データ復旧サービス 無意味な暗号化 ―― 第三者が復旧可能な暗号
ドライブ製品の中には、「標準暗号化によってデータが守られている」として、安心感をアピールしているものがあります。
利用者が特に意識しなくても自動的に暗号化され、保存データが保護される。
一見すると、とても安全な仕組みに思えます。
しかし、この標準暗号化には大きな問題があります。
特に問題となるのは、バックアップ運用と故障時のデータ復旧です。
この二つの局面で、標準暗号化は大きな負担や不安要素を残してしまう場合があります。
まず、バックアップの問題です。
ドライブ製品を利用する以上、バックアップは必要不可欠です。これはRAID構成であっても同じです。
RAIDは、障害発生時の稼働継続や時間的猶予を目的とした仕組みであり「バックアップの代わりにはなりません」。
そのため、暗号化ドライブであっても、別途バックアップは必ず必要になります。
ここで問題になるのが暗号化の一貫性です。
たとえオリジナルのドライブが暗号化されていたとしてもバックアップ先が非暗号化であれば、標準暗号化による保護の意味は薄れてしまいます。
そのため、本来であればバックアップ先にも同等の暗号化環境を用意する必要があります。
しかし、これを現実の運用で徹底するのは簡単ではありません。
同じ暗号仕様や同じ製品系列に統一しようとすると選択肢は大きく狭まります。
気づけば「この製品しか選べない」という状況になりがちです。
さらに、通常の非暗号化ドライブにもバックアップ自体は取れてしまいます。
その結果、知らないうちに非暗号化の場所へバックアップが作成され標準暗号化の意味が失われてしまうこともあります。
次に、故障時の問題です。
標準暗号化されたドライブは暗号化されているため、通常の方法ではそのまま読み出せません。
そのため、故障時のデータ復旧の難易度を大きく引き上げてしまいます。
バックアップ運用では暗号化の一貫性を保つことが難しく、故障時には復旧作業そのものを難しくする。
これが、標準暗号化ドライブの大きな問題点です。
実際、そのような製品の説明書には「このドライブは標準で暗号化されているため、データ復旧できません」という趣旨の記載がある場合もあります。
つまり製品仕様として、故障時の復旧が困難になることが最初から示されているわけです。
では、そのようなドライブが故障した場合、どうすればよいのでしょうか。
不安定なバックアップだけに頼るしかないのでしょうか。
実は、そのように説明されている製品であってもデータ復旧が可能なケースが「ほとんど」です。
なぜなら、復号に必要な要素がドライブ内部に残っている場合があるためです。
その要素が暗号化される前の状態あるいは解析可能な形で存在していることがあります。
結局、暗号化をドライブ内部で自動制御するために必要な構造でもあります。
暗号化処理を行うには、その処理を開始・管理するための情報がドライブ側に保持されていなければならないためです。
たとえるなら、金庫の近くに鍵が置かれているような状態です。
もちろん、すべての製品が同じ構造というわけではありません。
しかし、第三者によるデータ復旧が可能であるなら、それは本来の意味で強固な暗号化とは言いにくくなります。
つまり、第三者が復旧できる暗号であるのなら、暗号化による絶対的な安全性を期待して購入する意味は薄れてしまいます。
標準暗号化ドライブは一見すると安全に見えます。
しかし、バックアップ運用を複雑にして故障時の復旧リスクを高める。
場合によっては暗号としての実効性にも疑問が残ります。
重要なデータを扱う場合は標準暗号化だけに安心するのではなく、バックアップ設計・復旧可能性・故障時の対応まで含めて慎重に判断する必要があります。
暗号設定ではないのに暗号化されていた
暗号化の闇：特徴としては、この「暗号設定ではないのに暗号化されていた」です。
この原因はプログラミングの観点からみれは一目瞭然でした。
ドライブにデータを保管するセクタ間の読み書きに暗号ライブラリを挟み込むように組まれているためです。
暗号設定の有無を問わず必ず暗号ライブラリを通過してしまうため、ライブラリに組み込まれている暗号設定が必ず適用されてしまうために起きてしまう。
暗号化した覚えがない状態というのは、ライブラリがあらかじめ決めている何かのパスフレーズ等で暗号化された何か、という状況になってしまうのです。
このようにして、非暗号でも暗号化されてしまい、純粋にパフォーマンスが低下し、データ復旧をより困難にする原因でもあります。
必要以上の暗号化は意味がなく、復号するための手がかりがドライブ内部にあれば、暗号化したって復号されてしまいます。
そもそも、なぜ復号するための手がかりをドライブ内部に残すのか。
そのドライブが「外付け」だからです。
外付けで暗号運用するには、復号のための情報も同じドライブに積む必要があります。
そうしないと、暗号処理したパソコンのみでしか復号できない不便なドライブとなるためです。
ところが、その利便性を取ると、結局復号されてしまい暗号化の意味がない。
必要以上の暗号化は不要な点と暗号化するのならドライブ任せではなく「自分で管理すべき」という教訓にもなっております。
暗号化からのデータ復旧
暗号化されている＝復旧は不可能？
取扱説明書に「暗号化されているため、復旧はできません」と記載されている場合でも不可能というわけではありません。
実際に、そのような場合からのデータ復旧にも多数成功しております。
その理由も明らかで、復号するための要素がドライブ内部に必ず存在するためです。
つまり、復旧する要素は必ずドライブが所有しているため「暗号化されている＝復旧は不可能」は成り立ちません。
暗号化されているドライブは2010年くらいから徐々に増加し始めており、その当時から研究を重ねております。
問題なく復旧できますので、お気軽にご相談ください。
ハードウェア暗号化・ソフトウェア暗号化
暗号状態のパフォーマンスを落とさない仕組みとしてハードウェア暗号化があります。
ドライブに接続されるあの基板に暗号処理を実施する専用のチップがあるということです。
さらには、ドライブ自身にそのような仕組みを備えた機種も存在します。
とはいえ、やっていることは記録する直前に暗号化・読み出した直後に復号しているだけです。
本来ならCPUが担当するその演算をその専用チップが処理するため、パソコンに負荷をかけなくて済むという仕組みです。
ところが柔軟性に欠けるためにわかりやすい位置に復号の鍵が存在することも多く、近年のパソコンはCPUで負荷を与えたとしても影響は軽微です。
そのような経緯から、暗号化をセキュリティとして加えるならばソフトウェア暗号化で十分という結論に達します。
暗号と量子 暗号といえば「量子」ですね
暗号というのは、解けないのではなく解くのに膨大な時間がかかるため暗号として機能します。
どんな暗号でも、復号できるということは「総当たりで膨大な時間さえかければ必ず復号のための鍵が見つかる」、この性質からは逃れられません。
そこに、量子が現れたということです。
全ての解を同時に持ちながら欲しい解を引き寄せるのが量子なので、うまく使えば暗号は突破されてしまいます。
結局、秘密鍵さえがわかれば復号できてしまうためです。量子も、その姿を現しつつあります。
暗号化すれば絶対に大丈夫とは、もう言い切れない。
特に、復号後のサンプル（鍵は不明だが、その鍵で暗号および復号されたサンプル）があれば、その解読時間を大幅に短縮することも可能でしょう。
今はそういう時代です。暗号を過信せず、しっかり対応していきたい所存です。
BitLocker
BitLockerが施されたドライブであっても、データの復旧が可能な場合が多くございます。
すべての状況において復号できるわけではございません。
それでも試してみる価値は十分なほどの精度にまで洗練させております。
