地方公共団体向けプレゼン

2014年第2回地方公共団体ソリューションセミナー

2014年7月23日

ファルコンシステムコンサルティング株式会社山下克美

[email protected]

SAML2.0対応ワンタイムパスワード

「WisePoint Shibboleth」のご紹介

～庁内LANからクラウドへセキュアにアクセス～


©2014 Falcon System Consulting, Inc. All Rights Reserved


2

http://www.soumu.go.jp/menu_news/s-news/01kanbo05_02000059.html

・総務省職員の執務における無線LANの利用開始平成26年4月28日

http://itpro.nikkeibp.co.jp/article/COLUMN/20140407/548990/

・広島県におけるワークスタイルの変化（IT pro抜粋）

https://www.pref.saga.lg.jp/web/kurashi/_1018/ik-ict.html

・佐賀県のICT利活用教育

http://news.livedoor.com/article/detail/8189601/

・世界最先端のIT国家エストニアのデジタル戦略

https://wellnetlink.asahikawa-med.ac.jp/Wellink/top.do

・旭川医科大学のウェルネットリンクでのWisePoint活用

官公庁、自治体におけるICTの動き



電子自治体の推進

3

「電子自治体の取組みを加速するための10の指針」（概要）

参考：総務省自治行政局地域情報政策室 http://www.soumu.go.jp/main_content/000281454.pdf から一部抜粋

自治体クラウドの導入加速

【指針１】番号制度の導入に併せた自治体クラウドの導入

【指針２】大規模地方公共団体のシステムオープン化徹底

【指針３】都道府県による域内市区町村のクラウド加速

【指針４～６】・クラウド実施体制の適切な選択・人材育成

・クラウド化と併せた業務フローの標準化

・クラウドベンダとの最適な調達手法の検討

住民利便性の向上

【指針７】・地方公共団体の保有するデータに

関するオープンデータ推進

・国の実証実験（公共クラウド、

G空間等）への積極的な参加

【指針８】住民満足度が向上するICT利活用の

促進

電子自治体推進のための体制整備

【指針９】情報セキュリティの強化、災害に強い電子自治体【指針１０】チェックリストを活用したPDCA機能の強化

※広島大学におけるクラウドサービス利用ガイドラインチェックリスト https://www.media.hiroshima-u.ac.jp/st/news/cloudguide/docs/cloud-guideline-checklist-20130315.pdf

http://www.soumu.go.jp/main_content/000281454.pdf�



ワークスタイルの変化に伴う対応が必要！

4

国民・住民の方

忙しくて役所に行けないけれど、自宅で住民票が手に入る！

庁内職員の方

出張先からもWebメールが見られるから、仕事の効率大幅アップ！

自治体との入札や取引が効率的に、簡単にできるようになる！

連携機関・外部委託先の方

パンデミックで自宅待機になったけれど、庁内と同じ環境で仕事ができる！



しかし…情報漏洩・改ざんの不安も

5

国民・住民の方の大切な個人情報が漏洩してしまったら…

職員のパスワードが漏れて、庁内情報が改ざんされてしまったら…

提携企業や外部委託先から職員に成りすまして侵入されてしまったら…

外部アクセスを許すことで…

→安全に外部アクセスをするためにはどうすれば良いのか？



本人認証をより強固に、そして手軽に！

6

Q.ITにおける本人認証とは…？システムにログインする際に、本人であるかどうかを検証する作業。

入り口が簡単な認証のみであると、成りすまし等の不正利用が行われてしまう可能性が

あるため、機密性が求められる。参考：IT用語辞典（http://e-words.jp/w/E8AA8DE8A8BC.html）

But！

強固なセキュリティと利便性を両立する認証システムはないのか？

・ユーザからの問合せやパスワード再発行などに時間を取られたくない・簡単にセキュリティを確保したい… ・あまり高い導入コストは使えない…

システム管理者

・複雑なIDやパスワードをたくさん憶えられない… ・難しい装置は使いたくない… ・あまり色々なモノを持ちたくない…

ユーザ

http://e-words.jp/w/E8AA8DE8A8BC.html�



7

ご紹介内容

１．多要素認証について２．クラウド、SAML2.0対応「WisePoint Shibboleth」のご紹介３．導入実績について



8

その前に・・・「ワンタイムパスワード」「二要素認証」が必要！

0

10

20

30

40

50

60

70

2013年

第1四半期

2013年

第2四半期

2013年

第3四半期

2013年

第4四半期

2014年

第1四半期

不正アクセス届出種別推移

その他（被害なし）ワーム形跡アクセス形跡（未遂）その他（被害あり）不正プログラム埋込なりすましアドレス詐称 DoS ワーム感染メール不正中継侵入

※参照：IPA（独立行政法人情報処理推進機構技術本部セキュリティセンターコンピュータウィルス・不正アクセスの届出状況および相談状況［2014年第1四半期］ P10 図2-2.不正アクセス届出種別の推移



1．多要素認証について

・憶えやすく忘れにくい図形・絵柄で認証・ログイン毎にイメージの位置情報が変化すること

で、ワンタイムパスワード認証を実現

イメージングマトリクス認証マトリクスコード認証

・ユーザ毎にユニークな乱数表を用いた認証・ログイン毎にチャレンジコードが変化すること

で、ワンタイムパスワード認証を実現

VASCO DIGIPASS認証

(※)8秒単位で設定を変えることが可能

・40秒でパスワードが変わる(※)ハードウェアトークンを使ったワンタイムパスワード認証・インターネットバンキングレベルの

高いセキュリティ強度

スマートデバイスID認証

（個体識別認証、端末認証）

・スマートデバイス端末ごとに固有に持たせたIDで端末を特定・iOS、一部Android対応・入力の手間を省略化

携帯電話ID認証

・携帯電話固有の製造番号をキーにした端末認証・マルチキャリア対応（docomo、au、SoftBank）・入力の手間を省略化

オプションライセンスです。オプションライセンスです。

オプションライセンスです。

(※)WisePointShibboleth

は対応しておりません。

Q:初恋の人の名前は？

*********

Jパスワード認証

・日本語（全角文字：漢字やひらがな等利用できます。・ユーザだけにしかわからない、覚えやすく忘れにくい既知情報をパスワードとして、登録利用できます。・パスワードに利用可能な文字数が半角文字に比べ増加するため、総当り攻撃に強い耐性を発揮しま

す。

9



イメージングマトリクス認証

10

《特許取得済》

事前に覚えた絵柄をキーにワンタイムパスワード認証を実現

不規則な縦横二桁の数字をログイン毎にランダム表示

ログイン毎に絵柄の位置がランダムに移動

＋

ワンタイムパスワードを実現

（イメージ図）



マトリクスコード認証

11

不規則な指示と乱数表によりワンタイムパスワードを生成

WisePointサーバからブラウザへ、毎回ランダムなチャレンジコードが送信される

手元の乱数表の中から該当する数字を抜き出し、パスワードとして入力

↓

ワンタイムパスワードを実現

1315

※ICカード等の職員証に印刷することも

可能です。



WisePoint認証適用例(1)

12

外部委託企業から庁内へのアクセス時の認証基盤として

庁内LAN

DMZ

庁内グループウェア

電子入札システム

WisePoint DB

委託企業A

絵柄で認証を行って電子入札システムへアクセス、業務

委託企業B

カードで認証を行って、庁内グループウェアへアクセス、業務

・SSL-VPN経由で庁内LANにアクセスする際の認証強化

・外部委託業者のセキュリティ保障

・取引や業務がいつでも、どこでも安全にできる

SSL-VPN装置



WisePoint認証適用例(2)

13

図書館・公民館等公共施設、市民の方のアクセス時の認証基盤として

庁内LAN

DMZ

・施設ごとにアクセスできるサービスをコントロール

・誰がどこからアクセスしたのか（ログ）を記録できる

・慣れない方でも簡単に認証が可能、強固なセキュリティを確保

WisePoint DB 電子ジャーナル施設予約システム

市内図書館 iPadで認証を行って

電子ジャーナルシステムへアクセス

一般市民絵柄で認証を行って

ポータルサイトへアクセス、

施設の予約を行うことも可能



2．WisePoint Shibbolethとは・・・

Internet2が中心となり、主に学術系の認証連携をOSSで実装したプロジェクト SAML2.0対応アプリやサービスに利用できる認証、SSO機能を標準装備したSW セキュリティレベルの高いワンタイムパスワード認証機能クラウドとオンプレのWebシステムへの認証、認可学術認証フェデレーションへのシングルサインオン GoogleAppsやOffice365等へのシングルサインオンリバースプロキシのSPを利用して、庁内のWebシステムへのSSOも可能 ID統合認証基盤との連携 IdP、SP機能（シングルサインオンと認証強化） IdP機能（Shibboleth IdP機能。多要素認証機能を提供） SP機能（SAML未対応の庁内Webシステムへのシングルサインオン機能）

14



WisePoint Shibbolethの機能

SAML2.0対応クラウドサービスへの認証とSSO （Google Apps、Office365（※）、Cybozu.com）ワンタイムパスワード認証機能（イメージングマトリクス認証、マトリックスコード認証、Jパスワード認証）リバースプロキシ対応のシングルサインオン（庁内のWebシステムへのSSOが可能）アクセスコントロール機能（Webサービス毎に認証の強度を変えられる） LDAP、ActiveDirectory連携（ユーザ管理） IdP、SP機能（シングルサインオンと認証強化） IdP機能（Shibboleth IdP機能。多要素認証機能を提供） SP機能（SAML未対応の庁内Webシステムへのシングルサインオン機能）学認対応（学術認証フェデレーション、図書館システム、電子ジャーナル）ポータル機能スマートデバイス対応（個体識別認証も可能）シングルサインオン追加設定もWebGUIにて可能各種ブラウザ対応（IE、safari、Chrome） ※Office365については検証が必要 ※IdPとは、ID プロバイダーの略称で、認証、認可の機能を提供します。 ※SPとは、Serviceプロバイダーの略称で、SAML対応のWebシステムの事を表しております。

15



16

庁内、学内の認証基盤で外部SP、庁内、学内Webシステムへシングルサインオン

庁内、学内のWisePoint認証サーバ（リバースプロキシ）で認証、シングルサインオン

WisePoint Shibboleth IdP

による多要素認証

各種サブシステムへのアクセス制御

冗長化対応

仮想化対応

WisePoint Shibboleth ご利用イメージ



ユーザポータル機能

グループウェア等

ユーザ毎のパーソナライズ画面

各ユーザがアクセス可能なサービス一覧を表示

庁内連絡情報も表示可能

様々なWebアプリケーションとシングルサインオン連携が可能

17



18

Web シングルサインオン ■複数のシステムへ毎回認証情報を入力する手間を省略

■様々なWebアプリケーションとの連携実績

■基本認証、フォーム認証に対応

□ユーザ独自開発Webアプリケーションにも柔軟に対応【職員認証情報】

A: ID syainA PW **** ・・

職員認証情報】 A: ID ****A PW **** ・・

【職員認証情報】 A: ID A**** PW **** ・・

グループウェア

メールシステム

年金システム

WisePoint SPサーバ

職員A

・バックエンドのアプリの認証情報をキャッシュ・ユーザの代理認証を実施

suzuki ********

ユーザはWisePointで 1度認証をするだけ

個別入力の必要なし



19

アクセスコントロール ■ユーザをロールに割り当て、各ロール毎にアクセス可能なWebサービスをコントロール

■各サービスの重要度に応じて、認証方式の設定も可能（2段階認証が可能）

グループウェア

施設予約システム

調達システム

職員

外部委託業者

ゲストユーザー

WisePoint SPサーバユーザA

ユーザB

ユーザC

それぞれポータル経由でアクセス（ユーザ毎に利用可能な

サービスが表示）

×

×



システム構成パターン： WisePoint Shibboleth-IdP/-SP利用

DMZ クライアントPC

LAN

※データベースサーバとWisePoint管理サーバは１台のマシンに搭載可

スマートデバイス

WisePoint Shibboleth-IdPサーバ

WisePoint Shibboleth-SPサーバ（SSO用）

Web アプリケーション

データベースサーバ

WisePoint 管理サーバ

LDAP

20



庁内LANからクラウドへの認証の流れ①

①庁内PCからGoogleAppsにアクセスしようとすると、WisePointShibboleth-IdPにリダイレクトされる

IdPのURL

21



認証の流れ②

②ID/PWを入力

22



認証の流れ③

③絵柄をクリック

23



認証の流れ④

④庁内LANにログイン成功

24



認証の流れ⑤

⑤庁内LANからGmailにも自動ログインが可能です。（シングルサインオン）

●●●●●●●●

●●●●●●●●●●●

●●●●● ●●●●● ●●●●●●

25



北海道大学、国際教養大学、東北大学、大妻学園、防衛大学校、

日本大学、横浜国立大学、静岡文化芸術大学、愛知教育大学、福井工業大学、大手門大学、武庫川女子大学、甲南大学、比治山大学、広島修道大学、鳥取大学、福岡大学、九州大学、九州工業大学、

熊本県立大学

旭川医科大学病院がん研究センター南砺市民病院豊橋市民病院

他

3.WisePointシリーズの導入実績

ファーストリテイリング

全日空東急電鉄日本電産 YKK-AP 他

企業

医療

高等教育機関

新見市役所狭山市役所札幌市役所福井県庁中央官庁

独立行政法人他

公共

約290社の導入実績（2014年6月時点）

敬省略

26



導入事例のご紹介～岡山県新見市役所様～

27



岡山県新見市について

人口：約36,000人豊かな自然を活かし、果物や牛肉などを生産

2005年に旧・新見市と阿哲郡大佐町・神郷町・哲多町・哲西町の 1市4町が対等合併し新設

28



新見市役所様のシステムにおける課題

市町が合併する以前に様々なシステムを利用していた

合併後は新しいシステムに統一したい

職員が新しいシステムを使いこなすまでに時間がかかる

突然新システムに移行するのではなく、合併前のシステムと併用しながら新システムを使っていきたい

リモートアクセス（外部アクセス）を許可したいが、セキュリティが不安…

29



WisePointの採用へ－WisePoint導入後のシステム構成－

新見市

新財務会計

システム

グループウェア市民ポータルサイト

A町

B町セグメント

B町

C町セグメント合併ネットワーク

市町村合併ネットワークの

認証基盤としてWisePointを利用

WisePoint ・認証・アクセス制御

30



WisePoint 導入効果

WisePointの導入によって、リモートアクセスにおけるセキュリティレベルが向上様々な年代の職員・関係者が認証機能を抵抗なく利用でき、セキュリティ意識も向上 WisePoint導入によって、現行のシステム構成を大幅に変更することなく容易にセキュリティが強化された

市町合併後も従来のシステムと新しいシステムを併用できたことで、新システムへの移行をスムーズに行うことが可能になった【課題の解決】

認証情報・ユーザ情報の一元管理が可能になった

31



32

外部アクセスをセキュアに―SSL-VPNの導入

SSL-VPNの認証強化に―

マトリクスコード認証でセキュアにユーザ認証

電子カルテの共有閲覧を核病院―地域の診療所間で実現 WisePoint Authenticator

導入事例：南砺市民病院様 WPA・SSL-VPN連携電子カルテシステムの病診共有をセキュアに実現

SSL-VPN

電子カルテシステム

＜地域の各診療所＞・核病院の電子カルテを閲覧可能

WPA-Gateway

・各診療所にマトリクスカードを配布・通信中はSSLで暗号化

認証情報

＜ハブホスピタル＞

より良い患者サービス、診療情報の共有によるより適切な治療の実施、情報漏洩保護の目的により WisePointAuthenticatorおよびSSL-VPNを導入し、病診連携ソリューションを実現


セキュリティを重視するサービスに対するマトリクッスパスワード認証の提供

IdPでマトリクスコード認証し、 SP経由で学内、学外サービスにシングルサインオン

九州大学様 Shibboleth認証とシングルサインオンシステム事例

•教職員

学務情報システム

教職員用

WisePoint Shibboleth SP リバースプロキシサーバ

マトリックスパスワード認証の対象となるサービス（ＱＭＡＸ）

事務用ポータル

シングルサインオン

CLOUD

Shibboleth対応の図書館システム（マトリックスパスワード認証対象外）

・全学共通ID ・マトリックスコード生成・ロール生成

（裏面にマトリックス表）

ICカード発行

パスワード変更システム

ユーザID情報等を登録

パスワード変更の場合

全学共通ID管理システム

認可の情報等の照会

電子ジャーナル

DBサーバ

LDAPサーバ

学生は、ID/PW認証で電子ジャーナルのSPと学内ポータルにシングルサインオン

ID・PW認証

学生用

WisePoint Shibboleth SP リバースプロキシサーバ

ユーザ・パスワード情報の照会

マトリックスパスワードの照会

CloudStack （Shibboleth対応）

WisePoint Shibboleth IdP マトリクスコード認証サーバ

33

マトリックス認証

Webシステムと外部フェデレーションへのシングルサインオン



34

自治体・医療機関・教育機関・商店街・住民

食品購入履歴

健康診断情報

食品の栄養成分情報

オープンデータ

緊急時や必要時に医師へ情報開示可能

医師は診断に役立て、迅速な判断の一助に

登録情報などを元に適切な健康アドバイスを提供

医師

スマートフォンやTVへ特売情報やレコメンド情報発信

下宿生活者情報

スーパーマーケットの購買者情報

食料品の購入

普段の健康情報の登録

ICカードの利用履歴による見守り、安否確認

健康情報や購入食品の分析による適正レシピ情報の発信

電子レシート保管

勝手な思い込み！出来るといいな？地域活性化と健康管理、安否確認

栄養士・健康アドバイザ



自治体様・教育機関様

今後の展開（2014年度中）クラウドサービスへの認証基盤の提供予定

LDAP

OpenID Connect SoftLayer

35



36

WisePointシリーズ動作環境

対応プラットフォーム Red Hat Enterprise Linux ver.5/ver.6

HW推奨スペック CPU：Xeon 2.2GHzクラス以上

Memory：8GB以上 ※最小構成は2台構成となります。ｸﾗｽﾀ構成をとる場合は、H/Wは各2倍となります。 ※ サーバにはSSLサーバ証明書が必要となります。 ※推奨クラスタソフトはCLUSTER PRO、又はLife Keeperを推奨致します。 ※仮想化に対応

対応DB PowerGres ver9（製品にバンドル）

Oracle10g以降（有償）



37

最後に

製品紹介ホームページhttp://wisepoint.jp/ 会社Webサイト http://www.falconsc.com

WisePoint Shibbolethのご採用をお願い申し上げます。

http://wisepoint.jp/�

Government & Nonprofit

地方公共団体向けプレゼン