【ITニュース解説】Lessons in disabling RC4 in Active Directory (2021)

Active Directory（アクティブディレクトリ）は、Windowsベースのネットワーク環境において、ユーザーアカウントやコンピューター、プリンターなどのさまざまなリソースを一元的に管理するための重要なサービスである。企業ネットワークの基盤として広く利用されており、ユーザー認証やアクセス制御において中心的な役割を果たす。このActive Directory環境における認証の仕組みとして、主にKerberos（ケルベロス）認証プロトコルが採用されている。Kerberosは、ユーザーがネットワーク上のリソースに安全にアクセスできるよう、認証チケットを発行することで本人確認を行うプロトコルだ。

ネットワークセキュリティにおいて、認証情報の保護には強固な暗号化が不可欠である。しかし、時間の経過とともに、かつては安全とされた暗号化アルゴリズムも、新たな攻撃手法の発見や計算能力の向上によって、安全性が低下することがある。RC4（アールシーフォー）は、そのような暗号化アルゴリズムの一つであり、かつては広く利用されていたが、現在は多くのセキュリティ脆弱性が指摘されている。特に、Kerberos認証で利用されるRC4-HMACという形式は、パスワードのハッシュ値（元のパスワードから一方向の計算で生成されるデータ）を盗み出し、それを悪用する「Pass-the-Hash」攻撃や、パスワードを総当たりで推測する「ブルートフォース攻撃」などに対して脆弱であることが知られている。このため、MicrosoftはActive Directory環境におけるRC4の利用を非推奨とし、より強固な暗号化アルゴリズムであるAES（Advanced Encryption Standard、エーイーエス）への移行を強く推奨している。

RC4を無効化することは、ネットワーク全体のセキュリティレベルを向上させる上で非常に重要だが、その実施は常にスムーズに進むとは限らない。RC4の無効化を進める際には、既存システムとの互換性の問題が大きな課題となることが多い。具体的には、Active Directoryドメインに接続している古いオペレーティングシステム（例えばWindows Server 2003など）を搭載したサーバーや、RC4以外の暗号化方式をサポートしていない古いクライアントコンピューター、さらには特定のサードパーティ製ネットワークデバイスなどが影響を受ける可能性がある。これらのシステムは、RC4が無効化された新しい環境下ではKerberos認証に失敗し、結果としてネットワークリソースへのアクセスができなくなる恐れがあるのだ。

Kerberos認証がどのように影響を受けるかというと、ドメインコントローラー（Active Directoryの主要な役割を担うサーバー）が発行する認証チケットの暗号化方式が関係する。RC4を無効化すると、ドメインコントローラーはRC4を使って認証チケットを暗号化することを拒否し、代わりにAESなどのより安全な方式を使うよう要求する。もしクライアントやサービスがAESをサポートしていなければ、認証が成立せず、ログイン失敗やリソースへのアクセス拒否といった問題が発生することになる。

このような問題を事前に特定し、適切に解決するためには、慎重な計画と段階的なアプローチが必要だ。まず、RC4を無効化する前に、現在のネットワーク環境でどのシステムがRC4に依存しているかを把握することが重要となる。具体的には、ドメインコントローラーのイベントログを監視し、Kerberos認証に関連するエラーメッセージ（例えば、サポートされていない暗号化タイプに関するエラーなど）がないかを確認する。これにより、RC4の無効化によって影響を受ける可能性のあるシステムやサービスを事前に特定し、必要な対策を講じることができる。

RC4の無効化作業は、主にグループポリシー（Group Policy Object: GPO）を用いて行う。グループポリシーは、Active Directory環境において、ユーザーやコンピューターの設定を一括で管理するための強力なツールである。具体的には、「コンピューターの構成」→「ポリシー」→「Windows の設定」→「セキュリティの設定」→「ローカル ポリシー」→「セキュリティ オプション」の中にある「ネットワークセキュリティ：Kerberosが許可する暗号化種類の構成」という設定項目を変更する。この設定でRC4を選択肢から除外することで、ドメインコントローラーはRC4を使った認証チケットの発行を停止するようになる。

ただし、この設定はドメインコントローラーだけでなく、認証を受ける側のユーザーアカウントや、特定のサービスを実行するためのサービスアカウントにも影響を与える可能性がある。これらのアカウントのプロパティには、Kerberos認証で利用できる暗号化の種類を指定するオプションが存在することがあるため、設定がRC4に固定されていないか、あるいはAESなどのより安全な暗号化方式をサポートしているかを確認する必要がある。特に、古いシステム上で動作するサービスアカウントは注意深く確認すべき点だ。

RC4の無効化作業は、一度に全てのシステムに適用するのではなく、テスト環境での十分な検証を経て、影響の小さいグループから段階的に適用していくことが強く推奨される。これにより、もし予期せぬ問題が発生した場合でも、その影響範囲を最小限に抑え、迅速な復旧対応が可能となる。システムエンジニアにとって、セキュリティ強化は常に重要な課題だが、既存システムの安定運用とのバランスを考慮し、計画的に変更を進めるスキルが求められる。RC4の無効化は、単なる設定変更ではなく、企業ネットワーク全体のセキュリティ成熟度を高めるための重要なステップであり、互換性問題を克服しながら最新のセキュリティ基準に適応していくための良い学びの機会となるだろう。