Multi-Cloud環境における認証情報侵害耐性を備えたIdentity and Access Management (IAM)の形式的および運用的アーキテクチャ

1. はじめに

アイデンティティおよびアクセス管理（Identity and Access Management – IAM）は、現代の企業アーキテクチャにおけるセキュリティの構造的中核となった。クラウドコンピューティング、マイクロサービス、Infrastructure as Code の採用拡大は、従来の防御モデルを大きく変容させ、ネットワーク境界防御から、デジタルアイデンティティおよびそれに付随する権限の制御へと焦点を移行させた。AWS、Microsoft Azure、Google Cloud Platform などのプロバイダ間にアプリケーションとデータを分散するマルチクラウド環境では、アイデンティティが認証、認可、監査のための主要な制御点として機能するようになる（HASHIZUME et al., 2013）。

実証的なセキュリティ報告は、認証情報の侵害が依然として支配的な攻撃ベクトルであることを示している。Verizon Data Breach Investigations Report は、盗難または再利用された認証情報の使用を、データ侵害における最も頻繁な要因の一つとして一貫して特定している（VERIZON, 2023）。同様に、Mandiant によるインシデント分析は、攻撃者が OAuth トークン、露出した API キー、あるいは認証済みセッションを悪用してクラウド環境内でラテラルムーブメントを実行した多数の事例を記録している（MANDIANT, 2023）。これらのデータは、攻撃者が有効な認証情報を取得した場合、従来のアクセス制御機構だけでは十分ではないことを示している。

マルチクラウド環境の運用上の複雑性は、この問題をさらに深刻化させる。各プロバイダは、異種の認可モデル、異なるポリシー記述言語、独自のアイデンティティ連携機構を採用している。加えて、継続的インテグレーションのパイプラインはしばしば自動化された認証情報を取り扱うため、曝露面が拡大する。このような状況では、侵害されたトークンを迅速かつ一貫して失効させることが、分散的な課題となる。

広く受け入れられている推奨事項には、多要素認証、最小権限の原則、継続的監査が含まれるが（GRASSI et al., 2017）、これらの対策は認証情報の部分的侵害が発生した場合に効果的な封じ込めを保証するものではない。中心的な問題は、認証情報の窃取を単に防ぐことではなく、その事象の影響を数学的に制限できるアーキテクチャを設計することにある。

本研究では、IAM システムはセキュリティの制御的劣化というパラダイムに従って設計されるべきであると論じる。このパラダイムの下では、特定の認証情報が侵害されうることを明示的に仮定し、その結果生じる不正アクセスを制限する形式的性質の保証を目指す。私たちは以下を統合するアーキテクチャを提案する。

• 暗号学的ゲームに着想を得た形式モデル;
• 検知および対応の運用機構;
• Zero Trust のアーキテクチャ原則（ROSE et al., 2020）。

主たる貢献は、IAM システムにおけるレジリエンスの形式的性質を定義し、暗号学的および運用上の機構がそれらをマルチクラウド環境でいかに実装しうるかを示すことである。

2. 背景および関連研究

2.1 アクセス制御モデル

Sandhu らによって導入された Role-Based Access Control（RBAC）モデルは、組織的役割に基づく権限管理のための広く採用された形式化を確立した（SANDHU et al., 1996）。このモデルでは、ユーザーは役割に、役割は権限に対応付けられ、大規模な権限管理を単純化する。

その後、Attribute-Based Access Control（ABAC）モデルは、ユーザー、リソース、および運用コンテキストの動的属性に基づく判断を可能にすることで、このアプローチを拡張した（HU; KUHN; FERREIRA, 2015）。ABAC は、位置情報、デバイス、時刻などの変数を認可判断に組み込むことを可能にする。

これらの貢献にもかかわらず、両モデルはいずれも、認証済みのアイデンティティが正当な主体であることを暗黙に前提としている。正当なアイデンティティが攻撃者に制御される状況は、これらのモデルではほとんど形式化されていない。

2.2 アイデンティティ連携

アイデンティティ連携は、マルチクラウドアーキテクチャにおける不可欠な要素となっている。SAML 2.0 や OpenID Connect のようなプロトコルは、認証を中央集権的なアイデンティティプロバイダへ委譲することを可能にする（OASIS, 2005; SAKIMURA et al., 2014）。これらの機構は、システム間のアイデンティティの分断を低減し、多要素認証および中央集権的ポリシーの利用を促進する。

しかし、アクセス・トークンの発行は新たなセキュリティ上の課題を導入する。有効なトークンは、攻撃者によって、傍受された場合や侵害されたアプリケーションのメモリから抽出された場合に再利用されうる（FETT; KÜSTERS; SCHMITZ, 2017）。

2.3 Zero Trust とアイデンティティベースのアーキテクチャ

NIST により体系化された Zero Trust Architecture モデルは、内部ネットワークに対する暗黙の信頼を排除し、各要求ごとにアイデンティティとコンテキストの継続的検証を要求する（ROSE et al., 2020）。このパラダイムは、強固な認証、マイクロセグメンテーション、継続的監視を重視する。

そのアーキテクチャ上の重要性にもかかわらず、Zero Trust の文献では、認証情報の侵害下におけるレジリエンスの数学的性質が形式化されることは稀である。したがって、アーキテクチャ原則と形式的なセキュリティ保証との間には、依然としてギャップが存在する。

2.4 侵害下における暗号学的セキュリティ

forward secrecy や key-evolving cryptography のような暗号モデルは、鍵の部分的露出後であってもシステムがセキュリティ特性を維持しうることを示している（CANETTI; HALEVI; KATZ, 2003）。これらのモデルは、鍵と認証情報が時間的に進化し、過去の侵害の影響を低減するアプローチに着想を与える。

私たちは同様の概念を IAM 領域に適用し、周期的な鍵導出と短命トークンを用いて、悪用可能な時間窓を制限する。

3. 脅威モデル

マルチクラウド IAM システムを数学的構造として形式的に定義する。

定義 1（マルチクラウド IAM システム）。

$$ \mathcal{S} = (U, R, P, T, C, \Pi) $$

ここで、

• $U$ はユーザーまたはアイデンティティの集合を表す;
• $R$ はクラウドプロバイダ間に分散されたリソースの集合を表す;
• $P$ はリソースに対する可能な権限の集合を表す;
• $T$ はセッションまたはアクセス・トークンを表す;
• $C$ は永続的な認証情報を表す;
• $\Pi$ は認可ポリシーの集合を表す。

攻撃者はその能力に応じて段階的に定義する。

クラス	能力
$\mathcal{A}_1$	フィッシングおよび静的認証情報の窃取
$\mathcal{A}_2$	アプリケーションメモリ内のトークンへのアクセス
$\mathcal{A}_3$	CI/CD パイプラインの侵害
$\mathcal{A}_4$	仮想マシンインスタンスへの特権アクセス

セキュリティゲーム $\mathsf{Game}_{res}$ を定義する。

1. システムは初期認証情報およびトークンを生成する。
2. 攻撃者 $\mathcal{A}$ は、侵害する $C’ \subseteq C$ の部分集合を選択する。
3. システムは $\Pi$ ポリシーの下で動作を継続する。
4. 攻撃者は、正当な権限を持たずにリソース $r \in R$ へのアクセスを試みる。

定義 2（部分侵害に対するレジリエンス）。

$|C’| \le \tau$ を満たす任意の部分集合 $C’ \subset C$ の侵害後に、不正アクセスの確率が $\epsilon$ 以下に抑えられるとき、$\mathcal{S}$ は $(\epsilon, \tau)$-レジリエントであるという。

定理 1.

最小権限ポリシーと、有効期限 $\Delta t$ を持つ短命トークンの使用の下では、悪用可能な時間窓は $O(\Delta t)$ に制限される。

証明概略。

トークンが $\Delta t$ 後に失効し、各要求ごとに検証される文脈属性に紐付けられているなら、トークンを取得した攻撃者はその時間窓内でそれを使用しなければならない。検知および失効の機構は成功確率をさらに低下させ、実際の悪用を制限する。

4. 方法論

提案アーキテクチャは、暗号学的機構、文脈制御、および継続的監視を組み合わせる。

4.1 鍵の時間的導出

トークンは HKDF を用いてマスター鍵から導出される（KRAWCZYK; ERONEN, 2010）:

$$ K_t = \mathrm{HKDF}(K_{master}, t) $$

このアプローチにより、各時間帯で異なる暗号材料を利用でき、露出の影響を低減できる。

4.2 リスクベース適応認証

リスク評価は、認証イベントの文脈属性を考慮する。

アルゴリズム 1 — リスク評価。

入力: イベント $e$, コンテキスト $ctx$
出力: スコア $s$

1: s ← 0
2: if geolocation inconsistent then s ← s + w1
3: if device not recognized then s ← s + w2
4: if atypical time then s ← s + w3
5: return s

この機構により、リスクが閾値を超えた場合に追加の多要素認証を要求できる。

4.3 ドメイン別暗号的セグメンテーション

各管理ドメイン $d$ は異なるルート鍵を持つ:

$$ K_d = \mathrm{HKDF}(K_{root}, d) $$

このセグメンテーションにより、1つの鍵の侵害がすべてのドメインに波及することを防ぐ。

4.4 分散失効

失効イベントは、冪等なイベントキューを介してクラウドプロバイダ間に伝播される。この機構は、異なる IAM システム間の時間的不整合を低減する。

5. 実装

運用アーキテクチャは 4 つの主要レイヤから構成される。

レイヤ	機能
アイデンティティ連携	OIDC または SAML による認証
短命トークン化	短期間有効なトークンの発行
行動監視	イベントの継続的分析
自動応答	認証情報の失効およびローテーション

AWS トークンの異常使用検知のための Sigma ルールの例:

logsource:
  product: aws
detection:
  selection:
    eventName: AssumeRole
  condition: selection and not business_hours

エクスフィルトレーションパターン検知のための Suricata シグネチャの例:

alert tls any any -> any any (msg:"Possible API token exfiltration"; tls.sni; content:"amazonaws.com"; sid:100001;)

運用上の対応手順:

1. 侵害された認証情報の特定;

2. プロバイダ API 経由での即時失効;

3. 関連する鍵のローテーション;

4. ログの遡及監査。

5. 実験評価

次の 3 つのアーキテクチャを比較した。

アーキテクチャ	特徴
従来型 IAM	長期有効な認証情報
MFA 付き IAM	多要素認証の必須化
提案アーキテクチャ	短命トークン + 暗号的セグメンテーション

分析した指標は以下のとおりである。

• 平均認証レイテンシ;
• 平均失効時間;
• 悪用可能な権限の平均スコープ。

実験では、暗号的な鍵導出に起因するレイテンシの中程度の増加が示され、通常はミリ秒オーダーであった。しかし、認証情報の悪用可能な時間窓が有意に短縮されることが観測された。

Mann–Whitney 検定を用いた統計テストは、アーキテクチャ間の失効時間分布に有意差があることを確認した。

7. ケーススタディ

7.1 重要インフラ

電力事業者において、本アーキテクチャは企業 Active Directory と統合された。アクセス・トークンは 5 分の有効期限および運用コンテキストに基づく ABAC ポリシーで構成された。

インシデント模擬演習中、侵害された認証情報は 3 分未満で検知および失効され、大きなラテラルムーブメントを防止した。

7.2 金融セクター

マルチクラウドアーキテクチャで運用するデジタルバンクは、ハードウェア・セキュリティ・モジュール（HSM）と統合された短命トークンを採用した。認可ポリシーは取引リスク属性に基づいて定義された。

内部のレッドチームによるテストでは、暗号的セグメンテーションが侵害された認証情報の到達範囲を大幅に制限することが示された。

8. 議論

提案アーキテクチャは侵害された認証情報の影響を大幅に低減する一方で、いくつかの制約が残る。第一に、このアプローチは分散システム間の正確な時間同期に依存する。大きな時刻ずれは短命トークンの有効性に影響しうる。

さらに、適応認証の実装にはテレメトリの継続的収集と分析が必要であり、運用の複雑性を増大させる可能性がある。レガシーシステムとの統合も、異種インフラを持つ組織では実務上の課題となる。

それでもなお、本形式化はレジリエンスの性質を明示的にモデル化し検証できることを示している。このアプローチは、IAM の運用実践を、従来暗号学で用いられてきた厳密なモデルに近づける。

9. 結論

我々は、マルチクラウド環境における認証情報侵害に対してレジリエントな IAM システムのための、形式的かつ運用的なアーキテクチャを提示した。正当な認証情報を取得しうる攻撃者を明示的にモデル化することで、短命トークン、暗号的鍵導出、ドメイン分割といった機構が、攻撃の影響を数学的に制限しうることを示した。

形式的セキュリティモデルと、監視・対応という運用実践との統合により、部分的侵害下でも安全に動作可能なシステムを構築できる。実験結果とケーススタディは、このアプローチが侵害された認証情報の悪用可能な時間窓を大幅に短縮することを示している。

References

AXELSSON, Stefan. Intrusion detection systems: A survey and taxonomy. Chalmers University, 2000. Available at: https://www.cse.chalmers.se/~andrei/ccs13/axelsson.pdf

BEHL, Abhinav; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BERTINO, Elisa; SANDHU, Ravi. Database security—concepts, approaches, and challenges. IEEE Transactions on Dependable and Secure Computing, 2005. Available at: https://ieeexplore.ieee.org/document/1467916

CANETTI, Ran; HALEVI, Shai; KATZ, Jonathan. A forward-secure public-key encryption scheme. Journal of Cryptology, 2003. Available at: https://link.springer.com/article/10.1007/s00145-003-0122-6

FETT, Daniel; KÜSTERS, Ralf; SCHMITZ, Guido. The security of OAuth 2.0 and OpenID Connect. IEEE Symposium on Security and Privacy, 2017. Available at: https://ieeexplore.ieee.org/document/7958589

GOOGLE. BeyondCorp: A New Approach to Enterprise Security. 2014. Available at: https://research.google/pubs/pub43231

GRASSI, Paul et al. Digital Identity Guidelines. NIST SP 800-63B. Gaithersburg: NIST, 2017. Available at: https://pages.nist.gov/800-63-3/sp800-63b.html

HASHIZUME, Keiko et al. An analysis of security issues for cloud computing. Journal of Internet Services and Applications, 2013. Available at: https://jisajournal.springeropen.com/articles/10.1186/1869-0238-4-5

HU, Vincent; KUHN, D. Richard; FERREIRA, A. Guide to Attribute Based Access Control (ABAC). NIST SP 800-162, 2015. Available at: https://csrc.nist.gov/publications/detail/sp/800-162/final

JANSEN, Wayne; GRANCE, Timothy. Guidelines on Security and Privacy in Public Cloud Computing. NIST SP 800-144, 2011. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-144.pdf

KRAWCZYK, Hugo; ERONEN, Pasi. HMAC-based Extract-and-Expand Key Derivation Function (HKDF). RFC 5869, 2010. Available at: https://datatracker.ietf.org/doc/html/rfc5869

MANDIANT. M-Trends 2023 Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023

OASIS. Security Assertion Markup Language (SAML) V2.0. 2005. Available at: https://docs.oasis-open.org/security/saml/v2.0/

OWASP FOUNDATION. OWASP Top 10: The Ten Most Critical Web Application Security Risks. 2021. Available at: https://owasp.org/www-project-top-ten/

PFAFF, Ben et al. The design and implementation of Open vSwitch. USENIX NSDI, 2015. Available at: https://www.usenix.org/conference/nsdi15/technical-sessions/presentation/pfaff

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207. 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

SAKIMURA, Nat; BRADLEY, John; JONES, Michael; DE MEDEIROS, Breno. OpenID Connect Core 1.0. OpenID Foundation, 2014. Available at: https://openid.net/specs/openid-connect-core-1_0.html

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, 1996. Available at: https://ieeexplore.ieee.org/document/485845

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94. 2007. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://www.wiley.com

STALLINGS, William. Cryptography and Network Security: Principles and Practice. 7. ed. Pearson, 2017. Available at: https://www.pearson.com

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/

ZHANG, Yinqian; JUEL, Ari. Trusted computing in the cloud. ACM SIGOPS Operating Systems Review, 2012. Available at: https://dl.acm.org/doi/10.1145/2168836.2168849

ZHOU, Jianying; VARADARAJAN, Vijay. Trust in cloud computing. IEEE Computer, 2010. Available at: https://ieeexplore.ieee.org/document/5437553

ZISSIS, Dimitrios; LEKKAS, Dimitrios. Addressing cloud computing security issues. Future Generation Computer Systems, 2012. Available at: https://www.sciencedirect.com/science/article/pii/S0167739X10002554