2021年 8月24日(火)に開催された「クラウドプロバイダーが守ってくれない重要なデータの保護！ ENTRUSTの強力な暗号化ソリューションのご紹介」のエントラストジャパンセッションスライドです。 https://www.climb.co.jp/soft/seminar/2021/0824/

1. © Entrust Corporation
暗号鍵をより安全に、確実に保護できる
ENTRUST NSHIELD HSM
×
エントラストジャパン株式会社
DPS事業本部
シニアセールスエンジニア担当
Jason You

2. © Entrust Corporation
エントラストジャパン株式会社DPS事業本部
nShield Connect
ネットワークアプライアンス型
マルチクラウドでのワークロード
暗号化ソリューション
nShield Edge
低価格・ポータブル型
nShield as a Service
クラウドサービス型
nShield Solo
PCIe カード型
20年以上
1000社以上
nShield HSMを活用して、アプリケーションと
情報に高度なセキュリティを実現
• Fortune 100 Top 10のうち、5社
• FTSE 100 Top 20のうち、10社
クラウド
IoT
ブロックチェーン
電子決済
a

3. © Entrust Corporation
3
何を説明していると思いますか？
5 seconds 30 seconds 60 seconds 5 minutes

4. © Entrust Corporation
4
データはどこに残っていますか？これは安全ですか？

5. © Entrust Corporation
5
データが重要な暗号鍵だったら？
Source: http://citp.princeton.edu/memory/
LogicalAttacks
Physical Attacks
簡単なプログラムで、サーバ内の
仮想メモリやディスクを検索して、
暗号鍵のデータを見つけることが
できます。
技術者は、古いハードドライブや
メモリから重要な情報を読み取る
ことができます。

6. © Entrust Corporation
7
どうすれば安全に管理できますか？

7. © Entrust Corporation
8
どうすれば安全に管理できますか？

8. © Entrust Corporation
安全な金庫
9
どうすれば安全に管理できますか？

9. © Entrust Corporation
安全な金庫
10
どうすれば安全に管理できますか？
HSM

10. © Entrust Corporation
HSMとは？
HSM
(Hardware Security Module)
(ハードウェア・セキュリティ・モジュール)
暗号鍵をきちんと守れる認証を取った金庫

11. © Entrust Corporation
© Entrust Corporation
nShield HSMが安全に暗号鍵を管理できる理由
耐タンパ性を持つ装置に分離して鍵を保護
◦ 不正な手段による機密データの解読ができない。
グローバルなセキュリティ規格に対応
◦ FIPS 140-2 Level 3
◦ Common Criteria
◦ eIDAS
12
<eIDAS>
※耐タンパ性（Tamper Resistant）とは、いじることができないという意味で情報の解析が極めて困難な状態のこと。
容易に外部から解析できないよう、非正規な手段による機密データの読み取りを防ぐ機能。
Tamper resistant
area
User serviceable
area
Hot swap power supplies
Removable fan tray
with Battery
Ethernet (NICs)
FIPS 140-2 Level 3
境界
改ざん防止
境界
HSM, Motherboard, NVRAM
nShield Connect

12. © Entrust Corporation
13
Entrust nShield HSM 製品のラインアップ
nShield Edge
低価格・ポータブル型
nShield Connect
ネットワークアプライアンス型
nShield Solo
PCIe カード型
nShield as a Service
クラウドサービス型
• ネットワーク接続
• 最大1000台のクライアントサーバに
共有可能
• デュアルホットスワップ電源
• 内装カードリーダー
• ハードウェア変更せずに性能のアップ
グレード可能
• サーバのPCI-eスロット
• 高速な演算処理
• ポータブルHSM
• USBインターフェイス
• Low-volume 処理
• 開発用
• クラウドサービスHSM
• ハードウェア管理不要
• オンプレと同じレベルで鍵管理可能
• Region-HAの構成が可能

13. © Entrust Corporation
14
Entrust nShield HSMの特徴
無制限の鍵管理
◦ 処理速度の低下なしで大量の鍵管理が可能
簡単なバックアップ
◦ ファイルコピーレベルで鍵のバックアップが可能
高速な演算処理
◦ すべての主要なアルゴリズムに対して高い性能を提供
◦ Base/Mid/High(ハードウェア変更せずに性能のアップグレード)
Zero Touchの設定
◦ データセンターに行かずにすべての管理が可能
◦ Console Port / Remote Admin Kit

14. © Entrust Corporation
Operating Systems
Support for Common Crypto APIs nShield Option Pack
15
さまざまなOSおよびお客様の環境に対応
nShield Monitor
Cloud Integration
Option Pack (BYOK)
Time Stamping
Option Pack
Database Integration
Option Pack
nShield Container
Option Pack
Web Services Option
Pack (REST API)
Microsoft CryptoAPI/
CNG
PKCS #11
Java JCE
OpenSSL
Web Services API
Entrust nCore

15. © Entrust Corporation
16
HSMの使用方法
鍵の保護
Business application
HSM security boundary
暗号化演算
暗号ロジック
重要なコード
HSM security boundary
暗号化演算
HSM security boundary
Crypto
Processing
API
演算処理(高速化) コードの保護
データベース暗号化 KMS暗号化 SSLアクセレーター
コードサイニング デジタル決済
ブロックチェーン

16. © Entrust Corporation
PKI/認証システム
◦ 秘密鍵の保護
◦ SSLアクセラレーション
大規模銀行/デジタル決済システム
◦ データ通信制御
◦ 暗号化鍵の管理
◦ コードの保護
仮想通貨
◦ 高速な暗号処理
◦ 重要なコードの保護
◦ データ暗号処理
タイムスタンプシステム
◦ 時刻トークンの暗号処理
◦ タイムスタンプサービス
データベース暗号化
◦ Oracle DBのTDE機能でマスター鍵の保護
◦ 表領域全体及び列暗号化
ゲームソフトウェア認証
◦ 不正コピー防止
17
nShield HSMの導入事例(国内)

17. © Entrust Corporation
18
暗号鍵の保護 - KeyControlとの連携
KeyControl Cluster
Policy Agent
Applications
File System
Filter Driver
Device Driver
Windowsor Linux OS VirtualizationLayer
nShield as a Service
クラウドサービス型
nShield Connect
ネットワークアプライアンス型
独自の鍵管理アーキテクチャで安全に鍵を保護
→FIPS 140-2 Level 3の準拠
→監査への対応がしやすくなる。

18. © Entrust Corporation
19
KeyControlと簡単に連携

19. © Entrust Corporation
20
KeyControlと簡単に連携

20. © Entrust Corporation
21
KeyControlと簡単に連携

21. © Entrust Corporation
クラウド環境で提供されるHSM
nShield as a Service
(nSaaS)
クラウド環境でオンプレミスHSMの機能をそのまま、使える

22. © Entrust Corporation
23
nShield as a Serviceの詳細：構成図

23. © Entrust Corporation
© Entrust Corporation
nShield as a Serviceの詳細：導入オプション
安全なデータセンターで設置されている専用のnShield HSMへのアクセス
◦ FIPS140-2 level 3
◦ リモート管理キットを使用して、クラウドベースのnShield HSMの構成や鍵管理が可能
お客様の規模/要求によってプランの選択か可能
◦ Base/standard/Premium/Enterprise
◦ HSMのインスタンス/Region HA
◦ フルマネージド/セルフマネージド
保守 &サポート
◦ モニタリングサービス
◦ アップグレード/パッチまたは緊急メンテナンスを提供
◦ 24時間365日のサポート
24
nShield as a Service
クラウドサービス型

24. © Entrust Corporation
© Entrust Corporation
25
ご清聴ありがとうございました。