実現とは？
|
11月14日（水)19時より、厚木文化会館４F集会室にて、岡田克也副代表（元代表）の講演会が行われ、300人弱の人がお越しになる大盛況となりました。立ち見の方、会場に入りきれなかった方にはご迷惑をおかけしました。 この講演会が行われることが決まってから3週間ぐらいしか準備期間がなく、当日どのぐらい人が集まるのか不安でした。いい意味でも悪い意味でも民主党に対する注目が高かったこともあったのでしょうか、初めてお会いする方々もたくさんお越しになってくれました。ありがとうございます。 司会者からの「解散はいつだと思いますか」、「民主党に政権担当能力はあるのか」といった容赦ない質問を岡田副代表とごとう祐一が交互に答えていく対談形式で行われ、岡田副代表の真摯な答え振りが印象的でした。 その後、会場からの「若者のワーキングプアの実態を分かって政策を作ってほしい」、「ガソリン税を下げるべきだ」といった数多くの質疑応答も行われました。ただ政治家の話を一方的に聞くよりも、このような双方向のやりとりの方が、聞いていて面白いと思います。 ちなみに最後の質問の方は相当厳しい口調でおっしゃられたのですが、岡田副代表からは「現在党内で検討中だが、地球温暖化税という形にして従来の税率を維持し、道路特定財源は一般財源化する方向」との答えでした。厳しい質問にもぶれないのが岡田副代表らしく、勉強になりました。 多くの国民に少なからず混乱、失望をもたらしたのは正直残念ですが、私としては一喜一憂せず地道な活動を続けて参ります。 小沢代表は「１大連立」を経た方が「２政権交代」につながりやすいと考えたのだと思いますが、夏の参院選で安倍政権にお灸を据え、民主党に期待した多くの国民に対し、大連立は裏切りであり、あくまで「２ 政権交代」だけを目指していくべきです。 �‖舅⇔� ：与党となって全ての法案を国会提出前に合意するとともに、民主党から大臣を出す（今の公明党と自民党の関係） ��政策協議：与党とはならず、法案ごとに賛成するものは合意し、反対するものは参院で否決する。「是々非々」 民主党は、全ての法案で反対を貫き、国政をストップさせ、福田政権を窮地に陥れることもできますが、これは政権を担う政党の取るべき態度ではないと思います。 上の３つの中で、�‖舅⇔�や��閣外協力は国民の理解が得られないと思いますが、��政策協議、つまり、個々の法律ごとに賛成できるものは民主党の意見も踏まえてもらいながら合意を図っていくことが、二大政党制におけるあるべき野党の姿ではないでしょうか。 実際、おととい（11月6日）には、被災者支援法案（震災で家を失った方々を支援する法律）について民主党と自民党で合意が成立しました。 二大政党制の下でどうやって国民にとって役に立つ政治を実現していくか、今はその発展段階にあり、まさに民主党はそこが問われているのだと思います。 12月７日（金）19時、「ミスター年金」長妻昭衆院議員が「ラクアルオダサガ」（小田急相模原駅直結の再開発ビル）で講演会を行います。 |
[ 36] ごとう祐一 実現男ブログ
[引用サイト] http://www.jitsugen.jp/
|
「第1回 Webサービスのセキュリティ概要」ではWebサービス・セキュリティのフレームワークについて、「第2回 XML鍵管理サービスとXMLプロトコル」は鍵情報の登録と検証を外部のサービスに依頼する仕組みであるXKMSと、これらの情報を伝達するためのXMLプロトコルSOAPについて述べた。 今回はシングルサインオン（SSO）や、それに続いて属性情報やアクセス制御情報を伝達するプロトコルSAML（Security Allianceの仕様や、マイクロソフトの.NET Passportに用いられる基本的な技術として注目されているものである。さらにSAMLの上できめの細かなアクセス制御を行うための記述言語XACML（eXtensible 今回は、前半でSAMLの概要とその利用法について述べ、後半にSAML要求／応答プロトコルとアサーションの構文およびメッセージングプロトコルSOAPやHTTPへのバインディングについて解説する。 関連する多くのWebサイトやページにアクセスするとき、それぞれから独立した認証を求められるのでは極めて面倒であるばかりではなく、それぞれのIDやパスワードを個別に覚えておくことは難しい。例えば、旅行の予約を取る場合、航空会社やレンタカー会社、ホテルのWebサービスがそれぞれ別の認証を求めてくるのでは利用者にとって極めて不便である。一度航空会社のWebサイトで認証されたら航空会社と連携しているレンタカー会社やホテルのWebサイトにはSSOでアクセスできると便利であろう。 従来このようなSSOは、認証クッキーを使って実現してきた。しかし、認証クッキーは同じクッキードメイン内でのSSOに制限されている。SAMLはクッキーを用いず、またクッキーの持つ制限を超えてグローバルなSSOとより強力なセキュリティを可能にするメカニズムを提供する。Libertyの仕様やマイクロソフトのPassportに多くの注目が集まるのも、企業間のそれぞれ独立したサービスをグローバルなSSOで連携させることが可能になるからである。 本来Webアプリケーションはページ間やWebサイト間でまったく情報を共有しないステートレスなサービスで、この特徴が多くのアプリケーションをシンプルにし爆発的な普及を促してきた。しかし実際の業務アプリケーションにはページ間やWeb間で状態を共有したいという要求がある。クッキーは、この要求に対してアプリケーション間で直接情報を共有するステートフルな仕掛けを提供するのではなく、状態情報を保持したクッキーを、ブラウザを介して伝達することによって異なるページやWebアプリケーション間で状態を共有する仕掛けを提供する。 この方法はシステムをシンプルにしたままの状態で共有させる極めて有用な仕掛けである。クッキーによるSSOは認証クッキーの伝達により実現されている。しかし、クッキーはその伝達範囲が同じ認証ドメイン内に制限されている。またクッキーは伝達する認証クッキーをブラウザにキャッシュすることができるため、この認証クッキーを第三者が不正使用してなりすましを許す可能性があることからセキュリティ上の問題が指摘されてきた。 SAMLはクッキーを用いず、クッキーの柔軟性を継承し、クッキーの持つスケーラビリティの制限とセキュリティ問題を解決することを目指して設計された。SAMLの第1の目的は柔軟でかつ強化されたセキュリティのSSOを実現することである。しかし、実際のセキュリティアプリケーションでは、認証の後に利用者の資格などの属性によってアクセスできるページやWebサイトを制限したり、また与えられたアクセス権限により資源へのアクセスを制御するいわゆる認可サービスが必要である。SAMLには認証情報伝達サービス（Authentication SAML仕様はPKIのセキュリティ環境での利用のみを前提にしたものではなく、セキュリティを強化したID／パスワードから対称鍵を使った認証までを扱うことができる幅の広いものとなっている。しかし、SAMLにPKIを導入することによって強力なセキュリティを持つSSOと柔軟で強力な属性制御を実現できるのである。またSAMLは、次回に述べるXACMLと結合することによって、きめの細かなポリシーによる極めて柔軟で拡張性の高いアクセス制御のメカニズムを提供する。 SAML標準の1つの目的は、異なるベンダのアクセス制御製品間の相互運用性を推進することである。現状では異なるベンダ製品ですでに大規模に展開されたサイト間でのSSOを実現することが難しい。しかし、SAML標準を実装したアクセス制御製品間では連携SSOが可能となる。Liberty the Advancement of Structured Information Standards）によって2002年5月に以下のような最終段階の仕様書群が発表されている。これらの仕様書は背景にあるセキュリティ技術を抽出して記述したもので、この仕様書だけを直接読んでも分かりにくい。従って、本稿ではこれら仕様書を単に解説するのではなく、SAMLがどのように使われるのかが見えるように記述することに努める。SAMLスキーマ仕様や関連する仕様の正確な情報は以下の一連の仕様書を参照してほしい。 以下の解説で使用するSAML特有の術語を定義しておくことにする。これはSAML仕様書のGlossaryで定義しているものの一部である。同じ用語でもPKI用語とニュアンスを異にするものもあり、また異なる用語でも似た内容を持っているものもあるので注意する必要がある。 翻訳しづらい用語であるが、アサーションとはSAMLオーソリティによって発行され、対象とする主体の認証や属性あるいは資源に関する認可権限の証明である。PKIの公開鍵証明書と違って長期の有効期限をもたず、アサーションの有効期間は短期（数時間）で、問い合わせに対してオーソリティが応答として返すものである。 オーソリティ には認証オーソリティ、属性オーソリティ、ポリシー決定点の3つがあり、問い合わせにその正当性を証明する応答（アサーション）を返すシステム･エンティティである。 ここで認証オーソリティはPKIでいうCA（Certification Authority）ではない。認証オーソリティは主体（Subject）に関する問い合わせに対しその本人性（Identity）を確認するため、背後の認証環境（パスワードファイル、KerberosトークンやPKIの証明書）を検証して本人性を証明する「認証アサーション」を発行する信頼できるサーバである。 また属性オーソリティもX.509でいう事前に属性証明書を発行するAA（Attribute Authority）とは異なり、認証を受けた主体に関する問い合わせに対し、「属性アサーション」を発行する信頼できるサーバのことである。 ・ 認証オーソリティ（Authentication Authority）はユーザーの認証を証明するもので、PKIのCAの機能を提供するものではなく、（例えばCAの発行した証明書などを検証して）認証権限の許可をアサーションとして返す。 ・ 属性オーソリティ（Attribute Authority）はユーザーの登録された属性情報の証明をアサーションとして返す。 ・ ポリシー決定点（Policy Decision Point：PDP）はPEPの要求に対してユーザーのPolicyに従ったアクセス制御の権限が何であるかの証明をアサーションとして返す。 SAMLはセキュリティ情報交換のためのXMLベースのフレームワークであり、要求と応答のプロトコルと応答に含まれるアサーションの構文仕様を定めたものである。このセキュリティ情報は対象とする主体（Subject：人またはコンピュータ）のあるセキュリティドメインにおける認証情報や属性情報や認可情報をアサーションの形式で表現する。SAMLオーソリティには以下の3つがあり、要求者の問い合わせに対して、以下の提供を行う。 認証オーソリティは認証情報の再利用（SSO）を可能にする「認証アサーション」を提供する 認可決定オーソリティはポリシーで定めた規則に従った「認可決定アサーション」を提供する アサーションの提供を受けた要求者は、これらのアサーションをそれぞれのポリシーを実行するアプリケーション（PEP：Policy Enforcement 図1にSAMLのフレームワークを示す。図に示すようにSystem Entity（主体のクライアントまたはクライアントからアクセス要求を受けたサーバ）は、 まずSAML 認証オーソリティにSAML認証要求としてクレデンシャル（パスワードや鍵情報など）を示す。 認証オーソリティは認証ポリシーや外部の認証環境（PKIなど）を検証して、主体の本人性を証明する認証アサーション（Authentication 次にこの認証アサーションを属性オーソリティまたはPDP（Policy Decision Point）に示して認可権限を問い合わせる。 属性オーソリティはポリシーに沿った主体の資格などの属性アサーションを発行し、PDPに主体のアクセス権限を問い合わせる。PDPはあらかじめ登録された認可権限をポリシーデータベースから検索して属性決定アサーションを発行し、実際にアクセス制御を行うPEPに渡しアプリケーション要求に沿ったWebページへのアクセスや資源へのアクセスを実行させるのである。 図1に示した3つのSAMLオーソリティはいつも必要というわけではない。SSOを実現するだけなら、認証オーソリティを用いるだけでよい。しかし、属性や認可制御を行うためには、本人の確認を必要とするため、認証オーソリティの認証アサーションを属性オーソリティやポリシー決定点に必ず提示しなければならない。 SAMLオーソリティは、特定の認証のモデル（パスワードベースやKerberosやPKIベースなど）を仮定していない。しかし、SAMLをPKI環境で用いることで強力なセキュリティを提供できる。SAML認証オーソリティは主体の本人性の問合せに対して、主体のクレデンシャル（公開鍵証明書など）を検証し、応答のアサーション（Assertion）でその主体の本人性（Identity）を証明する。SAML認証オーソリティの背後には前回述べた鍵情報を検証するXKMSなどを使うこともできる。SAML属性オーソリティやポリシー決定点の背後にもPKIベースの属性証明書を使うこともできる。 またアサーションにデジタル署名を付けること、オーソリティへの問い合わせやその応答にデジタル署名を付けることでそれらの完全性や発信者の真正性を確認できる。 このように、PKI環境でSAMLを用いるとPKIとPMIを融合した強力なセキュリティ環境が提供できる。 SAMLの主要な利用法にはシングルサインオン（SSO）がある。また属性や認可情報を使ったRoleベースやRuleベースのアクセス制御への利用が可能である。ここではいくつかの典型的な利用例について述べる。この利用例はSAML仕様の補助ドキュメントとして「OASIS SSOの概念は図2に示すように、Webユーザーは最初にソースWebサイト（認証オーソリティ）で認証を受ける（Step1）。その後この認証情報を用いてほかのWebサイトに再度認証することなくアクセスできる（Step2）。 SSOにはSAMLを用いると以下の2つのモデル（PullモデルとPushモデル）が考えられる。Pullモデルはアクセス要求を受けたサイトが主体の認証情報をオーソリティに問い合わせるモデルであり、Pushモデルは要求者の依頼でオーソリティがアクセス予定のサイトに認証情報を事前に伝えるモデルである。例えていえば、Pullモデルは知らないユーザーがeコマースに購入要求してきたら、eコマースサイトはこのユーザーが本当に正しい権限を持っているかをクレジット会社に問い合わせるもので、Pushモデルは問い合わせユーザーの認証情報をクレジット会社が事前にeコマースサイ ソースWebサイトはWebユーザーのために目的Webサイトへアクセス権限を証明するアサーションを出す（Push）。 目的Webサイトはアクセスを許可したソースWebサイトへアクセス決定の参照先を提供する。 ソースWebサイトはWebユーザーに決定の参照先を提供し、目的Webサイトへのリダイレクトを促す。 PEPはPDPに問い合わせ、Webユーザーのアクセス権限をチェックし、資源へのアクセス制御を実行する。 このモデルは図6に示すような1つのセキュリティゾーン内の認可手順に示される。Webユーザーはセキュリティシステムで認証した後に、Webサーバへ動的な資源を要求する。Webサーバはアプリケーションにユーザーの認可の権限をチェック出来るように認証情報を提供する。 このモデルではセキュリティシステムはユーザーのクレデンシャルを収集し、SAMLオーソリティ（認証オーソリティや属性オーソリティおよびポリシー決定点）として機能する。アプリケーションはPEPとしての機能を持つ。 OpenIDをとりまくセキュリティ上の脅威とその対策 （2007/11/20） さまざまなWebサービスが対応を表明し、より身近な技術となったOpenID。ところで、OpenIDのセキュリティ対策はどうなっているのでしょうか トラブルシューティングはCentOS 5におまかせ （2007/11/15） リリースから半年が過ぎたCentOS 5、もう使っていますか？ これにはSELinuxの運用をもっと楽にしてくれる便利なツールが追加されています ヘルスチェックしてる？ 怠ってはならないDNSのケア （2007/11/9） DNSやDHCP、安定稼働しているからといって放っていたりしませんか？ ネットワークを支える要となるサービスにもう一度注目しよう 脆弱なホストを狙った不正中継を見抜く （2007/11/7） 攻撃者は設定ミスや脆弱性を残しているマシンへどのように攻撃してくるのか？ 踏み台にされないために、その見抜きかたを知っておこう ホワイトペーパー利用者に「Amazonギフト券」を抽選で100名様にプレゼント！――TechTargetジャパン リニューアル・キャンペーン ＠ITトップ｜Security&Trustフォーラム トップ｜会議室｜利用規約｜プライバシーポリシー｜サイトマップ |
[ 37] ＠IT：強力なSSOを実現するXML認証・認可サービス（SAML） - Page1
[引用サイト] http://www.atmarkit.co.jp/fsecurity/rensai/webserv04/webserv01.html
