Microsoft、裁判所の命令に基づきFBIにBitLocker回復キーを提供

Microsoft、裁判所の命令に基づきFBIにBitLocker回復キーを提供

Microsoftは、連邦捜査局（FBI）に対して、BitLockerによるフルディスク暗号化が施されたデバイスのデータ復号のため、BitLocker回復キーを提供していることを確認した。この対応は、召喚状や捜索令状などの有効な裁判所命令に基づき、年間約20回行われている。

技術的詳細とキー保存の実態

BitLockerは、Windows Pro、Enterprise、Educationエディションに標準搭載されている暗号化機能で、ストレージ全体を暗号化することでデータを保護する。ユーザーは48桁の回復キーをローカルに保存するか、Microsoftのサーバーにアップロードすることができる。これにより、パスワードを忘れた場合やログイン失敗によるロックアウトが発生した際にデータへのアクセスを回復できるが、同時に法執行機関によるアクセスの経路ともなり得る。

Microsoftのドキュメントでは、ユーザーにMicrosoftアカウントへの回復キーのバックアップを推奨しており、これが同社が法的要請に応じる根拠となっている。ただし、Microsoftはこうした要請に異議を唱えるかどうか、またはFBIや他の機関がどのような法的権限に基づいてキーを取得しているかについては公表していない。

影響とプライバシーへの懸念

この事実が明らかになったことで、BitLockerによるデータ保護に依存する企業や個人ユーザーの間で、プライバシーとセキュリティに関する重大な懸念が浮上している。法的に認められた手続きではあるものの、回復キーがクラウドプロバイダーを含む第三者に保存されている場合、暗号化の限界が露呈する形となった。

セキュリティ専門家は、この事例が合法的アクセスとユーザープライバシーの緊張関係を浮き彫りにしていると指摘する。データ主権や機密性に厳格な要件を持つ組織は、法的手段による不正アクセスのリスクを軽減するため、キー管理戦略の見直しを検討する必要があるだろう。

セキュリティチーム向けの推奨事項

セキュリティ専門家は以下の対策を推奨している：

• BitLockerキーの保存ポリシーを見直し、必要がない限りMicrosoftアカウントに回復キーを保存しないようにする。
• 代替のキーエスクローシステムを導入する。例えば、オンプレミスのActive Directoryやサードパーティのキー管理システムなど、エンタープライズ環境に適したソリューションを検討する。
• ユーザー教育を徹底し、特に機密性の高いデータや規制対象データを扱うデバイスにおいて、クラウドアカウントに回復キーを保存するリスクについて理解を促す。
• 暗号化と合法的アクセスに関する法的動向を監視し、将来的なコンプライアンスやセキュリティ戦略への影響を考慮する。

Microsoftは、回復キーが法執行機関に開示された際にユーザーに通知するかどうかについてはコメントしていない。一部のテクノロジー企業では透明性向上のためにこのような通知を行っているが、Microsoftの対応は明らかになっていない。