はじめに
背景と目的
近年、リモートワークやモバイル端末の普及で社内ネットワークに安全に接続する必要が高まりました。本書は、SSL-VPNで用いる「証明書」について分かりやすく解説します。専門的な背景知識がなくても理解できるよう、具体例を交えて説明します。
対象読者
IT担当者だけでなく、導入を検討しているマネージャーやセキュリティに関心のある一般の方も対象です。技術的な詳細は後の章で扱いますので、まず全体像を把握したい方に適しています。
本書で扱うこと
主にサーバー証明書とクライアント証明書の違い、それぞれの役割、通信の暗号化や認証における働き、証明書の取得や有効期限管理、多要素認証との組み合わせについて順を追って説明します。
読み方のポイント
各章は順に読むと理解が進みます。まずは本章で目的と構成を確認し、次章以降で具体的な種類や運用のポイントを学んでください。
SSL-VPNで使う証明書の種類
サーバー証明書
サーバー証明書はVPN機器の身元を証明し、通信を暗号化します。たとえば「vpn.example.co.jp」に接続するとき、端末はその機器の証明書を確認して偽装（中間者攻撃）を防ぎます。公開CAが発行する証明書は外部からの信頼が得られやすく、社内向けには内部CAやSAN/Wildcardを使うことがあります。
クライアント証明書
クライアント証明書は端末やユーザーを認証します。スマホやノートPC、あるいはUSBトークンに証明書を入れておき、ログイン時に提示します。パスワードに加えてクライアント証明書を使うと、多要素認証の一部として不正ログインを大きく減らせます（例：パスワード＋証明書）。
認証局（CA）と自己署名の違い
CAは証明書を発行する信頼の源です。公開CAは一般に信頼され、内部CAは社内の管理下で柔軟に運用できます。開発や検証では自己署名証明書を使うことがありますが、本番環境では信頼チェーンの管理をしてください。
形式と運用に関するポイント
証明書は公開鍵・秘密鍵のペア（X.509形式が一般的）で管理します。配布はMDMや安全なポータルを使い、秘密鍵は端末に厳重に保護します。期限切れの前に更新し、端末紛失時は速やかに失効（CRLやOCSP）処理を行ってください。
SSL-VPNにおける証明書の役割
1. 通信経路の暗号化
証明書は、通信の鍵交換に使います。具体的には、サーバーの公開鍵でクライアントが一時的なセッション鍵を暗号化して送ります。これにより第三者が通信内容を盗み見できなくなります。例えると、封筒に鍵を入れて渡すような仕組みです。
2. サーバーのなりすまし防止（サーバ認証）
証明書には発行元やサーバ名が書かれます。クライアントはそれを確認して、本物のサーバーと通信しているかを確かめます。発行元（認証局）と期限が正しいかを検証することで、偽のサーバーへの接続を防げます。
3. クライアント認証によるアクセス制御
クライアント証明書を使えば接続者の身元を確実に確認できます。社員端末や拠点ごとに証明書を発行し、持っている端末だけを許可する運用が可能です。これによりパスワードだけの運用より安全になります。
4. 証明書情報を使った細かな制御と運用
証明書の内部情報（組織名や拠点、サブジェクト名など）を条件にしてアクセス制御できます。また、期限切れや失効の確認、秘密鍵の安全な保管と定期的な更新が重要です。失効管理はOCSPやCRLで行い、秘密鍵は専用の保護領域（例：ハードウェアセキュリティモジュールや端末の安全領域）に格納してください。
導入・運用時のポイント
導入前の検討事項
まず、目的と利用範囲を明確にします。リモートワークだけで使うのか、外部委託先にも開放するのかで構成が変わります。例：社内PCのみならクライアント証明書中心、外部ユーザーが多ければサーバ証明書＋ID/パスワードを基本にします。
証明書の発行と配置
パブリックCA発行の証明書を使うと端末側の信頼設定が簡単です。社内専用にCAを立てる場合は配布方法を決めます。具体例：社内配布はMDM（端末管理）で自動的に配布すると運用が楽になります。
有効期限と失効の管理
有効期限は必ず管理します。短めの有効期限にすると安全性が上がりますが更新作業が増えます。失効はCRL（失効リスト）やOCSP（即時照会）で確認します。OCSPを使えない環境では定期的にCRLを配信する運用が必要です。
多要素認証との組み合わせ
ID/パスワード単体は脆弱です。証明書とパスワード、または証明書とOTP（ワンタイムパスワード）を組み合わせると安全性が高まります。例：外部からは証明書＋OTP、社内からは証明書のみのように柔軟に設定できます。
運用の自動化と負荷軽減
更新作業は自動化すると人的ミスを減らせます。ACMEのような自動発行・更新仕組みを活用できるか検討してください。ログや監査の自動収集も運用負荷を下げます。
監査・ログ・トラブル対応
接続ログや証明書エラーを定期的に確認します。証明書切れや失効時は影響範囲を即座に特定して対応手順を実行します。例：まず影響者を遮断し、代替証明書で順次復旧します。
