企業では秘密鍵はどのように処理されますか？
弊社では、電子署名と、場合によっては電子メールの暗号化の使用を開始したいと考えています。公開鍵暗号化に関する私の知識は完全に理論的であり、実際の経験はありません。
公開鍵暗号では、電子メールまたはドキュメントは署名者の秘密鍵で署名されます。秘密鍵が安全に、理想的にはスマートカードのようなハードウェアに保存されていることが重要です。
数年前、従業員が1台のコンピューターしか持っていなかった場合に、これがどのように実現可能だったかがわかります。しかし、電子メールの読み取りと書き込み（および署名）に複数のデバイス（デスクトップコンピューター、スマートフォンなど）を使用する人々がいる今日の企業では、これはどのように扱われますか？
安全なデータセンターのデバイスに従業員の秘密鍵を保存するためのソリューションは市場にありますか。誰かが電子メールを送信するたびに、メールサーバーが「秘密鍵サーバー」と通信して秘密鍵とユーザーを取得します。次に、パスフレーズを入力しますか？
そうでない場合は、（おそらくUSB接続を使用して）キーを他のデバイスに転送するのが一般的な方法であり、たとえば、iPhoneに保存されている秘密キーを、紛失や盗難が容易で、おそらくそれ以外の方法でセキュリティで保護する方法はありますか？ 4桁のパスコード？
暗号化と署名は2つの異なるアクティビティであり、その点で違いが非常に重要です。
暗号化は、「許可されたユーザー」を除いて、データの機密性を維持することです。これらのユーザーが秘密鍵を持っている場合、暗号化は「エンドツーエンド」と呼ばれ、受信者のデバイスで復号化が行われ、所有者がそのデバイスにアクセスできるようにした秘密鍵を使用しないと暗号化できません。企業は、一般的に言って、それをまったく好きではありません。暗号化により、一部の自動処理、特にアンチウイルススキャン（受信メールの場合）と情報漏えいの検出（送信メールの場合）が防止されます。さらに、暗号化によってデータ損失の問題が発生します。秘密鍵が使用できなくなると、暗号化された電子メールは通常暗号化されて保存されるため、読み取ることができなくなります。特に、userが利用できなくなったとき（解雇された;彼は引退した;彼は事故で殺された; ...）そして、組織内の彼の機能の新しいテナントは以前のユーザーが受信した企業メールを読むことができます。
したがって、ビジネスのコンテキストでは、暗号化が一元化されている場合、つまり暗号化が存在する場合に適しています。電子メールは、多くの場合、数学的に（暗号化を使用して）ではなく、「侵入防止」ベースでセキュリティが実行されるサーバーに「そのまま」保存されます。暗号化は、転送中のデータ（通常はSSL）に使用されます。ユーザーは、電子メールの読み取りまたは送信時に中央サーバーを使用して認証しますが、必ずしもスマートカードにRSA秘密キーを必要とするわけではありません。 （組織外の）外部の受信者にメールが送信されると、暗号化が適用される場合でも、専用ゲートウェイシステムでafter分析システムは、送信される電子メールの内容を検査し、さらなる電子メールの伝播に備えています。
Signaturesは回避されます。厳密に言えば、署名はあなたが構築し、自分自身を指す合法的な武器です。署名の要点は、電子メールの内容が実際に署名者が送信したものであることを証明するものであり、第三者にとって説得力があります。これは、署名者に追加の責任を受け入れるよう強制する方法としてのみ機能します。
あなたが適切に考えるなら、あなたは署名したくないでしょう。あなたは他の人々があなたに送るものに署名することを望んでいます。したがって、ビジネスは署名を回避しようとし、電子メールに署名するためのシステムを展開します。これは、別の方法で署名が既に行われている別の既存のシステムを置き換える場合であり、さらに不便です。
これは次のように要約されます：電子メールおよび/または電子メール署名のエンドツーエンドの暗号化をサポートする場合、...考える再び。おそらくそれは良い考えではないということです。
ただし、スマートカードの秘密キーはauthenticationのために展開されます。ユーザーは秘密鍵を含むスマートカード（USBトークン形式の可能性があります）を受け取り、それをWebサーバーとのクライアントSSL接続に使用します。その場合、クライアントはWebブラウザです。これは機密データへのアクセス用であるため、通常、企業は「ホームデバイス」からのそのようなアクセスを禁止します。従業員は自分のiPadから接続することは想定されていません。彼は、会社が承認したアンチウイルスソフトウェアでなぞられ、適切に「ロックダウン」された、会社が提供した承認されたラップトップコンピュータのみを使用するものとします。
日常業務でいくつかの署名が必要な場合（例：処方箋、コンピュータ化された医療ファイルの世界では：医師医師が処方するものについて説明責任を負う必要があります）、これは基本的なものではありません。電子メール、ただし厳密にフォーマットされた「メッセージ」、ローカルの特定のアプリケーションまたは同様のトリック（ActiveXコントロールまたは署名付きのJavaアプレット、Webサイト）を通じて署名されます。ここでも、ホームデバイスは許容できると見なされます。
そうは言っても、何年にもわたって一部の企業は、通常、サーバーにパスワードベースの暗号化で保存された秘密の値（RSA秘密キーなど）にまで煮詰められる「仮想スマートカード」の販売を試みてきました。大部分は GnuPG鍵リング はそのようなシステムのインスタンスです。パスワードによる暗号化によって保護された秘密鍵が含まれています。そのキーリングのコピーをバックアップサーバーに配置すれば、準備は完了です。 「仮想スマートカード」の商用ソリューションは、主にこのプロセスを容易にし、既存のアプリケーション（特にOutlookおよびInternet Explorer）とより統合することを目的としています。
私が知る限り、これらのシステムはいずれも、上で説明した理由により、真の商業的成功にはなりませんでした。これらの「仮想スマートカード」の付加価値は、会社全体で完全に回避したい状況向けです。
[開示：CoSignで働いています]
安全なデータセンターのデバイスに従業員の秘密鍵を保存するためのソリューションは市場にありますか。誰かが電子メールを送信するたびに、メールサーバーが「秘密鍵サーバー」と通信して秘密鍵とユーザーを取得します。次に、パスフレーズを入力しますか？
はい、強化された（FIPS 140）集中型デジタル署名アプライアンスが利用可能です。主要モデル CoSign Central を作成します。アプライアンスは、OPが説明するように、ネットワーク経由で着信する要求に署名します。また、PKI認証局（CA）として機能し、署名者の証明書を自動的に作成および保守します。その証明書は、上位レベルの証明書に従属することができます。または、そのマスター証明書（組織の証明書）は自己署名することができます。
秘密鍵をアプライアンスから取り出すことはできません。カバーを割って開けようとすると、ハードウェア保護によってすべてが消去されます。
集中型PKI署名の考え方は、約10年前のものです。これには、スマートカード/エッジ署名に比べていくつかの利点があります。
- 今日のモバイルファーストコンピューティングスタイルで非常にうまく機能します。 （ローカルスマートカードスロットはありません。）
- ローカルハードウェア/スマートカードリーダーへのアクセスがまったくないか、非常に限られているWebスタイルのコンピューティングでもうまく機能
- デジタル署名証明書を一元化することにより、PKIシステムの継続的な管理コストを劇的に削減します。スマートカードやトークンの作成、配布、紛失、交換に関する問題はありません。
- Active DirectoryまたはLDAPディレクトリシステムとの自動同期により、継続的な管理コストを削減します。corpディレクトリの適切なグループに追加されたユーザーには、ボックスによってデジタル証明書が自動的に発行されます。
- 署名者ごとの認証要件は、必要に応じて調整できます：名前/パスワード、2要素認証など。
- Microsoft CAPIおよびCAPIをサポートしますNGデジタル署名用API。したがって、これらのAPIを使用するすべてのWindowsアプリは、CoSignで自動的に動作します。
- 多くの追加APIをサポートし、Outlookと連携して電子メールメッセージにデジタル署名します。
コストが低く、ROIが速い。詳細： www.arx.com
ほとんどの企業は、実際にはドキュメントまたは電子メールの暗号化/署名にPKIを使用していません。システムの実装と保守のコストは、一般に、いくつかの理由でセキュリティ上の利点よりも高いと考えられています。
- 企業はすでに独自のインフラストラクチャを制御しているため、すべての内部メールにSSL/TLS暗号化を実装できるため、PKIソリューションは過剰です
- 多くの企業には十分なドキュメント追跡とバックアップがあり、メッセージまたはドキュメントの検証が必要になった場合、PKIなしでそれを実行できます。
- 一元化された認証/承認は、一般的に送信者が信頼されていることを意味します。あなたがログインし、アカウントを使用してメールを送信できる場合、それはあなたでなければなりません。もちろんそれは調査の原因ではありませんが、まれです
- 電子メール用のPKI署名/暗号化ソリューションを提供している企業は他にほとんどなく、PKI電子メールの送受信には双方に互換性のあるシステムが必要であるため、多くの場合意味がありません。リンクのある企業は、電子メールサーバー間でSSL/TLSが有効になっていることを確認し、そのままにしておきます。