今日のサイバー世界では、あらゆる形式のデータへの不正アクセスのリスクが常に存在します。最も危険にさらされているのは、顧客とクライアントの個人識別情報（PII）または支払いカードの詳細を公開する可能性のある財務および支払いシステムのデータです。暗号化は、PIIを保護し、支払いトランザクションを実行する企業が毎日1分ごとに直面するリスクを軽減するために重要です。
この記事では、銀行業務における対称暗号化、その利点、および管理のいくつかの課題について説明します。キー。
対称暗号化とは？
対称暗号化は、電子情報の暗号化と復号化の両方に1つのキー（秘密キー）のみが使用される暗号化の一種です。対称暗号化を介して通信するエンティティは、復号化プロセスで使用できるようにキーを交換する必要があります。この暗号化方法は、メッセージの暗号化と復号化に公開鍵と秘密鍵のペアを使用する非対称暗号化とは異なります。
対称暗号化アルゴリズムを使用することにより、データは理解できない形式に変換されます。それを解読するための秘密鍵を持っていない人によって。キーを所有する目的の受信者がメッセージを受け取ると、アルゴリズムはそのアクションを逆にして、メッセージが元の理解可能な形式に戻されるようにします。送信者と受信者の両方が使用する秘密鍵は、特定のパスワード/コードにすることも、安全な乱数ジェネレーター（RNG）によって生成された文字または数字のランダムな文字列にすることもできます。銀行グレードの暗号化の場合、対称鍵は、FIPS140-2などの業界標準に従って認定されたRNGを使用して作成する必要があります。
対称暗号化アルゴリズムには、次の2種類があります。
-
ブロックアルゴリズム。設定されたビット長は、特定の秘密鍵を使用して電子データのブロックで暗号化されます。データが暗号化されている間、システムは完全なブロックを待つ間、データをメモリに保持します。
-
ストリームアルゴリズム。データは、システムのメモリに保持されるのではなく、ストリーミング時に暗号化されます。
対称暗号化アルゴリズムの例には次のものがあります。
-
AES（Advanced Encryption Standard）
-
DES（データ暗号化標準）
-
IDEA（国際データ暗号化アルゴリズム）
-
Blowfish（DESまたはIDEAのドロップイン代替品）
-
RC4（Rivest Cipher 4）
-
RC5（Rivest Cipher 5）
-
RC6（Rivest Cipher 6）
AES、 DES、IDEA、Blowfish、RC5、およびRC6はブロック暗号です。 RC4はストリーム暗号です。
DES
「最新の」コンピューティングでは、DESは電子通信を保護するための最初の標準化された暗号であり、バリエーション（2キーまたは3キーなど）で使用されます。キー3DES）。元のDESは、最新のコンピューターの処理能力のために「弱い」と見なされているため、使用されなくなりました。すべての64ビット暗号と同様に、3DESでさえNISTおよびPCIDSS3.2では推奨されていません。ただし、3DESは依然としてEMVチップカードで広く使用されています。
AES
最も一般的に使用される対称アルゴリズムは、元々Rijndaelとして知られていたAdvanced Encryption Standard（AES）です。これは、US FIPS PUB 197で発表された電子データの暗号化のために2001年に米国国立標準技術研究所によって設定された標準です。この標準は、1977年から使用されていたDESに取って代わります。NISTでは、AES暗号にはブロックサイズは128ビットですが、AES-128、AES-192、AES-256で示されているように、3つの異なるキー長を持つことができます。
対称暗号化は何に使用されますか？
対称暗号化は古い暗号化方法であり、データサイズと大量のCPU使用によるパフォーマンスの問題のためにネットワークに負担をかける非対称暗号化よりも高速で効率的です。対称暗号化のパフォーマンスと速度が（非対称と比較して）優れているため、対称暗号化は通常、バルク暗号化/大量のデータの暗号化に使用されます。データベース暗号化用。データベースの場合、秘密鍵は、暗号化または復号化するためにデータベース自体でのみ使用できる場合があります。
対称暗号化が使用される例は次のとおりです。
-
IDの盗難や不正請求を防ぐためにPIIを保護する必要があるカードトランザクションなどの支払いアプリケーション
-
メッセージの送信者が本人であることを確認するための検証
-
ランダムな番号の生成またはハッシュ
対称暗号化の鍵管理-考慮すべき点
残念ながら、対称暗号化には独自の欠点があります。その最も弱い点は、次のようなキー管理の側面です。
キーの枯渇
対称暗号化は、キーを使用するたびに、によって使用される可能性のある情報が「漏洩」するという動作に悩まされます。キーを再構築する攻撃者。この動作に対する防御には、キー階層を使用してマスターキーまたはキー暗号化キーが過度に使用されないようにすることや、大量のデータを暗号化するキーを適切にローテーションすることが含まれます。扱いやすくするために、これらのソリューションはどちらも、（たとえば）廃止された暗号化キーを復元できないかのように、適切なキー管理戦略を必要とします。データは失われる可能性があります。
属性データ
非対称とは異なり（公開鍵）証明書、対称鍵には、有効期限などの情報を記録するための埋め込みメタデータや、鍵の使用を示すアクセス制御リストがありません。たとえば、暗号化には使用できますが、復号化には使用できません。
後者の問題は、キーをその使用法を規定する情報にバインドできるANSIX9-31などの標準によってある程度対処されています。ただし、キーの使用目的と使用時期を完全に制御するには、キー管理システムが必要です。
大規模なキー管理
キーはスキーム（数十から数百）に関与し、管理オーバーヘッドは控えめであり、手動の人間の活動を通じて処理できます。ただし、大規模な不動産では、有効期限の追跡とキーのローテーションの調整はすぐに非現実的になります。
EMVペイメントカードの展開を検討してください。 -管理システム。
結論
大規模な対称暗号化システムの保守は非常に困難な作業です。これは、企業やITアーキテクチャが分散化/地理的に分散している場合に、銀行グレードのセキュリティと監査可能性を実現したい場合に特に当てはまります。
これを適切に行うには、作成された各キーの適切なライフサイクルを維持するために特別なソフトウェアを使用することをお勧めします。大規模なキー登録の場合、手動でキー管理を行うことは本当に不可能です。そのためには、専用の主要なライフサイクル管理ソフトウェアが必要です。
量子コンピューティングは、今後5〜10年以内に実現すると予想されています。すでに今日、NISTは、広く使用されている3DESアルゴリズムを、今日の知識に基づいて、より節約できると思われるアルゴリズムに置き換えることをお勧めします。
テクノロジーの進歩、ひいては悪意のある復号化アルゴリズムの進化については、銀行には暗号化アジャイルセットアップに移行することを強くお勧めします。このようなセットアップでは、弱点が検出された場合に、アルゴリズムをより安全であると見なされるアルゴリズムに迅速に置き換えることができます。今後数年間で大きな被害が発生します。
参考資料と参考資料
- 暗号鍵管理システムを選択するための購入者向けガイド-パート1：鍵管理システムとは（2018） 、RobStubbs著
- 暗号鍵管理システムを選択するための購入者向けガイド。パート2：キー管理システムの要件（2018）、RobStubbs著
- 暗号化キー管理システムを選択するためのバイヤーズガイド-パート3：適切なキー管理システムの選択（2018）、RobStubbs著
-
NIST SP800-57パート1リビジョン4：Elaine Barkerによるキー管理の推奨事項（2016）
-
Ashiq JA、Dawn M. Turner、Guillaume Forget、James H. Reinholm、Peter Landrock、Peter Smirnoff、Rob Stubbs、StefanHansenなどによるキー管理（2012年-今日）に関する厳選された記事
-
CKMS製品シート（2016）、Cryptomathicによる