XenMobileのセキュリティ 第4回

この内容をPDFで読む

XenMobileのセキュリティ ホワイトペーパー

第3回はこちら

社内のデータはどのように保護される?

企業ネットワーク内のセキュリティも、モバイルデバイス上のセキュリティと同じくらい大切です。シトリックスは、モバイル管理インフラを保護するために、さまざまな対策を講じています。XenMobileソリューションの主要なコンポーネントには、NetScaler(Gateway)、App Controller、Device Managerなどがあります。標準的なセキュリティ侵入テストにより、既知の攻撃ベクトルが存在しないことか確認されています。

NetScalerにはセキュアなアプリケーションファイアウォールが搭載されています。NetScalerは主要な境界点として機能し、ここで膨大な数のセキュリティチェックが行われます。たとえば、ログオン時のすべての入力フィールドが、標準的なセキュリティの脅威から保護されます。

XDMでは、MDM管理用にカスタマイズされた、堅牢なTomcatWebサービスが使われます。

データベースサービスはMicrosoft SQL ServerまたはPostgres(評価/テスト専用)から提供されます。XDMとデータベースは論理的に切り離されています。データベースはどこにでも配置できますが、企業ネットワークの内部に配置するのが一般的です。 そうすれば、どのような状況でも重要なデータがDMZに長期間居座ることはありません。
ユーザーの認証機能は、LDAPサービスからリアルタイムに提供されます。そのため、XDMシステムで保管する必要のあるデータ量を抑えて、潜在的な情報漏洩の可能性を減らすことができます。
社内体制
シトリックスには、コード開発グループとは別に、独立したセキュリティチームが存在しています。このチームが、外部機関で行われるものとまったく同じように製品ソフトウェアの評価を行い、セキュリティの弱点を報告します。これらは程度に応じて、重大、高、中、低という深刻度に分類されます。エンジニアリングチームは、報告された弱点に対して一定期間内に対策をとります。こうしたプロセスを経て、製品のリリースが認められます。

NetScaler
デバイスのNetScaler/ファイアウォール設定ファイルは、物理/仮想アプライアンスの保護されたディスクストレージに保管されます。デバイスへの管理アクセスは、すべてAAAサブシステムを使った認証によって制御されます。このサブシステムは、ローカルに定義されたユーザーと、AD、その他のLDAP名簿、TACACS+に登録されたユーザーの両方に対応しています。

XMDM
設定情報はデータベース(内部搭載の、または外部のSQLサーバー)に保管されます。アクセスは認証によって保護されます。

App Controller
設定情報は内部搭載のデータベースに保管されます。アクセスはローカル管理者アカウントを使った認証によって保護されます。アクセスはシステムの基本コマンドだけに制限され、完全なrootアクセスは許可されません。

Worxモバイルアプリケーション
設定情報は、すべてアプリケーションの中に暗号化されて保管されます。ユーザーはUIを使って特定のパラメータを編集できます。このUIは認証時のみ利用できます。

Citrix ReceiverおよびWorx Home
ReceiverやWorx Homeで保管されるのは、通信時に必要なCitrixストアのFQDNの設定だけです

埋め込みPKI
暗号

XenMobileでは、主にOpenSSL暗号化ライブラリが、モバイルデバイス上やサーバー上のデータ、およびこれらのコンポーネント間で転送されるデータの保護に使われます。iOSプラットフォームでは、FIPSの認定を受けた、プラットフォーム固有のより強力な暗号化サービスと暗号化ライブラリ(鍵チェーンなど)も使われます。OpenSSLは、多数のプラットフォームにFIPS準拠モジュールを提供していることでも有名です。これにより、転送中のデータと、デバイスの管理・登録に必要な証明書を、さらに強力に保護することができます。

デバイスレベルやサーバーレベルで扱う必要のある重要なデータは、AES-256暗号化を使って暗号化されます。このようなデータには、重要なリソースにアクセスするために、システムで設定されるサービスアカウントなどがあります。これらのアカウントのパスワードは安全に保管する必要があります。このようなデータはすべて、AES-256形式でファイルの中やデータベースの中で保護されます。

デバイス/サーバーの検証(デバイスの身元確認)

攻撃を未然に防ぐため、XenMobileでは強力な2段階認証が採用されています。XenMobileのセキュリティインフラは、複数レベルのデジタル証明書を基盤にして成り立っています。登録時に発行されるデバイス証明書がなければ、デバイスとXenMobileサーバーとの間の通信は行えません。

iOS登録時に開始される、Appleによってアプリストア用に署名・承認されたWorx登録クライアントのインストール

登録の前に脱獄状態が確認されます。iOSでは、登録プロセスはiOSに搭載されたMDM機能から、SCEPプロトコルを使ってデバイス証明書を要求することから始まります。デバイス証明書はXenMobileに搭載されたCA(認証局)か、サードパーティ製の信頼されたCA(すでにPKIシステムが導入されている場合など)によって署名され、発行されます。XenMobileは、Microsoft、Symantec、RSA、OpenTrust CAのような、一般的な商用CAサービスのほとんどに対応しています。これらの証明書が通信で使用され、デバイスの身元が確認されます。それ以降は、適切な証明書ハンドシェイクを使ったクライアント認証によって、基本的なデバイス管理が行われます。

Androidの登録は、アプリストア(Google PlayやAmazon Kindleストア)で公開されているWorx登録クライアントを介して開始されます。基本的なユーザー認証の流れは上記と同じです。まず、デバイスのルート化状態が評価され、その後で認証が可能になります。認証が完了すると、証明書が交換されます。それ以降は、これらの証明書が渡されて、XDMソリューションに対するクライアント認証が行われます。

デバイスにローカルに保管されるデータや証明書/秘密鍵は、すべてAES-256暗号化か、プラットフォームの強力なネイティブサービス(iOSの鍵チェーンなど)を使って暗号化されます。登録プロセスではURLを使用することで、インターネットからサーバーへの攻撃の可能性を減らすことができます。