暗号技術の基礎と応用
DEKをデータ暗号化鍵、KEKを鍵暗号化鍵とする。クラウドのストレージなどで使われる、エンベロープ暗号化の説明として正しいものはどれか。
- AデータをDEKで暗号化し、DEKは鍵管理サービスの中のKEKで暗号化して、データと一緒に保存する
- Bすべてのデータを鍵管理サービスに送り、鍵管理サービスの中にある1つの鍵で、データを直接暗号化してもらう
- Cデータを暗号化した鍵を、暗号文と同じ場所に暗号化せずに保存して、取り出しやすくする
答えと解説を見る
正解：A. データをDEKで暗号化し、DEKは鍵管理サービスの中のKEKで暗号化して、データと一緒に保存する
エンベロープ暗号化では、データごとにDEKを作ってデータを共通鍵暗号で暗号化し、DEKはKMSやHSMの中にあるKEKで暗号化(ラップ)して、暗号化したデータの隣に保存します。大きなデータを鍵管理サービスに送る必要がなく、KEKは装置の外に出ないので、厳重に守るべき鍵を少数にまとめられます。KEKを更新するときは、データ全体を暗号化し直さずに、小さなDEKだけを暗号化し直せば済みます。データを読むときは、ラップされたDEKをKMSで復号してもらい、手元でデータを復号します。
- A. 正しい。データを包む鍵を、さらに別の鍵で包む二段構えの方式です。
- B. すべてのデータを送ると、通信量と処理の負荷が大きくなります。鍵管理サービスに送るのは、小さなDEKだけです。
- C. 暗号化に使った鍵を平文で隣に置くと、データを盗んだ人が鍵も手に入れてしまいます。