多くの組織にとって、SSL/TLS証明書の管理といえば、依然としてスプレッドシートやカレンダーのリマインダー、そして予期せず有効期限が切れてしまった際に 3:00 に電話をかける、といった作業が主流となっています。 リスクはシステム停止にとどまりません。SHA-1や MD5のような脆弱なハッシュアルゴリズム、短い鍵長、開発環境から本番環境への移行後に一度も更新されなかった自己署名証明書、そして無許可の認証局などが、企業環境全体において発見されることなく残存し続ける可能性があります。 Tanium Certificate Manager（ ）は、まさにこの問題に対処するために開発されました。当初は可視化から始まり、現在では証明書のライフサイクル全体にわたる管理へとその機能を拡大しています。
今回のエピソードでは、ローラが、Certificate Manager が表示する 2 つの証明書カテゴリについて解説します。それは、自己主導型のポートスキャンによって検出されたリスニングサービス証明書と、Windows の証明書ストアや Linux の事前定義されたファイルパスなどのディスク上の場所で見つかった保存済み証明書です。
その後、彼女は完全な置換ワークフローを実演して見せてくれます。 このデモでは、Tanium内でのCSRの生成、元の証明書を保持していたすべてのエンドポイントへの証明書の配布、再利用可能なパッケージテンプレートを用いたサービス設定、および秘密鍵を含む中間ステージングアーティファクトをクリーンアップする最終処理の手順について解説しています。
大規模な エンドポイント環境 全体で証明書を管理されており、単一のプラットフォーム内で、体系化され、監査可能な証明書更新プロセスがどのように機能するか（Taniumが、手動でのRDPセッションを必要とせずに、複数のマシンに分散しているワイルドカード証明書をどのように処理するかを含め）を確認したい場合は、この手順ガイドをご覧になることをお勧めします。 以下の動画で、デモの全編をご覧ください。
キーポイント
- このモジュール「」の開発のきっかけとなったのは、スプレッドシートでした。Tanium Certificate Managerは、顧客から「Excelで証明書を管理しているため、どの証明書がいつ失効するのかを把握するのが難しい」という声が寄せられたことを受け、Taniumがエンドポイント上で直接可視化機能を実現するために開発したものです。
「基本的に、お客様から『Excelで証明書を管理している』という声を多くいただいていました。これは、さまざまな理由から明らかに理想的とは言えません。中でも最大の理由は、どの証明書がいつ失効するのかを把握するのが難しいという点です。」TaniumのCertificate Manager担当プロダクトマネジメントディレクター、ローラ・イリエスク氏
- 2つの証明書カテゴリ：Certificate Managerでは、リスニングサービス証明書（業界では「サービス証明書」と呼ばれ、ポートスキャンによって検出されるもの）と、ディスク上に存在しリスクのある証明書（「保存済み」に分類され、VPNやWi-Fiクライアント証明書などが含まれます）を区別しています。
- ポートスキャンは自己スキャン型です（）：ポートスキャンが有効になっている場合、デバイスはネットワークスキャンや認証付きスキャンを行うのではなく、自身をスキャンします（特定のポートを順に試行して、そのポートがサポートするTLSのバージョンや暗号スイートを確認し、その後、そのポートでTCP接続を確立して、さまざまなTLS/SSLハンドシェイクを実行します）。 ポートスキャンはオプションであり、設定が可能で、特定のポートを除外することもできます。
- では、証明書に関するリスクが自動的に表示されます。概要ページには、短い鍵、SHA-1 や MD5 などの脆弱なハッシュアルゴリズム、自己署名証明書、および未承認の認証局など、証明書に関するリスクが表示されます。これにより、チームは、自社の環境内に存在していたことに気づいていなかった可能性のあるリスクを即座に把握することができます。
「そして私の目標は、証明書が見つかればどこでも、それをTaniumに登録することです。」Tanium Certificate Manager プロダクトマネージャーのローラ・イリエスク氏
- によるエンドツーエンドの証明書更新ワークフロー：更新プロセスは、あらかじめ入力済みで編集可能な証明書詳細を含むCSRの生成、元の証明書を保持していたすべてのエンドポイントへの新しい証明書と秘密鍵の配布、再利用可能な停止／再起動／検証パッケージテンプレートを用いたサービス設定、そして中間ステージングステップをクリーンアップする最終処理（デフォルトのタイムアウトは14日間で設定可能です）という4つの段階を経て進行します。
- 交換ワークフローの過程では、秘密鍵はTaniumリニアチェーンを介して転送されることはありません。：証明書の配布は、エンドポイントへの直接通信によって行われます。 証明書配布のワークフローでは、Taniumリニアチェーンを介して秘密鍵が送信されることはなく、確定時に、Taniumシークレットサービスから秘密鍵が削除されます。
「そうですね、まず第一に、これを大規模に置き換えられるという点において、これは非常に大きな意味があります。」 ワイルドカードを使えば、すべてのデバイスにいちいち手動でRDP接続する必要はありません。”TaniumのCertificate Manager担当プロダクトマネジメントディレクター、ローラ・イリエスク氏
- 大規模なワイルドカード証明書の置き換え：Taniumは、どのエンドポイントが元の証明書を保持していたかを追跡するため、バックグラウンドで自動的に対象の特定を行い、各デバイスに手動で接続することなく、複数のマシンに分散しているワイルドカード証明書を大規模に置き換えることが可能になります。
その他の参考資料
- Tanium Certificate Manager：Taniumが、エンドポイント全体の証明書に関するリアルタイムの可視性をどのように提供し、サービス停止やセキュリティ上の脆弱性を引き起こす前に、脆弱な証明書、未知の証明書、有効期限が迫っている証明書をチームが検出できるよう支援するかについてご説明します。
- Tanium Certificate Manager を活用して、高度な可視性と制御を実現しましょう。Tanium が、リアルタイムの証明書可視化と自動化された更新ワークフローによってエンドポイント管理をどのように拡張し、有効期限切れのリスクを軽減し、証明書に関連する脆弱性を解消するかをぜひご覧ください。
- Certificate Manager–Tech Talks #56：エンタープライズ証明書の可視化とライフサイクル管理：Tanium Certificate Managerの機能に焦点を当ててご紹介します。サーバーやワークステーションにわたる証明書の検出、量子コンピューティングへの備えを支援するための証明書および暗号方式のインベントリ管理、さらにセキュリティリスクやサービス停止リスクを高める脆弱な暗号方式や設定の特定などについて解説します。
- 企業内のエンドポイント全体におけるSSL/TLS証明書のライフサイクル管理方法：組織が大規模な証明書の追跡や更新を行う際に直面する課題の概要、およびエンドポイントベースのアプローチによって可視性が向上し、有効期限切れのリスクを低減する方法について解説します。
- Tanium Certificate Manager の設定および証明書検出設定：ポートスキャンの設定方法、信頼できる認証局の定義、および Windows 証明書ストアや Linux のファイルパスなどの証明書ソースの設定方法について解説した技術ドキュメントです。
