ユーザーズガイド BLACKBERRY ENTERPRISE SOLUTION SECURITY ENTERPRISE SOLUTION - セキュリティ技術概要

[. . . ] BlackBerry Enterprise Solution セキュリティ技術概要 BlackBerry Enterprise Server バージョン 4. 1 サービスパック 6 および BlackBerry Device Software バージョン 4. 6 © 2008 Research In Motion Limited. All rights reserved. www. blackberry. com BlackBerry Enterprise Solution 目次 ワイヤレスセキュリティ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7 BlackBerry Enterprise Solution のセキュリティ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7 BlackBerry Enterprise Solution のセキュリティ機能 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . [. . . ] 4. www. blackberry. com BlackBerry Enterprise Solution 33 BlackBerry デバイスに BlackBerry デバイス用 S/MIME Support Package がある場合、 ユーザーが BlackBerry デバイスでメッセージを受信する際に、次の手順でメッセージが復号化されます。 1. BlackBerry Enterprise Server が S/MIME で保護されたメッセージを受信します。 メッセージが署名のみであるか、暗号が脆弱な場合、BlackBerry Enterprise Server 管理者による BlackBerry Manager のオプション設定によっては、 BlackBerry Enterprise Server が S/MIME 暗号化を 使用してメッセージをもう一度暗号化します。 BlackBerry Enterprise Server が S/MIME データを、BlackBerry の標準暗号化方式を使用して暗号化 します。 BlackBerry Enterprise Server が暗号化されたメッセージを BlackBerry デバイスに送信します。 BlackBerry デバイスが BlackBerry の標準暗号化方式を解除し、S/MIME で暗号化されたメッセー ジを保存します。 3. BlackBerry デバイスユーザーが S/MIME で暗号化されたメッセージを開くと、BlackBerry デバイ スがメッセージを復号化し、メッセージの内容が表示されます。メッセージが共有パスワー ドで暗号化されている場合、 BlackBerry デバイスユーザーは、 共有パスワードを入力して S/MIME で保護されたメッセージを暗号化または復号化します。 S/MIME 暗号化アルゴリズム BlackBerry デバイスでは、 S/MIME 暗号化に強力なアルゴリズムを使用できます。 BlackBerry Enterprise Server 管理者が、BlackBerry Enterprise Server で S/MIME 暗号化をオンにすると、 ［S/MIME でコンテン ツ暗号を許可する］IT ポリシールールのデフォルト設定により、BlackBerry デバイスを使って、サ ポートされている任意のアルゴリズム（2 つの最も弱い RC2 アルゴリズムである RC2（64 ビット） と RC2（40 ビット）を除く）を使用して S/MIME メッセージを暗号化できます。 BlackBerry Enterprise Server 管理者は、 ［セキュリティの低いダイジェストアルゴリズム］ IT ポリシー ルールを使用して、BlackBerry デバイスが脆弱であると認識するアルゴリズムを指定できます。 BlackBerry デバイスは、 受信したメッセージのデジタル署名がセキュリティの低いハッシュダイジェ ストを使用して生成されていることを検証する場合に、セキュリティの低いダイジェストアルゴ リズムのリストを使用します。このほか、BlackBerry デバイスは、セキュリティの低いダイジェス トアルゴリズムのリストを使用して、BlackBerry デバイスが受信したメッセージの署名に使用する 証明書に対する証明書チェーンに、セキュリティの低いダイジェストを使用して生成されたハッ シュが含まれていないことを確認します。 BlackBerry Enterprise Server 管理者は、［S/MIME でコンテンツ暗号を許可する］IT ポリシールールを 設定して、AES（256 ビット）、AES（192 ビット）、AES（128 ビット）、CAST（128 ビット）、RC2（128 ビット）、3DES、RC2（64 ビット）、および RC2（40 ビット）のいずれかを使用し、BlackBerry デ バイスで S/MIME メッセージを暗号化できます。 BlackBerry デバイスが以前に、該当する受信者からメッセージを受信したことがある場合は、受信 者がサポートするコンテンツ暗号が呼び戻され、 そのいずれかの暗号が使用されます。 BlackBerry デ バイスが受信者の復号化機能を認識していない場合は、 デフォルトで 3DES を使用してメッセージ が暗号化されます。 www. blackberry. com BlackBerry Enterprise Solution 34 S/MIME 証明書 BlackBerry デバイスユーザーが BlackBerry デバイスから暗号化されたメッセージを送信すると、 BlackBerry デバイスはメッセージ受信者の S/MIME 証明書を使用してメッセージを暗号化します。 BlackBerry デバイスのユーザーが署名つきメッセージを受信すると、 BlackBerry デバイスはメッセー ジ送信者の S/MIME 証明書を使用して、メッセージの署名を確認します。 S/MIME 秘密鍵 BlackBerry デバイスユーザーが署名つきメッセージを BlackBerry デバイスから送信すると、 BlackBerry デバイスは SHA-1、SHA-256、SHA-384、SHA-512、または MD5 を使用してメッセージをハッシュし た後、BlackBerry デバイスユーザーの S/MIME 秘密鍵を使用して、メッセージハッシュにデジタル 署名します。 BlackBerry デバイスユーザーが暗号化されたメッセージを受信すると、 BlackBerry デバイスはユーザー の秘密鍵を使用してメッセージを復号化します。 詳細については、 『BlackBerry デバイス用 S/MIME Support Package のセキュリティ技術概要』を参照 してください。 BlackBerry デバイスで Lotus Notes API 7. 0 を使用したメッセージの復号化と表示 IBM® Lotus Notes® API バージョン 7. 0 を使用する IBM® Lotus® Domino® 用に BlackBerry Enterprise Server バージョン 4. 1 以降では、デフォルトでは、BlackBerry デバイスで IBM Lotus Notes および S/MIME で 暗号化されたメッセージを復号化できます。IBM Lotus Domino 環境の IBM Lotus Domino 用 BlackBerry Enterprise Server バージョン 4. 1 以降では、BlackBerry Enterprise Server は、AES アルゴリズムの使用を BlackBerry デバイスのマスター暗号化キーによりサポートして、Notes ID ファイルとパスワードを 暗号化し、 IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントのメモリに 保存します。 IBM Lotus Notes または S/MIME で暗号化されたメッセージを BlackBerry デバイスで復号化し、 そのメッ セージを BlackBerry デバイスのユーザーが転送または返信すると、 メッセージはテキスト形式で送 信されます。 BlackBerry Enterprise Server 管理者は、 次の方法により、 デフォルトの BlackBerry デバイスの動作を設 定できます。 • [Notes ネイティブ暗号化の転送と返信を無効にする］ IT ポリシールールを使用して、 BlackBerry デバイスユーザーが BlackBerry デバイスで IBM Lotus Notes の暗号化メッセージを転送したり、 返信したりできないようにする [Notes ネイティブ暗号化パスワードのタイムアウト］ IT ポリシールールを使用して、 ユーザー が入力した IBM Lotus Notes ID パスワードを BlackBerry デバイスで保管する最大時間 （分単位） を 指定する • www. blackberry. com BlackBerry Enterprise Solution 35 IBM Lotus Notes および S/MIME メッセージの復号化プロセス BlackBerry デバイスで IBM Lotus Notes および S/MIME で暗号化されたメッセージを読めるように設定 した場合に BlackBerry デバイスユーザーが IBM Lotus Notes または S/MIME で暗号化されたメッセー ジを受信すると、 IBM Lotus Domino 用 BlackBerry Enterprise Server が次の手順に従ってメッセージを復 号化します。 1. BlackBerry デバイスユーザーが IBM Lotus Notes と S/MIME で暗号化されたメッセージを受信します。 IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントが、BlackBerry デバ イスユーザーのキャッシュされた Notes ID パスワードを復号化してメッセージを復号化します。 IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントに Notes ID パスワー ドがない場合、BlackBerry デバイスユーザーは［その他］、［全文取得］、または［添付ファ イルを開く］を選択して、復号化されたメッセージを BlackBerry デバイスに取り込む必要があ ります。 3. BlackBerry Enterprise Server は、復号化された Notes ID パスワードをメモリから削除します。暗 号化された Notes ID パスワードはキャッシュされた状態で残ります。 BlackBerry Enterprise Server によって、復号化されたメッセージが BlackBerry デバイスにプッシュ され、BlackBerry デバイスでメッセージを読むことができます。 Notes ID パスワード保護 BlackBerry デバイスユーザーが Notes ID ファイルとパスワード（Notes ID ファイルに保存されてい る）をインポートすると、パスワードは次のように処理されます。 • • • AES を使用して、BlackBerry デバイスユーザーのマスター暗号化キーにより BlackBerry デバイス のメモリに暗号化される AES を使用して、BlackBerry デバイスユーザーのマスター暗号化キーにより IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントのメモリに暗号化される 必要な Lotus Notes API のセキュリティ機能の呼び出しに使用される前に復号化される IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントは、 次の場合に Notes ID ファイルとテキスト形式のパスワードを削除します。 • • • BlackBerry Enterprise Server でメッセージの復号化エラーが発生した場合 BlackBerry Enterprise Server が再起動した場合 パスワードがタイムアウトになった場合（タイムアウトの期限はデフォルトで 24 時間） 暗号化された Notes ID パスワードは、IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージン グエージェントのメモリキャッシュに保存されます。 BlackBerry Enterprise Server 管理者は、 IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントがパスワードをキャッシュする 時間の長さをカスタマイズできます。 また、 BlackBerry Enterprise Server 管理者は、 タイムアウト値を 0 に設定して、 BlackBerry デバイスユーザーが BlackBerry デバイスで受信するすべての Lotus Notes の 暗号化メッセージを復号化して読むために、Notes ID パスワードの入力を要求することができます。 IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントがパスワードをキャッシュ www. blackberry. com/knowledgecenterpublic/ する時間の長さをカスタマイズする方法の詳細については、 にある記事 KB- 12420「How to - Change the length of time for which the BlackBerry Enterprise Server for IBM Lotus Domino messaging agent caches a Notes . id password」（操作方法 - IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェントが Notes ID パスワードをキャッシュする時間の長さ の変更）を参照してください。 www. blackberry. com BlackBerry Enterprise Solution 36 BlackBerry デバイスは、次の場合に Notes ID ファイルとテキスト形式のパスワードを BlackBerry デ バイスのメモリから削除します。 • • • BlackBerry デバイスでメッセージの復号化エラーが発生した場合 BlackBerry デバイスがリセットされた場合 パスワードがタイムアウトになった場合（タイムアウトの期限はデフォルトで 24 時間） BlackBerry デバイスユーザーが BlackBerry デバイスで 1 時間以内にパスワードを 10 回以上連続して 間違って入力すると、 IBM Lotus Domino 用 BlackBerry Enterprise Server のメッセージングエージェント がセキュリティ保護され、ユーザーは 1 時間デバイスを使用できなくなります。 この一時的な使用停止時間は、10 分ごとに最長 24 時間まで増加します。使用停止時間は、間違っ たパスワード入力の許容回数を上回るごとに増加し、正しいパスワードを入力するとデフォルト の 1 時間に戻ります。 セキュリティ保護されたメッセージングを一時的に使用できない場合、 BlackBerry デバイスユーザー は、Notes ID ファイルをインポートするか、BlackBerry Desktop Software または Domino Web Access ク ライアントを使用して Notes ID パスワードを変更することで、セキュリティ保護されたメッセー ジングを手動で有効にできます。 保存されているデータの保護 メッセージングサーバーに保存されているメッセージの保護 IBM Lotus Domino サーバーと Microsoft Exchange サーバーでは、 すべてのメッセージと特定のユーザー データがそれぞれの環境内で保存されます。Novell GroupWise サーバー環境では、ユーザーのメッ セージングアカウントが存在する Post Office エージェントに、 メッセージとユーザーデータが保存 されます。 メッセージングサーバー IBM Lotus Domino サーバー Microsoft Exchange サーバー メッセージの保存場所 IBM Lotus Domino 環境内の IBM Lotus Domino データベース Microsoft Exchange メールボックス内のユーザーごとの隠しフォルダ IBM Lotus Domino データベースへのメッセージとユーザーデータの保存 BlackBerry Enterprise Server では、次の IBM Lotus Domino データベースが作成され、BlackBerry デバイ スのメッセージ管理に使用されます。 データベース BlackBerry State Database メッセージ保存方法 ユーザーの IBM Lotus Notes 受信ボックスにある元のメッセージと、 ユーザー の BlackBerry デバイスにある同一のメッセージを結び付けるエントリが保 存されます。 BlackBerry デバイスのユーザーごとに、 固有の名前の BlackBerry State Database があります。 www. blackberry. com BlackBerry Enterprise Solution 37 データベース BlackBerry Profiles Database メッセージ保存方法 • • 各 BlackBerry デバイスユーザーの重要な設定情報が保存されます。これ には、 BlackBerry デバイスの識別情報とマスター暗号化キーが含まれます。 ユーザーの BlackBerry State Database へのリンクが保存されるほか、 BlackBerry デバイスとの間のメッセージフローを管理するために BlackBerry Enterprise Server で使用するその他の情報が保存されます。 BlackBerry デバイスでの IT ポリシーの署名と保存 IT ポリシーは、1 つ以上の IT ポリシールールの集まりです。IT 管理コマンドは、 BlackBerry Enterprise Server 管理者がワイヤレスネットワーク経由の送信後にすぐに BlackBerry デバイスへのアクセスを 制御したり、BlackBerry デバイスの所有者情報を変更できる機能です。 BlackBerry Enterprise Server のインストール時に BlackBerry Configuration Database が作成されると、 IT ポ リシーと IT 管理コマンドを認証するための秘密鍵と公開鍵の固有のペアが BlackBerry Enterprise Server によって生成され、 デフォルトの IT ポリシーがデジタル署名されてから、 IT ポリシーと IT ポリシー の公開鍵が自動的に BlackBerry デバイスに送信されます。 BlackBerry デバイスでは、 デジタル署名付き IT ポリシーと IT ポリシーの公開鍵がフラッシュメモリ の NV ストアに保存され、IT ポリシーがその特定の BlackBerry デバイスに組み込まれます。NV スト アはフラッシュメモリ内に維持され、BlackBerry デバイスのオペレーティングシステムによっての み上書きできます。第三者のアプリケーションコードが NV ストアに書き込むことはできません。 BlackBerry Enterprise Server は、 IT ポリシーの秘密鍵を BlackBerry Configuration Database に保存します。 さらに、BlackBerry Enterprise Server は IT ポリシーの秘密鍵を使用して、BlackBerry デバイスに送信さ れるすべての IT ポリシーパケットに署名します。 BlackBerry デバイスは、 NV ストア内の IT ポリシー の公開鍵を使用して IT ポリシーのデジタル署名を認証します。 BlackBerry デバイスでのアプリケーションパスワードの暗号化と保存 BlackBerry デバイスユーザーは、 パスワードキーパーツールを使用して、 BlackBerry デバイスでアプ リケーションや Web サイトへのアクセスに使用するすべてのパスワードを作成および保存できま す。したがって、パスワードキーパーのマスターパスワードを覚えていれば、保存されているす べてのパスワードを取り出すことができます。 BlackBerry デバイスユーザーが BlackBerry デバイスで初めてパスワードキーパーを開く場合は、パ スワードキーパーのマスターパスワードを作成する必要があります。パスワードキーパーは、保 存情報（アプリケーションや Web サイトのパスワードおよびデータ）を 256 ビットの AES を使用 して暗号化し、BlackBerry デバイスユーザーがマスターパスワードを入力してパスワードキーパー ツールにアクセスする際にはこのパスワードを使用して情報を復号化します。 パスワードキーパー のマスターパスワードを 10 回間違って入力すると、すべてのデータが自動的に削除されます。 BlackBerry デバイスユーザーは、パスワードキーパーで次の操作を行うことができます。 • • • パスワードとその識別情報 （該当するパスワードを使用してアクセスできるアプリケーション など）を入力し、情報を保存する より強固なパスワードにするためにランダムパスワードを生成する パスワードをクリップボードにコピーし、アプリケーションまたは Web サイトのパスワード プロンプトに貼り付ける www. blackberry. com BlackBerry Enterprise Solution 38 BlackBerry デバイスでの外部メモリの保護 BlackBerry デバイスでは、外部メモリデバイスに保存されているマルチメディアデータが、［外部 ファイルシステムの暗号化レベル］ IT ポリシールールまたは対応する BlackBerry デバイスの設定に 従って暗号化されます。 BlackBerry デバイスでは、次の機能がサポートされています。 • AES を使用した、外部メモリデバイス上の外部ファイルの暗号化 外部ファイルシステムの暗号化は、BlackBerry デバイスユーザーが手動で（USB マスストレー ジデバイスなどから）外部メモリに転送するファイルには適用されません。 • 1024 ビット RSA のコード署名を使用した、外部メモリデバイス上のオブジェクトへのアクセ ス制御 外部メモリデバイスには、外部メモリデバイス上のファイルの暗号化と復号化のために BlackBerry デバイスが使用する、 暗号化されたファイルキーのコピーが保存されます。 BlackBerry デバイスは、 BlackBerry デバイスの RAM 内の NV ストアに保存されているデバイスキーまたはユーザーが指定す るパスワードあるいはその両方を使用して、外部メモリのファイルキーを暗号化します。 さらに、BlackBerry デバイスは、外部メモリデバイスにある暗号化されたファイルのヘッダー情報 内において、コード署名キーを許可することができます。コード署名キーは、暗号化されたファ イルの入力または出力ストリームを開く際に確認されます。 BlackBerry デバイス、任意のコンピュータプラットフォーム、または外部メモリデバイスを使用す るその他のデバイスで、外部メモリデバイス上の暗号化されたファイルを変更（例：切り捨てる） できます。 BlackBerry デバイスでは、 暗号化されたファイルデータの整合性チェックは行われません。 外部メモリファイルの暗号化キーを生成するプロセス BlackBerry Enterprise Server 管理者または BlackBerry デバイスユーザーが外部メモリの暗号化を初めて オンにすると、次の処理が行われます。 1. BlackBerry デバイスは、256 ビットの AES 暗号化キーを生成します。 BlackBerry デバイスは、 BlackBerry デバイスの RAM にある NV ストアに暗号化キーを保存します。 BlackBerry デバイスは、パスワードを使用して暗号化された別の 256 ビット AES 暗号化キーと 生成された AES キーの排他的論理和 （XOR） を計算し、 外部メモリファイルの暗号化キー （セッ ションキー）を生成します。 BlackBerry デバイスは、生成された AES 暗号化キーを使用して、外部メモリファイルの暗号化 キーを暗号化します。 BlackBerry デバイスは、暗号化された外部メモリファイルの暗号化キーを外部メモリデバイス に保存します。 4. 5. www. blackberry. com BlackBerry Enterprise Solution 39 BlackBerry デバイスの外部メモリに保存されたファイルの暗号化プロセス BlackBerry Enterprise Server 管理者または BlackBerry デバイスユーザーがマスストレージモードをオン にした後に BlackBerry デバイスユーザーが初めて外部メモリにファイルを保存するとき、 BlackBerry デバイスは外部メモリファイルの暗号化キーを復号化し、その暗号化キーを使用して保存された ファイルを自動的に暗号化します。 詳細については、 『Enforcing Encryption of Internal and External File Systems on BlackBerry Devices Technical Overview』 （BlackBerry デバイスの内部および外部ファイルシステムの暗号化に関する技術概要） を 参照してください。 ロックされた BlackBerry デバイスに保存されているユーザーデータの保護 コンテンツ保護が有効になっている場合は、BlackBerry デバイスのコンテンツは常に 256 ビットの AES 暗号化アルゴリズムによって暗号化されます。 BlackBerry デバイスユーザーのデータのコンテン ツ保護は、次の操作を実行します。 • • BlackBerry デバイスがロックされる場合、保存されているデータを 256 ビットの AES を使用し て暗号化する BlackBerry デバイスがロックされている場合、保存されているデータを ECC 公開鍵を使用して 暗号化する BlackBerry Enterprise Server 管理者または BlackBerry デバイスユーザーが BlackBerry デバイスのコンテン ツ保護をオンにすると、 BlackBerry デバイスはコンテンツ保護キーを使用して、 次のようなユーザー データ項目を暗号化します。 項目 AutoText BlackBerry Browser 説明 BlackBerry デバイスユーザーが入力するテキストに自動的に置き換 わるすべてのテキスト • • • カレンダー • • • • • アドレス帳に登録されてい る連絡先 Web サイトや第三者のアプリケーションから BlackBerry デバイ スにプッシュされたコンテンツ ユーザーが BlackBerry デバイスに保存した Web サイト ブラウザのキャッシュ 件名 場所 オーガナイザ 出席者 予定または会議出席依頼の中のメモ 連絡先タイトルとカテゴリを除くすべての情報 注意 ：BlackBerry デバイスでアドレス帳を含めるオプションをオフ にしないようにするには、［アドレス帳をコンテンツ保護に強制 的に含める］ IT ポリシールールを ［True］ に設定します。 BlackBerry デバイスでは、 コンテンツ保護がオンで、 BlackBerry デバイスがロッ クされているとき、 発信者番号と Bluetooth アドレス帳の転送機能を 使用できます。 www. blackberry. com BlackBerry Enterprise Solution 40 項目 メール 説明 • • • • 件名 メールアドレス メッセージ本文 添付ファイル タイトル メモの本文の内容 メモリスト • • RSA SecurID ライブラリ タスク フラッシュメモリに保存されている . sdtid ファイルシードのコン テンツ • • 件名 タスクの本文の内容 サードパーティアプリケー ションのデータ BlackBerry デバイスにインストールされているサードパーティアプ リケーションと関連付けられているすべてのデータ BlackBerry デバイスに保存されているデータの保護を有効にする BlackBerry Enterprise Server 管理者は、 ［コンテンツ保護強度］ IT ポリシールールを設定して、 BlackBerry デバイスに保存されているデータの保護を有効にできます。適切な ECC キー強度に対応する強度 レベルを選択します。 BlackBerry デバイスユーザーが BlackBerry デバイスの［セキュリティのオプション］でコンテンツ 保護をオンにする場合、 BlackBerry デバイスユーザーはコンテンツ保護レベルを、 BlackBerry Enterprise Server 管理者が IT ポリシールールを使用して設定できる場合と同じレベルに設定できます。 コンテンツ保護されている BlackBerry デバイスがロックされている間に受信したメッセージを復号 化する場合、復号化処理に ECC 秘密鍵が使用されます。ECC キーが長いほど、BlackBerry デバイス の復号化処理で ECC 復号化に要する時間が長くなります。コンテンツ保護の強度レベルには、ECC の暗号強度または復号化時間のいずれかを最適化するレベルを選択します。 BlackBerry Enterprise Server 管理者が、コンテンツ保護強度を［強］（283 ビットの ECC キーを使用） または［最強］ （571 ビットの ECC キーを使用）に設定する場合は［パスワードの最小文字数］IT ポ リシールールを設定して、 BlackBerry デバイスのパスワードの最小文字数をそれぞれ 12 文字または 21 文字に設定することを検討してください。パスワードが長ければ長いほど、ECC キーによる暗 号強度が高まります。 BlackBerry デバイスは、 BlackBerry デバイスのパスワードを使用して、 256 ビッ トの短期 AES 暗号化キーを生成します。 BlackBerry デバイスはこのキーをコンテンツ保護キーと ECC 秘密鍵の暗号化に使用します。パスワードが弱いと、短期キーの暗号強度も弱くなります。 詳細については、18 ページの「コンテンツ保護キーの生成プロセス」を参照してください。 www. blackberry. com BlackBerry Enterprise Solution 41 ロックされた BlackBerry デバイスに保存されているマスター暗号化キーの保護 BlackBerry Enterprise Server 管理者がマスター暗号化キーのコンテンツ保護をオンにすると、 BlackBerry デバイスはグランドマスターキーを使用してフラッシュメモリに保存されているマスター暗号化 キーを暗号化し、コンテンツ保護キーを使用してグランドマスターキーを暗号化します。ロック されている BlackBerry デバイスがマスター暗号化キーで暗号化されたデータを受信すると、 復号化 されたグランドマスターキーを使用してフラッシュメモリ内にある目的のマスター暗号化キーを 復号化し、復号化されたマスター暗号化キーを使用してデータを復号化して受信します。 BlackBerry デバイスは、復号化されたマスター暗号化キーとグランドマスターキーを保存します。 BlackBerry Enterprise Server 管理者、BlackBerry デバイスユーザー、または設定したパスワードのタイ ムアウトによって BlackBerry デバイスがロックされると、 ワイヤレストランシーバはオンのままに なり、BlackBerry デバイスはこれらのキーを保存している RAM を消去しません。BlackBerry デバイ スは、復号化されたグランドマスターキーとマスター暗号化キーがフラッシュメモリ内に含まれ てないようにします。 詳細については、19 ページの「グランドマスターキーの生成プロセス」を参照してください。 ロックされている BlackBerry デバイスに保存されているマスター暗号化キーの保護を有効にする BlackBerry Enterprise Server 管理者は、 ［マスターキーのコンテンツ保護を強制する］ IT ポリシールー ルを設定して、 BlackBerry デバイスに保存されているマスター暗号化キーの保護を有効にできます。 BlackBerry Enterprise Server 管理者が、 マスター暗号化キーのコンテンツ保護をオンにすると、 BlackBerry デバイスユーザーのデータおよびアプリケーションデータを暗号化する場合と同じ ECC キー強度 で、BlackBerry デバイスでマスター暗号化キーが暗号化されます。詳細については、40 ページの ｢BlackBerry デバイスに保存されているデータの保護を有効にする」を参照してください。 リセット中の BlackBerry デバイスに保存されているマスター暗号化キーの保護 BlackBerry Enterprise Server 管理者が、BlackBerry デバイスが BlackBerry デバイスをリセットしている 間にマスター暗号化キーのコンテンツ保護をオンにすると、次の処理が行われます。 • • • • ワイヤレストランシーバがオフになる シリアルバイパスがオフになる RAM 内で、すべてのデータと暗号化キー（暗号化されていないグランドマスターキーを含む） が保存されているメモリが解放される BlackBerry デバイスがロックされる フラッシュメモリ内のグランドマスターキーを復号化するコンテンツ保護キーを使用できない間、 ワイヤレストランシーバとシリアルバイパスはオフになります。BlackBerry デバイスの正しいパス ワードを使用して BlackBerry デバイスのロックを解除するまで、BlackBerry デバイスでデータの受 信および復号化はできません。 リセット後にユーザーが BlackBerry デバイスのロックを解除すると、BlackBerry デバイスで次の処 理が行われます。 • • • コンテンツ保護キーを使用して、フラッシュメモリ内のグランドマスターキーが復号化される 復号化されたグランドマスターキーが再び RAM に保存される BlackBerry Infrastructure へのワイヤレス接続が再確立される www. blackberry. com BlackBerry Enterprise Solution 42 • • シリアルバイパスが再開される BlackBerry Enterprise Server からデータが受信される BlackBerry デバイスのメモリ消去 BlackBerry デバイスでは、デフォルトで Java 標準のガベージコレクション処理が常時実行され、 BlackBerry デバイスで参照されなくなったメモリが再利用されます。 ガベージコレクションのセキュリティ保護がオンになっている場合は、BlackBerry デバイスで次の 追加の処理が行われます。 • • 標準のガベージコレクションによって取り戻されたメモリがゼロで上書きされる 定期的にメモリクリーナーが実行される。このアプリケーションでは、未使用のアプリケー ションの機密データが保存されているキャッシュを空白にし、 メモリを解放するように BlackBerry デバイスのアプリケーションに通知される メモリクリーナーの実行により解放されたメモリが自動的に上書きされる • BlackBerry デバイスでは、次の場合にガベージコレクションがセキュリティ保護されます。 • • • • • コンテンツ保護がオンになっている場合 アプリケーションが RIM Cryptographic Application Programming Interface（RIM Crypto API）を使用 して秘密鍵または対称キーを作成する場合 サードパーティアプリケーションがメモリクリーナーに登録されることでガベージコレクション のセキュリティ保護をオンにした場合 BlackBerry デバイス用 S/MIME Support Package がインストールされている場合 BlackBerry デバイス用 PGP Support Package がインストールされている場合 メモリ消去オプションの設定 BlackBerry デバイスユーザーは、BlackBerry デバイスのホルスター挿入時、または BlackBerry デバイ スが一定時間アイドル状態になった場合に、メモリクリーナーを実行するように設定できます。 BlackBerry デバイスユーザーは、メモリクリーナーを BlackBerry デバイス上で手動で実行したり、 BlackBerry デバイスの［セキュリティのオプション］で登録されている特定のメモリクリーナーを 実行したり、 メモリクリーナーのオン/オフを切り替えたりすることがでます。 ガベージコレクション のセキュリティ保護がオンになっている場合は、メモリクリーナーの実行時にセキュリティ保護 されたガベージコレクション処理が起動します。 BlackBerry Enterprise Server 管理者は、次の場合に、メモリクリーナーを自動的に実行するように設 定できます。 • • • • BlackBerry デバイスユーザーが BlackBerry デバイスをコンピュータと同期したとき BlackBerry デバイスユーザーが BlackBerry デバイスをロックしたとき 指定したアイドル時間の経過後に BlackBerry デバイスがロックされたとき BlackBerry デバイスユーザーが BlackBerry デバイスの時刻またはタイムゾーンを変更したとき 詳細については、『ポリシーリファレンスガイド』を参照してください。 www. blackberry. com BlackBerry Enterprise Solution 43 BlackBerry アーキテクチャコンポーネントのセキュリティ BlackBerry Enterprise Server は、 サービスやプロセスを監視し、 データの送信、 圧縮、 および暗号化を 行い、ワイヤレスネットワーク経由で BlackBerry Infrastructure と通信する機能とコンポーネントを 提供するサービスで構成されます。 BlackBerry Enterprise Server のアーキテクチャ BlackBerry Enterprise Server のアーキテクチャの詳細については、『BlackBerry Enterprise Server 機能お よび技術概要』を参照してください。 BlackBerry Enterprise Solution サービスおよびコンポーネントのセキュリティを強化しパフォーマン スを高めるため、システム管理者は、ファイアウォールで区切った複数のコンポーネントに組織 のネットワークを分割することで、セグメントごとに分割されたネットワークアーキテクチャを 作成できます。組織のネットワークの各セグメントに、特定のコンポーネントまたはサービスを 対象とするネットワークトラフィックを含めることができます。 BlackBerry Enterprise Solution のコン ポーネントをセグメント分割されたネットワークアーキテクチャに導入する方法の詳細について は、『Placing the BlackBerry Enterprise Solution in a Segmented Network』（セグメント分割したネット ワークへの BlackBerry Enterprise Solution の導入）を参照してください。 www. blackberry. com BlackBerry Enterprise Solution 44 BlackBerry Infrastructure BlackBerry Infrastructure は、サーバールーティングプロトコル（SRP）と呼ばれる RIM 独自のプロト コルを使用して BlackBerry Enterprise Server と通信します。 SRP は、 TCP/IP 上で動作するポイントツー ポイントのプロトコルです。 BlackBerry Enterprise Server BlackBerry Enterprise Server は、 BlackBerry デバイスユーザーの仕事用メールアカウントとそのユーザー が使用する BlackBerry デバイス間に、 セキュリティ保護された双方向のリンクを確立します。 BlackBerry Enterprise Server は、このリンクを使用して、社内ファイアウォールの保護範囲内でメッセージ配 信を行います。 メッセージングサーバー BlackBerry Enterprise Solution は、 Microsoft Exchange、 IBM Lotus Domino、 Novell GroupWise などのメッセー ジングサーバーと相互運用できます。BlackBerry Enterprise Solution は、既存のメッセージングサー バーの標準機能を変更することなく、 メッセージングサーバーのセキュリティを使用します。 メー ルはすべて、 引き続きメッセージングサーバーで受信、 配信、 および保存されます。 BlackBerry Enterprise Server は、これらのメッセージを BlackBerry デバイスとの間で転送する際のパイプ役として機能し ます。 BlackBerry Configuration Database メッセージングサーバーに直接接続しない BlackBerry サービスは、SQL データベース（BlackBerry Configuration Database）に保存されている設定情報にアクセスします。メッセージングサーバーへ のアクセスが必要な BlackBerry サービスは、BlackBerry Configuration Database を通して暗号化キーや パスワードにアクセスし、多数のタスクを実行できます。 BlackBerry Configuration Database には、次の情報が保存されます。 • • • • • • • • BlackBerry Enterprise Server の名前 BlackBerry Enterprise Server がワイヤレスネットワークへの接続を確立するために SRP 認証処理 で使用する固有の SRP 認証キーと SRP ID（UID） BlackBerry Enterprise Server が各 BlackBerry デバイス用に生成する IT ポリシーの公開鍵と秘密鍵の ペアのうちの秘密鍵 各 BlackBerry デバイスの PIN BlackBerry デバイスの固有のマスター暗号化キーの読み取り専用のコピー BlackBerry デバイスユーザーのリスト BlackBerry Enterprise Server の送信メッセージのヘッダーに含まれる、 メッセージ ID、 日付、 メッ セージステータスなどの情報（IBM Lotus Domino 用 BlackBerry Enterprise Server のみ） GroupWise MessageID を使用した、 MBMailSync、 MBCalendarSync、 MBPIMSync、 および MBFolderSync の各データベース同期テーブル内のユーザーデータへの半恒久的な参照 （Novell® GroupWise® 用 BlackBerry® Enterprise Server のみ） www. blackberry. com BlackBerry Enterprise Solution 45 BlackBerry Configuration Database の保護 Microsoft® SQL Server™ の設定を変更することで、BlackBerry Configuration Database のセキュリティを 強化し、保存されている BlackBerry デバイスユーザーの暗号化キーを保護できる場合があります。 設定オプション Microsoft SQL Server のイン ストールをインターネッ トを介した攻撃から守る 推奨 • Microsoft SQL Server への接続に Windows 認証モードが必要であ るように設定し、Microsoft® Windows® のユーザーとドメイン ユーザーのアカウントへの接続を制限し、資格情報の委任を 有効にします。 Windows 認証モードを使用すると、パスワードをクライアン ト側で保存する必要がなくなります。 ただし、 組織が BlackBerry MDS Service を実行している場合は、SQL サーバーで混合モー ド認証がサポートされている必要があります。 • 認証プロトコルの強化や、パスワードの複雑さと有効期限の 必須化など、Windows のセキュリティ強化メカニズムを使用 します。 サービスアカウントを パスワードで保護する sa アカウントに文字列のパスワードを割り当てます（Windows 認 証を必要とするサーバーも含む）。 文字列パスワードは、サーバーを混合モード認証に設定し直した 場合に、空白または脆弱な sa パスワードの流出を防ぎます。 Microsoft SQL Server の Windows サービスの権限 レベルを制限する 各サービスを Windows アカウントに関連付け、そのアカウント からサービスのセキュリティコンテキストが判断されるように します。 Microsoft SQL Server では、sa ログインのユーザーや、場合によって はその他のユーザーが、サーバープロセスを所有するアカウント のセキュリティコンテキストでオペレーティングシステムの機能を 利用できます。 サーバーがセキュリティ保護されていない場合は、 悪質なユーザーがこれらのオペレーティングシステム呼び出しを 使用して、 Microsoft SQL Server のサービスアカウントがアクセスで きるその他のリソースに攻撃を拡大することができます。 www. blackberry. com BlackBerry Enterprise Solution 46 設定オプション Microsoft SQL Server Enterprise Manager を 使用する 推奨 • Microsoft SQL Server のサービスに関連付けられているアカウン トを組織が変更する必要がある場合、 システム管理者は、 SQL Server Enterprise Manager を使用して変更します。SQL Server Enterprise Manager では、Microsoft SQL Server で使用されるファ イルやレジストリキーへの適切な権限が設定されます。 Microsoft 管理コンソールの［サービス］アドインを使用して、 Microsoft SQL Server サービスに関連付けられているアカウン トを変更しないでください。この［サービス］アドインを使 用するには、 システム管理者が、 多くのレジストリや NTFS ファ イルシステムの権限、および Microsoft Windows ユーザーの権 限を手動で調整する必要があります。 詳細については、Microsoft Knowledge Base「SQL Server 2000 の SQL Enterprise Manager または SQL Server 2005 の SQL Server 構成 マネージャを使用せずに SQL Server または SQL Server エー ジェントサービスのアカウントを変更する方法」を参照して ください。 • ファイアウォールでデフォ ルトで監視される Microsoft SQL Server のポートを使用 不可にする セキュリティ保護されてい るファイルシステムを使用 する TCP ポート 1433 または UDP ポート 1434 に宛てられている、また は名前付きインスタンスに関連付けられているパケットを除外す るようにファイアウォールを設定します。 • Microsoft SQL Server に NTFS を使用します。NTFS は FAT ファイ ルシステムよりも安定性と復元性に優れ、 またファイルやフォ ルダの ACL や EFS などのセキュリティオプションを使用でき ます。 Microsoft SQL Server のインストール時に設定される権限は変更 しないでください。Microsoft SQL Server で NTFS が検出される と、レジストリキーとファイルに対して適切な ACL が設定さ れます。 システム管理者が Microsoft SQL Server を実行するアカウントを 変更する必要がある場合は、古いアカウントでファイルを復 号化し、新しいアカウントで再び暗号化します。 • • セキュリティ保護されてい ない古いセットアップファ イルを削除する Microsoft SQL Server のインストール時に、 Microsoft SQL Server のバー ジョン固有の場所に記録された、テキスト、弱い公開鍵で暗号化 された資格情報、または機密の設定情報を含む可能性がある Microsoft SQL Server のセットアップファイルを削除します。 注意：Microsoft は、 システム上でセキュリティ保護されていない、 古いセットアップファイルを検索し、 パスワードを削除する、 Killpwd というフリーツールを公開しています。 詳細については、 Microsoft Knowledge Base 「Service Pack のインストール時にシステム管理者の パスワードがファイルに保存されることがある」を参照してくだ さい。 www. blackberry. com BlackBerry Enterprise Solution 47 設定オプション Microsoft SQL Server への 接続を監査する 推奨 • • 少なくとも Microsoft SQL Server への接続の失敗をログに記録 し、定期的にログを確認します。 可能な場合は、 ログファイルを、 データファイルとは別のハー ドディスクに保存します。 BlackBerry Configuration Database の変更 BlackBerry Enterprise Server 管理者が BlackBerry デバイスを異なる BlackBerry Configuration Database を使 用する BlackBerry Enterprise Server に移動する場合、 BlackBerry Enterprise Server 管理者または BlackBerry デバイスユーザーが、すべての BlackBerry デバイスユーザーのデータとアプリケーションデータ、 BlackBerry デバイスのマスター暗号化キー、および IT ポリシーの公開鍵を BlackBerry デバイスから 削除する必要があります。詳細については、82 ページの「BlackBerry デバイスのリモートデータ消 去の種類」を参照してください。 BlackBerry Enterprise Server 管理者または BlackBerry デバイスユーザーは、 新しい固有のマスター暗号 化キーの再生成を行う必要があります。 BlackBerry デバイスが新しい BlackBerry Enterprise Server と通 信するには、 新しい BlackBerry Enterprise Server で IT ポリシーの秘密鍵と公開鍵の固有のペアを生成 し、デフォルトの IT ポリシーと IT ポリシーの公開鍵をデジタル署名して BlackBerry デバイスに送 信する必要があります。 新しい BlackBerry Configuration Database には、新しい BlackBerry Enterprise Server 名、および BlackBerry デバイスのマスター暗号化キーと IT ポリシーの秘密鍵が保存されます。 BlackBerry MDS Service データベース BlackBerry MDS Service は BlackBerry MDS Service データベースアクセス資格情報をテキスト形式で、 INSTALL_DIR¥BlackBerry MDS Service 4. 1. 0¥jakarta-tomcat-5. 5. 9¥conf¥server. xml に保存します。この保存 場所のアクセス資格情報を保護するには、システム管理者が次の操作を行う必要があります。 • • BlackBerry MDS Service データベースのインストールと管理用に、それぞれ別の SQL ログインア カウントを使用する BlackBerry MDS Service の別々の SQL ログインアカウントにのみ、 保存場所の読み取り/書き込み に関する権利を割り当てる 詳細については、『BlackBerry Enterprise Server インストールガイド』を参照してください。 BlackBerry Enterprise Solution の接続の保護 BlackBerry Enterprise Server は、SRP 認証を使用してワイヤレスネットワークへの接続を確立し、 BlackBerry Infrastructure と通信します。BlackBerry Enterprise Server は BlackBerry Infrastructure と通信し て、SRP を使用し初期接続を確立します。 BlackBerry Enterprise Server と BlackBerry Infrastructure が接続を確立する際に、認証ハンドシェイクを 行います。認証に失敗した場合は、接続を確立できません。BlackBerry Enterprise Server が同じ固有 の SRP 認証キーと SRP ID を使用して BlackBerry Infrastructure に 1 分間に 5 回 接続してから、接続を 切断しようとすると、BlackBerry Infrastructure がこの SRP ID を無効にします。これは、サービス拒 否攻撃などのために悪質なユーザーが同一の SRP ID を使用するのを防ぐためです。 www. blackberry. com BlackBerry Enterprise Solution 48 BlackBerry Enterprise Server と BlackBerry Infrastructure 間でインターネット経由で初期接続が確立され ると、BlackBerry Enterprise Server は、TCP/IP 持続接続を使用して BlackBerry Infrastructure にデータを 送信します。 BlackBerry Infrastructure は、 標準のプロトコルを使用して BlackBerry デバイスにデータを 送信します。 BlackBerry デバイスは、BlackBerry Router を使用して BlackBerry Enterprise Server に直接接続すること で、SRP 接続と認証を省略できます。BlackBerry Enterprise Server は、SRP と BlackBerry Router の認証 プロトコルの組み合わせを使用して、BlackBerry Router と通信できます。 SRP 認証 SRP では、BlackBerry Enterprise Server と BlackBerry Infrastructure 間で認証接続が確立され、その後ワ イヤレスネットワーク経由でデータが送受信される際に、次の処理が行われます。 • • BlackBerry Enterprise Server が BlackBerry Infrastructure を認証し、 BlackBerry Infrastructure が BlackBerry Enterprise Server を認証する BlackBerry Enterprise Server と BlackBerry Infrastructure 間で設定情報を交換する BlackBerry Infrastructure と BlackBerry Enterprise Server の認証が互いに完了した後、データが転送され ます。認証ハンドシェイクには、BlackBerry Enterprise Server と BlackBerry Infrastructure の両方にある 共有の秘密暗号化キー（SRP 認証キー）を使用します。認証ハンドシェイク中に認証に失敗した 場合は、SRP によって接続が終了します。 BlackBerry Enterprise Server では、最初の SRP 認証処理の直後に基本情報パケットが BlackBerry Infrastructure に送信されます。 パケットの形式は BlackBerry Enterprise Server と BlackBerry Infrastructure の両方で認識できるため、両方で SRP 実装のパラメータを動的に設定できます。 BlackBerry Enterprise Server の旧バージョンでは、認識できないパケットを受信した際に SRP 接続が 終了します。 旧バージョンとの下位互換性を確保するため、 BlackBerry Enterprise Server から BlackBerry Infrastructure に同じ形式のパケットが送信されるまで、 BlackBerry Infrastructure から BlackBerry Enterprise Server に基本情報パケットは送信されません。 SRP 認証プロセス 手順 1 アクション BlackBerry Enterprise Server から BlackBerry Infrastructure に SRP ID（UID）が送信されます。 BlackBerry Infrastructure から BlackBerry Enterprise Server に チャレンジ文字列が送信され ます。 説明 BlackBerry Enterprise Server から BlackBerry Infrastructure に UID を通知するパケットが送信されます。 BlackBerry Infrastructure から BlackBerry Enterprise Server に ランダムのチャレンジ文字列が送信されます。 2 3 BlackBerry Enterprise Server から BlackBerry Enterprise Server が BlackBerry Infrastructure の BlackBerry Infrastructure にチャ チャレンジ文字列を受信すると、BlackBerry Enterprise レンジ文字列が送信されます。 Server から BlackBerry Infrastructure にチャレンジ文字列が 送信されます。 www. blackberry. com BlackBerry Enterprise Solution 49 手順 4 アクション BlackBerry Infrastructure から BlackBerry Enterprise Server に チャレンジ応答が送信され ます。 説明 BlackBerry Infrastructure が SHA-1 を使用するキー付き の HMAC を使って、20 バイトの共有秘密暗号化キーであ る SRP 認証キーで BlackBerry Enterprise Server のチャレン ジ文字列をハッシュします。 BlackBerry Infrastructure から BlackBerry Enterprise Server に、最終的に 20 バイトの値が 送信されます。 BlackBerry Enterprise Server がチャレンジ文字列と共有の SRP 認証キーをハッシュして、BlackBerry Infrastructure の チャレンジ文字列に応答します。 BlackBerry Infrastructure がチャレンジ応答を承認すると、 BlackBerry Enterprise Server に最終確認を行い、認証処理 が完了し、BlackBerry Infrastructure と BlackBerry Enterprise Server 間で認証された SRP 接続が設定されます。 BlackBerry Infrastructure が応答を拒否すると、 接続に失敗 し、SRP によって認証セッションが終了します。 5 BlackBerry Enterprise Server から BlackBerry Infrastructure にチャ レンジ応答が送信されます。 BlackBerry Infrastructure から BlackBerry Enterprise Server に承 認が送信されます。 6 BlackBerry Enterprise Server および BlackBerry Infrastructure による不達メッセージの 処理方法 BlackBerry デバイスにメッセージが送信されたとき、次のシナリオでは、BlackBerry Infrastructure は メッセージをただちに BlackBerry デバイスに配信できない場合があります。 シナリオ 結果 BlackBerry Infrastructure で設定されたタイムアウト値 (7 日） 経過後、 または BlackBerry Enterprise Server への接 続が失われた後、 メッセージが不達のままの場合、 メッ セージの期限が切れます。BlackBerry Infrastructure は、 送信元にメッセージを配信できなかったことを通知し ます。 BlackBerry Infrastructure が、10 分間試行してもメッセー ジを配信できないという BlackBerry デバイスに対する メッセージを受信すると、BlackBerry Infrastructure は BlackBerry Enterprise Server に通知して、メッセージを削 除します。 BlackBerry Enterprise Server は、 BlackBerry デバイスの状態 が変化したことを知らせる通知を BlackBerry Infrastructure から要求します。BlackBerry デバイスの状 態が、ワイヤレスネットワーク経由でメッセージの送 受信ができることを示すと、BlackBerry Infrastructure は BlackBerry Enterprise Server に通知し、 BlackBerry Enterprise Server は保留中のメッセージを BlackBerry デバイスに送 信します。 BlackBerry デバイスの状態により、 • BlackBerry デバイスは、 ワイヤレス ネットワーク経由でメッセージの 送受信ができなくります。 BlackBerry デバイスユーザーが、 ワ イヤレス通信可能範囲を出入りし たり、BlackBerry デバイスのオン/ • オフを切り替えたりして BlackBerry デバイスの状態を変更すると、 メッ セージの配信ができなくなる場合 があります。 • www. blackberry. com BlackBerry Enterprise Solution 50 シナリオ BlackBerry Enterprise Server と BlackBerry Infrastructure 間の接続が 終了します。 結果 • BlackBerry Infrastructure は、 発信元の BlackBerry デバイス にメッセージが配信できなかったことを通知し、10 分 間試行してからメッセージを削除します。 接続が再確立されると、BlackBerry Enterprise Server は、 不達メッセージを配信先の BlackBerry デバイスに再送 信します。 待機中のメッセージが 5 通を超える場合は、 BlackBerry Enterprise Server がそれらのメッセージを BlackBerry Configuration Database に保存します。 • BlackBerry Router のプロトコル認証 BlackBerry Router は、 SRP で認証された BlackBerry Infrastructure への接続をバイパスして、 コンピュー タへの接続を通じて BlackBerry Device Manager とつながっている BlackBerry デバイス、 またはポート 4101 を経由してエンタープライズ Wi-Fi ネットワークに接続している BlackBerry デバイスに、デー タをルーティングします。 BlackBerry デバイスと BlackBerry Router 間で送受信されるデータは、 圧縮 され暗号化されます。 システム管理者は、 BlackBerry Router をリモートコンピュータにインストールして、 BlackBerry Infrastructure と 1 台以上の BlackBerry Enterprise Server 間でデータトラフィックを送信できます。 BlackBerry Router から BlackBerry デバイスにデータを送信するには、BlackBerry デバイスが BlackBerry Enterprise Server で認証され、 マスター暗号化キーを認識していることを証明する必要があります。 BlackBerry Enterprise Server および BlackBerry デバイスは、 BlackBerry Router のプロトコルを使用して、 相互認証接続を行います。 BlackBerry Router のプロトコルによる認証プロセスが正常に終了すると、 BlackBerry Device Manager ま たはエンタープライズ Wi-Fi ネットワークへのポート 4101 を経由して、BlackBerry デバイスから BlackBerry Router にデータが送信されます。さらに、BlackBerry Device Manager またはエンタープラ イズ Wi-Fi ネットワークへのポート 4101 を経由して、 BlackBerry Router から BlackBerry デバイスにデー タが送信されます。BlackBerry デバイスユーザーが BlackBerry デバイスをコンピュータから取り外 す、または BlackBerry Device Manager を終了する、またはエンタープライズ Wi-Fi ネットワークから 切断すると、 SRP 接続を経由したワイヤレスデータフローが元に戻ります。 BlackBerry Enterprise Server および BlackBerry Router は、BlackBerry Router のプロトコルを使用して、BlackBerry デバイスへの認 証接続を閉じます。 www. blackberry. com BlackBerry Enterprise Solution 51 BlackBerry Router のプロトコルが使用する認証プロセス 手順 1 アクション BlackBerry デバイスユーザーは、 BlackBerry デバイスを物理的にコン ピュータに接続するか、または BlackBerry デバイスをエンタープライ ズ Wi-Fi ネットワークに接続します。 BlackBerry Router が BlackBerry デバイ スを認証します。 説明 ユーザーは、BlackBerry デバイスを BlackBerry Device Manager を実行しているコンピュータに 接続するか、 または BlackBerry デバイスをエンター プライズ Wi-Fi ネットワークに接続します。 BlackBerry Enterprise Server および BlackBerry デバイ スは、固有の BlackBerry Router 認証プロトコルを 使用して、BlackBerry デバイスのマスター暗号化 キーが正しいことを確認します。 BlackBerry Router は、BlackBerry デバイスと BlackBerry Enterprise Server が共有するマスター暗号化キーの値を利用 できません。 BlackBerry Enterprise Server と BlackBerry デバイス は、SRP 認証ハンドシェイクにおいて BlackBerry Enterprise Server が BlackBerry Infrastructure に接続 できるかどうかを判別する場合と同じ認証情報を 使用して、互いに検証します。 BlackBerry Router のプロトコルの詳細については、 100 ページの 「コンテンツ保護の有効時に AES 実 装を使用するマスク処理プロセス」を参照してください。 2 ワイヤレスエンタープライズアクティベーション時の認証 ワイヤレスエンタープライズアクティベーションによって、 BlackBerry デバイスユーザーはコンピュー タに接続せずに BlackBerry Enterprise Server でサポートされている BlackBerry デバイスをアクティブ にできます。 BlackBerry Enterprise Server 管理者は、 ワイヤレスエンタープライズアクティベーションを 使用して、多数の BlackBerry デバイスをリモートでアクティブにできます。 ワイヤレスエンタープライズアクティベーションでは、BlackBerry デバイスユーザーを認証し、 BlackBerry Enterprise Server と BlackBerry デバイス間の通信をセキュリティ保護するマスター暗号化 キーが生成されます。 BlackBerry Enterprise Server と BlackBerry デバイスは、 SPEKE を使用してアクティ ベーションパスワードによりキー生成プロセスを開始する、 初期の key establishment protocol を使用 し、 強力な認証を可能にする共有のマスター暗号化キーを確立します。 BlackBerry Enterprise Server と BlackBerry デバイスは、キー確立プロセスとその後のキー生成やメッセージ交換時に、ワイヤレス ネットワーク経由でマスター暗号化キーを送信しません。 BlackBerry Enterprise Server で BlackBerry デバイスが正常にアクティブになると、BlackBerry デバイス にアクティベーションパスワードは必要なくなります。 同じ BlackBerry デバイスユーザーまたは別 のユーザーがこのパスワードを使用して、 別の BlackBerry デバイスをアクティブにすることはでき ません。 www. blackberry. com BlackBerry Enterprise Solution 52 ワイヤレスエンタープライズアクティベーション時に使用される認証プロセス 手順 1 アクション ワイヤレスエンタープライズアク ティベーションを開始します。 説明 BlackBerry デバイスでエンタープライズアクティ ベーションアプリケーションを開き、 仕事用メー ルアドレスと、BlackBerry Enterprise Server 管理者 から通知されたアクティベーションパスワードを 入力します。 BlackBerry の標準プロトコルを使用して、 BlackBerry デバイスから BlackBerry Infrastructure にアクティ ベーション要求が送信されます。SMTP を使用し て BlackBerry Infrastructure から BlackBerry デバイス ユーザーのメールアカウントにアクティベー ションメッセージが送信されます。 アクティベー ションメッセージには、 BlackBerry デバイスのルー ティング情報と公開鍵が含まれます。 BlackBerry Enterprise Server から BlackBerry デバイス に、BlackBerry Enterprise Server のルーティング情 報と公開鍵が含まれるアクティベーション応答が 送信されます。 BlackBerry Enterprise Server と BlackBerry デバイス が、初期の key establishment protocol を使用して、 マスター暗号化キーを確立します。BlackBerry Enterprise Server と BlackBerry デバイスが、ワイヤ レスネットワーク経由でキーを送信せずに、 相互 にマスター暗号化キーを確認します。BlackBerry Enterprise Server と BlackBerry デバイスの両方でマ スター暗号化キーが正しいことが確認されると、 アクティベーションが続行され、BlackBerry Enterprise Server と BlackBerry デバイスでこのマス ター暗号化キーを使用して、ワイヤレスネット ワーク経由でキーを送信せずに、 以降の相互間の 通信が暗号化されます。 BlackBerry Enterprise Server から BlackBerry デバイス に適切なサービスブックが送信されます。 これで BlackBerry デバイスユーザーは、BlackBerry デバイ スでメッセージの送受信を行うことができるよう になります。 2 BlackBerry デバイスから BlackBerry Infrastructure にアクティベーション 要求が送信されます。 3 BlackBerry Enterprise Server から BlackBerry デバイスにアクティベー ション応答が送信されます。 BlackBerry Enterprise Server と BlackBerry デバイスが、共有のマス ター暗号化キーの確立と確認を行い ます。 4 5 BlackBerry Enterprise Server から BlackBerry デバイスにサービスブック が送信されます。 www. blackberry. com BlackBerry Enterprise Solution 53 手順 6 アクション BlackBerry Enterprise Server から BlackBerry デバイスにデータが送信 されます。 説明 BlackBerry デバイスユーザーに対してワイヤレス PIM 同期とワイヤレスバックアップが有効になっ ている場合は、 BlackBerry Enterprise Server からユー ザーの BlackBerry デバイスに次のデータが送信さ れます。 • • • カレンダーエントリ 連絡先、タスク、およびメモ 自動ワイヤレスバックアップでバックアップ された既存の BlackBerry デバイスのオプ ション（該当する場合のみ） 詳細については、『BlackBerry Wireless Enterprise Activation Technical Overview』（BlackBerry ワイヤレス エンタープライズアクティベーションの技術概要）を参照してください。 TCP/IP 接続 BlackBerry Enterprise Server から BlackBerry Router への TCP/IP 接続では、 次の方法でセキュリティが保 護されます。 セキュリティ対策 BlackBerry Enterprise Server から BlackBerry デバイスへ のアウトバウンドトラ フィックは、BlackBerry Infrastructure への認証接続 のみを経由して BlackBerry デバイスに送信されます。 BlackBerry Enterprise Server は、 インバウンドトラフィッ クをメッセージングサー バーに送信しません。 BlackBerry Enterprise Solution では、TCP/IP 経由のデータ が暗号化されます。 説明 システム管理者は、BlackBerry Enterprise Server が TCP ポート 3101 か ら BlackBerry Infrastructure へのアウトバウンド接続を開始および維 持できるよう、社内ファイアウォールまたはプロキシを設定する 必要があります。 BlackBerry Enterprise Server では、BlackBerry デバイス（BlackBerry Infrastructure または BlackBerry Desktop Software 経由）またはメッ セージングサーバー以外のすべてのソースからのインバウンドト ラフィックが破棄されます。 • データは、BlackBerry Enterprise Server から BlackBerry デバイス 間、また BlackBerry デバイスから BlackBerry Enterprise Server 間 において、 標準の BlackBerry 暗号化方式で暗号化された状態が 維持されます。データが復号化されて再び暗号化される中間 地点はありません。 BlackBerry Enterprise Server が適切で有効なマスター暗号化 キーを使用してデータを復号化できない限り、BlackBerry Enterprise Server とワイヤレスネットワークまたは BlackBerry デバイス間でデータトラフィックは発生しません。適切で有 効なマスター暗号化キーは、BlackBerry デバイスと BlackBerry Enterprise Server のみ保持します。 • www. blackberry. com BlackBerry Enterprise Solution 54 セキュリティ対策 BlackBerry Enterprise Server は、特定のコンポーネント 間のデータトラフィックを 暗号化します。 説明 BlackBerry Collaboration Service、BlackBerry Connection Service、 BlackBerry Policy Service、および BlackBerry Synchronization Service は、 これらのみが認識している、 セキュリティ保護された通信パスワー ドを共有します。BlackBerry Messaging Agent と BlackBerry Dispatcher は、これらのみが認識している、セキュリティ保護された別の通 信パスワードを共有します。これらのいずれかのコンポーネント から BlackBerry Dispatcher への接続が開始されると、 BlackBerry のプ ロセス間プロトコルが SPEKE を使用して、 コンポーネントのセキュ リティ保護された通信パスワードによりキー生成プロセスを開始 し、256 ビットの AES 暗号化キー（セッションキー）を確立しま す。BlackBerry Enterprise Server は、次にこのセッションキーを使用 して、同じ通信パスワードが保存されている任意のコンポーネン トへのデータトラフィックを暗号化します。 BlackBerry Router では、BlackBerry デバイスからのインターネット またはイントラネットのコンテンツ要求がポート 4101 経由でエン タープライズ Wi-Fi ネットワークに送信されます。 BlackBerry Router が、PIN がワイヤレスネットワークに登録されている有効な BlackBerry デバイスのものであることを確認します。 BlackBerry デバイスは BlackBerry Router を使用し て、エンタープライズ Wi-Fi ネットワークのみを対象と するインバウンド接続を開 始します。 メッセージングサーバーからコンピュータのメールアプリケーションへの接続 システム管理者は、メッセージングサーバーを設定して、メッセージングサーバーと BlackBerry デ バイスユーザーのコンピュータのメールアプリケーション間で転送される BlackBerry デバイスのデー タを暗号化できます。 メッセージングサーバー IBM Lotus Domino データトラフィックの暗号化方式 • BlackBerry Enterprise Server と IBM Lotus Domino サーバーは同じ IBM Lotus Notes RPC を使用して通信するため、BlackBerry Enterprise Server、 BlackBerry 関連の IBM Lotus Domino データベー ス、および IBM Lotus Domino サーバー間でシームレスな通信 が可能です。 コンピュータへの物理的な接続を使用して BlackBerry デバイ スをアクティブにしている場合は、 IBM Lotus Domino サーバー と各自の IBM Lotus Notes 受信ボックス間で、転送中のデータ トラフィックを暗号化できます。詳細については、IBM Lotus Domino のヘルプファイルを参照してください。 BlackBerry Enterprise Server と Microsoft Exchange Server は、同じ Microsoft Exchange Server RPC を使用して通信します。 BlackBerry デバイスユーザーは 128 ビットの暗号化を使用して、 Microsoft Exchange Server と Microsoft Outlook 間の MAPI 接続を 経由した RPC 通信を暗号化できます。Microsoft Windows で暗 号化を有効にする方法については、 Microsoft の製品ドキュメン トを参照してください。 • Microsoft Exchange • • www. blackberry. com BlackBerry Enterprise Solution 55 メッセージングサーバー Novell GroupWise データトラフィックの暗号化方式 Novell GroupWise 用 BlackBerry Enterprise Server は、信頼済みアプリ ケーションキーを使用して GroupWise サーバーへの接続を開きま す。 信頼済みアプリケーションキーを生成するには、 GroupWise の 管理者が Trusted Application Key Generator を実行し、 GroupWise のプ ライマリドメインのデータベースの場所を指定してから、 BlackBerry Enterprise Server から GroupWise サーバーへの接続に使用するアプ リケーション名を指定します。 信頼済みアプリケーションキーは 64 バイトの ASCII 文字列です。 BlackBerry Enterprise Server は、信頼済みアプリケーション名と キーを使用して安全に BlackBerry デバイスユーザーのメールボッ クスに接続します。GroupWise サーバーは、信頼済みアプリケー ション名とキーを確認して、BlackBerry Enterprise Server による BlackBerry デバイスユーザーの GroupWise データベースへの接続を 許可します。 BlackBerry Desktop Manager とコンポーネントの接続 BlackBerry® Desktop Manager の Application Loader ツールと Media Manager は、BlackBerry Desktop Manager と秘密鍵を共有します。Application Loader ツールまたは Media Manager ツールが BlackBerry Desktop Software バージョン 4. 2 以降への接続を開始すると、BlackBerry Desktop Software はセキュリ ティ保護されたチャンネルテクノロジを使用して通信チャネルを作成します。この通信チャネル では、共有の秘密鍵を使用して、BlackBerry Desktop Manager ともう一方のコンポーネントとの通信 がセキュリティ保護されます。 セキュリティ保護されたチャンネルテクノロジ通信チャンネルが使用する認証プロセス 1. Application Loader ツールまたは Media Manager ツールが、 BlackBerry Desktop Software バージョン 4. 2 以降への接続を開始します。 BlackBerry Desktop Software でのセキュリティ保護されたチャンネルテクノロジの実装で、共有 の秘密パスワードと 521 ビット曲線の ECDH プロトコルを使用して、マスター暗号化キーが作 成されます。 セキュリティ保護されたチャンネルテクノロジがマスター暗号化キーを使用して、 2 つの暗号 化キーと 2 つの HMAC-SHA-256 キーを作成します。 セキュリティ保護されたチャンネルテクノロジがいずれかの暗号化キーと HMAC キーを使用 し、BlackBerry Desktop Software バージョン 4. 2 が通信チャネルを経由して同じパスワードを保 存しているコンポーネントに送信するデータの暗号化と認証を行います。 セキュリティ保護されたチャンネルテクノロジがいずれかの暗号化キーと HMAC キーを使用 し、BlackBerry Desktop Software バージョン 4. 2 が通信チャネルを経由して接続を開始したコン ポーネントから受信するデータの暗号化と認証を行います。 3. 4. 5. www. blackberry. com BlackBerry Enterprise Solution 56 BlackBerry MDS 接続 BlackBerry デバイスユーザーは BlackBerry Browser と BlackBerry デバイスのサードパーティ Java アプ リケーションを使用して、インターネットや組織のイントラネットにアクセスしたり、BlackBerry Enterprise Server のプッシュアプリケーションからのプッシュ要求を受け入れて応答したりするこ とができます。BlackBerry MDS では、HTTP や TCP/IP などの標準プロトコルを使用して、インター ネットや組織のイントラネット内のデータにアクセスできます。また、RIM 独自の BlackBerry MDS Service セキュリティプロトコルを使用して、BlackBerry デバイスから BlackBerry MDS Service を使っ て送信するメッセージを保護します。 BlackBerry デバイスは、 BlackBerry の標準暗号化方式を使用し て、組織のアプリケーションや、ユーザーが BlackBerry デバイス上で受信するオンラインデータを 保護します。 BlackBerry デバイスへのセキュリティで保護された HTTP 接続の要求 BlackBerry MDS Service 自己署名証明書は、BlackBerry MDS Service と BlackBerry Manager 間のサーバー 認証、および BlackBerry MDS Service と外部 Web サービスホスト間のクライアント認証を行います。 BlackBerry MDS Service では、自己署名証明書がキーストア内に格納されています。 システム管理者は、 この証明書を BlackBerry MDS Service コンピュータにインストールして、 BlackBerry MDS Service と BlackBerry Manager 間でサーバー認証済みの通信を確立できます。 BlackBerry Enterprise Solution が、 SSL を使用して外部 Web サーバーと通信している場合、 システム管理者は、 BlackBerry MDS Service 証明書をエクスポートして、Web サービスと認証済みの通信を確立する必要があります。 BlackBerry Enterprise Server 管理者が［セキュリティの低いダイジェストアルゴリズム］IT ポリシー ルールを使用して BlackBerry デバイスが脆弱であると認識するアルゴリズムを指定する場合に、 BlackBerry デバイスが SSL を使用して外部 Web サーバーに接続すると、 BlackBerry Enterprise Server は、 BlackBerry デバイスが SSL プロトコルに使用する証明書の証明書チェーンの強度が十分かどうかを 検証する際、セキュリティの低いダイジェストアルゴリズムのリストを使用します。 セキュリティで保護された接続を使用した BlackBerry MDS Studio アプリケーションの BlackBerry デバイスへのプッシュ システム管理者が BlackBerry MDS Service と Web サービス間の認証を設定した後、 BlackBerry Enterprise Server 管理者は、BlackBerry デバイスに SSL Web サービスのみを使用する BlackBerry® MDS Studio Application をインストールする許可を与えることができます。 ツーファクタ認証を使用したセキュリティで保護された HTTP 接続の要求 BlackBerry MDS Service は、 ハードウェアトークンを使用する RSA SecurID 認証をサポートし、 BlackBerry デバイスでインターネットまたは組織のイントラネットにアクセスするときにツーファクタ認証を 要求できます。 ユーザーが Web サーバーにアクセスしようとすると、 BlackBerry MDS Connection Service が、そのユーザーの資格情報をキャッシュしているかどうかを確認します。キャッシュしている 場合は、 資格情報を Web サーバーに送信します。 資格情報をキャッシュしていない場合、 または Web サーバーがキャッシュされた資格情報を受け入れない場合は、BlackBerry MDS Connection Service が 資格情報を要求するデバイスにメッセージを送信し、 そのデバイスが資格情報の入力を求めるメッ セージを表示します。 www. blackberry. com BlackBerry Enterprise Solution 57 BlackBerry MDS Service セキュリティプロトコル BlackBerry MDS Service セキュリティプロトコルは、ソースを認証して BlackBerry MDS の各メッセー ジの整合性を保護するため、 BlackBerry デバイスと BlackBerry MDS Service 間で送受信される BlackBerry MDS の各メッセージに MAC を生成します。さらに、BlackBerry MDS の各メッセージの機密性を保 護するため、BlackBerry デバイスと BlackBerry MDS Service 間で送受信されるデータを暗号化および 復号化します。 BlackBerry MDS Service セキュリティプロトコルが使用する認証プロセス 1. BlackBerry デバイスが、128 ビット AES のセッションキーを生成します。 BlackBerry デバイスが、1024 ビットの RSA と PKCS #1 のパディングを使用して AES セッション キーを暗号化したあと、キーを BlackBerry MDS Service サーバーに送信し、BlackBerry デバイス のフラッシュメモリに保存します。 BlackBerry MDS Service セキュリティプロトコルが、 128 ビットの AES データベースアクセスキーを 使用して、 CBC モードの 128 ビット AES と PKCS #5 のパディングで 128 ビットの AES セッション キーを暗号化します。 BlackBerry MDS Service サーバーが、暗号化された 128 ビットの AES セッションキーを BlackBerry MDS Service のデータベースに保存し、 128 ビットの AES データベースアクセスキーをデータベー スのキーストアに保存します。 BlackBerry MDS Service セキュリティプロトコルが、 SHA-1 ハッシュ機能を持つ HMAC と 128 ビッ トの共有の秘密鍵を使用して、BlackBerry デバイスと BlackBerry MDS Service 間で送受信される データを認証します。 3. 4. 5. 6. BlackBerry MDS Service セキュリティプロトコルが、 CBC モードの 128 ビット AES と PKCS #5 のパ ディングを使用して、BlackBerry デバイスと BlackBerry MDS Service 間で送受信されるデータの 暗号化および復号化を行います。 HTTP 接続の保護 BlackBerry デバイス上のアプリケーションからインターネット上のサーバーにアクセスする場合、 BlackBerry Enterprise Server 管理者が HTTPS プロトコルである TLS/SSL を使用する HTTP 接続を設定す ることで認証とセキュリティを強化できます。BlackBerry デバイスは、次のモードで HTTPS 通信を サポートします。 www. blackberry. com BlackBerry Enterprise Solution 58 HTTPS プロトコル プロキシ モード TLS/SSL BlackBerry MDS 暗号化方式 Sun® JSSE™ 1. 4. 1 暗号スイートコン ポーネント 説明 • BlackBerry デバイスに代わって BlackBerry Connection Service がプロキシモード TLS/SSL を設定します。 BlackBerry デバイスでは、 ワイヤレスネッ トワーク経由のデータトラフィックの暗 号化にプロキシモード TLS/SSL を使用し ません。BlackBerry デバイスと BlackBerry Enterprise Server 間のデータトラフィック は、BlackBerry の標準暗号化方式で暗号 化されます。したがって、データトラ フィックは、社内ファイアウォール内に ある場合を除いて、 ワイヤレスネットワー ク上で暗号化されます。 BlackBerry デバイスがこのプロトコルを 使用した場合、 デバイスモード TLS/SSL よ りも応答時間が短くなります。 BlackBerry デバイスがデバイス（直接） モード TLS/SSL を使用して、BlackBerry デ バイスとコンテンツサーバー間の接続全 体でデータを暗号化します。 ワイヤレスネットワーク経由のデータト ラフィックは暗号化された状態が維持さ れ、 BlackBerry Connection Service による復 号化は行われません。 デバイスモード TLS/SSL は、トランザク ションのエンドポイントが信頼できる場 合にのみ使用してください（銀行サービ スとの間など）。 • • デバイス モード TLS/SSL BlackBerry デバイスで現在サポー トされている TLS と WTLS のキー 確立アルゴリズム、対称暗号、 ハッシュアルゴリズム • • • 注意：BlackBerry デバイスのデバイスモード TLS/SSL 接続は、 BlackBerry Device Software バー ジョン 3. 6. 1 以降がインストールされた BlackBerry デバイスでサポートされます。 ツーファクタ認証を使用したエンタープライズ Wi-Fi ネットワーク接続の保護 サポートされている BlackBerry デバイスの RSA SecurID ライブラリは、BlackBerry デバイスで定期的 にソフトウェアトークンのトークンコードが生成されるようにします。BlackBerry デバイスは、 BlackBerry デバイスユーザーがトークンコードにプレフィックス文字列として指定したソフトウェ アトークン PIN をトークンコードと組み合わせて、BlackBerry デバイスでのツーファクタ認証プロ セスで使用するパスコードを作成します。 BlackBerry デバイスユーザーが BlackBerry デバイスでツー ファクタ認証を要求する WLAN または VPN 接続を確立しようとすると、 ソフトウェアトークン PIN を 入力し、現在のトークンコードを送信してツーファクタ認証のパスコードを作成するよう求める メッセージが BlackBerry デバイス上に表示されます。 www. blackberry. com BlackBerry Enterprise Solution 59 BlackBerry デバイスがツーファクタ認証プロセスで使用するソフトウェアトークンを作成する方法 BlackBerry デバイスはシードというランダムデータをインポートして、 これを RSA SecurID ソフトウェ アのトークンアルゴリズムの初期化に使用します。 このアルゴリズムによって BlackBerry デバイス で RSA SecurID ソフトウェアトークンのトークンコードが生成されます。 BlackBerry デバイスが . sdtid ファイルシードを RSA SecurID ライブラリにインポートすると、 RSA SecurID ライブラリが . sdtid ファ イルシードの暗号化に使用するパスワードをランダムに生成します。 管理者が RSA 認証マネージャのバージョン 6. 1 以降を使用して、暗号化された . sdtid ファイルシー ドを発行するパスワードを設定する場合、RSA SecurID ライブラリはオプションのパスワードを使 用して . sdtid ファイルシードを復号化できます。 また、 RSA SecurID ライブラリはコード署名を使用 して、 BlackBerry デバイスに保存されている情報をサードパーティアプリケーションが変更したり、 読み取ったりしないようにします。 BlackBerry デバイスでソフトウェアトークンのトークンコードを生成する方法の詳細については、 111 ページの「付録 J：RSA SecurID ソフトウェアトークンのトークンコード生成プロセス」を参照 してください。 BlackBerry Enterprise Solution によるワイヤレスソフトウェアアップグレード要求の 認証方法 BlackBerry Enterprise Server と BlackBerry デバイスは、BlackBerry の標準暗号化方式を使用して、ワイ ヤレスソフトウェアアップグレードを含む、相互間のすべての通信を暗号化します。 BlackBerry デバイスは、デジタル署名の検証を通じて、次の種類のワイヤレスソフトウェアアップ グレードを認証します。 • • BlackBerry デバイスが、 ワイヤレスソフトウェアアップグレードを要求する BlackBerry Infrastructure または BlackBerry Provisioning System の管理サイトから受信する制御メッセージ BlackBerry Device Software のアップグレードを送信する BlackBerry Infrastructure または BlackBerry Provisioning System の管理サイトに対して、 BlackBerry デバイスが要求して受信するアップグレー ド上の注意事項 ワイヤレスソフトウェアアップグレード要求の認証プロセス BlackBerry Infrastructure はワイヤレスソフトウェアアップグレード要求の送信時に、次の処理を行 います。 1. 521 ビット曲線上の ECC を使用して、定期的に ECDSA キーを生成します。 保存されたルート証明書を使用して、ECDSA キーに署名します。 デジタル署名された ECDSA キーを使用して、BlackBerry デバイスに送信するワイヤレスソフト ウェアアップグレード要求に署名します。 BlackBerry デバイスはワイヤレスソフトウェアアップグレード要求の受信時に、 次の処理を行います。 1. ワイヤレスソフトウェアアップグレードをサポートするすべての BlackBerry デバイス共通の公 開鍵を使用して、ECDSA キーを検証します。 保存されたルート証明書を使用して、ECDSA キーのデジタル署名を検証します。 www. blackberry. com BlackBerry Enterprise Solution 60 WAP ゲートウェイ接続 BlackBerry Device Software バージョン 3. 2 SP1 以降では、 WAP ゲートウェイへの接続時のセキュリティを 強化する WTLS がサポートされています。 WTLS を使用するには、 WAP ゲートウェイを使用したイン ターネットへの標準 WAP アクセスが必要です。WAP ゲートウェイを使用するには、ネットワーク オペレータまたはサービスプロバイダに確認する必要があります。 インスタントメッセージングサーバーの接続 BlackBerry Collaboration Service は、 インスタントメッセージングサーバーと BlackBerry デバイスのエン タープライズインスタントメッセージアプリケーション間の接続を提供します。 インスタントメッ セージングサーバーが Microsoft® Live Communications Server™ であり、使用環境でサポートされてい る Enterprise Messenger が BlackBerry® Instant Messaging for Microsoft® Windows Messenger、BlackBerry® Instant Messaging for Microsoft® Office Communicator、またはその両方である場合、BlackBerry Enterprise Server 管理者は、BlackBerry Collaboration Service がインスタントメッセージングサーバーへの接続に 使用する転送プロトコルを変更することができます。 認証とセキュリティを強化するために、 BlackBerry Enterprise Server 管理者は、 BlackBerry Collaboration Service が TLS/SSL を使用して、 インスタントメッセージングサーバーに接続するように要求できま す。TLS/SSL を使用するには、インスタントメッセージコンポーネントに、コンポーネントの ID と 公開鍵をバインドするデジタル証明書が必要な場合があります。 インスタントメッセージコンポー ネントは、デジタル証明書を使用して、別のインスタントメッセージコンポーネントを認証し、 コンポーネント間で暗号化された通信を可能にします。 Microsoft Windows Messenger を使用している場合、 BlackBerry Enterprise Server 管理者は、 LCS コネクタを 設定して TLS を使用し、 Live Communications Server に送信するデータを暗号化できます。 Microsoft Live Communications Server コネクタを実行中のコンピュータは、Microsoft Live Communications Server 上の TLS 証明書を信頼する必要があります。Microsoft Live Communications Server が使用する証明書が自己 署名証明書である場合、BlackBerry Enterprise Server 管理者は、この証明書を BlackBerry Collaboration Service コンピュータにインストールする必要があります。 Microsoft Office Communicator を使用している場合、BlackBerry Enterprise Server 管理者は、BlackBerry Collaboration Service を設定して HTTPS を使用し、Microsoft CWA Server に送信するデータを暗号化で きます。Microsoft CWA Server および Microsoft Live Communications Server は、TLS を使用して相互に送 信するデータを自動的に暗号化します。 ネットワークアーキテクチャのセグメント分割による組織のネットワークのマル ウェア感染の防止 システム管理者が、 組織のネットワークまたは LAN をファイアウォールで区切った複数のコンポー ネントに分割することで、 ネットワークアーキテクチャをセグメントに分割できます。 組織のネッ トワークの各セグメントでネットワークトラフィックを含めることができ、特定のセグメントと は無関係のデータを排除することで、 ネットワークセグメントのセキュリティを強化し、 パフォー マンスを向上できます。組織のセキュリティポリシーとしてネットワークアーキテクチャのセグ メント分割が定められている場合、システム管理者は BlackBerry Enterprise Solution のコンポーネン トをネットワークセグメントに配置できます。 www. blackberry. com BlackBerry Enterprise Solution 61 BlackBerry Enterprise Solution を複数のネットワークセグメントに配置するには、 システム管理者は、 各コンポーネントをリモートコンピュータにインストールし、各コンピュータをそれぞれ別個の ネットワークセグメントに配置します。BlackBerry Enterprise Solution のコンポーネントをセグメン ト分割されたネットワークアーキテクチャに配置することは、リモートコンピュータ内の任意の BlackBerry Enterprise Solution コンポーネントから、組織の LAN 内の別のコンピュータに攻撃が広が ることを防ぐためのオプションになります。 セグメント分割されたネットワークでは、 攻撃が 1 台 のコンピュータのみに限定され、 その影響の拡大を防ぐことができます。 BlackBerry Enterprise Solution の各コンポーネントがそれぞれ別個のネットワークセグメントに含まれている場合、システム管 理者は、 BlackBerry Enterprise Solution のコンポーネントが使用するポート接続のみを開いて、 リモー ト通信を可能にできます。 詳細については、『Placing the BlackBerry Enterprise Solution in a Segmented Network』（セグメント分 割したネットワークへの BlackBerry Enterprise Solution の導入）を参照してください。 ネットワークアーキテクチャのセグメント分割による Wi-Fi ネットワークのマルウェア感染の防止 VPN ソリューションを使用する企業 Wi-Fi ネットワークを設定している場合、 Wi-Fi 対応 BlackBerry デ バイスからこのネットワークに接続すると、 VPN コンセントレータが有効になる場合があります。 VPN コンセントレータはネットワークゲートウェイとして機能し、組織の内部ネットワーク内の BlackBerry Enterprise Server にポート 4101 経由でデータを直接送信します。 VPN コンセントレータは、 この仕組みにおいて企業 Wi-Fi ネットワークに接続される唯一のデバイスです。内部ネットワーク への不必要な接続を開かないように VPN コンセントレータを設定する必要があります。 BlackBerry Enterprise Solution への Wi-Fi 接続の保護 ワイヤレスソリューションがエンタープライズ Wi-Fi ネットワークを使用して、 組織のネットワー クを拡張している場合、システム管理者は、組織のネットワークを保護すると同時に、エンター プライズ Wi-Fi ネットワークソリューションを不正使用から守る必要があります。 この場合の保護 には、次の要件が含まれます。 • • ワイヤレスクライアントデバイスはすべて、 ネットワークへのアクセスを取得する前に認証を 終了する ワイヤレスクライアントデバイスとネットワーク間のすべてのワイヤレス通信を暗号化する システム管理者は、すべてのエンタープライズ Wi-Fi ネットワークのインストールについて、慎重 に考慮して決定する必要があります。 詳細および推奨事項については、 エンタープライズ Wi-Fi ネッ トワークのインフラストラクチャコンポーネントベンダにお問い合わせください。 エンタープライズ Wi-Fi ネットワークソリューションアーキテクチャのセキュリ ティ機能 BlackBerry Enterprise Server 管理者がエンタープライズ Wi-Fi ネットワーク経由で BlackBerry Enterprise Solution を導入する場合、ネットワークセキュリティの強化を考慮して、BlackBerry Enterprise Server とサポートされている Wi-Fi 対応 BlackBerry デバイス間のすべてのメッセージおよびアプリケーション データ通信を保護する必要があります。 Wi-Fi 対応 BlackBerry デバイスは受信接続を拒否して、 Wi-Fi インフラストラクチャモードのみの接続を限定的にサポートし、 Wi-Fi アドホックネットワーク （ピ アツーピア）接続を回避します。 www. blackberry. com BlackBerry Enterprise Solution 62 エンタープライズ Wi-Fi ネットワーク上のサポートされている Wi-Fi 対応 BlackBerry デバイスは、 BlackBerry Router を使用して、BlackBerry Enterprise Server と BlackBerry デバイス間でデータ送信を行 い、 SRP の使用をバイパスします。 BlackBerry Router のプロトコルが正常に認証接続を確立した後、 Wi-Fi 対応 BlackBerry デバイスは、SRP 接続/認証ではなく BlackBerry Router を介して、BlackBerry Enterprise Server への直接接続を使用します。 BlackBerry Router のプロトコルの詳細については、 50 ペー ジの「BlackBerry Router のプロトコル認証」を参照してください。 BlackBerry の標準暗号化方式は、 認証接続を確立した後に、 サポートされている Wi-Fi 対応 BlackBerry デバイスと BlackBerry Enterprise Server 間で送信されるメッセージを暗号化します。また、サポート されている Wi-Fi 対応 BlackBerry デバイスは、BlackBerry デバイスとワイヤレスアクセスポイントま たはエンタープライズ Wi-Fi ネットワーク上にあるネットワークファイアウォール間のエンタープ ライズ Wi-Fi ネットワークを経由するワイヤレス通信を暗号化する複数のセキュリティ方式もサポー トします。 BlackBerry Infrastructure へのアクセス Wi-Fi 対応 BlackBerry デバイスは、 UMA を利用できない場合でも、 BlackBerry Infrastructure にインター ネット経由で直接接続し、 モバイルネットワークプロバイダが提供する音声サービスやデータサー ビスにアクセスできます。モバイルネットワークプロバイダが提供する UMA テクノロジ（GAN テ クノロジ）を使用できる場合、Wi-Fi 対応 BlackBerry デバイスがエンタープライズ Wi-Fi ネットワー ク上に GANC への IPSec VPN トンネルを自動的に確立し、モバイルネットワークプロバイダの音声 サービスやデータサービスにアクセスできるようにします。 Wi-Fi 対応 BlackBerry デバイスと BlackBerry Infrastructure は、 確立された SSL 接続経由で相互のすべて のデータを送信します。この際、データはネゴシエーション可能なアルゴリズムを使用して暗号 化されます。詳細については、110 ページの「付録 I：BlackBerry デバイスが SSL 接続のネゴシエー トでサポートするアルゴリズムスイート」を参照してください。 BlackBerry デバイスが BlackBerry Infrastructure への SSL 接続を確立しようとすると、 BlackBerry Infrastructure が BlackBerry デバイスに SSL 証明書を送信します。BlackBerry デバイスは、1024 ビット キーで暗号化されたあらかじめ組み込まれたルート証明書を使用して、SSL 証明書を認証します。 ユーザーが BlackBerry デバイスでルートで証明書を削除すると、BlackBerry デバイスが BlackBerry Infrastructure への SSL 接続を確立しようとしたときに、デバイスに SSL 証明書を信頼するように促 すメッセージが表示されます。 Wi-Fi 対応 BlackBerry デバイスから BlackBerry Infrastructure への接続の保護 Wi-Fi 対応 BlackBerry デバイスから BlackBerry Infrastructure への SSL 経由の接続は、 BlackBerry Enterprise Server から BlackBerry Infrastructure への SRP で認証された接続と同様の保護を提供します。 悪質なユー ザーがこの接続を通じてデータを BlackBerry デバイスに送受信することはできません。 BlackBerry Infrastructure になりすまそうとしても、BlackBerry Infrastructure の SSL 証明書の公開鍵が、 BlackBerry デバイスにプレインストールされているルート証明書の秘密鍵と一致しなければ接続す ることはできません。また、BlackBerry デバイスユーザーが無効な証明書を承認すると、接続不能 になります。 ただし、 BlackBerry デバイスが有効な BlackBerry Enterprise Server または BlackBerry Internet Service で認証するためにこの接続を使用する場合を除きます。 www. blackberry. com BlackBerry Enterprise Solution 63 Wi-Fi 対応 BlackBerry デバイスのサポートされているセキュリティ機能 Wi-Fi 対応 BlackBerry デバイスは、 サポートされている IEEE 802. 11 エンタープライズ Wi-Fi ネットワー クで動作し、 オンサイトの BlackBerry デバイスユーザーが、 組織の物理環境内で移動している間に、 ワイヤレスネットワーク経由でメール、オーガナイザ、およびブラウザベースアプリケーション にアクセスできるようにします。Wi-Fi 対応 BlackBerry デバイスでは、ほとんどの組織のワイヤレ スセキュリティポリシーや環境と互換性があり、 BlackBerry Enterprise Solution のセキュリティ機能を 使用するエンタープライズ Wi-Fi ネット設定が利用できます。 Wi-Fi 対応 BlackBerry デバイスは、 次のカテゴリのエンタープライズ Wi-Fi ネットワークセキュリティ テクノロジをサポートします。 エンタープライズ Wi-Fi ネットワーク セキュリティテクノロジ エンタープライズキャプティブポータル Wi-Fi 対応 BlackBerry デバイスの実装 設定したログイン Web ページを使用して、キャプ ティブポータル （組織のネットワーク外のエンター プライズ Wi-Fi ネットワーク）での認証を設定し ます。 レイヤ 2（IEEE® 802. 11® リンク層）セキュリティ方 式、およびレイヤ 2 方式で使用するプロトコルを 設定します。レイヤ 2 方式は、BlackBerry デバイス とエンタープライズ Wi-Fi ネットワーク上にあるワ イヤレスアクセスポイント間で動作します。エン タープライズ Wi-Fi ネットワークでは、 暗号化のみ、 または暗号化と BlackBerry デバイスユーザー認証の 両方を使用します。BlackBerry デバイスは、次のレ イヤ 2 セキュリティ方式をサポートします。 • • • • オープン（セキュリティ方式なし） 64 ビットおよび 128 ビット WEP 暗号化 PSK IEEE 802. 1x および EAP 認証フレームワークサ ポート（RFC 3748）（LEAP、PEAP、EAP-TTLS、 EAP-FAST、 EAP-SIM、 および EAP-TLS （RFC 2716） を 使用） レイヤ 2 セキュリティ BlackBerry デバイスは、WPA™ パーソナル、WPA2™ パーソナル、 WPA エンタープライズ、 WPA2 エンター プライズに対応した TKIP および AES-CCMP 暗号 化をサポートします。 レイヤ 3 セキュリティ IP 層で VPN （BlackBerry デバイスが現在サポートする 唯一のレイヤ 3 セキュリティ方式）を使用します。 www. blackberry. com BlackBerry Enterprise Solution 64 エンタープライズ Wi-Fi ネットワーク セキュリティテクノロジ ツーファクタ認証 Wi-Fi 対応 BlackBerry デバイスの実装 パスコードを使用して、PEAP、EAP-FAST、EAP-TTLS 認証方式および VPN を使用するエンタープライズ Wi-Fi ネットワークに BlackBerry デバイスユーザーを 認証します。BlackBerry デバイスでは、EAP-FAST を 使用する自動 PAC プロビジョニングのみがサポー トされています。 BlackBerry デバイスがサポートするセキュリティ方式および暗号化アルゴリズムの詳細については、 106 ページの「付録 H：BlackBerry デバイスがサポートするエンタープライズ Wi-Fi セキュリティ方 式」を参照してください。 IEEE 802. 1X 環境コンポーネント IEEE 802. 1X 環境には次のコンポーネントがあります。 • エンタープライズ Wi-Fi ネットワーククライアントデバイス上で動作している IEEE 802. 1X/EAP ク ライアントソフトウェア（別名：サプリカント） Wi-Fi 対応 BlackBerry デバイスには、内蔵の IEEE 802. 1x サプリカントがあります。 • • アクセスポイント上で動作している IEEE 802. 1x ソフトウェア（別名：認証プログラム） 認証プログラムに代わってエンタープライズ Wi-Fi ネットワーククライアントデバイスを認証 し、 Wi-Fi ネットワーククライアントが Wi-Fi ネットワークを認証することを許可する認証サー バー ほとんどの場合、 認証サーバーは RADIUS プロトコル （RFC 2865 および RFC 3579） を使用して、 アクセスポイント上の認証プログラムと通信します。 IEEE 802. 1x 環境によるエンタープライズ Wi-Fi ネットワークへのアクセス制御方法 ワイヤレスクライアントが最初に IEEE 802. 1x セキュリティに対応したアクセスポイントと関連付 けを行う場合、このアクセスポイントが許可する通信方法は、IEEE 802. 1x 認証のみです。サポート されている Wi-Fi 対応 BlackBerry デバイス上のサプリカントは、 ネゴシエーションが行われた EAP 方 式を使用して、資格情報（通常は、BlackBerry デバイスユーザー名およびパスワード）をアクセス ポイントに送信し、 アクセスポイントはこの情報を認証サーバーに転送します。 認証サーバーは、 アクセスポイントに代わってサポートされている Wi-Fi 対応 BlackBerry デバイスを認証し、アクセ スポイントがエンタープライズ Wi-Fi ネットワークへのアクセスを許可または拒否するように指示 します。 認証サーバーは、 Wi-Fi ネットワーク資格情報をサポートされている Wi-Fi 対応 BlackBerry デ バイスに送信し、アクセスポイントを認証することを許可します。 認証サーバーが、サポートされている Wi-Fi 対応 BlackBerry デバイスにエンタープライズ Wi-Fi ネッ トワークへのアクセスを許可した後、 アクセスポイントと BlackBerry デバイスは、 IEEE 802. 1x EAPoL-Key メッセージを使用し、BlackBerry デバイスに設定されている EAP 方式に従って、WEP、TKIP、また は AES-CCMP 暗号化キーを確立します。アクセスポイントおよびサポートされている Wi-Fi 対応 BlackBerry デバイスが暗号化キーを確立した後、 BlackBerry デバイスは、 エンタープライズ Wi-Fi ネッ トワークに暗号化されたアクセスが可能になります。 www. blackberry. com BlackBerry Enterprise Solution 65 サポートされている Wi-Fi 対応 BlackBerry デバイスとエンタープライズ Wi-Fi ネットワーク間の相互 認証を行う EAP 認証方式をエンタープライズ Wi-Fi ソリューションが使用する場合、BlackBerry Enterprise Server 管理者は、中央認証サーバーを更新するだけで、サポートされている Wi-Fi 対応 BlackBerry デバイスのエンタープライズ Wi-Fi ネットワークへのアクセスを許可および取り消すこ とができます。システム管理者は、各アクセスポイントの設定を更新する必要はありません。 IT ポリシールールを使用したエンタープライズ Wi-Fi ネットワークソリューション セキュリティの制御 BlackBerry Enterprise Solution を使用すると、 BlackBerry Enterprise Server 管理者は、 ワイヤレス IT コマン ドと IT ポリシールールを使用して、BlackBerry Manager からすべての BlackBerry デバイスを監視お よび制御できます。エンタープライズ Wi-Fi ネットワークソリューションには、エンタープライズ Wi-Fi ネットワークソリューションのセキュリティに対応した特定の IT ポリシールールが含まれて います。BlackBerry Enterprise Server 管理者は、BlackBerry Enterprise Server バージョン 4. 1 SP3 以降のサ ポートされている Wi-Fi 対応 BlackBerry デバイス上の Wi-Fi アクセスのオン/オフを切り替えたり、 BlackBerry Enterprise Server バージョン 4. 1 SP2 以降の個々のユーザーアカウントの WLAN および VPN 設 定を管理したりすることができます。 VPN と WLAN IT ポリシールールの使用方法や、 Wi-Fi 対応 BlackBerry デバイスをサポートするためのエン タープライズ Wi-Fi ネットワークソリューションの設定プロファイルの調整方法については、 『BlackBerry Enterprise Server Wi-Fi Implementation Supplement』（BlackBerry Enterprise Server Wi-Fi 導入の補足）を参 照してください。 エンタープライズ Wi-Fi ネットワークへの保護接続の要求 WEP 暗号化によるエンタープライズ Wi-Fi ネットワーク接続の保護 使用可能なエンタープライズ Wi-Fi ネットワーク暗号化の中で最も古く、 最も普及している WEP の 当初の目的は、 エンタープライズ Wi-Fi ネットワークで従来の有線 LAN と同様のセキュリティレベ ルを得ることでした。WEP は、アクセスポイントとワイヤレスクライアントの両方で一致する暗 号化キーを使用して、 ワイヤレス通信をセキュリティ保護します。 このキーは、 40 ビット （64 ビッ ト WEP 用）または 104 ビット（128 ビット WEP 用）の長さです。 WEP を使用する場合、BlackBerry Enterprise Server 管理者は、エンタープライズ Wi-Fi ネットワーク上 のサポートされている Wi-Fi 対応デバイスに WEP キーを配信する必要があります。 BlackBerry Manager では、 BlackBerry Enterprise Server 管理者は、 BlackBerry Enterprise Server がサポートされている Wi-Fi 対 応 BlackBerry デバイスをアクティブ化して登録するとき、および BlackBerry Enterprise Server 管理者 が IT ポリシーを更新するたびに、 BlackBerry Enterprise Server がサポートされている Wi-Fi 対応デバイ スに送信する IT ポリシーに設定された IT ポリシールールを使用して、 サポートされている Wi-Fi 対 応デバイスに WEP キーを定義できます。 現在の業界標準では、 WEP は強力な暗号化を実現するセキュリティソリューションではありません。 特定された WEP の弱点には、次のものがあります。 • • 攻撃者は、 ワイヤレスネットワーク経由で転送をキャプチャできるため、 非常に短時間で WEP キーを推測できる 攻撃者は、検出されずに中間者攻撃を実行し、WEP で暗号化されたパケットを変更できる www. blackberry. com BlackBerry Enterprise Solution 66 予備的なセキュリティ方式として WEP を使用し、 エンタープライズ Wi-Fi ネットワークへのアクセ スを中程度に制限しており、 セキュリティに関心がある組織では、 VPN も使用して、 コアエンター プライズネットワークへのアクセスの認証や暗号化を実行して、データの機密性を得られます。 IEEE 802. 11i によるエンタープライズ Wi-Fi ネットワーク接続の保護 IEEE 802. 11i は、 強化されたセキュリティプロトコルを定義して、 Wi-Fi ネットワークを保護します。 認証およびキー管理に、IEEE 802. 1X 規格を使用します。IEEE 802. 1x 規格は、汎用認証フレームワー クを定義します。エンタープライズ Wi-Fi ネットワーククライアントデバイスおよび有線またはワ イヤレスネットワークは、 このフレームワークを使用して相互認証を行い、 エンタープライズ Wi-Fi ネットワーククライアントデバイスがネットワークにアクセスするのを許可または拒否すること ができます。 IEEE 802. 11i は、 2 つの Wi-Fi ネットワークアクセス制御方式を指定します。 1 つは PSK ベー スで、もう 1 つは EAP プロトコルを使用して認証を行う IEEE 802. 1x です。 認証方法 PSK による IEEE 802. 11i の使用 説明 サーバーベースの認証インフラ ストラクチャを設定できない小 規模オフィスや家庭の環境では、 PSK 方式で IEEE 802. 1x を使用で きます。アクセスポイントおよ びワイヤレスクライアントは、 PSK（別名：パスフレーズ）を使 用して、相互にリンク層暗号化 キーを取得します。PSK 方式は、 TKIP または AES-CCMP アルゴリ ズムを使用して、エンタープラ イズ Wi-Fi ネットワーク通信をセ キュリティ保護しますが、アク セス制御には最大 256 ビットの 単一共有パスフレーズに依存し ます。すべてのアクセスポイン トとワイヤレスクライアントが パスフレーズを知っている必要 があります。 Wi-Fi 対応 BlackBerry デバイスの実装 サポートされている Wi-Fi 対応 BlackBerry デバイスの PSK 実装は、WPA パーソナ ルおよび WPA2 パーソナル仕様と互換性 があります。 BlackBerry Enterprise Server 管 理者は、 パスフレーズを設定し、 ［WLAN 事前共有キー］IT ポリシールールを 使用して、サポートされている Wi-Fi 対 応 BlackBerry デバイスに配信できます。 www. blackberry. com BlackBerry Enterprise Solution 67 認証方法 IEEE 802. 1X 認証によ る IEEE 802. 11i の使用 説明 IEEE 802. 1x フレームワークは、 EAP 方式を使用して認証を行うこと ができます。 LEAP、 PEAP、 EAP-TLS、 EAP-TTLS、EAP-SIM、および EAP-FAST 認証方式は、サポート されている Wi-Fi 対応 BlackBerry デバイスとエンタープライズ Wi-Fi ネットワークとの間で相互 認証を行います。 Wi-Fi 対応 BlackBerry デバイスの実装 WLAN サプリカントデバイスとして機能 するために、 サポートされている Wi-Fi 対 応 BlackBerry デバイスは、RFC 3748 で指 定された EAP 方式を使用して RFC 4017 の要件に適合する WLAN 認証プロセスを 実装します。 サポートされている Wi-Fi 対 応 BlackBerry デバイスは、相互認証を行 うために資格情報を使用する WPA™ エン タープライズおよび WPA2™ エンタープ ライズ仕様での指定に従い、EAP 方式 (EAP-TLS、EAP-TTLS、EAP-FAST、および PEAP）を使用して、相互に WLAN ネット ワークを認証します。 サポートされている Wi-Fi 対応 BlackBerry デバイスが EAPoL メッセージを送信する ときは、EAP 方式で指定された、暗号化 とメッセージの整合性の保護を使用し ます。BlackBerry デバイスが EAPoL キー メッセージを転送するときは、 RC4 また は AES アルゴリズムを使用して、メッ セージの整合性と暗号化を行います。 証明書ベースによる認証を使用したエンタープライズ Wi-Fi ネットワーク接続の保護 BlackBerry Enterprise Server 管理者が、PEAP、EAP-TLS、または EAP-TTLS 方式を使用してエンタープラ イズ Wi-Fi ネットワーク上のアクセスポイントをセキュリティ保護する場合、サポートされている Wi-Fi 対応 BlackBerry デバイスがエンタープライズ Wi-Fi ネットワークに接続するには、認証サー バーを通じてアクセスポイントと相互認証を行う必要があります。BlackBerry Enterprise Server 管理 者は、 サポートされている Wi-Fi 対応 BlackBerry デバイスと RADIUS サーバーで保存される証明書を 生成するように認証局サーバーに要求します。 正常な PEAP、EAP-TLS、または EAP-TTLS 認証には、サポートされている Wi-Fi 対応 BlackBerry デバイ スがアクセス認証サーバーの証明書を信頼する必要があります。証明書は、認証サーバーの ID を 公開鍵と秘密鍵のペアにバインドします。サポートされている Wi-Fi 対応 BlackBerry デバイスは、 認証サーバーの証明書を自動的に信頼しません。サポートされている Wi-Fi 対応 BlackBerry デバイ スが認証サーバーの証明書を信頼するには、次の条件が存在する必要があります。 • サポートされている Wi-Fi 対応 BlackBerry デバイスと認証サーバーが相互に信頼する認証局サー バーが、認証サーバーの証明書と、サポートされている各 Wi-Fi 対応 BlackBerry デバイスの証 明書を生成する必要がある 認証サーバーの証明書が属する証明書チェーンのルート証明書は、PEAP、 EAP-TLS、または EAP-TTLS を使用するサポートされている Wi-Fi 対応 BlackBerry デバイスに存在する必要がある • 各 BlackBerry デバイスは、 認証局が発行した明示的に信頼済みのルート認証のリストを保存します。 www. blackberry. com BlackBerry Enterprise Solution 68 IEEE 802. 1X 認証使用時の接続情報のキャッシュ IEEE 802. 1X 認証により IEEE 802. 11i を使用する場合、 サポートされている Wi-Fi 対応 BlackBerry デバイ スおよびアクセスポイントは、 EAP 交換が生成する、 鍵となる要素から取得する PMK をキャッシュ できます。PMK キャッシングは、以前に確立された鍵となる要素を再使用して、IEEE 802. 1x 認証を スキップし、接続先のアクセスポイントと相互にセッションキーを取得します。この機能を使用 して、 サポートされている Wi-Fi 対応 BlackBerry デバイスのエンタープライズ Wi-Fi ネットワーク環 境でアクセスポイント間のローミング遅延を減少します。 VPN によるエンタープライズ Wi-Fi ネットワーク接続の保護 組織によっては、 IPSec VPN を含む VPN を使用して、 リモートの BlackBerry デバイスユーザーがエン タープライズネットワークに安全にアクセスできるようにしている場合があります。VPN は、ク ライアントデバイスとコアエンタープライズネットワーク間に強力に暗号化されたトンネルを開 きます。 また、 アクセスポイントがデータ暗号化に含まれないという点で、 VPN はその他のサポー トされている エンタープライズ Wi-Fi ネットワークセキュリティ方式とは異なります。 エンタープライズ Wi-Fi VPN ソリューションは、次のコンポーネントで構成されます。 • • BlackBerry デバイスがネットワークへのアクセスを取得するために使用する、サポートされて いる Wi-Fi 対応 BlackBerry デバイス上の VPN クライアント 組織のエンタープライズネットワークの端に配置され、ネットワークへのゲートウェイとし て機能する VPN コンセントレータ 組織が VPN を使用してエンタープライズ Wi-Fi ネットワークへのアクセスを保護する場合、 エンター プライズ Wi-Fi ネットワーク設定でも、 デフォルトで Wi-Fi 認証または暗号化方式を使用して、 エン タープライズ Wi-Fi ネットワーク自体にアクセス制御メカニズムを持たせ、VPN を使用することで 実際に安全なアクセス方式を利用できます。 このシナリオでは、 エンタープライズ Wi-Fi ネットワー クは、 信頼されないネットワークとして設定され、 VPN コンセントレータはエンタープライズ Wi-Fi ネットワークに接続されている唯一のデバイスです。 サポートされている Wi-Fi 対応 BlackBerry デバイス上の VPN クライアントは、次の機能を備えてい ます。 • • 強力な暗号化を使用し、VPN コンセントレータにより VPN クライアント自体を認証する サポートされている Wi-Fi 対応 BlackBerry デバイスとエンタープライズネットワークが、すべ ての通信をルーティングできる暗号化されたトンネルを、サポートされている Wi-Fi 対応 BlackBerry デバイスと VPN コンセントレータ間に作成する エンタープライズキャプティブポータルによるエンタープライズ Wi-Fi ネットワー クまたは Wi-Fi ホットスポット接続の保護 キャプティブポータルは、エンタープライズ Wi-Fi ネットワークまたは Wi-Fi ホットスポットへの アクセスを許可する Web ベースの認証メカニズムです。 サポートされている Wi-Fi 対応 BlackBerry デ バイスは、キャプティブポータルを使用して、エンタープライズ Wi-Fi ネットワークまたはホット スポットの IP フィルタされたセグメントにアクセスします。キャプティブポータルを使用して、 エンタープライズネットワークまたはホットスポットに接続した後、ユーザーはサポートされて いる Wi-Fi 対応 BlackBerry デバイスから HTML ログインページに、 Web サイトに対するブラウザ要求を 送信でき、HTML ログインページでは、BlackBerry デバイスに Web サイトへのアクセスを許可する 前に、エンタープライズ Wi-Fi ネットワークまたはホットスポットが BlackBerry デバイスを認証で きます。 www. blackberry. com BlackBerry Enterprise Solution 69 組織がエンタープライズキャプティブポータルを所有している場合、BlackBerry Enterprise Server 管 理者は、ユーザーが BlackBerry デバイスで WLAN ログインアプリケーションを使用してキャプティ ブポータルにアクセスすることを許可できます。BlackBerry デバイスユーザーは、システム管理者 が提供するログイン資格情報を使用する、 WLAN ログインアプリケーションブラウザによる認証が 必要です。 BlackBerry デバイスがキャプティブポータルを使用して認証を行う場合、 BlackBerry デバイスユーザー は、BlackBerry デバイス上で BlackBerry® Browser を使用して、分離された Wi-Fi ネットワークで使用 可能なその他の Web サイトやデータサービスにアクセスできます。 BlackBerry デバイスは、 BlackBerry MDS Connection Service を使用する Web ブラウズをサポートします。 BlackBerry デバイスユーザーの認証 新しい BlackBerry デバイスを使用する場合は、BlackBerry Enterprise Solution でコンピュータベースま たはワイヤレスでマスター暗号化キーを生成し、ユーザーとその BlackBerry デバイスを BlackBerry Enterprise Server で認証します。 BlackBerry デバイスユーザーが BlackBerry デバイスを正常にアクティ ブにし、ワイヤレスネットワークに登録するには、有効なメールアドレスが必要です。 パスワードを使用した BlackBerry デバイスでのユーザー認証 BlackBerry Enterprise Server 管理者が BlackBerry デバイスを BlackBerry Enterprise Server に追加する際、 BlackBerry Enterprise Server 管理者は BlackBerry デバイスユーザーが必ずセキュリティパスワードを使 用して BlackBerry デバイスで認証するように設定することができます。 BlackBerry Enterprise Server 管 理者は、IT ポリシールールを使用して、パスワードの有効期間、長さ、強さなどの機能を設定し たり、パスワードパターンを必須にしたり、特定のパスワードを禁止することができます。詳細 については、『ポリシーリファレンスガイド』を参照してください。 BlackBerry デバイスユーザーがワイヤレスネットワーク経由で BlackBerry デバイスをアクティブに する場合は、BlackBerry デバイスでマスター暗号化キーを確立するための一時的なアクティベー ションパスワードを取得できるように、BlackBerry Enterprise Server 管理者に確認する必要がありま す。BlackBerry Enterprise Server 管理者は、BlackBerry デバイスのアクティベーションパスワードを設 定し、ユーザーに提供することができます。 アクティベーションパスワードには、次の特性があります。 • • • BlackBerry デバイスユーザーのメールアカウントにのみ適用される アクティベーションに 5 回失敗すると無効になる BlackBerry デバイスユーザーがデフォルトで 48 時間以内に BlackBerry デバイスをアクティブに しなかった場合、パスワードは期限切れになる。有効期限は、アクティベーションパスワー ドの作成後、最長 720 時間まで BlackBerry Enterprise Server 管理者が任意に設定できる BlackBerry デバイスのアクティベーションが完了すると、BlackBerry Enterprise Server から削除さ れる • www. blackberry. com BlackBerry Enterprise Solution 70 スマートカードを使用した BlackBerry デバイスでのユーザー認証 スマートカードを使ったツーファクタ認証を採用すると、 BlackBerry デバイスユーザーは BlackBerry デバイスに対して次の 2 つのファクタを使用して、本人であることを認証する必要があります。 • • 所有物（スマートカード） 独自の情報（スマートカードのパスワード） BlackBerry Smart Card Reader がスマートカードを使用できるように BlackBerry Enterprise Solution と統 合します。BlackBerry デバイスユーザーは、スマートカードを使用して認証し、Bluetooth 対応の特 定の BlackBerry デバイスにログインできます。 BlackBerry Smart Card Reader には、次の特性があります。 • • • 信頼できるツーファクタ認証環境を作成して、BlackBerry デバイスユーザーに BlackBerry と PKI アプリケーションへのアクセスを許可する BlackBerry デバイス用 S/MIME Support Package を使用したワイヤレスメールのワイヤレスデジタ ル署名と暗号化を可能にする 暗号化キーがすべて RAM のみに保存され、キーはフラッシュメモリに書き込まれない 詳細については、 『BlackBerry Smart Card Reader Security Technical Overview』 （BlackBerry Smart Card Reader セキュリティ技術概要）を参照してください。 BlackBerry デバイスへのスマートカードのバインド ユーザーがスマートカード認証プログラム、 スマートカードドライバ、 およびスマートカードリー ダーのドライバを BlackBerry デバイスにインストールしている場合、 BlackBerry Enterprise Server 管理 者やユーザーが、BlackBerry デバイスでツーファクタ認証を開始し、挿入されているスマートカー ドに BlackBerry デバイスをバインドできます。BlackBerry デバイスがスマートカードにバインドさ れたら、ユーザー認証にこのスマートカードが必要になります。 BlackBerry Enterprise Server 管理者が、BlackBerry Manager で［スマートカードのツーファクタ認証を 強制する］IT ポリシールールを設定すると、ユーザーがスマートカードを使用して BlackBerry デバ イスで認証することが必要になります。BlackBerry Enterprise Server が、スマートカードを使用した 認証を強制しない場合、BlackBerry デバイスの［セキュリティのオプション］の［ユーザー認証プ ログラム］フィールドを設定して、スマートカードを使用したツーファクタ認証のオンとオフを 切り替えることができます。 BlackBerry Enterprise Server 管理者またはユーザーがツーファクタ認証を有効にすると、次の処理が 行われます。 1. BlackBerry デバイスがロックされます。 ユーザーが BlackBerry デバイスのロックを解除しようとすると、 BlackBerry デバイスのパスワー ド入力を促すプロンプトが表示されます。ユーザーが BlackBerry デバイスのパスワードを設定 していない場合は、この時点で設定する必要があります。 BlackBerry デバイスに、挿入されているスマートカードを使用したツーファクタ認証をオンに するためのユーザー認証プログラム（スマートカード）のパスワード入力を促すプロンプト が表示されます。 3. www. blackberry. com BlackBerry Enterprise Solution 71 4. BlackBerry デバイスが、挿入されているスマートカードに自動的にバインドされ、次のスマー トカードのバインド情報が、ユーザーがアクセスできない、BlackBerry デバイスの NV ストア 内の特別な場所に保存されます。 • • • BlackBerry Smart Card Reader に必要な Java クラスの名前 バインド情報の形式 スマートカードのタイプ 注意：CAC（Common Access Card）の場合、この文字列は「GSA CAC」です。 • • • スマートカードのコードに必要な Java クラスの名前 スマートカードが提供する固有の 64 ビットの識別子 スマートカードが提供するスマートカードのラベル（GRAHAM. JOHN. 1234567890 など） 5. BlackBerry デバイスが、現在の IT ポリシーを BlackBerry Smart Card Reader にプッシュします。 BlackBerry デバイスが適切なスマートカードにバインドされていることの確認 ユーザーがツーファクタ認証をオンにすると、 BlackBerry デバイスでスマートカードを BlackBerry Smart Card Reader に挿入するように促すメッセージが表示される際に、適切な（バインドされている） スマートカードのラベルとカードタイプが表示されます。BlackBerry デバイスが BlackBerry Device Software バージョン 3. 6 を実行しており、 BlackBerry デバイス用 S/MIME Support Package バージョン 1. 5 がインストールされているか、または BlackBerry デバイス用 S/MIME Support Package がインストー ルされていない場合、プロンプトに表示される情報が、スマートカードが BlackBerry デバイスにバ インドされていることを表す唯一の情報になります。 BlackBerry デバイスが BlackBerry Device Software バージョン 4. 0 以降を実行している場合 （BlackBerry デ バイス用 S/MIME Support Package は任意）、BlackBerry デバイスの［セキュリティのオプション］で もスマートカードの情報を表示できます。 フィールド 名前 初期化済み 説明 挿入されているスマートカードのタイプを示します。 BlackBerry デバイスがスマートカードで認証され、 バインドされているかど うかを示します。 • • 値が［はい］の場合、BlackBerry デバイスはスマートカードにバインド されています。 値が［いいえ］の場合、BlackBerry デバイスはスマートカードにバイン ドされていません。 www. blackberry. com BlackBerry Enterprise Solution 72 BlackBerry デバイスの制御 BlackBerry Enterprise Solution を使用すると、BlackBerry Enterprise Server 管理者は BlackBerry Manager か らワイヤレスネットワークを経由して、すべての BlackBerry デバイスを監視および制御できます。 IT ポリシールールを使用した BlackBerry デバイスの動作の制御 1 つ以上の IT ポリシーを使用して、 組織の BlackBerry デバイスと BlackBerry Desktop Software の動作を 制御できます。 デフォルトの IT ポリシーには、BlackBerry Enterprise Server のすべての標準 IT ポリシールールが含ま れています。BlackBerry Domain の新しいユーザーが、BlackBerry Enterprise Server で BlackBerry デバイ スのアクティベーションを完了すると、BlackBerry Enterprise Server が自動的にデフォルトの IT ポリ シーを BlackBerry デバイスにプッシュします。BlackBerry Enterprise Server 管理者は、次のいずれかの 方法を使用して、組織内の BlackBerry デバイスおよび BlackBerry Desktop Software のデフォルトの動 作を変更できます。 • • デフォルトの IT ポリシーの IT ポリシールール値を設定する 新しい IT ポリシーを作成して、 その IT ポリシールールの値を設定し、 1 つ以上のユーザーやユー ザーグループを新しい IT ポリシーに割り当てる デフォルトの動作の変更 IT ポリシールールを使用すると、BlackBerry Enterprise Server 管理者は、次の方法で BlackBerry デバイ スと BlackBerry Desktop Software の機能をカスタマイズおよび制御できます。 • • • IT ポリシールールを［True］または［False］の値に設定する IT ポリシールールをオンにすると同時に使用パラメータを提供する文字列を入力する 事前定義した許可済みの値を選択し、IT ポリシールールに割り当てる BlackBerry Enterprise Server 管理者は、すべての IT ポリシールールを使用して、すべてのタイプの BlackBerry デバイスの動作を設定することはできません。詳細については、『ポリシーリファレン スガイド』を参照してください。 BlackBerry Manager は、共通のプロパティまたは用途に基づいて IT ポリシールールをグループ化し ています。IT ポリシールールの多くは、複数の BlackBerry デバイスに割り当てることを想定していま す。一部の IT ポリシールールは固有の値を設定するもので、1 台の BlackBerry デバイスと 1 人のユー ザーに割り当てることを想定しています。 これらの IT ポリシールールの詳細については、 『BlackBerry Enterprise Server Implementation Guide for Wireless LAN』（BlackBerry Enterprise Server ワイヤレス LAN 実 装ガイド）を参照してください。 デフォルトの動作に戻す IT ポリシールールがカスタマイズまたは制御するデフォルトの動作に戻るには、 BlackBerry Enterprise Server 管理者が IT ポリシールールを［デフォルト］に設定します（可能な場合）。不可能な場合 は、前回設定した値を削除します。 www. blackberry. com BlackBerry Enterprise Solution 73 BlackBerry Enterprise Server 管理者が新しい IT ポリシーにユーザーを割り当てた場合、BlackBerry Enterprise Server 管理者がこの IT ポリシーを削除すると、BlackBerry デバイスと BlackBerry Desktop Software のすべての機能についてデフォルトの動作に戻ります。 BlackBerry Enterprise Server が自動的 にユーザーにデフォルトの IT ポリシーを割り当て、デフォルトの IT ポリシーを BlackBerry デバイ スに送信し、 デフォルト設定を適用します。 BlackBerry Enterprise Server 管理者は、 デフォルトの IT ポ リシーを削除することはできません。 新しい IT ポリシールールを作成してカスタムアプリケーションを制御する BlackBerry 環境で実行するために組織で開発したカスタムアプリケーションを制御する新しい IT ポ リシールールを作成します。BlackBerry Enterprise Server 管理者は、新しい IT ポリシールールを作成 した後、そのルールを新しい IT ポリシーや既存の IT ポリシーに追加して値を割り当てることがで きます。BlackBerry Enterprise Server 管理者が作成した新しい IT ポリシールールを使用できるのは、 組織独自のカスタムアプリケーションだけです。BlackBerry Enterprise Server 管理者は、新しい IT ポ リシールールを作成して、標準の BlackBerry デバイス機能を制御することはできません。 ワイヤレスネットワーク経由での IT ポリシーの変更内容の適用 ワイヤレス IT ポリシーを使用すると、BlackBerry Enterprise Server 管理者は、IT ポリシールールの追 加、削除、または変更を、BlackBerry Device Software バージョン 2. 5 以降を実行している C++ 対応の BlackBerry デバイス、および BlackBerry Device Software バージョン 3. 6 以降を実行している Java 対応 の BlackBerry デバイスにすぐに適用できます。 BlackBerry デバイスが、 更新されたデフォルトの IT ポ リシーや新しい IT ポリシーを受信すると、BlackBerry デバイスと BlackBerry Desktop Software は設定 の変更を適用します。 BlackBerry Enterprise Server は IT ポリシーを BlackBerry デバイスに再送信して、 ワイヤレスネットワー ク経由で BlackBerry デバイスと BlackBerry Desktop Software の動作を更新します。デフォルトでは、 BlackBerry Enterprise Server は、BlackBerry Enterprise Server 管理者が IT ポリシーを更新した後の短い時 間内に、 更新された IT ポリシーに割り当てられているユーザーの BlackBerry デバイスに IT ポリシーを 再送信します。 さらに、BlackBerry Enterprise Server 管理者は、IT ポリシーを特定の BlackBerry デバイスのユーザーア カウントに手動で再送信することもできます。 また、 BlackBerry Enterprise Server 管理者は、 BlackBerry Enterprise Server 管理者による IT ポリシーの変更の有無に関係なく、指定の間隔で BlackBerry デバイ スに IT ポリシーを再送信するように BlackBerry Enterprise Server を設定できます。 BlackBerry デバイスと BlackBerry Desktop Software のセキュリティ保護 BlackBerry Enterprise Solution は、BlackBerry デバイスと BlackBerry Desktop Software 用にさまざまなセ キュリティ設定を用意しています。例えば、BlackBerry Enterprise Server 管理者は、1 つ以上の IT ポ リシールールを指定し、組織のセキュリティ要件を満たすように次の機能を使用できます。 • • • • • • 暗号化（例：BlackBerry Enterprise Server がメッセージ受信者に転送するユーザーデータおよび メッセージの暗号化）および暗号強度 パスワードまたはパスフレーズ 強力なパスワードまたはパスフレーズ Bluetooth 接続のセキュリティ保護 BlackBerry デバイス上のユーザーデータの保護 BlackBerry デバイス上のマスター暗号化キーの保護 www. blackberry. com BlackBerry Enterprise Solution 74 • • BlackBerry デバイス上のアプリケーションの使用制限 サードパーティアプリケーションから使用できる BlackBerry デバイスリソースの制限 詳細については、『ポリシーリファレンスガイド』を参照してください。 BlackBerry デバイスから BlackBerry Enterprise Server へのアクセスの制御 BlackBerry Enterprise Server に接続できる BlackBerry デバイスを制御するエンタープライズサービスポ リシーをオンにします。BlackBerry Enterprise Server 管理者がエンタープライズサービスポリシーを オンにすると、BlackBerry Enterprise Server 管理者が以前に BlackBerry Enterprise Server に追加した BlackBerry デバイスや BlackBerry 対応のデバイスから BlackBerry Enterprise Server への接続は許可され ますが、新規に追加する BlackBerry デバイスからの接続はデフォルトでは許可されません。 BlackBerry デバイスの BlackBerry Enterprise Server アクセスをオンおよびオフにする承認リストで BlackBerry デバイスの基準を定義します。承認リストの基準に一致する BlackBerry デバイスは、 BlackBerry Enterprise Server 上でワイヤレスエンタープライズアクティベーションを完了できます。 BlackBerry Enterprise Server 管理者は、次の種類の基準を定義できます。 • • 特定の許可された BlackBerry デバイスの PIN（文字列） BlackBerry デバイスの PIN の許可範囲 BlackBerry Enterprise Server 管理者は、BlackBerry デバイスの製造元と機種に応じてアクセスを制御す ることもできます。BlackBerry Manager には、BlackBerry Enterprise Server に既に追加されている BlackBerry デバイスのプロパティに基づいて許可された、 製造元と機種のリストが含まれています。 BlackBerry Enterprise Server 管理者は、これらのリストのアイテムのチェックを外して、特定の製造 元や機種の BlackBerry デバイスからの接続を禁止できます。 BlackBerry Enterprise Server 管理者は、特定のユーザーの接続を許可するように、エンタープライズ サービスポリシーの適応を除外することができます。BlackBerry Enterprise Server 管理者が、その後 ユーザーの BlackBerry デバイスまたは BlackBerry 対応のデバイスを除外する基準を含むように承認 リストを設定した場合も、ユーザーは引き続き BlackBerry Enterprise Server に接続できます。 詳細については、『BlackBerry Enterprise Server システム管理ガイド』を参照してください。 BlackBerry Enterprise Server を使用したワイヤレスソフトウェアアップグレードの 制御 デフォルトでは、BlackBerry Enterprise Server のみが、利用可能なワイヤレスソフトウェアアップグ レードのパッケージを選択し、 選択したパッケージを BlackBerry デバイスに送信して、 BlackBerry デ バイスをソフトウェアパッケージにアップグレードするよう要求できます。通信事業者は、利用 可能な BlackBerry Device Software アップグレードのパッケージを選択して、選択したパッケージを BlackBerry デバイスに送信することはできません。ただし、 ［OTASL IT ポリシーフラグ］IT ポリシー ルールに［BES アップグレード専用］フラグを設定して、ワイヤレスソフトウェアアップグレー ド要求の専用 BlackBerry Enterprise Server 制御をオフにしている場合を除きます。 BlackBerry デバイスでの Bluetooth 接続の保護 Bluetooth ワイヤレステクノロジによって、 Bluetooth 対応の BlackBerry デバイスから半径 10 m 以内に あるデバイスとワイヤレス接続を確立できます。Bluetooth 対応の BlackBerry デバイスは、ハンズフ リーカーキットやワイヤレスヘッドセットなど、他の Bluetooth 対応デバイスに接続できます。 www. blackberry. com BlackBerry Enterprise Solution 75 Bluetooth 対応の BlackBerry デバイスや他の Bluetooth デバイスがどのように接続し、 相互に動作する かは、Bluetooth プロファイルで定義します。Bluetooth 対応の BlackBerry デバイスは、Bluetooth シリ アルポートプロファイルを実装して、仮想シリアルポートを使用して Bluetooth 周辺機器へのシリ アル接続を確立します。 BlackBerry デバイス上の Bluetooth ソフトウェアは、 BlackBerry Software Development Kit を通してシリアルポートにアクセスします。 BlackBerry Enterprise Server 管理者は、IT ポリシーを使用して、Bluetooth 対応の BlackBerry デバイスを すべて同時に管理できます。BlackBerry Device Software バージョン 4. 0 以降を実行している Bluetooth 対応の BlackBerry デバイスには、デフォルトで次のセキュリティ対策が含まれます。 • • BlackBerry デバイスで Bluetooth ワイヤレステクノロジがオフになっている ユーザーは、BlackBerry デバイスで別の Bluetooth デバイスとの接続またはペアリングを要求す る必要がある ペアリングを完了するには、ユーザーが共有の秘密鍵（パスキー）を入力する 必要もある ユーザーは、Bluetooth 接続を経由した BlackBerry デバイスとの間のデータトラフィックを暗号 化するかどうかを指定できる BlackBerry Enterprise Solution がパスキーを使用して暗号化キーが 生成する Bluetooth デバイスが BlackBerry デバイスに接続しようとすると、 BlackBerry デバイスにユーザー に対するメッセージが表示される • • 詳細については、『Security for BlackBerry Devices with Bluetooth Wireless Technology』（Bluetooth ワイヤ レステクノロジを使用した BlackBerry デバイスのセキュリティ）を参照してください。 BlackBerry デバイスでの Bluetooth CHAP パスワード認証の使用 サポートされている Bluetooth 対応 BlackBerry デバイスは、 RFC 1994 で記述されているとおり、 CHAP を サポートします。 CHAP は、 秘密と組み合わせたチャレンジ （BlackBerry デバイスパスワードなど） を 使用してクライアントを認証するプロトコルです。 CHAP に対応している BlackBerry デバイスは、 CHAP を使用して BlackBerry Desktop Software への Bluetooth リンクを確立し、BlackBerry デバイスが保護されていない接続を経由してパスワードを送信されな いようにします。 BlackBerry デバイスと BlackBerry Desktop Software は、 CHAP を使用してチャレンジを 送信し、Bluetooth リンクを確立した側に応じて、SHA-1 アルゴリズムを使用してチャレンジへの応 答を計算するか、または相手の応答を検証します。 BlackBerry デバイスでのロケーションベースサービスの制御 GPS 機能をサポートする BlackBerry デバイス上のサードパーティアプリケーションおよびあらかじ め組み込まれた BlackBerry アプリケーションでは、 デフォルトで GPS 機能を使用できます。 例えば、 BlackBerry® Maps は、 BlackBerry デバイスで GPS 機能を使用して、 ユーザーがそれぞれの BlackBerry デ バイスの位置を特定できる、あらかじめ組み込まれたアプリケーションです。BlackBerry Enterprise Server には、 この機能を使用する BlackBerry デバイス上で、 BlackBerry Enterprise Server 管理者が GPS 機 能やロケーションベースサービスを制御するためのオプションが用意されています。 www. blackberry. com BlackBerry Enterprise Solution 76 オプション BlackBerry デバイスの GPS 機能をオフにする 説明 次の対策は、サードパーティアプリケーション やあらかじめ組み込まれた BlackBerry アプリケー ションが BlackBerry デバイスのグローバルポジ ションにアクセスできないようにするものです。 • BlackBerry Enterprise Server 管理者が［GPS を 無効にする］IT ポリシールールを［True］に 設定すると、サードパーティアプリケー ションまたはあらかじめ組み込まれた BlackBerry アプリケーションから GPS 機能に アクセスできないように BlackBerry デバイ スを設定できます。 BlackBerry Enterprise Server 管理者がデフォル トのアプリケーション制御ポリシーで［デ バイス GPS］ アプリケーション制御ポリシー ルールを［許可しない］に設定すると、す べてのサードパーティアプリケーションが GPS 機能を使用できなくなります。 • BlackBerry デバイス上の特定のサードパーティ アプリケーションに対して、 GPS 機能の使用を 制御する BlackBerry Enterprise Server 管理者が特定のアプリ ケーション制御ポリシーで［デバイス GPS］ア プリケーション制御ポリシールールを［許可し ない］に設定すると、特定のサードパーティア プリケーションが GPS 機能を使用できなくなり ます。 デフォルトでは、 ［エンタープライズ位置追跡を 有効にする］IT ポリシールールが［False］に設 定されており、 GPS 機能を使用して、 BlackBerry デ バイスの位置を定期的に BlackBerry Enterprise Server に報告しないようになっています。 BlackBerry Enterprise Server 管理者は、エンタープ ライズ位置追跡を有効にできるほか、エンター プライズ位置追跡がいつ有効にされたかを知ら せるためのメッセージを指定して、 BlackBerry デ バイスを通じてデバイスの位置を BlackBerry Enterprise Server に報告する間隔を設定できます。 BlackBerry Enterprise Server 管理者は［BlackBerry Maps を無効にする］IT ポリシールールを使用 して、BlackBerry デバイスの BlackBerry Maps ア プリケーションを無効にするかどうかを指定で きます。 BlackBerry デバイスの位置を BlackBerry Enterprise Server に報告しないようにする BlackBerry デバイスの BlackBerry Maps アプリケーションを無効にする www. blackberry. com BlackBerry Enterprise Solution 77 BlackBerry デバイスによるオペレーティングシステムと BlackBerry Device Software の 保護方法 ユーザーが BlackBerry デバイスをオンにするたびに、 BlackBerry デバイスの特定コンポーネントが、 オペレーティングシステムの信頼性と BlackBerry Device Software の整合性を自動的に確認します。 BlackBerry Device Software がこれらのセキュリティテストに合格してから、ユーザーは BlackBerry デ バイスでソフトウェアを実行でき、ワイヤレスソフトウェアアップグレードで正常にソフトウェ アを更新できるようになります。 BlackBerry ソリューションが BlackBerry デバイスで実行されるツールを認証する方法 RIM ツール認証サーバーは、BlackBerry デバイスでのツールの実行を BlackBerry Device Software で許 可できるようにします。BlackBerry デバイスと RIM ツール認証サーバーは、チャレンジ/応答プロ セスを使用して両者間の通信を認証し、サーバーへの認証アクセス権がないユーザーやシステム が USB 接続を使用してツールを実行できないようにします。 ユーザーが BlackBerry デバイスをオンにすると、 デバイスの特定コンポーネントが、 オペレーティン グシステムの信頼性と BlackBerry Device Software の整合性を自動的に確認します。BlackBerry Device Software がこれらのセキュリティテストに合格すると、 ユーザーは BlackBerry デバイスでソフトウェ アを実行できるようになります。RIM 内部のコンピュータでのみ実行される RIM ツール認証サー バーは、 SHA-1 による PKCS#1 を使用して BlackBerry デバイスに送信するすべてのメッセージに署名 します。BlackBerry デバイスは、SHA-1 による PKCS#1 を使用して署名を確認しますが、RIM ツール 認証サーバーに送信するメッセージには署名しません。 信頼できない可能性があるコンピュータで実行されているツールが BlackBerry デバイスへの USB 接 続を開こうとした場合、BlackBerry デバイスからこのコンピュータにランダムのチャレンジ文字列 が送信されます。RIM ツール認証サーバーは、RSA キーペアを生成し、この RSA 秘密鍵を使用して BlackBerry デバイスがランダムに生成する対称暗号化キーを復号化します。 また、 この RSA 秘密鍵を 保存して BlackBerry デバイスへの応答を生成するために使用します。BlackBerry デバイスが応答を 受信すると、デバイスは対応する RSA 公開鍵を使用して応答を認証します。USB 接続が認証され 正常に開かれると、ツールと BlackBerry デバイスは ARC4 による対称暗号化を使用して、USB 接続 による通信を保護します。RIM ツール認証サーバーのデータベースには、暗号化された形式で対 称暗号化キーが保存されます。 マルウェアからの BlackBerry デバイスの保護 Java ベースの BlackBerry デバイスは、 第三者のワイヤレスエンタープライズアプリケーション開発を 対象としたオープンプラットフォームです。 BlackBerry Enterprise Solution では、 BlackBerry MDS Studio と BlackBerry® Java® Development Environment（BlackBerry JDE）を使用して、ソフトウェア開発者が BlackBerry デバイス向けサードパーティアプリケーションを作成できます。BlackBerry JDE の開発者 は、標準の Java 2 Platform, Micro Edition（J2ME™）よりも強力で高度なアプリケーションを作成でき ます。 BlackBerry のサードパーティアプリケーションでは、 BlackBerry デバイスで次のタスクを実行 できます。 • • • BlackBerry の他のサードパーティアプリケーションと持続ストレージを伝達/共有する BlackBerry のネイティブアプリケーションと相互動作する カレンダーのエントリ、メール、アドレス帳などのユーザーデータにアクセスする。 www. blackberry. com BlackBerry Enterprise Solution 78 コンピュータシステムに害を及ぼす不正なサードパーティアプリケーション（ウイルス、トロイ の木馬、ワーム、スパイウェアなど）は一般にマルウェアと呼ばれています。マルウェア攻撃に は、 BlackBerry デバイスを標的としたものがある場合があります。 攻撃者はマルウェアを使用して、 次のような攻撃をしかけることができます。 • • • 個人データや企業データを盗む DoS を作成してネットワークを使用できないようにする 組織の BlackBerry デバイスを使用して組織のネットワークにアクセスする Java ベースの BlackBerry デバイスでは、デフォルトで BlackBerry Browser を使用してワイヤレスネッ トワーク経由で任意のサードパーティアプリケーションをダウンロードできます。 また、 BlackBerry Enterprise Server 管理者がワイヤレスネットワーク経由でサードパーティアプリケーションを BlackBerry デバイスに送信し、自動的に BlackBerry デバイスにインストールすることもできます。 BlackBerry Enterprise Solution には、BlackBerry Enterprise Server 管理者が、サードパーティアプリケー ションの手動または自動のインストールを制御し、 また信頼されないアプリケーションから BlackBerry デバイスやそのリソースへのアクセスを制限して BlackBerry デバイスでマルウェア攻撃を阻止でき るツールが含まれます。 コンピュータでマルウェアを防ぐには、マルウェア攻撃を「検出」して阻止するプロセスが必要 です。検出とは、アプリケーションがマルウェアであるかどうかを特定するプロセスです。マル ウェアを効果的に検出するには、包括的で頻繁に更新されるローカルデータベースか、同じよう な条件を満たすオンラインデータベースへの常時接続が必要です。コンピュータではこのような データベースにアクセスできても、現在のモバイルデバイスでは、マルウェアデータベースの保 存に十分な容量がなく、またインターネットへの常時接続も保証できません。 BlackBerry Enterprise Solution は、IT ポリシー、アプリケーション制御ポリシー、およびコード署名を 使用して、 サードパーティアプリケーションから BlackBerry デバイスのリソースやアプリケーション へのアクセスを制御することで、 マルウェアを阻止します。 このように制御することで、 BlackBerry デバイスにアクセスしたマルウェアによる、BlackBerry デバイス、デバイス内のアプリケーション やデータ、または組織のネットワークへの攻撃を防ぐことができます。 詳細については、 「マルウェアからの BlackBerry デバイスプラットフォームの保護」を参照してく ださい。 IT ポリシールールを使用した BlackBerry デバイスでのマルウェアの阻止 BlackBerry Enterprise Server バージョン 4. 1 SP2 以降の IT ポリシールールでは、 BlackBerry Enterprise Server 管理者は次の操作を行うことができます。 • • BlackBerry デバイスからワイヤレスネットワーク経由でのサードパーティアプリケーションの ダウンロードを禁止する サードパーティアプリケーションを含め、BlackBerry デバイス上のアプリケーションで特定の タイプの接続を可能にするかどうか指定する 注意：BlackBerry Enterprise Server 管理者は、IT ポリシーを使用して、BlackBerry デバイスでの特定の アプリケーションのダウンロードを許可または禁止することはできません。この操作には、1 つ以 上のアプリケーション制御ポリシーを使用します。 www. blackberry. com BlackBerry Enterprise Solution 79 アプリケーション制御ポリシールールを使用した BlackBerry デバイスでのマルウェアの阻止 BlackBerry Enterprise Server のアプリケーション制御ポリシールールを使用すると、 BlackBerry Enterprise Server 管理者は、 BlackBerry デバイスへの特定のサードパーティアプリケーションのインストールを 許可または禁止したり、 サードパーティアプリケーションの次の権限を制限することができます。 • • • BlackBerry デバイスでサードパーティアプリケーションからアクセスできるリソース （メール、 電話、BlackBerry デバイスのキーストアなど） BlackBerry デバイスで実行中のサードパーティアプリケーションが確立できる接続のタイプ （ロー カル、内部、外部など） アプリケーションからユーザー認証プログラムフレームワーク API へのアクセスの可否。 ユー ザー認証プログラムフレームワークでは、 ドライバを登録し、 ツーファクタ認証で BlackBerry デ バイスのロックを解除できます。 例えば、BlackBerry デバイス上のサードパーティアプリケーションから内部サーバーへの接続を制 御するには、BlackBerry Enterprise Server 管理者は、アプリケーションが内部接続を確立することを 禁止するアプリケーション制御ポリシーを作成できます。BlackBerry Enterprise Server 管理者が、ア プリケーション制御ポリシーをユーザーまたは 1 つ以上のユーザーグループのソフトウェア構成 に適用すると、 これらの BlackBerry デバイスユーザーは、 BlackBerry Enterprise Server 管理者が内部サー バーとのデータ送受信にアプリケーション制御ポリシーを割り当てたサードパーティアプリケー ションのすべての機能を使用できなくなる場合があります。BlackBerry Enterprise Server 管理者が、 ユーザーグループにアプリケーションポリシールールを設定すると、 BlackBerry Enterprise Server は、 許可するアプリケーション動作を信頼している少数の BlackBerry デバイスユーザーのサブセットに のみ限定します。 アプリケーション制御ポリシールールの設定には、IT ポリシールールの設定が優先されます。例 えば、 BlackBerry Enterprise Server 管理者が、 BlackBerry デバイスの ［内部接続を許可する］ IT ポリシー ルールの設定を変更（デフォルトは True）し、さらに特定のアプリケーションからの内部接続を 許可するアプリケーション制御ポリシーを設定した場合、IT ポリシールールの設定がアプリケー ション制御ポリシールールの設定よりも優先されるため、そのアプリケーションから内部接続を 確立できません。 アプリケーション制御ポリシーが適用されているアプリケーションの権限がより厳しく制限され る場合、BlackBerry デバイスはリセットされます。BlackBerry Device Software バージョン 4. 1 以降を実 行している BlackBerry デバイスでは、 ユーザーがアプリケーションの権限を BlackBerry Enterprise Server の管理者の設定よりも厳しく制限できますが、緩和することはできません。 コード署名を使用した BlackBerry デバイスでのマルウェアの阻止 RIM は、 BlackBerry デバイスで実行するサードパーティアプリケーションの検査または検証を行い ません。 ただし、 RIM は機密のパッケージ、 クラス、 またはメソッドを含む BlackBerry デバイス API の使用を制限して、許可のないアプリケーションからの BlackBerry デバイスのデータへのアクセ スを阻止します。サードパーティアプリケーションを BlackBerry デバイスで実行するには認証が 必要です。 www. blackberry. com BlackBerry Enterprise Solution 80 BlackBerry Enterprise Server 管理者または BlackBerry デバイスのユーザーが、RIM が制御する API を使用し たサードパーティアプリケーションを BlackBerry デバイスで実行するには、その前に公開鍵暗号を使 用して RIM 署名権限システムによるアプリケーションコードの許可および認証を受ける必要がありま す。 サードパーティアプリケーションの開発者は www. blackberry. com/developers/downloads/jde/api. shtml にアクセスし、 制御対象の API にアクセスして BlackBerry Signature Tool を使用できるように、 RIM 署 名権限システムに登録する必要があります。 BlackBerry Signature Tool は BlackBerry JDE のコンポーネン トのひとつであり、 アプリケーション用のデジタルコード署名を RIM にリクエストしたり、 署名を 確認するために使用します。 アクセスが制御されたサードパーティ API を作成した開発者は、 これらの API の署名権限者として の役目を果たすことができます。アプリケーション開発者は BlackBerry® Signing Authority Tool をダ ウンロードしてインストールし、 他の開発者が登録してアプリケーション開発者の制御対象 API へ アクセスできるようにすることが可能です。登録済みの開発者は、BlackBerry Signature Tool を使用 して、各自のアプリケーション用のデジタルコード署名をアプリケーション開発者の BlackBerry Signing Authority Tool に要求できます。 サードパーティアプリケーションを BlackBerry デバイスで実行するには認証が必要です。 MIDlet （標 準の MIDP と CLDC API のみを使用するアプリケーション）は、RIM の署名権限システムによってデ ジタル署名されていない限り、 BlackBerry デバイスのメモリに書き込んだり、 他のアプリケーション のメモリにアクセスしたり、他の MIDlet の持続データにアクセスすることができません。コード 署名とサードパーティアプリケーションの詳細については、『 BlackBerry Signing Authority Tool Administrator Guide』(BlackBerry Signing Authority Tool 管理者ガイド）を参照してください。 BlackBerry MDS Runtime Application でのコード署名の使用 組織内の開発者は、BlackBerry MDS Application Repository に公開する前に、BlackBerry MDS Studio を使 用して作成した BlackBerry MDS Runtime Application にデジタル署名することができます。 BlackBerry デ バイスでは、BlackBerry MDS Runtime Application にデジタル署名する際に、任意の秘密鍵と対応する 証明書を X. 509 構文で使用できます。 BlackBerry MDS Runtime Application は、 エンタープライズシステムと BlackBerry Enterprise Server のコン ポーネントである BlackBerry MDS Integration Service を経由して通信します。BlackBerry MDS Integration Service は、 ワイヤレスネットワーク経由で BlackBerry デバイスにアプリケーションを送信する前に、 BlackBerry MDS Runtime Application コードのデジタル署名を確認します。 BlackBerry デバイスが BlackBerry MDS Runtime Application を受信すると、コード署名者の ID などの証明書サブジェクトの 詳細が表示され、BlackBerry デバイスユーザーにアプリケーションの承認または拒否を求めるメッ セージが表示されます。 BlackBerry デバイスは、 ユーザーに対してコード署名者の ID を表示せず、 次のいずれかの条件に該 当する場合はアプリケーションをインストールしません。 • • • アプリケーションが信頼されない証明書で署名されている 署名が無効である BlackBerry MDS Integration Service の［署名なしアプリケーションを許可］オプションが［False］ に設定され、アプリケーションにデジタル署名がない www. blackberry. com BlackBerry Enterprise Solution 81 紛失、盗難、または交換された BlackBerry デバイスの保護 BlackBerry Enterprise Server 管理者は、 IT 管理コマンドを使用して BlackBerry デバイスをリモート制御 し、組織の機密情報をただちに保護します。 IT 管理コマンド パスワード設定およ びデバイスのロック 説明 新しいパスワードを作成し、 紛失した BlackBerry デバイスをリモートでロッ クできます。ユーザーが BlackBerry デバイスを見つけたとき、BlackBerry Enterprise Server 管理者は、新しいパスワードをユーザーに口頭で伝えま す。ユーザーが BlackBerry デバイスのロックを解除する際、BlackBerry デ バイスには、 新しいパスワードの変更を承認するかどうかを確認するメッ セージが表示されます。 BlackBerry デバイスに保存されているユーザー情報とアプリケーションデー タをすべてリモートで削除できます。 BlackBerry Enterprise Server 管理者は、 次のオプションも設定できます。 • ユーザーが BlackBerry デバイスを紛失した場合に（見つかる可能性が あっても）、BlackBerry デバイスのすべてのユーザー情報およびアプ リケーションデータの削除が開始されるまでの遅延時間 （時間単位） を 設定 このコマンドを受信したときに、BlackBerry デバイスを工場出荷時の デフォルトの状態に戻すように要求（詳細については、83 ページの ｢BlackBerry デバイスのメモリからのリモートでのデータ消去と BlackBerry デバイスの無効化」を参照） ユーザーが遅延時間内に BlackBerry デバイスのデータ消去プロセスを 中止して、その BlackBerry デバイスを利用できないようにできるかど うかを指定 データ消去および デバイスの無効化 • • BlackBerry Enterprise Server 管理者は、このコマンドを組織内のユーザー間 で BlackBerry デバイスを譲渡するために使用できます。 詳細については、『BlackBerry Enterprise Server システム管理ガイド』を参照してください。 コンテンツ保護された BlackBerry デバイスのパスワードをリモートでリセット リモートパスワードリセットの暗号化プロトコルでは、BlackBerry デバイスのコンテンツ保護が有 効の場合でも、BlackBerry Enterprise Server 管理者が、BlackBerry デバイスのパスワードをリモートで 設定できます。BlackBerry デバイスに、デバイスの古いパスワードの入力を求めるメッセージは表 示されません。 コンテンツ保護されたデバイスのパスワードをリモートでリセットする暗号化プロトコルは、次 の機能を備えています。 • • 古いパスワードを知らなくても、新しいパスワードを使って BlackBerry デバイスでコンテンツ 保護キーを再暗号化できる BlackBerry デバイスのパスワードや、BlackBerry Enterprise Server が BlackBerry デバイス用に生成 する IT ポリシーの公開鍵と秘密鍵のペアのうち、どちらかを知らない場合でも、コンテンツ保 護キーを正常に復元することで BlackBerry デバイス上のハードウェアベースの攻撃を阻止する 楕円曲線暗号の使用して、小規模なサブグループの封じ込め攻撃を阻止する • www. blackberry. com BlackBerry Enterprise Solution 82 • 攻撃者がコンテンツ保護キーの復元に使用する一切の情報を BlackBerry Enterprise Server に知ら れないようにする BlackBerry Enterprise Server 管理者は、 ［パスワード設定およびデバイスのロック］ IT 管理コマンドを コンテンツ保護された BlackBerry デバイスに送信する必要があります。 この場合、 送信先の BlackBerry デバイスは、 デバイスユーザーが保持しているものに限られます。 攻撃者が保持している BlackBerry デバイスにこのコマンドを送信すると、ハードウェアベースの攻撃を行う攻撃者が、フラッシュ メモリから BlackBerry デバイスで IT ポリシーを受信する際に作成されたキーペアを復元して、 BlackBerry デバイス上のすべてのデータを復号化できるようになります。 プロトコルの詳細については、113 ページの「付録 L：コンテンツ保護された BlackBerry デバイスの パスワードをリモートでリセットするプロトコル」を参照してください。 BlackBerry デバイスのリモートデータ消去の種類 BlackBerry デバイスのデータ消去プロセスでは、内部メモリにあるデータがすべて削除され、メモ リがゼロで上書きされます。 種類 デバイスデータ消去による 工場出荷時のデフォルト状 態への復帰 説明 この方法による BlackBerry デバイスのデータ削除は、BlackBerry Enterprise Server 管理者が［リモート消去で工場出荷時のデフォル トにリセットする］ IT ポリシールールを使用してリモートで開始 します。詳細については、85 ページの「ユーザーが開始した完 全消去中のサードパーティアプリケーションの削除」 を参照して ください。 BlackBerry デバイスのデータを削除するこの方法は、BlackBerry Enterprise Server 管理者がリモートで開始するか、 または BlackBerry デバイスユーザーが BlackBerry デバイスでローカルに開始します。 詳細については、83 ページの「BlackBerry デバイスのメモリから のリモートでのデータ消去と BlackBerry デバイスの無効化」を参 照してください。 BlackBerry デバイスのデータを削除するこの方法は、BlackBerry デ バイスユーザーが BlackBerry デバイスでローカルに開始します。 BlackBerry Enterprise Server 管理者は、デバイスデータ消去による 工場出荷時のデフォルト状態への復帰を実行することにより、 同 じ結果を得ることができます。 詳細については、 85 ページの｢ユー ザーが開始した完全消去中のサードパーティアプリケーションの 削除」を参照してください。 コンテンツ保護がオンになっている場合は、完全消去実中に BlackBerry デバイスでメモリスクラブプロセスが使用され、 BlackBerry デバイスのフラッシュメモリファイルシステムが上書 きされます。BlackBerry のメモリスクラブプロセスは、機密ユー ザーデータの消去に関する米国政府の条件を満たしています。 こ れには、 国防総省の規格 5220. 22-M と米国標準技術局の特殊文書 800-88 が含まれます。 データの完全消去（標準の 完全消去） データおよびサードパー ティアプリケーションの完 全消去（デバイスで［サー ドパーティアプリケー ションを含める］オプ ションを選択した場合の標 準の完全消去） コンテンツ保護されたデバ イスでのデータの完全消去 (コンテンツ保護されたデバ イスでの標準の完全消去） www. blackberry. com BlackBerry Enterprise Solution 83 詳細については、『Erasing File Systems on BlackBerry Devices Technical Overview』（BlackBerry デバイス のファイルシステムの消去に関する技術概要）を参照してください。 内部デバイスメモリの消去方式に応じて、BlackBerry デバイスでは、次の処理が実行されます。 BlackBerry デバイスの処理 ユーザーデータの削除 組織の PIN-to-PIN 暗号化 キーの削除 マスター暗号化キーの削除 スマートカードのバインド 解除（該当する場合） IT ポリシーのバインド解除 説明 メモリ内のすべてのユーザーデータが恒久的に削除されます。 メモリ内にある組織のピアツーピア（PIN-to-PIN）暗号化キーへ の参照が恒久的に削除されます。 メモリ内のマスター暗号化キーへの参照が恒久的に削除されます。 ユーザーが新しいスマートカードを使用して BlackBerry デバイス で認証されるように、スマートカードのバインド情報が NV スト アから恒久的に削除されます。 BlackBerry Enterprise Server から新しい IT ポリシーと IT ポリシーの 公開鍵を受信できるように、NV ストアから IT ポリシーの公開鍵 が恒久的に削除されます。 メモリ内の過去の BlackBerry デバイスパスワードのハッシュへの 参照が恒久的に削除されます。 NV ストアから BlackBerry® Mobile Data System デバイスポリシーが 恒久的に削除されます。 保存されている IT ポリシーが恒久的に削除されます。 BlackBerry デバイスに保存されているすべてのサードパーティア プリケーションが恒久的に削除されます。 メモリスクラブプロセスを使用して BlackBerry デバイスのフラッ シュメモリファイルシステムが上書きされます。 パスワード履歴 保存されている BlackBerry MDS デバイスポリシー 保存されている IT ポリシー の削除 サードパーティアプリケー ションの削除 コンテンツ保護機能がオン の場合に BlackBerry デバイス メモリを上書き 詳細については、 96 ページの 「付録 D：BlackBerry デバイスの消去プロセス」 を参照してください。 BlackBerry デバイスのメモリからのリモートでのデータ消去と BlackBerry デバイス の無効化 コンピュータに接続されていない BlackBerry デバイスでは、次のいずれかの場合に、ユーザーデー タとアプリケーションデータが完全に削除されます。 • • • ユーザーが BlackBerry デバイスの ［セキュリティのオプション］ で ［デバイスデータの消去］ を クリックした場合 ユーザーがパスワードを間違って入力した回数が、［パスワードの最大試行回数を設定する］ IT ポリシールールで BlackBerry デバイスに設定されている回数を超えた場合 （デフォルトは 10 回） BlackBerry Enterprise Server 管理者が BlackBerry Manager から BlackBerry デバイスに ［データ消去お よびデバイスの無効化］IT 管理コマンドを送信した場合 www. blackberry. com BlackBerry Enterprise Solution 84 • BlackBerry Enterprise Server 管理者が BlackBerry Manager から BlackBerry デバイスに遅延 （時間単位、 最大 168 時間）付きで［データ消去およびデバイスの無効化］IT 管理コマンドを送信した場合 ユーザーが開始した完全消去中のサードパーティアプリケーションの削除 ユーザーが BlackBerry デバイスの［セキュリティのオプション］で［デバイスデータの消去］をク リックした場合、同時に［サードパーティアプリケーションを含める］オプションを選択できま す。 ユーザーがこのオプションを選択した場合、 デバイスの消去中に保存されているユーザーデー タが恒久的に削除されるときに、すべてのサードパーティアプリケーションとアプリケーション データも削除されます。 リモートでの BlackBerry デバイスデータ消去時の遅延要求 BlackBerry Enterprise Server 管理者は、 次の BlackBerry ポリシールールを設定して、 リモートの BlackBerry デバイスでユーザーデータとアプリケーションデータが自動的に削除されるようにすることがで きます。 IT ポリシールール IT ポリシー受信後の確実 な消去の遅延 説明 この IT ポリシールールに設定した期間（時間単位）内に BlackBerry デバイスで IT ポリシーの更新または IT 管理コマンドを正常に受信 しなかった場合、 BlackBerry デバイスのユーザーデータとアプリケー ションデータが完全に削除されます。 この IT ポリシールールに設定した期間（時間単位）内にユーザー が BlackBerry デバイスのロックを解除しなかった場合、 BlackBerry デ バイスのユーザーデータとアプリケーションデータが完全に削除 されます。 この IT ポリシールールを設定すると、BlackBerry デバイスのバッテ リー残量が IT ポリシーの更新または IT 管理コマンドを受信するの に不十分な場合、 BlackBerry デバイスのユーザーデータとアプリケー ションデータが完全に削除されます。 ロック後の確実な消去の 遅延 電池が消耗したら確実に 消去する BlackBerry デバイスを工場出荷時のデフォルトの状態にリモートでリセット BlackBerry Enterprise Server 管理者は、［リモート消去で工場出荷時のデフォルトにリセットする］ IT ポリシールールを使用して、BlackBerry デバイスがワイヤレスネットワーク経由で［データ消去 およびデバイスの無効化］IT 管理コマンドを受信したとき、工場出荷時のデフォルトの状態に戻 すように要求できます。 BlackBerry Enterprise Server 管理者が、 このルールを ［True］ に設定し、 BlackBerry Manager から BlackBerry デバイスに［データ消去およびデバイスの無効化］IT 管理コマンドを送信 すると、BlackBerry デバイスは工場出荷時のデフォルトの状態に戻り、次のすべての項目が削除さ れます。 • • • • • ユーザーデータ 組織の PIN-to-PIN 暗号化キー マスター暗号化キー スマートカードのバインド情報 パスワード履歴 www. blackberry. com BlackBerry Enterprise Solution 85 • • • • 保存されている BlackBerry MDS デバイスポリシー 最後に BlackBerry デバイスの電源をオンにしてからの経過時間の記録 保存されている IT ポリシー サードパーティアプリケーションおよびアプリケーションデータ BlackBerry デバイスが工場出荷時のデフォルトの状態に戻ると、 BlackBerry デバイスの内部メモリが 上書きされ、コンテンツ保護機能がオンになっている場合は、BlackBerry デバイスのメモリスクラ ブが実行されます。 BlackBerry デバイスのメモリからのデータ消去と BlackBerry デバイスの無効化 (標準の完全消去） コンピュータに接続されていない BlackBerry デバイスでは、次のいずれかの場合に、ユーザーデー タとアプリケーションデータが完全に削除されます。 • • • • ユーザーが BlackBerry デバイスの ［セキュリティのオプション］ で ［デバイスデータの消去］ を クリックした場合 ユーザーがパスワードを間違って入力した回数が、［パスワードの最大試行回数を設定する］ IT ポリシールールで BlackBerry デバイスに設定されている回数を超えた場合 （デフォルトは 10 回） BlackBerry Enterprise Server 管理者が BlackBerry Manager から BlackBerry デバイスに ［データ消去お よびデバイスの無効化］IT 管理コマンドを送信した場合 BlackBerry Enterprise Server 管理者が BlackBerry Manager から BlackBerry デバイスに遅延 （時間単位、 最大 168 時間）付きで［データ消去およびデバイスの無効化］IT 管理コマンドを送信した場合 BlackBerry デバイスがコンピュータに物理的に接続されているとき、 次のような場合、 ユーザーデー タとアプリケーションデータおよびすべてのアプリケーションを消去します。 • BlackBerry デバイスユーザーが BlackBerry Desktop Software で Application Loader ツールを実行して、 Application Loader ツールのプロンプトでパスワードを間違えて入力した回数が［パスワードの 最大試行回数を設定する］IT ポリシールールで設定されている回数を超えた場合 （デフォル トは 10 回） BlackBerry デバイスユーザーが、BlackBerry Desktop Software で Application Loader ツールを使用し て、BlackBerry デバイスのすべてのユーザーデータおよびアプリケーションデータを消去でき るが、BlackBerry デバイスアプリケーションの消去を選択しない場合 • BlackBerry Enterprise Server 管理者が、BlackBerry Manager で［デバイスのファイルシステムを消 去］をクリックした場合。このオプションは、BlackBerry デバイスにサービスブックが存在し ない （つまり、 BlackBerry Enterprise Server と BlackBerry デバイスが接続されていない） 場合でも、 BlackBerry デバイスからすべてのデータとアプリケーションを削除します。 ユーザーが開始した完全消去中のサードパーティアプリケーションの削除 ユーザーが BlackBerry デバイスの［セキュリティのオプション］で［デバイスデータの消去］をク リックした場合、同時に［サードパーティアプリケーションを含める］オプションを選択できま す。 ユーザーがこのオプションを選択した場合、 デバイスの消去中に保存されているユーザーデー タが恒久的に削除されるときに、すべてのサードパーティアプリケーションとアプリケーション データも削除されます。 www. blackberry. com BlackBerry Enterprise Solution 86 リモートでの BlackBerry デバイスデータ消去時の遅延要求 BlackBerry Enterprise Server 管理者は、 次の BlackBerry ポリシールールを設定して、 リモートの BlackBerry デバイスでユーザーデータとアプリケーションデータが自動的に削除されるようにすることがで きます。 IT ポリシールール IT ポリシー受信後の確実 な消去の遅延 説明 この IT ポリシールールに設定した期間（時間単位）内に BlackBerry デバイスで IT ポリシーの更新または IT 管理コマンドを正常に受信 しなかった場合、 BlackBerry デバイスのユーザーデータとアプリケー ションデータが完全に削除されます。 この IT ポリシールールに設定した期間（時間単位）内にユーザー が BlackBerry デバイスのロックを解除しなかった場合、 BlackBerry デ バイスのユーザーデータとアプリケーションデータが完全に削除 されます。 この IT ポリシールールを設定すると、BlackBerry デバイスのバッテ リー残量が IT ポリシーの更新または IT 管理コマンドを受信するの に不十分な場合、 BlackBerry デバイスのユーザーデータとアプリケー ションデータが完全に削除されます。 ロック後の確実な消去の 遅延 電池が消耗したら確実に 消去する BlackBerry デバイスからのスマートカードのバインド解除 BlackBerry Enterprise Server 管理者またはユーザーが BlackBerry デバイスの消去を開始して、 BlackBerry デバイスに保存されているユーザーデータとアプリケーションデータを消去すると、BlackBerry デ バイスはユーザーが新しいスマートカードを使用して BlackBerry デバイスで認証されるように、 ス マートカードのバインド情報を NV ストアから完全に削除します。 BlackBerry Enterprise Server 管理者は、 スマートカードのバインド情報を次の方法で BlackBerry デバイ スから手動で完全に削除できます。 • • [データ消去およびデバイスの無効化］IT 管理コマンドを BlackBerry デバイスに送信し、ユー ザーの現在のスマートカードと BlackBerry デバイス間のバインドを完全に削除する ユーザーがツーファクタ認証をオフにすると、BlackBerry デバイスに挿入されているスマート カードを使用したツーファクタ認証がオフになり、 スマートカードのバインド情報が BlackBerry デバイスから完全に削除される www. blackberry. com BlackBerry Enterprise Solution 87 関連リソース リソース BlackBerry Enterprise Server 機能および 技術概要 BlackBerry Enterprise Server Wi-Fi Implementation Supplement （BlackBerry Enterprise Server Wi-Fi 導入の補足） 内容 • • BlackBerry Enterprise Server のアーキテクチャ エンタープライズ Wi-Fi ネットワークでの BlackBerry デバイス導入の設定オプション について エンタープライズ Wi-Fi ネットワークでの BlackBerry デバイス導入管理およびトラブ ルシューティング ネットワーク環境の設定 メッセージングおよびコラボレーション 環境の要件 データベース環境の設定 マスター暗号化キーの生成と変更 暗号化の有効化 セキュリティの管理 このドキュメントとセキュリティ関連のそ の他のドキュメントで使用されている略語 の正式名称 BlackBerry Signing Authority Tool での公開鍵 暗号の実装 BlackBerry Signing Authority Tool のインス トール方法、設定方法、および管理方法 API のアクセスの制限方法 BlackBerry API の使用方法 アクセスが制限されている API、クラス、 およびメソッド IT ポリシー API からのカスタム IT ポリシー ルールの取得方法 BlackBerry Desktop Software を使用したアプ リケーションの展開 ワイヤレスネットワークを経由したアプリ ケーションの展開 制御対象 API の使用方法 コード署名 • BlackBerry Enterprise Server インストールガイド • • • BlackBerry Enterprise Server システム管理ガイド • • • BlackBerry Enterprise Solution Security Acronym Glossary（BlackBerry Enterprise Solution セキュリティ用語集） BlackBerry Signing Authority Tool Administrator Guide（BlackBerry Signing Authority Tool 管理者ガイド） • • • • BlackBerry Java Development Environment BlackBerry Application Developer Guide Volume 1 (BlackBerry Java Development Environment BlackBerry アプリケーション開発者ガイド 第 1 部） • • • • • BlackBerry Java Development Environment BlackBerry Application Developer Guide Volume 2 (BlackBerry Java Development Environment BlackBerry アプリケーション開発者ガイド 第 2 部） • • www. blackberry. com BlackBerry Enterprise Solution 88 リソース BlackBerry Smart Card Reader Security Technical Overview（BlackBerry Smart Card Reader セキュリティ技術概要） 内容 • BlackBerry デバイスと BlackBerry Smart Card Reader 間のセキュリティ保護されたペア リング 初期の key establishment protocol connection key establishment protocol ワイヤレスエンタープライズアクティベー ション マスター暗号化キーのワイヤレス生成 初期の key establishment protocol key rollover protocol BlackBerry デバイスがデフォルトで暗号化 するデータアイテムのリスト BlackBerry デバイスの内部および外部メモ リに保存されたファイルを保護するための 暗号化の使用 BlackBerry デバイスの消去時に BlackBerry デ バイスから削除されるデータアイテムのリ スト リモートでの各種 BlackBerry デバイスデー タ消去の実行 BlackBerry デバイスのメモリの消去 • • BlackBerry Wireless Enterprise Activation Technical Overview（BlackBerry ワイヤレスエンタープラ イズアクティベーションの技術概要） • • • • Enforcing Encryption of Internal and External File • Systems on BlackBerry Devices Technical Overview (BlackBerry デバイスの内部および外部ファイ • ルシステムの暗号化の強化に関する技術概要） Erasing File Systems on BlackBerry Devices Technical Overview（BlackBerry デバイスの ファイルシステムの消去に関する技術概要） • • Garbage Collection in the BlackBerry Java Development Environment（BlackBerry Java 開発環境でのガベージコレクション） ポリシーリファレンスガイド • • BlackBerry Enterprise Server の IT ポリシー ルール、 アプリケーション制御ポリシールー ル、および MDS ポリシールールのリスト IT ポリシー、アプリケーション制御ポリ シー、および MDS ポリシーの使用方法 PGP セキュリティと暗号化 PGP Universal Server を使用した PGP キーの 保存と管理 PGP キーの検索と検証 PGP メッセージの送受信 BlackBerry デバイス用 PGP Support Package のインストール BlackBerry デバイスでの PGP キーの管理 メッセージのデジタル署名と暗号化の PGP オプションの設定 • BlackBerry デバイス用 PGP Support Package の セキュリティ技術概要 • • • • PGP Support Package ユーザーガイド • • • www. blackberry. com BlackBerry Enterprise Solution 89 リソース Placing the BlackBerry Enterprise Solution in a Segmented Network（セグメント分割したネッ トワークへの BlackBerry Enterprise Solution の 導入） マルウェアからの BlackBerry デバイスプラット フォームの保護 内容 • ネットワークアーキテクチャのセグメント 分割による組織のネットワークのマルウェ ア感染の防止 BlackBerry デバイスのアプリケーションプ ラットフォームのデフォルトの動作につ いて BlackBerry デバイスのマルウェアに対する 脆弱性について マルウェア攻撃のリスクの管理 BlackBerry Enterprise Solution のツールを使用 した BlackBerry デバイスでのマルウェアの 阻止 S/MIME セキュリティと暗号化 BlackBerry デバイスとコンピュータでの S/MIME 証明書の管理 BlackBerry デバイス用 S/MIME Support Package のインストール BlackBerry デバイスとコンピュータでの 証明書の管理 メッセージのデジタル署名と暗号化の S/MIME オプションの設定 S/MIME メッセージの送受信 Bluetooth ワイヤレステクノロジの概要 Bluetooth 対応 BlackBerry デバイスの使用 方法と保護方法 モバイルデバイスで Bluetooth ワイヤレス テクノロジを使用するリスク BlackBerry ソリューションのセキュリティ に関する情報 • • • • S/MIME Support Package for BlackBerry devices Technical Overview（BlackBerry デバイス用 S/MIME Support Package の技術概要） S/MIME Support Package ユーザーガイド • • • • • • Security for BlackBerry Devices with Bluetooth Wireless Technology（Bluetooth ワイヤレステク ノロジを使用した BlackBerry デバイスのセキュ リティ） • • • • www. blackberry. com/security www. blackberry. com BlackBerry Enterprise Solution 90 付録 A：RIM Crypto API インターフェイス BlackBerry デバイス上と BlackBerry JDE 内の RIM Crypto API は、 ビジネス向けの接続を実現するセキュ リティ保護されたアプリケーションを開発者が作成できる、暗号化アルゴリズムとサポートツー ルを含むツールキットです。 RIM では、 コード署名を使用してセキュリティ保護されたアプリケー ションの BlackBerry デバイスでの実行が認証され、 サードパーティアプリケーションから RIM Crypto API へのアクセスが制御されます。 RIM Crypto API は、Java インターフェイスと次のコンポーネントのアルゴリズムで構成されます。 • • • 暗号化、キー合意、および署名の方式 キー生成プロトコル メッセージ認証、メッセージダイジェスト、およびハッシュのコード 開発者は JDE の Java インターフェイスを使用して、RIM Crypto API 暗号化アルゴリズムとその他の コードにアクセスし、簡単なソリューションを作成できます。開発者が暗号化コードを変更した り暗号化コードに直接アクセスしたりする必要はありません。ネイティブの C++ 暗号化コードの 呼び出しは、JDE の Java コードを経由するからです。 RIM Crypto API の暗号化機能 対称ブロックアルゴリズム アルゴリズム（パディングに PKCS #5 を使用） AES DES RC2 RC5 Skipjack 3DES CAST5-128 キー長さ (ビット単位） 128、192、256 56 8～1024 0～2040 80 112、168 128 モード（ブロック暗号化アルゴリズム とは別に実装） ECB、CBC、CFB、OFB、X ECB、CBC、CFB、OFB、X ECB、CBC、CFB、OFB、X ECB、CBC、CFB、OFB、X ECB、CBC、CFB、OFB、X ECB、CBC、CFB、OFB、X ECB、CBC、CFB、OFB、X www. blackberry. com BlackBerry Enterprise Solution 91 対称ストリーム暗号化アルゴリズム アルゴリズム ARC4 キー長さ（ビット単位） 無制限 非対称ストリーム暗号化アルゴリズム アルゴリズム ECIES キー長さ（ビット単位） 無制限（シード用に 160～571） 非対称暗号化アルゴリズム アルゴリズム RSA raw RSA と PKCS #1 の書式設定 (バージョン 1. 5 と 2. 0） RSA と OAEP の書式設定 El Gamal キー合意方式アルゴリズム アルゴリズム DH KEA ECDH ECMQV 署名方式アルゴリズム アルゴリズム DSA PKCS #1 を使用する RSA（バージョン 1. 5 と 2. 0） ANSI X9. 31 を使用する RSA 注意：ANSI X9. 31 では、必要なメッセージダイジェスト コードに、SHA-1、SHA-256、SHA-384、SHA-512、または RIPEMD-160 のいずれかのアルゴリズムが使用されます。 PSS を使用する RSA ECDSA ECNR 512～4096 160～571 160～571 整数の因数分解 (EC）離散対数 (EC）離散対数 キー長さ (ビット単位） 512～1024 512～4096 512～4096 種類 離散対数 整数の因数分解 整数の因数分解 キー長さ （ビット単位） 種類 512～4096 1024 160～571 160～571 離散対数 離散対数 (EC）離散対数 (EC）離散対数 キー長さ (ビット単位） 512～4096 512～4096 512～4096 512～4096 種類 整数の因数分解 整数の因数分解 整数の因数分解 離散対数 www. blackberry. com BlackBerry Enterprise Solution 92 キー生成アルゴリズム アルゴリズム RSA DH DSA EC キー長さ（ビット単位） 512～2048 512～4096 512～1024 160～571 種類 整数の因数分解 離散対数 離散対数 (EC）離散対数 メッセージ認証コード コード CBC MAC HMAC キー長さ（ビット単位） 可変（ブロック暗号キー長さ） 可変 メッセージダイジェストコード コード SHA-1、SHA-224、SHA-256、 SHA-384、SHA-512 MD2 MD4 MD5 RIPEMD-128、160 ダイジェスト長さ（ビット単位） 160、224、256、384、512 128 128 128 128、160 www. blackberry. com BlackBerry Enterprise Solution 93 付録 B：RIM Crypto API がサポートする TLS と WTLS 標準 RIM Crypto API でサポートされている TLS と WTLS プロトコルの暗号スイートのコンポーネントは、 BlackBerry デバイスの WTLS とデバイス（直接）モードの TLS/SSL のみが対象です。 RIM Crypto API での TLS と WTLS プロトコルの実装では、 RSA と DSA の公開鍵アルゴリズムおよび DH キー交換アルゴリズムの使用がサポートされています。ただし、次の制限があります。 暗号スイートの タイプ エクスポート 典型的なコンポーネントの制限（ビット単位） • • 非エクスポート • • RSA と DH：1024 ビット以内 EC：163 ビット以内 非楕円曲線操作：4096 ビット 楕円曲線操作：571 ビット 注意：これらの制限は、 BlackBerry デバイスでの計算上の制約に起因します。 RIM Crypto API がサポートするキー確立アルゴリズム暗号スイート 直接モード SSL RSA_EXPORT DH_anon_EXPORT DHE_DSS_EXPORT RSA DHE_DSS DH_anon 直接モード TLS RSA_EXPORT DH_anon_EXPORT DHE_DSS_EXPORT RSA DHE_DSS DH_anon WTLS RSA_anon RSA_anon_512 RSA_anon_768 RSA RSA_512 RSA_768 DH_anon DH_anon_512 DH_anon_768 www. blackberry. com BlackBerry Enterprise Solution 94 RIM Crypto API がサポートする対称アルゴリズム 直接モード SSL RC4 40 DES 40 DES 3DES RC4 128 直接モード TLS RC4 40 RC4 56 RC4 128 DES 40 DES 3DES AES 128 AES 256 RC4 128 WTLS RC5 40 RC5 56 RC5 64 RC5 RC5 128 DES 40 DES 3DES RIM Crypto API がサポートするハッシュアルゴリズム 直接モード SSL MD5 SHA-1 直接モード TLS MD5 SHA-1 WTLS SHA SHA-40 SHA-80 MD5 MD5 40 MD5 80 © 2008 Research In Motion Limited. All rights reserved. www. blackberry. com BlackBerry Enterprise Solution 95 付録 C：前バージョンでの有線によるマスター暗号化キーの生成 BlackBerry Enterprise Server および BlackBerry Desktop Software バージョン 4. 0 以前では、マスター暗号 化キー生成機能が呼び出されるたびに、 C 言語の srand 関数のシードとして現在時刻を使用して C 言 語の rand 関数のシードが生成されます。 ユーザーが BlackBerry Desktop Software のメッセージに従っ てマウスを動かすと、マウスの動きによって収集されたエントロピに基づいて rand 関数でランダ ムデータが生成されます。 前バージョンでの有線によるマスター暗号化キーの生成プロセス 1. ユーザーがマウスを動かすと、x 軸と y 軸の一方のみが変わったか、両方が変わったかによっ て、BlackBerry Enterprise Server または BlackBerry Desktop Software で 2 ビットまたは 4 ビットのい ずれかが生成されます。BlackBerry Enterprise Server または BlackBerry Desktop Software では、少な くとも 8 ビットが蓄積されるまで、この方法でビットがサンプリングされます。 rand 関数でランダムな整数が生成されます。 BlackBerry Enterprise Server または BlackBerry Desktop Software で整数の最下位ビットが確認されま す。ビットが 1 の場合、BlackBerry Enterprise Server または BlackBerry Desktop Software で、蓄積さ れた 8 ビットの 1 の補数が保存されます。ビットが 0 の場合は、BlackBerry Enterprise Server また は BlackBerry Desktop Software で、蓄積された 8 ビットがそのまま保存されます。このプロセス は、たとえ前のユーザーのマウスの動きを真似たとしても（これは実際には不可能ですが）、 結果の値が同じにならないようになっています。 このアルゴリズムは、BlackBerry Enterprise Server または BlackBerry Desktop Software で、ユーザー のマウスの動きから 256 のランダムビットがサンプリングされるまでループします。 BlackBerry Enterprise Server または BlackBerry Desktop Software で、SHA-1 機能を使用して 256 ビッ トがハッシュされます。 2. BlackBerry Enterprise Server または BlackBerry Desktop Software で、 結果のハッシュの最初の 128 ビッ トを使用してマスター暗号化キーが生成されます。 © 2008 Research In Motion Limited. All rights reserved. www. blackberry. com BlackBerry Enterprise Solution 96 付録 D：BlackBerry デバイスの消去プロセス BlackBerry デバイスの消去プロセスでは、 BlackBerry デバイスのメモリが削除され、 上書きされます。 1. BlackBerry デバイスの NV ストアでデバイス攻撃中のフラグが設定されます。 BlackBerry デバイスのデータ消去が終了する前にユーザーがバッテリーを取り外すか、 またはバッ テリー残量がゼロになると、BlackBerry デバイスを再度起動した（バッテリーを戻した）際、デ バイス攻撃中のフラグがまだ存在するため、BlackBerry デバイスの消去処理が続行します。 2. マスター暗号化キーのコンテンツ保護がオンになっている場合は、BlackBerry デバイスは RAM 内にあるグランドマスターキーのコピーをゼロで上書きします。 BlackBerry デバイスで、 NV ストアから IT ポリシーの公開鍵を削除することで BlackBerry Enterprise Server とのバインドが削除されます。 これにより、 BlackBerry デバイスは、 新しい BlackBerry Domain にバインドできるようになります。 IT ポリシーの公開鍵は、保護された値でも非表示の値でもないため、メモリスクラビングの 対象とはなりません。 4. スマートカードを使用している場合は、BlackBerry デバイスで NV ストアからスマートカード のバインド情報が削除されます。これにより、BlackBerry デバイスは、新しいスマートカード にバインドできるようになります。バインド解除プロセス時に削除される情報のリストにつ いては、86 ページの「BlackBerry デバイスからのスマートカードのバインド解除」を参照して ください。 BlackBerry デバイスのワイヤレストランシーバがオフになります。 5. 6. BlackBerry デバイスで、 フラッシュメモリのパーシステントストア内のデータが削除されます。 これにはマスター暗号化キーへの参照が含まれます。 7. [. . . ] BlackBerry Enterprise Server は、. sdtid ファイルシードを BlackBerry Configuration Database に保存し ます。 BlackBerry Enterprise Server は、BlackBerry デバイスをアクティブにしている間に . sdtid ファイル シード（管理者が設定している場合、パスワードを含む）を BlackBerry デバイスにプッシュし ます。 以降、 管理者が BlackBerry デバイスの . sdtid ファイルシードを変更した場合も同様です。 BlackBerry デバイスは、RSA SecurID ライブラリに代わってシードを取得するために必要なすべ ての通信を安全に実行できる RIM 独自のプロトコルを使用します。 6. BlackBerry デバイスは . sdtid ファイルシードをインポートします。 管理者が RSA 認証マネージャにパスワードを設定して . sdtid ファイルシードを暗号化する場合、 BlackBerry デバイスはこのパスワードを使用して、 . sdtid ファイルシードを自動的に復号化します。 管理者が . sdtid ファイルシードを特定の BlackBerry デバイス PIN にバインドするように設定し た場合、この特定の BlackBerry デバイスのみが正常にシードをインポートできます。 7. BlackBerry デバイスは . sdtid ファイルシードをフラッシュメモリに保存します。 BlackBerry デバイスは . sdtid ファイルシードのコピーを BlackBerry デバイス上の RSA SecurID ライ ブラリにインポートします。 9. RSA SecurID ライブラリは毎分、 RSA 認証サーバーと認証を行い、 ソフトウェアトークンアルゴ リズムを開始します。 10. [. . . ]