1401 smx 12p - fujitsu.com · MOBILE LOGON GSBサーバ for Apple iPhone / iPad for Android iOS端末、Android端末に対応スマートデバイスから「マトリクス認証®」で社内リソースにアクセス

マトリクス認証®を使った、デバイスのいらないワンタイムパスワード

SECUREMATRIXは様々な立場の方の業務を安全に、そしてよりシンプルにする本人認証システムです。

SECUREMATRIX3つの特長

不正アクセスの防止

利用するたびに入力するパスワードが変更されるため、パスワードの盗用による不正アクセスを防ぎ、安全性を高めます。

セキュリティポリシー

周知徹底が難しいパスワードのセキュリティポリシーも、教育側にもユーザにも、負担なくスムーズに運用できます。

パスワードが覚えやすい・使いやすい

形で覚えるため、ルール（セキュリティポリシー）に従った複雑な固定パスワードを覚えるより、はるかに覚えやすく使いやすくなります。

パスワード紛失（インシデント）の防止

外出先で認証用デバイスを紛失する人為的な事故を防ぎます。

他認証と比べてコストを抑える

トークン認証と比べてデバイス購入費用やトークンの電池切れによるリプレース費用を抑えます。

1 2 3使い捨てパスワード（ワンタイムパスワード）マトリクス認証認証用トークンなし

その他の費用保守費用

デバイス購入費用

ライセンス費用ハードウェア費用導入費用

1年目 2年目 3年目 4年目 5年目 1年目 2年目 3年目 4年目 5年目 1年目 2年目 3年目 4年目 5年目

ほぼ変わらない

5年間で約2.5倍の投資額

認証システムを導入せずに固定パスワードを使用している場合も、パスワード再発行のためのDB確認や本人確認などにシステム管理者の工数がかかります。

■ ポイント

SECUREMATRIX 固定パスワードトークン認証

SECUREMATRIXのコスト比較

自由な組み合わせができる「位置」と「順番」。

● パスワードイメージ ● アクセスごとに異なるマトリクス表 ▶ 異なるパスワード

「形」で覚える。それは「忘れにくい。覚えやすい。使いやすい。」

マトリクス認証®は、アクセスの度に表示される数字が変わるマトリクス表を使用しています。たとえば「Ｖ」というイメージのパターンを、あらかじめ登録しておきます。

マトリクス認証®は、毎回マトリクス表に表示する数字が変わるので、二度と同じパスワードを入力することはありません。

頭に思い描くどのようなイメージでも、マトリクス表から抽出することができます。

固定パスワード（英数字）と組み合わせて、さらに強固なパスワードを設定できます。

例1（英字例）

8142abcd（組合わせ設定は自由）

例2（数字例）

81124324

同じ場所を重複して選択する設定も可能です。

入力するパスワード

92133506 （「3」を重複入力）


92889062 （一度だけ）

マトリクス認証®のしくみ

固定パスワード（英数字）

固定パスワード併用設定例

3


（一度だけ）67705339


（一度だけ）01033834

あらかじめ自分の好きなパスワードイメージを登録しておきます。 1回目

2回目

固定パスワード併用設定例

パスワードイメージと固定パスワードを併用すれば、更に強固に。

パスワードイメージには、固定パスワードを含むことができます。SECUREMATRIX®の「パスワードポリシー」機能を利用して、固定文字（英数字や記号）の併用を強制することが可能です。この固定文字は、パスワード内のどの位置に利用してもかまいません。

固定文字かパスワードイメージかは、一見して第三者が理解することはできません。なりすましを行うことは、極めて難しくなります。

第三者が不正になりすましを行おうとした場合に、下記の情報を全て知り得なければなりません。

パスワードイメージとして登録したマトリクス表の「位置」その位置を入力する「順番」「固定文字」として利用される英数字や記号パスワード内での固定文字の場所

固定パスワード（英数字）と組み合わせて、さらに強固なパスワードを設定できます。

例1（英字例）

2687abcd

（組合わせ設定は自由）

例2（数字例）

21628374

固定パスワード（英数字）

http://www.cseltd.co.jp/smx/movie.htm動画でわかるSECUREMATRIX®はこちら

4


DESKTOP

SECUREMATRIXの独自二要素認証

RADIUS LOGON

BROWSER LOGON

DESKTOP LOGON

CLOUD LOGON

DESKTOP LOGON

■ 本人認証の精度を高め不正なログインを防止二要素認証とは2つの認証方式を併用して精度を高めた認証方式のことです。ユーザが記憶しているID/パスワード（knowの要素）やユーザが持っているクライアント端末（haveの要素）など決められた要素が揃っていることで、はじめて認証が完了します。万が一、どちらかの要素が漏えい・紛失してしまっても、もう1つの要素が揃わない限り悪意のあるログインができず、なりすましを防ぐことができます。

プロセスを増やさず、ユーザは『ID入力』『パスワード入力』のみで二要素認証を利用できます。

■ ポイント

※特許取得済み

自宅PC

私用スマートデバイス

会社貸与スマートデバイス

● ID● パスワードイメージ

1要素目

● MACアドレス● Android ID● SIMカードシリアル番号● IMEI● IMSI● FeliCa IDm…etc

2要素目（クライアント識別情報）

5

MOBILE

VPN

Webアプリケーション

クラウドサービス

VDI

MOBILE LOGON

MOBILE LOGONインターフェイス

■ スマートデバイスのユニバーサルデザインインターフェーススマートデバイス利用時はマトリクス表が大きく表示されます。画面をフリックするとマトリクス表が移動し順番に表示されます。

数字をタップすることでパスワードを入力します。マトリクス表は4表すべてを表示させることも可能です。

「社内」でもデスクトップへのログオンは「マトリクス認証®」で。

DB/ファイルサーバ等

社内も「マトリクス認証®」に統一すれば、使い勝手はさらに高まる。

SECUREMATRIX認証サーバ


6

DESKTOP LOGON▶ for Microsoft® Windows XP® / for Microsoft® Windows Vista® / for Microsoft® Windows 7®

認証サーバ

認証サーバ

GSBサーバ

DMZ

DMZ

暗号化通信

暗号化通信

Active Directory

ログオン

ログオン

オフラインでもデスクトップログオンが可能

RADIUS

RADIUS

LAN

F/W

LAN2

LAN1

F/W

Internet

社内ネットワーク

VPN

認証サーバ

GSBサーバ

認証VLAN

F/W● 「Ctrl」+「Alt」+「Del」を押したら、「マトリクス認証®」が可能● 意識することなくActive Directoryと連携が可能● ネットワークに接続されていなくても、利用可能（オフライン認証）

● スクリーンセーバーのパスワードロック時にも利用可能

● リモートデスクトップでの利用が可能

認証サーバ

どこからでもブラウザがあれば「マトリクス認証®」

グループウェア

せっかくのWEBアプリケーション。何も配らずに安全に使いたい。


SECUREMATRIXGSBサーバ

WEBサーバシングルサインオン

GSBサーバ

DMZ

暗号化通信

LAN

社内のWEBサーバ/グループウェア等にリバースプロキシ機能を提供します。

ユーザDB、管理機能、ログ機能を提供します。

F/W

Internet

BROWSER LOGON▶ for Active X ▶ for JRE（Java Runtime Environment） ▶ for Flash

● WEBアプリケーションの認証を「マトリクス認証®」に● 基本（ベーシック）認証/フォーム認証に対応したシングルサインオン機能● グループや役職ごとに柔軟なアクセスコントロールを実現

RADIUS対応機器の認証を「マトリクス認証®」に。

通信経路が安全でも、「認証」が脆ければ意味がない。


SECUREMATRIXGSBサーバRADIUS LOGON

● VPNやファイアウォールと連携し、認証を強化● SSL-VPNは、ブラウザだけでダイレクトログオン● 独自のRADIUSサーバを実装。複数のRADIUSクライアントをサポート

● RADIUSアトリビュートに対応● 認証VLAN等のRADIUS対応機器とも連携可能

7

ISBサーバ

VPN

RAS

公衆回線

インターネットVPN

IP-VPN

ルータ

FTPサーバ

SMTPサーバ

パケット通信中表示

認証サーバ

どこにいても手のひらの上で「マトリクス認証®」を。

機動力を、最大限に引き出す「セキュリティ」を。


SECUREMATRIXGSBサーバMOBILE LOGON

▶ for Apple iPhone / iPad ▶ for Android

● iOS端末、Android端末に対応● スマートデバイスから「マトリクス認証®」で社内リソースにアクセス● DESKTOP LOGONとの併用で、スマートデバイスでも同じ「マトリクス認証®」が可能● WEBアプリケーションへのログオン、VPN接続のログオンのセキュリティを強化● User-Agent追加機能搭載

クラウド環境のセキュリティは「マトリクス認証®」

使いやすい認証で、もっと安全にクラウド環境を利用したい。


SECUREMATRIXGSBサーバCLOUD LOGON

▶ for Salesforce CRM

● 使い捨てのワンタイムパスワードで認証を強化● IPアドレス制限やトークン型ワンタイムパスワードより利便性の高い認証を実現● デバイス不要だから、管理工数やデバイス購入コストを一気に削減● ブラウザだけで強固な認証を提供する「マトリクス認証」はクラウド環境と好相性 GSBサーバ

マトリクス表の表示画面

SECUREMATRIX®とSalesforceの連携構成例

キーボードによるパスワード入力画面

● SFA/CRM● グループウェア● Eラーニング● WEBシステム● 仮想デスクトップ

● JunosPulse （Juniper）● AnyConnect （Cisco）● EdgeClient（F5）

※ 別途スマートフォンの設定やネットワーク機器との連携を必要とする場合があります。

※ スマートフォン対応機種に関する詳細についてはお問い合わせください。

パケットのフィルタリングも「マトリクス認証®」を。

セグメントを守るため、不要なパケットは通さない。

INTRANET LOGON

● IP-VPNやインターネットVPNから社内へのアクセスを制御● LAN to LANで、サーバセグメントへのアクセスを制御● 認証を受けたユーザのみが、登録された特定のアプリケーションとサーバにアクセス

● IPアドレスやポート番号によるコントロールが可能


SECUREMATRIXISBサーバ

F/W DMZ

LAN

④ 認証完了

③ Redirect（SAML Assertion）

① Access

② Authentication

認証サーバ

SSL

公開鍵とメタデータの交換

Internet

SalesforceCRM


8

認証サーバ

お客様のWEBシステム

アクセス

独自アプリ

ネットワーク機器

VPN機器

シンクライアント

API連携・マトリクス表の生成・パスワードの確認・パスワードの変更処理

ユーザグループ配下に、さ

らにユーザグループの作

成が可能です。

ユーザグループ毎のパス

ワードポリシー設定が可

能です。また、ユーザグ

ループを多階層化してい

る場合、配下のグループに

同一ポリシーを適用する

ことも、配下のグループ毎

にポリシー設定すること

もできます。

グループ毎に登録できる

ユーザ最大数の設定が可

能です。※2

ユーザグループ毎に一意

のログイン登録が可能で

す。ログイン時にレルム※3

を付与することでユーザ

を区別できます。

API

API

API

API

API

既存システムやアプリケーションに「マトリクス認証®」を。

「マトリクス認証®」の可能性を思いのままに。

APPLICATION INTERFACE▶ Windows DLL Version. ▶ JAVA Version. ▶ Unix C Version.

● CまたはJAVAに対応した「マトリクス認証®」用API● 会員向けWEBサイトの認証や、既存システムの認証を強化● API開発キットを提供● セキュリティを考慮したシンプルなAPI● iPhone、AndroidへのAPIも提供可能


お客様のシステムやアプリケーション

ユーザグループの多階層化1 ユーザグループ毎のパスワードポリシー設定2

レルムによるログインIDの区別化4ユーザグループ毎の最大登録ユーザ数設定3

1課

Admin

2課 3課

パスワード有効期限：60日パスワード長：12ケタ






開発部経理部営業部

Admin

経理部

レルム名：keiri

営業部

レルム名：eigyo

氏名：鈴木花子LoginID：suzuki#keiri

氏名：鈴木太郎LoginID：suzuki#eigyo

1課

Admin

2課 3課

1階層

2階層

開発部経理部営業部

最大登録数 10

グループ別ポリシー設定

自社内の組織構造に合わせたポリシー設定が可能なため、柔軟なシステムの運用管理を行うことができます。※1

※1：認証サービスの提供を目的として利用する場合は、サービス提供用ライセンス契約の締結が必要です。

SECUREMATRIX®の柔軟なグループ別ポリシー設定機能を活用し、独自認証サービスの提供も可能

※2：設定しない場合は、ご購入されたライセンス数が上限値になります。

※3：ユーザ情報を一意に管理するための、ユーザグループごとの識別子のこと。

9

LDAP InterfaceSECUREMATRIX®の認証サーバは、既存のLDAPサーバからユーザ情

報を同期することが可能です。複数のLDAPサーバとの連携が可能で、

ユーザ属性による特定ユーザ情報の抽出や、ユーザ情報項目のマッピング、

スケジュール設定による定期同期など柔軟な連携を行い、ユーザ登録の

管理負担を削減することができます。

LDAPサーバ

前回との差分抽出

差分をユーザDBに反映

ユーザ情報返却

ユーザ情報取得要求

認証サーバ

Easy SetupSECUREMATRIX®は、GUIからインストールが可能です。「SECUREMATRIX®

Easy Setup」を利用することで、各サーバの設定はもちろん、ドラック＆ド

ロップによるSECUREMATRIX®サーバの追加/削除、サーバ証明書発行

の為のCSR（Certificate Signing Request）の作成など様々な設定を、

ネットワーク構成を確認しながら視覚的に実施することができます。

● IPv6に対応

Cluster Manager

SECUREMATRIX®の認証サーバは、企業の大切な認証基盤を支えるために、独

自クラスタ機能による冗長化構成で運用することができます。

「SECUREMATRIX® Cluster Manager」を利用することで、認証サーバのク

ラスタ運用状況の確認やメンテナンスを実施することができます。

無停止復旧クラスタ機能を標準搭載。認証サーバをクラスタ構成にすると、縮退

運転状態から正常運転状態へ復旧する間も、ログイン認証が可能です。

認証サーバ（Primary）

認証サーバ（Secondary）

平常運転時

縮退運転時（Primary認証サーバ停止時）

DB

同期

DB

認証サーバA

認証サーバB

平常運転時

縮退運転時

DB

同期

DB

GSBサーバ

GSBサーバ

フェイルオーバ構成

ロードバランシング構成

GSBサーバ

GSBサーバ

管理機能・監査機能

管理機能ではユーザ管理からシステム設定まで、全ての運用管理を行うことが可能です。

監査機能では、ログを元にユーザのアクセス状況を監視・分析することなどが可能です。

システムの管理機能と監査機能で管理権限が分かれています。

管理機能画面監査機能画面

10

SECUREMATRIX®が選ばれる理由

クライアントとSECUREMATRIX®システム間の通信は、SSLで暗号化されています。通信内容を解読するには、暗号化されたデータを復号する必要がありますが、それは容易なことではありません。

理由 ① ： SSLによる暗号化通信

理由 ② ：特許技術を用いた“シード方式”

SECUREMATRIX®は安全だから。SECUREMATRIX®は、経路上を安全に保ち、ハッキングを防止するために何重もの工夫と対策が施されています。

SECUREMATRIX®は、通信経路上に「マトリクス表」をそのまま流すことはしません。独自の特許技術を用いて“シード”と呼ばれるマトリクス表を生成するためのデータをクライアントに送信し、クライアント側で「マトリクス表」に変換します。またクライアントで入力されたパスワードも、そのまま通信経路上には流れません。ハッシュ化されたデータのみが経路上に流れます。従って、万が一SSLによる暗号化通信が解読されたとしても、「マトリクス表」や「パスワード」そのものを、通信経路上から入手することはできないため、高い安全性が保たれます。

理由 ③ ：独自の二要素認証

SECUREMATRIX®の二要素認証は、ユーザのパスワードイメージ（要素：know）とクライアント識別情報（要素：have）の二要素を組み合わせた独自の認証方式です。理由②（上述）の“シード”と“クライアント識別情報”によりマトリクス表の提示パターンを

決定します。あらかじめクライアント識別情報が登録されているクライアント端末でのみ正しいマトリクス表の提示パターンが表示され、認証が成功します。また、クライアント識別情報が通信経路上に流れることはありません。


SSL

クライアント

SSL

ハッシュ化データ

シード

認証サーバ

シード

クライアント上でシードを元にマトリクス表を生成する。

B：クライアント識別情報


シード


シード

“シード”と登録されていない“クライアント識別情報”を元に生成された正しくないマトリクス表が表示される

“シード”と登録されている“クライアント識別情報”により、正しいマトリクス表が表示される

A：クライアント識別情報

“シード”、 “クライアント識別情報”等により

生成されたマトリクス表

A：クライアント識別情報登録ありB：クライアント識別情報登録なし正

誤正認証サーバ

11

パスワード運用の安全性

柔軟なパスワードポリシーで用途に応じたセキュリティレベルを。

SECUREMATRIX®は認証サーバの管理画面から、ユーザが利用するパスワードイメージに対して適用する下記のポリシーを設定することができます。このポリシーを適用することで、不用なアクセスをシャットアウトし、更にセキュリティレベルの高い運用を実施していただくことが可能です。

パスワード文字長（パスワードイメージの桁数、固定文字の桁数）パスワード有効期限パスワードの強制変更パスワードの履歴回数制限利用不可パスワードイメージの設定日時による利用制限認証失敗回数の制限等

利用状況を把握して、不正の兆候を判断。

認証の利用状況を把握することで、不正なアクセスの兆候を発見できます。SECUREMATRIX®の管理画面から、認証成功回数と失敗回数をグラフで確認することができます。失敗回数が増えている場合には、

不正アクセスが行われている可能性が考えられます。この場合、管理画面の強制パスワード変更機能を利用し、次回のユーザ認証時にパスワード変更をユーザに促し、不正アクセスを未然に防ぐことが可能となります。

推測されやすいパスワードイメージは、すぐ禁止に。

推測されやすい簡単なパスワードイメージや、重複頻度が高くなる傾向のパスワードイメージは、初期設定であらかじめ利用禁止イメージとして登録されています。また、SECUREMATRIX®には「パスワードアナライズ」機能が実装されており、社内のユーザが重複して利用している「パスワードイメージ」をランキングで確認することが可能です。この「パスワードアナライズ」機能を利用して、重複頻度が高いパスワードイメージを「利用不可イメージ」として登録し、ユーザに強制的にパスワード変更を促すことができます。

パスワードアタックには、アカウントロックで対応。

SECUREMATRIX®は、パスワードアタック（ブルートフォースアタック）に対応するために「アタックロック（認証失敗回数制限）」機能を実装しています。一定回数の認証失敗が行われた場合には、SECUREMATRIX® はそのアカウントをロックし、管理者により解除されない限り、そのアカウントを利用することができなくなります。アカウントロックが行われたユーザには、SECUREMATRIX®がメールでその旨を通知します。これにより、第三者が自分のアカウントのパスワードを不正に取得しようとしていることが分かるようになっています。

理由 ④ ：ワンタイムパスワードを生成する鍵は「記憶」

天文学的な組み合わせ。しかし、ユーザは覚えやすい、忘れにくい。

“　 ” で囲まれたマトリクス表の位置

“　 ” で示された選択する順番

例：1234

例：1、2、7、8桁目固定文字の場所

順番

位置

固定文字12353534

シード

マトリクス表の生成

記憶ワンタイムパスワード

管理者は、推測されやすいイメージを利用禁止に設定できます。

万が一、悪意のある第三者が「シード」から「マトリクス表」を変換できたとしても、ユーザのワンタイムパスワードを不正に入手することは不可能です。なぜならば、ワンタイムパスワードを生成する鍵は「ユーザの記憶」だからです。またその「ユーザの記憶」

であるイメージパスワードの組み合わせ数は、パスワード長が8ケタの場合は648＝約280兆通り、パスワード長が長ければさらに天文学的な数字になります。これにより、イメージパスワードが偶然一致する可能性は極めて低いと言えます。

管理者クライアント

ユーザクライアント

※上記クライアント端末を使用する際、プラグインの使用・不使用を選択いただけます。　プラグインを使用する場合、Adobe Flash PlayerまたはJRE（Java Runtime Environment）またはActiveXがインストールされ、設定が有効になっている必要があります。※ActiveX 使用時は、Internet Explorerのみ対応となります。※スマートデバイス対応機種に関する詳細についてはお問い合わせください。

● 最新のクライアント環境の対応状況につきましては以下のURLをご参照ください。 PC： http://www.cseltd.co.jp/smx/requirement.htmスマートデバイス： http://www.cseltd.co.jp/smx_support/support_list_mobile.htm

■SECUREMATRIXおよびマトリクス認証は、株式会社シー・エス・イーの登録商標です。■SECUREMATRIXのシードを利用した認証方式は、株式会社シー・エス・イーの特許技術です。（特許取得済）■Linuxは、Linus Torvalds氏の米国およびその他の国における登録商標または商標です。■Oracle、Java、JRE（Java Runtime Environment）は、Oracle Corporationおよびその子会社、関連会社の米国およびその他の国における登録商標または商標です。■Flash、およびFlash Playerは、Adobe Systems Incorporatedの米国ならびにその他の国における登録商標または商標です。 ■Red Hatは、米国およびその他の国におけるRed Hat, Inc.の登録商標または商標です。■Apple、Appleのロゴ、Safari、iPhone、iPadは、米国および他国のApple Inc.の登録商標または商標です。iPhone商標は、アイホン株式会社のライセンスに基づき使用されています。■「FeliCa」はソニー株式会社が開発した非接触式ICカードの技術方式です。「FeliCa」はソニー株式会社の登録商標です。■その他、本カタログに記載されている会社名および商品名は、各社の商標または登録商標です。※記載事項（仕様・デザイン等を含む）は、お断りなく変更することがありますので、あらかじめご了承ください。

●販売パートナー ●お問い合わせ先

SMX-1401A

■ SECUREMATRIX® クライアント環境

システム名

対応OS

CPUメモリハードディスク

SECUREMATRIX®

認証サーバ

Red Hat Enterprise Linux（x86、日本語版）

Pentium Ⅲ 1GHｚ 1Way以上1GB 以上35GB 以上

SECUREMATRIX® GSBサーバ（Global Security Boxmodule）



SECUREMATRIX® ISBサーバ（Internal Security Boxmodule）



※対応OSの詳細は、別途お問い合わせください。

■ SECUREMATRIX® サーバ環境

SECUREMATRIX® をわかりやすい動画でご紹介しています。http://www.cseltd.co.jp/smx/movie.htm

動画でわかるSECUREMATRIX®

SECUREMATRIX® と連携動作確認が完了している製品一覧の最新情報はこちらをご覧ください。http://www.cseltd.co.jp/smx/cooperation.htm

SECUREMATRIX® 連携製品一覧

※年内提供開始予定

オールインワン仮想アプライアンス

詳細は、http://www.cseltd.co.jp/smx_support/environment.htmをご覧ください。

Microsoft Windows XP SP3　Microsoft Windows Vista SP2　Microsoft Windows 7 SP1Windows Internet Explorer、Mozilla Firefox、Google Chrome、Safari（MacOS Xのみ）

AndroidiOSWindows Internet Explorer 7/8/9

SECUREMATRIX® のサポート対象であるかを診断します。http://www.cseltd.co.jp/smx_support/diagnosis.htm

クライアント診断サイト

〒150-0002 東京都渋谷区渋谷3-3-1 渋谷金王ビルTEL.03-5469-6026　 FAX.03-5469-6037E-mail: [email protected]

開発元

DESKTOP LOGON対応OS

対応ブラウザ

対応OS

対応ブラウザ

PC

スマートデバイス

PC

株式会社富士通ソーシアルサイエンスラボラトリ〒２１１-００６３川崎市中原区小杉町１-４０３　　　　　　　　　　　　　　武蔵小杉タワープレイスＴＥＬ０４４-７３９-１２５１Ｅ-ｍａｉｌ : [email protected] URL：http://www.ssl.fujitsu.com/

Documents

1401 smx 12p - fujitsu.com · MOBILE LOGON GSBサーバ for Apple iPhone / iPad for Android iOS端末、Android端末に対応 スマートデバイスから「マトリクス認証®」で社内リソースにアクセス

1401 smx 12p - fujitsu.com · MOBILE LOGON GSBサーバ for Apple iPhone / iPad for Android iOS端末、Android端末に対応スマートデバイスから「マトリクス認証®」で社内リソースにアクセス