ケルベロス認証とは？仕組みやシングルサインオンとの違い、メリットを解説

シングルサインオンを実現する手段の一つである「ケルベロス（Kerberos）認証」をご存じでしょうか？ケルベロス認証とは、Webサービスなどにログインする方法のことで、一度ログインすれば次回以降の認証が不要になります。認証の安全性や利便性が高い点が特徴です。

本記事では、ケルベロス認証の概要やシングルサインオンとの関係性、メリットと弱点について詳しく解説します。ケルベロス認証について知りたい方、安全性と利便性を両立した認証を行いたい方は、ぜひ参考にしてください。

ケルベロス（Kerberos）認証とは

ネットワーク認証手段の一つであるケルベロス（Kerberos）認証とは、サーバーとクライアント間の身元確認に利用されるプロトコルのことです。ケルベロス認証では、クライアントとサーバーを互いに認証し、通信を保護する目的で暗号化します。1980年代にマサチューセッツ工科大学で開発され、現在バージョン5が利用されていることから「KRB5」と呼ばれるケースもあります。

ケルベロス認証は、一度ログインすれば次回以降のID・パスワード入力が必要ないため、シングルサインオン（SSO）を実現する方法として活用されている手段です。実際に、パソコンやサーバー、アプリケーションなどの情報を収集して一元管理するWindowsのActive Directoryでもケルベロス認証が用いられています。
⇒Active Directoryとは？機能やメリット・デメリットを解説

ケルベロス認証の由来

ケルベロス認証は、ギリシャ神話に登場する地獄の番犬ケルベロスに由来しています。ケルベロスは大きな頭が3つある犬で、魂が逃げないように冥界の門を守っています。複数のプログラムがあっても、一つのプログラムにログインすれば他もログイン可能なことから命名されました。

ケルベロス認証の仕組み

ケルベロス認証では、一度認証が成功するとチケット（認証サーバーが発行するデジタル証明書）が発行されて、次回以降はそのチケットを使い、認証なしでログインできる仕組みになっています。具体的な認証の流れは以下の通りです。

1. ASにID・パスワードなどのユーザー認証情報を送信
2. KDC上でユーザー情報とサーバー利用資格を確認
3. 問題がない場合、ASからTGTを発行
4. TGTをTGSに送り、ログインしたいサーバー用のチケットを要求
5. TGSからログインするサーバー用のチケットを発行し、該当サーバーに送付
6. チケットに問題がなければサーバーにログイン

なお、ASなど各用語の概要は以下の通りです。

用語	概要
AS（Authentication Server）	ユーザーからの認証を受けるサーバー
KDC（Key Distribution Center）	サーバーとユーザーの情報を一元管理するデータベース
TGT（Ticket Granting Ticket）	チケットを発行するためのチケット
TGS（Ticket Granting Server）	KDCに登録されたサーバーにログインするためのチケット発行をするサーバー

一度ログインすれば、KDCに登録されている他のサーバーにログインする場合も、TGSでチケットを発行して、そのチケットを活用することで認証無しのログインができます。

ケルベロス認証とシングルサインオン（SSO）の関連

ケルベロス認証とシングルサインオンの関連に関する以下の情報をまとめました。

• ケルベロス認証とシングルサインオンの違い
• ケルベロス認証以外でシングルサインオンに利用される認証方法
• シングルサインオンにおけるケルベロス認証の特徴

順に解説します。

ケルベロス認証とシングルサインオンの違い

一度ログインすれば、次回以降のID・パスワード入力が不要であるため、中には「ケルベロス認証＝シングルサインオン」と捉えている方もいますが、正確ではありません。シングルサインオンには複数の認証方法があり、ケルベロス認証はその一つです。シングルサインオンは仕組みを指す言葉で、ケルベロス認証は手段です。

ケルベロス認証以外でシングルサインオンに利用される認証方法

続いて、ケルベロス認証以外でシングルサインオンに利用される以下の認証方法について詳しく解説します。

• フェデレーション方式
• エージェント方式
• リバースプロキシ方式
• 代理認証方式
• SAML認証方式
• 透過型方式
• ICカード認証方式
• 統合Windows認証方式

フェデレーション方式

フェデレーション（認証連携）方式は、複数のサービスを利用する際に、一つのシステムで認証されていれば、他のシステムにおける認証が不要になる方式です。SAMLやOpenID Connectなどのプロトコルに対応すれば、Google AppsやSalesforce、Office365へのシングルサインオンができます。フェデレーション方式は海外のメジャーなクラウドサービスに対応していますが、使えるサービスが限られています。また、既存システムを対応させる場合には、Webサーバーの改修が必要です。

エージェント方式

エージェント方式は、Webサーバーやアプリケーションサーバーに代理人（エージェント）となるソフトを組み込んで実施する方法です。エージェントとシングルサインオンサーバーがcookie情報を利用し、複数アプリへのアクセスを実現します。エージェント方式は、ネットワーク構成を変更せずに導入でき、アプリケーションの追加が可能など拡張性にも優れています。一方で、エージェントが対応するOS環境でしか利用できず、個々のWebアプリケーションにエージェントをインストールする手間も必要です。

リバースプロキシ方式

リバースプロキシ方式は、端末とWebシステムの間に中継役となるリバースプロキシサーバーを設置し、そのサーバー上で認証を行うことによりシングルサインオンを実現する方法です。サーバーを経由するため、安全性・安定性を保ちやすい点が魅力です。ただし、導入時にネットワーク構成やURLの変更が必要で、通信速度が遅くなる可能性もあります。

プロキシサーバーに関する詳細については、以下をご覧ください。
⇒プロキシとは？メリット・デメリットや注意点をわかりやすく解説

代理認証方式

代行認証方式は、ユーザーの代わりに専用サーバーを活用した代理サービス（エージェント）が、ID・パスワードを入力する方法です。レガシーシステムやクラウドにも一括対応でき、Webアプリケーション側の改修は不要で利便性が高いため、近年注目を集めています。ただし、各パソコンにおけるエージェントのインストールが必要です。

SAML認証方式

SAML（Security Assertion Markup Language）認証は、インターネットドメイン間でユーザー認証を行なうためのマークアップ言語をベースにした標準規格です。ユーザー認証と併せて属性認証もできるため、各ユーザーにおけるアクセス制限もできます。また、多くのクラウドサービスに対応している点も魅力です。

透過型方式

透過型方式は、ユーザーがWebアプリケーションを開いたときのみログイン情報を送り、アクセスを可能にする方法です。クラウドかオンプレミスか、デバイスかブラウザかを問わずに活用でき、社外ネットワークからのアクセスにも対応可能です。ただし、透過型認証に対応したシングルサインオン製品がなければ活用できません。

ICカード認証方式

ICカード認証方式は、名前通りICカードを活用した認証方法です。パスワードだけでなく、ICカードという物理デバイスを利用した2要素認証となっており、高いセキュリティ性が確保できます。ただ、クラウドには対応していません。

統合Windows認証方式

統合Windows認証は、Windowsのユーザアカウント情報を活用して、Webアプリケーションにログインする方法です。SPNEGOやNTLMSSPなど複数の方法があり、ケルベロス認証も統合Windows認証に含まれます。SPNEGOやNTLMSSPは1990年代後半から2000年代前半に使われましたが、近年は利用が減少しています。

シングルサインオンにおけるケルベロス認証の特徴

シングルサインオンにおけるケルベロス認証の特徴は、チケット発行があることです。チケットが各サーバーに入るための鍵代わりになるため、毎回ID・パスワードを入力する必要がありません。他の認証方法ではチケットが発行されず、ケルベロス認証との主な違いとなっています。

ケルベロス認証のメリット

ケルベロス認証の主なメリットは以下の3つです。

• 認証の安全性が高い
• 利便性が高い
• 通信トラフィックを抑えられる

ここからは、上記それぞれのメリットについて詳しく解説します。

認証の安全性が高い

ケルベロス認証はチケット発行と、そのチケット情報が暗号化される仕組みが取られており、第三者が読み取ることは困難です。ユーザー以外の悪意ある第三者は、サーバーへのログインが簡単にはできません。なりすましや情報の窃盗による不正アクセスを防止でき、安全性が高いでしょう。

利便性が高い

利便性の高さもケルベロス認証のメリットです。ケルベロス認証を活用すれば、ユーザーは何度もIDやパスワードを入力せずに、複数のシステムにアクセス可能です。

通信トラフィックを抑えられる

通信回線でやりとりされるデータである通信トラフィックを抑えられる点も、ケルベロス認証におけるメリットです。KDCへのアクセスやログインする権利に関するデータの確認を毎回行うわけではないため、通信トラフィックを低減でき、システム負荷が少ないでしょう。

ケルベロス認証の弱点

ケルベロス認証は安全性の高い方法ですが、どんなシステムにも弱点があるのと同様に、ケルベロス認証も完璧ではありません。万が一、チケットが盗まれれば複数のシステムにログインされてしまうため、大きな被害を受けます。

また、データベースが単一障害点であることもケルベロス認証の弱点です。単一障害点とは、障害発生時にシステムの全機能が停止することです。データベースの停止により、業務ができなくなるリスクが存在します。

まとめ

シングルサインオンを実現する手段の一つであるケルベロス（Kerberos）認証とは、サーバーとクライアント間の身元確認に利用されるプロトコルのことです。一度ログインすれば、次回以降のID・パスワード入力が不要で、利便性が高いメリットがあります。また、チケット発行をする特徴を備えており、安全性の高さも魅力です。

ただ、ケルベロス認証も完璧ではなく、サイバー攻撃が高度化・巧妙化している現代において、全ての攻撃を防ぎきれるわけではありません。情報が漏洩した際、迅速に察知し、適切な対応がとれる体制の構築が重要です。情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。

自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！