ファイルを暗号化する
BEYONDデスクトップ版では、チェーンへ書き込む前にファイル本体を暗号化できます。新規暗号化はデスクトップ版専用です。Web版では、共有パスワードが設定された対応形式と、旧形式の記録を復号できます。
暗号化しても、ファイル名、説明、シリアル情報などのメタデータまで自動的に秘匿されるとは限りません。公開してはいけない情報をメタデータへ入力しないでください。
最初に理解する3つの情報
| 情報 | 役割 |
|---|---|
| 復旧フレーズ | 暗号化設定を別端末や再インストール後に復元するための24語 |
| 暗号化パスワード | この端末に保存された暗号化キーを保護し、アンロックするためのパスワード |
| 共有パスワード | 対応するWeb版や単体ビューアでも特定のファイルを開けるよう、任意で設定するパスワード |
復旧フレーズは、Symbolアカウントの秘密鍵や送金権限を復元するものではありません。ファイル暗号化専用です。
初回設定
この暗号化キーの管理機能をVaultと呼びます。画面では「ファイル暗号化」から操作します。
ファイル暗号化の設定は、BEYONDのプロファイルごとに1つ作成します。同じプロファイルに記録アドレスやネットワークを追加しても、設定を作り直す必要はありません。
- アドレス帳の「ファイル暗号化」を開く。
- 「新しく作成」を選ぶ。
- 24語の復旧フレーズを復旧用紙として印刷するか、安全な媒体へ保存する。
- 指定された語を再入力し、控えが正しいことを確認する。
- 暗号化パスワードを設定する。
復旧フレーズは再表示できません。画像、メール、チャット、通常のクラウドストレージなど、第三者や別のソフトウェアから容易に参照できる場所へ置かないでください。PDFで保存した場合、そのPDF自体は暗号化されていないものとして扱ってください。
ファイル暗号化の初期設定：新しく作成または復旧フレーズから復元。画像を選ぶと拡大できます。
復旧テスト
保管した復旧用紙が、利用中のプロファイルと対応しているかを定期的に確認します。
- 「ファイル暗号化」の管理画面で「復旧テスト」を開く。
- 安全な端末で、保管した24語を入力する。
- 「テストを実行」を選び、結果を確認する。
このテストは既存の暗号化設定を変更しません。画面共有・録画を止め、復旧フレーズを問い合わせ窓口やWebサイトへ送らないでください。テストの成功は、すべての記録が取得可能であることまで保証しないため、重要なファイルの読み戻しも別に確認します。
復旧フレーズを入力する前の復旧テスト画面。画像を選ぶと拡大できます。
ロックとアンロック
暗号化キーはアンロック中だけ使用できます。初期設定では、暗号化ファイルを一定時間読み書きしないと自動的にロックされます。また、アプリ終了、プロファイル切り替え、ログアウト、OSの画面ロックやサスペンドでもロックされます。
自動ロックを無効にする設定もありますが、共用端末では使用しないでください。離席時には手動でロックすることを推奨します。
Studioで暗号化して記録する
- ファイル暗号化を設定し、暗号化キーをアンロックする。
- Studioでファイルと記録アドレスを選ぶ。
- 「データの暗号化」を有効にする。
- 必要な場合だけ共有パスワードを設定する。
- 暗号化の表示、保存モード、対象ネットワークを確認して記録する。
ファイル本体は、ファイルごとに生成された鍵で暗号化されます。その鍵を、記録アドレスに対応する暗号化キーで保護します。共有パスワードを設定した場合は、同じファイル鍵を開くための別の手段が追加されます。
共有パスワードの注意
共有パスワードを知る人は、そのファイルを復号できます。チェーン上の暗号文は取得して持ち帰れるため、試行回数制限やアカウントロックでは総当たりを防げません。推測されにくい長いパスワードを使い、別の安全な経路で相手へ渡してください。
一度記録した共有パスワードの効力を、古いチェーン上の記録から取り消すことはできません。新しいパスワードで記録し直しても、以前の暗号文は以前のパスワードで復号可能なまま残ります。
復旧フレーズを共有相手へ渡してはいけません。Web版や単体ビューアが復旧フレーズを要求することもありません。
復号と復旧
- デスクトップ版では、対応する暗号化キーがアンロックされていれば自動的に復号します。
- 共有パスワード付きの記録は、対応するWeb版や単体ビューアでも開けます。
- 共有パスワードがない記録は、対応する暗号化キーを持つデスクトップ版が必要です。
- 暗号化パスワードを忘れても、復旧フレーズがあれば新しいパスワードを設定できます。
- 復旧フレーズを失い、暗号化キーを保存した端末も利用できなくなると、復号できない可能性があります。
通常の設定エクスポートにファイル暗号化の設定は含まれません。別端末への移行には復旧フレーズを使い、復元後に暗号化キー識別番号が復旧用紙と一致することを確認してください。
現在の制約
- 暗号化・復号はファイル全体をまとめて処理するため、利用可能なメモリなど実行環境の影響を受けます。
- 他ユーザーの公開鍵を指定して鍵を共有する機能は、現行機能に含まれません。
- 既存のチェーン上の記録へ、後から共有パスワードを追加することはできません。
- 暗号化キーの複数端末同期やクラウドバックアップは行いません。
- 暗号方式が将来も安全であることは保証されません。