Office Communications Server 2007 R2 における TLS および MTLS

トピックの最終更新日: 2009-03-10

TLS プロトコルと MTLS プロトコルにより、インターネット上での通信の暗号化とエンドポイント認証機能が提供されます。Office Communications Server では、この 2 つのプロトコルを使用して、信頼されたサーバーのネットワークを形成し、このネットワーク上のすべての通信が暗号化されるようにします。サーバー間のすべての SIP 通信は MTLS により行われます。クライアントからサーバーへの SIP 通信は TLS により行われます。

TLS により、ユーザーはクライアント ソフトウェアを使用して、接続先の Office Communications Server 2007 R2 サーバーを認証できます。TLS 接続では、クライアントはサーバーから有効な証明書を要求します。証明書が有効であると見なされるためには、証明書の発行元の CA がクライアントからも信頼されていること、およびサーバーの DNS 名が証明書の DNS 名に一致していることが必要です。証明書が有効な場合、クライアントはサーバーを信頼し、接続を開きます。この接続は信頼済みと見なされ、それ以降は他の信頼されたサーバーやクライアントからチャレンジされません。このような意味合いで、Web サービスで使用される SSL (Secure Sockets Layer) は TLS ベースであるということができます。

サーバー間の接続では、相互 TLS (MTLS) を使用して相互認証を行います。MTLS 接続では、メッセージを発するサーバーとメッセージを受信するサーバーは、相互に信頼された CA からの証明書を交換します。この証明書により、各サーバーは互いに身元を証明します。Office Communications Server 2007 R2 の展開では、エンタープライズ CA によって発行された証明書は、すべての内部クライアントおよびサーバーによって自動的に有効と見なされます。フェデレーション シナリオでは、発行元の CA は両方のフェデレーション パートナーによって信頼されている必要があります。各パートナーは必要に応じて別の CA を使用できますが、その CA はもう一方のパートナーからも信頼されている必要があります。この信頼関係を築くための最も簡単な方法は、パートナーのルート CA 証明書をエッジ サーバーの信頼されたルート CA に追加すること、または両方のパートナーによって信頼されたサードパーティの CA を使用することです。

TLS と MTLS は、盗聴および man-in-the middle 攻撃の両方を防ぐのに役立ちます。man-in-the-middle 攻撃では、攻撃者は 2 つのネットワーク エンティティ間の通信を、双方に気付かれることなく、攻撃者のコンピュータを経由して再ルーティングします。TLS とセキュリティで保護されたサーバーのリストにより、アプリケーション層での man-in-the middle 攻撃のリスクは部分的に軽減されますが、究極的には、ベスト プラクティスに従ってネットワーク インフラストラクチャ (この場合は社内 DNS) をセキュリティで保護する必要があります。Office Communications Server で DNS サーバーが信頼済みと見なされるのは、ドメイン コントローラおよびグローバル カタログを信頼する場合と同じやり方です。

次の図は、Office Communications Server で MTLS を使用して信頼されたサーバーのネットワークを構築するしくみの概要を示しています。