ApsaraDB RDS:完全暗号化データベースの概要

背景情報

データセキュリティと機密性の高い個人情報に対する当局の監督が強化されるにつれて、アトミックなデータセキュリティ機能だけでは監督要件を満たせなくなりました。国の規制や業界標準に準拠するためには、データライフサイクル全体にわたるセキュリティを確保する必要があります。しかし、従来のサードパーティによるセキュリティ強化やクライアントサイド暗号化には、コスト削減、再構築、パフォーマンス最適化などの面でデメリットがあります。このような状況において、常時機密データベースは急速に成長し、業界で認知されています。常時機密データベースを使用することで、さまざまなシナリオにおけるデータセキュリティの問題を解決できます。

機能紹介

常時機密データベース機能は、アリババ DAMO アカデミーのデータベース・ストレージラボと Alibaba Cloud のデータベースチームによって共同開発されました。この機能は、人為的ミスやプラットフォーム管理の問題といった予期せぬイベントによって引き起こされる潜在的なデータリスクの影響を最小限に抑える技術を活用しています。この機能により、ApsaraDB RDS や、アプリケーションサービスプロバイダーなどのデータ所有者ではない担当者がお客様のプレーンテキストデータにアクセスすることを防ぎ、クラウド上でのデータ漏洩を防止します。これにより、開発者や O&M 担当者によるデータ盗難や、データベースアカウント情報の漏洩を心配する必要がなくなります。

この機能は、機密コンピューティングを使用してクライアントサイドでデータを暗号化します。暗号化後、データは信頼できないサーバーサイドに暗号文として保存されます。さらに、トランザクション、クエリ、分析などの一般的なデータベース操作は、暗号文データに対して通常どおり実行できます。これにより、クラウドプラットフォームプロバイダーやデータベース管理者 (DBA) などの管理担当者は、暗号文データを使用できますが、プレーンテキストデータを表示することはできません。この機能は、外部および内部の脅威から防御し、ライフサイクル全体を通じてユーザーデータを保護し、ユーザーによるクラウドデータの私有化を支援します。

• 本機能は、クラウド上でデータが漏洩しないことをどのように保証しますか？

  データは、お客様のキーを使用してクライアントサイドで暗号化され、ApsaraDB RDS に送信されます。ApsaraDB RDS はそのキーにアクセスできません。そのため、データを復号して信頼できない環境に開示することは不可能です。

• 本機能は、暗号文データに対して一般的なデータベース操作を実行できることをどのように保証しますか？

  暗号文データに対して一般的なデータベース操作を実行する前に、クライアントはリモートアテステーションを使用して、サーバーが高信頼実行環境 (TEE) で実行されているか、また TEE で実行されているコードが信頼できるものであるかを確認します。確認が取れた場合、クライアントはエンドツーエンド方式でキーを TEE に渡します。これにより、暗号文データとキーは TEE 内で処理され、外部ユーザーはアクセスできなくなります。

利用シーン

この機能の長期的な目標は、データの機密性と整合性を保護するためのネイティブなセキュリティ機能を備えたデータベースアーキテクチャまたはシステムを開発することです。この機能により、データベースシステムの高い安定性、高性能、コスト効率を確保し、設計の最適化と再構築を通じてセキュリティ機能を導入できます。

この機能を使用して、以下のシナリオにおけるデータセキュリティの問題に対処できます。

• • プラットフォームの O&M：このシナリオは主に、サードパーティプラットフォームなどの信頼できない環境におけるデータベースサービスの保護に関わり、O&M 中のデータセキュリティを確保します。ほとんどの場合、データ所有者はアプリケーションサービスプロバイダーです。彼らは、権限のないデータベースサービスプロバイダーや O&M 担当者が自分たちのアプリケーションデータにアクセスすることを防ぎ、データベースが期待どおりに実行されていることを保証したいと考えています。

    例：

    • データベースをクラウドに移行する場合、この機能は権限のないクラウドプラットフォームプロバイダーや O&M 担当者がデータベースデータにアクセスすることを防ぎます。

    • データベースシステムがデータセンター内のサーバーにデプロイされ、アプリケーションが接続する場合、この機能は権限のない O&M 担当者がデータベースデータにアクセスすることを防ぎます。

  • 機密データのコンプライアンス：このシナリオは主に、サードパーティプラットフォームなどの信頼できない環境におけるアプリケーションサービスの保護に関わり、機密性の高いユーザーデータのセキュリティを確保します。ユーザー向けのシナリオでは、健康データや金融データなどの特定のデータはユーザーが所有します。ユーザーは、アプリケーションサービスがプレーンテキストのプライベートデータにアクセスすることなく、データ管理および分析機能を提供することを望んでいます。

    例：

    • 企業がサードパーティサービスを使用して商用データを管理する場合、この機能は、企業の企業秘密がサードパーティのサービスプロバイダーによって取得されるのを防ぎます。

    • サードパーティのサービスプロバイダーが個人識別用情報 (PII) や遺伝子情報などの機密データを管理する場合、この機能はエンドツーエンド暗号化に関するコンプライアンス要件を満たすのに役立ちます。

  • 複数ソースのデータ統合：このシナリオは主に、複数ソースのデータの共同分析に関わります。複数ソースのデータ統合と計算中に、この機能は複数ソースのデータへの不正アクセスを防ぎます。データ所有者のみがデータ暗号化キーを保持します。他の当事者はデータ所有者のプレーンテキストデータにアクセスできません。特定のデータをサードパーティと共有する必要がある場合、この機能により、データ所有者はコンプライアンス要件を満たしつつ、キーをサードパーティに開示することなくデータを共有できます。

    例：

    • 共同リスク管理やクロスボーダーサービスなどのシナリオでは、厳格なデータコンプライアンス要件が課せられます。組織は互いのプレーンテキストデータを取得することはできません。

    • 共同マーケティングなどのシナリオでは、パートナーは競合相手でもあります。これにより関係が複雑になり、プレーンテキストデータの共有が困難になります。

   

常時機密データベース機能が提供するセキュリティレベル

ApsaraDB RDS は、以下のセキュリティレベルのデータベースサービスを昇順で提供します。

• クラウド上の通常のデータベース：この機能は Alibaba Cloud のセキュリティサービスと併用され、ほとんどの外部攻撃をブロックします。ただし、RDS インスタンス上のオペレーティングシステム、データベースソフトウェア、IaaS (Infrastructure as a Service) の O&M 担当者、およびデータベースユーザーの間で信頼関係を構築する必要があります。

• 常時機密データベース (基本版)：この機能が推奨されます。この機能は、常時機密アクセス制御モジュールと併用され、データベースユーザーがデータベース内のデータを操作する能力を制限します。これにより、不正アクセスを防ぎ、DBA を含むすべてのデータベースユーザーに対してデータを利用可能にしつつも非表示にすることを保証します。RDS インスタンスでは、オペレーティングシステム、データベースソフトウェア、および IaaS の O&M 担当者のみを信頼する必要があります。

• 常時機密データベース (ハードウェア拡張版)：常時機密データベース (基本版) 機能と比較して、この機能は TEE 技術を使用して、常時機密データベース (基本版) 機能を使用する RDS インスタンスを TEE 環境で実行できるようにし、すべての外部セキュリティ脅威を隔離します。TEE 技術には、Intel Software Guard Extensions (Intel SGX)、Intel Trust Domain Extensions (TDX)、ARM TrustZone、AMD Secure Encrypted Virtualization (SEV)、Hygon Commercial Security Version (CSV)、および機密コンテナが含まれます。RDS インスタンスでは、オペレーティングシステムとデータベースソフトウェアのみを信頼する必要があります。