セキュリティについて説明するときに使用される用語の一部は、よく知らない場合があります。 このトピックでは、セキュリティ条件の一部について簡単に説明しますが、すべての項目に関する包括的なドキュメントを提供するためのものではありません。
Windows Communication Foundation (WCF) ドキュメントで使用される用語の詳細については、「 Windows Communication Foundation の基本概念」を参照してください。
アクセス制御リスト (ACL)
オブジェクトに適用されるセキュリティ保護の一覧。 (オブジェクトには、ファイル、プロセス、イベント、またはセキュリティ記述子を持つその他のオブジェクトを指定できます)。ACL のエントリは、アクセス制御エントリ (ACE) です。 ACL には、随意とシステムの 2 種類があります。
認証
ユーザー、コンピューター、サービス、またはプロセスが誰であるか、何であるかを検証するプロセス。
認可
リソースへのアクセスと権限を制御する行為。 たとえば、あるグループのメンバーにファイルの読み取りを許可し、別のグループのメンバーのみがファイルを変更できるようにします。
証明機関 (CA) 証明書
これらの証明書を要求するサーバーとクライアントにサーバーおよびクライアント認証証明書を発行する CA を識別します。 デジタル署名で使用される公開キーが含まれているため、 署名証明書とも呼ばれます。 CA がルート証明機関である場合、CA 証明書は ルート証明書と呼ばれる場合があります。
サイト証明書とも呼ばれます。
CA 階層
CA 階層には複数の CA が含まれています。 階層の最上位 ( ルート機関とも呼ばれます) に到達するまで、階層の上位レベルの別の CA によって各 CA が認定されるように編成されています。
証明書
エンティティとエンティティの公開キーに関する情報を含むデジタル署名されたステートメント。したがって、これら 2 つの情報をまとめてバインドします。 証明書は、証明機関と呼ばれる信頼された組織 (またはエンティティ) によって発行されます。これは、証明機関がそのエンティティが誰であるかを機関が確認した後です。
証明書には、さまざまな種類のデータを含めることができます。 たとえば、X.509 証明書には、証明書の書式、証明書のシリアル番号、証明書の署名に使用されているアルゴリズム、証明書を発行した CA の名前、証明書を要求したエンティティの名前と公開キー、および CA の署名が含まれます。
証明書ストア
通常は、証明書、証明書失効リスト (CRL)、証明書信頼リスト (CCTL) が格納される永続的なストレージです。 ただし、永続的なストレージに配置する必要のない証明書を使用する場合は、メモリ内でのみ証明書ストアを作成して開くことができます。
主張
送信者の ID を確立するために使用されるエンティティ間で渡される情報。 たとえば、ユーザー名とパスワード トークン、または X.509 証明書などです。
クライアント証明書
Web サーバー上の Web ブラウザーの認証など、クライアント認証に使用される証明書を参照します。 Web ブラウザー クライアントがセキュリティで保護された Web サーバーにアクセスしようとすると、クライアントは証明書をサーバーに送信して、クライアントの ID を確認できるようにします。
資格情報
パスワードや Kerberos プロトコル チケットなど、セキュリティ プリンシパルが独自の ID を確立するために使用する、以前に認証されたログオン データ。 資格情報は、リソースへのアクセスを制御するために使用されます。
処理済みデータ
任意の種類のデータとコンテンツのメッセージ ハッシュ (ダイジェスト) で構成される、公開キー暗号化標準 (PKCS) #7 によって定義されたデータ コンテンツ タイプ。
デジタル署名
送信者の ID を送信する情報にバインドするデータ。 デジタル署名は、メッセージ、ファイル、またはその他のデジタルエンコードされた情報にバンドルされるか、個別に送信される場合があります。 デジタル署名は公開キー環境で使用され、認証と整合性サービスを提供します。
エンコーディング
データをビットストリームに変換するプロセス。 エンコードは、データを 1 と 0 のストリームに変換するシリアル化プロセスの一部です。
交換キー ペア
セッション キーを暗号化して、他のユーザーと安全に保存および交換できるように、公開キーと秘密キーのペアを使用します。
ハッシュ
任意の量のデータに数学関数 (ハッシュ アルゴリズムを参照) を適用して取得した固定サイズの数値。 通常、データには nonce と呼ばれるランダム なデータが含まれます。 結果をより複雑にするために、サービスとクライアントの両方が nonce の交換を支援します。 結果は メッセージ ダイジェストとも呼ばれます。 ハッシュ値の送信は、パスワードが暗号化されている場合でも、パスワードなどの機密データを送信するよりも安全です。 ハッシュ送信者と受信者は、ハッシュ アルゴリズムと nonces に同意して、受信後にハッシュを検証できるようにする必要があります。
ハッシュ アルゴリズム
メッセージやセッション キーなど、一部のデータのハッシュ値を生成するために使用されるアルゴリズム。 一般的なハッシュ アルゴリズムには、MD2、MD4、MD5、SHA-1 があります。
Kerberos プロトコル
クライアントがネットワーク認証サービスと対話する方法を定義するプロトコル。 クライアントは Kerberos キー配布センター (KDC) からチケットを取得し、接続が確立されたときにこれらのチケットをサーバーに提示します。 Kerberos チケットは、クライアントのネットワーク資格情報を表します。
ローカル セキュリティ機関 (LSA)
ユーザーを認証してローカル システムにログオンする、保護されたサブシステム。 LSA は、システム上のローカル セキュリティのすべての側面に関する情報も保持します。これは、システムのローカル セキュリティ ポリシーと総称されます。
交渉する
セキュリティ サポート プロバイダー インターフェイス (SSPI) と他の SP の間のアプリケーション層として機能するセキュリティ サポート プロバイダー (SSP)。 アプリケーションは、SSPI を呼び出してネットワークにログオンするときに、要求を処理する SSP を指定できます。 アプリケーションで Negotiateが指定されている場合、 Negotiate は要求を分析し、顧客が構成したセキュリティ ポリシーに基づいて要求を処理するための最適な SSP を選択します。
ナンス
"リプレイ" 攻撃を倒すために使用されるランダムに生成された値。
否認防止
特定のアクションを実行したユーザーを識別する機能。したがって、ユーザーが責任を拒否しようとする試みに反論することは不可逆的です。 たとえば、システムでは、ファイルが削除されるたびにユーザーの ID をログに記録できます。
公開キー暗号化標準 (PKCS)
RSA Data Security, Inc. が世界中のセキュリティで保護されたシステムの開発者と協力して作成した仕様により、公開キー暗号化の展開を高速化します。
PKCS #7
暗号化メッセージ構文標準。 デジタル署名や暗号化など、暗号化を適用できるデータの一般的な構文。 また、証明書または証明書失効リスト、およびその他のメッセージ属性 (タイムスタンプなど) をメッセージに配布するための構文も提供します。
プレーン テキスト
暗号化されていないメッセージ。 プレーンテキスト メッセージは、 クリア テキスト メッセージと呼ばれることもあります。
特権
システムのシャットダウン、デバイス ドライバーの読み込み、システム時刻の変更など、さまざまなシステム関連の操作を実行するユーザーの権限。 ユーザーのアクセス トークンには、ユーザーまたはユーザーのグループが保持する特権の一覧が含まれます。
秘密キー (private key)
公開キー アルゴリズムで使用されるキー ペアのシークレット の半分。 秘密キーは、通常、対称セッション キーの暗号化、メッセージのデジタル署名、または対応する公開キーで暗号化されたメッセージの暗号化解除に使用されます。 「公開キー」も参照してください。
過程
アプリケーションが実行されるセキュリティ コンテキスト。 通常、セキュリティ コンテキストはユーザーに関連付けられているため、特定のプロセスで実行されているすべてのアプリケーションは、所有するユーザーのアクセス許可と特権を受け取ります。
公開キーと秘密キーのペア
公開キー暗号化に使用される暗号化キーのセット。 通常、暗号化サービス プロバイダー (CSP) は、各ユーザーに対して、2 つの公開キーと秘密キーのペア (交換キー ペアとデジタル署名キー ペア) を保持します。 どちらのキー ペアもセッション間で維持されます。
公開キー
通常、セッション キーまたはデジタル署名の暗号化を解除するときに使用される暗号化キー。 公開キーを使用してメッセージを暗号化することもできます。これにより、対応する秘密キーを持つユーザーのみがメッセージの暗号化を解除できます。
公開キーの暗号化
キーのペアを使用する暗号化。一方のキーはデータを暗号化し、もう 1 つのキーはデータの暗号化を解除します。 これに対し、暗号化と暗号化解除の両方に同じキーを使用する対称暗号化アルゴリズム。 実際には、公開キー暗号化は通常、対称暗号化アルゴリズムで使用されるセッション キーを保護するために使用されます。 この場合、公開キーはセッション キーの暗号化に使用され、次にデータの暗号化に使用され、秘密キーは暗号化解除に使用されます。 公開キー暗号化は、セッション キーの保護に加えて、(秘密キーを使用して) メッセージにデジタル署名し、署名を検証するためにも使用できます (公開キーを使用)。
公開キー 基盤 (PKI)
公開キー アプリケーションを作成、展開、管理するためのサービスと管理ツールの統合セットを提供するインフラストラクチャ。
否認
ユーザーがアクションを実行したことを誤って拒否する機能。他の当事者が他の方法で証明することはできません。 たとえば、ファイルを削除し、その実行を正常に拒否できるユーザーなどです。
root authority
CA 階層の最上位にある CA。 ルート機関は、階層の次のレベルで CA を認定します。
セキュリティで保護されたハッシュ アルゴリズム (SHA)
メッセージ ダイジェストを生成するハッシュ アルゴリズム。 SHA は、DSS (Digital Signature Standard) の DSA (Digital Signature Algorithm) と共に使用されます。 SHA には、SHA-1、SHA-256、SHA-384、および SHA-512 の 4 種類があります。 SHA-1 は、160 ビットのメッセージ ダイジェストを生成します。 SHA-256、SHA-384、および SHA-512 は、それぞれ 256 ビット、384 ビット、512 ビットのメッセージ ダイジェストを生成します。 SHA は、NIST (National Institute of Standards and Technology) と NSA (National Security Agency) によって開発されました。
Secure Sockets Layer (SSL)
公開キーテクノロジとシークレット キー テクノロジを組み合わせて使用する、セキュリティで保護されたネットワーク通信のプロトコル。
セキュリティ コンテキスト
現在有効になっているセキュリティの属性またはルール。 たとえば、コンピューターに現在ログオンしているユーザーや、スマート カード ユーザーが入力した個人 ID 番号などです。 SSPI の場合、セキュリティ コンテキストは、接続に関連するセキュリティ データ (セッション キーやセッションの存続を示す情報など) が含まれた不透明なデータ構造です。
セキュリティ プリンシパル
セキュリティ システムによって認識されるエンティティ。 プリンシパルには、人間のユーザーと共に自律プロセスを含めることができます。
セキュリティ サポート プロバイダー (SSP)
1 つ以上のセキュリティ パッケージをアプリケーションで使用できるようにして SSPI を実装するダイナミック リンク ライブラリ (DLL)。 各セキュリティ パッケージは、アプリケーションの SSPI 関数呼び出しと実際のセキュリティ モデルの関数間のマッピングを提供します。 セキュリティ パッケージは、Kerberos 認証や Microsoft LAN Manager (LanMan) などのセキュリティ プロトコルをサポートします。
セキュリティ サポート プロバイダー インターフェイス (SSPI)
Microsoft リモート プロシージャ コール (RPC) などのトランスポート レベルのアプリケーションと、Windows 分散セキュリティなどのセキュリティ プロバイダー間の共通インターフェイス。 SSPI により、トランスポート アプリケーションは、複数のセキュリティ プロバイダーの中の 1 つを呼び出して、認証済みの接続を取得できます。 これらの呼び出しでは、セキュリティ プロトコルの詳細を広範囲にわたり認識しておく必要はありません。
セキュリティ トークン サービス
マルチサービス シナリオでカスタム セキュリティ トークン (発行されたトークン) を発行および管理するように設計されたサービス。 カスタム トークンは、通常、カスタム資格情報を含むセキュリティ アサーション マークアップ言語 (SAML) トークンです。
サーバー証明書
Web ブラウザーへの Web サーバーの認証など、サーバー認証に使用される証明書を参照します。 Web ブラウザー クライアントがセキュリティで保護された Web サーバーにアクセスしようとすると、サーバーは証明書をブラウザーに送信して、サーバーの ID を確認できるようにします。
セッション
単一のキー マテリアルの保護の元でのメッセージ交換。 たとえば、SSL セッションでは、単一のキーを使用し、そのキーの下で複数のメッセージをやり取りします。
セッション キー
ランダムに生成されたキー。1 回使用され、その後破棄されます。 セッション キーは対称です (暗号化と暗号化解除の両方に使用されます)。 メッセージと共に送信され、目的の受信者からの公開キーによる暗号化によって保護されます。 セッション キーは、約 40 ~ 2,000 ビットの乱数で構成されます。
補足資格情報
外部のセキュリティ ドメインに対するセキュリティ プリンシパルの認証に使用する資格情報。
対称暗号化
1 つのキーを暗号化と復号化の両方に使用する暗号化。 大量のデータを暗号化する場合、対称暗号化が推奨されます。 より一般的な対称暗号化アルゴリズムには、RC2、RC4、Data Encryption Standard (DES) などがあります。
「公開キーの暗号化」も参照してください。
対称キー
暗号化と暗号化解除の両方に使用される 1 つのキー。 通常、セッション キーは対称です。
トークン (アクセス トークン)
アクセス トークンには、ログオン セッションのセキュリティ情報が含まれています。 システムは、ユーザーがログオンしたときにアクセス トークンを作成し、ユーザーに代わって実行されるすべてのプロセスにトークンのコピーが含まれます。 トークンは、ユーザー、ユーザーのグループ、およびユーザーの特権を識別します。 システムはトークンを使用して、セキュリティ保護可能なオブジェクトへのアクセスを制御し、ローカル コンピューターでシステム関連のさまざまな操作を実行するユーザーの機能を制御します。 アクセス トークンには、プライマリ アクセス トークンと偽装アクセス トークンの 2 種類があります。
トランスポート層
サービスの品質と情報の正確な配信の両方を担当するネットワークレイヤー。 このレイヤーで実行されるタスクの中には、エラー検出と修正があります。
信頼リスト (証明書信頼リスト、または CTL)
信頼されたエンティティによって署名されたアイテムの定義済みリスト。 CTL には、証明書のハッシュのリストやファイル名のリストなど、あらゆるものがあります。 一覧内のすべての項目は、署名エンティティによって認証 (承認) されます。
信頼プロバイダー
特定のファイルが信頼されているかどうかを判断するソフトウェア。 この決定は、ファイルに関連付けられている証明書に基づいています。
ユーザー プリンシパル名 (UPN)
ユーザー アカウント名 ( ユーザー ログオン名とも呼ばれます) と、ユーザー アカウントが存在するドメインを識別するドメイン名。 これは、Windows ドメインにログオンするための標準的な使用法です。 形式は someone@example.com (電子メール アドレスの場合と同様) です。
注
WCF では、標準の UPN 形式に加えて、などの下位レベルの形式で UPN を受け入れます。
X.509
必要な部分を定義する証明書の国際的に認められた標準。