2006年1月26日，電子メールの署名・暗号化ツール「PGP」(Pretty Good Privacy)の開発会社である米PGP社が日本法人の設立発表会を開催した。運用管理の話題を追い続けてきた記者としては恥ずかしい話だが，筆者はその発表会に参加するまで，PGPが電子メール・サーバー向けのソフトとして同社の事業拡大に大きな役割を果たしてきたことを知らずにいた。
前回の本コラムで記者は，分散していた資源をデータセンターに集中化するシンクライアント(画面情報端末)が，2005年4月に全面施行された個人情報保護法と，同法に基づく情報漏えい対策が発端となって注目されていると書いた。シンクライアントのシステム形態では，アプリケーションのCPU処理をデータセンター側に集中させる。
CPU処理などのリソースをどこに配置すべきかという話題はとても興味深い。処理内容以外にセキュリティ対策の需要，WAN回線の価格，PCやサーバー機のCPU処理能力の向上度合い，リソースの仮想化技術の進展といったさまざまな要素を考慮して，リソースの配置を決める。
冒頭で紹介したPGPは，電子メールに電子署名を施したり，内容を暗号化するためのツールである。かつてのPGPは，エンドユーザーが，自分のデスクトップ環境上で使う個人用ツールだった。無償版も自由に手に入る。現在では，PGPは電子メール・サーバー側で動作させ，個人の署名・暗号化を代行するツールとして一般化しつつある。つまり，分散から集中へと，リソースの配置が代わったのである。
暗号化をゲートウエイが代行
暗号化の目的は，情報をやり取りする相手との間で，エンド・ツー・エンドの安全なトンネルを築くことである。途中で盗聴されたとしても，大丈夫というわけだ。特に公開鍵暗号方式が登場して普及した後は，途中で検閲・改ざんされる恐れもなくなり，安心して情報をやり取りできるようになった。なお，公開鍵暗号方式の応用例としては，電子署名，改ざんの検知，データの暗号化などが代表的である。
ところが，暗号を手軽に使えるツールとしての性格を持つ電子メールやWebブラウザが，現在では企業や団体の情報漏えいの口として一般的になってしまった。加えて言えば，ウイルスが侵入する入り口としても一般的である。これは，エンド・ツー・エンドで暗号化するがゆえに，途中で「情報の内容」や「ウイルスの有無」のチェックができないためだ。
暗号化によって困難になる業務の例が，昨今話題に上っているメールのアーカイブである。これは，社員が送受信したメールの中身をメール・サーバー側ですべて保管しておき，監査で求められたり有事の際に即座に参照できるようにしておくことを指す。米国の金融機関ではすでに一般的であり，国内でも日本版SOX法（企業改革法）の施行が見込まれていることから一般化しつつある。ところが，エンドユーザーのクライアントPCでメールを暗号化してしまったら，サーバー側でアーカイブしておく意味がなくなる。中身を調べられないからだ。
こうした経緯で生まれた防御策が，分散から集中へという流れであり，クライアントPC上でやっていたことを中継サーバーへと移行する考え方である。ゲートウエイ型セキュリティ・アプライアンス製品は現在，ウイルス対策やスパム対策，電子署名・暗号化など，従来はクライアントPC上でやっていたさまざまなセキュリティ機能を備えるに至っている。
SSL通信もインターセプト可能に
一般的な電子メール・サーバーでは，エンドユーザーが自ら（クライアントPCで）暗号化したメールの中継を拒否する運用が可能である。
この一方で，Webアクセスに関して言えば，依然としてエンドユーザーはSSL(Secure Sockets Layer)/TLS(Transfer Layer Security)による自分専用のトンネルを作っているのが現状ではないだろうか。
実は，SSLにもリソースを再配置して集中化を実現する製品が登場している。米CyberGuardが開発したSSLゲートウエイ・ソフト「SSL-Scanner」は，エンドユーザーに成り代わって外部とのSSL通信を代行する。
正確に言えば，クライアントPC上のWebブラウザ(SSLクライアント)と，通信相手となるWebサーバー(SSLサーバー)間のSSL通信の間に入るSSLプロキシである。Webサーバーから見たSSLクライアントはSSL-Scannerである。Webサーバーが送ってきたSSLサーバー証明書(公開鍵)をクライアントPCに渡さず，代わりにSSL-Scanner自身のSSLサーバー証明書をWebブラウザに渡す。これにより，WebサーバーとクライアントPCの間で直接SSLトンネルが張られる事態を防ぎ，検閲を可能にする。
ただし，SSL-Scannerを利用すると，WebブラウザはSSL-Scannerから受け取ったサーバー証明書の不備を発見して警告を出すので，ブラウザの設定を変更するなどの配慮が必要になる。一般に，Webブラウザは，カギの有効期限が切れている場合や，サーバー証明書に記されたサイトURLと実際のURLが異なっている場合，Webブラウザに登録済みの信頼できる第三者による署名が無い場合などに警告を出すようになっているためである。
