読み方：エンベロープあんごうか

エンベロープ暗号化【envelope encryption】

概要

エンベロープ暗号化とは、暗号の運用方式の一つで、データを暗号化するための「データキー」を、さらに別の「マスターキー」で暗号化して、データ本体と共に保存する方式。手紙を封筒に入れ、その封筒をさらに別の封筒で密封する様子に例えた名称である。

まず、データそのものを暗号化するために共通鍵暗号方式の暗号鍵であるデータキー（DEK：Data Encryption Key）が生成される。このデータキーが盗まれるとデータが解読されてしまうため、別の暗号鍵であるマスターキー（KEK：Key Encryption Key）によって暗号化し、暗号データと一緒に保管する。データを復号する際には、マスターキーでデータキーを復号し、これを使ってデータ本体を復号する。

エンベロープ暗号化により、クラウド環境などでデータの暗号化を利用する際に鍵管理の効率性を安全性を向上させることができる。マスターキーをクラウドサービスや専用のハードウェアなどの安全な場所に一括して保管しておくことで、万が一個別のデータキーが流出しても、マスターキーさえ守られていれば他のデータに被害が拡大することを防ぐことができる。

暗号化して保管したいデータがたくさんある場合、データの数だけデータキーを保管する必要があり、鍵の管理コストや保存のための記憶容量が大きくなるが、エンベロープ暗号化ではマスターキーのみを保存・管理しておけば良い。データキーはデータと共に保管され、暗号化されており秘匿する必要もないからである。実用上は、マスターキーはクラウドサービスのキー管理サービス（KMS：Key Management Service）などで保管することが多い。