【ここが変わったWindows Vista：特別編】Vistaの知られざる機能を探る――“BitLockerドライブ暗号化”とは

パソコン盗難による情報漏洩を防ぐBitLocker

情報漏洩の危険からOSを保護するVistaの新機能“BitLockerドライブ暗号化”

マイクロソフト(株)の次世代Windows『Windows Vista』には、パソコンのセキュリティー環境を改善するさまざまな機能が搭載されている。“BitLocker(ビットロッカー)ドライブ暗号化”機能は、Vistaで実装された新しいデータ保護のための機能である。これは今までのWindowsにはなかった機能であり、BitLockerに関する情報はまだ多くない。本稿ではマイクロソフトへの取材に基づき、BitLockerのアーキテクチャーと実際の使用法について解説する。

ひところは毎日のように、日本のどこかでノートパソコンを紛失したり盗まれたりして、病院の医療カルテや役所の個人情報、銀行の口座情報が流出するといったことが新聞紙上を賑わしていた。ノートパソコンを盗難から完全に守るのは難しいので、次善の策としてはノートパソコンに個人情報などを入れて持ち歩かないのが一番だ。しかし利便性を考えれば、ノートパソコンにもこれらの情報を入れて、外出先や自宅で仕事を行ないたいというのも本音だろう。そこで考えられたのが、仮にノートパソコンが盗まれてもHDDからデータを盗まれないよう、不正な手段ではパソコン自体が起動しないようにするのがBitLockerの役目だ。

同社Windows本部Windows OSマーケティング部兼ビジネスWindows製品部部長の中川 哲氏はWindows XPでのデータ保護機能について、「Windows XPでは、コンテンツの保護(Right Management System)(※1)と、ファイルやフォルダごとの暗号化(EFS：Encrypting File System)といったデータ保護機能を持っていました」と述べている。新しく導入されたBitlockerは、Windows XP/2000が持っていたファイルやフォルダー単位の暗号化とは異なり、ボリューム(いわゆるCドライブやDドライブ)単位で暗号化を行なうことで、パソコンの紛失や盗難による情報漏洩を防ごうというものだ。

下記の表は、Vistaが備えるセキュリティー機能の違いを示したものだ。複数のセキュリティー機能を組み合わせることで、多層的な防御を実現しているのが分かる。

「BitLockerはパーティションを暗号化する機能のため、ファイルやフォルダーを暗号化するEFSの機能が向上したものと勘違いされる場合も多いのですが、EFSとはまったく違ったコンセプトのデータ保護機能です。基本的にOSがインストールされたボリュームだけを暗号化します。そのため、OSを起動するときに暗号化を解く鍵が用意されていないと、OS自体が起動しないようになっています」(システムテクノロジー統括本部インフラストラクチャテクノロジー本部クライアントプラットフォームグループテクノロジースペシャリストの胡口敬郎氏)

BitLockerでは、OS本体がインストールされたパーティション(OSボリューム)全体を暗号化する。同じ暗号化と言っても、Windows XP/2000のファイルシステムがサポートする“暗号化ファイルシステム”(EFS：Encrypting File System)とは異なる機能だ。OSボリューム内にあるすべてのファイル、例えばスワップファイルやテンポラリーファイル、休止状態への移行(ハイバネーション)時にメモリー内容を保存するファイル(hiberfil.sys)も、BitLockerでは暗号化される。

またBitLockerで暗号化されるのは、OSボリュームのみである。1台のHDDを複数のパーティションに分割していたり、複数台のHDDを使っているような環境では、OSボリューム以外はBitLockerでは暗号化されない。OSボリューム以外を暗号化したい場合は、EFSを使って暗号化する必要がある。これはOSボリューム全体を保護することで同ボリューム内にある重要なデータも保護できるほか、正規のユーザー以外にはOSを起動できなくすることで、EFSで暗号化した他のボリュームも間接的に保護できるためである。

なお、BitLockerは『Windows Vista Enterprise』『Windows Vista Ultimate』のエディションのみが搭載する機能である。Vista Enterpriseはボリュームライセンスのみでの販売のため、一般ユーザーがBitLockerを使うには、Ultimateが必要になる。

3種の鍵を使うBitLockerの仕組み

BitLockerで使う鍵は、3種類が用意される。

　
• パソコンに内蔵されたTPM(Trusted Platform Module)チップの保護メモリーに格納される鍵(RSA 2048bit)
　
• USBメモリーデバイスに格納される鍵(AES 128bit)
　
• 4〜20桁の暗証番号(PIN)

TPMとは、米インテル社、マイクロソフト、米IBM社、米ヒューレット・パッカード社、米AMD社、米サン・マイクロシステムズ社など、多くIT企業が参加して、設立した業界団体“TCG(Trusted Computing Group)”が規格を決めたセキュリティー関連の基本モジュールである。今年発売された多くのノートパソコン(ビジネス向きではほとんど)でサポートされているハードウェアだ。 ノートパソコンだけでなく、最近ではビジネス向きのデスクトップパソコンにも採用事例が増えている。 TPMにはパソコンのセキュリティー性を高めるために、以下のような機能が用意されている。 ●情報を安全に“格納する場所”を提供 ●暗号処理を行なうための“安全な場所”を提供 ●格納された情報が改ざんされていないことを“チェックする機能”を提供 TPMの概略図。最近では非常に小さなチップで実現されており、将来的にはチップセットの内部に組み込まれるかもしれない

前述のように、BitLockerはTPMチップやUSBメモリーに鍵を保存する。いずれか1種類を鍵として利用するだけでなく、TPMとUSBデバイスの両方を組み合わせて、よりセキュリティーを高めることもできる。

BitLockerを理解するうえで重要な点は、USBメモリーやTPMに保存されている鍵は、ボリュームの暗号を解く直接の鍵そのものではないということだ。強固な暗号化を施しているとはいえ、鍵のデータを基にボリュームの暗号化を解かれてしまう可能性も絶対にないとは言えないため、Vistaでは鍵を3重に重ねている。

BitLockerのアーキテクチャー。USBメモリーやPINは、ブートマネージャーが起動後に鍵として使われる。さらにTPMやUSBメモリー、PINなどを鍵として、OSボリュームの復号化プロセスに進む

USBメモリーやTPMの鍵は、“ボリュームマスターキー”という中間的な鍵を解くためのものだ。このボリュームマスターキーから、実際のボリュームの暗号化を解く鍵となる“ボリューム暗号化キー”を解くことができる。このように重層的にすることで、セキュリティーの度合いを大幅に高めている。

BitLockerの起動プロセス。TPMやUSBメモリー内の鍵は第1段階に過ぎず、1段階分の鍵が破られただけでは、全体の暗号化は破られない

一度起動に成功すれば、後は通常のHDDと同様に暗号化を意識することなく利用できる。暗号化されたボリュームへのアクセスはフィルタドライバーが処理を行なうので、アプリケーションがBitLockerによる暗号化を意識する必要はない。なお暗号化されたボリュームへのディスクアクセスは、暗号化していない場合と比べて5％程度のオーバーヘッドが生じる可能性があるという。また暗号化はHDDのセクター単位で行なわれるため、既存のパーティション分割ツールやデフラグツールの類を暗号化されたボリュームやHDDに適応するのは、問題を発生させる可能性がある。

鍵の種類ごとに異なる注意点

鍵の種類ごとの特徴を見てみよう。まずTPMだけを利用する場合だが、TPMはパソコン内に内蔵されている。そのためTPMだけを鍵として利用する場合、もしノートパソコンが盗まれたら、TPMを鍵としてVistaが起動してしまうので、セキュリティー強化としてはほとんど意味をなさない。しかし使い勝手の面では、ユーザーはまったく何もしなくても、暗号化されたOSボリュームを起動できるので楽ではある。

一方で、ノートパソコンやデスクトップパソコンなどからHDDだけを盗まれてデータが盗み取られるといったケースでは、鍵が入ったTPMを内蔵するパソコンでしか、OSボリュームの中身には一切アクセスできないことになる。そのため、仮に盗んできたHDDをほかのパソコンに接続しても、OSボリューム全体が暗号化されているため中身は一切見られない。ちなみにBitLockerで暗号化したボリュームは、Vista以外のWindowsでは未フォーマットのボリュームとして認識される。

USBメモリーに鍵を格納する場合は、USBメモリー自体がOSをブートするための物理的な鍵となるため、セキュリティーとしては高くなる。イメージとしては自動車の鍵と似たようなものだ。パソコンにTPMが内蔵されていなくても利用できるのも利点である。しかし当然ながら、鍵となるUSBメモリーをどこかに忘れたりすると、OS自体が起動しなくなる。起動した後は、USBメモリーは抜いてもかまわないので、差しっぱなしは避けた方がよいだろう。

最もセキュリティー面で強固なのは、TPMとUSBメモリーの2つがそろわないと起動しないようにすることだ。TPMとPINを組み合わせたり、TPMとUSBメモリーを組み合わせる方法を選択した場合は、起動中にPINの入力やUSBメモリーの装着が要求される。

BitLockerを使う手順は

BitLockerの設定は、“コントロールパネル”→“セキュリティ”にある(赤枠は編集部による作成)

BitLockerを使うには、OSが入っている“OSボリューム”と、OSの起動に必要なファイルが入った“システムボリューム”(ブートローダーボリューム)の2つのパーティションが必要だ。システムボリュームは1.5GB以上の容量で、プライマリー領域として確保されていることと、アクティブフラグが設定されていることなどが条件となる。

BiLockerで暗号化されたHDDのレイアウトイメージ。OSボリュームと、OSを起動するシステムボリュームの最低2つが必要になる

もし1台のHDDを丸ごと1つのパーティションとして、そこにVistaをインストールして利用している場合、BitLockerを使えるようにするには、ユーザー自身がHDDのパーティションを分割しなければならない。そのために必要なツールは、Vista自体が備えている。VistaのインストールDVDで起動した際の“システム回復オプション」からコマンドプロンプトを利用して、OSがインストールされたボリュームを縮小し、システムボリュームを作成する。そしてシステムボリュームに、OS起動に必要なブート用プログラムをコピーする必要がある。なおパーティション分割に関する詳細については、マイクロソフトの“BitLockerドライブ暗号化のステップバイステップガイド”を参照されたい。

BitLockerを設定しようとした際に、パーティションの用意がなかったり、パソコンにTPMがない場合は、赤枠内ような警告が表示される

VistaのDVDでパソコンを起動し、“システム回復オプション”から“コマンドプロンプト”を使って、ブート用のパーティションを作成する

“DiskPart”コマンドで、OSボリュームとシステムボリュームの2つのパーティションを作る。その後、ブートマネジャーなどをシステムボリュームにコピーする

BitLockerでOSボリュームを暗号化するには、コントロールパネルから“BitLockerドライブ暗号化”を選択する。なおBitLockerの標準設定では、TPMを鍵として使うように設定されている。このためTPMが搭載されていないパソコンでは、USBメモリーを鍵として使えるように、セキュリティー関連の設定を変更しなけばならない。またUSBメモリーを鍵として使う場合は、BIOSがUSBメモリーを読み書きできる必要がある。古いパソコンの一部では、USBストレージをBIOSではサポートしていない場合もあるので注意が必要だ(この場合はTPMでの利用しかできない)。

USBメモリーを鍵にしたり、暗号方式の変更を行なうには、“グループポリシーオブジェクトエディタ”(gpedit.msc)を起動して、“ローカルコンピュータポリシー”→“コンピュータの構成”→“管理用テンプレート”→“Windowsコンポーネント”→“BitLockerドライブ暗号化”を選択する。このメニューにある“コントロールパネルセットアップ：詳細なスタートアップオプションを有効にする”の設定画面から、TPMが入っていないパソコンでもUSBメモリーを鍵にすることで、BitLockerが利用できる。

TPMを内蔵しないパソコンでは、設定を変更してUSBメモリーを利用できるように設定する。グループポリシーオブジェクトエディタで“Bitlockerドライブ暗号化”→“詳細なスタートアップ〜”を選択する

“詳細なスタートアップ〜”を“有効”にすれば、TPMのないパソコンでも、USBメモリーを鍵として利用できるようになる

“BitLockerドライブ暗号化”を選択後は、ウィザードに従っていけば自動的にUSBメモリーに鍵が保存され、さらにリカバリー用の回復パスワードもUSBメモリーに保存される。鍵が保存されたら、一度パソコンを再起動し、TPMやUSBメモリーに入った鍵が確実に動作するかをチェックする。その後、再度ログインすると、OSボリュームの暗号化が始まる。暗号化にかかる時間はCPUやHDD容量などによって異なるが、1GBで1分程度というのが目安だ。

前述のオプションを“有効”に設定した後でBitLockerの設定を実行すると、USBメモリーを鍵として選択可能になっている

鍵をなくしたらどうする？

BitLockerで問題になるのは、“鍵をなくした”とか“OSパーティションがクラッシュした”といったことで、パソコン自体が起動しなくなる危険性があることだろう。BitLockerでは起動用のUSBメモリーの鍵、TPM内部の鍵のほかに、48文字の“回復パスワード”が用意されている。

平文の回復パスワードを入力すれば、BitLockerで暗号化されたパソコンを、鍵を使わずに起動できる。逆に言えば、回復パスワードはユーザーやIT管理者がきちんと管理しなければならないものだ。万一にも、ノートパソコンに回復パスワードを書き込んだメモを貼りつけていたりすると、丸ごと盗まれた時に暗号化した意味がなくなってしまう。

回復パスワードをどこに保存するかを選択。回復パスワードを忘れてしまうと、鍵を紛失した時にBitLockerで暗号化されたパソコンは二度と起動できなくなる。印刷したり、別のUSBメモリーに保存するなど、きちんと管理する必要がある

もし鍵をなくしたり、TPMやUSBメモリーのエラーによって鍵が読み込めなくなった場合は、起動時に回復パスワードを入力して、OSボリュームの暗号を解いてパソコンを起動する。回復パスワードで起動した時には、新たな鍵を生成することもできる。USBメモリーに鍵を入れていてなくしたり、USBメモリーだけを盗まれたとしても、新しい鍵を作ってしまえば古い鍵を使えなくさせることができる。またVistaが動作しているパソコンに暗号化されたボリュームを含むHDDを接続すると、回復パスワードを使って暗号化されたOSボリュームにアクセスすることもできる。緊急時の復旧に、この機能が利用できるだろう。

鍵を保存したら、一度システムチェックでテストを行なう。テストで確実に復号化できることが確認されたら、実際の暗号化が始まる

中川氏は「BitLockerを計画したときに真っ先に考えたのは、暗号化や鍵の仕組みと同時にリカバリーの方法です。数1000台ものパソコンを運用する大企業においては、パソコン自体のトラブルや鍵の紛失といったことは、頻繁に起こりうることです。こういったときにも、比較的簡単にリカバリーができるようにしておかないと、仕事ができないといったことになります。企業での使用については、BitLockerの鍵の管理も一元的に行なえるように、Windows ServerのActive Directryに統合しています」と述べている。

このように、企業内ネットワークにActive Directryを導入している場合、暗号化鍵や回復パスワードをActive Directry上で一元的に管理を行なうことも可能である。またBitLockerの動作モードの指定(TPMを使用するか、暗号アルゴリズムの選択など)も、一括して管理できる。

使い勝手の向上を期待したいBitLocker

実際にテストしてみたが、OSがインストールされたパソコンにBitLockerを導入するのは、非常に大変だと感じた。システムに関する高い知識がなければ難しい。企業であればIT管理者などの専門知識を持った社員が行なってくれるが、個人は利用するには難しすぎる。IT管理者が行なうにしても、もっと簡単にBitLockerのインストールができないと普及しにくいのではないだろうか。例えば、Vistaをインストールする際のメニュー画面でBitLockerを選択すれば、最初から自動的にシステムボリュームとOSボリュームを作り、環境を整えるようにしてほしい。

BitLockerの設定時に、デフォルトでTPMを使用するようになっている点は、セキュリティーを高めるという観点では良いことだ。しかしTPMのないパソコンで設定しようとすると、設定作業を継続できないのはいかがなものだろうか？　TPMがない場合は、自動的にUSBメモリーを鍵とするように設定を変更して作業を継続させるべきだろう。

改善を期待したい点としては、BitLockerを利用できるエディションが限られることも挙げられる。個人ユーザーにとっても有効なBitLockerだが、個人がBitLockerを利用するには、高価なUltimateを購入するしかない。できれば『Windows Vista Business』にもBitLockerの機能をつけてほしかった。あるいはプラグインのような追加モジュールを購入すれば、どのエディションでもBitLockerが使えるようになれば、一般ユーザーにもBitLockerによる情報保護が広がると思う。

企業での利用を考えた場合、USBメモリーだけでなく、例えばSuicaや“おサイフケータイ”などに採用されている非接触ICカード機能“FeliCa”を、鍵を入れるメディアとして使えるようになると、さらに便利になるだろう。最近では多くの企業で、ICカードになった社員証を入退出の鍵として利用する場合が増えている。1枚のICカードが入退出だけでなく、パソコンの起動キーにもなれば、企業ユーザーにとっては便利なはずだ。

加えて、OSボリュームだけでなく、それ以外のデータ用ボリュームもBitLockerで暗号化してくれると、データ保護の安全性がより高くなる。あるいはリムーバブルな外付けドライブをBitLockerと同じような仕組みで保護できれば、外付けHDDやUSBメモリーなどのデータ保護も向上するだろう。現在のEFSによる暗号化は、ファイルやフォルダーごとに行なうため細かなコントロールが可能だが、セキュリティーを気にしない大雑把なユーザーにとってはかえって使いにくい。暗号化ドライブにデータを保存するだけでOSが自動的にデータの暗号化をしたり、暗号化されたドライブには、認証鍵がないとほかのシステムからもアクセスできないといった利便性の向上を期待したい。

　
• Windows Vistaホーム (http://www.microsoft.com/japan/windowsvi...)

(山本雅史)