Cloudflare は最近、従来のSSHキーを短命の証明書に置き換える機能であるAccess for Infrastructure SSHを発表した。この新オプションは、BastionZeroのCloudflare Oneへの統合を活用し、長期的なSSHキーを一時的なエフェメラル証明書に置き換えることでセキュリティを強化しつつ、SSHキーの管理の複雑さを軽減する。
従来、ユーザーはSSHキーペアを生成し、公開鍵をサーバーに展開することでアクセスを得ていた。Access for Infrastructureでは、従来のSSHキーは、Accessのログインを通じて生成されたトークンに基づいてエンドユーザーに発行される短命の証明書に置き換えられる。
Cloudflareによると、この新しいアプローチの主な利点は、組織が他のアプリケーションと同様にSSHアクセスを管理し、強力な多要素認証（MFA）、デバイスコンテキスト、ポリシーベースのアクセス制御を実施できるようになったことだという。これにより、企業はセキュリティ・サービス・エッジ（SSE）またはセキュア・アクセス・サービス・エッジ（SASE）アーキテクチャ内で、インフラアクセスポリシーを統合できる。
Cloudflareのプロダクトディレクターであり、CloudflareのBastionZeroの元CEOであるSharon Goldberg氏、CloudflareのシニアプロダクトマネージャーであるAnn Ming Samborski氏、CloudflareのシニアシステムエンジニアであるSebby Lipman氏は、次のように 述べている。
現代の企業は、数十、数百、あるいは数千のSSHターゲットを持つことができます。SSH経由でアクセス可能なサーバーは、クリプトジャッキングやプロキシジャッキング攻撃の標的になる可能性があります。アクセスを許可するSSH認証情報を手動で追跡し、ローテーションし、検証することは、しばしば放置されがちな作業であり、長期間有効な認証情報が侵害されるリスクが生じます。
/filters:no_upscale()/news/2024/11/cloudflare-ssh/en/resources/1BLOG-2604_2-1730142053061.jpg)
出典：Cloudflareブログ
Goldberg氏、Ming Samborski氏、Lipman氏は、ロギングの重要性を強調している。
Zero Trustの原則は、誰がSSHを使ってサーバにアクセスしているのか、そしてアクセスした後にサーバ上でどのようなコマンドを実行しているのかを追跡することを組織に要求しています。
Hacker Newsの人気スレッドでは、多くの開発者がゼロトラストのSSHアクセスを提供するためにSSHプロキシインフラストラクチャを使用するCloudflareのアプローチに懐疑的な意見を述べている。ユーザーのedelbitterはこう質問している。
タイトルに「Zero Trust」とありますが、CloudflareのMitMキーロガーとそのCAのすべてのコンポーネントが信頼できる場合にのみ機能すると説明されています。プロキシがどのようなキーを持つか事前にわからないため、ホスト鍵が無価値だとしたら...このスキームは、単にCloudflareのアドレス空間内にあるという理由だけでサーバを信頼することに逆戻りではないでしょうか？
Thomas Ptacek氏が補足する。
私はSSH証明書のファンであり、なぜ外部の第三者CAを使って証明書認証を設定するのか理解できません（......）外部CAは取引先紹介の問題を解決するために存在しますが、これはSSHサーバにはない問題です。
Teleport社やSmallstep社のような他社は、IDベースのシークレットレスSSHソリューションを提供しているが、Cloudflareは、BastionZeroの買収によって実現した、統合ソリューションを提供する最初のクラウドプロバイダーです。Urban Dynamics社の創設者兼CEOであるFerris Ellis氏は次のようにコメントしています。
「誰かがこのマシンに最後にログインしたのはいつなのか」「悪質な行為者を見つけたが、この24時間に何をしたのか」を知りたい場合、簡単に知ることができます！これは、信頼性とセキュリティオペレーションにとって大きな勝利です。
Access for Infrastructureは、現在50ユーザー未満のチームには無料で提供されており、AccessまたはZero Trustのサブスクリプションを契約している既存の従量課金制および契約プランの顧客も利用できる。