Googleが勧める対策、クラウドにおける暗号鍵の保存方法とは：3つのセキュリティアプローチを比較

　Googleは2020年12月22日（米国時間）、公式Blogにおいてクラウドセキュリティについての考え方を紹介した。クラウドではどのように暗号鍵を保存すればよいのか、何を目指すべきなのか、同社の関連サービスを引き合いに出して解説した。

　以下にその概要を紹介する。

古典的な間違い　暗号鍵とデータを同じ場所に保存する

　暗号化を用いたデータセキュリティ対策には古典的な間違いがある。その一つが「暗号鍵を、暗号化したデータと同じデータベースや同じディスクに保存する」というものだ。こうした手法が大規模なデータ流出につながった事例が過去に報じられている。

　暗号鍵は、暗号化されるデータよりも厳しく保護しなければならない。

　暗号鍵をデータと一緒に保存しているオンプレミスアプリケーションを使っていたとしよう。クラウドに移行すると、当然のことながら、この問題もクラウドに残ってしまう。解決策は、クラウドネイティブな暗号鍵管理メカニズムを使用することだ。これには、アプリケーションに変更を加えることも含まれる。

　クラウド環境で暗号鍵を適切に保存するには、この前提を押さえることが第一だ。さらにクラウドにおける暗号鍵の保存に関してさまざまなリスクを理解しなければならない。

人的ミスは必ず起こる

　悪意のない人的ミスが暗号鍵の漏えい、紛失、盗難につながる場合がある。開発者のミスや、暗号鍵の作成に（規則性が残っている）低品質なエントロピー源を用いてしまうこと、権限の構成ミスや管理の緩さといった問題が起こり得る。クラウド固有の問題ではないものの、いざ問題が起こったときにパブリッククラウドの被害が大きくなる傾向がある。理論上とはいえパブリッククラウドプロバイダーのミスが暗号鍵の漏えいにつながる可能性もある。

外部からの攻撃者を無視しない

　クラウド以前の時代から、外部攻撃者による暗号鍵の窃盗が問題になっている。鍵管理システム（KMS）を攻撃し、幅広いデータにアクセスしようとする手口が知られている。アプリケーションログにアクセスして読み取る方法や、アプリケーションネットワークトラフィックを観察する方法にも攻撃者は精通している。こうした手法によって、暗号鍵の在りかについてのヒントが漏れてしまう可能性がある。クラウド以前に経験を積んだセキュリティ担当者は、KMSがファイアウォールの内側にあると、本能的に安心する。だが、外部攻撃者は、人的ミスをなんとか発見して侵害につなげようとする。

2種類の内部者のどちらが狙われるのか

　クラウドコンピューティングモデルでは、内部者は2種類に分かれる。クラウドを利用するユーザー組織の内部者と、クラウドサービスプロバイダー（CSP）の内部者だ。CSPの内部者の一部は、クラウドデータにアクセスできる可能性がある。ユーザー組織の内部者は、クラウドデータにアクセスするための有効な資格情報を持っている。脅威モデリングの観点からすると、ほとんどの攻撃者は、まず“最も弱いリンク”（恐らく、ユーザー組織の中にある）を見つけ、悪用しようとする。

クラウドがコンプライアンスから漏れていないか

　暗号鍵の扱い方を規定する基準や規制はさまざまだ。多くはクラウドコンピューティングが登場する前からある。そのため、暗号鍵の保存にクラウドを使用する場合に関しては、明確なガイダンスがないかもしれない。明示的な要件、暗黙の要件（解釈された要件といえるもの）、内部的な要件を区別するとよい。

　一部のグローバル企業は、実施中の規制順守の取り組みとは別に、地方自治体や政府機関が定めた何らかの法的事項の適用を受けるかもしれない。こうした場合、義務を果たすために、社内で広く共有できない何らかの技術的な保護が必要かもしれない。

サイバーセキュリティ以外の問題：データ主権

　この分野では、物事が急速に変化しており、サイバーセキュリティ以外のリスクが存在している。これらのリスクは、データ主権やデジタル主権、さらには地政学リスクと関連している。こうしたリスクを背景に、暗号鍵を直接管理する必要性が高まっている。

Googleが紹介するアーキテクチャとアプローチとは

　ここまでに紹介したリスクを踏まえ、クラウドを使って暗号鍵を適切に保存するには、どのようなアーキテクチャとアプローチを採用すべきか、Googleが推奨するのは次のような手法だ。

Copyright © ITmedia, Inc. All Rights Reserved.