【Cato Cloud × デバイス ID】デバイス ID 証明書を保持したクライアント端末で証明書認証をしてみた

株式会社フーバーブレインが提供する SASE^※1ソリューションの「Cato Cloud」の「Cato Socket X1500」をお借りし、クライアント認証^※2の設定や「サイバートラストデバイス ID」を使用可能であるか、動作検証を行いました。

※1: SASE（Secure Access Service Edge）とは：Gartner 社が提唱した、ネットワークとセキュリティの機能を一体として提供するフレームワークやセキュリティモデルのことです。
※2: クライアント認証とは：コンピューターシステムやネットワーク、サービスなどにアクセスする際、アクセス元となるユーザーまたはクライアントがインストール済みのクライアント証明書をアクセス先に提示して、アクセス先が正当なユーザーであることを認証するための仕組みです。詳しくは「クライアント認証とは？」のブログで解説しています。

「Cato Cloud」とは？

「Cato Cloud^※3」は、従来の複雑なセキュリティ対策をシンプルにし、安全かつ効率的なネットワーク環境を実現する、SASE プラットフォームです。
ゼロトラストセキュリティ^※4の実現や、柔軟なアクセス制御、管理負担の軽減など、多くのメリットがあります。
拡張性が高く、必要な機能をカスタマイズできるので、段階的な導入と将来を見据えた IT 基盤の構築が可能です。

※3: 「Cato Cloud」のサービス詳細につきましては、以下をご覧ください。
https://www.cato-cloud.jp/
※4: ゼロトラストセキュリティとは：「ゼロトラスト（ZeroTrust：ZT）」は、「いかなるユーザーもデバイスもアプリケーションもネットワークも " 信頼せずに常に検証 " し、基本的に信頼するべきではない」という考え方のことです。詳しくは「いまさら聞けない「ゼロトラスト」とは？」のブログで解説しています。

本記事は以下のような方におすすめです。

「Cato Cloud」の設定・利用イメージを確認されたい方
所属組織で「DX：デジタル・トランスフォーメーション」を推進・検討中の方
「ペリメータ（境界）セキュリティ」から「ゼロトラストセキュリティ」への移行を検討されている方
リモートアクセス時のセキュリティ対策として、「多要素認証（MFA）」および「クライアント認証」や「端末認証（デバイス認証）^※5」を検討されている方

※5: 端末認証（デバイス認証）とは：端末（デバイス）固有の識別情報を用いて認証を行うことにより、アクセスコントロールを行うための仕組みです。詳しくは「端末認証（デバイス認証）とは？」のブログで解説しています。

それでは、実際に動作検証で行った準備や設定について、ご紹介します。

事前準備

はじめに、「Cato Cloud」の「Cato Socket X1500」でクライアント認証設定を行う前に、以下の事前準備を行いました。

Site の作成やユーザー作成など Cato 管理コンソール上で行う基本的な設定
ルート認証局証明書のダウンロード

「Cato Cloud」の設定

Cato 管理コンソール画面にアクセスし、以下の設定を実施しました。

1. デバイス用証明書とプロファイルの設定

「Device Test Type」としてデバイス用の証明書である「Device Certificate」を指定し、さらに「New Device Profile」でプロファイルを新規作成しました。

＜Device Test Type＞

＜New Device Profile＞

2. 「Client Connectivity Policy」の設定

「Client Connectivity Policy」で作成したプロファイルを適用するためのポリシーを作成し、そのまま設定を有効化しました。

3. 「ルート認証局証明書」の設定

「サイバートラストデバイス ID」の証明書を使用可能にするため、「Client Access」の "Signing Certificates" から事前準備でダウンロードしておいた「サイバートラストデバイス ID」の認証局証明書を設定しました。

「ルート認証局証明書」の設定画面

管理者がこれらの設定を行うだけで、クライアント証明書（デバイス ID 証明書）による認証を必須とする設定ができました。
なお、本設定により各クライアント端末から接続した際、「サイバートラストデバイス ID」の証明書を保持した端末だけが「接続済み」となり、証明書を保持していない場合は接続に失敗することを確認しました。

接続失敗の例の画面

＜接続失敗の例＞

最後に

今回ご紹介した「サイバートラストデバイス ID」と「Cato Cloud」の連携により、手軽に厳格な「クライアント認証」や「端末認証（デバイス認証）」を実現することができます。
そして、今回ご紹介した設定手順の詳細は、「サイバートラストデバイス ID」のご契約者様専用の WEB サイト「サイバートラストデバイス ID 運用ポータル」にて公開しており、無償で 1 ヶ月間、10 台までの機器で評価いただけるトライアルキットのお申し込み完了時点から本ポータルをご覧いただけますので、ご興味がありましたら、是非ともお申し込みください。