Pure Storage FlashArrayの常時暗号化機能
Pure Storage FlashArray（FA）製品の暗号化機能ついて、仕様をご紹介します。
データの暗号化
昨今のランサムウェアなどのサイバー犯罪の被害増加により、データ漏洩を防ぐ・データを保護する、ということの重要性が高まっています。下記の表に代表的なデータ漏洩のパターンをまとめました。
不正アクセスについては、いくら侵入を防ぐ対策を行っていたとしても、次々と新しい手口が登場することや、未知の脆弱性の存在があること、管理ミス・内部不正についても、人間の不注意をゼロにはできないことなどから、その防御壁を突破されないという保証はできません。また、FAはSAN（Storage Aria Network）で使用するブロックストレージであり、FA自身で、サーバーから書き込まれたVolume内のデータの読み取りや書き込みをする権限がないため、サーバー上のデータの暗号化を防ぐには、サーバー側のアクセス管理やランサムウェア対策も重要となります。
これまで、FAにおいては、SafeModeという機能やAsync Replicationといったバックアップ手法についてご紹介しました。SafeMode、Async Replicationについては、下記のブログをご確認ください。
参考：FlashArray Async Replication（非同期レプリケーション）の仕様と設定方法
今回は、表の一番下に記載した、廃棄されたディスクからのデータ流出など、主に物理攻撃への対策に有効なFAのデータの暗号化機能についてご紹介します。データの暗号化とは、特定のアルゴリズムにより、データを第三者が解読できない形に変換する手法です。
常時暗号化
FAのデータの暗号化はデフォルトオンの機能で、無効化できない、セキュアでステートフルな機能です。FAの暗号化には、256-bit AES（Advanced Encryption Standard）暗号化が用いられています。管理者が運用・管理する必要はなく、全てFAの独自OS（Operating System）である Purity//FAで制御されています。また性能への影響もなく、インラインで暗号化されています。暗号化は、NVRAMとDFM（Direct Flash Module）内のデータが対象となります。NVRAMのデータは、暗号化によりDFMへの書き込み前のブロックやメタ情報も保護されます。なお、FAのコンポーネントである、コントローラ（CT: Controller）や電源モジュール（PSM: Power Supply Module）にはデータが載っていないため、暗号化の対象外となります。
FAでは、3つのKeyを用いて、データの暗号化がされています。
ここで登場する3つのKeyですが、それぞれ下記の特性を持ちます。
鍵はFA内で自動的に管理されており、24時間ごとに自動で鍵の書き換えが実行されます。鍵管理サーバーは不要です。また、分散鍵方式によるロック機能となりますので、DFMに鍵を分散させ、鍵が足りない場合はDFMを認識させない仕様となります。もしもDFMが盗難されてしまったとしても、これらの鍵を解読できなければいけませんし、仮に鍵を入手できたとしても、もともと搭載されていたFAとPurityの組み合わせでなければ解読することができません。そのため、別のアレイにDFMを搭載してデータを読み取ろうとしてもアクセスできず、そもそもDFM自体もアレイから正常に認識できない仕様となります。
実際に別アレイで使用しているDFMを搭載してみると
ここからは、検証として、あるアレイで使用していたDFMを異なる別のアレイに搭載して、どのようにDFMが見えるか実際に確認してみた結果を記載します。
今回の検証では、下記の構成で実施します。初期構成として、アレイの左側10本に、すでに2.2TBのDFMが搭載されている機器に、2.2TBのDFMを10本追加します。追加するDFMはすでに別のアレイで稼働したことのあるDFMです。
実際にDiskを追加してみました。ここで、CLIでDFMのステータスを確認できる、puredrive listというコマンドを実行したログを見てみます。既存の10本（CH0.BAY0～9）はStatus欄がhealthyと表示されていますが、追加した10本（CH0.BAY10～19）はunrecognizedとなっています。追加した10本は別のアレイで使用されていたため、機器から正常に認識できていないことが分かります。
NRSSD（Non-Return SSD）
Pure Storageには、NRSSDと呼ばれる有償プログラムがあります。通常、障害が発生し交換したDFMは、Pure Storage社に返却されます。しかしながら、このプログラムに加入されている場合には、故障して交換したDFMをお客様にそのまま現地でお渡しします。セキュリティポリシー上、故障したDFMを持ち出すことができない場合に、Pure Storage社への返却が不要になるプログラムです。
TEDのデータ消去・破壊サービス
当社（TED）でも、独自のデータ消去サービスおよび破壊サービスを提供しています。
データ消去サービスは、障害が発生して交換したDFMを当社に戻し、当社環境でデータの消去を実施し、データ消去証明書を作成した上でお客様にご報告します。なお、その後のDFMはPure Storage社へ返却します。
破壊サービスは、同様に交換したDFMを当社環境に戻し、物理的に破壊します。こちらも作業実施後、破壊証明書を作成した上でお客様にご報告します。なお、破壊サービスには、Pure Storage社のNRSSDプログラムに加入いただく必要があります。
最後に
今回はFA製品のデータの暗号化についてご紹介しました。今後のブログでも、ほかのデータの保護方法である ActiveClusterやActiveDR、独自のRAID構成（RAID-HA）について記載する予定です。
この記事の投稿者R.Matsumura
Pure Storage製品を担当しています。
この記事をシェア
