暗号鍵を作るには、ランダムな鍵を生成する方法と、暗号鍵を計算する方法があります。なぜランダム・キーが良いのかは、簡単に理解できます。攻撃者がランダムな値を推測するのに役立つような計算上のトリックはありません。つまり、一度生成されたランダムなシード材料を使用し、そのシード材料に鍵"名" または"識別子" を組み合わせて、必要に応じて鍵を生成する方法です。

Q: 派生キーとは？

鍵を計算する最も安全な方法は、安全な 鍵導出関数 （KDF）を使うことです。派生鍵はランダム鍵と同様に安全ですが、実用上大きな利点があります。特に、それらを採用したシステムの購入、使用、保守が非常に安くなります。

Q: 暗号化キーはどのように保存されるのか？

従来の鍵管理は、鍵の生成、"未使用のマーク付け、" バックアップ、使用可能な状態にする、名前の割り当て、"使用中のマーク付け、" 使用不可能にする、レプリケーション、同期、アーカイブ、権限管理など、複雑なシーケンスを必要とします。これは面倒なことで、多くの暗号鍵を使用するインストールでは、鍵の管理は実際の暗号化と同じかそれ以上の作業であることがすぐにわかります。

Q: どの暗号鍵生成モデルが良いのか？

ランダム鍵生成の欠点は、データの暗号化に使う前に、新しい鍵をそれぞれバックアップしなければならないことです。そうしないと、キーストアに失敗した場合、保護されたデータは復号化できなくなります。それに比べ、派生キーには実用面で大きな利点があります。シークレットはめったに変更されないので、バックアップはめったに必要なく、（認証以外の）create-activate-name-deactivateシーケンス全体の必要性もなくなります。1つのバックアップから複数のキーサーバーを作成することができ、オリジナルのシード材料が再利用されるため、リアルタイムの複製や同期を必要とせず、同じ入力から同じキーを導き出すことが保証されます。また、鍵を紛失するリスクもありません。アプリケーションが派生鍵を紛失しても、最初に生成するのと同じように簡単に再導出できます。

概要

暗号技術はサイバーセキュリティの基礎であり、攻撃者から消費者のプライバシーと機密データの両方を効果的に保護することができる。暗号化されたデータが盗まれた場合、重大な侵害であったかもしれないものは単なるインシデントに過ぎない。

OpenText™ Voltage™ SecureData Serversは暗号アルゴリズムと暗号鍵を使用しています。暗号鍵を適切に管理することは、暗号化を効果的に使用するために不可欠です。米国国立標準技術研究所（NIST）は、Special Publication 80057（Part 1, Revision 5）で「鍵管理の推奨事項」を公表しています。

Voltage SecureData Servers

Voltageの暗号化は、データプライバシー保護を実現し、データ漏洩を無効化し、安全なデータ利用を通じてビジネス価値を高めます。

詳細情報

キーマネージメント

なぜ鍵の管理が重要なのか？

現代の強力な暗号は決して解読されないが、しばしば迂回される。鍵の保護が十分でなければ、ハッカーが王冠の宝石を手に入れるのに時間はかからず、ビジネスや評判に大きな影響を与える。鍵の管理は、強力な暗号の実装と同じくらい重要であり、企業のデータ・セキュリティとプライバシー・プログラムのアキレス腱であることがあまりにも多い。

暗号鍵はどのように生成されるのか？

暗号鍵を作るには、ランダムな鍵を生成する方法と、暗号鍵を計算する方法がある。なぜランダムキーが良いのかは簡単に理解できる。攻撃者がランダムな値を推測するのに役立つような計算上のトリックはなく、正しい値が得られるまで可能性のあるすべての値を推測するよりも優れている。つまり、一度生成したランダムなシード材料を使い、そのシード材料に鍵の「名前」や「識別子」を組み合わせて、必要に応じて鍵を生成するのである。

派生キーとは？

鍵を計算する最も安全な方法は、安全な鍵導出関数（KDF）を使うことである。派生鍵はランダム鍵と同様に安全だが、実用上大きな利点がある。特に、システムを購入し、使用し、保守するコストが格段に安くなる。

暗号化キーはどのように保存されるのか？

従来の鍵管理は、鍵の生成、"未使用 "のマーク付け、バックアップ、鍵の使用可能化、名前の割り当て、"使用中 "のマーク付けによる使用不可能化、レプリケーション、同期化、アーカイブ、権限管理など、複雑なシーケンスを必要とした。これは面倒なことで、多くの暗号鍵を使用するインストレーションでは、鍵の管理が実際の暗号化と同じかそれ以上の仕事になることがすぐにわかる。

どの暗号鍵生成モデルが良いのか？

ランダム鍵生成法の欠点は、データの暗号化に使う前に、新しい鍵をそれぞれバックアップしなければならないことだ。そうしないと、キーストアに失敗した場合、保護されたデータは復号化できなくなる。

それに比べ、派生キーには実用上大きな利点がある。秘密が変更されることはめったにないため、バックアップが必要になることはほとんどなく、（認証以外の）作成-アクティブ化-名前-非アクティブ化の一連の作業の必要性もなくなる。1つのバックアップから複数の鍵サーバーを作成することができ、元のシード材料が再利用されるため、リアルタイムの複製や同期を必要とせず、同じ入力から同じ鍵を導き出すことが保証される。また、鍵を紛失するリスクもない。アプリケーションが派生鍵を紛失しても、最初に生成するのと同じように簡単に再導出できる。

暗号化キーはどのように利用可能にすべきか？

鍵管理ソリューションにかかわらず、重要な課題は、鍵がユーザーによって誤って扱われないようにすることである。ユーザーと開発者を鍵の管理から切り離すことは非常に重要である。アプリケーション・チームは、暗号鍵の保管、保護、ローテーションに関与すべきではなく、実際に鍵を所有することも許されない。その代わりに、鍵識別子と、鍵の生成、検索、キャッシュ、保護、リフレッシュを自動化する抽象化レイヤーへのインターフェイスが提供されるべきである。

How can OpenText help with key management?

Voltage SecureData Serversはステートレス鍵管理を実装しているため、企業はこれまでにない規模と簡素化された鍵管理を実現できます。Voltage SecureData Serverでは、鍵の管理も抽象化されているため、開発者は鍵を保持する必要がなく、鍵を保管する必要もありません。その代わりに、PAN、SSN、SensitiveDataなど、意味のある文字列であるID（キー名）を格納します。これらの ID は機密ではないため、開発者は保護なしでプロパティファイルに保存できます。SecureDataクライアントソフトウェアは、鍵の取得、セキュリティ、キャッシュなどの鍵管理プロセスを行います。RESTベースのリモート操作により、鍵がSecureDataサーバの外部に公開されることはありません。SecureData では、SecureData サーバまたは HSM 内で鍵の導出を行うことができます。

暗号化は難しく、鍵の管理はさらに難しいものです。しかし、最も厳格な標準にも完全に準拠しながら、鍵の管理を簡単にする方法があります。Voltage SecureData Serversは鍵管理を簡単にし、データセキュリティプログラムの重要な側面を保護します。