JEITA磁気記録媒体標準化専門委員会コラム 「テープストレージの暗号鍵管理についての調査活動」

当委員会の標準化分科会では、テープストレージの暗号鍵管理について調査活動をしてきました。今回は、このテーマについてご紹介しようと思います。

標準化の必要性
　唐突ですが、読者の皆さんはパスワードの管理をどうされていますか？PCを使っ ていると様々な局面でパスワード入力を求められることが多いのではないでしょ うか。最近はパスワード管理のツールも色々あるようなので、パスワード入力が 煩わしいと感じていた方はこのようなツールをお使いかも知れません。
パスワードはデータを暗号化する際の暗号鍵と似た側面があります。極端な例と してすべてを同じパスワードにすることも可能ですが、これだと万一パスワードが漏れた場合の影響が心配されます。リスクを低減するためには、適宜異なるパスワードを使用することが望ましいことは皆さんご承知のことと思います。
テープにデータを暗号化して記録する場合も同様に、暗号鍵が万一漏れた場合のリスクを低減するには適宜異なる暗号鍵を使用することが望ましいと言えます。この場合、暗号化するデータが増えてくると、それに伴い管理すべき暗号鍵の数も増え、その管理が煩雑になってしまう可能性があります。現在使用されているシステム等では、各社が独自に工夫してこの煩雑さを回避されているようです。

そのシステムが社内で閉じて運用されている場合には問題にならないかも知れませんが、暗号化したデータを協力会社に安全のために暗号化したまま提供したり、将来システムを更新したりする場合、暗号化データとともに暗号鍵の受け渡しが必要になってきます。このような場合、暗号鍵管理が標準化されていると楽に暗号鍵の受け渡しができるでしょうからその標準化が望まれるわけです。

国際的な標準化の動向　
今日現在でも各社から、複数のテープの暗号鍵を安全に一元管理したりする、十分有力な鍵管理のソリューションや製品が提供されています。これらの汎用性をもっと高めるためには標準化を推進する必要があります。
「暗号鍵管理」と一口に言っても考えるべき局面には様々なものがあり、国際的にも色々なところで標準化の活動がなされています。例えば、昨年はアメリカで"IEEE Key Management Summit 2008" が開催され、色々なグループからの提案と議論がなされています。下記はその中の主なものです。

・IEEE P1619.3 Key Management
・OASIS Enterprise Key Management Infrastructure
・ANSI X9 Key Management
・IETF KEYPROV

これらの標準化活動の中でストレージ分野に最も近く、我々が注目しているものにIEEE P1619.3があります。しかし、現在も引き続き議論されていて、まだ最終案には達していません。
また、新たに注目すべき動きとして、暗号鍵管理仕様KMIPが国際的な標準化団体OASIS に提案され、現在議論が行われています。こちらは主にシステム間のプロトコルについて標準化を目指しています。標準化が実現すると、実際の利用局面で大きなメリットをもたらすことが期待できます。

（参照資料URL）
IEEE Key Management Summit 2008
http://keymanagementsummit.com/2008/
IEEE P1619.3
https://siswg.net/index.php
KMIP (Key Management Interoperability Protocol)
http://www.oasis-open.org/news/kmip-press-release.pdf
OASIS (Organization for the Advancement of Structured Information Standards)
http://www.oasis-open.org/home/index.php