DB暗号化製品(eCipherGate)


情報漏洩やサイバー犯罪の防止策として暗号化は有効です。しかし、筆者はネットワーク上でのデータ暗号化や新システムでの採用はまだしも、既存DBの暗号化には消極的でした。理由は単純で、暗号化製品のコストだけを見れば安いものですが、導入に伴うプログラム修正(暗号関数の組み込みなど)コストやレスポンス劣化を補うためのハード増強コストが膨大な金額になること、実際の利用シーンでは解読されたものを使うので、そこでの流出には効果がありません。つまり、コスト・メリットのバランスが取れないのです。金融機関のように、ホストDBの顧客データにアクセスできる場所と人間が極めて限定されているようなケースでは、組織的防止策を充分に施すことで対応できると考えていました。ですから、他人事だからと気楽に暗号化を奨励する行政機関やそれに便乗するセキュリティ・ベンダーには反感すら感じていました。

最近では、オンメモリー技術を使って暗号化装置をDBとアプリの間に設置する方式が出てきました。この方式ですと、プログラム修正やハード増強のコストは小さくできます。ただし、該当するアプリ・サーバー全てに装置が必要になること、復号化以降の流出に対応策のないことがネックとなります。

先日、ミドルウェアで解決しようとする製品を紹介してもらいました。eCipherGateという製品です。http://www.ciphergate.co.jp

旧通信総合研究所が開発したベクトルストリーム型暗号方式を使っているそうですが、暗号化・復号化とアクセス権限管理を行うミドルウェアです。DBサーバーにeCipherGateを導入し、アプリ・サーバーにeCipherGateドライバーを導入します。それまで同様にSQLを使っていれば、DBは自動的に暗号化され、アクセスした際に復号化されます。DBとアプリの間はSSLで暗号化されます。DBサーバー内のデータは全て暗号化状態であり、テストなどシステム運用においても、暗号化状態のままです。システム運用者にとってデータの具体的内容は必要ない筈という発想です。運用担当者にとっても、この方が気楽でしょう。特にアウトソーサーにとっては、大きな意味があります。大規模な情報漏洩は、殆どここで起きています。

アプリ・サーバー上のドライバーで復号化しますので、ドライバー経由でデータを受け取るアプリケーションに特段の修正は必要ありません。ここからエンドポイント側での防止策として、別途手当てが必要となりますが、当製品はユーザー毎のアクセス権限管理機能を持っています。ユーザーが許可された範囲内でダウンロードしたデータの保護については、その為のツールが豊富に出まわっています。扱えるデータ・タイプは、テキストだけでなく文書や画像も可能です。つまり重要書類の原本保証や生体データなどのイメージ機微情報も扱えるということです。

金融機関やB2Cサイト運営企業など40社ほど導入実績があるそうです。ユーザーによる導入事例の話も聞きましたが、従来の関数暗号に比べると導入負荷は3分の一であり、大規模なシステムでも意識するほどのパフォーマンス劣化はなかったそうです。仮に劣化が起きたとしてもDASDではなくCPUの問題なので、プロセサーをアップグレードするだけです。金額的にはさしたることにはなりません。また、アクセス制限はDBMSと別に暗号化と復号化の権限管理を行うので、既存プログラムの変更が不要であることは大きなメリットということでした。逆に言えば、何らかの理由で当製品の使用を中止してアンインストールしても、アプリがそのまま動くということです。このことは、担当者にとってありがたい評価ポイントでしょう。

当製品で使用している暗号化アルゴリズムが、オフィシャルな標準認定を受けていないことを懸念する人もいます。(ただし、米国立標準技術研究所のランダム性テストによる暗号強度はパスしています。)しかし、社内に閉じた暗号化であれば問題ありませんし、関連技能を持つ外部技術者が少ないだけ安全という考え方もあります。筆者も、単一のツールで全てに対応はできないと思っています。用途に応じて使い分けるしかありません。外部とのデータ交換には標準的ツールを使ったり、外部からのアクセスにはアクセス管理のASPを使い、利用者には揮発性記憶媒体でコピーを禁止して提供するとかが考えられます。

コスト的には、CPU当り125万円だそうです。他の製品と同様の価格水準といえますが、導入に伴う他費用が小さい(過去にはCPU当り数千万円となることが多かった。)ことを考えると、極めて低コストといえるでしょう。

低コスト化と導入容易性を実現する暗号化製品が出てきたことは朗報です。まずはテスト・ベッドの暗号化を図り、外注先SEに生データを触らせないというだけでも大きな安心感でしょう。次に、ネットバンキング・コールセンター・渉外支援システムなど、独立したDBが適用し易いでしょう。このようなツールが、益々機能を拡張されると、金融機関にとって頭の痛いデータ・セキュリティ対策が随分と展開しやすくなります。