クラウド導入時の実践的な考慮事項：セキュリティ

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

クラウドでのコンピューティングは安価かもしれませんが、無料ではありません。

現在、アプリの大半はセキュアなHTTP経由で配信されています。つまり、TLS、または使用がますます推奨されなくなっているSSLが使われています。これには暗号化が伴い、従来はパフォーマンス上の問題につながると考えられてきました。

技術の進歩により、現在のCPUは非常に高速になり、多くのクライアント側（およびサーバー側）ハードウェアには、かつて専用だった暗号処理ハードウェアが標準で組み込まれています。そのため、接続単位で見れば、暗号処理における速度は以前ほど大きな問題ではありません。

しかし、暗号処理が今なおパフォーマンス面と運用面のコスト要因であることに変わりはありません。

暗号処理がパフォーマンス問題の大きな要因になるという主張を否定する議論の多くは、1台のクライアントと1台のサーバーだけを想定した単純なシナリオに基づいています。この場合、暗号化処理は1回、復号処理も1回です。このようなシナリオでは、否定的な見方もおおむね正しいと言えます。暗号化と復号によって生じるレイテンシはごくわずかで、通常はTCPやネットワーク関連のオーバーヘッドほど問題にはなりません。

しかし、今日のアプリケーションは、単一のエンドポイントだけで構成されているわけではありません。その「単一のエンドポイント」に到達するまでに、メッセージは複数の中継機器やプロキシを経由する必要があります。これらは、セキュリティとアクセス制御、負荷分散、ルーティングを担うエンドポイントです。現代の複雑なデータパスにおいて、それぞれが所定の役割を果たすには、平文のメッセージを検査する必要があります。

ここで、暗号処理にはそれほどコストがかからないという主張が成り立たなくなってきます。単一のエンドポイントだけであれば、発生する遅延はごくわずかです。しかし、データパス上のすべてのエンドポイントで暗号処理が何度も繰り返されると、個々の遅延が積み重なって無視できないものとなり、特にパブリッククラウドでは運用コストの増加につながります。

暗号処理は本質的に計算負荷の高いプロセスです。つまり、メッセージの暗号化や復号には、ビジネスロジックの実行よりもはるかに多くのCPUサイクルが必要です。クラウドでは、CPUサイクルはそのままコストに相当します。一般に、設備投資を運用費に移行することが目的であるため、これは許容されるコストです。

しかし、メッセージの復号と暗号化を何度も行うと、コストが積み重なっていきます。実質的には、同じ暗号処理に対して何度も料金を支払うことになります。1回ならわずか1セントと算出される処理でも、5回実行すれば一気に5セントになります。1日（あるいは1時間）に数十万件ものトランザクションを処理する場合、そのコストを計算すると驚くほどの額になります。

また、暗号処理で消費されるCPUサイクルは、その分だけビジネスロジックに使用できなくなることにも留意してください。その結果、想定より早くスケールアウトが必要になり、負荷を処理するためにインスタンスを追加するたびに、さらなるコストが発生します。

つまり、「SSL everywhere（あらゆる場所でSSL）」を実現するために、クラウドで「decrypt everywhere（あらゆる場所で復号）」のアーキテクチャを採用すべきではありません。

復号は一度だけ

コストを削減し、費用をかけているCPUの効果を最大限に引き出すには、「復号は1回だけ」という原則に基づいてクラウドベースのアーキテクチャを設計することに時間をかける価値があります。「復号は1回だけ」とは、転送中のメッセージを復号して再暗号化する必要があるデータパス上のエンドポイント数を最小限に抑えることを意味します。

そのためには、事前に十分な検討を行い、現在アプリケーションのセキュリティ確保とスケーリングに使用している16種類のアプリケーションサービスについて慎重に考慮する必要があります。エンドツーエンド暗号化を義務付ける規制や要件の対象でない場合は、後段の復号に余分な処理サイクルを費やさないよう、メッセージをできるだけ早い段階で復号するデータパスを設計してください。エンドツーエンド暗号化を維持する必要がある場合は、可能な限りサービスを統合することで、コンピューティングリソースを最も効率的に活用できます。

可能なサービス（たとえば、負荷分散とWebアプリケーションファイアウォール）を単一のプラットフォームに統合すれば、転送中のメッセージを復号する回数を減らせます。さらに、接続数とネットワーク上での処理時間も削減できるため、ユーザーや消費者にとってのパフォーマンス向上につながります。しかし、実質的な削減効果は、復号と再暗号化の繰り返しに費やされるCPUサイクルを削減できる点にあります。

現在は利用頻度が低いアプリについて、暗号化と復号が及ぼす影響を検討するのは時間の無駄に思えるかもしれません。確かに、現時点で得られるわずかな節約では、そのためにかかる労力のコストを賄えません。しかし、アプリが成長して規模を拡大し、長期にわたって稼働するにつれて、その小さな節約も積み重なり、無視できない金額になります。また、わずかな金額と同様に、マイクロ秒単位の時間も積み重なります。データパス全体で暗号処理の影響を考慮することで、長期的にはユーザーとビジネスの双方にメリットをもたらすことができます。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事