エンベロープ暗号化とは？えんべろーぷあんごうか
エンベロープ暗号化とは、データ本体は高速な共通鍵暗号のデータ鍵で暗号化し、そのデータ鍵をさらに上位の鍵（マスタ鍵や公開鍵）で包んで暗号文と一緒に保管・配送する方式。鍵を更新するときは包み直すだけで済み、大量のデータ本体を暗号化し直さずに鍵管理を回せる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
共通鍵暗号は速い代わりに、鍵が1本漏れれば守っていたものが一斉に開く。かといって機器ごと・ファイルごとに鍵を分ければ、本数だけ管理の手間が増え、鍵の入替えのたびに保管済みデータを全部暗号化し直すことになる。守るための鍵と、その鍵を守る鍵に役割を分けたことで、更新作業はごく小さい包みを作り直すだけに縮んだ。量産機ごとに異なる鍵を持たせながら配信データは1種類にする、という組込みらしい設計もこれで成り立つ。
具体例
AWS KMSやGoogle Cloud KMSは、利用者がデータ鍵を受け取って手元で暗号化し、暗号化済みのデータ鍵だけを併せて保存する使い方を標準としている。ファームウェア配信でも、イメージ本体をAES鍵で暗号化し、そのAES鍵を機器固有の公開鍵で包んで同梱する構成が採られる。
試験での引っ掛け
ハイブリッド暗号と構成はほぼ同じでも狙いが違い、あちらは速度と鍵配送の両立、こちらは鍵管理が主眼になる。要点は上位鍵を入れ替えるだけでデータ本体に触れず鍵を更新できることで、「更新のたびにデータ鍵を作り直して全データを再暗号化する必要がある」と読ませる選択肢が典型的な誤り。上位鍵が漏れれば下は全部開くため、その保管が系全体の強度を決める。
関連用語
出た過去問
出典：令和3年度 秋期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問18（IPA）
エンベロープ暗号化の説明はどれか。
正解：暗号化鍵で平文を暗号化してから、その暗号化鍵を別の暗号化鍵で暗号化する。
要点：エンベロープ暗号化はデータ鍵をさらに別の鍵で暗号化する
エンベロープ暗号化は、データ本体は処理の速い共通鍵で暗号化し、その暗号化に使ったデータキーをさらに別の鍵（マスタキー）で暗号化して一緒に保管する方式である。大量のデータを効率よく扱いながら、鍵の管理はマスタキーだけに集約できる。鍵の入替えもデータキーを暗号化し直すだけで済むため、クラウドの暗号化サービスなどで広く使われている。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。