ディスク暗号化の適切な使用例は何ですか？
私はディスク/ファイルシステムの暗号化について研究してきましたが、表面的には、多くのことについて良い考えのように思えます。しかし、私がさらに掘り下げると、それが提供するセキュリティは、実際よりもミラージュのように見えます。
たとえば、データセンターのファイルシステムをどこかに暗号化しても、バックアップを作成したり、故障したハードウェアを交換したりするには、システムに物理的にアクセスできる必要があるため、ほとんど意味がないようです。 。そして、サーバーが再起動した場合、起動するためのキー/パスフレーズをサーバーに提供する必要があります。それらを提供しない場合、sshを実行する方法またはそれを提供するための方法を理解する必要があります。これは、a）PITAであり、b）とにかく安全ではありません。理論的にはメモリやキーなどを読み取ることができます.
誰かがネットワークを介して侵入した場合、誰かがrootを持っているとプレーンテキストが表示されるため、データが暗号化されていても問題ありません。したがって、あなたが信頼できる人々/セキュリティを備えたデータセンターを見つけることに努力を払うほうが価値があるように思えますOR妄想的であれば自分でホスティングします。システム上のファイルシステムの暗号化物理的に制御できない場合、DRMと同じくらい安全であると私には思われます。
ファイルシステムの暗号化が意味を成しているように思われるのは、バックアップを保存することです。複数のオフサイトの場所に保存する場合、それらも信頼できない可能性があるため、暗号化は歓迎されます。キーとパスフレーズのバックアップを別の場所に保存した場合でも、USBキーを非表示にする方がHDDまたはテープを非表示にするよりもはるかに簡単なので、実行する価値があります。
もう一つの意味があるように思える別の領域はラップトップです。ラップトップが盗まれた場合、USBキーをラップトップの暗号化されたドライブと一緒に保持することは、優れたセキュリティになります。ラップトップを視界に入れないようにすることは、それと同じくらい良いことかもしれません。
物理的なセキュリティを制御し、マシン（たとえば、自宅のサーバー、ワークステーション、デスクトップなど）にアクセスできる場合は、暗号化することをお勧めします。ここでも、USBキーの制御とセキュリティ保護は、コンピューターシステムのセキュリティ保護よりもはるかに簡単です。
これらは私がこれまでに得た結論ですが、私が何かを見落としている可能性は十分にあります-そのため、私はここで質問したいと思いました。考え？同意する？同意しない？
データセンターでは、ディスクの暗号化は古いディスクの処理に役立ちます。ディスクに障害が発生した場合、ディスクを破棄（リサイクル）できます。これは、ディスクに含まれている可能性のあるデータが暗号化され、対応するキーがないと回復できないためです（これは、サーバーの「システム」ディスクまたはその他のデバイスのどこかに暗号化キーがあり、故障したディスクがnotシステムディスクである）。それ以外の場合、故障したディスクの廃棄が問題になります（たとえば、酸で満たされた大釜などのシュレッダーと同等のものが必要です）。
ラップトップの場合、ディスクの暗号化は、ラップトップを盗むことができない場合にのみ役立ちますwith復号化ドングル。これは、実際には、ユーザーがドングルを手首に取り付けておくだけでなく、ラップトップ。また、ドングルは起動時だけでなく定期的に使用する必要があることも意味します（「スリープモード」も考慮に入れてください。ユーザーが再起動することはほとんどありません）。ユーザーはそのようなセキュリティ機能に積極的に抵抗することが予測できます（ユーザーが対処するセキュリティシステムは、セキュリティシステムがない場合よりも悪いです）。
1）ディスクの暗号化は、紛失や盗難が容易なあらゆる種類のポータブルメディアに適していると思います。たとえば、情報の転送に使用するUSBドライブ、またはラップトップのバックアップ先のUSBドライブ（Macのタイムマシンバックアップなど）です。
このドライブとソースシステムが同じ物理的な場所になく、データが完全に静止している（つまり、ドライブがマウントされていない）場合があります。この場合、ディスクの暗号化はかなり合理的です。
2）ネットワークファイルシステム（クラウドストレージを含む）またはSAN=のディスク暗号化は、同様の理由で理にかなっていると思います-論理/物理メディア（クラウドプロバイダーの従業員など）ですが、復号化キーを持ち、データを使用するエンドポイントシステムに必ずしもアクセスできるわけではありません。データを使用してエンドポイントで実行される限り。
tl; dr：ディスクの暗号化により、「会社Xは顧客の機密データを保持するラップトップを失う」というタイプの別のイベントおよびそれらは現在ネット上で利用可能です "（"イベント "と"イベントの報告 "は同じではないことを私は知っています）-平均的なユーザーを信頼してラップトップを守ることは効果がありません。
もう一つの意味があるように思える別の領域はラップトップです。ラップトップが盗まれた場合、USBキーをラップトップの暗号化されたドライブと一緒に保持することは、優れたセキュリティになります。ラップトップを視界に入れないようにすることは、それと同じくらい良いことかもしれません。
「しない」？ Wordがあなたの考えていることを意味しているとは思いません。それは非常に非現実的です（自分がラップトップをトイレに持ち込んでいるのを見ないだけです）。したがって、無視されます（ "私は誓います、私はちょうど少し振り返ると、poofなくなった！ "）。
ディスク暗号化は実際にはlotの意味があると思います：ラップトップが実際にどこか（空港、タクシー、パブなど）で忘れられる可能性がはるかに高くなります。 ..一部の人々は単に会社の資産を気にしない）、または特定の会社のデータコンテナーとしてではなく、（車から、または荷物から）一般的な貴重品として盗まれた。これらの場合、実際には適切な保護が提供されます（自動化されたバックアップを想定すると、データの損失はほとんどありません）。
まだ言及されていないもう1つの使用例は、リモートワイプ機能を備えたモバイルデバイスです。ディスクをワイプするのにしばらく時間がかかります。その間、攻撃者は何が起こっていることに気づき、介入する可能性があります。暗号化キーをワイプする時間はほとんどないため、スマートフォンのような常時接続のデバイスでも、ストレージを暗号化することにはある程度の価値があります。
バックアップと再起動の問題（どちらの場合も、管理者は暗号化されたボリュームのロックを解除する必要があります）を除いて、アクセスが必要なすべてのユーザーとプロセスへのキーの管理/配布/インストールの問題も指摘します。
ユーザーレベルへの移行が問題にならない場合、PGPネットシェアがいくつかの理由で役立つことがわかりました。
- 暗号化はファイル（ディスク全体ではなく）レベルで行われているため、管理者はファイル（バックアップなど）へのフルアクセスは可能ですが、ファイルの内容はアクセスできません。
- 暗号化されたディレクトリはOSのディレクトリ（ウィンドウ内）を模倣しており、ソリューションはユーザーに対して透過的に機能します
- 暗号化されたコンテンツへのアクセスは、特定のグループの人々に対して決定することができ、各グループは自分のキーを持っています。
- 一元管理されており、規模が拡大しているようです。
一方、暗号化されたものとそうでないものを常に認識しているわけではないため、人々が「チェックアウト」（「ネットシェアから削除」）する必要がある場合、多くの問題が発生しました。ユーザー空間に移動するときは、通常のサポート問題を想定してください。
Ponemon/WinMagicからの最近のレポートでは、完全なディスク暗号化がデータ侵害の緩和に有益であることがわかりました。フルディスク暗号化の総所有コストはマシンあたり年間200〜400ドルですが、（コストのかかるデータ漏えいの削減により）年間節約される平均金額は、マシンあたり年間約4000〜5000ドル（我ら）。したがって、フルディスク暗号化の利点はコストを大幅に上回っていると主張しています。
完全なレポートはこちらです：
- フルディスク暗号化のTCO：米国、英国、ドイツ、日本での調査 、Ponemon Institute、2012年7月。