第6回　七つの疑問に答える（3）：暗号化された通信もチェックできるの？

日経NETWORK

2007.12.10

　管理者の立場でセキュリティをできるだけ強化しようと考えるなら，「暗号化されたパケットの中身までチェックできるかどうか」というのは気になるところだ。UTMの中には，米セキュアコンピューティングの「Sidewinder G2」のように，SSLのような暗号化して通信する場合でも，パケットの中身をチェックできるものがある。どのようなしくみになっているのかを見ていこう。

UTMがSSLのサーバーにもなる

　UTMでSSL通信の中身をチェックする方法を知るには，まずSSLによる通信のポイントを押さえておく必要がある。SSL通信では，最初にサーバーが正しいかどうかを認証し，正しいと確認できたら暗号化通信を始める。これら二つの作業に必要なのが，サーバーの証明書だ。証明書には，サーバーが正しいものであることを示すディジタル署名と，暗号化通信に必要な鍵が添付されている。このように，証明書はとても重要なものである。

　UTMがSSLでやりとりするパケットをチェックするとなると，UTMのところで一度，暗号化されたデータを復号しなければならない。しかし，SSLの暗号は途中で復号できない。そこで，クライアントに対してUTMがサーバー機能を代行する。つまり，サーバー-UTM間とUTM-クライアント間でそれぞれSSLのトンネルを作り，クライアントはUTMの証明書で暗号化処理するという構成にする（図1）。

図1●SSLでやりとりするパケットもチェックできる
UTMの中にはSSLのように暗号化されたパケットをチェックできる製品がある。UTMはサーバーとクライアントの間に入って，暗号化されたパケットをいったん復号し，中身をチェックしてからクライアントに届ける。UTMが通信を中継できるように，サーバーとUTM，UTMとクライアントの間でそれぞれSSL通信をする。
[画像のクリックで拡大表示]

　サーバーが暗号化して送ったパケットはUTMが受け取って，サーバーの証明書を基に暗号化されたパケットを復号して中身をチェックする。パケットの中身をチェックした後，UTMは自分の証明書に基づいてデータを暗号化し，パケットをクライアントに送る。パケットを受け取ったクライアントは，UTMの証明書を使って生成した鍵で復号するというしくみである。