Elementのドライブ暗号化はどのように機能しますか？

環境

• NetApp Elementソフトウェア
• すべてのNetApp SolidFireストレージ ノード
• すべてのNetApp SolidFire SSD

回答

暗号化キーの作成方法

• 各ドライブには、ドライブごとに単一の「バルク暗号化キー」があり、ドライブパスワードがそのキーを保護（暗号化）します。  実際にキー自体を設定するわけではありませんが、ドライブのパスワードを管理しています
• ドライブのパスワードから Shamir 共有を作成し、それをクラスタ全体に分割します。  つまり、クラスタ全体に分散された共有パスワードを持つ、ドライブごとのキーということです

 
鍵の変更手順
パスワード（通常はキーと呼ばれますが、暗号化キーではなく、ドライブのロックを解除するためのパスワードです）。パスワードは「バルクキー」を暗号化し、そのバルクキーはドライブ上のすべてのバイトを暗号化するために使用されます。パスワードは「バルクキー」のみを暗号化するため、迅速に設定および変更できます。  パスワードはクラスター全体に安全に保存されるため、ドライブや単一のノード上に存在することはなく、ネットワークを介してそのまま送信されることもありません。パスワードは、暗号化機能を無効にしてから再度有効にすることでリセットでき、数分で完了します。

1. 上記の手順を実行すると、クラスタ内のすべてのドライブのドライブパスワードが変更されます。
2. 顧客がドライブ上の実際の暗号化キーをリセットする必要がある場合は、ドライブを「セキュア消去」する必要があります。これは、「バルクキー」を破棄して新しいキーを生成することを意味します。当社のシステムで「バルク暗号化キー」を変更するプロセスでは、データの移行と保護のためにドライブの削除と追加の手順が追加されます（そうしないとデータが失われます）。

アーカイブされたキーを保存するプロセス
ドライブのパスワードはアーカイブされず、クラスタ全体に保存されます。パスワードを組み立ててドライブのロックを解除するには、少なくとも2つ以上のノードが必要です

キーの交換または送信のプロセス
現在、キー管理はローカルで行われており、外部に送信／交換することはできません
 
キーの失効プロセス
一括キーのパスワードは、暗号化機能を無効にしてから再度有効にすることでリセットできます。所要時間は数分です。これにより、一括キーのパスワードがリセットされます
個々のドライブのキーローテーションについて：

1. UI/API を介してドライブをクラスターから「削除」し、使用可能な状態にします。
2. ドライブ上でセキュア消去 API コマンドを使用します。
3. これにより、ドライブは暗号化されたデータを消去し、古いキーを破棄して新しいキーを生成します。
4. 次に、ドライブをクラスターに再度追加します。
5. これはスクリプトで自動化できます。

どのような暗号化アルゴリズムが使用されていますか？
現在、SolidFireの暗号化の大部分はOpenSSLを介して実装されています。SkeinとShamir Shareが利用されます。Shamir Shareは、Adi Shamirによって作成された暗号化のアルゴリズムです。これは秘密共有の一形態であり、秘密を複数の部分に分割し、各参加者にそれぞれ固有の部分を与え、秘密を復元するためにはその一部または全部が必要となります。
 
どの程度の暗号化強度が使用されていますか？
AES-256は、SolidFireが使用する標準化された暗号化仕様です。
 
証明書に使用されるビット長はどれくらいですか（該当する場合。2048ビット以上である必要があります）
現在、SolidFireは、外部で生成され、2048ビット以上のキーでモジュールにインポートされた証明書は使用しません。
 
暗号化設定の現在の構成を示すスクリーンショット
SolidFireは自己暗号化ドライブを利用します。クラスタ全体の保存データの暗号化は、クラスタのパフォーマンスに影響を与えることなく、オン/オフを切り替えることができます。参照 SolidFire Element Software ユーザーガイドおよびAPIガイド

クラスタGUI > 設定 > 保存時の暗号化 > 保存時の暗号化を有効にする

追加情報

保存データ（ドライブ暗号化）