新人実践レポ① 秘密鍵の端末外流出を防ぐ TPM 対応のクライアント証明書とは

～サイバー攻撃から秘密鍵を守る仕組みを解説～

こんにちは。サイバートラストでマネージド PKI サービスに関わっている谷口です。
私は今年当社に中途入社し、現在は電子証明書や認証局サービスに関する業務を担当しています。前職で IT システム関連の業務経験はあるものの、トラストサービス上の重要ワード「PKI」「電子証明書」「秘密鍵」「TPM」について、実際のサービスや運用の観点で深く理解するようになったのは、当社に入社してからでした。

本ブログでは、デバイスの識別と強力な認証（パスワードレスなど）を同時に実現する極めて安全な仕組みである、当社マネージド PKI サービスの新機能「Windows 11 PC の TPM に紐づくクライアント証明書」について、実際に触ってみた結果をふまえて複数回にわたって解説していきます。
第 1 回となる今回は、そもそも TPM とは何か、そして TPM に紐づくクライアント証明書の何が安全なのかと、当社マネージド PKI が TPM 対応したことでできることを紹介します。

TPM とは何か

TPM（Trusted Platform Module）は、PC に搭載されているセキュリティチップで、イメージとしては、PC の中にある非常に頑丈な金庫のようなものです。

そもそも私が TPM という言葉を最初に知ったのは、Windows 11 の動作要件でした。
「TPM がないから Windows 11 にアップグレードできない」という話を聞いたことがある方も多いのではないでしょうか。私も当時は「Windows 11 に必要なもの」という程度の認識しかありませんでした。

TPM は暗号鍵などの重要な情報を安全に保管し、外部へ持ち出されないよう保護する役割があります。
以下の表は、それぞれの保存場所における秘密鍵の保護した場合を比較したものです。

一般的に TPM を使わない場合には HDD や SSD 内（パソコンのデータを保存する場所）に秘密鍵を保存となりますが、ウィルス感染や物理的な PC 盗難などで容易に盗まれてしまうリスクがあります。
しかし、TPM は HDD や SSD とは完全に独立した領域に秘密鍵を保存しているのに加えて、秘密鍵を外部に出力したり、外部から読み出したりする機能が存在せず、物理的に PC が盗難されても秘密鍵を取得するのは困難なため、極めて安全に秘密鍵を保持することができます。

表 1：秘密鍵の保存場所による安全性の違い

保存場所	ウイルス感染時	PC を分解された時
通常の HDD / SSD	簡単に秘密鍵を盗まれる	別 PC に繋げばコピーされる
TPM（セキュリティチップ）	チップ外に出ないため盗めない	チップごと基盤に溶接されており取り出せない

この TPM には BitLocker（※ビットロッカー：パソコンのデータを守るための Windows 標準の暗号化機能）によるディスク暗号化だけなく、クライアント証明書で利用する秘密鍵の保管にも利用されています。

なぜクライアント証明書で使う秘密鍵を TPM で守るのか？

TPM について調べ始めた頃、私は「秘密鍵ってそんなに重要なのだろうか？」と思っていました。
しかし調べていくうちに、秘密鍵こそ最も守らなければならない情報だということが分かりました。

証明書は、認証局が本人や端末の公開鍵や所有者情報を提示する公開情報であるため、他人に見られても直ちにセキュリティ上の致命傷にはなりませんが、もし秘密鍵が第三者に盗まれてしまうと、その人が正規の利用者になりすまして認証を通過できる可能性があります。
つまり、秘密鍵を守ることは非常に重要であり、そのために TPM が活用されています。

秘密鍵を TPM 内で生成し、外部へ持ち出せないようにすることで、不正コピーや盗難のリスクを大きく減らすことができます。

当社マネージド PKI の TPM 対応によりできること

今回、当社のマネージド PKI サービスでは、Windows 11 PC の TPM に紐づくクライアント証明書を発行・配付できる機能を追加しました。

これにより、従来の証明書運用に加えて、秘密鍵をより強く端末へ紐づけた運用が可能になりました。
下記のような需要に対応できます。

これまで、秘密鍵を安全に保管するためには、USB トークンやスマートカードなどの専用デバイスを利用する選択肢もありました。
これらは高い安全性を持つ一方で、配付、紛失対応、ドライバ管理、ユーザーサポートなどの運用負荷が発生します。

その点、TPM は Windows 11 PC の多くに標準搭載されており、新たな機器を配付することなく、Windows PC 内で秘密鍵の生成と配付が完結できるため、より高い安全性を実現できる点が大きなメリットです。

当社のマネージド PKI では、従来から IC カード・USB ドングルへの証明書配付や PKCS#12 形式による証明書配付が出来ていましたが、今回のバージョンアップで、秘密鍵を Windows 11 PC の TPM 内で生成し、そのまま TPM に紐づけて証明書を発行・配付する方式を選択できるようになりました。
これにより、秘密鍵を端末の外へ持ち出せない、より安全な運用も実現できます。
利用シーンや企業のセキュリティポリシーに応じて、適切な証明書の配付方式を選択できることも、大きなメリットです。

まとめ

今回は、TPM の基本的な仕組みと、TPM に紐づくクライアント証明書が安全と言われる理由、マネージド PKI でできることについて紹介しました。

私自身も最初は「Windows 11 に必要なもの」という程度の認識でしたが、調べていくうちに、秘密鍵を安全に守るための重要な仕組みであることが分かりました。

TPM 対応のクライアント証明書では、秘密鍵を TPM 内で生成・管理することで、端末外への持ち出しを防ぎ、より安全な認証を実現できます。

次回は、TPM を使ってクライアント認証を実際に試します。

TPM の仕組みを理解しただけでは、実際にどのように利用されるのかイメージしにくい部分もあります。

そのため次回は、TPM に紐づくクライアント証明書を実際に利用し、クライアント認証を試してみます。
証明書の発行から認証までの流れを実際に操作しながら確認した内容をご紹介する予定です。

関連 Web ページ

• サイバートラスト マネージド PKI