「シン・テレワークシステム」をもっと安全に使う方法とは

前回紹介した「シン・テレワークシステム」は、手軽にリモートデスクトップ環境を構築して、自宅から会社のWindows PCの利用を実現する便利なツールですが、手軽すぎるだけに初期設定のまま使うとセキュリティ上の不安が残ります。会社によっては、社内のセキュリティポリシーに抵触する場合もあるでしょう。そこで今回は、シン・テレワークシステムをより安全に利用するために用意されている接続オプションの導入方法を紹介します。

NTT 東日本 - IPA 「シン・テレワークシステム」新型コロナウイルス対策用テレワークシステム緊急構築・無償開放・配布ページ

ワンタイムパスワード（二要素認証）を導入する

シン・テレワークシステムを使う上でぜひ導入しておきたいのがワンタイムパスワード（OTP）による接続認証です。ワンタイムパスワードは、クライアント（リモートのPC）からサーバPC（会社のPC）に接続する際に、認証サーバから送られてくる認証コードの入力が要求されるようになる仕組みです。

認証コードは毎回ランダムに生成され、あらかじめ指定されていたメールアドレス宛に送られてきます。したがって、認証コードを受け取ることができる人、すなわち指定のメールアドレスの持ち主以外は接続することができなくなります。

ワンタイムパスワードは、通常のパスワード認証と組み合わせて利用することで、「パスワードを知っていること」（知識要素）と「認証コードを受け取る端末を保持している」（所持要素）という2つの条件を満たす場合にのみ接続できるようになります。このような2つの要素を必要とする認証方式は、一般的に「二要素認証」と呼ばれ、近年ではセキュリティ向上のためにできる限り導入することが推奨されています。

シン・テレワークシステムでワンタイムパスワードを有効にするには、まずサーバ側のPCで設定アプリを起動して、[セキュリティ設定]ボタンを押してセキュリティ設定画面を開きます。

サーバ設定アプリから「セキュリティ設定」画面を開く

右上のほうにワンタイムパスワードに関する設定欄があるので、そこの[ワンタイムパスワード（OTP）機能の設定]ボタンをクリックします。

ワンタイムパスワードの設定画面を開く

下図のようにワンタイムパスワードに関する設定ダイアログが表示されたら、「ワンタイムパスワード（OTP）認証機能を有効にする」にチェックを入れた上で、認証コードを送信する先のメールアドレスを入力してください。

ワンタイムパスワード認証機能を有効にして、認証コードを送信先を指定する

このメールアドレスの持ち主だけがこのPCにリモート接続できることになるので、間違えないように注意しましょう。また、下部に記載されている「非常用OTP代替コード」は、何らかの理由で認証コードが受け取れなかった場合に緊急的に使えるコードになります。メモした上で、他人に知られないように注意して保管しておきましょう。

[OK]ボタンをクリックすればワンタイムパスワードの設定は完了です。

続いて、リモートのPCからシン・テレワークシステムのクライアントソフトを立ち上げてサーバ側PCに接続してみましょう。接続が開始されると、次のようにワンタイムパスワードの入力を求める画面が表示されます。

クライアントからの接続時に、メールで送られた認証コードの入力が求められる

そして、指定してあったメールアドレスに次のような文面のメールが届くはずです。このメールに書かれている6桁の番号が認証コードです。

認証コードが記載されたメールの例

正しい認証コードを入力すれば、通常通りにパスワード認証に進むことができます。

ワンタイムパスワードの認証に成功すれば、通常のパスワード認証に進める

ワンタイムパスワードは導入が簡単でありながら、得られるセキュリティ向上の効果が大きいので、ぜひ導入することをお勧めします。

セキュアなクライアントのみ接続できるようにする

ワンタイムパスワードと並んで、もう一つ導入しておきたい設定が「クライアント検疫」です。これは、クライアントのPCがセキュアに運用されていない場合は接続を拒否するという機能です。この場合のセキュアな運用とは、アンチウィルスソフトがインストールされてリアルタイム保護機能が有効になっていること、Windows Updateで最新のセキュリティパッチが適用されていることなどを指しています。

クライアント検疫を有効にするには、セキュリティ設定画面の「クライアント端末のセキュリティチェック機能」の欄にある「クライアント検疫の実施」の項目にチェックを入れます。[OK]ボタンを押せば設定が反映されます。

「クライアント検疫」機能を有効にする

試しにクライアントPCのアンチウィルスソフトを無効にした状態で接続してみたところ、次のようなメッセージが表示されて接続が拒否されてしまいました。

セキュアでないPCからの接続は拒否される

セキュアに運用されていないPCからのリモート接続は、サーバ側のPCをも危険にさらすことになります。そのようなリスクを回避するために、できる限りこの設定を有効にしておくことが推奨されます。

許可されたPCだけが接続できるようにする

より安全にリモートデスクトップを運用したい場合は、あらかじめ許可されたPCだけが接続できるように制限をかけてしまいましょう。それには「MACアドレス認証」を利用します。MACアドレスというのは、PCなどに付属しているネットワーク機器に設定されている固有のIDです。世界中で同じIDにならないように、工場から出荷される段階で付与されるため、仕様上は、MACアドレスが分かれば必ず一つの端末を特定できる仕組みになっています。

シン・テレワークシステムでは、サーバ側の設定で、接続できるクライアントPCのMACアドレスを指定しておくことができます。接続要求があった場合、クライアントPCのMACアドレスを調べて、接続許可されたMACアドレスと一致するかどうかを検証します。

MACアドレス認証を利用するには、まず接続に利用するクライアントPCのMACアドレスを知っておく必要があります。WindowsでMACアドレスを調べるには、まずコントロールパネルで[すべてのコンロトールパネル項目]-[ネットワーク接続]と選択して、下図のようにネットワークアダプタの一覧を表示します。

コントロールパネルでネットワーク接続の設定画面を開く

この中から普段インターネット接続に使用しているネットワークを選んでダブルクリックすると、次のようにネットワーク接続の状態が表示されます。

使用しているネットワークの状態を表示する

ここで[詳細]ボタンをクリックすると、次のようにIPなどの詳細情報が表示されます。この中の、「物理アドレス」と書かれた12桁の文字列がMACアドレスです。2文字ずつハイフン（-）やコロン（:）で分けて表示されていることが多いです。

詳細情報にある「物理アドレス」の項目がMACアドレス

クライアントPCのMACアドレスが分かったら、サーバ側の設定を行いましょう。MACアドレス認証を有効にするには、セキュリティ設定画面の「クライアント端末のセキュリティチェック機能」の欄にある「クライアントMACアドレス認証」の項目にチェックを入れ、隣にある[接続許可MACアドレスの登録]ボタンをクリックします。