秘密キーの管理に関するベストプラクティス - Security Center 5.8

Security Center 管理者ガイド 5.8

series
Security Center 5.8
revised_modified
2019-09-17

フュージョンストリーム暗号化の有効性は、秘密キーを管理する外部の公開キー基盤に依存します。システム全体のセキュリティは、秘密キーの秘密が保たれているという事実に基づいています。したがって、秘密キーの転送と処理は安全な方法で行われる必要があります。

秘密キーの保護

公開/秘密キーペアを最も安全に処理する方法は、クライアントマシン上で直接暗号化証明書を生成し、暗号化を実行する Archiver にその証明書 (公開キー部分のみ) を割り当てることです。これにより、秘密キーが使用されるクライアントマシンから流出しないため、攻撃面を減らすことができます。

同じ秘密キーを複数のクライアントマシンで使用したい場合は、必ず安全な方法で配布してください。強力なパスワードを使用して転送中の秘密キーを暗号化します。その方法については、証明書と秘密キーのインポート/エクスポートに関する Web ページをご覧ください。

秘密キーのすべてのコピーがクライアントマシンにインストールされた後は、秘密キーを配布するために使用された一時ファイルを安全に削除できます。

要確認: 社内で Active Directory ドメインサービス (ADDS) を使用している場合は、秘密キーが特定のマシンではなくユーザーグループのプロファイルに関連付けられる資格情報の移動メカニズムを使用することをお勧めします。

秘密キーの開示の防止

ユーザーがクライアントマシンから秘密キーをエクスポートする懸念もあります。以下に示す多重防御のベストプラクティスに従って、このリスクを軽減できます。
秘密キーをエクスポート不可としてマークする
Windows クライアントで秘密キーがエクスポートされないようにするため、秘密キーをエクスポート不可としてマークすることができます。

証明書をインポートするときに、エクスポート不可フラグを設定します。

手順は次のとおりです。
  1. 証明書を作成し、公開キーと秘密キーを PFX 形式でエクスポートします。強力なパスワードを使用して秘密キーを暗号化します。
  2. Archiver サーバー用の公開キーのみをインポートします。
  3. 各マシン用の秘密キーをインポートし、秘密キーをエクスポート不可として設定します。
    certutil -importPFX [PFXfile] NoExport
  4. 秘密キーがすべてのマシンにインポートされたら、元の PFX ファイルを破棄します。
重要: エクスポート不可フラグが適用されないサードパーティ製アプリケーションもあります。こうしたサードパーティ製アプリケーションを使用すれば秘密キーをエクスポートできるため、秘密キーをエクスポート不可としてマークする方法は絶対に安全とは言えません。
非特権モードでオペレーターアカウントを実行する
Security Desk ユーザーの個人用ストアではなくローカルコンピューターのストアに証明書をインストールし、ユーザーに対して管理者権限を拒否することで、ユーザーによる秘密キーのエクスポートを防止できます。しかし、その場合でも Security Desk は秘密キーにアクセスする必要があります。つまり、Security Desk を管理者として実行し、Security Desk ユーザーのパスワードを入力する必要があります。
Windows グループポリシーでアプリケーションの使用を制限する
証明書の操作に使用されるツール (certmgr.msi など) を Windows グループポリシーによってブロックすることで、Security Desk ユーザーによる秘密キーへのアクセスを防止できます。

秘密キーのバックアップの作成

秘密キーを失うと、暗号化されたデータを回復できなくなります。保護されたバックアップ・クライアント・マシンを使用して、暗号化するすべてのデータの余分な暗号化証明書を作成することをお勧めします。この証明書に対応する秘密キーを他のクライアントマシンで使用してはいけません。このバックアップマシンは、クライアントマシンで使用されるすべての秘密キーが失われた場合に備えてバックアップソリューションを確保することだけを目的としています。