WEBサイトを構築するのですがセキュリティについてアイデアをください。

このサイトは特定のユーザーしか使わないサイトです。(全国で1000名程度)
PCのみの利用を考えています。

SSLとFWつけて、サイト側もログイン認証を設ける形でサイト構築しようと思いますが
もうひとつ何かを加えることでセキュリティ強化をしたいと考えています。


たとえば、クライアントには特定のソフトか証明書のようなものがないとアクセスできない。
とか、そういうことはできないものでしょうか。
またそのほかにもアイデアや事例があれば教えてください。

予算があまりありませんのでできるだけ安価(初期費用~30万ぐらい 月額1万円ぐらいまで)で教えてください。

回答の条件
  • URL必須
  • 1人2回まで
  • 13歳以上
  • 登録:2010/12/15 11:25:06
  • 終了:2010/12/15 19:24:02

ベストアンサー

id:b-wind No.3

b-wind回答回数3344ベストアンサー獲得回数4402010/12/15 12:32:53

ポイント20pt

クライアント証明書発行サービス【セコム】

そのまんまだけど、SSLのクライアント証明書を使用するという手がある。

オンラインバンキングの企業版などでは良く見るね。


ただ、基本的にはクライアント証明書の発行数によって料金がかかってくるので

その予算だと証明書自身は各ユーザーに取得して貰うか、証明局を作成して

自分で発行する(いわゆるオレオレ証明書の類)ぐらいしかなさそうだけど。


もうひとつ何かを加えることでセキュリティ強化をしたいと考えています。

漠然とセキュリティの強化と考えると予算はいくらあっても足りないよ?

まず、自身がどういう情報を扱ってどの程度のセキュリティが確保されるのを期待しているのか

を明確にしてからでないと回答は難しいと思う。


ある程度割り切りが付けばアプリケーションの作りだけで解決する事も多いし。

id:pinkymonk

ありがとうございます。

セキュリティに際限がないのは理解しているつもりです。

絶対に空き巣に進入されない家作りをするようなものですよね。

ただ、現状大多数が使っているセキュリティ対策を、さらにひとつアクセントを加えることで

ユーザーの安心感と、悪意ある第三者に対して心理的、技術的に少し壁を高くすることで

悪意ある攻撃にさらされるリスクは軽減されると思っています。

おれおれ証明書がよさそうです。

2010/12/15 19:20:38

その他の回答(4件)

id:Galapagos No.1

Galapagos回答回数963ベストアンサー獲得回数892010/12/15 11:54:31

ポイント20pt

>クライアントには特定のソフトか証明書のようなものがないとアクセスできない。

>とか、そういうことはできないものでしょうか。

クライアント証明書を使えばできます。


PacketiX VPNを使ってVPNトンネルを生成するという方法もあります。

id:pinkymonk

ありがとうございます。

2010/12/15 19:13:19
id:kia_44 No.2

きあ回答回数396ベストアンサー獲得回数302010/12/15 12:23:52

ポイント20pt

アイディアってことで

入り口が固定されていない仕組み

登録されたメールアドレスから、空メール送信で入り口となるURLが届く仕組み。


専用ブラウザしか使えない仕組み

ウェブブラウザを専用で作成、そのブラウザ以外のアクセスを拒否する仕組み。


なんてどうですか。

URLはダミーです。

http://q.hatena.ne.jp/

id:pinkymonk

ありがとうございます。

専用ブラウザですか。

僕の周りにも新人研修のカリキュラム考えてる時に新人にブラウザ作らせろって

言ってる人がいましたが、IEのエンジン使って肉付けするのですよね。

面白そうです。

検討してみたいとおもいます。

2010/12/15 19:23:00
id:b-wind No.3

b-wind回答回数3344ベストアンサー獲得回数4402010/12/15 12:32:53ここでベストアンサー

ポイント20pt

クライアント証明書発行サービス【セコム】

そのまんまだけど、SSLのクライアント証明書を使用するという手がある。

オンラインバンキングの企業版などでは良く見るね。


ただ、基本的にはクライアント証明書の発行数によって料金がかかってくるので

その予算だと証明書自身は各ユーザーに取得して貰うか、証明局を作成して

自分で発行する(いわゆるオレオレ証明書の類)ぐらいしかなさそうだけど。


もうひとつ何かを加えることでセキュリティ強化をしたいと考えています。

漠然とセキュリティの強化と考えると予算はいくらあっても足りないよ?

まず、自身がどういう情報を扱ってどの程度のセキュリティが確保されるのを期待しているのか

を明確にしてからでないと回答は難しいと思う。


ある程度割り切りが付けばアプリケーションの作りだけで解決する事も多いし。

id:pinkymonk

ありがとうございます。

セキュリティに際限がないのは理解しているつもりです。

絶対に空き巣に進入されない家作りをするようなものですよね。

ただ、現状大多数が使っているセキュリティ対策を、さらにひとつアクセントを加えることで

ユーザーの安心感と、悪意ある第三者に対して心理的、技術的に少し壁を高くすることで

悪意ある攻撃にさらされるリスクは軽減されると思っています。

おれおれ証明書がよさそうです。

2010/12/15 19:20:38
id:tama213 No.4

tama213回答回数486ベストアンサー獲得回数302010/12/15 13:13:13

ポイント20pt

SSLのクライアント認証を利用すると可能です。

PCにそのサーバー用のクライアント証明書を入れないと

その際とのSSLにはアクセスできなくなります。

http://q.hatena.ne.jp/answer

id:pinkymonk

ありがとうございます。

2010/12/15 19:13:29
id:mahbo No.5

mahbo回答回数87ベストアンサー獲得回数02010/12/15 17:49:09

ポイント20pt

クライアント証明書を使うのが定番だと思います。

クライアント証明書は、プライベート認証局を用意して独自の基準で発行する方法と、パブリック認証局からその基準で発行された物を入手する方法が有ります。前者の場合は運用費用、後者の場合は購入費用が必要だと思われます。

なおStartSSL Free (Class 1)はクライアント証明書として利用可能で無料で入手可能です。

http://www.startssl.com/

id:pinkymonk

ありがとうございます。

StartSSLも捨てがたいですね。

2010/12/15 19:21:02
  • id:mahbo
    5です

    「ユーザーの安心感」に繋がるかどうか判りませんが、StartSSL Free (Class 1)はS/MIME証明書として利用できます。一般的なメールソフトではS/MIMEに対応しているものが多いので、それらにこの証明書を組み込む事で、そのユーザに対しては暗号メールが送信可能になりますね。

    またS/MIME証明書を組み込んだメールソフトからはデジタル署名を施したメールが送信可能になります。

    参考まで
  • id:b-wind
    >おれおれ証明書がよさそうです。
    おれおれ証明書ってサービス提供側が正しくセキュリティについて理解し、
    エンドユーザーにそのことを正確に理解させる事が出来無ければ
    むしろ脆弱性になるんだけどな。
    企業内利用とかでないかぎりお勧めはしない。

    http://daybook.biz/2010/05/14/startssl1/
    サイトが英語なのが難点だが、StartSSL は仮にも Windows の証明書ストアに入っている物だから
    「おれおれ証明書」よりはよほど有効。
  • id:mahbo
    5です。

    > 企業内利用とかでないかぎりお勧めはしない。

    そうですねぇ。1000名となればプライベートCAとしては小規模とは言えないと思いますし、片手間では難しいと思います。

    独自のポリシーで運用できるというのはプライベートCAの利点です。例えばStartSSL Freeはメールの到達性で認証しますので、逆に言えばそのメールアドレスと件のサイトのユーザアカウントが何らかの形で紐づいていなければ、StartSSL Freeをクライアント認証に用いる事はできないかも知れません。プライベートCAなら別の認証方法で発行する事も可能とは言えます。

    しかしながら、セキュリティを真面目に考えると一般的にCAの運用は非常に手間暇の掛かるものと思います。1000名が利用するのなら、そのCAがどのようなポリシーで証明書を発行するのかという事をきちんと利用者に明示するためCP/CPSを定義して公開すべきと思います。プライベートCAが独自のポリシーで運用できるという事は、どういうポリシーで運営されるCAなのかは説明が無い限り判らないという事ですし。
    CA証明書やクライアント証明書の秘密鍵の取扱い方、秘密鍵が漏洩した場合の対処、その為の責任や手間隙を自ら掛けるか、それともパブリックCAにアウトソースするかという違いかも知れませんね。
  • id:pinkymonk
    いろいろとありがとうございます。

    他チームも含めて全国1万人規模になりそうで、
    採算ベースに乗りそうなので専門家あつめて「おれおれ証明書」の方向で


    管理も専任を付けて運用していくことになりそうです。

    もちろん、これからもっともっと検討ですが。。


    ありがとうございました。

この質問への反応(ブックマークコメント)

「あの人に答えてほしい」「この質問はあの人が答えられそう」というときに、回答リクエストを送ってみてましょう。

これ以上回答リクエストを送信することはできません。制限について

絞り込み :
はてなココの「ともだち」を表示します。
回答リクエストを送信したユーザーはいません