J-PARC 情報検討 WG 認証システムグループ活動報告

J-PARC情報検討WG認証システムグループ活動報告J-PARC情報検討WG認証システムグループ活動報告 KEK　計算科学センター湯浅富久子 2004-Oct-12＠原研東海

タスクとメンバー • J-PARC情報システムにおいて必要な • 統合的な認証システムの設計とその見積もり • アクセス制御も含む • メンバー • グループリーダ • 中島（原研）、湯浅（KEK） • 原研メンバー • 山田、松田、矢城、青柳、大谷、久野、中村、草野、宇野 • KEKメンバー • 苅田、鈴木、広瀬、橋本、真鍋、川端、大友

方針 • 活動範囲 • 人とネットワーク機器の認証 • ネットワーク利用時の認証 • Web/DB/Application利用時の認証 • 各種申請時の認証 • 電子署名に関わる活動への協力 • 基本方針 • セキュリティポリシーの優先 • 利用者の立場にたった環境構築 • 統合的認証システムによるセキュリティの確立 • 活動方針 • 利用可能な技術を活用 • 認証系統の統一 • ハード・ソフトの統合認証

認証とは？認可とは？ • J-PARC情報システムの利用においては、 • 利用者を特定し　：　識別 • 正当な利用者であることを確認し：　資格証明 • 認められた範囲であることを確認し：　権利証明たうえで、利用が許可されなければならない何のために？実験データの保護、実験装置の保護、電子社会における攻撃からの防御

認証・認可の対象 • J-PARC情報システムの利用者 • 原研職員 • KEK職員 • 共同利用者 • 委託業者 • 機器 • プログラム・アプリケーション

ユースケース（その１）

ユースケース（その２）

ユースケース（その３）

ユースケースに関連して • 属性証明用DB • 職位認証 • 電子決裁における承認 • 共同利用実験における各種承認 • 所属認証 • 原研とKEKを区別したいとき • 権限を記したDB • ディレクトリサービス

統一されたID管理 • 統一されたID番号の割り当て • 原研の場合４桁の数字 • KEKの場合８桁の数字 • 共同利用者の場合８桁の数字 • 統一されたユーザ名の割り当て • 統一されたUNIXのuid/gidの割り当て • 業務系データベースとの連携が必須

今後の検討項目：認証の方式 • 複数の認証の方式を採用する • 認証方式の候補 • IDと静的パスワード • ワンタイムパスワード（OTP） • 電子証明書（PKI） • MAC Addressによる機器認証（VMPS） • Kerberos • 802.1X

今後の検討項目：認証の方式 • 認証強度 • 最強 ⇒ 例：電子証明書、秘密鍵をセキュリティモジュールへ格納 • 重要なネットワークやデータの保護 • 強 ⇒ 例：電子証明書、OTP • 弱 ⇒ 例：IDと静的パスワード • ハードウェアキーの利用 • USBトークン、ICカードなど • 利用できる機種が限定されるおそれあり • 開発と保守が必要

スケジュール • ２００４夏から年末にかけて • ユースケースの洗い出し（９月までにほぼ終了） • 認証方式の検討（１０月から） • 見積もり作業の開始

認証システムグループ－開発計画(案)－ 2004 2006 2008 2009 J-PARC認証環境の整備全体工程グランドデザイン仕様見直しプロトタイプ設計・試作評価・分析・改訂実験詳細設計運用試験運用システム開発設計製作試用運転検証・分析・改良

J-PARC 情報検討 WG 認証システムグループ 活動報告