翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# AWS 暗号化へのアプローチ
*暗号化アルゴリズム*は、機密性 (暗号化）、信頼性 (メッセージ認証コードとデジタル署名）、否認防止 (デジタル署名) などのセキュリティサービスを提供するように設計された数学的な構造です。暗号化、暗号化、および関連する用語を初めて使用する場合は、このガイドに進む前に[「データ暗号化について](https://docs.aws.amazon.com/prescriptive-guidance/latest/strategy-data-at-rest-encryption/about-data-encryption.html)」を読むことをお勧めします。
## AWS 暗号化基盤
暗号化は、転送中 AWS、保管中、またはメモリ内のデータの暗号化 AWS のサービス をサポートする のセキュリティに不可欠な部分です。 イノベーションへの AWS コミットメントと、主権と暗号化機能の追加コントロールへの投資の詳細については、[AWS デジタル主権の約束](https://aws.amazon.com/blogs/security/aws-digital-sovereignty-pledge-control-without-compromise/)を発表するブログ記事を参照してください。
AWS は、 [責任共有モデル](https://aws.amazon.com/compliance/shared-responsibility-model/)に従ってデータを保護します。 は、業界標準を満たし、相互運用性を促進する信頼できる暗号化アルゴリズム AWS のサービス を使用します。これらのアルゴリズムは、公的標準機関と学術研究によって審査されます。関連する標準は、政府、業界、学界によって広く受け入れられています。
AWS はデフォルトで高保証の暗号化実装であり、効率的なハードウェア最適化ソリューションが推奨されます。当社の暗号化コアライブラリである [AWS-LC](https://github.com/aws/aws-lc) は、透明性と業界全体の再利用のためのオープンソースとして利用できます。 AWS LC 内の多くの暗号化アルゴリズム実装は、いくつかの異なるプラットフォームでの実装の正確性とセキュリティを保証するために正式に検証されています。ライブラリは NIST の FIPS-140 プログラムでも検証されます。
## 暗号アルゴリズム
次の 3 種類の暗号化アルゴリズムを定義します。
+ *非対称**暗号化*では、暗号化 (または検証) 用のパブリックキーと復号 (または署名) 用のプライベートキーのペアを使用します。パブリックキーは復号化には使用されないため共有できますが、プライベートキーへのアクセスは厳しく制限する必要があります。 は、ML-KEM や ML-DSA などのポスト量子アルゴリズム AWS のサービス をサポートまたはサポートする計画です。 は、RSA や楕円曲線暗号 (ECC) などの従来の暗号化アルゴリズム AWS のサービス もサポートしています。
+ *対称**暗号化*では、同じキーを使用して暗号化と復号化、またはデータの認証と検証を行います。 AWS のサービス は一般的に、AES-256 のモードを使用する保管中のデータの暗号化のために AWS Key Management Service (AWS KMS) と統合されます。
+ *他の暗号化関数*は、非対称暗号化と対称暗号化と組み合わせて使用され、機密性、完全性、認証、否認防止アプリケーションのための安全で実用的なプロトコルを構築します。例としては、ハッシュ関数やキー取得関数などがあります。
## での推奨暗号化アルゴリズム AWS
次の表は、 がデータを保護するためにサービス全体のデプロイに適している AWS と考える暗号化アルゴリズム、モード、およびキーサイズをまとめたものです。このガイダンスは、暗号化標準が進化するにつれて、時間の経過とともに進化します。
サービス内で利用できるアルゴリズムはさまざまであり、各サービスのドキュメントで説明されています。承認されたアルゴリズムにソフトウェアライブラリの実装が必要な場合は、最新バージョンの [AWS-LC ライブラリ](https://github.com/aws/aws-lc)に含まれているかどうかを確認してください。
アルゴリズムは、次の 2 つのカテゴリのいずれか AWS で での使用が承認されています。
+ *推奨される*アルゴリズムは、 AWS セキュリティとパフォーマンスの基準を満たしています。
+ 許容アルゴリズムは、一部のアプリケーションの互換性の目的で使用できますが、優先されません。
### 非対称暗号化
次の表に、暗号化、キーアグリーメント、デジタル署名 AWS のために での使用に適していると考えられる非対称アルゴリズムを示します。
|
|
| **タイプ** | **アルゴリズム** | **ステータス** |
| --- |--- |--- |
| 暗号化 | RSA-OAEP (≥2048 ビットモジュラス) | Acceptable |
| 暗号化 | HPKE (P-256 または P-384、HKDF、AES-GCM) | Acceptable |
| キーアグリーメント | ML-KEM-768 または ML-KEM-1024 | 優先 (量子耐性) |
| キーアグリーメント | P-256, P-384, P-521または X25519 を使用した ECDH(E) | Acceptable |
| キーアグリーメント | ECDH(E) と brainpoolP256r1、brainpoolP384r1、または brainpoolP512r1 | Acceptable |
| [署名] | ML-DSA-65 または ML-DSA-87 | 優先 (量子耐性) |
| [署名] | SLH-DSA | 許容 (量子耐性) |
| [署名] | P-256, P-384, P-521または Ed25519 を使用した ECDSA | Acceptable |
| [署名] | RSA (≥2048 ビットモジュラス) | Acceptable |
### 対称暗号化
次の表は、暗号化、認証された暗号化、およびキーラッピング AWS のために での使用に適していると考えられる対称アルゴリズムの一覧です。
|
|
| **タイプ** | **アルゴリズム** | **ステータス** |
| --- |--- |--- |
| 認証された暗号化 | AES-GCM-256 | 推奨値 |
| 認証された暗号化 | AES-GCM-128 | Acceptable |
| 認証された暗号化 | ChaCha20/Poly1305 | Acceptable |
| 暗号化モード | AES-XTS-256 (ブロックストレージ用) | 推奨値 |
| 暗号化モード | AES-CBC/CTR (非認証モード) | Acceptable |
| キーラッピング | AES-GCM-256 | 推奨値 |
| キーラッピング | 256 ビットキーを含む AES-KW または AES-KWP | Acceptable |
### その他の暗号化関数
次の表は、ハッシュ、キー取得、およびメッセージ認証 AWS のために での使用に適していると考えられるアルゴリズムの一覧です。
|
|
| **タイプ** | **アルゴリズム** | **ステータス** |
| --- |--- |--- |
| ハッシュ | SHA-384 | 推奨値 |
| ハッシュ | SHA-256 | Acceptable |
| ハッシュ | SHA3 | Acceptable |
| キー取得 | SHA-256 を使用した HKDF\_Expand または HKDF | 推奨値 |
| キー取得 | HMAC-SHA-256 を使用したカウンターモード KDF | Acceptable |
| メッセージ認証コード | HMAC-SHA-384 | 推奨値 |
| メッセージ認証コード | HMAC-SHA-256 | Acceptable |
| メッセージ認証コード | KMAC | Acceptable |
| パスワードハッシュ | SHA384 による暗号化 | 推奨値 |
| パスワードハッシュ | PBKDF2 | Acceptable |
## で使用される暗号化 AWS のサービス
AWS のサービス は、検証済みのアルゴリズムの安全なオープンソース実装に依存してデータを保護します。アルゴリズムの具体的な選択と設定は、サービスによって異なります。一部の AWS ツールやサービスは、特定のアルゴリズムを使用します。それ以外の場合は、サポートされているアルゴリズムとキーの長さから選択することも、推奨されるデフォルトを使用することもできます。
AWS 暗号化サービスは、さまざまな暗号化セキュリティ標準に準拠しているため、政府または業界の規制に準拠できます。 AWS のサービス が準拠するデータセキュリティ標準の完全なリストについては、[AWS 「 コンプライアンスプログラム](https://aws.amazon.com/compliance/programs/)」を参照してください。