「VPNは、IPsecよりSSLよりレイヤ2で」――米SafeNet（1/2 ページ）

「レイヤ2 VPNの需要は依然として高い」――。暗号化の高速処理技術を売りにする米SafeNetに、ネットワークセキュリティ戦略を聞いた。

[井上猛雄，ITmedia]

　米SafeNetは、通信／認証／暗号化処理／デジタル著作権管理など、包括的にセキュリティ製品を提供する企業。機密性の高い暗号化技術を応用した製品を、政府や商用向けに開発している。コマーシャル関連の製品開発とマーケティング戦略を統括するアンディ・ソルターべック氏（プロダクトマネージメント部バイスプレジデント）に、ネットワークセキュリティのソリューションに関する戦略について聞いた。

日本市場にマッチするレイヤ2暗号化

　SafeNetは、これまで暗号処理の高速化技術をベースにした数多くのソリューションを提供してきた。また、ハードディスクの暗号化ソフトウェア、2要素認証を提供するUSBトークンや暗号キー管理などの製品もラインアップに加え、暗号化セキュリティ市場を牽引している。

　同社はIPsec VPNソリューションを提供しているが、こちらは主に政府や官公庁向けとなる。一般企業向けには、シスコシステムズ、ウォッチガード、ソニックウォールといったベンダー製品に対してIPsec VPNの技術をライセンス供与したり、VPNゲートウェイを構築するツールキットなどを提供。その一方で、エンドユーザー向けの製品として、レイヤ2の暗号化ソリューションにも注力する。

米SafeNet プロダクトマネージメント部バイスプレジデントのアンディ・ソルターべック氏。コマーシャル関連の製品開発とマーケティング戦略を統括する

　ソルターべック氏は「5年ほど前には、われわれはIPsec VPNやSSL VPNソリューションが将来の主流になり、レイヤ2での暗号化通信は次第に縮小していくものと考えていた。しかし実際には、今もレイヤ2ソリューションの需要が依然として高いことが分かった」という。

　現在、通信経路の暗号化に広く用いられているIPsecは、セキュリティ面で優れた技術としてよく知られているが、オーバーヘッドやパフォーマンス劣化の問題もある。最近ではネットワーク上にVoIP（Voice over IP）などのショートパケットが多く流れるようになってきたが、パケットサイズが小さくなればなるほど、通信全体に占めるオーバーヘッドの割合も無視できなくなる。「IPsecによって暗号化することで、ネットワークで利用できる通信帯域が40％ほどに下がってしまう」とソルターべック氏は指摘する。

　また、ほとんどのIPsecソリューションでは暗号化の処理に時間がかかり、ネットワーク遅延（レイテンシ）も生じる。特にVoIP系や映像系のアプリケーションでは遅延による影響が顕著に表れる。さらにネットワークの高速化によって、IPsecゲートウェイのパフォーマンスが追いつかないという実情もある。運用面でも、IPsecソリューションは管理が難しく、クライアント側に専用ソフトウェアをインストールしなければならないなどの課題も残されている。

　そこでSafeNetでは、このような問題を解決するために、レイヤ2の暗号化ソリューションにも注力しているという。「特に日本市場はイーサネットの普及率が高いため、レイヤ2の暗号化ソリューションに対する需要がある」とソルターべック氏。

　同社は2006年にレイヤ2の暗号化ソリューション「SafeEnterprise Ethernet Encryptor」を発表した。レイヤ2でイーサネットフレームを暗号化するアプライアンス製品だ。レイヤ3のプロトコルに依存せずに、大手企業の拠点間通信などで採用されているメトロ／広域イーサネットのセキュリティを強化できる。

レイヤ2 VPNアプライアンス「SafeEnterprise Ethernet Encryptor」。100Mbps/1Gbps全二重ワイヤレートでのAES暗号化処理が可能で、レイテンシーも小さいという

　Ethernet Encryptorは、10Mbps/100Mbps/1Gbps対応の3モデルが用意されているが、全二重ワイヤレートでのAES暗号化処理が可能で、暗号化によるパフォーマンス劣化もなく、レイテンシが小さい点が特徴。製品の実装や管理も容易で、スケーラビリティにも優れている。例えば、大規模用途で複数のEthernet Encryptorを使う場合には、専用の管理ソフトウェア「Security Management Center」（SMC）によって効率的な管理が行える。SNMPベースの機器管理や監視のほか、セキュリティポリシーの定義も可能だ。

　「世界で最も大規模な10Gbpsのプライベートネットワークを構築している米国防総省ですでに1000機以上ものEncryptorが導入されており、それらをすべてSMCで一元管理している」（ソルターべック氏）