存用カードに統合します。
ソフトウェア ストレージによる暗号化
ファイルとフォルダを暗号化する Pocket Lock を提供しています。
PDA Defense for the Pocket PC は、データベースやファイルを暗号化するほか、自動ロックとデータ消去の機能も提供します。
セキュリティ保護された情報整理ソフトウェアである CodeWallet を提供しています。
FileCrypto は、RAM メモリや外部保存用カードのデータ、電子メール、および PIM を暗号化します。詳細については F-Secure のホワイト ペーパー http://www.europe.f-secure.com/products/white-papers/hhsecurity020215.pdf (英語) を参照してください。
eWallet は個人情報ストレージを保護します。
CryptoGrapher は外部保存用カードのデータを暗号化します。
Check Point Software Technologies
デバイスの RAM メモリや外部保存用カードに格納されているすべてのデータを暗号化します。
ProLock は Vernam (OTP) Cipher を使用してデータを暗号化します。
Softwarebuero Mueller
Safe は強力に暗号化された形式で機密情報を管理します。
seNTry 2020 は外部保存用カードのデータを暗号化します。
PDASecure は Pocket PC へのアクセスを保護し、Pocket PC のデータを暗号化します。また、赤外線によるデータの不正な放出を防ぎ、ボイス レコーダーを無効にします。
SafeGuard PrivateCrypto は Rijndael (AES) アルゴリズムを使用してファイルの暗号化と解読を実行します。これらのファイルは圧縮と暗号化がなされた自己解凍ファイルにできます。
PE Encrypt は、256 ビット キーの AES (Advanced Encryption Standard) を使用する Windows エクスプローラ風の暗号化/複号化ツールです。
暗号化された接続
組織はネットワークを往来する自己のデータや通信情報を暗号化したいと考えています。このような暗号化は、アプリケーション、情報サービス、またはネットワーク自身によって実現できます。
アプリケーション レベルでの暗号化
不正なアクセスからデータを守るために暗号化を行うには、デバイスが業界標準の 40 ビットまたは 128 ビット暗号化をサポートしているか、開発者が業界標準の CryptoAPI を使用して他の暗号化技術を使用できることが必要です。
Microsoft では、暗号化されたアプリケーションをサポートするための補助的なツールやテクノロジを開発しています。開発プラットフォームである .NET Compact Framework は、マネージ コードと XML Web サービスをスマート デバイスに導入し、モバイル デバイスにおいてセキュリティ保護されたダウンロード可能なアプリケーションの実行を可能にします。.NET Compact Framework では、電子商取引などでアプリケーション データを保護して安全な運用を実現するための暗号化クラスがサポートされています。
Microsoft のアプリケーション暗号化機能
High Encryption Pack for Pocket PC (英語)。128 ビット暗号化および CryptoAPI (Cryptographic Application Program Interface) を利用するアプリケーションで使用できます。インストールの際に、古い方のバージョンの schannel DLL を選択しないでください。
.NET Compact Framework のアプリケーション データ用暗号化クラス。
アプリケーション レベルの Pocket PC 対応暗号化ツールを提供している会社を次に示します。
アプリケーション データの暗号化
Security Builder は、開発者が暗号化、デジタル署名、キー交換の各メカニズムをアプリケーションに統合できるようにするためのアルゴリズム スイートを提供します。
Gl・k & Kanja Group
CryptoEx Pocket は、モバイル デバイスにおいて機密ファイルの暗号化と署名を行うための暗号化およびデジタル署名をサポートしています。
NERI (Ntr・Embedded Reference Implementation) は、公開キー暗号化機能、Rijndael AES (Advanced Encryption Standard) に基づく対称キー暗号化機能、およびハッシュ処理とメッセージ ダイジェストの作成を行うためのツールを備えた、セキュリティ ツールキットです。
情報サービスの暗号化
Microsoft Mobile Information Server 2002 は、Server ActiveSync と共に、モバイル デバイスで電子メールや予定表、連絡先と、Microsoft Exchange Server との同期をとるためのセキュリティ保護された手段を提供します。また、モバイル デバイスからインターネットを安全に閲覧できるようにします。Mobile Information Server はインターネットを使用してプライベート ネットワークを無線通信業者に接続しますが、このときにセキュリティ上の問題が発生する可能性があります。プライベート ネットワークを保護するため、Mobile Information Server コンピュータをルーターで区切られた別のサブネット (非武装地帯 (DMZ) とも呼ばれます) に配置し、ネットワークの残りの部分から切り離してください。DMZ 構成を実装する際は、別の NIC インターフェイスを使用して外部の境界ファイアウォールから切り離すことをお勧めします。ルーターでブロックしただけのファイアウォール ドメインの内部に DMZ を作成した場合、ネットワークが侵害を受ける可能性が高くなります。
今日、携帯無線デバイスにおいてさまざまな暗号化テクノロジが利用されていることから、MIS では各種の暗号化テクノロジを組み合わせたエンド ツー エンドでの暗号化接続を実現しています。予定表や連絡先、電子メールと Pocket PC との同期には、MIS はエンド ツー エンドでの 128 ビット SSL 暗号化を使用します。WAP 対応ブラウザを使用して閲覧を行うときは、Mobile Information Server は WTLS (Wireless Transport Layer Security) 暗号化を使用します。
ネットワーク暗号化オプション
インターネット経由、または無線ネットワーク経由で送信されるデータについては、ネットワークレベルでの暗号化オプションがあります。
データは、インターネットを使用して仮想プライベート ネットワーク (VPN) プロトコル (PPTP、IPSec など) を通じて企業サーバーに接続するときに、暗号化されます。Pocket PC 2002 では、ポイント ツー ポイント トンネリング VPN プロトコルがサポートされるようになりました (図 5 を参照)。その他、サードパーティでも VPN プロトコルをサポートしているほか、組み込みのパーソナル ファイアウォールも利用できます (詳細は以下の一覧を参照してください)。
さらに、Pocket PC は SSL (https) および PCT という暗号化テクノロジも備えており、これらは Web サイトへのセキュリティ保護されたアクセスを行う際に使用されます。
無線 LAN の接続性については、静的共有キー WEP (Wired Equivalent Privacy) アルゴリズムが既に文書化されており、カリフォルニア大学バークレイ校の研究者たちによって容易に突破されています。結果として、Pocket PC を使用して 802.11b 無線 LAN 経由で安全に接続するための代替手段が必要になってきています。今日では次に示す安全な代替手段が利用できます。
- VPN : この方法では、802.11b のアクセス ポイントから直接インターネットに接続できます。そして、Pocket PC 上の仮想プライベート ネットワーク ソフトウェアを使用してユーザーを認証し、組織のネットワークに対して強力に暗号化された接続を提供できます。
.gif "図 5: Pocket PC 2002 における VPN オプション")
図 5: Pocket PC 2002 における VPN オプション
- LEAP : この方法では、802.11b のアクセス ポイントを使用して組織の内部ネットワークに直接接続します。Cisco (英語) では、EAP-Cisco Wireless (LEAP) と呼ばれる EAP (Extensible Authentication Protocol) に基づく認証方式を提供しています。この方式では 802.1x のドラフト規格が基礎として使用され、無線 LAN のために必要な修正が加えられています。
Microsoft のネットワーク暗号化機能
40 ビット SSL (https) および PCT による暗号化機能が Pocket Internet Explorer Web ブラウザに組み込まれています。128 ビット SSL は High Encryption Pack for Pocket PC (英語) を使用して追加できます。
仮想プライベート ネットワーク プロトコル PPTP が Pocket PC 接続マネージャに統合されています。
Pocket PC 対応のネットワーク暗号化製品を提供している会社のいくつかを次に示します。
仮想プライベート ネットワーク
MovianVPN は IPSec プロトコルを使用して、Alcatel、Check Point、Cisco、Nortel、Radguard、および Symantec 各社の VPN ゲートウェイと連携動作します。
Check Point Software Technologies
VPN-1 Secure Client を使用すると、ユーザーはインターネット経由の安全な接続を確立できます。また、Windows Powered モバイル デバイスを攻撃から守るためのパーソナル ファイアウォールも備えています。
Pocket PC 対応の Wireless VPN クライアントは、WTLS 暗号化を使用します。
Web Portal ソリューション ポートフォリオは、Entrust VPN に関連する Pocket PC のインターネット セキュリティを提供します。
VPN と LinkSpy for Windows CE により、Windows Powered モバイル デバイス上で Windows 9x と同様の仮想プライベート ネットワーク アクセスが提供されます。
AdmitOne VPN Client for Pocket PC を提供しています。
Instant Broadband EtherFast Cable/DSL VPN Router 内蔵の IPSec コプロセッサにより、個々のコンピュータに IPSec VPN クライアント ソフトウェアをインストールすることなく、自宅や会社のネットワークにアクセスする際のデータのプライバシーを実現します。
AirBEAM Safe ワイヤレス VPN は、Symbol Pocket PC 対応モバイル アプリケーションのための "エンド ツー エンド" でのセキュリティを提供します。
SmartPass クライアント ソフトウェアは SmartGate VPN Server に接続します。
仮想プライベート ネットワークとパーソナル ファイアウォール
Check Point Software Technologies Ltd.
VPN-1 Secure Client を使用すると、ユーザーはインターネット経由の安全な接続を確立できます。また、Windows Powered モバイル デバイスを攻撃から守るためのパーソナル ファイアウォールも備えています。
ワイヤレス ネットワーク インフラストラクチャ
Wireless Web Accelerator は、パフォーマンスに影響を与えることのないセキュリティ保護された無線接続、データ圧縮、およびコード転送のサポートを提供します。
Globility Access は、企業、ASP、および電子ビジネスと、Microsoft Exchange を使用している従業員、顧客、およびパートナーとを結び付ける、安全な専用グローバル ワイヤレス データ ソリューションです。
NetMotion ネットワーク インフラストラクチャ ソフトウェアは、暗号化された無線 LAN および WAN 接続を提供します。
ViaXML は、インターネット経由で断続的に接続するクライアント/サーバー アプリケーションや Web サービスなどの、ワイヤレス モバイル アプリケーション開発に使用します。
WISP は、暗号化と圧縮がなされた、CDPD ワイヤレス ネットワーク経由のインターネット アクセスおよびビジネス ソリューション (CRM、金融、医療、保険など) を提供します。
セキュリティ管理
モバイル コンピューティングの基準を設定するまでは、組織でセキュリティ ポリシーを適用することは困難です。モバイル デバイスの基準が確立されれば、企業全体にわたる導入の集中管理を支援するツールが利用できます。ここでは、IT 組織が自己のモバイル ユーザー顧客を効率よくサポートすることを可能にする、これらの支援ツール製品について説明します。
代替デバイス
デバイスの紛失や盗難が起きた際、モバイル ユーザーの立場から見れば、速やかに原状を回復することが第一の目標になります。認証および暗号化のためのセキュリティ ポリシーが適切に適用されていれば、紛失したデバイスを代替するための費用が発生するということ以外の大きな心配はありません。デバイスの電源をオンにしたときに所有者情報が表示されれば、デバイスを取り戻す可能性は十分にあります。
新しいデバイスを、紛失したデバイスの最後のバックアップ状態に速やかに設定できるようにするためには、いくつかの方法があります。
バックアップ ファイル : 後述する多数の製品を使用して、デバイスの完全バックアップを実行できます。一部のバックアップ ファイルは、データ保存用カードから新しいデバイスへ速やかに復元できます。バックアップからの完全な復元を必要としない場合は、AutoRun ユーティリティ (英語) を使用することで、データ保存用カードのアプリケーションを Pocket PC への挿入時に自動的にインストールするようにできます。Compaq iPAQ Pocket PC では AutoRun 機能をオフにできます ([スタート]、[設定]、[システム] タブの順に選択し、[自動起動] アイコンを選択します)。
PC 上のデータ : ActiveSync ソフトウェアを使用することにより、データを PC から新しいデバイスへ復元できます。
ネットワーク サーバー上のデータ : PC 接続のための ActiveSync のパススルー機能を使用することにより、新しいデバイスからネットワーク サーバーに接続してデータを同期化できます。
セキュリティ保護された組織 Web ページにおける復元プロセス : 新しいデバイスを設定するための手順を記載した、セキュリティ保護された Web ページを企業で提供できます。新しい Pocket PC では、 Sprite Clone (英語) などの製品を使用して作成したデバイスの標準イメージ ファイルをダウンロードできます。この方法で自動的にデバイス構成の中心部分を設定し、ビジネス アプリケーションや管理アプリケーションをすべてインストールした後、企業サーバーからデータを同期化できます。
Microsoft のバックアップ/復元機能
PC 上で実行される ActiveSync は、完全なデバイス イメージのバックアップと復元を実行できます。
これらは、デバイスのバックアップと復元を行う補助機能を提供するアドオン ソフトウェア ソリューションです。
デバイスのバックアップ
bUseful Utilities Pak 2.1 に含まれている bUseful Backup Plus は、デバイスの一部または全部を速やかにバックアップします。
iPAQ Pocket PC は組み込みのバックアップと復元の機能を備えています。
DAT Group では、データ保存用カードの Autorun 機能を使用して Pocket PC のマスタ イメージを保存および複製できるアプリケーションを、コンサルティング業務を通じて提供しています。
FlashBack Database Edition は、データベース ファイルをメモリまたは CF 保存用カードにバックアップします。
XTNDConnect は、資産管理、ソフトウェア配布、およびバックアップと復元の各種機能を Windows Powered モバイル デバイスに提供します。
コンサルティング業務を通じて、イベント発生時、トレーニング時、および企業導入時におけるモバイル デバイスの自動インストールを行います。
Pocket Backup は、Pocket PC のファイル、データベース、およびレジストリ設定の完全なイメージを、データ保存用カードやローカルのファイル システムに保存します。そして、そのイメージ全体、または個々のファイルやディレクトリをイメージから選択して復元します。
Sprite Clone を使用すると、企業は Pocket PC の完全なイメージ (ファイル システム、データベース、およびレジストリ設定) を取り込み、そのイメージを対象の Pocket PC にコピーできます。
Afaria は、Windows Powerd モバイル デバイスにおいて、ソフトウェアのインストールと保守、資産情報を取得する最新コンテンツの提供、システム パフォーマンスの監視、および、信頼性の高いバックアップを、すべて自動化します。
構成管理
システム管理製品を利用すると、デバイス設定やソフトウェアのバージョン レベルの追跡といった、モバイル デバイスの資産一覧管理機能を提供できます。これらの情報は、後で組織のネットワークに接続するときに更新や変更を自動的にデバイスに反映するのに使用できます。
集中管理セキュリティ システムを利用すると、組織はどのモバイル デバイスがいつ、どのような接続方法でネットワークにアクセスできるかを管理できます。これらのツールを使用すると、正しくないパスワードが何回入力された後にデバイスをロックダウンするのか、そして条件によっては、すべてのデータをデバイスから消去するのか、といったことに関するセキュリティ ポリシーを適用できます。
次に示す製品は、組織のセキュリティ ポリシーの適用を自動化する集中管理機能を提供します。
システム管理
Unicenter TNG は、イベント管理、資産管理、ソフトウェア配布、およびストレージ管理を行います。
XTNDConnect は、資産管理、ソフトウェア配布、およびバックアップと復元の各種機能を Windows Powered モバイル デバイスに提供します。
HP Toptools は、モバイル デバイスにおいて、資産一覧、ソフトウェアの更新、イベントおよびパフォーマンスの監視、リモート構成、セキュリティ管理などの諸機能を管理するのに役立ちます。Toptools は、HP の OpenView Network Node Manager、Computer Associates の Unicenter TNG、さらに Tivoli NetView および Enterprise Management に対して、デスクトップ管理インターフェイス (DMI) を提供します。
deviceRMS リモート管理サービスを提供しています。
Mobile Automation 2000 を提供しています (Microsoft System Management Server に組み込まれています)。
ManageFX は、ソフトウェア配布、リモート管理、およびデバイス管理のためのモバイル ソフトウェア サービスを提供します。
HPC NetProfile は、Pocket PC や Handheld PC に個々にインストールされたネットワーク アダプタについて複数の TCP/IP ネットワーク プロファイルを作成できる、ネットワーク ユーティリティ プログラムです。また、企業ネットワーク内のサブネット ドメイン間のすばやい切り替えも行えます。
AirBEAM Smart は、システムおよびアプリケーションの同期化を Symbol Pocket PC に提供します。
Synchrologic, Inc.
iMobile Systems Management は、ハードウェアおよびソフトウェアの資産一覧とソフトウェアのリモート インストール機能を提供します。
Tivoli Smart Handheld Device Manager は、ソフトウェアの配布、無線 WAN および LAN 接続、デバイスの検出、デバイス構成、およびダイナミックデバイスグループをサポートしています。ダイナミック デバイス グループは、変更管理とデバイス提供プロセスを自動化します。
PDASecure Policy Editor は、セキュリティ ポリシーを対象組織のすべての PDA ユーザーに適用するための集中管理機能を提供します。
ホスト型のデバイス管理サービスを提供することにより、新しいソフトウェアやデータを Pocket PC に自動配布し、各デバイスの構成や健全性に関する詳細情報をオンデマンド方式で管理します。
Afaria は、Windows Powered モバイル デバイスにおいて、ソフトウェアのインストールと保守、資産情報を取得する最新コンテンツの提供、システム パフォーマンスの監視、および、信頼性の高いバックアップを、すべて自動化します。
セキュリティの集中管理
PDA Defense は、デバイスのロックを解除するための試行回数を制限できます。最大試行回数を超えると、PDA Defense はすべての RAM データベースをビット単位で消去します。Enterprise 版では、最小パスワード長、英数字パスワード、パスワード変更に関する時間設定などのセキュリティ機能について、管理者がカスタマイズや事前設定を実行できます。
Check Point Software Technologies
不正なパスワードが事前に定義された回数だけ入力されると、このソフトウェアは機器をロック ダウンします。回復には IT 管理者によるサポートが必要になります。
PDASecure Policy Editor は、セキュリティ ポリシーを Pocket PC に適用するための集中管理機能を提供します。
ウイルスに対する防護
今日モバイル デバイスがウイルスに関して直面している最大の脅威は、モバイル デバイスを通じてウイルスが企業ネットワークに侵入するということです。これは、電子メール メッセージに添付されたファイルや、ネットワーク ファイル サーバーにコピーされたり貼り付けられたファイルを通じて発生する可能性があります。そのため、Microsoft ではウイルス対策ソフトウェアの関連各社と緊密に連携し、各社の製品が既知のウイルスの検出と除去をより容易に実行できるようにするためのプログラミング インターフェイスを提供しています。セキュリティ ソリューションの詳細については、デバイスでネイティブに動作するウイルス対策ソリューションを検討してください。次のようなウイルス対策製品が販売されています。
ウイルス対策ソフトウェア
InoculateIT はウイルス パススルー保護を提供しています。
Anti-Virus for Pocket PC は、Pocket PC デバイス上でローカルに動作するウイルス対策ソフトウェア ソリューションです。
VirusScan Wireless (日本国内ではソースネクスト社より、製品名「ウイルススキャンワイヤレス」として販売) はモバイル デバイスのためのウイルス セキュリティを提供します。
アプリケーションのロック ダウン
組織によっては、独自のセキュリティ要件を満たすために Pocket PC の機能の一部をオフにしたい場合があります。IT 組織は次の製品を導入することにより、Pocket PC の持つ赤外線やボイス レコーダーの機能をオフにできます。
アプリケーションの無効化
PDASecure は、赤外線によるデータの不正な放出を防ぐこと、またボイス レコーダーを無効にすることができます。
信頼されたシステムのためのデジタル署名
企業では、電子商取引 (e コマース) を遂行するため、またリモートのモバイル デバイスに配布されるソフトウェアやファイルを保護するために、信頼ベースのセキュリティ保護されたシステムを採用しています。公開キー基盤 (PKI) を利用すると、デジタル証明書の導入が可能になります。応用例としてはユーザー ログインのデジタル署名などがあります。また、Pocket PC に配布されるファイルやソフトウェアのデジタル署名にも応用できます。Pocket PC 向けに利用できる PKI ツールセットを次に示します。
公開キー基盤 (PKI)
Trustpoint PKI は、公開キー基盤 (PKI) を開発、導入して信頼管理ソリューションを構築するためのソフトウェア コンポーネント、製品、およびツールのセットです。
Passport PKI クライアント ソフトウェアは、Pocket PC および Windows CE 対応デバイスで動作します。
Trust-M PKI ツールキットを Pocket API と共に提供しています。
Gl・k & Kanja Group
CryptoEx Pocket は暗号化とデジタル署名をサポートしています。
シン クライアント アーキテクチャ
企業で扱うアプリケーションやデータによっては、それらのソフトウェアやデータをモバイル デバイス上に置かずに、モバイル ユーザーがアクセスできるようにしたい場合があります。医療や行政、金融サービス、製造など、縦のつながりを持ち、機密性の高いデータを扱う業界では、このようなシステムになる傾向があります。Pocket PC には、Windows Server 上で実行されるアプリケーションへのアクセスを提供する、ターミナル サービス クライアントが組み込まれています。モバイル デバイスの接続が断続的で、ソフトウェアの最新版を維持するためのコストを回避したいという企業では、このようなアーキテクチャが望ましいといえます。
Microsoft のシン クライアント テクノロジ
Pocket PC にはターミナル サーバー クライアント (RDP プロトコル) が組み込まれています。
次の各社からもシン クライアント製品が利用できます。
シン クライアント テクノロジ
Varadero Wireless Framework は負荷の非常に小さいシン クライアントとして、Visual Basic(ｮ)などのサーバー ベース アプリケーションのための共通の開発ツールを使用しています。
Pocket PC 対応の ICA シン クライアントを提供しています。
世界各国に配備するための暗号情報
Pocket PC 2002 デバイスを世界各国に配備する場合、輸出手続き書類の作成の際にこの暗号化セキュリティ情報が役立つことがあります。
機密性 : SSL2、SSL3、SSL3.1 (TLS 1.0)
- キー長 : 40 ビット、128 ビット (High Encryption Pack for Pocket PC 搭載)
整合性 : MD5、SHA-1 ハッシュ アルゴリズム
認証 : NTLM 認証 (LanMan)、CHAP、PAP、MSCHAP (PPP/RAS)
否認防止 : 該当なし
アクセス制御 : 該当なし
まとめ
セキュリティのニーズは組織によって異なりますが、ツールやテクノロジはノートブック、PDA、携帯電話のどれでも同様です。Pocket PC は、組み込みの機能と、サードパーティ製のソフトウェアや周辺装置を組み合わせることにより、ノートブック PC と同様のセキュリティ オプションを実現します。Pocket PC プラットフォームの機能が充実するほど (マルチタスク オペレーティング システム、処理能力の向上、クロック速度の高速化、データ記憶の大容量化、接続オプションの広帯域化など)、他のモバイル デバイスよりも高度なセキュリティ機能が利用できます。
組織において 1 組の明確なセキュリティ ポリシーを作成し、技術上重要なコンポーネントを自動化して、矛盾のない慎重な実装を確実に行うことが重要になります。Pocket PC は、企業が自らのビジネス アプリケーションをセキュリティで保護された方法で標準化できるプラットフォームを提供します。
このドキュメントに記載されている情報は、このドキュメントの発行時点におけるマイクロソフトの見解を反映したものです。変化する市場状況に対応する必要があるため、このドキュメントは、記載された内容の実現に関するマイクロソフトの確約とはみなされないものとします。また、発行以降に発表される情報の正確性に関して、マイクロソフトはいかなる保証もいたしません。
このホワイト ペーパーは情報の提供のみを目的としており、明示または黙示に関わらず、これらの情報についてマイクロソフトはいかなる責任も負わないものとします。
お客様は著作権に関する法律を遵守する必要があります。このドキュメントのいかなる部分も、米国 Microsoft Corporation の書面による許諾を受けることなく、その目的を問わず、どのような形態であっても、複製または譲渡することは禁じられています。ここでいう形態とは、複写や記録など、電子的な、または物理的なすべての手段を含みます。ただしこれは、著作権法上のお客様の権利を制限するものではありません。
© 2002, Microsoft Corp. All rights reserved.
Microsoft、ActiveSync、Windows、Windows NT、および Visual Basic は米国 Microsoft Corporation の米国およびその他の国における登録商標または商標です。
記載されている会社名、製品名には、各社の商標のものもあります。