最終更新日：2026年9月16日
fe fe-technology security cryptography
まず結論
エンベロープ暗号化とは、
データを暗号化する鍵を、さらに別の鍵で暗号化して保護する方式
です。
試験では、次の表現が判断材料になります。
- データを暗号化鍵で暗号化する
- その暗号化鍵自体を別の鍵で暗号化する
- データ本体と鍵を二段階で保護する
覚える一文はこれです。
「データを暗号化し、その鍵も暗号化する」のがエンベロープ暗号化。
直感的な説明
大きなデータをすべて公開鍵暗号で暗号化すると、処理に時間がかかります。
そこで、データ本体は高速な共通鍵暗号で暗号化し、その共通鍵だけを別の鍵で保護します。
データ
↓
データ暗号化鍵で暗号化
↓
暗号化データ
データ暗号化鍵
↓
別の鍵で暗号化
↓
暗号化された鍵
この二段構えがエンベロープ暗号化です。
イメージとしては、重要なものを箱に入れ、その箱を開ける鍵も別の鍵付きケースに入れるようなものです。
定義・仕組み
エンベロープ暗号化では、役割の異なる鍵を使います。
| 鍵 | 役割 |
|---|---|
| データ暗号化鍵 | データ本体を暗号化する |
| 鍵暗号化鍵・マスター鍵 | データ暗号化鍵を暗号化して保護する |
一般的には、データ本体には共通鍵暗号を使います。
共通鍵暗号は大量データの暗号化を高速に行えるためです。
一方、データ暗号化鍵の保護には、公開鍵暗号や鍵管理システムが使われます。
大量データ
→ 共通鍵で暗号化
その共通鍵
→ 別の鍵で暗号化
このようにすることで、処理効率と鍵管理のしやすさを両立できます。
科目Aでどう出る？
試験では、暗号技術の説明が複数並びます。
| 選択肢の表現 | 判断 |
|---|---|
| データを暗号化し、その暗号化鍵も別の鍵で暗号化 | エンベロープ暗号化 |
| 受信者の公開鍵で本文を暗号化 | 通常の公開鍵暗号 |
| メールの返信先アドレスを指定 | Reply-Toヘッダ |
| 光子を使って盗聴を検知 | 量子鍵配送 |
試験中は、まず次を探します。
「鍵そのものを暗号化しているか？」
これがエンベロープ暗号化を見分ける一番強い判断軸です。
共通鍵暗号との違い
共通鍵暗号では、同じ鍵で暗号化と復号を行います。
データ
→ 共通鍵で暗号化
一方、エンベロープ暗号化では、その共通鍵自体も別の鍵で保護します。
データ
→ 共通鍵で暗号化
共通鍵
→ 別の鍵で暗号化
公開鍵暗号との違い
公開鍵暗号では、公開鍵と秘密鍵の組を使います。
たとえば、受信者の公開鍵でデータを暗号化し、受信者の秘密鍵で復号します。
エンベロープ暗号化では、公開鍵暗号を使う場合でも、主役はデータ本体ではなくデータ暗号化鍵の保護です。
本文そのものを公開鍵で暗号化
→ 公開鍵暗号
本文は共通鍵で暗号化し、その共通鍵を別の鍵で保護
→ エンベロープ暗号化
ハイブリッド暗号との関係
エンベロープ暗号化は、共通鍵暗号と公開鍵暗号を組み合わせるハイブリッド暗号と考え方が近いです。
ただし、試験では名称を無理に同一視するより、
データ鍵を別の鍵で保護しているか
を見るのが安全です。
どんな場面で使う？
エンベロープ暗号化は、大量データを効率よく暗号化しつつ、鍵を安全に管理したい場面で使います。
クラウド上のデータ保護
ストレージに保存するデータをデータ暗号化鍵で暗号化し、その鍵を鍵管理サービスなどで保護します。
バックアップデータ
バックアップ本体を高速な共通鍵暗号で暗号化し、その鍵だけを厳重に管理します。
大規模システム
大量のデータごとに異なるデータ暗号化鍵を使い、上位のマスター鍵でまとめて管理できます。
よくある誤解・混同
二重暗号化なら何でもエンベロープ暗号化
違います。
重要なのは、データを暗号化した鍵を、さらに別の鍵で暗号化することです。
単に同じデータを二回暗号化することとは違います。
本文を公開鍵で暗号化すること
それだけではエンベロープ暗号化とは限りません。
エンベロープ暗号化では、データ暗号化鍵そのものを別の鍵で保護します。
Reply-Toの設定
メールの返信先を指定するヘッダであり、暗号化方式ではありません。
量子鍵配送と同じ
違います。
量子鍵配送は、量子の性質を利用して鍵を安全に配送し、盗聴を検知する技術です。
まとめ（試験直前用）
- データ本体はデータ暗号化鍵で暗号化する
- そのデータ暗号化鍵を別の鍵で暗号化する
- 大量データは共通鍵暗号で効率よく処理する
- 公開鍵暗号はデータ鍵の保護に使われることがある
- 「鍵をさらに暗号化」が判断ワード
最後に、試験中の切り分けを一文で確認します。
データを暗号化し、その鍵も別の鍵で暗号化するのがエンベロープ暗号化。