Verschlüsselung zum Schutz von Unternehmensdaten
Werbung
Verschlüsselung zum Schutz von Unternehmensdaten Von der Theorie zur Praxis – mit eperi und IBM Cloud. IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 1 21.08.14 16:45 Inhalt Verschlüsselung in der Theorie 3 Was ist Verschlüsselung? 4 Verschlüsselungsverfahren 5 Verschlüsselung in der Praxis 8 Dateiverschlüsselung 8 Entwicklerwerkzeuge 8 Maskierung, Tokenization oder Verschleierung 9 Standardlösungen von Datenbankherstellern und Fremdanbietern 9 Verschlüsselung bietet Schutz – auch in der Cloud 10 IBM, SoftLayer und eperi 11 IBM und eperi 11 IBM, SoftLayer und eperi 11 Das eperi Gateway für Datenbanken 12 Die eperi Sicherheitslösung im Detail 12 Ablauf der Basiskonfiguration in 3 Schritten 14 2 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 2 21.08.14 16:45 Verschlüsselung in der Theorie „Der Schutz sensibler Information ist ein Anliegen, das bis in die Anfänge menschlicher Kultur reicht.“ Otto Horak, 19941 Kryptologie beschäftigt sich als Wissenschaft mit der Sicherheit von Informationen. Der Begriff wurde bereits 1932 von dem Schweden Yves Gyldén in dem Buchtitel „cryptologue“ verwendet und hat sich über die Jahre verfeinert und verfestigt. Die Kryptologie gliedert sich in die Bereiche Kryptographie und Kryptoanalyse, das heißt, in die Verschlüsselung von Informationen auf der einen Seite und in die „Entzifferung“ – das Brechen von Kryptosystemen, das Lesen von Nachrichten, ohne im Besitz des Schlüssels zu sein – auf der anderen Seite. Die Kryptographie – die Veränderung einer Information, sodass sie für den Unbefugten unlesbar wird – unterscheidet sich von der Steganographie, der Methode, die Existenz einer Nachricht zu verbergen. Dabei ist für unser Anliegen weniger die Variante der technischen Steganographie (unsichtbare/­ versteckte Geheimschriften) interessant, sondern die linguistische Steganographie (getarnte Geheimschriften), die wiederum Berührungspunkte mit der Kryptographie aufweist. Eine gute Klassifizierung findet sich in „Entzifferte Geheimnisse“ von F. L. Bauer2, Abbildung 17 „Klassifizierung der kryptologischen Methoden“. In Anlehnung daran folgender Überblick: Kryptographie Kryptologie Steganographie Eigentliche Kryptographie Technische Steganographie Linguistische Steganographie Kryptoanalyse „Generalmajor i. R. Dipl.-Ing. Dr. techn. Otto J. Horak war seit 1967 in leitender Stellung im Bundesministerium für Landesverteidigung und von 1984 – 1989 als Leiter des Heeres-Datenverarbeitungsamts (HDVA) tätig. Später u. a. Lehrtätigkeit an den Universitäten Wien, Linz und Klagenfurt und Konsulent in technisch-kryptologischen Fragen“ (Quelle: http://www.ares-verlag.com/autoren.html). 1 2 Bauer, Friedrich L. 2000. Entzifferte Geheimnisse: Methoden und Maximen der Kryptologie. 3., überarb. u. erw. Aufl. Springer Verlag: Heidelberg. IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 3 3 21.08.14 16:45 Was ist Verschlüsselung? Kryptographie oder Verschlüsselung (engl. encryption) bedeutet die Umwandlung eines lesbaren Textes (Klartext) in einen nicht mehr les- und interpretierbaren Text (Geheimtext). Dies funktioniert mithilfe eines Verschlüsselungsverfahrens, das aus einem mathematischen Algorithmus und einem „Schlüssel“ besteht. Die legale Wiederherstellung des Klartextes nennt man Entschlüsselung. Die Güte einer Verschlüsselung hängt sowohl von der Qualität des verwendeten Algorithmus als auch von der Schlüssellänge ab. Ein Verschlüsselungsalgorithmus ist eine Regel, die den Verschlüsselungsprozess beschreibt. Ein sehr guter Algorithmus gewährleistet aber noch keine Sicherheit, weil die Sicherheit eben auch vom Schlüssel bzw. vom Zugriff auf den Schlüssel abhängt. Dabei verhält sich der Algorithmus zum Schlüssel wie ein Schloss zum Schlüssel: Es empfiehlt sich, den verwendeten Algorithmus offenzulegen, weil dann jeder mithilfe von mathematischen Verfahren prüfen kann, ob er korrekt und sicher ist. Bildlich gesprochen zeigt man, dass das eingesetzte Schloss funktioniert und sicher ist. Das birgt kein Risiko, denn das Wissen über die Güte des Schlosses bedeutet noch lange nicht, dass man es öffnen kann. Die Sicherheit wird durch den Schlüssel gewährleistet. Gute Algorithmen zeichnen sich dadurch aus, dass der passende Schlüssel nicht hergeleitet werden kann. Man kann versuchen, den passenden Schlüssel durch sogenannte Brute-Force-Angriffe zu finden. Dabei werden alle möglichen Schlüssel durchprobiert, bis der korrekte Schlüssel gefunden ist. Sicher ist eine Verschlüsselung, wenn die Anzahl der potenziellen Schlüssel so hoch ist, dass der Schlüssel aufgrund mangelnder Zeit oder Rechnerkapazitäten nicht erraten werden kann. Die moderne Kryptographie verfolgt vier wesentliche Ziele zum Schutz von Informationen:3 1. Vertraulichkeit/Zugriffsschutz: Nur dazu berechtigte Personen sollen in der Lage sein, die Daten oder die Nachricht zu lesen oder Informationen über ihren Inhalt zu erlangen. 2. Integrität/Änderungsschutz: Die Daten müssen nachweislich vollständig und unverändert sein. 3. A uthentizität/Fälschungsschutz: Der Urheber der Daten oder der Absender der Nachricht soll eindeutig identifizierbar und seine Urheberschaft sollte nachprüfbar sein. 4. V erbindlichkeit/Nichtabstreitbarkeit: Der Urheber der Daten oder Ab­sender einer Nachricht soll nicht in der Lage sein, seine Urheberschaft zu bestreiten, d. h., sie sollte sich gegenüber Dritten nachweisen lassen. 4 3 Ertel, Wolfgang. 2003. Angewandte Kryptographie, 2., bearb. Auflage. Carl Hanser Verlag: München, Wien, S. 18. Siehe auch: http://de.wikipedia.org/wiki/Kryptographie. IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 4 21.08.14 16:45 Verschlüsselungsverfahren Symmetrische Verschlüsselung Asymmetrische Verschlüsselung Bei der symmetrischen Verschlüsselung wird Bei der asymmetrischen Verschlüsselung werden derselbe Schlüssel für die Ver- und Entschlüsse- zwei zusammengehörige Schlüssel erzeugt: lung verwendet. Die Herausforderung besteht Einer dient der Verschlüsselung, der andere dient darin, den Schlüssel sicher an den Kommunika- der Entschlüsselung. Obwohl beide Schlüssel tionspartner zu übermitteln, was sehr aufwendig über eine gemeinsame mathematische Grund­ und kostenintensiv ist. Zudem muss für jeden lage verfügen, können sie nicht aus dem jeweils Kommunikationspartner ein eigener Schlüssel anderen abgeleitet werden. Folglich muss der erzeugt werden. Schlüssel zur Verschlüsselung (Public Key) nicht weiter geheim gehalten werden. Der Schlüssel, Zu den bekanntesten symmetrischen der zur Entschlüsselung verwendet wird (Private Verschlüsselungsverfahren gehören: Key), befindet sich nur beim Empfänger und wird dort z. T. nochmals gesichert. • DES (Data Encryption Standard, 56 Bit Schlüssel) basiert auf dem Lucifer Verfahren, Der private Schlüssel … das 1974 von IBM entwickelt wurde. Seit den 1990er-Jahren gilt DES mit seinen 56 Bit • dient zur Entschlüsselung von Nachrichten, als nicht mehr ausreichend gegen Brute- die mit dem öffentlichen Schlüssel des Inhabers Force-Angriffe. verschlüsselt wurden, • Triple-DES (auch 3DES, TDES oder DESede, • wird für digitale Signaturen verwendet, um 168/112 Bit Schlüssel) ist sicherer und lang­ die nicht abstreitbare Urheberschaft und die samer als DES. DES wird mehrfach, mit Integrität von Nachrichten zu verifizieren, und zwei oder drei verschiedenen Schlüsseln, ausgeführt. • wird zur Authentifizierung oder Identitätsfeststellung genutzt. • AES (Advanced Encryption Standard, 128/192/256 Bit Schlüssel) wurde ab 2000 als Nachfolger von DES vom NIST (National Institute of Standards and Technology) bekannt gegeben. • IDEA (International Data Encryption Algorithm, 128 Bit Schlüssel in Teilschlüssel zerlegt) wurde 1990 von der ETH Zürich und der Ascom Systec AG entwickelt. Bis ca. 1970 waren nur symmetrische Verfahren bekannt. Seit 1976 existieren – basierend auf den Arbeiten von Diffie, Hellman und Merkle – die asymmetrischen Verfahren. 5 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 5 21.08.14 16:45 Die folgende Darstellung4 veranschaulicht die Grundlagen der asymmetrischen Verschlüsselung an einem Beispiel. Bob möchte Alice eine verschlüsselte Nachricht senden: ALICE Alice´s Public Key 52ED879E 70F71D92 KeyGen Function Alice´s Private Key Big Random Number Damit Bob die Nachricht an Alice verschlüsseln kann, benötigt er ihren öffentlichen Schlüssel (Public Key). Wie in obiger Grafik dargestellt, kann Alice mithilfe einer „Key Generation Function“ (KeyGen Function) ein kryptographisches Schlüsselpaar erzeugen. Dafür werden sehr hohe Zufallszahlen benötigt. In der Regel wird der gesamte Erzeugungsprozess durch das Betriebssystem vollautomatisch durchgeführt. BOB Hello Alice! Alice´s Public Key Encrypt 6EB69570 08E03CE4 ALICE Hello Alice! Alice´s Private Key Decrypt Bobs Nachricht in Klartext „Hello Alice!“ kann nun von ihm mithilfe des öffentlichen Schlüssels von Alice verschlüsselt werden. Der so entstandene Geheimtext wird an Alice versendet. Alice kann die erhaltene Nachricht mit ihrem privaten Schlüssel wieder entschlüsseln. Bei der Übergabe des Public Keys muss sichergestellt werden, dass er auch tatsächlich von dem Absender stammt, von dem er erwartet wird. Daher erfolgt die Übergabe des Public Keys in der Regel anhand von Zertifikaten, die über eine Beglaubigungsstelle (Certificate Authority) die Zusammengehörigkeit von Person und Public Key bestätigen. Der Vorteil von asymmetrischen Verfahren besteht darin, dass im Gegensatz zu symmetrischen Verfahren der zur Verschlüsselung verwendete Schlüssel nicht übertragen werden muss. Das erste asymmetrische Verschlüsselungsverfahren (RSA) wurde 1977 von Rivest, Shamir, Adleman entwickelt. Heute finden wir derartige Verfahren z. B. im E-Mail-Verkehr (OpenPGP, S/MIME) oder in Protokollen wie SSH, SSL/TLS oder auch bei https. 6 4 Quelle: in Anlehnung an de.wikipedia.org, Stichwort „Public-Key-Verschlüsselungsverfahren“, am 5. August 2014. IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 6 21.08.14 16:45 Hybride Verschlüsselung Zahlreiche Unternehmen legen Informationen über ihre Kunden, deren Transaktionen und Kre- Die asymmetrische Verschlüsselung ist allerdings ditkartendaten in Datenbanken ab. Die drohenden deutlich aufwendiger als die symmetrische, da Schäden bei Datendiebstahl und Missbrauch für der Algorithmus und die Schlüssellängen kom­ diese Unternehmen sind immens. Hier schreibt plexer sind. Aus diesem Grund wurden die Vorteile die dritte Regel des Payment Card Industry Data des symmetrischen und des asymmetrischen Security Standards (PCI-DSS) vor, dass die Verfahrens bei der sogenannten hybriden Ver- gespeicherten Daten von Kreditkarteninhabern schlüsselung kombiniert. Dadurch profitierte man sicher verschlüsselt werden müssen. Zudem von der Geschwindigkeit der symmetrischen müssen die Schlüssel sicher aufbewahrt werden. Verschlüsselung und von der Sicherheit der asymmetrischen Verschlüsselung: Die eigentli- Solche verbindlichen Standards – der PCI-DSS chen Daten werden symmetrisch verschlüsselt. wird von internationalen Kartenorganisationen Hierzu wird für jede Datenübertragung ein unterstützt – existieren aber längst nicht für alle eigener Schlüssel (Session Key) verwendet. Branchen. Und die Verschlüsselung der Daten Die Session Keys werden durch asymmetrische zahlt sich nicht nur für Unternehmen aus, die mit Verschlüsselung übermittelt. Da jetzt nur noch sensitiven Kundendaten hantieren. Auch das die Schlüssel – und nicht mehr die großen Daten- Wissen eines Unternehmens selbst ist eine kriti- pakete – asymmetrisch übertragen werden, wirkt sche Ressource, die häufig arglos in Datenbanken sich die nachteilige Komplexität des asymmetri- gespeichert wird. schen Verfahrens kaum aus. Dabei sind Datenschutz und Datensicherheit im digitalen Zeitalter eigentlich für alle Unternehmen Warum Verschlüsselung? und öffent­lichen Einrichtungen Pflicht. Die Liste potenzieller Schäden reicht vom Imageschaden Insbesondere Unternehmen, die in stark regulier- über Vertrauens- und Bonitätsverlust bis hin zu ten Branchen tätig sind, etwa im Gesundheits- strafrechtlicher Verfolgung, Haftungsschäden und oder Finanzsektor, brauchen Verschlüsselungs- Schadensersatzforderungen. Zugleich weckt ein technologien. Hier geben Gesetze (u. a. das Datenschaden Zweifel an der Kompetenz der Ge- Bundesdatenschutzgesetz) die Vorschriften für schäftsführung und der Vorstände, die gesetzlich die Datensicherung verbindlich vor. Sie regeln zur Sicherstellung der Vertraulichkeit bestimmter beispielsweise, dass „nur ärztliches Personal“ Informationen verpflichtet sind. Die Verantwortung Zugriff auf medizinische Daten haben darf für den Datenschutz kann man nicht delegieren – (§ 28, Abs. 7, BDSG). die Firmenführung haftet (siehe auch §11 BSDG). Aus diesem Grund fragen immer mehr Unternehmen nach Verschlüsselungslösungen, wenn IT-Systeme mit Kommunikationsnetzen verbunden werden. 7 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 7 21.08.14 16:45 Verschlüsselung in der Praxis „Datenbankverschlüsselung“ ist nicht genau definiert. Es gibt zahlreiche Angebote, die nicht unbedingt halten, was der Name verspricht. So ist beispielsweise die Dateiverschlüsselung von der Datenverschlüsselung zu unterscheiden. Bei der Dateiverschlüsselung werden einzelne Dateien oder Ordner (File & Folder Encryption) verschlüsselt. Das Problem besteht darin, dass diese ursprünglich verschlüsselten Dateien zum Teil entschlüsselt in temporären Ordnern auf dem unverschlüsselten Teil des Datenträgers abgelegt werden. Aus diesem Bereich oder aus dem Hauptspeicher eines Computers können die Daten dann unverschlüsselt ausgelesen werden. Im Gegensatz dazu werden bei der Datenverschlüsselung die Daten selbst verschlüsselt. Hierbei ist es unerheblich, wo diese Daten gespeichert werden: ob in Datenbanken, in Dateien oder auf Backup-Medien. Die Verschlüsselung von Daten birgt den Vorteil, dass man mit verschlüsselten Daten administrativ arbeiten kann. Im Gegensatz dazu müssen verschlüsselte Dateien zur Daten­ verarbeitung immer entschlüsselt werden. Bei der Datenverschlüsselung werden die einzelnen Schlüssel Nutzern zugewiesen, die dadurch die entsprechenden Zugriffsrechte erhalten. Nutzer müssen in einem ersten Schritt angelegt werden. Ist der Nutzer angelegt, kann ihm eine Rolle zugewiesen werden. Die zugewiesene Rolle umfasst eine bestimmte Menge von Berechtigungen und bestimmt dadurch, welche Aktionen ein Nutzer durchführen kann. Typische Rollen sind bspw. Administrator, User, Manager, Operator etc. Dateiverschlüsselung Entwicklerwerkzeuge Renommierte Hersteller von Datenbanksystemen Bei der Entwicklung neuer Anwendungen werden bieten heute meist eine eigene Option zur Daten- häufig Entwicklerwerkzeuge eingesetzt, mit deren bankverschlüsselung. Dabei gewährleistet das Verwendung die Daten verschlüsselt werden Aktivieren dieser Funktionalität nicht unbedingt, können, bevor sie in der Datenbank gespeichert dass die Daten einer Datenbank auch tatsäch- werden. Meist ist hier aber kein Schlüsselmanage- lich verschlüsselt sind. Häufig ist lediglich ment integriert, sodass alle Daten mit dem die Verschlüsselung der Datenbankdateien im gleichen Chiffrierschlüssel verschlüsselt werden. Dateisystem des Betriebssystems gemeint. Wenn dieser Schlüssel aus irgendwelchen Gründen Damit schützt man die Daten gegen System­ bekannt wird, sind sofort alle Daten ungesichert. administratoren oder Angreifer auf Ebene des Gleichzeitig erzwingen die Entwicklerwerkzeuge Dateisystems, aber Datenbankadministratoren Änderungen der Anwendungen. Dies ist bei und erfolgreiche Hacker haben weiterhin unein- bestehenden Anwendungen meist nicht möglich, geschränkten Zugriff über die Datenbank selbst – und das damit einhergehende Risiko, die Gewähr- ebenso wie Angreifer, die sich Zugang zum leistung des Herstellers zu verlieren, sollte man Datenbank-Backup verschaffen. ohnehin nicht eingehen. 8 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 8 21.08.14 16:45 Maskierung, Tokenization oder Verschleierung Daten innerhalb der Datenbank und damit auch im Zugriffsbereich der Datenbankadministratoren erfolgen. Genau diesen soll aber keine unbe- Mit Maskierung der Daten, Tokenization oder rechtigte Einsichtnahme gewährt werden. Der Verschleierung bezeichnet man die Erzeugung vermeintliche Vorteil einer engen Kopplung von Ersatzwerten für sensitive Daten. Zum Bei- von Sicherheitslösung und Datenbank ist also spiel wird aus der Kreditkartennummer 1234 gleichzeitig ihr größter Nachteil, weil die Schlüssel die Kreditkartennummer 7765. In den USA wird in der Datenbank abgelegt werden. diese Technologie aufgrund von ComplianceAnforderungen zum Schutz von Kreditkarten­ Auch externe Verschlüsselungslösungen, soge- daten eingesetzt. nannte Hardware-Sicherheitsmodule (HSM), helfen nicht. Hier findet die Ver- und Entschlüsselung In einer Mapping-Tabelle wird gespeichert, zwar außerhalb der Datenbank statt, doch das welcher zu sichernde Wert welchem Ersatzwert Berechtigungsmanagement und der Master- zugeordnet ist. Im Unternehmen können alle Chiffrierschlüssel verbleiben weiterhin in der Stellen auf diese Mapping-Tabelle zugreifen, Datenbank. Damit haben Datenbankadministra­ die Zugriff auf die Daten haben müssen. Das toren – und potenzielle Angreifer – weiterhin Zugriff. Problem liegt auf der Hand: Wer die MappingTabelle besitzt, kann die Daten einsehen. Andere Fremdanbieter bieten wiederum Lösungen Deshalb sind diese Tabellen ein sehr beliebtes an, bei denen die Datenbank geändert werden Angriffsziel von Hackern. muss. Dabei werden häufig die Dynamik Link Libraries (DLL) der Datenbank ersetzt oder nicht Das zweite Problem dieser Methode resultiert dokumentierte Schnittstellen der Datenbankher- daraus, dass sie nur bei Datentypen funktioniert, steller genutzt. Hier ist besondere Vorsicht geboten, bei denen einem Originalwert eindeutig ein Er- weil damit häufig die Gewährleistung der Daten- satzwert zugewiesen werden kann. Das heißt, bankhersteller erlischt und keine Investitions­ dass aus 7765 immer 1234 rekonstruiert wird. sicherheit mehr gegeben ist. Schon die kleinste Aufgrund des geringen Wertebereichs ist ein Änderung der Datenbank vom Hersteller, zum Rückschluss auf den Originalwert deutlich Beispiel im Rahmen eines Bugfixes, kann zu einfacher möglich, als dies bei einer kryptogra­ ernsthaften Kompatibilitätsproblemen mit der phischen Verschlüsselung der Fall wäre. Sicherheitslösung führen. Standardlösungen von Datenbankherstellern und Fremdanbietern Einige Datenbankhersteller haben erkannt, dass Datensicherheit dringend notwendig ist und bieten eine Option zur Datenbankverschlüsselung an, die in der Datenbank transparent erfolgt (TDE = Transparent Database Encryption) oder die während der Installation Änderungen der Datenbank erfordert. Das Problem derartiger Lösungen besteht darin, dass das Schlüssel­management Diese kurze Kritik an gängigen Verschlüsselungsverfahren von Datenbanken zeigt, dass die Wirksamkeit der Datenbankverschlüsselung neben der Güte der Verschlüsselung vor allem auch vom Schlüsselmanagement abhängt. Wenn der Datenbankadministrator Zugang zum Private Key hat, dann kann er auch die Daten der Datenbank einsehen, verändern oder kopieren. ebenso wie die Ver- und Entschlüsselung der 9 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 9 21.08.14 16:45 Verschlüsselung bietet Schutz – auch in der Cloud Für Unternehmen haben Daten in den letzten Jahren immens an Wert und Bedeutung gewonnen. Zugleich ist die Computerund Internetkriminalität (Cyberkriminalität) im Hinblick auf das Ziel „sensitive Unternehmensdaten“ gestiegen.5 Deshalb reicht das Interesse an Verschlüsselung längst über regulierte Branchen wie dem Gesundheits-, dem Finanzsektor oder dem öffentlichen Bereich hinaus. Verschlüsselung ist heute für alle Unternehmen relevant, die ihre Kundendaten oder ihr geistiges Eigentum verstärkt schützen wollen. Für viele Unternehmen, die Cloud-Dienste nutzen wollen, ist die Wahl eines zuverlässigen Providers mit entsprechendem Sicherheitsstandard bereits ein großer Schritt. Nur wenige Unternehmen sorgen im eigenen Haus schon für eine Sicherheitslösung, die ihre Daten nachhaltig schützt. Wer seine sicherheitsrelevanten Daten auch in der Cloud verlässlich schützen will, sollte einen zuverlässigen Provider wählen und seine Daten unabhängig von diesem Provider verschlüsseln. Idealerweise werden die Daten schon verschlüsselt, bevor sie an den Cloud-Provider übertragen und dort – natürlich auch verschlüsselt – gespeichert werden. Mit der richtigen Datenverschlüsselung sind viele gesetzliche Regelungen und Vorgaben bereits eingehalten und das immense Potenzial von Cloud Computing kann sicher genutzt werden. 10 5 Siehe: IBM X-Force Threat Intelligence Quarterly 2Q 2014 – http://www-03.ibm.com/security/xforce/ IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 10 21.08.14 16:45 IBM, SoftLayer und eperi IBM und eperi Das eperi Gateway erlaubt es, Informationen mit einem Verschlüsselungsalgorithmus nach Wahl Die eperi GmbH ist ein etablierter Hersteller von des Kunden zu kodieren. Es empfiehlt sich, AES IT-Security-Lösungen und bietet mit dem eperi 256 oder RSA zu verwenden. Gateway für Datenbanken eine überzeugende Sicherheitslösung für alle Unternehmen, die ihre In manchen Fällen ist es notwendig, ein Daten- Datenbanken sicher in der Cloud betreiben wollen. Backup ins Ausland zu verlagern. Zum Beispiel, Das Unternehmen mit Sitz in Darmstadt wurde weil es nur ein Rechenzentrum pro Land gibt, oder 2003 gegründet und verfügt über rund elf Jahre weil Kunden die räumliche Trennung aus politi- Erfahrung in der IT-Security. schen oder sicherheitstechnischen Gründen einfordern. SoftLayer ermöglicht es seinen Kunden, die IBM und eperi haben im Bereich IT-Cloud-Security Daten auch über Landesgrenzen hinweg redun- eine Partnerschaft etabliert. Das eperi Gateway dant vorliegen zu lassen. Da das eperi Gateway die für Datenbanken bildet eine ideale Ergänzung Daten verschlüsselt, ist auch ein Backup in anderen zu den IBM-Sicherheitslösungen. Es bietet sich Ländern mit derselben Sicherheitsstufe möglich. insbesondere für Unternehmen an, die ihre Daten sicher in eine Cloud-Umgebung bringen wollen. IBM, SoftLayer und eperi SoftLayer, ein Unternehmen der IBM, und eperi haben sich für eine Partnerschaft entschieden, weil beide davon überzeugt sind, dass Daten­ sicherheit höchste Priorität hat. Es ist eine Besonderheit des IaaS-Anbieters IBM SoftLayer, dass seine Nutzer jederzeit wissen, an welchem Ort, in welchem Rechenzentrum und sogar auf welchem Rechner ihre Daten liegen. IBM Soft- Das eperi Gateway läuft in einer eigenständigen Umgebung, sowohl in der IBM SoftLayer Cloud als auch im unternehmenseigenen Rechenzentrum. Daher ist es unabhängig von der Datenbank und flexibel skalierbar. Es bietet nicht nur sicheren Schutz für sensitive Daten, sondern ist auch sehr komfortabel: Alle existierenden Anwendungen, Systeme, Benutzerprozesse oder Datenbanken bleiben unverändert, da ausschließlich mit Standardmechanismen der Datenbank gearbeitet wird. Die Verschlüsselung wird transparent in existierende IT-Umgebungen integriert. Layer erlaubt seinen Kunden, sich den Speicherort Da die Nutzung des eperi Gateways mit DMS für ihre Daten – bis hin zur physischen Maschine – (Dokumenten Management System), CMS (Content auszusuchen. Dies ermöglicht die Abdeckung von Management System) oder Spezialanwendungen vielen Anforderungen an die Datensicherheit. transparent erfolgt, erweist sich die eperi Lösung als hochkompatibel. Für weitergehende Forderungen ist Verschlüsselung die nächste sinnvolle Sicherheitsstufe. Z. B., Das eperi Gateway für Datenbanken arbeitet wenn es sich um sensible Daten handelt, wenn sowohl auf der Basis von WebSphere als auch die Daten wichtige Forschungsinformationen oder zusammen mit DB2, Oracle und Microsoft geistiges Eigentum betreffen oder wenn man SQL-Servern. Es ist im IBM Cloud Marketplace sicher­stellen will, dass sich auch kein Administra- gelistet und kann über die IBM Technology tor in der Betriebskette (Mitarbeiter des Rechen- Services (ITS) eingekauft werden. zentrums oder entfernter Administrator) Zugriff auf Informationen in der Cloud verschaffen kann. 11 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 11 21.08.14 16:45 Das eperi Gateway für Datenbanken Das eperi Team hat eine Sicherheitslösung entwickelt, die die Schwachstellen herkömmlicher Lösungen eliminiert. • Wirksame dreifache Trennung der Aufgaben („Separation of Duties“). • Echte Verschlüsselung auf Datenebene. Keine Maskierung der Daten. Keine Verschlüsselung von Dateien notwendig. • Keine Anpassung von existierenden IT-Systemen, Anwendungen, Benutzer­ prozessen oder Datenbanken. • Verschlüsselung, Schlüsselmanagement, Hauptschlüssel – alles erfolgt bzw. liegt ausschließlich außerhalb der Datenbank, in der sicheren Umgebung des eperi Gateways. Dateiverschlüsselung Entwicklerwerkzeuge Datenmaskierung Standardlösungen Einzelne Dateien oder Ordner werden verschlüsselt App-Anpassung ist notwendig Datenmaskierung ist keine Datenverschlüsselung Hauptschlüssel liegt in der Datenbank eperi verschlüsselt die Daten selbst eperi schützt, ohne dass Apps angepasst werden müssen eperi schützt sensitive Daten mit bewährter Verschlüsselung eperi legt den Haupt­schlüssel im sicheren Gateway ab Die eperi Sicherheitslösung im Detail Niemand kann den Datenzugriff von Dritten nehmen einzelne Datenbankfelder innerhalb gänzlich verhindern. Aber das eperi Gateway für einer Datenbanktabelle und schützen die Daten Datenbanken kann dafür sorgen, dass die Daten vor unerlaubtem Zugriff und Manipulation. nicht von Unberechtigten verwendet werden können. Dabei ist es gleichgültig, ob die Daten- Es handelt sich um eine transparente Lösung, bank in der Cloud liegt, während die Anwendun- die sowohl im unternehmenseigenen Rechenzent- gen im Unternehmen laufen. Oder ob sich sowohl rum als auch in einer Cloud-Umgebung läuft. Alle die Datenbank als auch die Anwendungen in der existierenden Anwendungen, Systeme, Benutzer- Cloud befinden. Denn eperi hat eine Sicherheits- prozesse und Datenbanken bleiben während lösung entwickelt, die die Daten einer Datenbank und nach der Installation unverändert. Das eperi in jedem Szenario sicher schützt: Mit dem eperi Gateway integriert sich nahtlos in jede existierende Gateway für Datenbanken verschlüsseln Unter- IT-Umgebung. Es funktioniert als transparenter 12 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 12 21.08.14 16:45 Proxy oder es werden Datenbank-Standardtech- Alle kryptographischen Operationen, das gesamte nologien wie Trigger, Views und Stored Procedures Berechtigungs- und Schlüsselmanagement sowie verwendet. die Verwaltung des Hauptschlüssels erfolgen ausschließlich außerhalb der Datenbank – in der Das eperi Gateway wird auf einer eigenen Open- sicheren Umgebung des Gateways. Source-Security-Plattform implementiert, die von eperi gemeinsam mit dem BSI (Bundesamt Basierend auf den auf Seite 5 ff genannten Ver- für Datensicherheit in der Informationstechnik) schlüsselungsverfahren handelt es sich beim entwickelt wurde und vom BSI empfohlen wird. eperi Gateway für Datenbanken um ein komplett Sie steht unter Open-Source-Lizenz auf der eigenes Sicherheitssystem, das unabhängig von Website (eperi.de) zur Verfügung, sodass Kunden der Daten­bank arbeitet und eine strikte Trennung jederzeit Einblick haben. der Verantwortungsbereiche („Separation of Duties“) beinhaltet: Die Sicherheitslösung basiert auf hybrider Verschlüsselungstechnik. Für die sichere Verschlüs- Nur der Sicherheitsadministrator hat Zugang zu selung werden kryptographische Algorithmen den Schlüsseln. Er bestimmt, welche Benutzer wie AES und RSA verwendet, die mathematisch die sensitiven Daten im Klartext lesen dürfen, nachgewiesen ein Höchstmaß an Sicherheit bie- hat aber selbst keinen Zugriff auf die Daten der ten. Diese kryptographischen Basisoperationen Datenbank. Kurz: Der Sicherheitsadministrator werden mithilfe der Open-Source-Lösung secRT vergibt die Rechte, aber er sieht keine Daten. (Security RunTime) durch­geführt. Open Source bietet zwei wesentliche Vorteile: Zum einen Die Datenbank und die Daten werden vom Daten- können die Algorithmen auf Korrektheit geprüft bankadministrator verwaltet – er operiert allerdings werden. Dies steht jedem offen – eine agile freie mit verschlüsselten Daten. Community ist hier hoch aktiv. Zum anderen besteht die Möglichkeit, einzelne Module durch Der Meta-Directory-Administrator legt die Nutzer eigene zu ersetzen. der Datenbank an. Das heißt: Sollten sich der Sicherheits- und der Datenbankadministrator Die secRT ist serviceorientiert aufgebaut, sodass zusammenschließen, um Datenmissbrauch zu jeder Einzelne der kryptographischen Services betreiben, müssten sie vom Meta-Directory-Ad- ersetzt werden kann, ohne dass die anderen Ser- ministrator zuerst als Datenbanknutzer angelegt vices angepasst werden müssen. Die konsequente werden. Der Schutz des eperi Gateways ließe Verwendung von offenen Standards wie Java, sich folglich nur umgehen, wenn sich alle drei SOAP over http, OSGI und anderen ermöglicht Administratoren mit krimineller Energie zusammen­ eine nahezu beliebige Erweiterbarkeit. Natürlich schließen würden. steht auch hier die Community mit Rat und Tat zur Seite. Auch kommerzielle Angebote zur Unter- Über die intuitiv bedienbare, optionale Security- stützung und Umsetzung existieren. Administration können beliebig viele eperi Gateways für Datenbanken gesteuert und kontrolliert Das eperi Gateway für Datenbanken bietet ein voll- werden. Alle Einstellungen werden an einer zent­ ständiges Schlüsselmanagement und erfordert ralen Stelle vorgenommen und anschließend auto- keine Anpassung oder Änderung der bestehenden matisch per Push oder Pull an alle eperi Gateways Datenbanken, ihrer Schnittstellen oder DLLs. Nur für Datenbanken übertragen. Alle Einstellungen so bleiben die Herstellergarantien erhalten und die und Schlüssel werden dabei in einem persistenten Investitionssicherheit nachhaltig gewährleistet. Datenspeicher (Security Repository) abgelegt. 13 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 13 21.08.14 16:45 Ablauf der Basiskonfiguration in 3 Schritten Mit dem eperi Gateway für Datenbanken lassen sich Datenbanken ganz unkompliziert verschlüsseln. Nach der Installation des eperi Gateways im Rechenzentrum des Unternehmens oder dem Start in der Cloud-Umgebung wird die Basiskonfiguration vorgenommen. Diese erfolgt über einen Wizard in drei Schritten: Schritt 1: Auswahl der Datenbanken Der Datenbankadministrator legt die Datenbank an. Der Sicherheitsadministrator gibt die vom Datenbankadministrator weitergegebenen Zugangsdaten ein und definiert die zu schützende Datenbank. Daraufhin kann sich das eperi Gateway mit der Datenbank verbinden und wird diese nach dem Abschluss der Konfiguration (Schritt 1 – 3) automatisch einrichten. Je nach Lizenz besteht hier auch die Möglichkeit, eine zweite, redundante Datenbank zu konfigurieren. Dies kann beispielsweise eine Failover-Datenbank oder eine Test-Datenbank sein. 14 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 14 21.08.14 16:45 Schritt 2: Auswahl der zu verschlüsselnden Felder Im zweiten Schritt wählt der Sicherheitsadministrator aus, welche Tabellenspalten verschlüsselt werden sollen. Hierbei sieht er natürlich, welche Daten bereits verschlüsselt sind und um welche Datentypen es sich handelt. Ändert sich das Datenbankschema im Rahmen eines Updates, so muss dieser Wizard einfach noch einmal ausgeführt werden, und die gegebenenfalls neu hinzugekommenen Felder mit sensitiven Informationen werden in die Verschlüsselung aufgenommen. Zusätzlich kann der Sicherheitsadministrator einen Ersatzwert für jede Spalte festlegen. Dieser wird dem Benutzer, der keine Zugriffsrechte auf die verschlüsselten Felder hat, angezeigt. Schritt 3: Auswahl der berechtigten Benutzer Im dritten und letzten Schritt legt der Sicherheitsadministrator diejenigen Datenbankbenutzer fest, die berechtigt sind, die unverschlüsselten Daten angezeigt zu bekommen. Diese Benutzer müssen vorher vom Meta-Directory-Administrator angelegt worden sein. Nach der Konfiguration des Gateways verbindet es sich automatisch mit der Datenbank und überprüft, ob Daten, die für die Verschlüsselung vorgesehen sind, in der Datenbank bereits vorhanden sind. Wenn dies der Fall ist, wird die Verschlüsselung der Bestandsdaten automatisch durchgeführt. Auch das Schlüsselmanagement läuft von nun an automatisch. Damit ist das Gateway betriebsbereit. 15 IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 15 21.08.14 16:45 Als Ansprechpartner bei Fragen stehen wir gerne persönlich zur Verfügung: Thorsten Hansen Cloud Services [email protected] +49 171 3373409 Kurt N. Rindle Cloud Portfolio [email protected] +49 7034 643-2001 Weitere Informationen zur IBM Cloud gibt es unter: ibm.com/cloud/de Oder gelangen Sie direkt zu eperi Gateway für Datenbanken im IBM Cloud Marketplace. IBM, das IBM Logo, ibm.com, das Planetensymbol und alle im Text erwähnten IBM Produktnamen sind Marken oder eingetragene Marken der International Business Machines Corporation in den USA und/oder anderen Ländern. Microsoft, Windows, Windows NT und das Windows Logo sind eingetragene Marken der Microsoft Corporation in den USA und/oder anderen Ländern. Marken anderer Unternehmen/Hersteller werden anerkannt. © Copyright IBM Corporation 2014. Alle Rechte vorbehalten. IBM_T1_13017_Cloud-for-LOB_Broschuere_RZ2.indd 1 21.08.14 16:45
