ゼロ知識暗号化とは何か

一文で言うと

データは、あなただけが知る秘密から導出した鍵で、何かが送信される前に あなたの端末上で暗号化されるため、サービスが保存するのは復号する手立てのない暗号文だけになります。

この名称は暗号理論の「ゼロ知識証明」から借りたものですが、ストレージの世界ではもっと単純できわめて実務的な意味になります。提供者があなたの平文について持つ知識がゼロであるということです。

実際の仕組み

1. あなたがマスターパスワードを決めます。これが端末から出ることはありません。サインイン時にも送信されず、サーバー側に保存されず、サポートが復旧することもできません。
2. 鍵導出関数がそれを鍵へと伸ばします。最近の仕組みは Argon2id を使います。これは意図的に大量のメモリを必要とし（Keyvaci は1回の推測あたり 64 MiB）、数十億回の総当たりを経済的に成り立たなくします。
3. あなたの端末が、その鍵（またはその鍵で保護された鍵）ですべてを暗号化します。XChaCha20-Poly1305 のような認証付き暗号を使い、データを隠すと同時に改ざんも検出します。
4. 移動するのは暗号文だけです。サーバーはそれを保存し、複製し、バックアップしますが、それ以外には何ひとつできません。

これで防げること

• 提供者側の侵害。データベースを丸ごと奪った攻撃者が手にするのは暗号文だけで、鍵はありません。提供者がデータを読めた結果、攻撃者にも読めてしまった侵害事例と比べてみてください。
• 提供者の内部関係者。悪意ある従業員があなたの平文に対して持つアクセス権は、外部の攻撃者と同じ、つまり皆無です。
• 法的な強制。提供者が引き渡せるのは、保持しているものだけです。暗号文が正直な上限です。
• 人質戦術による囲い込み。提供者がデータを読めなければ「支払わなければ失う」は効力を失います。ただし、真剣な提供者であれば当然そうすべきように、書き出しの権利も約束していることが前提です。

これでは防げないこと

正直な提供者は、この部分をはっきりと述べます。

• ご自身の端末の侵害。復号はあなたのいる場所で行われます。そこにマルウェアがあれば、あなたが見るものはマルウェアにも見えます。
• 弱いマスターパスワード。鍵導出は推測を遅くしますが、「password123」を安全にはできません。凝った工夫より長さです。
• 鍵の紛失。提供者は、一度も持ったことのないものを再設定できません。真剣な法人向け製品は、組織が保持する復旧鍵でこれを解決し、提供者に何の権限も与えずに復旧を可能にします。Keyvaci の復旧もその方式です。

偽の主張を見抜く質問

1.「サポート担当がマスターパスワードを再設定できますか」。できるのであれば、その担当はデータを復号できる何かを持っています。

2.「クライアント側で暗号化しているのは、正確にどの項目ですか」。項目のパスワードだけを暗号化し、タイトルや URL、構造を読める状態で残す製品もあります。Keyvaci は項目と保管庫の名前を暗号化し、保存内容の棚卸しを公開しています。

3.「SSO でサインインした場合、暗号鍵はどこから来ますか」。よい回答は、鍵導出を端末上に保つ仕組みを名指しします。Keyvaci では、SSO が答えるのはあなたが誰かだけで、鍵は今もマスターパスワードからのみ生まれます。

4.「支払いをやめたらデータはどうなりますか」。ゼロ知識に加えて、いつまでも読み取り専用で残るなら信頼できます。ゼロ知識に削除の脅しが伴うのは、精神において矛盾しています。

チームで使う場合のゼロ知識

複数人で使う保管庫には、現実的な難しさが加わります。共有とは、同僚の公開鍵に対して保管庫の鍵を暗号化することであり、それが安全なのは、その公開鍵が本当に同僚のものである場合に限られます。 Keyvaci はこれを組織による副署で解決します。管理者が各メンバーの鍵の照合コードをシステムの外の手段で確認して副署し、すべての端末は何かを共有する前にその署名を検証します。保管庫に入り込みたい攻撃者は、システムの外側の経路で、人間である管理者をだまして自分の鍵に署名させなければなりません。

サーバーが実際に受け取るものを含め、これらの動きを実際に見てみたいですか。 トップページの対話デモをお試しいただくか、 セキュリティ設計の全体をご覧ください。