詳細を見る

暗号鍵管理について

暗号鍵は暗号技術の根幹をなす概念です。もしそれらが十分に保護されていなければ、機密データのリソースが不正アクセスや暴露にさらされる危険性があります。

暗号鍵管理とは何か、なぜ重要なのか、暗号エコシステムを今すぐ改善する方法など、暗号鍵管理について知っておくべきことをすべて学ぶには、この先をお読みください。

暗号化鍵管理とは何ですか？

暗号鍵管理とは、暗号鍵を生成、配布、保管、整理、保護するための方針と手順を指します。

要するに、暗号鍵とは、データ文字列です。この文字列には、特定の順序でランダムな文字が含まれています。それぞれが暗号アルゴリズムと対になっており、認証のためのデジタル署名の生成など、特定の目的を果たす数式です。しかし、ほとんどの鍵は暗号化に使われます。

暗号化とは

暗号化とは、平文を暗号文に変換することで、機密データを保護し、読み取り不能にする暗号操作です。暗号化されたデータは、情報にアクセスしようとするエンティティが暗号文を解読するのに必要な暗号鍵を持っている場合にのみ、再び読み取り可能になります。この逆プロセスが復号化と呼ばれるものです。

暗号化において、暗号鍵には大きく分けて2種類あります：対称暗号鍵と非対称暗号鍵です。

対称暗号化では、データの暗号化と復号化に同じマスター鍵が使用されます。両者は同じ対称鍵を共有します。つまり、それを秘密に保つ責任があります。非対称暗号よりも高速ですが、マスター鍵を手に入れれば誰でも情報にアクセスできるため、安全性はかなり劣ります。
Asymmetric key encryption, also known as public key encryption, uses a system called “public key infrastructure” (PKI), which involves two mathematically linked encryption keys. The public key encrypts data and can be freely distributed, while the private key must be kept secret. It’s a longer process but offers much stronger data protection, as you need both to decrypt the message.

詳細については、暗号化に関する包括的なガイドをご覧ください。

シークレット管理とは

シークレット管理とは、デジタル認証クレデンシャル（別称「シークレット」）を安全に保管、アクセス、管理する規律です。

この名称は、コンピュータ、データベース、クラウドアプリケーションなどの重要なITリソースへのアクセスを許可または保護するために、組織が機密を保持しなければならない機密情報の種類を指しています。暗号化鍵に加え、シークレットには次のようなものがあります：

パスワード
アプリケーションプログラミングインターフェイス（API）鍵
セキュアシェル（SSH）鍵
OAuthトークン
プライベート証明書

それは暗号鍵管理とどう違いますかシークレット管理は、より広範な情報を包含する、より広範な慣行であると考えてください。どちらもデータセキュリティにとって重要であり、ある程度重複していますが、鍵管理は特に、暗号鍵をそのライフサイクルを通じて保護することに重点を置いています。

鍵管理が重要な理由

暗号化は、企業のデータセキュリティにとって不可欠な資産です。機密データを隠蔽し、スクランブル化することで、法的・規制上の問題はもちろん、経済的・評判的なダメージからも組織を守ることができます。ただし、暗号化の有効性は、関連する鍵がどの程度保護されているかによります。

玄関の鍵の暗号化を考えてください。それはあなたの大切な財産を守るために作られたものですが、それができるのは、あなたが鍵を適切に保護している場合だけです。例えば、ドアマットの下に鍵を置いたままにすれば、ロックによる保護は無効になります。

ボトムライン：暗号鍵を保護しなければ、データを暗号化する意味がありません。鍵管理は、プロセス全体を支えているものであり、企業にとって絶対に必要なものです。

暗号化鍵管理の課題

残念なことに、多くの組織は暗号鍵を管理するのに苦労しています。ハッカーがこれらを入手し、ひいては機密情報システムにアクセスすることも珍しくありません。

例えば、2023年7月、中国に支援されたサイバー犯罪グループがMicrosoftから暗号鍵を盗みました。これにより、彼らは、米国政府機関を含む25の組織のアウトルック電子メールシステムにアクセスできるようになりました。同社は後に、情報漏洩につながった一連の過失を公表しました。

実際、鍵管理はいくつかの理由から複雑な作業です：

手作業によるプロセスはミスを起こしやすく、壊滅的な結果を招きかねません。
鍵管理システムの制御を取得できる攻撃者は、内部者となる資格情報を発行する可能性があり、検出されないシステムにアクセスする特権を持っている可能性があります。
鍵管理プロセスが危険にさらされると、資格情報を再発行する必要が生じ、特に手作業においては、これは費用と時間のかかるプロセスになる可能性があります。
資格情報の検証率は大きく変動する可能性があり、鍵管理システムのパフォーマンス特性を容易に上回り、ビジネスの継続性を危うくする可能性があります。
セキュリティと信頼モデルに関するビジネスアプリケーション所有者の期待は高まっており、コンプライアンスの主張を危険にさらす可能性のある弱いリンクとして資格情報管理を公開する可能性があります。

鍵管理はどのように機能しますか

効果的な鍵管理には、主に2つの要素が含まれます：

ライフサイクル管理：暗号鍵の作成、維持、保護、削除。
アクセス管理：認証され許可されたユーザまたはマシンのみが、データの暗号化または復号化に鍵を使用できるようにする。

ライフサイクル管理

鍵にはライフサイクルがあります。鍵は生成され、目的を果たす間維持され、やがて破棄されます。簡単なように見えますが、実際にはもう少し微妙なプロセスがあります。

暗号鍵のライフサイクルの正確な順序は、状況によって変わる可能性があります。場合によっては、段階を完全にスキップすることもあります。とはいえ、基本的な進行はこうです：

鍵の生成：まず、キージェネレーター（keygen）が、暗号化アルゴリズムを使って新しい鍵を生成します。鍵の生成で最も重要なのは、真にランダム化された数字を確実に使用することです。そうでなければ、ハッカーが簡単にクラックできてしまいます。
鍵の登録：鍵が有用になる前に、ユーザ、システム、アプリケーション、またはポリシーに登録されなければなりません。これにより、意図された目的や所有者と関連付けられます。
鍵の保管：次に、安全かつ簡単にアクセスできるように鍵を保管しなければなりません。保護するデータから離れた場所に保管するのが理想的です。セキュリティ強化のため、運用鍵は暗号化された環境で保管するのがベストです。
鍵の配信：鍵が使用可能になったら、安全に転送しなければなりません。鍵管理システムはこのプロセスを容易にし、権限を与えられたエンティティだけが鍵にアクセスできるようにします。
鍵の使用：鍵がアクティブに作動している間、その用途を1つに限定するのがベストです。 2つの異なる暗号処理に同じ鍵を使用すると、セキュリティが弱まる可能性があります。鍵管理ソフトウェアは、組織が鍵の使用状況をモニタリングし、鍵が適切に使用されていることを確認するのに役立ちます。
鍵のローテーション：定期的な鍵の更新は、セキュリティの維持に不可欠です。鍵のローテーションとは、漏洩のリスクを最小化するために、古い鍵を新しい鍵に置き換えることです。
鍵の失効：サイクルが終了した時点で、不要になった鍵や漏洩した鍵は無効化し、速やかに削除すべきです。これにより、機密データへの不正アクセスを防止し、古くなった鍵が悪用されるリスクを排除することができます。

アクセス管理

組織が暗号鍵をモニタリングし、どのユーザやマシンが暗号鍵にアクセスできるかを監視することは、しばしば困難になります。パーミッションが甘すぎたり、鍵が危険にさらされたりすると、状況を特定するのがさらに難しくなることもあります。

そこで登場するのが、集中管理型の鍵管理ソフトウェアです。暗号鍵を包括的に管理することで、アクセスコントロールポリシーをより詳細なレベルで管理することができます。さらに、潜在的なインシデントを特定し、手遅れになる前に鍵を失効させることができます。

ハードウェアセキュリティモジュールとは

ハードウェアセキュリティモジュール（HSM）は、暗号鍵を安全に生成、保存、管理する物理デバイスです。 HSMは耐タンパ性の保護を提供し、鍵を保管する最も安全な方法と考えられています。これにより、企業は次のことが可能になります：

組織の秘密の資格情報を暗号化する鍵を保護する、堅牢な信頼の基点を確立する。
慎重に設計された暗号化境界内でトークン署名鍵を保護し、権限のあるエンティティのみが鍵を使用できるようにするために、職務の分離を強制する堅牢なアクセス制御メカニズムを採用する。
高度な鍵管理、ストレージ、および冗長性機能を使用して、可用性を確保する。
さまざまなデバイスや場所からリソースにアクセスするためのますます厳しくなる企業の要件をサポートするために、高性能を提供する。

Bring Your Own Key（BYOK）とは

独自の鍵の持ち込み（BYOK）を使用すると、企業は、耐タンパ性のハードウェアセキュリティモジュールで強力な鍵を生成し、それらをクラウドに安全にエクスポートすることにより、データ保護を強化し、暗号化鍵の制御と管理を維持できます。

BYOKは、クラウドコンピューティングの時代に不可欠な手法として登場しました。組織がアプリケーション、ワークロード、およびデータをクラウドに移行するにつれて、これらのリソースを保護する鍵をどのように管理するかという問題が、多くの議論を呼んできました。

一部の企業は、クラウドサービスプロバイダー（CSP）が暗号化鍵を生成および管理できるようにすることに満足していますが、他の組織は、それがセキュリティポリシーと矛盾していると感じる場合があります。通常、データは物理的にCSPに存在し、組織が直接管理することはできません。暗号化はクラウド内のデータを保護し、その機密性と整合性を確保するために、暗号化鍵を保護することが最も重要です。

良いニュースは？ BYOKは理想的なソリューションです。これにより、パブリッククラウドユーザは、独自の高品質なマスター鍵をオンプレミスでローカルに生成し、それをCSPに転送してデータを保護できます。その結果、次の利益が得られます：

柔軟性、利便性、費用対効果
機密データアプリケーション保護の強化
クラウドでの鍵の使用状況に関する完全な可視性

Entrust KeyControlによる安全な鍵管理

暗号鍵は企業のセキュリティ戦略にとって極めて重要ですが、それを安全に保つということは、言うは易く行うは難しです。そのため当社は、包括的な鍵管理およびコンプライアンスプラットフォームであるEntrust KeyControlを設計しました。

KeyControlは、エンドツーエンドのソリューションとして、暗号鍵のライフサイクル全体を管理、モニタリング、制御することができます。中央集権的な鍵管理のパワーと、分散化された保管庫ベースのアーキテクチャの高保証セキュリティを兼ね備えています。

つまり、暗号鍵を単一のリポジトリに限定することなく、暗号鍵に対する豊富な可視性というメリットをすべて得ることができるのです。すべての卵を1つのカゴに入れるのではなく、必要性に応じて資産を分配するということです。

また、Entrust nShield HSMを使用することで、KeyControlは鍵を安全に生成し、強固な信頼の基点を通じてセキュリティを強化することができます。

KeyControlが何を提供するのかについて、企業が大規模に鍵を保護するのに役立つすべての方法をご覧ください。