Clico 2020

80_CLICO_kulcskez_felhos_fig01.jpg
Forrás: Clico
Nem minden felhő egyformán korrekt

Kulcsok és tanúsítványok kezelése felhős környezetekben

Mára gyakorlatilag a teljes hálózati forgalom a nyílt kulcsú titkosítási infrastruktúrára épül. Ezen alapszik a weboldalakkal való biztonságos kapcsolatunk, a különféle fizetési és átutalási rendszereink, távoli hozzáférések (jó példa erre napjainkban a tömeges home office) és adatbázisok titkosítása, szigorú felhasználói azonosítás, az e-kereskedelem, az e-kormányzat, de még az alkalmazások (JAVA, ActiveX, stb.)  vagy a hardvereink firmware-einek hitelesítése is.

Ezeken a területeken PKI (public key infrastructure, nyílt kulcsú infrastruktúra) nélkül nem lehet biztonságos és hiteles kommunikációt folytatni, ezért létfontosságú, hogy az általunk használt és birtokolt privát kulcsaink biztonságban legyenek. Esetleges kompromittálódásukkal felmérhetetlen kockázatnak és károknak tesszük ki magunkat. Erre a legmegbízhatóbb megoldást a HSM-ek (hardware security module-ok) használata jelenti. A HSM végzi kulcsaink generálását, tárolását és a kulcsokkal kapcsolatos kriptográfiai feladatokat úgy, hogy ezek a műveletek a lehető legmagasabb szintű biztonsági tanúsítványoknak is megfelelnek. A HSM-ek lehetnek USB-n csatlakoztatott külső eszközök, szerverbe beépíthető kártyák/modulok, illetve dedikált hálózatra kötött appliance-ek is.

Ez a megközelítés tökéletes egy hagyományos felépítésű, saját tulajdonú, földi infrastruktúra esetén, de az egyre inkább felhőalapú környezetünkbe egy ilyen (földi) HSM-infrastruktúra nem illeszthető be. Sok céges szoftvert futtatunk felhős környezetekben, egyre több felhős alkalmazást veszünk igénybe, és egyre több adatunk található a felhős tárhelyeken. Sok cég azt gondolja, hogy ilyen esetben a legjobb módszer a felhőszolgáltatók kulcskezelési megoldásaira bízni a titkosítási feladatokat, majd reménykedni abban, hogy a kulcsainkat biztonságosan tárolják, és azokat valóban az általuk ígért algoritmusokkal generálták. Az alábbiakban arra mutatunk néhány példát, hogyan lehet kulcsaink, adataink védelmét és kezelését a saját kezünkbe venni felhős vagy hibrid környezetek esetén is.

Mi és mire jó a HSM?

A hardveres biztonsági eszköz lelke egy dedikált titkosító célprocesszor, amelyet a kulcsok teljes életciklusának kezelésére terveztek. A HSM a bizalom letéteményese a világ a biztonságra legkényesebb szervezeteinél, mert megbízhatóan és robusztusan hozza létre, kezeli és tárolja a titkosító kulcsokat egy mechanikailag is ellenálló, az illetéktelen hozzáférést minden szinten megakadályozó eszközben.

Ezeket a kulcsokat a szervezetek a műveletek, azonosítások, alkalmazások és aláírások biztosítására használják, tehát a működésük elemi infrastruktúrájához tartoznak, és ismételjük: fizikailag nem a külső szolgáltatónál, hanem magánál a szervezetnél vannak. Minden titkosítási folyamat ebben az erős hozzáférés-korlátozással ellátható eszközben zajlik- Azzal., hogy a Thales hardveres biztonsági modult alkalmaz a megoldásaiban, a lehető legmagasabb biztonsági szintet képes nyújtani. A könnyű kezelésről – erőforrás-felosztásról, felügyeletről és jelentésről – a HSM-be integrált Thales Crypto Command Center gondoskodik.

 

Az nCipher BYOK (Bring Your Own Key) kulcskezelő megoldás

A termék AWS, MS Azure és Google felhők használata esetén nyújt segítséget. Használatával a teljes életciklus alatt biztonságban tudhatjuk a privát kulcsainkat, és biztosak lehetünk generálásuk magas minőségében a saját, nShield HSM-einknek köszönhetően. Ha ezt a megoldást választjuk, akkor hiába vannak adott esetben adataink és alkalmazásaink a felhős szolgáltatóknál, mivel a kulcsok a saját – megbízható – eszközünkön vannak, a felhőbe csak addig kerülnek ki, amíg feltétlenül szükséges.

Egy kézzel fogható példa erre, ha például egy AWS tárhelyünk hibás beállításai miatt az ott tárolt adatainkat ellopják, akkor, ha titkosítva tároltuk, nem jelent túl komoly incidenst, mivel kulcs nélkül nem tudják elolvasni az adatokat, hiszen a kulcsot nem az adatokkal együtt tároltuk. Ez a megoldás akkor is megfelelő lehet, ha egy vállalatnak egyszerre akár több felhő irányába kell biztosítani a kulcskezelést, mivel akár egy fizikai HSM is képes kiszolgálni több környezetet.


 

A Thales CCKM (CipherTrust Cloud Key Management) megoldás

A saját HSM-hez hasonlóan képes kezelni az Amazon, Azure és Google felhős platformokat, ezenkívül fejlett API-alapú integrációinak köszönhetően különböző felhős SaaS, PaaS és IaaS szolgáltatókkal is szerteágazó lefedettséget nyújt. Segítségével akár a felhős O365 rendszerünk kulcsait, vagy például a Salesforce alkalmazáshoz használt kulcsainkat is FIPS 140-2 minősített módon tudjuk tárolni.

A CCKM a használt kulcsokat a teljes életciklusuk alatt kezeli a generálástól kezdve a cseréig. Multicloud működést támogat, tehát minden felhős megoldásunk kulcsait egy közös helyről lehet menedzselni. A kulcsaink biztonságáról és a generálás minőségéről ebben az esetben Thales/Gemalto HSM-ek gondoskodnak.

Bármelyik kulcskezelő megoldás mellett is tesszük le a voksunkat, segítségükkel nagymértékben növelhetjük a felhős alkalmazások adatbiztonságát, és a különböző felügyelő szervezetek által támasztott megfelelőségi kritériumokat is teljesíteni tudjuk. Használatukkal megkönnyíthetjük a kulcsaink kezelését és átláthatóvá tehetjük a használt kulcsainkat, legyenek azok bárhol felhasználva.