マスター鍵

マスター鍵は、ユーザーデータを直接暗号化するのではなく、他の鍵を生成・保護・ラップするために用いる長寿命の暗号鍵です。代表的な利用形態としては、AWS KMS、GCP KMS、Azure Key Vault などの envelope encryption において短命のデータ暗号化鍵(DEK)をラップする鍵暗号化鍵(KEK)、HKDF の "master secret" や BIP32 ウォレットのマスター鍵のような階層型 KDF のシード、TDE 系システムにおけるデータベースマスター鍵などがあります。マスター鍵が漏洩するとそれが保護するすべてが侵害されるため、HSM、TPM、セキュアエンクレーブに保管し、短い暗号操作にのみ使い、文書化されたクリプトピリオドに沿ってローテーションし、厳格な認証と監査ポリシーでアクセスを制限します。