Secure Key Managerサービスの紹介

SecureKey Managerとは?

2019年12月末にSecure Key Managerサービスが新たにリリースされました。
ユーザーの重要なデータ(対称鍵、非対称鍵、機密データ)を安全に管理し、ユーザーが設定した認証方法でアクセスを制御できるサービスです。
情報セキュリティーマネジメントシステム(ISMS)認証審査の要件事項である、個人情報の暗号化キーを物理的に分離保管しなければならないという要件を満たすための顧客企業/開発者を対象にしたサービスです。

安定的なキー管理構造

Secure Key Managerは、ユーザーのデータを安全に保管するため、ルートキーとシステムキーという2つの暗号化キーを内部的に使用します。
ルートキーはシステムキーを保護するために使用し、システムキーはユーザーデータを保護するために使用します。
システムキーは、ルートキーで暗号化してSecure Key Managerシステムキー管理サーバーに保存します。
Secure Key Managerサーバーは、サービスを開始する際に認証過程を経て、Secure Key Managerシステムキー管理サーバーから暗号化されたシステムキーを取得します。
ルートキーを使用して復号化すると、システムキー処理モジュールがシステムキーを使用できる状態になります。
Secure Key Managerに保存されたユーザーデータに非正規手段でアクセスをするには、物理的に分離された3つのシステムで、ルートキー、システムキー、ユーザーデータのすべてを取得する必要があります。

SecureKey Managerが提供する機能

キーデータ管理

  • 機密データの登録、管理、照会
  • 対称鍵の作成、管理、回転、データ暗号化/復号化
  • 非対称鍵の作成、管理、回転、データ署名/検証

データアクセス制御

  • IPv4アドレスを用いたデータアクセス制御
  • MACアドレスを用いたデータアクセス制御
  • 証明書を用いたデータアクセス制御

アクセス履歴確認

  • 保存された重要なデータに誰がいつアクセスしたかを確認できる機能

機密データ

・データベース接続情報やAPI呼び出しに使うアプリキーなどをクライアントが直接管理する場合、セキュリティーリスクにさらされる可能性がある
・データを管理する機能を提供する。
・ユーザーは32KB以下のテキストデータを機密データとして登録できる。

対称鍵

・ユーザー対称鍵を使って32KB以下のテキストデータを暗号化することができ、APIを使ったデータ暗号化の機能を使用できる。
・アプリケーションが処理するすべてのデータをSecure Key Manager APIに暗号化すると、性能やコストに問題が発生することがある。
・このような状況では一般的に、封筒暗号化(envelope encryption)が解決策として用いられる。
・封筒暗号化は、暗号化対象データを暗号化する際に用いた暗号キーのみを外部の他の暗号キーで保護する処理方式である。
・データはアプリケーションが独自に管理するローカル暗号キーで暗号化を行い、ローカル暗号キーはSecure Key Manager APIで暗号化して保管する。
・データ復号が必要な場合は、暗号化されたローカル暗号キーをSecure Key Manager APIに復号し、データ復号に使用する。

非対称鍵

・ユーザー対称鍵を使って256Byte以下のテキストデータを署名/検証できる。
・APIを使ったデータ署名/検証機能に使用できる。

SecureKey Manager設定

キーストアの作成

SecureKey Managerは、キーストア単位で認証情報と重要データを管理します。[キー保存場所]タブからキーストアを追加します。

上図のように、名前と説明を入力して認証方法を選択した後、追加ボタンをクリックすると、キーストアが作成されます。

リストからキーストアをクリックすると、対象内で管理されるキーや認証情報を確認できます。
まず、最も重要な[鍵の管理]タブから、サービスAに必要なキー、重要データを[鍵の追加]ボタンを使って追加します。

認証情報管理

Secure Key Managerで作成されたキーは、認証に成功したクライアントのみで使用できます。クライアント認証に使用する認証情報は、IPv4アドレスの管理、MACアドレスの管理、証明書の管理メニューに登録します。

IPv4アドレスの管理/ MACアドレスの管理/証明書の管理

IPv4アドレスには、クライアントがSecure Key Managerに接続する際に使用されるIPv4アドレスを入力する必要があります。追加したIPv4アドレスは下図のようにIPv4アドレス管理画面に表示されます。キーストア作成時に認証方法を選択しないと、該当の認証プロパティーがアクセス制限に活用されません。
登録するクライアントや管理するサーバーが多い場合は、証明書を通じて頻繁に認証情報を変更することなく、同じ証明書を使ってアクセスすることができます。

[IPアドレスの管理]

 

[MACアドレスの管理]

アクセス履歴確認

お客さまの重要なキー情報にアクセスしようとしたすべての内容は、別途アクセス履歴に残ります。不要なアクセスがなかったか、正常要請の場合はどのような理由で失敗したかなど、結果フィールドから確認できます。

ユーザーガイド

以下のToast SecureKey Managerユーザーガイドから詳しい情報をご確認いただけます。
https://docs.toast.com/ja/Security/Secure%20Key%20Manager/ja/overview/

TOAST Meetup 編集部

TOASTの技術ナレッジやお得なイベント情報を発信していきます
pagetop