Titkosítási lehetőségek a Windows és Linux rendszerű virtuális gépek védelméhez
Tegyük fel, hogy a vállalat kereskedelmi partnerei olyan biztonsági szabályzatokkal rendelkeznek, amelyek megkövetelik a kereskedési adataik erős titkosítással történő védelmét. Olyan B2B-alkalmazást használ, amely a Windows-kiszolgálókon fut, és adatokat tárol a kiszolgáló adatlemezén. Most, hogy átáll a felhőre, be kell bizonyítania a kereskedelmi partnereinek, hogy a jogosulatlan felhasználók, eszközök és alkalmazások nem tudnak hozzáférni az Azure-beli virtuális gépeken tárolt adatokhoz. Választania kell egy stratégiát a B2B-adatok titkosításának megvalósítására.
A naplózási követelmények előírják, hogy a titkosítási kulcsokat házon belül kell kezelni, és nem lehet külső félre bízni. Azt is szeretné, hogy az Azure-alapú kiszolgálók teljesítménye és kezelhetősége megmaradjon. Ezért még a titkosítás megvalósítása előtt meg szeretne győződni arról, hogy nem fog csökkenni a teljesítményük.
Mi az a titkosítás?
A titkosítás egy olyan művelet, amely az értékes információkat értelmetlennek tűnő adatokká, például betűk és számok véletlenszerű sorozatává alakítja. A titkosítási folyamat valamilyen kulcsot használ a titkosított adatokat létrehozó algoritmus részeként. A visszafejtéshez is szükség van egy kulcsra. A kulcsok lehetnek szimmetrikusak, ahol ugyanazt a kulcsot használják titkosításhoz és visszafejtéshez, vagy aszimmetrikus, ahol különböző kulcsokat használnak. Az utóbbira példák a digitális tanúsítványokban használt nyilvános–titkos kulcspárok.
Szimmetrikus titkosítás
A szimmetrikus kulcsokat használó algoritmusok, például az Advanced Encryption Standard (AES) általában gyorsabbak, mint a nyilvános kulcsú algoritmusok, és gyakran használják a nagy adattárak védelmére. Mivel csak egy kulcs van, eljárásokat kell bevezetni, amelyek megakadályozzák, hogy a kulcs nyilvánosságra kerüljön.
Aszimmetrikus titkosítás
Az aszimmetrikus algoritmusoknál csak a kulcspár titkos kulcsát kell biztonságba helyezni és titokban tartani; ahogy a neve is mutatja, a nyilvános kulcsot bárki számára elérhetővé lehet tenni a titkosított adatok veszélyeztetése nélkül. A nyilvános kulcsú algoritmusok hátránya azonban az, hogy sokkal lassabbak, mint a szimmetrikus algoritmusok, és nem használhatók nagy mennyiségű adat titkosítására.
Kulcskezelés
Az Azure-ban a Microsoft vagy az ügyfél kezelheti a titkosítási kulcsokat. Az ügyfél által felügyelt kulcsok iránti igény gyakran olyan szervezetektől származik, amelyeknek bizonyítaniuk kell a HIPAA-nak vagy más előírásoknak való megfelelést. Az ilyen megfelelőséghez szükség lehet a kulcsokhoz való hozzáférés naplózására, valamint a kulcsok rendszeres módosítására és rögzítésére.
Az Azure lemeztitkosítási technológiái
Az Azure-beli virtuális gépek titkosításon alapuló fő lemezvédelmi technológiái a következők:
- Azure Storage Service Encryption (S Standard kiadás)
- Azure Disk Encryption (ADE)
Az S Standard kiadás az adatközpont fizikai lemezén történik. Ha valaki közvetlenül hozzáférne a fizikai lemezhez, az adatok titkosítva lesznek. Amikor a lemezről éri el az adatokat, az visszafejtődik, és betöltődik a memóriába.
Az ADE titkosítja a virtuális gép virtuális merevlemezeit (VHD-ket). Ha egy VHD ADE-vel van védve, a lemezképet csak a lemezt birtokoló virtuális gép érheti el.
Lehetőség van mindkét szolgáltatás használatára az adatok védelme érdekében.
Storage Service Encryption
Az S Standard kiadás egy azure-ba épített titkosítási szolgáltatás, amely az inaktív adatok védelmére szolgál. Az Azure-tárolóplatform automatikusan titkosítja az adatokat, mielőtt a rendszer tárolná őket a különböző tárolási szolgáltatásokban, többek között az Azure Managed Disksben. A titkosítás alapértelmezés szerint engedélyezve van, 256 bites AES-titkosítást használ, és a tárfiók adminisztrátora kezeli.
Az S Standard kiadás minden új és meglévő tárfiókhoz engedélyezve van, és nem tiltható le. Az adatok alapértelmezés szerint védettek; az S Standard kiadás használatához nem kell módosítania a kódot vagy az alkalmazásokat.
Az S Standard kiadás nem befolyásolja az Azure Storage-szolgáltatások teljesítményét.
Azure Disk Encryption
A virtuális gép tulajdonosa kezeli az ADE-t. A Windows és Linux rendszerű virtuális gépek által felügyelt lemezek titkosítását szabályozza, Windows rendszerű virtuális gépek esetén a BitLocker, Linux rendszerű virtuális gépeknél pedig a DM-Crypt használatával. A BitLocker meghajtótitkosítás egy olyan adatvédelmi funkció, amely integrálható az operációs rendszerrel, és kezeli az adatlopás vagy az elveszett, ellopott vagy nem megfelelően leszerelt számítógépek veszélyeit. A DM-Crypt hasonlóképpen az inaktív adatokat titkosítja Linux rendszeren, mielőtt a rendszer a tárolóba írná őket.
Az ADE biztosítja a virtuálisgép-lemezeken található összes inaktív adat titkosítását. A Recovery-tárolóba mentett virtuális gépek esetén az ADE használata szükséges.
Az ADE-vel a virtuális gépek az ügyfél által kezelt kulcsokkal és szabályzatokkal indulnak. Az ADE integrálva van az Azure Key Vaulttal ezeknek a lemeztitkosítási kulcsoknak és titkos kulcsoknak a kezeléséhez.
Megjegyzés:
Az ADE nem támogatja az alapszintű virtuális gépek titkosítását, és nem használhat helyszíni kulcskezelő szolgáltatás (KMS) az ADE-vel.
Mikor érdemes titkosítást használni?
A számítógép adatai akkor vannak veszélyben, amikor átvitel (interneten vagy más hálózatokon keresztüli továbbítás) van folyamatban, és amikor nincsenek használatban (egy tárolóeszközön találhatók). Az Azure-beli virtuálisgép-lemezeken található adatok védelménél az inaktív adatok jelenti a legfőbb problémát. Előfordulhat például, hogy valaki letölti egy Azure-beli virtuális géphez társított virtuális merevlemez (VHD) fájlt, és menti azt a laptopjára. Ha a VHD nincs titkosítva, bárki hozzáférhet a VHD tartalmához, aki csatlakoztatni tudja a VHD-fájlt a számítógépén.
Operációsrendszer-lemezek esetén a rendszer automatikusan titkosítja az adatokat, például a jelszavakat, így még ha maga a virtuális merevlemez sincs titkosítva, nem könnyű hozzáférni ezekhez az információkhoz. Az alkalmazások automatikusan titkosíthatják saját adataikat is. Azonban még az ilyen védelem esetén is, ha valaki rosszindulatú szándékkal hozzáfér egy adatlemezhez, és maga a lemez nem volt titkosítva, akkor kihasználhatja az alkalmazás adatvédelemének ismert gyengeségeit. Ha a lemeztitkosítás működik, az ilyen biztonsági rések nem lehetségesek.
Az S Standard kiadás maga az Azure része, és az S Standard kiadás használatakor nem lehet észrevehető teljesítményhatás a virtuálisgép-lemez I/O-jára. A felügyelt lemezek jelenleg alapértelmezés szerint rendelkeznek az SSE-vel, és ezt nem érdemes megváltoztatni. Az ADE a virtuálisgép-operációs rendszer eszközeit (BitLocker és DM-Crypt) használja, így magának a virtuális gépnek kell némi munkát végeznie a virtuálisgép-lemezek titkosítása vagy visszafejtése során. A virtuális gép további processzorhasználatának hatása a legtöbb esetben elhanyagolható. Ha például processzorigényes alkalmazással rendelkezik, előfordulhat, hogy az operációsrendszer-lemez titkosítás nélkül marad a teljesítmény maximalizálása érdekében. Ebben az esetben az alkalmazásadatokat egy külön titkosított adatlemezen tárolhatja, amely a biztonság veszélyeztetése nélkül biztosítja a szükséges teljesítményt.
Az Azure két kiegészítő titkosítási technológiát biztosít az Azure-beli virtuálisgép-lemezek védelméhez. Ezek a technológiák (S Standard kiadás és ADE) különböző rétegekben titkosítják és különböző célokat szolgálnak. Mindkettő 256 bites AES-titkosítást használ. A két technológia együttes használata erős védelmet biztosít az Azure Storage-hoz és az adott VHD-khez való jogosulatlan hozzáféréssel szemben.