Jump to content 日本-日本語

製品  >  ソフトウェア  >  HP-UX   >  Knowledge-on-Demand  >  知っておくべきセキュリティ対策

知っておくべきセキュリティ対策
-HP-UXのセキュリティを極める-

第2回 EVFSとTCSによるデータ暗号化

HP-UX/Integrityサーバー お問い合せ
コンテンツに進む
第2回 EVFSとTCSによるデータ暗号化
知っておくべきセキュリティ対策 -HP-UXのセキュリティを極める- 第2回
EVFSとは
セキュリティチップを使用した暗号化機能を提供するTCS
ページ:  戻る   |   1   2

セキュリティチップを使用した暗号化機能を提供するTCS

このようにEVFSでは、適切な鍵を持たないユーザやアプリケーションによる暗号化ボリュームへのアクセスを防ぐことができる。とはいえ、このEVFSを利用する上でネックとなるのは、「鍵の保管」の問題だ。前述のとおり、EVFSで用いる各種の鍵は、ディスク上に設けられたEMDと呼ばれる領域に保管される。よって、万が一ディスク・ドライブがサーバー本体より取り外されてしまうと、その鍵も合わせて持ち運ばれることになる。

もちろん、鍵はパスフレーズによって保護されるため、すぐさま不正アクセスが可能になるわけではない。とはいえ、例えば総当たり攻撃によって鍵が破られるリスクも完全には排除できないうえ、ディスク盗難のリスクを考えると「パスフレーズの入力なしで暗号化ボリュームを自動的にマウントしたい」といった使い方は難しい。

そこで、こうした鍵の保管の問題を解決すべく提供されたのが、HP-UXのTCS(Trusted Computing Services)である。TCSは、HP Integrityサーバー(rx2660、rx3600、rx6600、BL860c)に搭載されたセキュリティチップTPM(Trusted Platform Module)を使用して暗号鍵を保護する機能を提供する。つまり、ディスク上の暗号鍵をサーバー本体のTPMの鍵で暗号化し、暗号化鍵を保護する仕組みである。

セキュリティチップTPMは、標準化団体Trusted Computing Groupが制定した規格に基づいて開発されたハードウェアチップである。暗号鍵やパスワード、デジタル署名などを保存する不揮発性メモリを備えるほか、鍵の生成や乱数生成などの機能も備える。単なるメモリ・チップとは異なり、TPMを取り外して不正に鍵を取り出すことはできない構造となっている。

セキュリティチップTPMの構造
図4:セキュリティチップTPMの構造

HP-UXのTCSでは、専用のライブラリとデバイスドライバを通じて、このTPM上にEVFSの鍵を保護する機能を提供する。またEVFS以外にも、ファイル単体の暗号化や複合化のためのコマンドを提供するほか、今後はサードパーティ・アプリケーションの鍵も取り扱い可能になる予定だ。

HP-UXのTCSによるTPMへのアクセス
図5:HP-UXのTCSによるTPMへのアクセス

TCS利用の実際

このTCSを用いてEVFSの暗号鍵をTPMで保護することで、上述したような鍵の保管の問題が解消される。例えばディスク・ドライブをほかのサーバーに接続したとしても、TPMで暗号化された鍵が復号できないので暗号化ボリュームには一切アクセスできなくなる。また、パスフレーズを入力せずに暗号化ボリュームを自動マウントするといった使い方も可能になる。

では、TCSの利用手順をごく簡単に紹介しよう。まずは、rx2660rx6600などのTPMをサポートするHP Integrityサーバーに対し、TPMを装着する。このTPMの機能を有効化するには、EFIメニューより「Security Configuration -> Set Trusted Platform Module State」を選択すればよい。TPMが動作中かどうかは、EFIシェルより以下のsecconfigコマンドを実行することで確認できる。

Shell> secconfig
SYSTEM SECURITY CONFIGURATION
  Trusted Boot:           Not Supported
  TPM:                    Enabled
  TPM Vendor ID:          0x15D1
  TPM Product ID:         0x0006
  TPM TCG Spec Version:   1.1.0.0

または、HP-UXのioscanコマンドでも確認が可能だ。

# ioscan -fC tpm
Class     I  H/W Path  Driver S/W State H/W Type  Description
============================================================
tpm       0  250/2     tpm  CLAIMED   INTERFACE Trusted Platform Module

つづいては、以下のコマンドによりTCSのソフトウェアをインストールし、インストール状態を確認する。インストールにともなうリブートは不要だ。

# swinstall -x autoreboot=true -s /var/tmp/TCS_A.01.01_HP-UX_B.11.31_IA.depot TCS
# swlist -l product |grep -i tcs
  TCS-PROD              A.01.01        HP-UX Trusted Computing Services
# /opt/tcs/bin/tpmadm selftest
  TPM Test Result: success
# ps -ef|grep tcs
     tss  4344     1  0 16:43:25 ?         0:00 /opt/tcs/bin/tcsd

以上の手順で、TCSのインストールは完了である。これにより、TPM管理のための各種コマンドが利用可能となる。

コマンド 機能
tpmadm TPMの無効化、有効化
オーナーシップ設定
TPMパスワード変更
鍵のバックアップ、リストア
tpmlist TPMステータス表示
鍵情報表示
tpmencrypt ファイルの暗号化
tpmdecrypt ファイルの復号化
evfs_setup EVFSでTPMを使用するセットアップ

例えばtpmencryptコマンドを用いることで、以下のようなファイルの暗号化が可能だ。

# more test.txt
This is a test file.
# tpmencrypt -o test.enc test.txt
Password :
# more test.enc
<tpmcrypt version="1.0">
<tpm_key reptype="blob" size="559">
AQEBBwAUAAAABgEAAAABAAMAAQAAAAwAAAgAAAAAAgAAAAAAAAAAAAABAIVLmtq+
jMYqJDVsxUImBvykI+wO5BOaZuQPFXdRlHQ4Robanbu1jjnoj6PsUrTZ94Oi5og8
vzVgtWMGQOhf/MpPO/Pejm0NZ10VNz5OeTMn1632nwSln5VvUzwRjO2YrlUCV8+l
<以下略>

この場合、TPM内の鍵を暗号化に使用するため、このサーバー以外では復号することが不可能となる。

以上、今回はEVFSによるデータ暗号化機能と、TCSを使用したより強固な暗号化について説明した。HP IntegrityサーバーとHP-UXに備わるこれらの暗号化機能をフルに活用し、ITシステムのセキュリティ強化に役立てていただきたい。

関連資料

 
Encrypted Volume and File System 管理者ガイド リンク先はUSサイトです。
HP-UX Encrypted Volume and File System パフォーマンスチューニング リンク先はUSサイトです。
HP-UX Trusted Computing Services 管理者ガイド リンク先はUSサイトです。
 

連載記事一覧 戻る ページ:  戻る   |   1   2

連載 「知っておくべきセキュリティ対策 -HP-UXのセキュリティを極める-」記事一覧

第1回 セキュリティの『多層防御』とHP-UX
第2回 EVFSとTCSによるデータ暗号化
第3回 PS-WSでつくるセキュアなWebサーバー
第4回 Bastilleによるシステムアセスメント
第5回 audsysとHIDSによる監査と侵入検知
第6回 RBACによる権限分掌
第7回 LDAPによるアカウント統合化

 その他の連載記事


本ページの内容は執筆時の情報に基づいており、異なる場合があります。

お問い合わせ

ご購入前のお問い合わせ


ご購入後のお問い合わせ

HPEサポートセンター
製品の標準保証でご利用いただける無償のサービスです。

ショールーム

ショールーム 導入をご検討のお客様へ
業務アプリケーションの継続・標準化・開発性とシステム担当者様、システム開発者様が抱える悩み・疑問に対する解決策実体験して頂けます。
印刷用画面へ
プライバシー ご利用条件・免責事項