ワンタイムパスワード認証システム
WisePoint Shibboleth

 WisePoint Shibbolethとは

IDとパスワードの認証は、様々なアプリケーションやクラウドサービスを使っている現代において、情報セキュリティを保つ上で非常に重要です。

さらに、昨今では働き方改革により、在宅勤務やテレワークが推進されており、働き方の多様化に伴い、モバイル環境において、ノートPCはもちろん、スマートフォンやタブレット等、様々なデバイスをビジネスで使うことが増えてきました。

このような状況において、多くの企業や組織が、アプリケーションやサービス、デバイスの増加によって、IDとパスワードの管理に苦労しています。どうしても推測できる単純なものにする、複数のアプリケーションやサービスで同じものを使いこなす、長い間パスワードを変更しないなど、管理が緩くなりパスワードの漏洩リスクが高まります。

WisePoint Shibbolethは、ワンタイムパスワード、多要素認証、多段階認証により、本人認証を強化し、なりすましによる不正アクセスのリスクを大幅に軽減する情報セキュリティ・ソリューションです。

 

WisePoint Shibbolethでできること

多彩な認証オプション

• イメージングマトリクス認証
• マトリクスコード認証
• スマートデバイスID認証
• ソフトウェアトークン認証
• Jパスワード認証

 

一度の認証で複数のWebサービスにアクセス

• ユーザが様々な業務システムでそれぞれにID/パスワードを入力する手間を省きます。
• ユーザは複数のID/パスワードを管理したり、アプリケーション毎の定期的なパスワード変更が不要になります。
• 管理者は認証情報を一元管理でき、ユーザからのパスワード忘れの問い合わせ対応も軽減します。

 

クラウドサービスにも対応可能

SAMLに対応しているクラウドサービス、WebアプリケーションにSSO可能
（G Suite/Office 365/Salesforce/cybozu.com/desknet’s neo/box/学認…他）

 

SAML非対応の環境に簡単にSAMLの環境を構築可能

既存のSAMLに対応していない社内システムへもシングルサインオンができます。

 

認証強化でセキュリティ向上

• トークンレスワンタイムパスワード認証を標準装備
• 多要素認証にも対応
• サービスの重要度によって認証を追加したり、省略したりできます。

 

フィッシングや不正アクセス対策にも効果的

• クラウドサービスのログイン画面に、直接認証情報を入力しない運用
• 日本国内のアクセスに限る、などのアクセス制御も可能

 

WisePoint Shibboleth利用イメージ

 

認証方式

ブラウザベースのトークンレスワンタイムパスワード

イメージングマトリクス認証

• 憶えやすく忘れにくい絵柄・図柄で認証
• ユーザが思い出すのは自分で事前に決めた画像とその順番
• クリック方式でスマートフォンなどでも簡単に入力
• ログイン毎にイメージの位置情報が変化することで、ワンタイムパスワード認証を実現

 

マトリクスコード認証

• ユーザ毎にユニークな乱数表を用いた認証
• ユーザはサーバから指定された行列の数値を入力するだけ
• ログイン毎にチャレンジコードが変化することで、ワンタイムパスワード認証を実現
• 記憶と所有物による二要素認証
• ゲストユーザー用に一時貸し出しなどの対応も可能

 

Jパスワード認証

• 本人しか知らない既知情報を「質問(チャレンジ)」と「答え(レスポンス)」として登録利用できるので、覚えやすく忘れにくい認証方式
• 日本語(全角文字:漢字やひらがな)と英数字を利用できます
• パスワードに利用可能な文字数が英数字のみの認証と比べ増加するため、総当たり攻撃に強い耐性を発揮

 

GoogleAuthenticator認証

• モバイルアプリ「Google認証システム」で表示された確認コードを入力
• 事前に端末側に読み込ませるQRコード(秘密鍵)を社外では表示させない等の安全を保つ設定も有り
• TOTP方式のソフトウエアトークン認証

 

 

OneSpan DIGIPASS認証

• 表示されたワンタイムパスワードを入力するだけ
• 一定時間ごとにパスワードが変わるハードウエアトークンを使ったワンタイムパスワード認証
• ネットバンキングレベルの高いセキュリティ強度
• 記憶と所有による二要素認証

 

端末ID認証

• スマートデバイス端末ごとに固有に持たせたIDで端末を特定
• ユーザID入力の手間を省略
• 専用アプリ「WisePoint Brower」または「WisePoint Client」からアクセス
• iOS/Androidに対応

 

 

Kerberos認証 (Windowsログオン)

• Windowsログオンが成功するとWisePointの認証サーバが自動で認証をスキップします。
• Windowsにログオンすると、Webシステムのログインを省略できます。

 

アクセスコントロール

WisePoint Shibboleth-IdP

IPアドレスによる制御

接続元のIPアドレスによって認証を切り替えることができます。
例えば、社内からはID・パスワード認証のみ、社外からのアクセスにはワンタイムパスワード認証を追加して認証を強化することが可能です。

 

OSやブラウザの種類（ユーザエージェント）による制御

OSやブラウザの種類によって、認証方式を設定できます。
また、脆弱性のある古いOSやブラウザなどからのアクセスを制限することも可能です。

 

時間による制御

認証を利用できる時間を設定することができます。
設定した時間帯以外にアクセスしようとしても、認証ができないので、例えば、深夜や休日などの不正なアクセスを排除することができます。

 

SPによる制御

アクセスするSPによって認証を切り替えることができます。
例えば、グループウエアへはID・パスワード認証のみ、財務システムへはワンタイムパスワード認証を追加して認証を強化することが可能です。
また、事前に登録していないSPからの認証要求は受け付けません。

 

WisePoint Shibboleth-SP

ロール単位のアクセス制御

ユーザをロールに割り当て、各ロール毎にアクセス可能なWebサービスをコントロールします。

 

URL単位のアクセス制御

URLに応じて認証方式を変えたり、あらかじめ定義したURLパターンのアクセスを拒否することができます。

 

マルチテナント

• グループ会社などの共通の認証基盤としてご利用いただけます。
• テナントごとに異なる認証ポリシーを設定・管理することができます。
• テナントごとにLDAP/ADを持つ運用も可能
• DS（DiscoveryService：IdPを検索するシステム）の機能も搭載
  
• G Suiteのマルチドメインに対応
  G Suiteのログイン画面にメールアドレスを入力すると、IdPの認証画面にリダイレクトされますが、その際に、自動でドメインを判定して所属テナントの認証画面を表示します。（上記の所属組織を選択する画面を省略できる）

 

リバースプロキシ型SP

• WisePoint Shibboleth-SPはリバースプロキシサーバで、SPサーバとなります。
• SAML非対応の環境に簡単にSAML環境を構築することができます。
• リバースプロキシの情報セキュリティにおけるメリット
  直接インターネットに露出しないため、インターネットからの攻撃の影響を受けにくい

 

SSO機能（代理認証）

バックエンドのアプリの認証情報をキャッシュし、代理認証を実施します。
一度、バックエンドサーバの認証を実行すれば、WisePointが認証情報を自動で記憶します。

 

アクセスコントロール機能

ユーザをロールに割り当て、各ロール毎にアクセス可能なWebサービスをコントロールします。
各サービスの重要度に応じて、認証方式の設定が可能。

 

コンテンツフィルタ・コンテンツマスク

バックエンドのコンテンツの一部をWisePointで自動変換する機能です。
例えば、アクセスさせたくないリンクを表示させないようにすることができます。

 

ユーザポータル機能

ユーザ毎のパーソナライズ画面。各ユーザがアクセス可能なサービス一覧を表示。
ユーザ単位、ロール単位、システム全体に対してお知らせを表示することが可能です。

Office365認証強化

課題・問題

• クラウドサービスなので、ID/パスワードを知られてしまえば、第三者による不正アクセスされてしまうリスク
• ログイン画面を偽装するフィッシング攻撃のリスク
• 社内LDAP/ADとは別のアカウント管理の必要性

 

導入の効果

• 認証は社内の認証サーバで行うので、クラウド上で認証情報を入力する必要なし
• フィッシングサイトならば社内の認証サーバにリダイレクトしないので、普段と違う画面に気づきやすい
• シングルサインオンでアカウントの二重管理は不要

 

図：Office365との認証連携時の画面遷移

 

テレワーク時のセキュリティ対策と利便性の両立

• VMware社「VMware Workspace ONE」と、WisePoint Shibbolethの認証連携ソリューション
• 自宅や外出先から社内システム（仮想デスクトップ環境）への接続時は認証強化でセキュリティ確保

VMware Workspace ONEは、新たな「働き方」の実現を支援するデジタルワークスペースです。アクセス コントロール、アプリケーション管理、マルチプラットフォームに対応するエンドポイント管理を統合し、PCはもちろんiOS、Android、Windows 10など異なるOSを搭載した多様なモバイルデバイスから、社内システムに安全にアクセスすることが可能となります。

 

WizePoint ShibbolethとWorkspace ONEとの連携イメージ図

認証及び、シングルサインオン（SSO）機能は、ユーザのアクセス権限情報をメンテナンスしなければ、利用できません。

企業や組織は、人事異動や組織改編、出向や転籍、入社や退社など、多くの人事イベントが発生するため、ユーザのアクセス権限情報のメンテナンスが煩雑になり、とても人手では対応できません。SyncTrustは、各種アプリ・AD・クラウドサービス等の対象システムに対してアカウント情報の連携を行い、さらにアクセス権限情報をWisePointに連携することが可能であり、これを導入することにより、ユーザは人事異動発令日から認証・SSO機能を利用できるようになり、情報システム部門の業務合理化による働き方改革を実現し、アクセス権限設定の自動化により情報セキュリティが向上します。

対応プラットフォーム	Red Hat Enterprise Linux ver.7
クライアントOS	Windows／MacOS／iOS／Android
ブラウザ	GoogleChrome／FireFox／Safari／Edge／Internet Explorer
対応DB	PowerGres ver9.4(バンドル) Oracle10g以降（有償）
HW推奨スペック	CPU：2.2GHzクラス以上 Memory：8GB以上

 

※最小構成は2台構成となります。クラスタ構成をとる場合は、H/Wは各2倍となります。
※仮想化環境に対応
※クラウドサービス（AWS等）上での構築も可能
※サーバにはSSLサーバ証明書が必要となります。