知っておくべきセキュリティ対策
-HP-UXのセキュリティを極める-

第2回 EVFSとTCSによるデータ暗号化

≫ HP-UX 11i
Knowledge-on-Demand

≫コラム

≫連載
≫特集、特別企画

ドキュメント/ツール

HPラボ

≫Webキャスト

関連情報

≫HP-UX
- ≫各種ソフトウェア

≫日本HPサイトマップ

ディスク上のファイルやボリュームの内容をまるごと暗号化したい。そうしたニーズに応えるべく、HP-UXでは暗号化ファイルシステム「EVFS」を提供している。EVFSでは、既存のアプリケーションを変更することなく、そのまま暗号化ファイルシステムに移行することができる。またHP-UXの暗号化機能「TCS」では、HP Integrityサーバーに搭載されたセキュリティチップTPMの鍵を用いた暗号化が可能だ。例えばディスク・ドライブをほかのサーバーに接続したとしても、鍵がないので暗号化ボリュームには一切アクセスできなくなる。また、パスフレーズを入力せずに暗号化ボリュームを自動マウントするといった使い方も可能になる。

知っておくべきセキュリティ対策 -HP-UXのセキュリティを極める- 第2回


≫	EVFSとは
≫	セキュリティチップを使用した暗号化機能を提供するTCS

2008年2月
テクニカルライター吉川和巳

ページ： 1 2 | 次へ ≫

	EVFSとは

ディスク上のファイルやボリュームの内容をまるごと暗号化したい。そうしたニーズに応えるべく、HP-UXでは2006年より暗号化ファイルシステム「EVFS（Encrypted Volume & Filesystem）」を提供している。EVFSは、HP-UXにおいて暗号化ボリューム機能および暗号化ファイルシステムを提供するもので、以下のような特徴を備えている。

ディスク上のデータを暗号化	EVFSでは、ディスク上に記録するデータそのものを暗号化する。そのため、もしディスク・ドライブやバックアップ・メディアの紛失や盗難があったとしても、データの保護が可能だ。
アプリケーション透過性	EVFSは、アプリケーションからはHP-UXの普通のファイルシステム（VxFS/HFS）やボリューム（LVM）として認識される。よって、アプリケーション側で特別なAPIを実装したり改変を行ったりする必要はない。
「ボリューム単位の保護」と「ファイル単位の保護」に対応	EVFSでは、ファイルごとの暗号化とボリューム全体の暗号化という2通りのデータ保護機能があり、用途に応じて選択できる予定だ。（現在のバージョンではボリューム単位の保護のみをサポート。ファイル単位の暗号化は将来のバージョンでサポート予定。）
故意や過失によるデータへの不用意なアクセスを防止	暗号化されたデータにアクセスするには「鍵」と「パスフレーズ(パスワード)」が必要であるため、システム管理者が不用意にデータにアクセスすることを防止できる。

図1：一般的なファイルシステムとEVFSとの違い

図1は、ファイル単位の保護について、一般的なファイルシステムとEVFSの違いを示したものである。例えばHP-UXにおけるVxFSやHFSなどの一般的なUNIXファイルシステムでは、ファイルやユーザの単位でパーミッションやACL（アクセス制御リスト）を管理することで、ファイルへのアクセスを制限する。しかし、ディスク上のデータそのものが暗号化されているわけではない。そのため、特権を持つユーザやアプリケーションからアクセスする場合、ディスクそのものを取り外した場合、バックアップ・メディアから別ディスク上にリストアした場合などは、自由にデータにアクセスできる（＜1＞）。

一方、EVFSでは、ディスク上に記録された個々のファイルの中身そのものが暗号化されている（＜2＞）。よって、適切な鍵を持つユーザやアプリケーションであれば、データを復号化することができる（＜3＞）。これに対し、たとえ特権を持つユーザでも、鍵を持たなければ物理的にどのような策を講じてもファイルの中身を見ることができない（＜4＞）。

図2：EVFS導入時のディスクI/Oの流れ

図2は、EVFS導入時のディスクI/Oの流れを示したものである。この図において、青色で示した部分は、HP-UXに従来から備わるファイルシステム（VxFS／HFS）やボリューム・マネージャ（LVM）を表している。一方、黄色の部分が、EVFS導入時に追加されるコンポーネントである。この図が表すとおり、アプリケーション側ではこれまで通りVxFSまたはHFSのシステムコールを利用するだけであり、EVFSの存在を意識する必要はない。ファイル書き込み時の暗号化や、読み出し時の復号化は透過的に実行されるため、既存のアプリケーションをそのまま暗号化ファイルシステムに移行することが可能だ。

EVFSの暗号化機能を提供するのは、上手の中央に記された「EVFS仮想ディスクドライバ（EVFS pseudo-disk driver）」である。同ドライバは、VxFS／HFSとLVMの中間に位置しており、LVMへのアクセス時にデータの暗号化を実行する。その名が示すとおり、仮想的なディスクドライバとしてふるまうため、VxFSやHFSといったファイルシステムには依存しない仕組みになっている。

また、上図の左上に黄色で示された「EVFS管理ツール」は、同ドライバの動作を制御するコマンドツール群である。EVFSにおける暗号化機能や鍵の管理は、すべてこれらのツールを通じて実施することになる。

	「鍵」の管理メカニズム

EVFSでは、いくつかの「鍵」を用いることで、ファイルシステムやボリュームの暗号化を実現している。その具体的なメカニズムを紹介したい。

図3：EVFSの鍵管理のメカニズム

図3に示すとおり、EVFSによって暗号化されたボリュームは「暗号化データ領域」と「EMD（Encryption Meta Data）」と呼ばれる2つの領域に分割される。前者は暗号化されたデータを保管する場所であり、後者は暗号化に用いる鍵を保管する場所として利用される。

EVFSでは、データを暗号化する手段として、共通鍵暗号方式としてもっとも新しい業界標準であるAESを採用している。AESは共通鍵暗号であるため、暗号化と復号化のいずれにも同じ暗号化鍵（128ビット～256ビット）を利用する。この暗号化鍵は、いわばデータにアクセスするためのパスワードのようなものだ（上図の金色の鍵）。

この暗号化鍵は、公開鍵暗号の標準であるRSAによって暗号化されたのちEMDに記録される。この「暗号化鍵の暗号化」では、以下の3種類の鍵（1024～2048ビット）を使用する。

オーナー鍵(銀色の鍵)	ボリュームの所有者が持つ鍵である。暗号化ボリュームの所有者が持つ鍵であり、1つだけ作成される。オーナー鍵を使うことで、ボリュームへのアクセスだけでなく、ボリュームの削除などすべての管理権限を有する。また、次に説明するユーザ鍵の作成も可能になる。
ユーザ鍵(青色の鍵)	暗号化ボリュームにアクセスしたいユーザが持つ鍵である。ボリュームのマウントやアンマウント、ボリュームへのアクセスは可能だが、ボリュームの削除といった権限は持たない。ユーザ鍵は複数個作成できる。
リカバリ鍵(緑色の鍵)	オーナー鍵の破損・紛失時のために、オーナー変更の権限を持つ。リカバリ鍵は複数個作成できる。

EVFSでは、これら3種類の鍵を用途に応じて使い分ける。例えばシステム管理者は暗号化ボリュームを作成してオーナー鍵を管理する一方で、同ボリュームを利用するユーザやアプリケーションに対してユーザ鍵を発行する、といった具合だ。またオーナー鍵ファイルが破損したり紛失したりしたときに備えて、暗号化ボリュームの所有者を切り替えできるリカバリ鍵をバックアップ保存しておく。