オープンソースの Secure Service Edge · ZTNA
内側という場所を、つくらない。
ランサムウェアが成功するのは、侵入した瞬間ではありません。数時間後のこともあれば、 数か月ひそんだ後のこともあります。最初の1台から本当に重要な機械へ横に広がる、 そこで成功します。Lantern DSSE は、この移動を難しくします。
復号点を手元に置ける
TLS を終端するのは、自社で用意したハードウェアです。置く国も自分で選べます。 経路に大手クラウド事業者は入りません。開発元も入りません。
復号するコードが読める
傍受、ポリシー評価、デフォルト拒否、端末の受け入れ。Apache-2.0 で公開しています。 ふつうなら信じるしかない部分です。
同じ LAN の通信も通る
隣に置かれた機械へ向かう通信も Edge を経由します。横展開が実際に使う経路であり、 多くの製品が手をつけない経路でもあります。
何をするのか
管理端末から出る通信は、すべてポリシーで判定し、記録します。ポリシーが求めるものについては、 使う地点でもう一度認証します。侵害されたノート PC の背後に、平らなネットワークは広がっていません。 攻撃者の次の一手は、そのまま通る接続ではなく、拒否されて記録に残るリクエストになります。
侵害を止められるとは言いません。効くのは侵害の一段階、 横展開（lateral movement）です。1台の事故が全社の事故に変わるのは この段階なので、ここを重くする意味があります。
同じ段階、同じ答えが AI エージェントにも当てはまります。 エージェントは何かを読んだうえで次の行動を決めるので、その次のリクエストは、 読ませた側の手の届く場所にあります。
製品の分類でいえば Secure Service Edge です。ゼロトラストネットワークアクセス（ZTNA）、 セキュア Web ゲートウェイ、DNS 制御。これらを、他社のクラウドにあるベンダの復号点ではなく、 運用者自身が動かす Edge で実行します。
OOB認証
侵入された、その次の接続に、本人認証を。
エージェント内蔵のOOB認証で、重要な接続にステップアップ認証を要求します。認証が完了すると、保留していた接続がそのまま進みます。
通信を復号するコードは公開されています
Secure Service Edge は、組織の暗号化が設計上わざと解かれる唯一の場所です。そして今日、 その地点の多くは国外の SaaS として運用されています。つまり自社の復号点が、他人のクラウドの中、 他人の管轄の下に置かれている状態です。
Lantern DSSE では、その強制経路を Apache-2.0 で公開しています。TLS 傍受、ポリシー評価、 デフォルト拒否、DNS 制御、mTLS デバイス識別、East-West 認可。クライアントライブラリや連携部品ではなく、 ふつうなら信じるしかない部分そのものです。
信用しなくてかまいません。バイトに触れるコードを読んでください。 リポジトリは github.com/lantern-networks/dsse-core です。 主張の確かめ方はこちら。
復号点を、自分のものにできます
Edge は通信が復号される場所です。比喩ではありません。そこで TLS が終端され、 平文になります。検査もポリシー適用も、それなしには成立しないからです。SSE をめぐる他の問いは、 ほぼすべてこの点がどこに在り、誰が運用しているかの下流にあります。
置き場所は、自社が所有するハードウェアの上でも、自社が管理するラックの中でも、 自分で選んだ管轄の中でもかまいません。経路に大手クラウド事業者は入らず、開発元も入りません。 認証局はインストール時に手元の機械で生成します。ベンダーから受け取るものではありません。 ライセンスサーバもないので、こちらに到達できない配備もそのまま動き続けます。そうでなければ、 主権は性質ではなく言葉になってしまいます。 データ所在についてはこちら。
パブリッククラウドで動かしてもかまいません。多くの事業者はそうするでしょうし、否定するつもりもありません。 要点は、それを自分で決められることです。ほかに置き場所がないために、 製品の側が先に決めてしまっている状態とは違います。
いまどこにいるのか
Experimental
このリリースは experimental（実験的）です。production ready ではありません。 インターフェースも既定値もまだ変わりますし、書いた本人以外の手で長く動かされた実績もありません。 失って困る端末群の前ではなく、ラボで動かしてください。評価の途中で気づかれるより、 先に言っておきたい。