ネットスコープは、2022年Gartner®社のセキュリティ・サービス・エッジ(SSE)のマジック・クアドラントでリーダーの1社と位置付けられました。レポートを読む

  • Security Service Edge Products

    Protect against advanced and cloud-enabled threats and safeguard data across all vectors.

  • Borderless SD-WAN

    Confidently provide secure, high-performance access to every remote user, device, site, and cloud.

  • プラットフォーム

    世界最大のセキュリティプライベートクラウドでの比類のない可視性とリアルタイムデータおよび脅威保護。

ネットスコープ、2022年Gartner社のセキュリティ・サービス・エッジ(SSE)のマジック・クアドラントでリーダーの1社と位置付けられる

レポートを読む 製品概要に移動
Netskope Gartner マジック・クアドラント 2022 SSEリーダー

Gartner® Quick Answer:NetskopeのInfiot買収はSD-WAN、SASE、SSEプロジェクトにどのような影響を与えますか?

レポートを読む
Quick Answer: How Does Netskope’s Acquisition of Infiot Impact SD-WAN, SASE and SSE Projects?

Netskope は、データと脅威の保護、および安全なプライベートアクセスを実現するための機能を統合した、最新のクラウドセキュリティスタックを提供します。

プラットフォームを探索する
大都市の俯瞰図
  • 変身

    デジタルトランスフォーメーションを保護します。

  • セキュリティの近代化

    今日と明日のセキュリティの課題に対応します。

  • フレームワーク

    サイバーセキュリティを形作る規制の枠組みを採用する。

  • 業界ソリューション

    Netskopeは、クラウドに安全に移行するためのプロセスを世界最大規模の企業に提供しています。

最小の遅延と高い信頼性を備えた、市場をリードするクラウドセキュリティサービスに移行します。

詳しくはこちら
Lighted highway through mountainside switchbacks

シングルパスSSEフレームワークを使用して、他のセキュリティソリューションを回避することが多い脅威を防止します。

詳しくはこちら
Lighting storm over metropolitan area

SSEおよびSASE展開のためのゼロトラストソリューション

詳しくはこちら
Boat driving through open sea

Netskopeは、クラウドサービス、アプリ、パブリッククラウドインフラストラクチャを採用するための安全でクラウドスマートかつ迅速な旅を可能にします。

詳しくはこちら
Wind turbines along cliffside
  • 導入企業

    Netskopeは、フォーチュン100の25以上を含む世界中の2,000以上の顧客にサービスを提供しています。

  • カスタマーソリューション

    お客様のため、Netskopeでお客様の成功を確実にすべく、あらゆるステップを共に歩んでまいります。

  • トレーニングと認定

    Netskope training will help you become a cloud security expert.

私たちは、お客様が何にでも備えることができるように支援します

お客様を見る
Woman smiling with glasses looking out window

Netskopeの有能で経験豊富なプロフェッショナルサービスチームは、実装を成功させるための規範的なアプローチを提供します。

詳しくはこちら
Netskope Professional Services

Netskopeトレーニングで、デジタルトランスフォーメーションの旅を保護し、クラウド、ウェブ、プライベートアプリケーションを最大限に活用してください。

詳しくはこちら
Group of young professionals working
  • リソース

    クラウドへ安全に移行する上でNetskopeがどのように役立つかについての詳細は、以下をご覧ください。

  • ブログ

    Netskopeがセキュリティサービスエッジ(SSE)を通じてセキュリティとネットワークの変革を可能にする方法を学びましょう。

  • イベント&ワークショップ

    最新のセキュリティトレンドを先取りし、仲間とつながりましょう。

  • 定義されたセキュリティ

    サイバーセキュリティ百科事典で知っておくべきことすべて。

セキュリティビジョナリーポッドキャスト

Episode 15: Building Permanent Security Awareness

ポッドキャストを再生する
Black man sitting in conference meeting

Netskopeがセキュリティサービスエッジ(SSE)機能を介してゼロトラストおよびSASEジャーニーを実現する方法に関する最新情報をお読みください。

ブログを読む
Sunrise and cloudy sky

SASE Week

Netskope is positioned to help you begin your journey and discover where Security, Networking, and Zero Trust fit in the SASE world.

詳しくはこちら
SASE Week

セキュリティサービスエッジとは何ですか?

SASEのセキュリティ面、ネットワークとクラウドでの保護の未来を探ります。

詳しくはこちら
Four-way roundabout
  • 会社概要

    クラウド、データ、ネットワークセキュリティの課題の先取りをサポート

  • ネットスコープが選ばれる理由

    クラウドの変革とどこからでも機能することで、セキュリティの機能方法が変わりました。

  • リーダーシップ

    ネットスコープの経営陣はお客様を成功に導くために全力を尽くしています。

  • パートナー

    私たちはセキュリティリーダーと提携して、クラウドへの旅を保護します。

Netskopeは仕事の未来を可能にします。

詳しくはこちら
Curvy road through wooded area

Netskopeは、組織がゼロトラストの原則を適用してデータを保護できるように、クラウド、データ、およびネットワークのセキュリティを再定義しています。

詳しくはこちら
Switchback road atop a cliffside

思想家、建築家、夢想家、革新者。 一緒に、私たちはお客様がデータと人々を保護するのを助けるために最先端のクラウドセキュリティソリューションを提供します。

当社のチーム紹介
Group of hikers scaling a snowy mountain

Netskopeのパートナー中心の市場開拓戦略により、パートナーは企業のセキュリティを変革しながら、成長と収益性を最大化できます。

詳しくはこちら
Group of diverse young professionals smiling

SASEとTLS 1.3(パート1):TLS 1.3に「対応」とは

Sep 23 2020

TLSは、Webサイトやクラウド サービスとの安全な通信に必要な最重要プロトコルであり、ベンダーはSASE(セキュア アクセス サービス エッジ)市場の開拓に熱心であればあるほど、TLSを大規模に実装する能力を備える必要があります。それには、SASEの”セキュリティ クラウド”向けコンピューティング インフラストラクチャ、ネットワーク インフラストラクチャも、同様に高度に設計する必要があるだけでなく、TLSそのものについても、細心の注意を払う必要があります。

TLS 1.3はTLSの最新バージョンであり、完成してから既に2年以上が経過しています。TLS 1.3には大きな利点が複数あること、また、しばらくの間はさらに新しいバージョンのTLSはでてこないであろうと考えられているため、多くのセキュリティ ベンダーが「TLS 1.3対応」を掲げているのは自然な流れと言って良いでしょう。しかし注目すべき点は、「対応」という概念がいかにあいまいかということです。そこで本記事では、TLS 1.3がSASEおよびいずれSASEとなるシステムが採用される場面、TLS 1.3「対応」が意味する内容、これらがエンタープライズ セキュリティにとって重要な理由について簡潔に説明します。

TLS 1.3の重要性

TLS 1.3について時間をかけて考えたことのある人はほとんどいないでしょうし、このテーマについて強い思いがある人も少ないことを前提とすると、「このプロトコルってそんなに重要?」という疑問が当然のごとく湧いてくると思います。しかし、TLS 1.3はセキュリティに間違いなく貢献しており、また、Webサイトの重要箇所で使用されているため、その重要性については確かな根拠があるのです。 

TLS 1.2からのアップデートは比較的少ないものの、これらの変更は、最近注目を集めている攻撃の多くを排除·軽減するために重要です。セキュリティとパフォーマンスに関するTLS 1.3の変更点については、他のさまざまなブログでまとめられています。深刻な攻撃を1つ排除することも重要ですが、TLS 1.3を採用すれば、それを超える成果を得ることができます。

SSL Labsの統計によれば、TLS 1.3はSSL/TLSのベストバージョンとして、Alexa 150K(世界で最も有名なWebサイトのトップ150,000)の25%で採用されています。TLS 1.3は広く普及していると言っても過言ではないでしょう。

このように、TLS 1.3の重要性に疑問の余地はありません。では、TLS 1.3は、SASEシステムのどこに採用されているのでしょうか?

TLS 1.3が採用される場面

SASEおよびSASEたり得る製品では、TLS 1.3に対応すべき場面が基本的には3つあります。プロキシ、トンネル、そして管理コンソールです。 

最初はTLSプロキシの機能で、これは最重要のケースと言って良いでしょう。信頼性の高いセキュリティ プロキシは、クライアント/サーバー間のTLS通信を効果的に仲介し、暗号化されているトラフィックを復号し、検査できます。信頼性の高いセキュリティ プロキシでTLS 1.3に対応することは非常に重要で、対応できない場合はプロキシそのものの使用によりセキュリティが事実上低下してしまうことがあります。このような場合、本来はTLS 1.3で実行できるクライアント/サーバー間の通信に対し、その代替手段として、脆弱性があることがわかっているTLS 1.2を使用することになります。

TLS 1.3が重要となる2つめの場面は、トンネル内、例えばゼロ トラスト ネットワーク アクセス(ZTNA)製品や機能などです。TLS 1.3をトンネル トランスポートとして使用することは良いことですが、その重要性はプロキシの場合よりも低くなります。これは、通信を行うトンネル エンドポイントの両端が、セキュリティ ベンダーにより制御されているためです。これはプロキシの場合では実現が不可能であり、トンネルを使用する場合の特徴です。TLS 1.2はTLS 1.3よりも安全性の低いプロトコルですが、脆弱な暗号化方式や同様にローカルでの変更を削除することで、TLS 1.2の特定のインスタンスを”強化”できます。プロキシの場合ではこれとは異なり、通信するエンドポイント システムの脆弱性を判断する手段がありません。 

SASEおよびSASEたり得るシステムでTLS 1.3の機能が重要となる3つ目のケースは、管理コンソールとの通信です。権限を持つユーザーは管理コンソールを使用してポリシーを設定し、インシデントを分析します。そのため、リスクにさらされるデータの内容は非常に重要なものになる場合がありますが、セキュリティ クラウドによりプロキシおよびトンネリングされるデータ量と比較した場合はそのデータ量は非常に少ないものです。管理コンソールとの通信の場合、通信を行うエンドポイントの両端は組織のセキュリティ チームによって制御されます。そのためこの場合でも、ユーザーが数多くのクラウド サービスと通信する場合では不可能だった手法で、TLS 1.2を”強化”できます。 

「弊社の製品はTLS 1.3に対応しています」とは

TLS 1.3に「対応」した製品にTLS 1.3トラフィックを送信しても大丈夫であるということは、誰もが納得するあたりまえのことでしょう。ですが、これは解釈の幅が広い文言であり、特に、”大丈夫”という意味がそれぞれ異なる場合は、その違いは顕著に現れます。プロキシの場合にTLS 1.3に「対応」することが意味する内容には、(少なくとも)3つの定義が考えられます。また、そのうち実際にプロトコルを実装する必要があるものは1つだけです。3つの選択肢はそれぞれ、”真のTLS 1.3対応”、”ダウンネゴシエーションによる対応”、”バイパスによる対応”と呼ぶことができます。 

真のTLS 1.3対応

まず「真の」対応について説明しましょう。プロキシがTLS 1.3に対応しているとされている場合に、ほとんどの人が期待するものであり、また、Netskopeがプロキシとして実装しているものです。ここで定義される「真にTLS 1.3に対応した」プロキシは、クライアントとサーバーが「TLS 1.3のみ」を要求する場合でも、TLS 1.3を使用した高度なセキュリティ機能を提供します。TLS 1.3はTLS 1.2よりも優れた暗号化機能とハンドシェイクの方法を備えており、セットアップがより安全で高速です。これが、クライアントとサーバーがこの新しいプロトコルを使うべき明確な理由となっています。 

TLS 1.3通信を使用することがクライアントとサーバーにより明示されている場合にそれを使って高度なセキュリティ機能を提供するためには、製品にTLS 1.3を必ず実装する必要があります。これは、きわめてシンプルです。 

ダウンネゴシエーションによる「対応」

では、ほとんどのTLSクライアントとサーバーがそうですが、クライアントとサーバーの制約がもう少し緩い場合を考えましょう。クライアントとサーバーが「TLS 1.2を受け入れている」場合に完全なセキュリティ機能を実行するプロキシは、「ダウンネゴシエーションによりTLS 1.3に対応」していると言えます。プロキシはクライアントからTLS 1.3接続リクエストを受信します。ですが、それはTLS 1.2にネゴシエートされ、その後TLS1.2接続がサーバーに対して開かれます。これが、この手法の基本的な「トリック」で、実質的には、プロキシに追加されたこの「対応」は、TLS 1.3リクエストを認識し、”大丈夫、うまくやっておきます!”というレスポンスをクライアントに送信しているだけです。それ以外の点では、TLS 1.2とまったく同じ状況です。 

このダウンネゴシエーションによるアプローチは、厳密な意味での真のTLS 1.3対応より劣ることは明らかです。では、ダウンネゴシエーションの良い点と悪い点を考えてみましょう。悪い点は、接続のセキュリティがプロキシによってこっそりダウングレードされてしまうことです。クライアント/サーバー間の接続はもともとTLS 1.3接続であったにもかかわらず、すべてTLS 1.2接続として処理されます。良い点としては、安全性で劣るこのトラフィックに対しても、プロキシによりセキュリティ機能が実行されることが挙げられます。

バイパスによる「対応」

3つ目の定義はどうでしょうか。TLS 1.3トラフィックがプロキシにより処理されていない場合、そのプロキシは、「バイパスによりTLS 1.3に対応」していると言い、「クライアントまたはサーバーがTLS 1.3の使用を要求している」場合、セキュリティ機能はまったく実行されません。この奇妙な「対応」の場合、プロキシはTLS 1.3を、バイパスする対象として認識します。 

ダウンネゴシエーションによる場合と同様、バイパスによるアプローチが厳密な意味での真のTLS 1.3対応より劣ることは明らかです。ここでも、バイパスによる良い点と悪い点を見てみましょう。良い点として、このアプローチではダウンネゴシエーションによるアプローチのように、クライアントとサーバーの通信のセキュリティが勝手にダウングレードされることはありません。クライアントとサーバーは、引き続き推奨のTLS 1.3を介して通信します。悪い点として、このアプローチの場合、プロキシのセキュリティ機能がバイパスされることで通信に対して影響を及ぼさなくなります。この場合、TLS 1.2にダウングレードされる場合よりもさらに悪い結果になる可能性があります。

また、ダウンネゴシエーションとバイパスを組み合わせて使用する場合もあります。この場合、クライアントがTLS 1.3を使用してプロキシに接続すると、プロキシがサーバーに対するTLS 1.2接続の可否を確認します。TLS 1.2接続を開ける場合、プロキシは接続をダウンネゴシエーションします。開けない場合、接続をバイパスします。

選択肢のまとめ

以下の表は、プロキシの実装における選択肢、およびサーバーがTLS 1.2を受け入れる場合とTLS 1.3を要求する場合について、それぞれ対応する結果をまとめたものです。クライアントは、すべての接続でTLS 1.3接続を開始します。

Proxy implementationWhen server accepts TLS 1.2...When server requires TLS 1.3...
True TLS 1.3WorksWorks
Down-negotiate TLS 1.2Works using TLS 1.2Can't connect
Bypass TLS 1.3Connects, but no security processingConnects, but no security processing
Down-negotiate or bypassWorks using TLS 1.2Connects, but no security processing

Only the top row for “True TLS 1.3” works correctly, with full functionality, for both kinds of servers. All the other entries involve a weakening of the protocol, a bypassing of security functionality, or the complete failure of the client/server connection. It’s perhaps a little hard to believe that anyone would really describe the last three rows as “supporting” TLS 1.3, but that kind of exaggeration is common when marketers get carried away. In Part Two, we’ll get specific about Netskope and some competitors, identifying how each company’s proxy implements (or fails to implement) true TLS 1.3.

author image
Mark Day
Mark Day brings a diverse background to his role at Netskope, where he combines his interests in competitive analysis and technology strategy. He is author of the book Bits to Bitcoin: How Our Digital Stuff Works. He has more than thirty patented inventions, and has taught at both MIT and Harvard.