  「サーバーやノートパソコン、ディスクが盗まれたらどうなるでしょうか？データにアクセスできるでしょうか？フルディスク暗号化が正しく設定されていれば、答えは「いいえ」です。」 今日の脅威環境において、データの暗号化はもはや必須の要素です。ユースケースやアプリケーションによって必要な暗号化レベルは異なりますが、ディスクレベルの暗号化 保存データのセキュリティ確保における事実上の標準となっています。Linuxシステムやビッグデータワークロードを実行しているとしましょう。その場合、  あるいは といった言葉を聞いたことがあるでしょう。これらの暗号化とは何か、なぜ重要なのか、そしていつ使用すべきなのかを詳しく説明しましょう。 （FDE：Full Disk Encryption）は、 LUKS（Linux Unified Key Setup）、dm-crypt（Device Mapper Encryption）、 NBDE（Network Bound Disk Encryption） 暗号化にはどのような種類がありますか? アプリケーションレベルのデータ暗号化 これは、データをディスクまたはデータベースに保存する前に、暗号化キーを使用して機密データを暗号化する最も安全な方法です。 暗号化キーは、キー管理システム (KMS) などの別のシステムで安全に管理され、キーの保存場所が暗号化されたデータから分離されます。 このアプローチでは、データがキーなしで暗号化されたままになるため、攻撃者がシステム、ファイル システム、またはデータベース管理者レベルでアクセスした場合でも、データを保護できます。 暗号化または復号化を処理するためのアプリケーション層の追加ロジック。 さまざまな業界のコンプライアンス要件を満たすために機密データを保護するのに適しています。   名、姓、住所、電話番号、電子メール アドレス、社会保障番号など。 PII (個人識別情報) -   クレジットカード番号、CVV コード、有効期限など。 PCI-DSS (Payment Card Industry - Data Security Standards) -    - 医療記録、診断、治療情報、検査結果、保険の詳細、および 対象となるその他の患者の健康情報 PHI（保護対象健康情報） HIPAAの 企業秘密、知的財産、財務記録、法的文書、または公開されるとコンプライアンス違反や評判の失墜につながる可能性のあるデータ。 その他の機密データまたは規制対象データ: データベース暗号化 データベース システム内の データを暗号化します (例:  ) 保存 透過的データ暗号化 (TDE) 通常、 、データベースファイル、テーブル、列、またはテーブルスペース全体を自動的に暗号化します。 アプリケーションが直接暗号化を処理せずに キーは、データベース エンジンまたは統合された KMS によって管理されます。 が、アクセス権がある場合に復号化されたデータを照会できる特権ユーザー (DBA など) からは保護しません。 盗難されたディスクや不正なファイル アクセスなどの脅威からは保護します ファイルシステムレベルの暗号化 ファイル/フォルダー/ボリュームの暗号化に適しています。 キー管理はOSレベル、TPM/HSM、KMSで実行できます。 物理的な盗難/紛失から保護します エンドポイント/ストレージデバイスのセキュリティに最適 フルディスク暗号化（FDE） 保存データをディスクレベルまたはデバイスマッパーレベルで暗号化し、 - 攻撃者がディスクに直接アクセスした場合、データは読み取れません。金融業界をはじめ、このような行為の影響を受けてきた事例は数多くあります。 内部脅威からの保護 - 構造化されていないデータと、アプリケーション層で暗号化されたペイロードを操作できないクラスターを保存しても、保存時の暗号化のメリットを享受できます。 ビッグ データ システムに不可欠 - 特定のシナリオでは、複雑な分散アプリケーション レベルの暗号化よりも高速になることがよくあります。 パフォーマンスとコスト効率  FDE は、アプリケーション レベルの暗号化 。むしろ、保存データのセキュリティ体制を補完または強化するものです。 には適しておらず、また、アプリケーション レベルの暗号化を置き換えるものでもありません 次のセクションでは、  を使用したフルディスク暗号化について説明し、  LUKS (Linux Unified Key Setup) NBDE (Network Based Disk Encryption) を使用してそれを強化します。  Linux 統合キーセットアップ (LUKS) 既存のデバイス マッパー カーネル システム (dm-crypt とも呼ばれる) を使用するフル ディスク暗号化 (FDE) の事実上の標準です。 ディスク暗号化キーはランダムテキスト/ライブラリを使用して暗号化できます 鍵暗号化マテリアルは、OSレベルの権限で保護されたファイル（keyFile）に保存されます。  KeyFileはLUKSで保護されたディスクとは別のディスクに保存されます LUKSでは、8つのスロットを持つ同じディスクに最大8つのOSレベルアカウントがアクセスするように設定できます。LUKS2では32のスロットが提供されます。 チップメーカーがネイティブでAES-NI（AES-New Instructions）を採用しているため、LUKSは標準的なフルディスク暗号化とみなされることが多い。そのため、CPUへの影響は少ない。 デフォルトの暗号は、OSのインストールに応じてAES-CBC-ESSIV:SHA256またはAES-XTS-PLAIN64です。  LUKS のデフォルトのキーサイズは 256 ビットで、Anaconda インストーラー (XTS モード) では 512 ビットです。 図: LUKS - フルディスク暗号化 LUKSのセットアップ 次のドキュメントは、Redhat Linux システムで LUKS を設定するための手順ごとのガイドを示しています。   https://www.redhat.com/en/blog/disk-encryption-luks  LUKS が適さないものは何ですか?  LUKS は、アプリケーションレベルの暗号化と併せて、ディスクレベルの補完的な暗号化メカニズムとして常に利用してください。ただし、アプリケーションレベル/データベースレベル、またはファイルシステムレベルの暗号化の代替となるものではありません。  LUKS は、dm-crypt に必要なすべてのセットアップ情報をディスク自体に保存し、パーティションとキーの管理を抽象化して使いやすさと暗号化のセキュリティを向上させる、追加の便利なレイヤーです。 初期のカーネル機能であるプレーンdm-cryptモードは、コンビニエンスレイヤーを採用していません。そのため、同じ暗号強度を適用することはより困難です。LUKSとdm-cryptの違いを見てみましょう。  LUKSとdm-cryptの違い 行を追加 行 を削除 列を 追加 列 を削除 行を追加 行 を削除 列を 追加 列 を削除 行を追加 行 を削除 列を 追加 列 を削除 ルクス dm-crypt ライセンス GPL はい はい 再暗号化せずにパスワードを変更する はい いいえ 低エントロピーパスフレーズ（辞書攻撃）に対する防御ソルトとハッシュ はい いいえ 同じ暗号化データに対する複数の復号化キー はい いいえ キー回復メカニズム はい いいえ 暗号化設定を保存する はい いいえ 行を追加 行 を削除 列を 追加 列 を削除 セキュアキーファイル TPM 2.0（トラステッドプラットフォームモジュール）統合 カスタム構築されたキーストレージとの統合 異なるディスク/マウントポイント、またはメインディスク。もちろん、これは簡単には削除できません。  HSM（ハードウェア セキュリティ モジュール）  NBDE（Network Bound Disk Encryption）。実稼働システムに最適な、安全で自動化された暗号化方式です。NBDEはRHEL 7.4以降で利用可能です。 ネットワーク結合ディスク暗号化 (NBDE):  NBDEは非対称暗号化技術を提供し、暗号化されたディスクを搭載したマシンを、ディスクの暗号化なしで起動することを可能にします。起動時に鍵を入力する必要がありますが、これはマシンが正しいネットワークに接続されている場合に限られます。また、暗号化鍵を平文で保存したり、マシン外に保存したり、ネットワーク経由でデータを送信して窃盗犯が利用できるようなことは避けなければなりません。   起動時にディスクの暗号化/復号化を高レベルで自動的かつ簡単に管理することで、より高いセキュリティを提供します。NBDE には次の概念があります。 LUKS + NBDE は、    - 自動復号化のためのプラグイン可能なフレームワーク。NBDEでは、ClevisはLUKSボリュームの自動ロック解除を提供します。 CLEVIS    - Clevisフレームワークのプラグインです。TANGサーバーとの連携を実装します。 CLEVIS Pin    - ステートレスで安全なネットワークベースのデータ復旧サービス。TANGはエスクローサーバーではないため、サーバー上には何も保存されません。  TANG 図: ネットワーク境界ディスク暗号化 (NBDE) 要点 システムは非対称暗号化を活用しているため、マシンが正しいネットワーク (Tang サーバーにアクセスできるネットワーク) に接続されている場合にのみディスクの復号化が可能になり、復号化キーをローカルに保存したり、安全でない方法で送信したりする必要がありません。 セキュリティ モデル:  NBDE により、起動時に暗号化されたボリュームの自動ロック解除が可能になり、手動による介入が減り、無人サーバー環境における保存データのセキュリティが向上します。 自動化:  Clevis は柔軟なフレームワークとして設計されており、さまざまなロック解除シナリオやハードウェア統合のために他のピン (Tang だけでなく) を使用できます。 モジュール性:  Tang サーバーは秘密やエスクロー キーを保持しないため、中央サーバーの侵害から保護されます。 ステートレス: 階層化ワークフロー クライアント (Clevis) は起動中にロック解除を開始します。  Clevis は Tang ピンを使用して Tang サーバーと通信し、安全なキー交換を実行します。 暗号化操作 (JOSE) は、安全な一時キー マテリアルを管理します。  LUKSMeta はバインディングとロック解除のロジックを保存します。 交換が成功すると、Clevis はマスター キーを復号化し、LUKS で暗号化されたボリュームのロックを解除します。  NBDE - 利点 システムの起動/再起動時にパスフレーズを手動で入力する必要はありません（ルートも暗号化されている場合）  KeyFilesにパスフレーズを保存する必要がない TANG サーバーと CLEVIS フレームワーク間で公開鍵または秘密鍵を共有しない TANG サーバーへの自動リモート呼び出し (復号化キー サーバーとして機能) 非対称鍵を使用する（MR交換アルゴリズム） サーバーの展開の拡大に合わせて拡張可能なオプション。 結論： 組織が機密データを扱っている場合や規制対象の業界で事業を展開している場合、  、保存データの保護のための強力で自動化された安全なソリューションを提供します。 LUKS + NBDE を使用した FDE は

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

このオーディオは、ストーリーの元の言語で制作されています。

保存データのセキュリティ確保：LUKSからNBDEまで - 最新暗号化ガイド

About Author

コメント

ラベル

この記事は

Related Stories

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

フロキのヴァルハラがインドのスリランカツアーのアソシエイトスポンサーに加わる

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

フロキのヴァルハラがインドのスリランカツアーのアソシエイトスポンサーに加わる

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps