封筒暗号化.

大量データを高速なデータ鍵で暗号化し、そのデータ鍵を KMS や HSM に格納されたマスター鍵で暗号化(ラップ)するパターン。 サイバーセキュリティの 暗号 カテゴリに属します。

大量データを高速なデータ鍵で暗号化し、そのデータ鍵を KMS や HSM に格納されたマスター鍵で暗号化(ラップ)するパターン。

封筒暗号化は、大量データの対称暗号化と鍵の保管を分離します。オブジェクトごとに新しいデータ暗号鍵(DEK、通常は AES-256)で本体を暗号化し、その DEK を長寿命のキー暗号化鍵(KEK)すなわちマスター鍵で暗号化します。KEK は KMS や HSM の外には出ません。暗号文と一緒に保存されるのはラップされた DEK のみで、復号時には IAM 制御下で KMS を呼び出して DEK をアンラップします。これにより、高速なローカル暗号化、テナント別やレコード別の鍵、データを再暗号化せずに DEK を再ラップするだけで済むローテーション、明確な監査証跡が実現します。AWS KMS、Google Cloud KMS、S3 SSE-KMS、多くのクラウドストレージ暗号化の基礎です。

封筒暗号化 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: ラップ鍵暗号化, DEK/KEK パターン。