AAMWおよびSSL/TLS用のTPMベース証明書

TPM ベースの証明書の利点

• 信頼を提供します。安全でないデジタル世界で高度なセキュリティを確立するのに役立ちます。

• 機密性を提供します。データの暗号化に役立ち、サーバーとクライアントにのみ表示されます。

• 誠実さを提供します。転送中に変更されないようにします。

従来のSSL/TLS証明書の仕組み

Secure Sockets Layer(SSL)は、暗号化を可能にするプロトコルです。これは、クライアントとサーバー間の通信の保護と認証に役立ちます。また、安全でないネットワークを介して電子メール、VoIP、その他の通信を保護することもできます。SSLは、トランスポート層セキュリティ(TLS)とも呼ばれます。

安全でないHTTP接続では、ハッカーはクライアントとサーバー間のメッセージを簡単に傍受できます。SSL証明書は、公開/秘密キーペアシステムを使用してHTTPSプロトコルを開始します。したがって、SSL証明書は、ユーザーとクライアントの安全な接続を可能にします。SSL/TLSは以下を通じて機能します。

• TLSハンドシェイクで始まるセキュアな通信。2つの通信当事者は安全な接続を開き、公開キーを交換します。
• TLSハンドシェイク中に、2つの当事者がセッションキーを生成します。セッションキーは、TLSハンドシェイク後のすべての通信を暗号化および復号化します。
• 異なるセッションキーが、新しいセッションごとに通信を暗号化します。
• TLS は、サーバー側のユーザー、つまりユーザーが操作している Web サイトが、そのユーザー本人であることを確実に主張します。
• また、TLS は、送信にメッセージ認証コード(MAC)が含まれているため、データが変更されていないことを保証します。

署名されたSSL証明書がWebサイトのセキュリティを保護する場合、組織が信頼できる第三者にそのIDを検証および認証したことを証明します。ブラウザが CA を信頼すると、ブラウザもその組織の ID を信頼するようになります。

Web サイトに SSL がインストールされているかどうかを確認する最も簡単な方法は、Web サイトの URL が「HTTPS:」で始まっているかどうかを確認することです。WebサイトのサーバーにSSL証明書がインストールされている場合は、アドレスバーにある南京錠アイコンをクリックして証明書情報を表示します。

ファイアウォールがPKIを使用してTPMベースの証明書を管理する方法

ジュニパー ATP クラウドを使用した高度なマルウェア対策(AAMW)などのアプリケーションでは、認証にTPMベースの証明書を使用できます。これにより、アプリケーションはデバイスの正当性を検証できます。ファイアウォールは、pkidプロセスを使用して、公開鍵インフラストラクチャ(PKI)でTPMベースの証明書を管理します。TPM ベースの証明書に pkid プロセスを使用する場合は、次の点に注意してください。

• ファイアウォールは、デバイスの起動および再起動操作中にpkidプロセスを使用してTPMベースの証明書を読み込みます。

• デバイスは、デバイスのローカル証明書リストから、証明書IDと呼ばれるTPMベースの証明書IDに対して証明書と秘密キーハンドル idev-id 読み込みます。TPMベースの証明書ID( idev-idと呼ばれる)を表示するには、 show security pki node-local local-certificate certificate-id idev-id コマンドを使用します。

• idev-id証明書IDを確認するためにコマンドrequest security pki node-local local-certificate verify certificate-id idev-idを使用しないでください。idev-id証明書IDのCA証明書がファイアウォールで利用できないため、検証は行われません。コマンドを使用して検証しようとすると、エラー メッセージlocal certificate verification can't performed for IDev-ID certificate as the CA cert for the same is not availableが表示されます。

AAMWとSSL/TLSによるTPMベースの証明書の使用方法

ファイアウォールでジュニパーのATPクラウドを使用するAAMWなどのアプリケーションでは、すべてのデバイスの識別と認証に従来の証明書ではなく、TPMバーンイン証明書を使用する必要があります。この機能は、新しいTPM証明書を使用して、クラウドサーバーとの安全なクライアント認証SSL接続を確立するのに役立ちます。これは、AAMWによって確立されたコントロールとデータプレーン(SSL-I)/TLS接続の両方に適用されます。クラウドサーバーは、SSLハンドシェイク中にクライアントが共有するTPMパブリックキーを使用して、TPMプライベートキーの信頼性を確認します。デバイス識別情報は、共有TPM証明書の一部です。

SSL-Initiation(SSL-I)プロファイルを構成する場合、特定の証明書IDに対して起動/再起動時にTPM証明書と秘密キーハンドルを読み込むためのpkid側の要件があります。この証明書を使用して、SSL-Iプロファイルを設定できます。この証明書は、AAMWがTLS接続に使用できます。SSL-AAMW TLS接続の署名/検証目的でTPMチップを使用するには、データプレーン側で変更が必要です。SSL-Iは、クライアント認証を使用してATP CloudにSSLクライアント機能を提供します。SSL-Iモードは、TPM証明書/秘密キーでサポートする必要があります。以前、SSL-I はファイル システムのローカル証明書と秘密鍵を使用していました。

SSL-Iは、次の2つのモードで使用できます。

• TPM証明書/キーを使用したSSL-I

• ファイルシステム証明書/キーを使用したSSL-I

tpmオプションは、set services ssl initiation profile profile-name crypto-hardware-offloadコマンドを使用して設定できます。