高集積マルチテナントWebサーバの大規模証明書管理

• Item type: SIG Technical Reports(1)
• 公開日: 2017-05-18
• タイトル: 高集積マルチテナントWebサーバの大規模証明書管理
• タイトル / 言語: en
• タイトル: Large-scale Certificate Management on Highly-integrated Multi-tenant Web Servers
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: システム構築，プライバシー保護技術
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: GMOペパボ株式会社ペパボ研究所
• 著者所属: GMOペパボ株式会社ペパボ研究所
• 著者所属: GMOペパボ株式会社ペパボ研究所／力武健次技術士事務所
• 著者所属: GMOペパボ株式会社ペパボ研究所
• 著者所属(英): en
• 著者所属(英): Pepabo Research and Development Institute, GMO Pepabo, Inc.
• 著者所属(英): en
• 著者所属(英): Pepabo Research and Development Institute, GMO Pepabo, Inc.
• 著者所属(英): en
• 著者所属(英): Pepabo Research and Development Institute, GMO Pepabo, Inc. / Kenji Rikitake Professional Engineer's Office
• 著者所属(英): en
• 著者所属(英): Pepabo Research and Development Institute, GMO Pepabo, Inc.
• 著者名: 松本, 亮介; 三宅, 悠介; 力武, 健次; 栗林, 健太郎
• 著者名(英): Ryosuke, Matsumoto; Yusuke, Miyake; Kenji, Rikitake; Kentaro, Kuribayashi
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: インターネットの利用に際して，ユーザーや企業においてセキュリティ意識が高まっている．また，HTTP のパフォーマンス上の問題を解消するために，HTTP/2 が RFC として採択された．それらを背景に，常時 HTTPS 化が進む中で，高集積マルチテナント方式の Web サーバで管理している大量のホストも HTTPS 化を進めていく必要がある．同方式は単一のサーバプロセスで複数のホストを管理する必要があるが，Web サーバの標準的な設定を用いて事前にホスト数に依存した数の証明書を読み込んでおく方法では，必要なメモリ使用量が増大することで，サーバプロセスの起動時や，CGI のようなプロセスの複製時に OS のページテーブルのエントリ数に依存するシステムコールの性能が著しく低下する．そこで，Server Name Indication (SNI) を利用可能である条件下において，事前にサーバプロセスに証明書を読み込んでおくことなく，SSL / TLS ハンドシェイク時にホスト名から動的にホストに紐づく証明書を読み込み，メモリ使用量を低減させる手法を提案する．実装には，我々が開発した，mruby を用いて高速かつ少ないメモリ使用量で Web サーバの機能を拡張するモジュール ngx mruby を採用して，動的にサーバ証明書を選択する機能を実装した．また，サーバ証明書データは，Redis によるキャッシュサーバによって管理し，本手法の有効性を評価した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Introducing HTTPS to a large number of the hosts supervised under highly-integrated multi-tenant Web servers is critical to meet the security demand of the individual and corporate users, and to comply with the HTTP/2, an RFC to solve the HTTPS performance issues. Preloading the massive number of certificates for managing a large number of hosts under the single server process results in increasing the required memory usage due to the respective page table entry manipulation, which may largely degrade the performance of system calls during the creation of the server process and process replication required for CGI invocation. To solve this issue, we propose a method to dynamically load the certificates bound to the hostnames found during the SSL/TLS handshake sequences without preloading, provided the Server Name Indication (SNI) extension is available. We implement the function of choosing the respective certificates with ngx mruby module, which we developed to extend Web server functions using mruby with small memory footprint while maintaining the execution speed. We also evaluate the feasibility of our proposal with a cache server of the server certificate data running on Redis.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA12326962
• 書誌情報: 研究報告インターネットと運用技術（IOT）; 巻 2017-IOT-37, 号 1, p. 1-8, 発行日 2017-05-18
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8787
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会