透過的なデータ暗号化

透過的データ暗号化( TDEと略されることが多い) は、 Microsoft、IBM、Oracleがデータベースファイルを暗号化するために採用しているテクノロジです。TDE はファイルレベルでの暗号化を提供します。TDE は保存データの暗号化を可能にし、ハードドライブ上とバックアップメディア上の両方のデータベースを暗号化します。転送中のデータや使用中のデータは保護されません。企業は通常、保存データの保護を必要とする PCI DSSなどのコンプライアンスの問題を解決するために TDE を採用します。

Microsoft は、 Microsoft SQL Server 2008、2008 R2、2012、2014、2016、2017、2019の一部として TDE を提供しています。^[1] TDE は、2019 の Standard エディションでも利用できるようになるまでは、Microsoft SQL Server の評価版、開発者版、エンタープライズ版、データセンター版でのみサポートされていました。^[2] SQL TDE は、Thales e-Security、Townsend Security、SafeNet, Inc. のハードウェアセキュリティモジュールでサポートされています。

IBMは、バージョン10.5フィックスパック5以降、Db2の一部としてTDEを提供しています。^[3]また、製品のクラウドバージョンであるDb2 on CloudとDb2 Warehouse on Cloudでもデフォルトでサポートされています。

Oracle では、 TDE を有効にするために、Oracle 10g および 11g のOracle Advanced Securityオプションが必要です。 ^{[引用が必要] Oracle TDE は、PCI や}California SB 1386などのパブリックおよびプライベートのプライバシーとセキュリティの規制に関連する暗号化要件に対応しています。Oracle Advanced Security TDE 列暗号化は、Oracle Database 10g リリース 2 で導入されました。Oracle Advanced Security TDE 表領域暗号化とハードウェアセキュリティモジュール(HSM) のサポートは、Oracle Database 11gR1 で導入されました。TDE のキーを HSM に格納して、サーバー間でキーを管理したり、ハードウェアでキーを保護したり、職務の分離を導入したりできます。

暗号化する列の数に関係なく、テーブル内の列の暗号化には同じキーが使用されます。これらの暗号化キーは、データベースサーバーのマスターキーを使用して暗号化され、データベース内のディクショナリテーブルに格納されます。

Microsoft SQL Server TDE

SQL Server は、データベースをクラスター内で共有したり、再暗号化せずに他のインスタンスに移行したりできるようにする暗号化階層を利用しています。この階層は、対称暗号と非対称暗号の組み合わせで構成されています。^[4]

Windowsデータ保護 API (DPAPI) は、インスタンス全体の単一のサービスマスターキー (SMK) を保護します。
サービスマスターキーは、データベースマスターキー (DMK) を暗号化します。
データベースマスターキーは、証明書と組み合わせて使用され、データベース暗号化キーを暗号化します。
データベース暗号化キーは、AESまたは3DES暗号を使用して基礎となるデータベースファイルを暗号化するために使用されます。
さまざまなシステムレベルの情報、ユーザーアカウント、管理サービスが含まれるマスターデータベースは暗号化されません。

データベースのバックアップ中、暗号化後に圧縮が行われます。強力に暗号化されたデータは大幅に圧縮できないため、TDE で暗号化されたデータベースのバックアップには追加のリソースが必要です。

自動起動を可能にするために、SQL Server は最低レベルの暗号化キーを永続ストレージ ( DPAPIストアを使用) に保存します。保存されたキーはライブシステムまたはバックアップから直接復元され、データベースの暗号化解除に使用される可能性があるため、潜在的なセキュリティ上の問題が生じます。^[5]

参照

参考文献

^ 「SQL Server TDE vs CLE」。2017年 6 月 2 日閲覧。
^ 「SQL Server 2019 Standard Edition」Microsoft 技術コミュニティ
^ 「Fix pack の概要」。IBM。
^ 「透過的データ暗号化 (TDE)」Microsoft TechNet
^ Simon McAuliffe、「Microsoft SQL Server 透過的データ暗号化 (TDE) の構造と (不) セキュリティ」、2016 年 3 月 19 日

外部リンク

すべての SQL Server エディション向けの代替サードパーティソリューション
すべての SQL Server エディション向けのもう 1 つの代替サードパーティソリューション
Microsoft SQL Server 2008 R2 エディションでサポートされるエンタープライズセキュリティ機能
Microsoft SQL Server 2012 エディションでサポートされているセキュリティ機能
透過的なデータ暗号化 (TDE) について理解する (Microsoft)
Oracle Database 11g での透過的データ暗号化の使用
Oracle 透過的データ暗号化のベストプラクティス
Oracle Database 11gR1 の TDE 列暗号化と TDE 表領域暗号化
http://download.oracle.com/docs/cd/B19306_01/network.102/b14268/asotrans.htm#BABDFHHH
P6R の PKCS#11 プロバイダーと Oracle TDE
[1]

[1] 「SQL Server TDE vs CLE」。2017年 6 月 2 日閲覧。

[2] 「SQL Server 2019 Standard Edition」Microsoft 技術コミュニティ

[3] 「Fix pack の概要」。IBM。

[4] 「透過的データ暗号化 (TDE)」Microsoft TechNet

[5] Simon McAuliffe、「Microsoft SQL Server 透過的データ暗号化 (TDE) の構造と (不) セキュリティ」、2016 年 3 月 19 日