- CRN

Wbudowane rozwiązania szyfrujące dane – w szczególności całe bazy danych (Transparent Database Encryption, TDE) – przechowują zwykle klucz szyfrujący na serwerze baz danych, co w przypadku udanego ataku mającego na celu zdobycie owego klucza stwarza ryzyko uzyskania dostępu do danych przez niepowołane osoby. Co prawda, jeśli stosuje się TDE, można wykorzystać sprzętowy moduł kryptograficzny HSM (Hardware Security Module), co zwiększa bezpieczeństwo kluczy szyfrujących, ale i tak nie zapewnia rozdzielenia odpowiedzialności pomiędzy administratorów baz danych a administratorów dbających o bezpieczeństwo przechowywanych danych.

W rozwiązaniu szyfrującym Gemalto ProtectDB klucze kryptograficzne są generowane i przechowywane wewnątrz specjalistycznego sprzętu certyfikowanego na zgodność ze standardem FIPS 140–2 (poziom 3). Nigdy też go nie opuszczają, co znacznie upraszcza zarządzenie backupem, odzyskiwaniem oraz rotacją informacji. Rozwiązania tego typu zapewniają tworzenie i zarządzanie tysiącami kluczy kryptograficznych, które mogą być wykorzystane w wielu aplikacjach i serwerach baz danych. Co więcej, pojedynczy szyfrator może integrować się z silnikami baz danych pochodzącymi od wielu dostawców. Daje to dużą elastyczność i gwarancję wdrożenia rozwiązania w dowolnie złożonym środowisku.

ProtectDB pozwala na stworzenie wielopoziomowej polityki dostępu do danych i przekazywania uprawnień administracyjnych. W dodatku przeprowadzanie istotnych czynności w bazie danych może, zgodnie z konfiguracją, wymagać uwierzytelnienia więcej niż jednego administratora, a do najważniejszych z nich konieczne bywa zebranie się określonej liczby (kworum) administratorów czy oficerów bezpieczeństwa. Wszystkie operacje przeprowadzone przez użytkowników oraz administratorów urządzenia są zapisywane w logach audytowych.

Trzy pytania do…

Piotra Wróbla, Regional Sales Managera w Gemalto

CRN Na jakiego typu wyzwania odpowiada oferta firmy Gemalto?

Piotr Wróbel Doświadczenia ostatnich lat i miesięcy pokazują jednoznacznie, że stosowanie bastionowych systemów zabezpieczeń zmniejsza ryzyko naruszeń bezpieczeństwa, ale ich nie eliminuje. Dane jak były, tak będą w coraz większym stopniu wykradane, ponieważ są bardzo cenne. Nas wyróżnia – powiem dość przewrotnie – akceptacja tego faktu i koncentracja na tym, aby wykradzione dane były bezużyteczne. Można tego dokonać przez ich zaszyfrowanie. Wtedy dane, nawet skradzione, mają nikłe szanse ujawnienia.

CRN Czy takie podejście wiąże się z ryzykiem?

Piotr Wróbel Najbardziej krytycznym elementem kryptografii jest klucz. Innymi słowy, szyfrogram jest tak bezpieczny, jak bezpieczny jest klucz, którego używamy. Często podaję przykład pancernych drzwi z atestowanymi zamkami, do których klucze właściciel mieszkania przechowuje „pod wycieraczką” – wnioski nasuwają się same. Dojrzałe rozwiązania kryptograficzne nie mogą bagatelizować lub pomijać tego aspektu.

CRN O jakiego typu rozwiązania firmy powinny uzupełnić swoją infrastrukturę?

Piotr Wróbel Według Gemalto strategia ochrony informacji powinna uwzględniać także ich szyfrowanie oraz pełną kontrolę nad kluczami kryptograficznymi. Zabezpieczenie informacji przed ujawnieniem zapewniają nasze produkty: ProtectDB, ProtectFile oraz ProtectV. Mogą być wdrażane osobno bądź stosowane łącznie. Rozwiązania te, aby skutecznie spełniały swoje zadania, muszą być wsparte przez system zarządzania kluczami (SafeNet KeySecure) oraz system ich przechowywania (SafeNet HSM). Tylko taka architektura gwarantuje bezpieczeństwo kluczy, dzięki którym zabezpieczamy informacje.

Bazy danych powinny być szyfrowane według ściśle określonych zasad. Idealnym rozwiązaniem jest zaszyfrowanie określonych kolumn lub tabel, w zależności od tego jak bardzo wrażliwe są przechowywane w nich informacje. Dostęp do tych danych, po zaimplementowaniu rozwiązania, mają – po uwierzytelnieniu – wyłącznie użytkownicy posiadający odpowiednie klucze.

W przypadku dostępu z aplikacji do danych zaszyfrowanych w bazie dane logowania użytkownika, zgodnie z jego uprawnieniami dostępu, zwykle są przechowywane w pliku konfiguracyjnym. Zdarza się, i wynika to wyłącznie ze sposobu zaprojektowania danej aplikacji, że hasło użytkownika w owym pliku jest przechowywane w sposób jawny, co umożliwia autoryzowany dostęp do danych zaszyfrowanych w bazie każdemu użytkownikowi, który ma dostęp do systemu plików na serwerze aplikacyjnym.

Zabezpieczenie plików konfiguracyjnych jest zatem kolejnym, bardzo ważnym elementem koncepcji wielowarstwowej ochrony danych. Rozwiązanie ProtectFile firmy Gemalto zapewnia szyfrowanie plików realizowane przez oprogramowanie agenta instalowane na każdym chronionym serwerze. Dzięki jego niskopoziomowej integracji z systemem operacyjnym możliwe jest prowadzenie weryfikacji, czy dana osoba lub proces uruchomiony zgodnie z prawami tej osoby, mogą uzyskać dostęp do zawartości zaszyfrowanego pliku.

ProtectFile zapewnia objęcie ochroną całych folderów lub pojedynczych plików. Jest ona realizowana na bazie ustalonych reguł pozwalających na tworzenie wielu kluczy szyfrujących, przypisanie przywilejów dostępowych indywidualnym użytkownikom bądź ich grupom, a następnie przypisanie kluczy szyfrujących do chronionych zasobów – pojedynczych plików lub całych folderów.

Maszyna wirtualna – łatwy cel kradzieży

Coraz częściej serwery działają w środowiskach wirtualnych, co przynosi wiele korzyści, ale też powoduje dodatkowe wyzwania w zakresie bezpieczeństwa samych systemów, jak również przetwarzanych przez nie danych. Jednym z istotnych elementów, podnoszących ryzyko nieuprawnionego dostępu do systemów w zwirtualizowanym centrum przetwarzania danych, jest możliwość przeprowadzania niekontrolowanych czynności w tym środowisku, takich jak zatrzymywanie, uruchamianie, przenoszenie lub modyfikowanie systemów wirtualnych.

Jest to szczególnie istotne w środowiskach heterogenicznych o dużym nasyceniu rozwiązań IT, w dodatku rozproszonych geograficznie, zarządzanych przez wielu administratorów. Często są one utrzymywane i serwisowane przez zewnętrzne podmioty, czyli dostęp do nich mają ich pracownicy, dostawcy usług lub niezależni konsultanci.

Do zabezpieczania wirtualnych maszyn – jako kolejny element strategii wielowarstwowej ochrony danych – Gemalto proponuje rozwiązanie ProtectV. Służy ono do szyfrowania wirtualnych maszyn, które przeprowadzane jest przez oprogramowanie agenta zainstalowane w każdym chronionym systemie wirtualnym. Centralne zarządzanie ochroną odbywa się z poziomu systemu (Managera), a do zarządzania kluczami kryptograficznymi służą specjalne urządzenia, takie same jak do szyfrowania baz danych i plików.

Najważniejszą funkcją tego rozwiązania jest szyfrowanie wirtualnych dysków oraz obligatoryjne uwierzytelnianie w fazie rozruchowej, jeszcze przed uruchomieniem chronionej maszyny wirtualnej. System zarządzania zapewnia zaszyfrowanie zabezpieczanych dysków z dokładnością do partycji. Zapobiega to uzyskaniu nieautoryzowanego dostępu do znajdujących się na nich danych i to w wielu sytuacjach, np. uniemożliwia skopiowanie wirtualnego systemu i próbę jego uruchomienia czy skopiowanie plików wybranych dysków maszyny wirtualnej do innej lokalizacji.