ファイルを無料で守る軍用グレードの暗号化：Windows BitLockerの仕組みを徹底解説

「テレビの仕組みをアリに説明する」というジョークをご存じですか？もちろん、あなたをアリ呼ばわりしているわけではありません。勤勉で、ときにはアブラムシのミルクをひと口楽しんでいるあなたのことです（笑）。言いたいのはこういうことです――コンピュータサイエンスの学位も暗号技術の経験もなくても、Windows BitLockerの仕組みをきちんと理解できるように説明しますよ、と。

BitLockerはWindows 7やWindows 8に標準搭載された非常に便利な機能ですが、その存在を知っている人は意外と少ないのが実情です。Windows OSには他にも隠れた便利機能がたくさんあります。ここでは、Windowsに備わる「軍用グレード」のプライバシー保護ツール、BitLockerに焦点を当てて解説していきます。

BitLockerとは何か？

すべてのWindows OSにBitLockerが搭載されているわけではありません。対応しているのは、VistaとWindows 7のUltimate／Enterpriseエディション、Windows 8のPro／Enterpriseエディションです。さらに、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012にも含まれています。

BitLockerとは、ドライブ暗号化ツールです。ドライブ上のすべてのデータを暗号化し、本人以外の誰にも読み取れない状態にするものです。もし対応するOSをお持ちでない場合は、オープンソースの暗号化ソフト「TrueCrypt」などの代替手段を検討するとよいでしょう。

ここでいう「ドライブ」には2つの意味があります。

1. 内蔵ハードディスク上のボリューム（パーティション）

BitLockerをシステムドライブに使う場合、ドライブ上に少なくとも2つのボリュームが必要です。ひとつは日々の作業を行うメインボリューム、もうひとつは最低100MB以上のサイズを持つシステムボリュームです。PCはこのシステムボリュームから起動するため、このボリュームは暗号化できません。暗号化してしまうと、そもそもコンピュータが起動できなくなってしまうからです。

2. USBメモリなどのリムーバブルドライブ

もうひとつの「ドライブ」は、USBメモリなどのリムーバブルドライブです。こちらはブートボリュームを必要としません。ここが便利なポイントで、機密情報を保存したUSBメモリを暗号化しておけば、万一ドライブを紛失しても、第三者に中身を読まれる心配はほぼありません。

BitLockerはどうやってドライブを暗号化するのか？

BitLockerのドライブ暗号化は、ドライブ上のすべてのデータに対して一連の高度な数学的処理を施します。あらゆるデータは、数学で扱えるように数値へと還元できることを思い出してください。公式には、この処理はAES（128ビットまたは256ビット暗号化）やDiffuserといったアルゴリズム（命令セット）として実装されています。

ここで、「USE」という単語を暗号化する超シンプルな例を見てみましょう。

まずDiffuserが3つの文字をスクランブルします。「ESU」「SUE」「SEU」など、順番が入れ替わるイメージです。次にBitLockerは、その並びを元に戻すための鍵（キー）を作成し、あなたの代わりに保管します。

続いてBitLockerはAESを適用します。AES（Advanced Encryption Standard＝先進暗号化標準）は、2001年に米国政府が公式標準として採用した暗号方式です。冒頭で「軍用グレード」と呼んだのはこのためです。128ビットや256ビットという数字は、元データの1ビットをどれだけ長い鍵で表現するかを示しています。たとえるなら、文字「U」が入ったロッカーに、256桁もの数字の組み合わせが必要なダイヤルロックをかけるようなものです。想像してみてください。

「USE」の例に戻ると、3つのロッカーを開けるには、それぞれ256桁の組み合わせを持つ3つのダイヤルロックを解除しなければなりません。よほど根性のあるクラッカーでない限り、挫折するのは目に見えています。

さらにここからが本物の「軍用グレード」、戦車並みの頑丈さです！AESは、256ビット暗号化の場合、各ダイヤルロックに対して14回も数学的処理を繰り返します。つまり、文字「U」にたどり着くには、14種類もの256桁の組み合わせをすべて解読する必要があるのです。諦めて帰りましょう、クラッカーさん。もちろん、正規のユーザーであるあなたのために、BitLockerは復号化用の鍵をちゃんと作成してくれます。

結局のところ、データの復号化プロセスを開始するには2つの鍵が必要になります。両方の鍵を手にできない限り、攻撃者があなたの情報にアクセスするには、途方もない忍耐力と知識と執念が要求されることになります。

もちろん、これらの鍵は物理的な鍵ではなく、パスワードのようなものでもありません。そのまま見ても、私たち一般人には意味不明の文字列にしか見えないでしょう。しかしWindowsは、あなたが「本人であること」をコンピュータに証明できさえすれば、BitLockerがこの2つの鍵を使ってデータにアクセスすることを許可します。この鍵を管理しているのが、次に紹介するTrusted Platform Module（TPM）です。

Trusted Platform Module（TPM）とは？

Trusted Platform Moduleは、BitLockerによる保護体制を支えるもうひとつの重要なパーツです。多くのコンピュータに搭載されている専用のハードウェアチップです。

TPMの役割は、PCが起動するたびにシステムをチェックし、暗号化を回避するために起動プロセスに不正な細工がされていないかを確認することです。また、ハードディスクをPCから取り外して別のマシンに接続し、ファイルを読み出そうとする行為も防ぎます。

BitLockerの設定方法によって、TPMの挙動は変わります。

• PINなし：TPMが自動的に認証し、そのままログオンできる
• PIN必須：ログイン時にPINコードの入力を求める
• USBキー必須：起動時にUSBキーを差し込まないとログイン画面に進めない
• 最強設定：PINとUSBキーの両方が必要

なお、TPMが関与するのはPC内部のボリュームのみです。USBドライブにTPMは不要ですが、認証のためにPINやUSBキーの設定が必要になる場合があります。

TPMを搭載していないPCも存在しますが、2006年以降に製造されたほとんどのコンピュータでは、マザーボードにTPMモジュールが組み込まれています。

BitLockerは完全に安全なのか？

正直に言えば、ノーです。完全に安全なものなど世の中に存在しません。ただし、CIAやMI5級の予算を持たない一般ユーザーが手に入れられる範囲では、最強クラスのセキュリティです。

政府の監視の話が出たので、ひとつ興味深いエピソードを。英国の内務省はかつて、BitLockerにバックドアを設置して当局が簡単にデータへアクセスできるよう求めたことがあります。しかしMicrosoftはこれをきっぱり拒否しました。これはMicrosoftの立派なポイントと言えるでしょう。

では、BitLockerはどう使うのか？

PCの内蔵ドライブのメインボリュームを暗号化するだけであれば、驚くほど簡単です。操作は数クリックで完了し、特別な知識も要りません。

一方、外部ドライブの暗号化や、各種TPM認証方法の詳細な設定など、BitLockerの奥深い部分に踏み込むと、やや複雑になってきます。MicrosoftはWindows 7向けに「BitLocker ステップバイステップガイド」を公開しています。Windows 8向けの正式なドキュメントについては、ご存じの方がいればぜひコメント欄で教えてください。

BitLockerを使うべきか？

BitLockerは、Windows PCを購入するだけで追加費用なしで得られる、最高水準のデータ保護です。データの盗難や情報漏洩が心配なら、この軍用グレードのツールをセキュリティ対策の一部に加えない理由はありません。使わない手はないのです。

BitLockerは、多くの人に「悪者」と見られがちな企業が開発した、本格的なセキュリティツールです。個人的には、このアプリケーションはMicrosoftの評価を上げる要素だと感じますし、Windowsのライセンス費用に対する不満もいくらか和らぎました。

あなたはどう思いますか？現在BitLockerドライブ暗号化を使っていますか？使用感や体験談をぜひ聞かせてください。BitLockerが自分のWindows PCを守ってくれていると思うと、安心感が増しますか？コメント欄でお待ちしています。……暗号化はしないでくださいね。