ゼロトラストネットワーク 第2版 ―境界防御の限界を超えるためのセキュアなシステム設計

6章

アイデンティティの信頼

　ユーザーの信頼は、デバイスの信頼と同一視されがちです。セキュリティ意識の高い組織では、パスワードよりも強力な資格情報としてユーザーのデバイスにX.509証明書を配布することがあります。しかし、果たして、デバイス証明書がユーザーを強力に識別していると言えるのでしょうか？実際にキーボードの前にいる人物が認証したいユーザーであることをどうやって保証するのでしょうか？デバイスが、ロック解除のまま放置されていた可能性はないでしょうか？

　ユーザーのアイデンティティをデバイスのアイデンティティと同一視することによって生じる問題は、ユーザーが複数のデバイスを持っている場合でも発生します。複数デバイスの所持はますます一般的になってきていますが、複数のデバイス間で資格情報を使い回す必要が多く、必要性から、むしろ漏洩のリスクを高めています。逆に、キオスク端末を使用するネットワークのように、デバイスの機能に応じて異なる資格情報が必要となるケースもあります。

　ゼロトラストネットワークでは、ユーザーをデバイスとは別に識別し、信頼します。ユーザーの識別にデバイスの識別と同じ技術を使用することもありますが、これらは明確に異なった2つの資格情報であるべきです。

　この章では、ユーザーを識別し、そのアイデンティティを保存することの意味を探ります。ユーザーをいつどのように認証するかについて説明します。ユーザーの信頼は複数の人が関与している場合に強くなることが多いため、グループの信頼を構築する方法と、セキュリティ文化を醸成する方法について説明します。

6.1　アイデンティティの中央機関

　すべてのユーザーはアイデンティティを持ち、それはユーザーがどのようにコミュニティ内で認識されているかを表します。ネットワークシステムの場合、ユーザーのアイデンティティは、そのシステムの中でどのように認識されるかを意味します。 ...