二重暗号化は、2層以上の独立した暗号化層を用いて、いずれかの暗号化層の侵害から守ります。 2層の暗号化が、データの暗号化に伴う脅威を軽減します。 例えば次が挙げられます。
- データ暗号化の設定エラー。
- 暗号化アルゴリズムの実装エラー。
- 単一の暗号鍵の侵害。
Azure では、保存データと転送中のデータに対して二重暗号化が提供されます。
保存データ
Microsoftは静止データに対して2層の暗号化を使用しています。
- 顧客管理鍵を用いた静止暗号化。 保存データの暗号化用の独自のキーを用意します。 自分の鍵をKey Vaultに持っていくことも(BYOK - 自分の鍵を持ってくる)か、Azure Key Vaultで新しい鍵を生成して希望するリソースを暗号化することもできます。
- プラットフォーム管理鍵を用いたインフラ暗号化。 デフォルトでは、Azureはプラットフォーム管理の暗号鍵を用いて静止データを自動で暗号化します。
これら2つのレイヤーは独立したキー階層から別々のキーを使用します。 異なるオペレーターが管理しており、サービスレベルのキーはあなたが管理し、Microsoftはインフラストラクチャレベルのキーを管理します。
転送中のデータ
Microsoftは、データ転送時に2層の暗号化を使用しています:
- TLS 1.2（Transport Layer Security）を使用して、クラウドサービスとお客様の間で転送されるデータを保護する転送中の暗号化 データセンターから送信されるすべてのトラフィックは、トラフィックの宛先が同じリージョン内の別のドメイン コントローラーである場合でも、転送中に暗号化されます。 TLS 1.2はデフォルトのセキュリティプロトコルです。 TLS には、強力な認証、メッセージの機密性、整合性 (メッセージの改ざん、傍受、偽造の検出が有効)、相互運用性、アルゴリズムの柔軟性、デプロイと使用のしやすさといったメリットがあります。
- インフラ層での追加の暗号化層です。 Azureの顧客トラフィックが、MicrosoftやMicrosoftの担当者が管理しない物理的境界外のデータセンター間で移動する場合、IEEE 802.1AE MACセキュリティ標準(MACsecとも呼ばれる)を用いたデータリンク層暗号化方式が基盤となるネットワークハードウェア全体でポイントからポイントへと適用されます。 パケットは送信前にデバイス上で暗号化・復号されており、物理的な中間者攻撃、盗聴、盗聴攻撃を防ぎます。 このテクノロジはネットワーク ハードウェア自体に統合されているため、測定可能なリンクの待機時間を増やすことなく、ネットワーク ハードウェア上でライン レート暗号化を提供します。 このMACsec暗号化は、リージョン内またはリージョン間のすべてのAzureトラフィックに対してデフォルトで有効であり、有効化のために何か操作をする必要はありません。
次のステップ
Azureがどのように暗号化を活用しているかを学びましょう。