セキュリティ証明書の参照

ユーザーが指定した外部サービスにAIアシスタントを接続するには、以下の方法で「Trust uploaded certificates and any certificates signed by a trusted authority」または「Trust uploaded certificates使用します：

セキュリティ証明書オプションの選択方法

以下の例では、3つの可能なセキュリティ証明書オプションについて説明します。これにより、以下の接続詳細で、AIアシスタントのセキュリティと利便性の最適なバランスを実現することができます。

次のようなコネクションを持つAIアシスタントを考えてみよう：

  • 3つの会話スキルがあり、それぞれが異なる安全なサービスを指している。 この3つのサービスはすべて、同じ民間機関によって署名されている。
  • 2つのカスタムエクステンションがあり、それぞれが、同じ公に信頼されたオーソリティによって署名された証明書を持つセキュアなサービスを指す。
  • 自己署名証明書でElasticsearchインスタンスに接続する検索統合（IBM Cloud のElasticsearchインスタンスに典型的なもの）。
  • 1つのログウェブフックが、安全ではないサービス（ https:// ではなく、 http:// で始まる URL ）を指している。

安全でないサービスを指すことは推奨されず、AIアシスタントはそのようなサービスの身元を確認することはできない。

方法 1

  • を含むPEMファイルを作成する：
    • 会話スキルを実装する3つのセキュアサービスの証明書に署名したプライベート・オーソリティの証明書。
    • Elasticsearchインスタンスの自己署名証明書。
  • Trust uploaded certificates and any certificates signed by a trusted authorityを選択します。

解析

  • より便利なオプション。
  • この2つのカスタム・エクステンションが指し示すサービスは、一般に信頼されているオーソリティによって署名された証明書を持っているため、機能させるために追加の努力は必要ない。
  • 3つの会話スキルはすべて同じオーソリティによって署名され、そのオーソリティの証明書がPEMファイルに含まれているため、必要な証明書は1つだけである。
  • PEMファイルを更新することなく、同じオーソリティによって署名された証明書を持つサービスへの接続を追加できる。

方法 2

  • を含むPEMファイルを作成する：
    • 会話スキルを実装する3つのセキュアサービスの証明書に署名したプライベート・オーソリティの証明書。
    • カスタム拡張を実装する2つのセキュアサービスの証明書に署名した、公に信頼された機関の証明書。
  • Elasticsearchインスタンスの自己署名証明書。
  • Trust uploaded certificatesを選択します。

解析

  • PEMファイルは、カスタム拡張子の権威証明書のための追加エントリを必要とするため、あまり便利ではありません。
  • 将来、公に信頼された機関によって署名された他のサービスが追加された場合は、PEMファイルを更新する必要があります。
  • すべての公に信頼された権威が安全であることに依存するのではなく、示された1つの公に信頼された権威が安全であることにのみ依存するため、わずかに安全である。
  • 一般に信頼されているオーソリティはどれも極めて安全であるため、セキュリティ上のわずかなアドバンテージはほとんどのユーザーにとって重要ではない。

方法 3

  • を含むPEMファイルを作成する：
    • AIアシスタントが接続する6つのセキュアなサービス（会話スキル用3つ、カスタム拡張機能用2つ、Elasticsearch用1つ）用の6つの証明書だ。
    • Elasticsearchインスタンスの自己署名証明書。
  • Trust uploaded certificatesを選択します。

解析

  • PEMファイルに多くの証明書を必要とするため、あまり便利ではない。
  • サービスコールを追加するには、PEMファイルの更新が必要です。
  • 公的または私的な認証機関が安全であることを前提としないため、やや安全である。
  • 公開認証局は極めて安全であり、プライベート認証局はユーザーによって管理されるため、安全である。
  • このオプションは、可能な限り最大の安全性を求める人のために用意されている。

ログウェブフックは安全でないサーバーを指しており、ログウェブフックへの呼び出しは機能し続けるため、AIアシスタントは上記のどの方法でもログウェブフックサービスを検証しません。 しかし、同サービスとの間で送受信されるメッセージは暗号化されていないため、偽者攻撃に弱い。

脆弱性に対処する最善の方法

  • httpsを実装することで、サービスをより安全にする。
  • httpsエンドポイントを呼び出すようにAIアシスタントをアップデートしてください。
  • 必要に応じて、AIアシスタントのPEMファイルを更新してください。