## 定義 フルディスク暗号化(full-disk encryption, FDE)は、ディスクへの書き込み時にデータを暗号化し読み出し時に復号することで、機器の盗難があってもハードウェアだけが失われデータは失われないようにする技術である。鍵は通常パスワードなどの初期認証ステップに依存し、機器のスリープ・電源断時に忘却される。*Security Engineering* 第3版第20章は、この一見単純な製品が実際には非常に複雑であることを強調する。1980年代からのソフトウェアFDEは性能ペナルティを、ハードウェア製品は輸出規制対応のコストを伴った。パスワードから鍵を導出すると総当たり攻撃(オフライン)に晒されるため、TPMチップによるパスワード試行回数制限が必要になり、2007年からWindowsのBitLockerで利用可能になった。2010年からは、セクタ番号をソルトとして各ブロックを暗号化する専用モード**XTS-AES**が使われるようになり、AES対応CPUではオーバーヘッドは数%に留まる。しかし攻撃は絶えない。2008年にAlex Haldermanらが発表した**コールドブートアタック**は、コンピュータのDRAMを冷却して一時的な暗号鍵を保持させたまま再起動し、軽量OSでメモリイメージを取得して鍵を読み出す手法で、当時主要だったFDE製品の大半を突破した。2015年にはAndroidの多くでファクトリーリセットの実装不備により中古端末からFDE鍵を含む認証情報が回収可能なことが判明し、2019年にはCarlo MeijerとBernard van Gastelが市場シェア60%を占める3種のサードパーティ製FDE製品に脆弱性があり、オープンソースのソフトウェア暗号化の方が安全だったことを示した。悪用面では、FDEの普及自体がランサムウェア(攻撃者が侵入しFDEを仕込んで暗号化を完了させてから身代金を要求する)の主要因の一つになっている。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 20 Advanced Cryptographic Engineering]], ch.20 §20.2) ## 横断的知見 - (このconceptは本 ingest が最初のソースであるため、複数ソースの突き合わせによる横断的知見はまだ無い。他章・他ソースがFDE・XTSモード・コールドブートアタックに触れた際に、ここへ積み増す。) ## 未解決の問い - [[暗号利用モード]]は第5章の記述にもとづきXTSを「ディスク暗号化用のトゥイーク鍵によるホワイトニング」として簡潔に扱うが、第20章はXTSの採用時期(2010年〜)・性能(AES対応CPUで数%のオーバーヘッド)・実際の攻撃(コールドブートアタック)という運用上の詳細を補う。XTSモード自体の暗号学的な強度と、コールドブートアタックのような鍵の物理的な残留に起因する攻撃は独立した脅威モデルだが、両者を統合した防御(例えば鍵をDRAMに残さない設計)の実例は本章の範囲外である。 - Amazon S3バケットの暗号化のような「クラウドのFDE的な対策」が、実質的にはチェックボックス的なコンプライアンス対応に留まり、S3バケットの真の失敗モード(アクセス制御の設定ミス)には対処していないという指摘を本章はしているが、FDEという概念をクラウドストレージにまで拡張してよいかどうかの整理は本章にはない。 ## 関連 - [[@2020__Wiley__Security Engineering 3e - Chapter 20 Advanced Cryptographic Engineering]] — XTS-AES・コールドブートアタック・BitLocker/FileVaultの詳細 - [[暗号利用モード]] — XTSモードのブロック暗号利用モードとしての位置づけ - [[耐タンパ性]] — TPMチップによる鍵管理・パスワード試行回数制限との接続 ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 20, §20.2.