EFS を使用したハード ドライブの暗号化でデータを保護する
トピック
 | はじめに |
| 開始する前に |
| 回復キーを生成してバックアップする |
| ドメインベースの回復エージェントを作成する |
| ローカル回復エージェントを作成する |
| EFS を使用する |
| エクスプローラのメニューで [暗号化] および [暗号化解除] オプションを使用可能にする |
| EFS ファイル共有を可能にする |
| データ回復キーをエクスポートおよびインポートする |
| データを回復する |
| 最適な方法 |
| 関連情報 |
はじめに
多くの企業では、デスクトップ コンピュータは複数ユーザーによって共有されています。ポータブル コンピュータを携帯し、取引先の施設、空港、ホテル、または自宅などで、業務上の機密に対する物理的な保護なしに使用するユーザーも少なくありません。これは、重要なデータが業務の管理範囲外に置かれることがしばしばあることを意味しています。許可されていないユーザーによって、デスクトップ コンピュータに格納されたデータが読み取られる可能性があります。また、ポータブル コンピュータは盗難の危険性があります。こうしたあらゆる状況では、企業の機密データに悪意のある人間がアクセスできてしまいます。
データの盗難の可能性を減らすソリューションの 1 つは、暗号化ファイル システム (EFS) を使用して機密ファイルを暗号化し、データのセキュリティを強化することです。暗号化とは数学的なアルゴリズムを応用し、必要なキーを所有するユーザーだけがデータを読めるようにすることです。EFS は、コンピュータ上のデータを暗号化し、そのデータを暗号化解除、または回復できるユーザーを制御する、Microsoft のテクノロジです。ファイルが暗号化されている場合、アッタカーは、コンピュータのデータ記憶域に物理的にアクセスできたとしても、ユーザーのデータを読むことができません。EFS を使用するユーザーはすべて、暗号化ファイル システム証明書を所有する必要があります。この証明書はデジタル文書であり、その所有者に EFS を使用したデータ暗号化および暗号化解除を許可するものです。EFS のユーザーは、ファイルを変更するための NTFS アクセス許可も保持する必要があります。
EFS には、次の 2 つの種類の証明書があります。
| • | 暗号化ファイルシステム証明書: この証明書は EFS 証明書とも呼ばれ、この証明書の所有者は、EFS を使用したデータの暗号化と暗号化解除を行うことができます。通常の EFS ユーザーは、この証明書を取得します。この証明書に対する [拡張キー使用法] フィールド (Microsoft 管理コンソールの証明書スナップイン内) の値は、"暗号化ファイル システム (1.3.6.1.4.1.311.10.3.4)" です。 |
| • | ファイル回復証明書: この証明書の所有者は、だれが暗号化したかに関係なく、ドメインやその他のスコープ内にある暗号化されたファイルやフォルダをすべて復元できます。この証明書は、Domain Admins、またはデータ回復エージェントと呼ばれる非常に信頼された指定ユーザーだけが取得するのが適切です。この証明書に対する [拡張キー使用法] フィールド (Microsoft 管理コンソールの証明書スナップイン内) の値は、"ファイルの回復 (1.3.6.1.4.1.311.10.3.4.1)" です。この証明書は、EFS DRA 証明書とも呼ばれます。 |
暗号化を行った本人以外の許可されたユーザーが暗号化されたデータを読み取れるようにするには、そのユーザーに、暗号化を行ったユーザーの秘密キーを与えるか、そのユーザーをデータ回復エージェントに指定します。データ回復エージェントは、そのエージェントのスコープ内にあるドメインまたは組織単位内の EFS を使用して、暗号化されたファイルをすべて暗号化解除できます。このドキュメントでは、小中規模の企業における EFS 関連の主要な作業を、手順を追って説明します。また、EFS の最適な使用方法について、重要なものをいくつか説明します。
このドキュメントでは、次の作業についての手順を説明します。
| • | 回復キーを作成および保護する。これにより、データの暗号化を行ったユーザーがそのデータを回復できなくなった場合でも、確実に回復できるようにします。 |
| • | 回復エージェントを作成する。回復エージェントは、ファイルの暗号化を行ったユーザーがそのファイルを回復できなくなった場合でも、回復できます |
| • | 使用する環境用に EFS をセットアップする。 |
| • | EFS を容易に使用できるように、エクスプローラを構成する。 |
| • | EFS と連携するようにファイル共有を構成する。 |
| • | データ回復キーをエクスポートおよびインポートして、暗号化されたファイルおよびフォルダのセーフ リカバリを可能にする。 |
| • | データの暗号化を行ったユーザーがデータを回復できなくなった場合に、そのデータを回復する。 |
このドキュメントに記載されている手順を実行することで、次に示すシステム規模の変更を行います。
| • | バックアップ データ回復キーを作成する。 |
| • | 回復エージェントを作成する。 |
| • | コンピュータのハード ドライブ上のデータを暗号化するために EFS を使用可能にする。 |
| • | EFS オプションを含むようにエクスプローラを構成する。 |
また、これらの手順を実行することで、次に示す変更や事前策も実装できます。
| • | 選択した暗号化済みデータに対する共有アクセスを提供する。 |
| • | 暗号化されたデータを回復する際に使用できるように、データ回復キーを管理する。 |
| • | 必要な場合に、暗号化されたデータを回復する。 |
開始する前に
このドキュメントに記載されている手順は、EFS を使用するようにコンピュータを構成し、EFS を使用して職場のコンピュータのハード ドライブ上のデータを保護する方法を説明しています。これらの手順の実行を開始する前に法律顧問に相談して、計画している暗号化のポリシーや手順が、関連する法や規制に違反していないことを確認してください。特に米国外に事務所がある場合は、暗号化ソフトウェアに関連する輸出規制法について知っておく必要があります。また、次に示す、EFS を使用するためのいくつかの基本的な要件や条件についても理解しておいてください。
| • | NTFS ファイル システム ボリューム上のファイルおよびフォルダだけを暗号化できます。つまり、EFS を使用して、FAT または FAT32 ファイル システムを使用するハード ドライブ上のデータを保護することはできません。FAT ファイル システムを使用し続ける特別な理由がない限り、これらのボリュームを NTFS を使用するように変更することをお勧めします。Windows 95、Windows 98、および Windows Millennium Edition オペレーティング システムでは、NTFS および EFS はサポートされません。Windows XP Home Edition では NTFS はサポートされますが、EFS はサポートされません。 | ||||||
| • | 圧縮されたファイルまたはフォルダは暗号化できません。圧縮されているファイルまたはフォルダを暗号化すると、それらの圧縮は解除されます。 | ||||||
| • | System 属性の付いたファイル、および systemroot フォルダ内のファイルは暗号化できません。 | ||||||
| • | 最初にファイルまたはフォルダを暗号化するときにポップアップ ダイアログ ボックスで選択したオプションが、以降の暗号化の動作を決定します。
|
このドキュメントに記載されている手順では、特に指定されない限り、サーバー コンピュータでは Windows Server 2003 オペレーティング システムが稼動し、クライアント コンピュータでは Windows XP Professional が稼動するものとします。
Active Directory 環境では、ユーザーは移動ユーザー プロファイルを持つものとします。 このドキュメント中のスクリーンショットはテスト環境を反映したものであり、そこに含まれる情報はお使いのコンピュータ上で表示されるものと異なる場合があることに注意してください。
このドキュメントに記載されているすべてのステップ バイ ステップの手順は、オペレーション システムをインストールしたときの既定の設定で表示される [スタート] メニューを使用することを前提に設計されています。したがって、[スタート] メニューの設定を変更している場合には、この手順と異なる可能性があります。
回復キーを生成してバックアップする
回復キーのバックアップがない場合、暗号化されたデータの取り返しのできない喪失が起きる可能性があります。回復キーをバックアップしておくことは、EFS 暗号化証明書を所有するユーザーがデータの暗号化を解除できなくなった場合に暗号化されたデータを確実に回復するのに役立ちます。
要件
| • | ユーザー資格: この操作は、プライベート ストア内にファイル回復証明書と秘密キーを持つ回復エージェント アカウントを使用して実行される必要があります。ドメイン管理者は、既定の回復エージェントです。自宅または非ドメイン環境では、既定の回復エージェントは存在しませんが、コンピュータ上のすべてのアカウントに対してローカル回復エージェントを作成できます。自宅用の設定では、各 EFS 証明書所有者が各自の秘密キーをバックアップするのが一般的です。 |
| • | ツール: Microsoft 管理コンソール (MMC) への証明書スナップイン。 |
警告: 既定の回復ポリシーに何らかの変更を加える前に、既定の回復キーを必ずバックアップしてください。ドメイン内の既定の回復キーは、そのドメインの最初のドメイン コントローラに格納されています。
| • | 既定の回復キーをフロッピー ディスクにバックアップするには
|
ドメインベースの回復エージェントを作成する
あるアカウントに、EFS を使用して暗号化されているデータの読み取りと回復を許可するには、そのアカウントを回復エージェントにする必要があります。ドメイン環境では、ドメイン アカウントをその目的で使用することをお勧めします。Active Directory® ディレクトリ サービス フォレスト内の任意のサイト、ドメイン、または組織単位に対して回復エージェントを作成できます。既定では、ドメインの Administrator ビルトイン アカウントは回復エージェントです。この場合、回復エージェントを作成する必要はありません。
要件
| • | ユーザー資格: ドメインの Administrator |
| • | ツール: MMC への Active Directory ユーザーとコンピュータ スナップイン |
| • | ドメインベースの回復エージェントを作成するには
|
ローカル回復エージェントを作成する
スタンドアロン コンピュータやワークグループ内などの非ドメイン環境では、ローカル回復エージェントを作成できます。コンピュータを複数のユーザーで共有する場合に、ローカル回復エージェントを作成しておくと、役に立つ場合があります。単一ユーザーのコンピュータでは、ユーザーが単純に回復キーをリムーバル メディアにバックアップすることが簡単です。
要件
| • | ユーザー資格: ローカル コンピュータの Administrator |
| • | ツール: グループ ポリシー オブジェクト エディタ |
| • | ローカル回復エージェントを作成するには
|
EFS を使用する
回復エージェントを作成し、回復キーのバックアップを生成した後は、許可されないアクセスからファイルまたはフォルダを保護するために、EFS の使用を開始できます。このセクションでは、EFS を有効にする手順について説明します。
要件
| • | ユーザー資格: EFS 証明書およびファイルまたはフォルダを変更できる NTFS アクセス許可を持つユーザー |
| • | ツール: エクスプローラ |
| • | EFS を使用してファイルまたはフォルダを暗号化するには
|
エクスプローラのメニューで [暗号化] および [暗号化解除] オプションを使用可能にする
EFS をより簡単に使用できるようにするため、ユーザーがファイルを右クリックしたときにショートカット メニュー上に [暗号化] および [暗号化解除] が表示されるようにエクスプローラを構成できます。そのためには、Windows のレジストリを編集して、既定では存在しない新しいレジストリ値を作成する必要があります。
警告: レジストリを不適切に編集すると、システムに重大な問題が生じる可能性があります。レジストリを変更する前に、コンピュータ上の重要なデータをバックアップしておいてください。
要件
| • | ユーザー資格: レジストリ編集の経験およびその危険性を認識している管理者 |
| • | ツール: レジストリ エディタ |
| • | エクスプローラのメニューで [暗号化] および [暗号化解除] オプションを使用可能にするには
|
注: Windows Server 2003 では、エクスプローラ メニューに [暗号化の詳細] ボタンも追加できます。それには、レジストリ バッチ ファイル (*.reg) を作成し、それに次の内容を含めて、各ユーザーに対してそのレジストリ バッチ ファイルを実行します。
[HKEY_CLASSES_ROOT\*\Shell\Encrypt To User...\Command]
@="rundll32 efsadu.dll,AddUserToObject %1"
EFS ファイル共有を可能にする
通常職場では、機密データを保護するために暗号化を使用することが望まれますが、一方、そのデータに複数のユーザーがアクセスできることが必要です。EFS では、1 ユーザーによって暗号化されたファイルに対し、他の複数ユーザーにアクセスを許すことができます。暗号化されたファイルへのアクセスを複数ユーザーに許すためには、そのファイルを暗号化したユーザーがファイルを共有指定し、暗号化されたファイルに各追加ユーザーの EFS 暗号化証明書を追加します。これにより、共有アクセスを可能にします。このようにして、職場では、データの可用性を損なうことなくセキュリティを強化できます。
次に示す、暗号化されたファイルの共有に関連する要件および制限事項について認識しておいてください。
| • | ユーザーのグループは暗号化されたファイルに追加できません。また、ユーザーを暗号化されたフォルダに追加できません。 |
| • | 暗号化されたファイルに追加されるユーザーはすべて、そのファイルが存在するコンピュータ上で EFS 暗号化証明書を保持しなければなりません。通常、Verisign のような証明機関が証明書を発行します。ユーザーがコンピュータにログオンし、任意のファイルを暗号化した場合、そのユーザーはそのコンピュータ上に EFS 暗号化証明書を所有することになります。 |
| • | ファイルの暗号化を解除できるすべてのユーザーは、そのファイルへの読み取りアクセスが可能でなければなりません。このアクセスを可能にするために、NTFS アクセス許可が適切に設定される必要があります。必要な NTFS アクセス許可を持たないためにアクセスが拒否されたユーザーは、暗号化されたファイルを読むことができず、データの暗号化も解除できません。ファイルへのアクセス許可の設定については、Microsoft TechNet Web サイト http://go.microsoft.com/fwlink/?LinkId=22847 の 「To set, view, change, or remove permissions on files and folders」(英語)を参照してください。 |
要件
| • | ユーザー資格: EFS 証明書とファイルの所有権が必要 |
| • | ツール: エクスプローラ |
ファイルに追加されるすべてのユーザーは、コンピュータ上に証明書を持つ必要があります。
| • | ユーザーにファイルの暗号化と暗号化解除を許可するには
|
注: ユーザーがファイルに追加され、ユーザーの EFS 暗号化証明書がインポートされると、証明書の正当性について、信頼されたルート証明機関 (CA) への照会が行われます。その後、証明書はそのユーザーの "その他のユーザー" 証明書ストアに格納されます。
データ回復キーをエクスポートおよびインポートする
暗号化されたデータの通常の回復が不可能な場合に、データ回復エージェントがそれを回復できるように、データ回復キー (DRA キー) はデータ回復エージェントから使用可能である必要があります。したがって、回復キーを保護することが重要です。回復キーを喪失から保護するのに有効な方法は、データ回復エージェントのデータ回復証明書と秘密キーをセキュリティ保護可能なリムーバル メディアに .pfx 形式でエクスポートすることです。これらをインポートすることで、喪失データを回復できます。
次の手順で、DRA キーをエクスポートおよびインポートする過程の概要を説明します。
要件
| • | ユーザー資格: ドメイン内の最初のドメイン コントローラの Administrator アカウントでのログオン |
| • | ツール: MMC 証明書スナップイン |
データ回復キーをエクスポートする
| • | ドメインの既定データ回復エージェントの証明書と秘密キーをエクスポートするには
|
データ回復キーをインポートする
エクスポートされたデータ回復キーを使用して、暗号化されているデータを回復する必要が生じた場合、最初にそのキーをインポートする必要があります。キーのインポートは、エクスポートに比べて簡単です。PKCS #12 形式のファイル (.pfx ファイル) として保存されているキーをインポートするには、そのファイルをダブルクリックして証明書のインポート ウィザードを開くか、次の手順でウィザードを開始して、キーをインポートします。
要件
| • | ユーザー資格: コンピュータ上の Domain Admin アカウント |
| • | ツール: MMC 証明書スナップイン |
| • | データ回復キーをインポートするには
|
重要: データ回復エージェントにはドメインベースのアカウントを常に使用することをお勧めします。ローカル アカウントは物理的なオフラインの攻撃に対して脆弱なためです。
データを回復する
たとえば、暗号化したユーザーが退職している場合など、暗号化されたファイルを、それを暗号化したユーザーによって回復できない事態が発生した場合に、そのデータを回復して職場でアクセスできるようにする方法が必要です。このセクションでは、暗号化されたファイルまたはフォルダを回復する方法について説明します。そのためには、バックアップまたはその他のバックアップ ツールを使用して、暗号化されたユーザーのファイルまたはフォルダを、データ回復エージェントのファイル回復証明書と回復キーが存在するコンピュータ上に復元します。
この手順を実行するには、指定された回復エージェントである必要があります。つまり、回復するファイルまたはフォルダ上に示されている DRA の秘密キーと証明書を所有する必要があります。
要件
| • | ユーザー資格: データ回復エージェント |
| • | ツール: エクスプローラ |
| • | 暗号化されたファイルまたはフォルダを復元するには
|
最適な方法
暗号化されたファイルおよびフォルダを効率的に使用して管理するのに最適な方法を次に示します。
| • | 回復エージェントが自身の回復証明書をセキュリティ保護された場所にバックアップします。 |
| • | 既定のドメイン構成を使用します。 |
| • | 喪失または失効した DRA の秘密キーは、直ちに更新します。 Cipher.exe /U C:\Temp\test.txt: Encryption updated. C:\My Documents\wordpad.doc: Encryption updated. 注: 証明機関の関係しない、ドメイン内の既定の自己署名された証明書を使用する場合、その証明書の有効期間は 99 年です。 |
モバイル ユーザーのデータを盗難または紛失から保護するのに最適な方法を次に示します。
| • | コンピュータの物理的な保護は最も重要です。コンピュータを盗難や物理的な危険から守る、考えられるすべての予防策を実行してください。これに勝る技術的な手段はありません。 |
| • | モバイル コンピュータは常に、Active Directory ドメインの一部として使用してください。 |
| • | ユーザーの秘密キーはモバイル コンピュータとは別の場所に格納して、必要な場合はインポートするようにしてください。 |
| • | マイ ドキュメントのような一般的なフォルダや一時使用のフォルダは暗号化して、新しいファイルや一時ファイルがすべて、作成されたときに暗号化されるようにします。 |
| • | データの機密性が著しく高い場合、新しいファイルの作成先、および既存のプレーンテキスト ファイルのコピー先は暗号化されたフォルダにします。これにより、コンピュータ上にプレーンテキスト形式のファイルは存在しなくなり、巧妙なディスク分析攻撃によって一時的なデータ ファイルが復元されることがなくなります。 |
| • | グループ ポリシー、ログオン スクリプト、およびセキュリティ テンプレートの組み合わせを使用して、ドメイン内のフォルダの暗号化を強要し、マイ ドキュメントのような標準的なフォルダが暗号化されるようにします。 |
| • | Windows XP オペレーティング システムは、オフライン ファイルのデータの暗号化をサポートします。クライアント側のキャッシング ポリシーを使用するときに、ローカルにキャッシュされるオフラインのファイルおよびフォルダが暗号化されるようにします。 |
| • | モバイル コンピュータ上で、システム キー ユーティリティ SYSKEY をモード 2 またはモード 3 (ブート フロッピーまたはブート パスワード) で使用して、不特定のユーザーによってシステムがブートされるのを防ぎます。システム キー ユーティリティおよびそのオプションについては、Windows のオンライン ヘルプを参照してください。 |
| • | 委任に対して信頼されている、暗号化されたファイルを格納するためのサーバーのグループ ポリシーで、サーバー メッセージ ブロック (SMB) 署名を有効にします。この設定が存在するグループ ポリシー内の場所は、=グループ ポリシー オブジェクト名?\コンピュータの構成\Windows の設定\セキュリティの設定\ローカル ポリシー\セキュリティ オプション\Microsoft ネットワーク サーバー : 常に通信にデジタル署名を行うです。 |
| • | ファイルを暗号化した後、およびその後定期的に、暗号化されていないデータがハード ドライブから削除されていることを確認してください。 |
関連情報
EFS の詳細については、次を参照してください。
| • | Microsoft TechNet Web サイト http://go.microsoft.com/fwlink/?LinkID=22412 の「Encrypting File System」(英語) |
| • | Microsoft TechNet Web サイト http://go.microsoft.com/fwlink/?LinkID=22413 の「Encrypting File System in Windows XP and Windows Server 2003」(英語) |