Loading article…
ファイルシステムレベルの暗号化[ 1]は、ファイルベースの暗号化、FBE、またはファイル/フォルダの暗号化とも呼ばれ、個々のファイルまたはディレクトリがファイルシステム自体によって暗号化されるディスク暗号化の一種です。
これは、ファイル システムが存在するパーティションまたはディスク全体が暗号化される フル ディスク暗号化とは対照的です。
ファイルシステムレベルの暗号化の種類は次のとおりです。
- メインファイルシステムの上に重ねられる「スタック可能な」暗号化ファイルシステムの使用
- 暗号化機能を備えた単一の汎用ファイルシステム
ファイルシステムレベルの暗号化の利点は次のとおりです。
- 柔軟なファイルベースのキー管理により、各ファイルは別々の暗号化キーで暗号化することができ、通常はそうである[要出典]
- 暗号化されたファイルの個別管理、例えば、暗号化されたボリューム全体のバックアップではなく、暗号化された形式であっても変更された個々のファイルの増分バックアップ[説明が必要]
- アクセス制御は公開鍵暗号方式を使用して実施することができ、
- 暗号鍵は、それによって復号化されたファイルが開かれている間だけメモリ内に保持されるという事実。
暗号化機能を備えた汎用ファイルシステム
暗号化ファイル システムやディスク全体の暗号化とは異なり、ファイル システム レベルの暗号化を含む汎用ファイル システムでは、通常、ディレクトリ構造、ファイル名、サイズ、変更タイムスタンプなどのファイル システムメタデータは暗号化されません。メタデータ自体を機密にする必要がある場合、これは問題になる可能性があります。つまり、ファイルが識別ファイル名で保存されている場合、物理ディスクにアクセスできるユーザーは誰でも、ドキュメントの内容はわかりませんが、ディスクに保存されているドキュメントを知ることができます。
唯一の例外は、ZFSファイルシステムに追加される暗号化サポートです。ファイル名、所有権、ACL、拡張属性などのファイルシステム メタデータはすべて、ディスクに暗号化されて保存されます。ストレージ プールに関連する ZFS メタデータはプレーンテキストで保存されるため、プールで使用可能なファイルシステム (データセット) の数 (暗号化されているものも含む) を判別できます。保存されたファイルとディレクトリの内容は暗号化されたままです。
もう 1 つの例外は、 EncFSの CryFS の置き換えです。
暗号化ファイルシステム
暗号化ファイル システムは、暗号化とセキュリティを念頭に置いて特別に設計された特殊な (汎用ではない) ファイル システムです。通常、メタデータを含むすべてのデータが暗号化されます。ディスク上のフォーマットと独自のブロック割り当てを実装する代わりに、これらのファイル システムは、既存のファイル システムの上に階層化されることが多く、たとえばホスト ファイル システムのディレクトリに常駐します。このようなファイル システムの多くは、拒否可能な暗号化、暗号化された読み取り専用ファイル システム権限、キーまたはユーザーによるディレクトリ構造の異なるビューなど、高度な機能も提供します。
暗号化ファイル システムの用途の 1 つは、既存のファイル システムの一部を「クラウド ストレージ」と同期する場合です。このような場合、暗号化ファイル システムを上に「積み重ねる」ことで、データの機密性を保護することができます。
参照
参考文献
- ^ 「ファイルレベルの暗号化」。PCIセキュリティ標準協議会。2024年 10 月 18 日閲覧。