暗号化アルゴリズムと暗号化システムアーキテクチャに関する簡単な説明

[[436278]]

背景

情報インターネットの急速な発展に伴い、金融業界は情報セキュリティにますます注目するようになっています。金融業界の情報セキュリティに対する要件は、情報システムのソフトウェア、ハードウェア、データが損傷や漏洩から保護され、システムが安全かつ確実に動作できるようにすることです。情報セキュリティの鍵となる技術は暗号化技術です。インターネット技術の急速な更新傾向に直面し、金融業界も暗号化システムに新たな課題を突き付けています。銀行内部システムの安全な運用を確保し、ビジネスの前進を効果的にサポートするために、暗号化アルゴリズムを選択し、暗号化システムアーキテクチャを合理的に展開する方法は、銀行業界にとって大きな課題となります。

1. 暗号化システムの分類

暗号化システムは、対称暗号化システムと非対称暗号化システムに分けられます。対称暗号化システムとは、暗号化/復号化キーが同じキーであり、情報を受信する双方がキーと暗号化/復号化アルゴリズムを知っていることを意味します。このアルゴリズムは主に機密データ情報を暗号化するために使用されます。非対称暗号化システムとは、暗号化/復号化に異なるキーを使用することを指します。通常、「公開キー」と「秘密キー」と呼ばれる 2 つのキーがあり、暗号化されたファイルを開くには、これらを一緒に使用する必要があります。

1.1 対称暗号化アルゴリズム

対称暗号化システムでは、通信当事者が安全なチャネルを介してセッション キーをネゴシエートできることを前提としています。 2 つの当事者が通信する場合、送信者 A は暗号化キー k と暗号化アルゴリズムを使用して元のメッセージ m を暗号文 c に暗号化します。受信者 B は暗号文 c を受信した後、復号化アルゴリズムとキー k を使用して暗号文を復号化し、元のメッセージ m を取得します。

図1: 対称暗号化モデル

1.2 非対称暗号化アルゴリズム

非対称暗号化システムは公開鍵暗号化システムとも呼ばれます。非対称暗号化モデルを図 2 に示します。

図2: 非対称暗号化モデル

非対称暗号化システムの特徴は次のとおりです。

1) メッセージの受信者は、公開鍵と秘密鍵のペアを持っています。公開鍵はデータの暗号化に使用され、秘密鍵はデータの復号化に使用されます。公開鍵暗号化アルゴリズムを使用する前に、ユーザーの公開鍵と秘密鍵を安全に生成し、公開鍵を公開するための初期化プロセスが必要です。

2) 公開鍵は公開データであり、特定の方法で任意のユーザーが取得できます。つまり、公開鍵は秘密に保持されません。

3) 公開鍵と暗号文を使用すると、秘密鍵を知らなければ対応する平文を計算することは非常に困難です。

2. 一般的な暗号化アルゴリズム

暗号化アルゴリズムは、対称暗号化アルゴリズム、非対称暗号化アルゴリズム、ハッシュ アルゴリズムに分けられます。

対称暗号化アルゴリズム

一般的な対称暗号化アルゴリズムには、DES、3DES、AES などがあります。

DES (データ暗号化規格):

このアルゴリズムでは、データは 64 ビットのグループで暗号化され、有効なキーの長さは 56 ビットで、データの暗号化は標準的で、速度は高速であるため、大量のデータを暗号化する場合に適しています。

3DES(トリプルDES):

これは DES アルゴリズムに基づいており、3 つまたは 2 つの DES キーを使用してプレーン テキストの文字列を暗号化します。パスワードの長さは、112 ビット以上 168 ビット以下です。データは 3 つの異なるキーを使用して 3 回暗号化されます。DES と比較すると、強度が高くなります。

AES (高度暗号化標準):

これは、可変ブロック長と可変キー長を持つ反復ブロック暗号化方式です。ブロック長は 128 ビット、キー長は 128 ビット、192 ビット、または 256 ビットで、Advanced Encryption Standard は高速でセキュリティ レベルが高いです。

非対称暗号化アルゴリズム

一般的な非対称暗号化アルゴリズムには、RSA、DSA、ECC などがあります。

RS: いいえ

可変長鍵に対応した公開鍵アルゴリズムであり、暗号化するファイルブロックの長さも可変です。

DSA（デジタル署名アルゴリズム）：

デジタル署名アルゴリズムは、標準的なデジタル署名規格です。主にデジタル署名と認証に使用されます。RSA との違いは、暗号化、復号化、鍵交換には使用できず、署名にのみ使用できることです。

ECC (楕円曲線暗号):

楕円曲線暗号。 ECC や RSA と比較すると、その利点は、強力な攻撃耐性、計算の複雑さの少なさ、処理速度の速さ、ストレージ占有スペースの少なさ、帯域幅要件の低さなどです。

ハッシュアルゴリズム

一般的なハッシュ アルゴリズムには、MD5、SHA1、SHA256 などがあります。

MD5 (メッセージダイジェストアルゴリズム5):

このアルゴリズムは、任意の長さのメッセージ ファイルを入力として受け取り、128 ビットのサマリーを出力として生成します。これは、非可逆的な一方向ハッシュ アルゴリズムであり、同じ平文から同じ暗号文が生成されます。

SHA1(セキュアハッシュアルゴリズム1):

そのアルゴリズムは、任意の長さのメッセージ ファイルを入力として受け取り、160 ビットのダイジェストを出力として生成します。

SHA256 (セキュアハッシュアルゴリズム 256):

これは SHA2 の一種です。メッセージの長さに関係なく、SHA256 は 256 ビットのハッシュ値を生成し、内部状態のサイズは 256 ビットです。

3つのアルゴリズムの比較

対称暗号化アルゴリズムは、暗号化と復号化に同じキーを使用し、高速で、大量のデータの暗号化に適しています。対称暗号化ではクライアントとサーバーで使用されるキーが同じであるため、簡単に解読され、セキュリティが低くなります。

非対称暗号化アルゴリズムは、公開鍵暗号化、秘密鍵復号化、秘密鍵署名、公開鍵検証を使用します。対称暗号化よりも安全ですが、速度は遅くなります。非対称暗号化ではクライアントとサーバーが使用するキーが異なるため、解読が困難で安全性が高くなります。

ハッシュアルゴリズムは主に改ざん防止署名に使用され、任意の長さの文字列を入力して固定長の文字列を取得できます。

国家機密アルゴリズム

国家暗号化とは、国家暗号化局が認定した国産暗号化アルゴリズムを指し、対称暗号化アルゴリズム、楕円曲線非対称暗号化アルゴリズム、ハッシュアルゴリズム（具体的には SM2、SM3、SM4 など）が含まれます。国家秘密アルゴリズムの安全性の高さと国内暗号アルゴリズムの特性により、現段階では、銀行 G の暗号化システムで使用されているアルゴリズムは国家秘密アルゴリズムです。

SM2

暗号強度 256 ビットの楕円曲線非対称暗号化アルゴリズム。アルゴリズムはECCに基づいています。256ビットのSM2暗号化強度は2048ビットのRSA暗号化強度よりも高く、セキュリティも高くなっています。主にデジタル署名やデータ暗号化などの機能を実装するために使用されます。

SM3

ハッシュ アルゴリズムは、ハッシュ アルゴリズムとも呼ばれ、長さ 256 ビットのハッシュ値を出力します。そのセキュリティは、MD5 アルゴリズムや SHA1 アルゴリズムよりも高くなっています。主に、メッセージの要約を計算し、メッセージの整合性を確認するために使用されます。

SM4

パケット対称暗号化アルゴリズムは、データ パケット長が 128 ビット、キー パケット長が 128 ビットです。3DES アルゴリズムよりも安全で、主にデータ暗号化/復号化操作を実装してデータと情報の機密性を確保するために使用されます。

3. 暗号化の共通機能

1) 機密データの漏洩や改ざんを防止する。

2) 特権ユーザーがプライベートデータファイルを閲覧できないようにする。

3) 招待されていない訪問者が機密データファイルを閲覧できないようにします。

4) 侵入者がシステム上のファイルを簡単に見つけられないようにします。

データ暗号化は、7 層の OSI プロトコルの複数の層で実装できます (OSI は Open System Interconnect の略で、オープン システム相互接続を意味します)。したがって、暗号化技術の適用の論理的な位置から、次の 3 つの方法があります。

リンクの暗号化:

ネットワーク層以下の暗号化は通常リンク暗号化と呼ばれ、主に通信ノード間で送信されるデータを保護するために使用されます。暗号化と復号化は、回線上に配置された暗号化デバイスによって実行されます。

ノード暗号化:

これはリンク暗号化の改良版です。プロトコル トランスポート層での暗号化は、主にソース ノードとターゲット ノード間で送信されるデータを暗号化して保護するために使用され、リンク暗号化がノードで不正アクセスを受けやすいという欠点を克服します。

エンドツーエンドの暗号化

ネットワーク層より上の暗号化は、エンドツーエンド暗号化と呼ばれます。アプリケーション層でデータ情報を暗号化する方法は、ソフトウェアで実装しやすく、コストも低いですが、鍵管理の問題が困難です。主に、大規模なネットワーク システムで複数の送信者と受信者の間で情報が送信される状況に適しています。

4. キー管理システム

4.1 キーのライフサイクル

どのようなセキュリティ システムでも、キーの安全な管理は重要なリンクです。キーが効果的に保護されなければ、適切に設計された暗号化システムを設計する意味がありません。キー管理とは、通信に関与する当事者間でキーを確立し、保護するための一連のプロセスとメカニズムを指します。キーが不変であれば、キー管理は非常に簡単になりますが、セキュリティ ポリシーにより、ユーザーは定期的または不定期にキーを変更する必要があります。健全なキー管理システムでは、キーには生成、使用、消滅という独自のプロセスがあり、これがサブキーのライフサイクルを構成します。

キーのライフサイクルには主に 4 つの状態があります。

4.2 キー管理ライフサイクル

キー管理中にシステムがとる一連の異なる状態は、キー管理ライフサイクルと呼ばれます。キー ライフサイクルの 4 つの状態を図 3 に示します。

図3: キー管理ライフサイクル

4.3 キー階層

キーを階層構造に整理することは、キーを保護するための効果的な方法です。階層の最下位にあるキーを除き、他のレベルのキーの目的は、その下のキーを保護することであり、最下位のキーは、データ通信のセキュリティを保護するために使用されます。階層に応じて、キーは次の 3 つのカテゴリに分類されます。

1) マスターキー: キー階層の最上位にあります。マスターキーを保護する他のキーはないため、マスターキーは手動でのみ確立できます。

2) 暗号化キー: キー転送プロトコルで他のキーを暗号化することで、基礎となるキーの安全な転送を保護できます。

3) データ キー: キー階層の最下部にあり、ユーザー データを暗号化して安全に送信できるようにするために使用されます。

この階層的なアプローチにより、キーの使用が制限されるため、キーが露出する可能性が減り、キー攻撃のリスクが大幅に軽減されます。

5. 暗号化プラットフォームシステムの展開アーキテクチャ

金融機関は通常、データの暗号化および復号化アルゴリズムの要件を満たすためにハードウェア暗号化マシンを購入します。暗号化マシンの特別なセキュリティ設計により、キー情報は高度に安全です。まず、暗号化マシンは論理設計を使用して、平文キーが暗号化マシンの外部に公開されないようにし、すべての機密データは暗号化マシン内で計算されます。次に、暗号化マシンには自己破壊装置があり、物理的な手段でキーを不法に取得することはできません。さらに、暗号化マシンは高性能な国産アルゴリズム処理チップを採用しており、1 台の暗号化マシンで 1 秒間に数十万回の暗号化操作を処理できます。

G銀行の暗号化システムの導入を例に挙げると、鍵の統一セキュリティ管理レベルを向上させ、鍵管理および運用コストを削減するために、G銀行は暗号化マシンの統合管理システムを構築し、銀行のすべてのシステムに統一セキュリティ暗号化操作要求を提供しました。暗号機総合管理システムの主な機能には、2 つの側面があります。1 つ目は、鍵管理プラットフォームが担う鍵管理機能です。これは、銀行全体の各種鍵の集中生成、保管、発行などの鍵管理機能を実現します。2 つ目は、暗号化プラットフォームが担う暗号化アルゴリズム サービスです。これは、主にメッセージ MAC の生成と検証、ユーザー パスワードの変換と検証、機密データの暗号化と復号化、データ メッセージの署名と検証など、銀行全体の業務アプリケーション システムに集中的かつ統一されたデータ暗号化と復号化サービスを提供します。暗号化プラットフォームは暗号化機器総合管理システムの中核業務機能であるため、この記事では主に暗号化プラットフォームのアプリケーションロジックアーキテクチャを紹介します（図4参照）。

図4: 暗号化システムアプリケーションロジックアーキテクチャ図

暗号化要求のトランザクション成功率を保証するために、暗号化プラットフォーム全体で、API 負荷分散、アクセス サービス負荷分散、暗号化マシン アクセス負荷分散という 3 層の負荷分散論理アーキテクチャを採用しています。この 3 層の負荷分散フレームワークにより、トランザクション システムの成功率が 100% に達することが保証されます。

5.1 主な機能モジュール

暗号化プラットフォームの主なアプリケーション機能モジュールは次のとおりです。

暗号API:

さまざまなアプリケーション システムに導入され、各アプリケーション システムが暗号化アルゴリズム要求を直接呼び出して開始します。 API は、成功率を確保するために、ポーリング、タイムアウト、再送信、障害検出、自動回復などのメカニズムを使用して設計されています。

暗号化プラットフォームは通常、x 個のグループでクラスターを形成します。暗号化 API は、後ろの n 個の暗号化プラットフォームに暗号化要求を順番に送信します。タイムアウト設定は通常、z ミリ秒未満です。要求がタイムアウトすると、次の暗号化プラットフォームに自動的に再送信されます。暗号化プラットフォームの戻りコードがシステムエラー (ビジネスエラーではない) の場合、API は要求を次のプラットフォームに自動的に再度送信します。特定の暗号化プラットフォームへの要求の連続失敗回数が設定回数に達すると、暗号化プラットフォームは異常と設定され、プラットフォームに要求は送信されません。その後、一定の時間間隔で検出トランザクションが開始されます。検出が成功すると、通常の処理キューに追加されます。

サーバー1:

暗号化 API のサービス要求を受信し、メッセージのフォーマット検証を実行し、キー名とトランザクション コードに従ってルーティングするバックグラウンド暗号化マシンを確認し、トランザクション要求を対応する共有メモリに配置します。トランザクション処理の効率性を確保するために、暗号化プラットフォームはキーをメモリに事前にロードし、並べ替えます。 server1 がキー属性を取得する必要がある場合、バイナリ検索アルゴリズムを使用して対応するキーをすばやく見つけることができます。暗号化プラットフォームは銀行全体の何百ものシステムにサービスを提供する必要があるため、server1 は接続数が多すぎるという問題に直面します。server1 は複数のポートとリンク アグリゲーションを使用してこの問題を解決します。 Server1 は、外部にサービスを提供するために 12 個を超えるリスニング ポートを起動し、各ポートでトランザクションが均等に分散されるようにし、一部のポートは災害復旧バックアップとして予約します。さらに、nginx のリンク アグリゲーション方式を学習し、epoll テクノロジを採用することで、サービス プロセスは最大数万件の接続要求を処理できるようになります。

サーバー2:

共有メモリ内の要求メッセージを受信し、その要求メッセージを暗号化マシンが認識できる形式の要求メッセージに変換し、対応する暗号化マシンに送信する役割を担います。このモジュールは、主要なビジネス処理機能を実装し、基本的な暗号化マシン命令を通じて、約 100 個の一般的なメッセージ データの暗号化および復号化要求を生成し、アップストリームにサービスを提供します。対称鍵と非対称鍵では処理効率に数十倍の差があるため、相互干渉を避けるために、暗号化マシンを対称鍵暗号化グループと非対称鍵暗号化グループに分ける必要があります。各 server2 プロセスは暗号化マシンの 1 つにのみ接続され、共有メモリの暗号化要求を処理するために複数の server2 プロセスが同時に開始されます。 Server2 には、暗号機の異常を検出する機能があります。暗号機に異常が見つかった場合、Server2 は暗号機を異常状態に設定し、その後、Server2 は自動的に処理を終了し、その後、特別なサービス プログラムが異常な暗号機の回復検出を実行します。

主な管理機能:

暗号化リクエストには通常、さまざまなアルゴリズムの実行のみが含まれ、データの更新は含まれないため、暗号化プラットフォームはキーの更新に関連する機能を分離します。キー更新操作には、主に新しいキーの追加とキーの同期が含まれます。関係するモジュールには、主に server3 と server4 が含まれます。server3 はキー管理トランザクションの処理に使用され、server4 はデータベースとの直接的なやり取りを担当します。

サーバー5:

同じグループ内の他の暗号化サーバーへのキー更新操作の同期を担当します。

金融業務の各トランザクションには複数のトランザクションが含まれ、各トランザクションは複数のシステムを循環する際に暗号化要求を複数回呼び出すため、暗号化プラットフォームの処理効率は業務全体の処理効率に大きな影響を与えます。システムの導入とプログラム設計の際には、処理効率に特に注意を払う必要があります。現在、暗号化プラットフォームは、呼び出しシステムに近い異なるコンピュータ ルームとネットワーク ドメインに複数のクラスターを配置して分散方式で展開されています。この展開モードでは、暗号化プラットフォームは暗号化要求ごとに約 AMS の応答時間を実現でき、同時ユーザー数が多い場合でも非常に高い TPS 処理パフォーマンスを提供できます。

5.2 問題と課題

銀行システムの発展に伴い、アクセス システムが急速に成長し、分散暗号化プラットフォーム サーバーの数も急速に増加しました。これにより生じる主な問題は、クライアント API 管理、暗号化プラットフォーム管理、キー管理などの管理上の問題です。

API の主な管理上の問題は、暗号化システムが各システムの API 構成、使用状況、動作状況を完全に把握および制御できないことです。非標準の構成情報、非標準の使用状況、動作異常を適時に検出できないなどの問題があります。

暗号化プラットフォームの主な管理上の問題は、暗号化プラットフォーム サーバーの数が多く、集中的な保守と管理が困難で、操作が複雑で、緊急時の対応効率が低いことです。

キー管理の主な問題は、暗号化プラットフォームの分散展開後に一元化されたキー管理センターが不足していること、キー同期操作が複雑でリスクが高いこと、複数のサーバー間でキー同期が漏れやすいことです。さらに、暗号化要求には複数のキーが関係しますが、これらのキーは暗号化マシン間で直接操作できないという問題もあります。

インターネット、ビッグデータ、クラウドコンピューティング、人工知能、ブロックチェーンなどの技術革新と従来の金融サービスが統合されることにより、将来の銀行情報システムも包括的なクラウドベースおよびその他の技術システムへと進化するでしょう。より多くのコンポーネントが統合されるにつれて、クラウドベースの暗号化とキー管理の広範な適用の傾向は徐々に加速します。クラウドテクノロジーは、より柔軟なセキュリティサービスを提供し、データアクセス、キー管理、データ保持戦略においてより長期的な進歩を遂げることができます。将来的には、集中型の暗号化管理および制御システムを構築するために、暗号化システムをクラウドテクノロジーと組み合わせて、クラウド上の暗号化システムをより効率的かつ集中的に構成および管理することができます。銀行システム構築のアーキテクチャは、銀行の基本的なサービス機能をさらに充実させます。

VI. 要約と展望

金融業界のセキュリティ運用の重要な部分として、情報暗号化技術の重要性は無視できません。暗号化アルゴリズムの公開と復号化技術の発展に伴い、暗号化アルゴリズムの種類はますます多様化しています。その応用シナリオには、ユーザーログイン、ID認証、トランザクションなどが含まれます。異なる応用シナリオでは、目的を達成するために異なる暗号化アルゴリズムが使用されます。

社会のデジタル化の流れに伴い、暗号化アルゴリズムは今後も銀行業界のシステムに深く適用され、技術方向は分散型アーキテクチャに向けてさらに深く進化します。暗号化システムのアプリケーション運用保守管理はより合理的になり、緊急ツールと監視の継続的な改善と充実により、システム運用保守の効率がさらに向上し、運用保守センターの安全な運用を確保する能力も強化されます。