RSAセキュリティ

RSAセキュリティ(RSA Security LLC)は、アメリカ合衆国のコンピュータセキュリティおよびネットワークセキュリティに関するソフトウェアの開発会社である。通常はRSAの商号を使用している。

RSAは、共同設立者であるロナルド・リベスト(Ron Rivest)、アディ・シャミア(Adi Shamir)、レオナルド・エーデルマン(Len Adleman)の頭文字をとって命名されたもので、彼らが開発したRSA暗号と同様である。

RSAの製品には、RSA BSAFE暗号化ライブラリやSecurID認証トークンなどがある。RSAは、アメリカ国家安全保障局(NSA)が開発したバックドアを製品に組み込んでいるとされている。情報セキュリティに関するカンファレンスであるRSA Conferenceを毎年開催している。

RSAセキュリティは、1982年に独立企業として設立された。2006年にEMCコーポレーションに21億ドルで買収され、EMC内で事業部として運営された。EMCは2016年にデル・テクノロジーズに買収され、RSAはDell EMCインフラストラクチャソリューショングループの子会社となった。

RSAはマサチューセッツ州を拠点とし、（イギリス）とシンガポールに地域本部を、他に多数の国際事務所を置いているhttp://www.emc.com/corporate/about-rsa/index.htm。

RSAのスローガンは、"Business Driven Security"。

歴史 1982年 - 1977年にRSA暗号を開発したロナルド・リベスト、アディ・シャミア、レオナルド・エーデルマンがRSA Data Security（RSAデータセキュリティ）を設立。 1995年 - 認証システム事業をベリサインに分社化し、新会社を設立。 1996年7月 - Security Dynamics Technologies Inc.がRSA Data Securityを買収。 1997年1月 - 最初のを企画。DES暗号が初めて公に破られる。 1999年 - RSA Security Inc.に社名変更。 2001年2月 - 電子商取引のセキュリティを確保するためのデジタル証明書ベースの製品を開発し提供した非公開会社のXcert International, Inc.を買収。 2001年5月 - スマートカードやバイオメトリック認証製品を開発し非公開企業である3-G International, Inc.を買収。 2001年8月 - アイデンティティ管理製品であるClearTrustを開発した非公開会社Securant Technologies, Inc.を買収。 2005年12月 - 金融機関向けのオンラインセキュリティと不正防止ソリューションを専門とするイスラエルの非公開企業Cyotaを買収。 2006年4月 - PassMark Securityを買収。 2006年9月14日 - RSAの株主が、EMCコーポレーションによる同社の21億ドルの買収を承認。 2007年 - ハイデラバードに拠点を置く、ファイルとデータのセキュリティを専門とするインドの会社Valyd Softwareを買収。 2009年 - RSA Share Projectを開始。このプロジェクトの一環として、RSA BSAFEライブラリの一部が無料で提供される。プロジェクトのプロモーションのため、1位の賞金が1万ドルのプログラミング競技会を開催した。 2011年 - トロイの木馬やその他のオンライン攻撃によって侵害されたコンピュータ、情報資産、身元を特定するのを支援するCyberCrime Intelligence Serviceを導入。 2016年9月7日 - マイケル・デルが主導した現金および株式取引によりデルテクノロジーズがEMCコーポレーションを買収したことにより、同社の子会社であるDell EMCインフラストラクチャソリューショングループの子会社となる。

SecurIDのセキュリティ侵害

2011年3月17日、RSAは二要素認証製品に対する攻撃を公開した。攻撃はSykipotの攻撃、2011年7月のSK Communicationsのハック、NightDragonシリーズの攻撃と似ていた。RSAはこれを高度で執拗な脅威と呼んだ。

NSAとの関係 RSAとアメリカ国家安全保障局(NSA)との関係は、長年にわたり変化している。ロイターのジョセフ・メン(Joseph Menn)とサイバーセキュリティアナリストの(Jeffrey Carr)Carr, Jeffrey. (2014-01-06) Digital Dao: NSA's $10M RSA Contract: Origins. Jeffreycarr.blogspot.dk. Retrieved on 2014-05-11.は、両者がかつて対立関係にあったことに気づいた。初期には、RSAとその指導者は、強力な暗号の公共の利用の著名な主張者であった。そして、NSAとブッシュ・クリントン政権はその拡散を阻止しようとしていた。

1990年代半ば、RSAとビゾスは、米国政府が通信を解読できるようにするバックドアを備えた暗号チップであるクリッパーチップに対する「激しい」公然のキャンペーンを主導した。クリントン政権は電気通信会社にこのチップを使用させ、それを使用した製品の輸出制限を緩和した（この輸出制限により、RSAセキュリティはソフトウェアを国外に販売することができなかった）。RSAは、クリッパーチップに反対する自由主義者の市民らの運動に参加し、沈没しかけた帆船（クリッパー）の絵に"Sink Clipper!（クリッパーを沈めろ!）"という言葉が書かれたポスターを配布した。また、RSAは、広く使われているDES暗号がNSAのような十分に資金を提供された団体によって破られていることを示すために、を開始した。

2005年までRSAのエンジニアリング部門を率いていたVictor Chanによると、1999年にビゾスがCEOに就任した後、RSAとNSAの関係は対立から協調に変わったという。「私が参加したとき、ラボには10人がいて、我々はNSAと戦っていた。それは後に非常に異なる会社になった。」例えば、2004年にRSAは、NSAが設計した乱数ジェネレータをBSAFEライブラリに使用する契約で、Dual_EC_DRBGの品質が悪く、おそらくバックドアが開けられているとの多くの示唆にもかかわらず、NSAから1,000万ドルを受け取ったと報告されているGreen, Matthew. (2013-12-28) A Few Thoughts on Cryptographic Engineering: A few more notes on NSA random number generators. Blog.cryptographyengineering.com. Retrieved on 2014-05-11.。RSAは後に、Dual_EC_DRBGのクレプトグラフィー的なバックドアに関する声明を発表した。

2014年3月、ロイター通信によって、NSAによって擁護された拡張乱数標準にRSAが適合させたと報道された。その後、暗号解析によって、拡張乱数が何らセキュリティを追加しないことが判明し、著名な標準化団体であるInternet Engineering Task Force(IETF)によって拒否された。しかし、拡張乱数は、Dual_EC_DRBGバックドアへの鍵を持つ攻撃者（おそらくNSAのみ）がNSAによるDual_EC_DRBGのバックドアを使用するのを数万倍高速にする。これは、拡張乱数の拡張されたノンスが、Dual_EC_DRBGの内部状態の一部を推測しやすくしたためである。Dual_EC_DRBGの出力のキャッシングは、RSAのJavaのバージョンのみが、拡張乱数を使用せずにクラックするのが難しかった。例えば、RSAのC言語のバージョンはすでに内部状態を決定するのに十分速いものだった。実際、RSAは、Dual_EC_DRBGのJava実装にのみ拡張乱数を実装していたhttp://dualec.org/。

NSAのDual_EC_DRBGバックドアの疑惑 2004年から2013年にかけて、RSAはツールキットとData Protection Managerというセキュリティソフトウェアを出荷した。このソフトウェアには、デフォルトの暗号論的擬似乱数生成器としてDual_EC_DRBGが含まれていた。これは後にNSAの盗聴用バックドアが含まれている疑いがかけられた。主張されているバックドアは、バックドアの秘密鍵を持っていたとされるNSAが、これらのツールで暗号化したデータを非常に簡単に解読できる。科学的に言えば、主張されているバックドアは、クレプトグラフィーを採用しており、本質的に、Adam YoungとMoti Yungによって1997年に発表されたディフィー・ヘルマンのクレプトグラフィー攻撃の一例であるA. Young, M. Yung, "Kleptography: Using Cryptography Against Cryptography" In Proceedings of Eurocrypt '97, W. Fumy (Ed.), Springer-Verlag, pages 62–74, 1997.。

製品

RSAは、ハードウェアトークン、ソフトウェアトークン、および、1つのタイムコードを利用して何百ものテクノロジに二要素認証を提供するSecurID製品で最もよく知られている。2016年にRSAはSecurIDプラットフォームをRSA SecurID Accessとして再ブランド化した。このリリースでは、SAML 2.0やその他のタイプのフェデレーションを使用して、リソースのシングルサインオン機能とクラウド認証を追加した。

RSA enVisionは(SIEM)プラットフォームであり、「企業がコンプライアンスプロセスを簡素化するとともに、発生時にセキュリティをインシデント管理に最適化できるようにする」集中管理型ログ管理サービスを備えている。2011年4月4日、EMCはNetWitnessを買収し、RSAグループに追加した。NetWitnessは、セキュリティインシデントを検出する完全なネットワークの可視性を得ることを目的としたパケットキャプチャツールだった。このツールはRSA Security Analyticsとして再ブランド化され、RSA enVIsionとNetWitnessを組み合わせて、ログとパケットの取り込みを行ったSIEMツールとした。

RSA Archer GRC Platformは、ガバナンス、リスク管理、コンプライアンス(GRC)のビジネスレベルの管理をサポートするソフトウェアである。このプラットフォームにより、ユーザーは1行もソースコードを書くことなく、ソリューションを要件に適合させ、新しいアプリケーションを構築し、外部システムと統合することができる。

関連項目 セキュリティトークン

SecurID

外部リンク RSA Security RSA Security Japan

出典