リモートデスクトップの仕組み（343号)

テレワークが広がることで、シンクライアントやリモートデスクトップという仕組みを利用する機会が増えています。

今回はシンクライアントとリモートデスクトップについて、仕組みと安全性のお話します。

テレワークを支える技術

2020年からのコロナ禍によって、働き方が大きく変わりました。

それまでは事務所に出社して作業を行うスタイルが当然だったのが、自宅で作業をするスタイルが一気に市民権を得ました。

それまでもテレワークや在宅勤務があるものの、多くの組織では事情のある方（介護や子育て）向けの制度に過ぎませんでした。

ところが、コロナ禍で通勤による羅患リスクが高まりますと、出社しなくても作業が進められる業種では、テレワークへの切り換えが急速に進みました。

ですが、ほとんどの業種では業務を進めるために組織内に保管している秘密情報にアクセスする必要があります。だからといって、インターネットからのアクセスを無条件に許すわけにはいきません。
組織メンバでもない人が勝手に社内情報にアクセスされては困ります。

外部からの不正アクセスを防ぐためには、VPN（Virtual Private Network）という仕組みがよく利用されます。

VPNにについては、以前にも解説していますのでご覧ください。
　No155 在宅勤務を支えるVPNをご存知ですか？（2020年4月配信）
　https://note.com/egao_it/n/nd36db106749b

とはいえ、このバックナンバーはコロナ禍が始まって間もない2020年4月の配信でした。
ほぼ4年前ですので、そろそろ書き直しをすべき時期ですね。

さて、このVPNと同様にリモートワークを支えている重要な技術があります。
それがシンクライアントとリモートデスクトップです。

シンクライアント

シンクライアントの「シン」はThin（薄い）のことです。
クライアントというのは、一般的にはお客さんのことですが、ここでは利用者用のコンピュータを指します。
通常は端末と言えばパソコン（PC）ですが、Chromebook（クロムブック。Googleが開発したChromeブラウザだけが入った特殊なパソコン）なども含みます。

ここでの「シン」は薄っぺらいノートPC...ではありません。
シンクライアントはノートPCのような使い方はできず、基本的には内部にデータ保管できない構造にしています。「薄い」のは容量が少なく保管できないことを指すのですね。

保管できないようにしているのは、それが情報漏洩に強いからです。

というのは、データが保管できなければ、シンクライアントの中には機密情報も保管できません。ということは、シンクライアントを紛失しても秘密情報が含まれませんから情報漏洩にあたりません。

つまり、シンクライアントは情報漏洩のない安全なコンピュータと言えます。

ですが、社内の秘密情報を使えないのであれば、ほとんどの仕事はできません。

一体どんな方法を使って秘密情報を保管せずに業務を進められるというのでしょうか？

その答えの一つがリモートデスクトップという技術です。

リモートデスクトップ

リモートデスクトップというのは、リモートでコンピュータを操作する機能のことで、利用者がつなぎたいコンピュータを指定して、その画面を手元に表示させるための仕組みです。

リモートデスクトップを使う場合には、必ず二台のパソコン（PC）が登場します。
一つは、操作したいコンピュータで組織の中（事務所など外部の人が入れない場所）にあるPCを示し、もう一つは、手元でリモートデスクトップを使って画面を表示させたいPCです。

ここでは、組織内で動いているPCをPC-1、手元のPCをPC-2と呼ぶことにします。
この2つのPCの間は、リモートデスクトップの仕組みを使って通信が行われます。（実際の通信はコンピュータ間で勝手にやりとして画面を更新してくれます）
さらに、Excelで見積り書を作成しているものとしましょう。

この場合、実際に見積り表のデータがあるのも、Excelが動いているのもPC-1です。
PC-2では、Excelは動いておらず、PC-1でのExcel画面を表示しているだけです。

少々過激な例えですが、PC-1は戦場、PC-2が司令官というのに近いかもしれません。
戦場での状況は刻々と司令官に伝えられます。
その状況を元に、司令官は次に行うべき作戦を戦場に伝えます。
戦場では指示通りに作戦を実行し、その結果を改めて司令官に伝えます。

PC-1とPC-2のやりともこれと同様です。
PC-2でのマウス移動やキー入力は司令官の命令よろしくPC-1に通信で伝えられ、その実行結果もまた通信でPC-2に伝えらます。
PC-2に伝えられた結果は、画面という形で反映されます。

PC-1は戦場、PC-2は司令官の役、というわけですね。

リモートデスクトップが安全な理由

最初に述べたシンクライアントはリモートデスクトップとの相性が非常に良いのです。

上の例で言えば、会社に置いてあるノートパソコン（またはデスクトップパソコン）がPC-1の役割、手元にあるシンクライアントがPC-2の役割になります。

この場合、PC-2は、テレビと同様に来た画像を写すだけでＯＫです。PC-2の中にはExcelのデータもExcelのプログラムも必要ありません。

だから、シンクライアントのようにデータが保管できないパソコン（PC）でも業務が進められるわけです。

また、シンクライアントをシャットダウンしたり、スリープ状態にすると、次回接続時には改めてログインパスワードが求められます。
ですので、仮にPC-2を盗まれたとしても、そのPC内には重要な情報は保管されておらず、リモートデスクトップを利用しようと思っても、パスワードが必要になるから大丈夫、となるわけです。

リモートデスクトップの安全性

上述の通り、シンクライアントには内部にデータが保管できないので、安全と言えます。

では、リモートデスクトップを動かしているマシン（上述のPC-1)を公開しても大丈夫でしょうか？
リモートデスクトップで組織内のパソコン（PC）に接続して、画面を表示させるにはIDとパスワードによるログインが必要です。

確かにID/パスワードで保護されているわけですから安全そうですが、リモートデスクトップできるPCをインターネット上で公開することは全くオススメできません。

PCはリモートデスクトップ以外にも様々な通信方式（プロトコル）が扱えます。
通常、ネットワーク構築時に、組織外から組織内に不正に入られないように、使えるプロトコルを強く制限し、これによって安全性を確保します。

ですが、リモートデスクトップできるPCをインターネット上に置いてしまう（誰でもアクセスできる場所に置く）と、そういった制限がない状態となります
悪意のあるアクセスは公表しなくてもやってきますから、このような状態にPCを置くことは非常に危険です。

では、どうすればいいのか？
通常はリモートデスクトップを使う場合、VPNを用います。

VPNで最初の関所を設け、次にリモートデスクトップのID/パスワードでガードするという二重の関所を設けるのです。
こうして、最初のVPNで安全性が確保する方式が一般的です。

なお、VPNについては、最初に書いたバックナンバーをご参照ください。

まとめ

安全なテレワークが行える仕組みとして、シンクライアントやリモートデスクトップという仕組みがあります。

シンクライアントは、内部にデータが保管できないように作られた特殊なパソコンで、データが保管できないことによって秘密漏洩を防ぐことができる安全なコンピュータと言えます。

そのシンクライアントではリモートデスクトップという仕組みがよく利用されます。
リモートデスクトップ自体はシンクライアント専用というわけではなく、普通のパソコンでも問題なく使えます。

これは、組織内に置いてあるパソコンを安全に外部からアクセスする方法として利用されます。
リモートデスクトップでは、手元のパソコンは戦場の司令官のように組織内のパソコンにマウスのクリックやキー入力といった指令を送ります。
組識内のコンピュータはリモートデスクトップの指令に従って実際の処理を行います。

これによって、マジックハンドのように遠隔で組織内のパソコンを安全に制御できるわけです。

今回は、シンクライアントとリモートデスクトップについてお話しました。

次回もお楽しみに。

（本稿は 2024年1月に作成しました）

このNoteは筆者が主宰するメルマガ「がんばりすぎないセキュリティ」からの転載です。
誰もが気になるセキュリティに関連するトピックを毎週月曜日の早朝に配信しています。
無料ですので、是非ご登録ください。
h行ttps://www.mag2.com/m/0001678731.html
また、公式サイトでも最新版を公開していますので、そちらもどうぞ。

https://www.egao-it.com/