PR

鍵の保存場所は要注意

 Windows 2000以前のEFSに限らず,守るべき情報と鍵を一緒に保管してしまうのは,よくある間違いだ。WindowsのLMハッシュを思い出してみよう。これも簡単に復元できる形でパスワードを保存しているという意味では,鍵を守るべき情報のそばに置いている,と言える。指紋認証も同じだ。

 情報漏えいを防ぐために認証や暗号化を使うときに注意しなければならないのは,守るべき情報と,暗号化や認証に使った鍵を分けて保存しておくこと(図6)。方法はいろいろある。USBキーやフロッピという外部媒体に鍵を置いておくのもいい。また,鍵情報を含むパスワードを使うのもいいだろう。ただし,システムの都合上,鍵が分けられない形でパソコンに残ることもある。そういう場合は,鍵を暗号化して,その鍵を外部で保存するという手を使えば安全にできる。

図6●「鍵」をノート・パソコンから分けておくことが重要
図6●「鍵」をノート・パソコンから分けておくことが重要
「鍵」が本体に付いていると簡単に情報が盗まれてしまう。「鍵」をパソコンと切り離しておくことが情報流出を防ぐポイントになる。 [画像のクリックで拡大表示]

室長:…というわけで,Windows 2000の場合は,EFSの鍵を改めて暗号化する必要があるわけじゃな。

市谷:そんなことができるんですか?

室長:そんなに難しいことではないんじゃよ。Windows標準のSYSKEYを使うんじゃ。SYSKEYは,Windows XPでも守りをより固くするために使うとよいじゃろう。SYSKEYをうまく使えばパスワードを2重にする効果もあるんじゃよ。

 SYSKEYは,Windowsのパスワード保護機能。パスワードだけでなくEFSの暗号鍵も暗号化する。これを使えば,EFSの生の暗号鍵も解読できない状態で保存できる。

 SYSKEYには複数のモードが存在する。デフォルトのモード1は,SYSKEYの暗号鍵をパソコンの内部に保存している。このため,Windowsでログオンさえできれば,EFSによって暗号化されていたとしても中身が見えてしまう。

 一方モード2は,SYSKEYの鍵を外部に分けることでより安全にしている。

 モード2では,SYSKEYにパスワードを設定する。パスワードが鍵として使われているので,Windowsを起動するときにSYSKEYのパスワードを入れない限り,EFSで暗号化されたデータの中身を見られない。モード2を使えば,実質的にWindowsログオンまでの認証を2重化できる。WindowsログオンのパスワードがLMハッシュとして保存されていても,SYSKEYのパスワードで,侵入はぎりぎり防げることになる。

 SYSKEYの設定は難しくない。WindowsでSYSKEYというファイルを実行すれば簡単に設定できる(図7のA)。その上で漏えいしては困るファイルのあるフォルダをEFSで暗号化する(同B)。こうすれば,「悪用されないようになってます」と言えるわけだ。

図7●鍵情報を暗号化するのにはSYSKEYを使い,フォルダを暗号化するのにはEFSを使う。
図7●パソコン内の鍵情報とフォルダを暗号化
鍵情報を暗号化するのにはSYSKEYを使い,フォルダを暗号化するのにはEFSを使う。 [画像のクリックで拡大表示]

室長:というわけじゃ。

市谷:意外と奥が深いですねえ…。

流山:とりあえず,急いで全部のノート・パソコンでSYSKEYとEFSを使うように徹底します。そのうえで,パスワードを長くするか,USBキーを使うか検討してみることにします。

室長:そうじゃな。情報漏えいを防ぐ対策を考えるときは,鍵がどこにあり,どう守るのかを考えておくことがポイントなんじゃ。そのことをしっかり考えておけば,応用が利くはずじゃ。

今回のポイント


●ログオン・パスワードだけでノート・パソコンからの情報漏えいを防ぐことはできません。ファイルの暗号化も併用する必要があります。
●暗号化や認証の鍵となる情報は,パソコンと別の場所にしっかり保存しましょう。。