Ctrlk
HomepageSystem Status
For the complete documentation index, see llms.txt. This page is also available as Markdown.

セキュリティと暗号化モデル

Keeperシークレットマネージャーのセキュリティと暗号化モデル

概要

Keeperシークレットマネージャーは、ゼロ知識プラットフォームです。 シークレットの暗号化と復号化は、ksm アプリケーション、CI/CDプラグイン、開発者用SDKを実行しているクライアントデバイスでローカルに実行されます。

クライアントデバイスの構成ファイル

ksm アプリケーションのローカルの構成ファイル (keeper.iniなど) は、以下の形式をとります。

[_default]
clientkey = XXX
clientid = XXX
privatekey = XXX
appkey = XXX
hostname = US
serverpublickeyid = 10

[_config]
active_profile = _default

このファイルはローカルファイルシステムで保護されている必要があります。ファイルには、Keeper APIで認証し、アプリケーションとクライアントデバイスに明示的に関連付けられたシークレットを復号化できるキーが含まれています。

構成ファイルの保護

Keeperでは、構成ファイルを保護する方法をいくつか用意しています。

シークレットマネージャーCLIの使用

シークレットマネージャーCLIを使用すると、認証情報はデフォルトでオペレーティングシステムのネイティブなセキュアストレージに安全に保存され、構成ファイルに保存する場合と比べてセキュリティが強化されます。

シークレットマネージャーSDK

Keeperの開発者向けSDKを利用する場合、サードパーティのシークレット保管ソリューションとの連携により構成ファイルを保護するさまざまな方法を提供しています。例は次のとおりです。

構成ファイルの各フィールド

設定名
説明

clientkey

ワンタイムアクセストークン (初回使用後に削除されます (32バイトのランダム値))

clientid

クライアントデバイスの一意の識別子 (ワンタイムアクセストークンのHMAC_SHA512ハッシュ)

privatekey

クライアントデバイスの秘密鍵 (ECC secp256r1)

appkey

アプリケーションの秘密鍵 (AES-256)

hostname

宛先エンドポイント (US、EU、AU、JP、US_GOV)

serverpublickeyid

送信ラッパーのKeeper API公開鍵の識別子

認証と暗号化

クライアントデバイスは、ハッシュが生成されたワンタイムアクセストークンで1回だけ認証されます。クライアントはペイロードに署名し、初回認証時にクライアントデバイスの公開鍵をサーバーに登録します。初回の認証以降のリクエストは、クライアントデバイスの秘密鍵で署名されます。

KeeperクラウドへのAPIリクエストは、クライアントデバイスの識別子およびクライアントデバイスの秘密鍵で署名されたリクエストのボディと一緒に送信されます。サーバーでは、クライアントデバイスの公開鍵を使用して、指定したクライアントデバイス識別子のリクエストのECDSA署名が照合されます。

クライアントデバイスでは、アプリケーションの秘密鍵を使用してサーバーから受信したレスポンスの暗号文を復号化します。これにより、レコードの鍵と共有フォルダの鍵が復号化されます。共有フォルダの鍵でレコードの鍵を復号化し、レコードの鍵で個々のレコードのシークレットを復号化します。

IP制限によるアクセスの保護

以下のように、デフォルトではクライアントデバイスのプロファイルを作成するとIP制限が有効になります。

このトークンを使用して初期化するクライアントは、IPが固定されます。 IP制限を無効にするには、以下のようなパラメータを追加指定する必要があります。

動的WAN IPを使用する環境にデプロイする場合を除き、IP制限を許可することをお勧めします。

アクセスの失効

構成が漏洩した場合や直ちにアクセスを取り消す必要がある場合は、コマンダーCLIから次を実行します。

その他の情報

Keeperはゼロ知識セキュリティアーキテクチャとゼロトラストフレームワークを活用した、業界最高水準のセキュリティを採用しています。Keeperのゼロ知識暗号化モデルに関する技術資料については、以下のリンクからご参照になれます。

Keeperの暗号化モデル

シークレットマネージャー暗号化モデル

セキュリティ情報開示ページ

Keeperは、SOC 2 Type 2およびISO 27001の認証を取得しており、FedRAMPおよびStateRAMPの認可も受けています。Keeperトラストセンターから、各種認証レポートや技術アーキテクチャに関するドキュメントへのアクセスを申請できます。

脆弱性情報開示プログラム

KeeperはBugcrowdと提携して、脆弱性情報開示プログラムを運営しています。こちらのウェブサイトからレポートを送信するか、security@keepersecurity.comにメールにてお問い合わせください。

前へ用語次へワンタイムアクセストークン

最終更新