XMLセキュリティツール製品調査xmlconsortium.org/seminar08/090109/data/security-bukai/20090109day...– OpenID, OAUTH … 何を使って ... – IBM DataPower (XS40 XML

1

XML ConsortiumXML Consortium

Security Sig09-JAN- 2009©2008 XML Consortium

XMLセキュリティツール/製品調査

2009年1月9日 XMLコンソーシアムDayセキュリティ部会林正樹 (富士通)宮地直人（ラング・エッジ）

2

XM

L C

onso

rtiu

mX

ML

Con

sort

ium

©2008 XML ConsortiumSecurity Sig09-JAN-2009

XMLセキュリティツール/製品調査活動の概要

XMLのセキュリティに関するツールや製品を調査する– 1) XMLを使ったシステムに対するセキュリティ– 2)セキュリティ技術でXMLを利用するもの

利用に役立つ情報の調査／一覧資料の作成– 製品版/無償ツールの機能、特徴、使い方、事例など

調査結果を公開– XMLコンソーシアムWebサイト– XML開発ガイド– その他、発表の場があれば公開していく共有すべき製品情報があればご連絡ください

3

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


活動目的

XMLやWebサービスのセキュリティに関する標準規格がたくさんある

標準でない仕様やツールもある– OpenID, OAUTH …

何を使って何ができるのか

何が必要なのか

4

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


調査方法製品版無償ツール（無償提供版）

リストアップセキュリティ部会で調査セキュリティ部会で調査

基本情報入手ベンダーに情報提供依頼セキュリティ部会で調査

事例調査ベンダーに情報提供依頼

使い方の確認

2009年5月公開目標

調査対象：対象分野のツール/製品で日本で利用可能なもの– XML暗号、XML電子署名、WS-Security– XMLベースの長期署名– XML/SOAPファイアウォール– その他 (随時検討)

5



ツール/製品調査XML暗号、XML電子署名、

WS-Security (WSS)

6

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


セキュリティ対策XMLデータの保護：WS-Security

トークン•Username•X.509•SAML•REL

WS-Security2004/04

OASIS標準XML暗号化XML電子署名

SOAP 認証基盤

ゴール：SOAPを使った安全なアプリケーション間通信の方法– 日本語版は、XMLコンソーシアムWebサイト

http://www.xmlconsortium.org

主な内容：

– メッセージ保護メカニズム、ID参照、セキュリティ・ヘッダ– 電子署名と暗号化、タイムスタンプ → 主にデータの保護をカバー– セキュリティ・トークンと参照の方法– 注意点（エラー処理、相互接続性、その他)

7

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


WS-Secrityの目的と機能Webサービスをセキュアにするための基本プロトコルSOAPの機能拡張する標準を作り、End-Endの完全性、秘匿性を考慮■メッセージの完全性：XML-Signatureｾｷｭﾘﾃｨﾄｰｸﾝの使用、Multiple SOAP actors/rolesに対応した複数の署名、署名形式の拡張を考慮

■メッセージの秘匿：XML Encrypttionｾｷｭﾘﾃｨﾄｰｸﾝの使用、Multiple SOAP actors/rolesに対応した暗号化の考慮

完全性(Integrity)

秘匿性(Confidentiality)

送信者認証(Sender Authentication)

XML電子署名XML-Signature

XML暗号化XML Encryption

セキュリティトークンUsername/X.509/SAML等

8

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


WS-Securityのデータ例

Timestamp及びBodyに署名↓暗号化

WS

WS

-- SecuritySecurity

ヘッダ

ヘッダ

タイムスタンプ

セキュリティ・トークン（X509証明書）

暗号化された

鍵情報

電子署名

本文（Body)暗号化済み

OASISWeb Services Security:SOAP Message Security 1.0OASIS Standard 200401, March 200411章「拡張例」より

SOA

PSO

AP

ヘッダ

ヘッダ

SOA

PSO

AP

ボディ

ボディ

9

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


XML暗号、XML電子署名、WS-Security

製品提供形態

アプリケーション・サーバー型

ゲートウェイ型

ライブラリ型

10

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


調査対象項目の例

製品が提供している機能の有無– XML暗号・復号機能– XML電子署名付与機能– XML電子署名検証機能– WS-Security機能

準拠している標準仕様

使用可能なXML暗号、XML電子署名の暗号アルゴリズムと鍵長

サポートしているセキュリティ・トークン（WS-Security機能）事例調査

など

11

XM

L C

onso

rtiu

mX

ML

Con

sort

ium




アプリケーション・サーバ型とは– Webサービスの実行環境となるアプリケーションサーバ（AppSV)において、XML暗号、XML電子署名、WS-Securityなどに対応

XML電子署名

XML暗号

WS-Security

アプリ処理・他AppAppSVSV

SOAP<?xml

……

FWFWAppAppSVSV

12

XM

L C

onso

rtiu

mX

ML

Con

sort

ium




調査予定製品– 富士通 (Interstage)– NEC (ActiveGlobe WebOTX)– 日立 (Cosminexus)– 日本オラクル (Oracle Application Server、WebLogic

Server)– 日本IBM (WebSphere Application Server)– サン・マイクロシステムズ (Sun Java System Application

Server)– 日本HP (Systinet Server)– Software AG (webMethods Glue)

13

XM

L C

onso

rtiu

mX

ML

Con

sort

ium



ゲートウェイ型

XMLゲートウェイ型とは– XML暗号、XML電子署名、WS-Securityなど、XMLの処理機能の一部をAppSVからオフロードする

XML処理の一部をオフロード

AppAppSVSV

XML電子署名

XML暗号

WS-Security

XML電子署名

XML暗号

WS-Security

アプリ処理・他FWFW XMLXMLｹﾞｰﾄｳｪｲｹﾞｰﾄｳｪｲ

SOAP<?xml

……

AppAppSVSV

13

14

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


XML暗号、XML電子署名、WS-SecurityXMLゲートウェイの調査リスト

2005年6月7日Week で報告した”WebServiceSecurity 製品対応状況について“でリストアップした製品を中心に、現在日本で販売されている製品を対象を精査してアンケートを実施する予定対象製品– Cisco (ACE* XML GW)

*Application Control Engine– IBM DataPower (XS40 XML Security Gateway)– Intel (Intel SOA Express)– SOA Software (XML VPN)– Radware (AppXML)– Solance Systems (Solance3230 and Solance3260

content router)– Sonoa Systems

15

XM

L C

onso

rtiu

mX

ML

Con

sort

ium



ライブラリ型

ライブラリ型とは

ライブラリの形で、 XML暗号、XML電子署名、WS-Security機能を提供ツール例 (2005年調査より)– Apache WSS4J (Apache Software Foundation)– JavaTM Web Services Developer Pack (Java WSDP)

1.5 (Sun Microsystems)– Oracle Phaos WSS 1.0 (Oracle)– RSA BSAFE Secure WS-C/J (RSA Security)– Trust Services Integration Kit 1.10 (VeriSign, Inc.)– Web Services Enhancements (WSE) 2.0 SP3

(Microsoft)

調査方法は検討中

16



ツール/製品調査XML/SOAPファイアウォール

17

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


XML/SOAPファイアウォールとは何か？

XML firewall– From Wikipedia, the free encyclopedia 2008/12/31– First brought to market by Forum Systems[citation

needed], an XML firewall is a specialized firewall used to provide security for XML messaging such as Web services. XML firewalls are types of XML appliances that are separated from internal computer systems and frequently reside in an organization's DMZ.(XMLファイアウォールとは特殊化したファイアウォールで、WebサービスのようなXMLメッセージングに対してセキュリティを提供するために使われる。)

大きく分けて2種類の形態– XMLゲートウェイで、セキュリティ機能を持つもの

…重要なWebサービスなど特定のシステムに利用されることが多い– ファイアウォールで、XML機能を持つもの… AjaxなどXMLを使う部分もあるWebサイトに利用されることが多い

http://en.wikipedia.org/w/index.php?title=Forum_Systems&action=edit&redlink=1

http://en.wikipedia.org/wiki/Wikipedia:Citation_needed



http://en.wikipedia.org/wiki/XML

http://en.wikipedia.org/wiki/Web_services

http://en.wikipedia.org/wiki/XML_appliance

http://en.wikipedia.org/wiki/Demilitarized_zone_%28computing%29

18

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


XML/SOAPファイアウォール調査対象ツール/製品

Cisco ACE (ゲートウェイ)IBM DataPower (ゲートウェイ)Imperva SecureSphere WAFバラクーダネットワークスWeb Site Firewallシトリックス Application Firewall

19



ツール/製品調査長期署名XAdES

（XAdES = XML Advanced Electronic Signatures）

20

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


その前に…長期署名とは？○ 現実世界との比較

現実世界

印鑑（ハンコ）紙に押印した印影印鑑証明書/住民票等

電子世界証明書と秘密鍵電子署名（XML署名）

検証情報や時刻証明（失効情報/TST等）

電子署名 --- ○ × 含まない

長期署名 --- ○ ○ 含む

従来の電子署名（XML署名）には有効期限があった。長期署名（XAdES）では有効期限の延長が可能になる。

21

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


長期署名XAdESの利点必要な検証情報を全て含み有効期限の延長が可能。– 検証に必要な証明書や失効情報等をタイムスタンプにより保護。– e-文書法やJ-SOXでの電子文書の長期保管に利用が期待される。

「誰が」に加えて「いつ」に関してもタイムスタンプ技術で保証。– タイムスタンプは電子署名技術の応用により時刻を保証する。

XAdESは2008年にJIS化もされた標準規格。– XAdESは標準のXML署名を拡張した上位互換仕様になっている。– JIS X 5093:2008 「XML署名利用電子署名(XAdES)の長期署名プロファイル」。欧州規格「ETSI TS 101 903 V1.3.2」。

– 現在は主に欧州のETSIが中心になって仕様を更新している。– 日本ではECOMが中心になってJIS化等の標準化を進めている。

22

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


ECOMにおけるXAdESの歴史2000年より長期署名の調査や普及啓蒙活動を実施2005年度 CAdES/XAdES相互運用性テストプロジェクト– XAdES参加企業は３社、（CAdESは10社）

2006年5月 XAdES JIS原案の作成に着手2007年度 CAdES/XAdES相互運用性テストプロジェクト

– XAdES参加企業は8社に増加、（CAdESは14社）

2008年5月 XAdES JIS化

※他にも欧州(ETSI)と共同にてPlugTestを数回実施※ ECOM = 次世代電子商取引推進協議会 http://www.ecom.jp/

23

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


長期署名XAdESツール調査2007年度 CAdES/XAdES相互運用性テスト参加企業を対象にしてアンケート調査を予定（以下50音順）– エントラストジャパン– 関電システムソリューションズ– 大日本印刷– 東北インフォメーション・システムズ– 日本電気– 富士ゼロックス– 三菱電機– ラング・エッジ

※ 2007年度相互運用性テスト結果はECOMサイトにて入手可能http://www.ecom.jp/LongTermStorage/

24

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


付録：XAdESの構造１ES (XAdES) = 電子署名文書。ES-T (XAdES-T) = ESに署名タイムスタンプ(STS)を追加。- JIS定義ES-C (XAdES-C) = ES-Tに検証情報リファレンスを追加。ES-X Long (XAdES-XL) = ES-T/ES-Cに検証情報を追加。ES-A (XAdES-A) = ES-X Long に保管タイムスタンプ(ATS)を追加。 - JIS定義

ES-A…ES-AES-XLES-CES-TES

署名値

文書署名属性STS

検証情報リファレンス

検証情報

ATS ATS

25

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


付録：XAdESの構造２<Signature> // XML署名開始タグ<SignedInfo> // 署名対象要素 ES-BES要素<CanonicalizationMethod/> // 署名対象正規化手法指定<SignatureMethod/> // 署名アルゴリズム指定<Reference/> // 署名対象へのURI指定１とオプション変換手法指定: // 署名対象は複数指定可能

<Reference URI=”#xades”/> // XAdES署名対象へのURI指定</SignedInfo> // 署名対象要素終了<SignatureValue/> // 署名値（Base64） ES-BES要素<KeyInfo/> // 署名者の秘密鍵情報（オプション） ES-BES要素<Object/> // 署名対象内包時のオブジェクト要素（オプション）<Object> // 長期署名用オブジェクト（必須）<QualifyingProperties> // XAdES要素開始<SignedProperties Id=”xades”> // XAdES署名対象要素（必須：署名対象の１つ）<SignedSignatureProperties/> // XAdES署名要素（例：<SigningTime>等） ES-BES要素

</SignedProperties> // XAdES署名対象要素終了<UnsignedProperties> // XAdES非署名対象要素<UnsignedSignatureProperties> // XAdES非署名要素<SignatureTimeStamp/> // XAdES-T署名タイムスタンプ要素 ES-T要素<CertificateValues/> // XAdES-X-Long証明書一覧要素 ES-XL要素<RevocationValues/> // XAdES-X-Long検証情報一覧要素 ES-XL要素<ArchiveTimeStamp/> // XAdES-A保管タイムスタンプ要素（複数回可能） ES-A要素:

<ArchiveTimeStamp/> // XAdES-A保管タイムスタンプ要素（最終） ES-A要素</UnsignedSignatureProperties> // XAdES非署名要素

</UnsignedProperties> // XAdES非署名対象要素終了</QualifyingProperties> // XAdES要素終了

</Object> // 長期署名用オブジェクト終了タグ</Signature> // XML署名終了タグ

26

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


参考：２種類の長期署名フォーマット

XAdES ‒ JIS X5093 ‒ ETSI TS 101 903

◎ 日本のPKI業界ではXMLは少数◎ テキスト形式で可読性が高い◎ XMLの正規化等による冗長性あり◎ 一般的XMLパーサで解析可能◎ 証明書等はASN.1/BER形式の為結局CMS等の知識も必要になる

CAdES ‒ JIS X5092 ‒ ETSI TS 101 733

◎ PKI業界で昔から使われている◎ 日本ではXAdESよりも実装が多い◎ ファイルサイズが小さい◎ ASN.1/BER対応のパーサが必要◎ 証明書等も全てASN.1/BER形式

ベースフォーマットXML（テキスト） ASN.1/BER（バイナリ）

ベース電子署名規格XML署名利用例： ODF , OOXML , XPS 等

CMS（PKCS#7）形式利用例： PDF , S/MIME 等

長期署名としての要素となる情報や電子署名＋タイムスタンプとしての仕様は両方共ほぼ同等。署名対象となる文書フォーマットやデータフォーマットで使い分けられているケースが多い。

27

XM

L C

onso

rtiu

mX

ML

Con

sort

ium


XMLセキュリテツール/製品調査

まとめ

XMLのセキュリティに関するツールや製品を調査中2009年5月最初の結果報告を目標調査製品分野– XML暗号、XML電子署名、WS-Security

• APサーバー型• ゲートウェイ型• ライブラリ型 (対応検討中)

– XMLベースの長期署名– XML/SOAPファイアウォール

共有すべき製品情報があればご連絡ください

Documents

XMLセキュリティ ツール 製品調査xmlconsortium.org/seminar08/090109/data/security-bukai/20090109day...– OpenID, OAUTH … 何を使って ... – IBM DataPower (XS40 XML

XMLセキュリティツール製品調査xmlconsortium.org/seminar08/090109/data/security-bukai/20090109day...– OpenID, OAUTH … 何を使って ... – IBM DataPower (XS40 XML