暗号鍵管理製品の概要：暗号鍵の生成から廃棄まで管理

　暗号鍵管理製品は、複数のシステムで利用する暗号鍵を一元管理できる。暗号鍵の生成から廃棄に至るまで、ライフサイクル全体にわたって暗号鍵を安全に管理する。

　耐タンパー性を持つ専用ハードウェアによる暗号鍵の保管、暗号鍵に対するアクセス制御、乱数発生器を利用した暗号鍵の生成、内部チップによる暗号化／復号処理などが暗号鍵管理製品の主要機能だ。アプライアンスやPCIカードといった形態で提供されることが多く、「HSM」（ハードウェアセキュリティモジュール）といわれることもある。

　暗号鍵管理製品は、アプリケーションサーバやデータベースサーバとAPIなどを介して接続。アプリケーションやデータベースの要求に応じ、ユーザー認証を経て暗号鍵の生成や暗号化／復号処理などを実施する。

導入効果（1）：暗号鍵の不正使用を防止

　暗号化によるセキュリティ効果を高める手段としてすぐに思い浮かぶのは、暗号化強度の向上だろう。ただし、現在主流の暗号化方式である256ビットのAESを利用すれば、暗号化強度としては実用上問題ないといわれる。むしろ注目すべきなのは、暗号鍵の不正利用を防ぐことだ。暗号鍵が犯罪者の手に渡れば、どれほど強固な暗号化を施していても容易に復号できてしまうからである。

　暗号鍵管理製品が暗号鍵の保管に使う耐タンパー性の専用ハードウェアは、適切な権限を持つユーザーでないと暗号鍵が外部に取り出せない仕組みを持つ。また、暗号鍵管理製品は暗号鍵の生成から保管、暗号化／復号処理などを専用ハードウェアの内部で実行する。このため、アプリケーションやデータベースが稼働するサーバのメモリダンプなどによって暗号鍵を不正に取得される心配がない。

導入効果（2）：暗号鍵の変更に伴う世代管理を自動化

　同じ暗号鍵を長い間使用し続けると、攻撃者に暗号鍵を解析される時間を与えることになる。このため、暗号鍵を定期的に変更することが不可欠だ。ただし、どのデータをどの世代の暗号鍵で暗号化したかを管理したり、各世代の暗号鍵を保管しておかなければ、データの復号ができなくなる。

　暗号鍵管理製品は暗号鍵の世代管理機能を備え、どの暗号鍵でどのデータを暗号化したのかをひも付けて管理できる。さらに、暗号鍵の有効期限を設定したり、新たな暗号鍵を自動生成することも可能だ。

導入効果（3）：サーバの暗号化処理負荷を軽減

　暗号化処理は、通常であればアプリケーションサーバやデータベースサーバの内部で実行する。暗号化対象のデータが多かったり暗号化の頻度が高くなれば、暗号化や復号処理に必要なサーバリソースの消費量も増大する。

　暗号鍵管理製品は、暗号化や復号処理を専用ハードウェアの内部で実行できるため、アプリケーションサーバやデータベースサーバの処理負荷の軽減につながる。

利用用途：電子機器の不正製造防止に利用

　暗号鍵管理製品の利用用途はさまざまだ。製造業の場合、暗号鍵管理製品を不正製造の防止に活用するケースもあるという。例えば個体識別用IDの付与が必要な電子機器の製造を委託する場合、委託先にIDの生成アルゴリズムと暗号鍵を渡さなければならない。だが不正製造を防ぐためには、アルゴリズムや暗号鍵をそのまま委託先に渡してしまうことは避けたい。

　暗号鍵管理製品の一部は、独自のアプリケーションを組み込むことが可能だ。IDを生成するアプリケーションや暗号鍵を組み込んだ暗号鍵管理製品を委託先に渡せば、ID生成アルゴリズムや暗号鍵が不正に流出する可能性を抑えることができる。

導入の現状：国内企業への浸透はこれから、電子機器の不正製造防止にも利用

　米国では「エンタープライズ鍵管理」といった触れ込みで一般企業にも普及が進む暗号鍵管理製品。一方、国内で暗号鍵管理製品の利用が進んでいるのは官公庁などが中心で、一般企業への導入はそれほど進んでいるとはいえない。例えば、ECサイト事業者などがPCI DSS準拠の一環として導入を進めつつあるという。

今後の方向性：標準化やクラウドサービス化が進む

　暗号化や暗号鍵管理システムの相互運用性を担保するため、暗号鍵管理の標準仕様を策定する動きがある。標準化団体OASIS（Organization for the Advancement of Structured Information Standards）は2010年10月、暗号鍵のライフサイクル管理システムや通信プロトコルに関する標準規格「OASIS Key Management Interoperability Protocol（KMIP）」を認定した。KMIPに準拠した製品には、日本セーフネットの「SafeNet KeySecure」などがある。

　現在は自社運用型の製品が中心の暗号鍵管理製品だが、今後はクラウドサービスとしての提供が進む可能性がある。例えばトレンドマイクロは2011年7月、Amazon EC2などのクラウドサービスに保存したデータの暗号化や暗号鍵管理が可能なサービス「Trend Micro SecureCloud」を発表。同社のサーバで運用する鍵管理機能をサービスプロバイダーがサービスとして提供する。

　TechTargetジャパンでは今後、暗号鍵管理製品の選び方や製品の比較記事を掲載予定である。