Šifrēšana un atslēgu pārvaldība: pārbaudiet aizsardzības ķēdi

Šifrēšana aizsargā informāciju noteiktu pieņēmumu ietvaros. Noderīga ieviešana izskaidro, kuri dati ir aizsargāti, pret kādu piekļuvi un kā atslēgas paliek kontrolētas visā to dzīves ciklā. Iestatījums „šifrēšana ieslēgta” atbild tikai uz nelielu šī jautājuma daļu.

Tehnoloģiju direktoram inženiertehniskais uzdevums ir pārbaudīt aizsardzības ķēdi: kur rodas atklātais teksts, kur tas pārvietojas, kur tiek glabāts šifrteksts, kas var pieprasīt atšifrēšanu un kas notiek kļūmes vai atjaunošanas laikā. Šajā ķēdē ietilpst lietotnes, identitātes, mākoņpakalpojumi, administratori, rezerves kopijas un darbības procedūras.

Turpmākie praktiskie ieteikumi sniedz veidu, kā šo ķēdi projektēt un pārskatīt. Sāciet ar vienu sensitīvu datu krātuvi, pēc tam paplašiniet to pašu metodi uz tās atkarīgajām sistēmām un sekundārajām kopijām.

Definējiet aizsardzības mērķi pirms tehnoloģijas izvēles

Sāciet ar draudu formulējumu, nevis algoritmu. „Aizsargāt klientu ierakstus” ir pārāk plašs, lai vadītu ieviešanu. „Neļaut personai, kurai ir nozagta rezerves kopija, lasīt klientu ierakstus bez atsevišķi kontrolētām atslēgām” identificē aktīvu, uzbrucēja spēju un aizsardzības robežu.

Dažādiem draudiem nepieciešamas dažādas kontroles. Diska šifrēšana var aizsargāt izslēgtu nozagtu klēpjdatoru, taču autentificēts lietotājs vai ļaunprātīgs process joprojām var lasīt failus, kamēr disks ir atbloķēts. Datubāzes šifrēšana var aizsargāt datu nesējus, vienlaikus ļaujot datubāzes vaicājumiem atgriezt atklāto tekstu. Lietotnes slāņa šifrēšana var ierobežot to, ko redz datubāzu administratori, taču tā var neaizsargāt pret kompromitētu lietotni, kurai ir atļauja atšifrēt.

Izmantojiet īsu datu plūsmu uzskaiti, lai šīs atšķirības padarītu skaidras. Iekļaujiet ražošanas ierakstus, augšupielādētos dokumentus, kešatmiņas, rindas, analītikas izvilkumus, žurnālus, pagaidu failus, momentuzņēmumus un rezerves kopijas. Datu atklāšanai jāidentificē kopijas, kas izkļūst ārpus galvenās glabāšanas arhitektūras, nevis tikai arhitektūras diagrammā redzamās sistēmas.

Katrai svarīgai plūsmai reģistrējiet:

• Datu kategoriju un tās konfidencialitātes vajadzības.
• Avotu, galamērķi, starpniekpakalpojumus un atklātā teksta robežas.
• Uzbrucēju vai neatļauto lomu, kuru šifrēšanai paredzēts ierobežot.
• Identitāti, kurai atļauts atšifrēt, un iemeslu, kāpēc tai šī atļauja vajadzīga.
• Pieejamības, glabāšanas un atjaunošanas prasības.
• Īpašnieku, kas atbild par ieviešanu, un pārskatītāju, kas atbild par pierādījumiem.

Draudu modelēšanas pieeja palīdz pārbaudīt, vai izvēlētā robeža atbilst draudiem. Ja uzbrucējs var pārņemt lietotnes identitāti, caurspīdīga glabāšanas šifrēšana viena pati nenovērsīs piekļuvi caur šo lietotni.

Nodevums ir aizsardzības karte: datu plūsmas diagramma kopā ar skaidri noteiktiem pieņēmumiem un izņēmumiem. Tā kļūst par atsauci konfigurācijas pārbaudēm, autorizācijas testiem un atjaunošanas mācībām.

Izprotiet, ko kriptogrāfiskie pamatelementi patiesībā nodrošina

Šifrēšana pārvērš atklāto tekstu šifrtekstā, izmantojot kriptogrāfisku algoritmu un atslēgu. Tās konfidencialitāte ir atkarīga no konstrukcijas, ieviešanas, atslēgas slepenības un darbības vides. Spēcīgs algoritms nevar kompensēt atslēgu, kas iekļauta pirmkoda repozitorijā, vai lietotnes galapunktu, kas atgriež cita klienta ierakstus.

Simetriskajai un asimetriskajai kriptogrāfijai ir atšķirīgi uzdevumi

Simetriskā šifrēšana izmanto kopīgu slepeno atslēgu šifrēšanai un atšifrēšanai. To parasti izmanto lielapjoma datiem, jo tā ir efektīva. AES atbalsta 128, 192 un 256 bitu atslēgas, taču atslēgas garuma apzīmējums pats par sevi neapraksta drošu ieviešanu: nozīme ir arī režīmam, nonce apstrādei, autentifikācijai un bibliotēkas uzvedībai.

Asimetriskā kriptogrāfija izmanto savstarpēji saistītas publiskās un privātās atslēgas. Atkarībā no algoritma un protokola tā atbalsta šifrēšanu, parakstus vai atslēgu vienošanos. RSA un eliptisko līkņu konstrukcijām ir atšķirīgas spējas un parametri; tie nav savstarpēji aizvietojami apzīmējumi. Asimetriskā kriptogrāfija pēc būtības nav „drošāka” par simetrisko šifrēšanu.

Mūsdienu sistēmas tās bieži apvieno. Drošs transporta protokols var autentificēt otru pusi un izveidot kopīgus noslēpumus, pēc tam izmantojot simetrisko šifrēšanu datplūsmas aizsardzībai. Lielapjoma faili parasti tiek šifrēti ar simetriskām datu atslēgām, nevis apstrādājot visu failu tieši ar asimetrisku algoritmu.

Konfidencialitāte nav tas pats, kas integritāte vai autentiskums

Autentificēta šifrēšana, piemēram, pareizi izmantots AES-GCM, aizsargā konfidencialitāti un atklāj neatļautas izmaiņas aizsargātajā šifrtekstā un saistītajos datos. Nonce atkārtota izmantošana ar to pašu atslēgu var šo aizsardzību iedragāt. Dodiet priekšroku uzturētām bibliotēkām un labi atbalstītiem formātiem, kas šīs prasības apstrādā droši; neizgudrojiet savu šifru, režīmu vai atslēgu apmaiņas protokolu.

Jaukšana rada īssavilkumu, nevis atgūstamu šifrtekstu. Parasta jaucējvērtība nepierāda, kas izveidoja ziņojumu. Paroļu glabāšanai nepieciešama speciāli paredzēta paroļu jaukšana, nevis atgriezeniska šifrēšana vai tikai ātrs vispārēja lietojuma īssavilkums.

Ziņojuma autentifikācijas kods izmanto noslēpumu, lai pārbaudītu integritāti un autentiskumu starp pusēm, kurām šis noslēpums ir kopīgs. Digitālie paraksti izmanto privāto parakstīšanas atslēgu un publisko verificēšanas atslēgu; tie nepadara parakstīto saturu konfidenciālu.

Šīs atšķirības ir svarīgas pārskatīšanas laikā. Jautājiet, kura īpašība ir nepieciešama un kurš mehānisms to nodrošina, nevis pieņemiet „kriptogrāfiju” kā vienu nediferencētu kontroli.

Pārbaudiet katru glabāšanas slāni un katru sekundāro kopiju

Šifrēšana glabāšanā aptver glabāto informāciju, tostarp datus, ko aktīvi izmanto darbojošs pakalpojums. Šis jēdziens nenozīmē tikai arhivētus vai neaktīvus datus.

Dažādi slāņi aizsargā pret dažādiem piekļuves ceļiem:

Pārbaudiet faktisko resursa konfigurāciju, nevis tikai konta noklusējumu. Noklusējums var attiekties tikai uz jaunizveidotu krātuvi. Esošiem objektiem, importētiem sējumiem, replikām vai vēsturiskiem momentuzņēmumiem var būt citi iestatījumi.

Datubāzēm pārbaudiet transakciju žurnālus, pagaidu krātuvi, replikas, eksportus un administratīvās izmešu procedūras. Objektu krātuvei pārbaudiet augšupielādes, kopijas, replicēšanas galamērķus, versiju objektus un lejupielādes ceļus. Galiekārtām pārbaudiet atkopšanas atslēgu apstrādi un to, vai noņemamie datu nesēji ir aptverti.

Lietotnes slāņa šifrēšana ir pelnījusi atsevišķu projektēšanas lēmumu. Tā var samazināt datubāzu operatoru piekļuvi vai sašaurināt, kuras darba slodzes var atšifrēt atlasītus laukus. Tā var arī sarežģīt indeksēšanu, meklēšanu, analītiku un atbalsta darbplūsmas. Dokumentējiet, kur atšifrētās vērtības nonāk atmiņā, žurnālos, kļūdu ziņojumos vai eksportos.

Neuzskatiet šifrēšanu par autorizācijas aizstājēju. Lietotne var pareizi atšifrēt ierakstu un tomēr atklāt to nepareizam nomniekam. Iekļaujiet nomnieku izolāciju, piekļuves pārbaudes un priviliģētās piekļuves kontroles tajā pašā pārskatīšanā.

Pārbaudiet transportu no pirmā sūtītāja līdz galīgajam saņēmējam

Transporta šifrēšana aizsargā datus, kas pārvietojas starp galapunktiem. Noderīgais jautājums nav „Vai mēs izmantojam HTTPS?”, bet gan „Kuri savienojumi ir aizsargāti un kuras identitātes ir autentificētas?”

Kartējiet savienojumus no pārlūka līdz malai, no malas līdz lietotnei, starp pakalpojumiem, no lietotnes līdz datubāzei, replicēšanu, rezerves kopiju pārsūtīšanu, administratīvo piekļuvi un eksporta savienojumus ar trešajām pusēm. TLS pārtraukšana slodzes līdzsvarotājā rada robežu: nākamajam posmam nepieciešams savs aizsardzības lēmums. Privāts tīkls automātiski nenovērš pārtveršanas vai sāniskās pārvietošanās riskus.

Kā praktisku bāzes līmeni dodiet priekšroku atbalstītām mūsdienīgām TLS konfigurācijām un uzturētām klientu bibliotēkām. TLS 1.3 ir spēcīgs noklusējums, kur tas tiek atbalstīts; atbilstoši konfigurēts TLS 1.2 joprojām var būt nepieciešams saderības nolūkā. Novecojušais SSL nav piemērota mūsdienu drošības izvēle.

Sertifikātu validācija ir daļa no aizsardzības. Pārbaudiet resursdatora nosaukuma verificēšanu, uzticamības krātuves, derīguma termiņa uzraudzību, sertifikātu atjaunošanu un to, ka ražošanā nav iestatījumu, kas atspējo validāciju. Šifrēšana uz neautentificētu galapunktu var aizsargāt datplūsmu no pasīvas novērošanas, tomēr nosūtot to nepareizai pusei.

Savstarpējais TLS var autentificēt abus savienojuma galus, taču tas neaizstāj lietotnes autorizāciju. Sertifikātu izsniegšana, darba slodžu identitāte, atjaunošana un atsaukšana kļūst par darbības atkarībām, kurām nepieciešami īpašnieki un testi.

Nošķiriet transporta šifrēšanu no pilnīgas (end-to-end) šifrēšanas. Pakalpojums, kas pārtrauc TLS un apstrādā atklāto tekstu, nenodrošina pilnīgu konfidencialitāti attiecībā pret sevi. Pilnīgas šifrēšanas risinājumi atšifrēšanu rezervē norādītiem galapunktiem; tie rada atsevišķus jautājumus par ierīču reģistrāciju, saņēmēju verificēšanu, piekļuvi no vairākām ierīcēm un atjaunošanu.

Pierādījumos jāietver konfigurācijas un savienojumu testi. Pārbaudiet, vai nederīgi sertifikāti un aizliegtas protokolu versijas tiek noraidītas, nevis tikai vienu sekmīgu šifrētu savienojumu.

Pārvaldiet atslēgas kā aktīvus ar dzīves ciklu

Atslēgām nepieciešama ģenerēšana, glabāšana, autorizēta izmantošana, aizstāšana, atsaukšana, glabāšanas termiņi un iznīcināšana. Katram posmam jābūt īpašniekam un definētai procedūrai.

Ģenerējiet un reģistrējiet atslēgas apzināti

Ģenerējiet atslēgas, izmantojot uzturētus kriptogrāfiskus līdzekļus ar piemērotu nejaušību. Neatvasiniet ražošanas šifrēšanas atslēgas no viegli iegaumējamām parolēm, identifikatoriem, laika zīmogiem vai parastām lietotnes nejaušo skaitļu funkcijām.

Uzturiet atslēgu uzskaiti, kurā norādīts mērķis, īpašnieks, vide, aizsargātās sistēmas, algoritms, atslēgas identifikators, izveides datums, statuss un atjaunošanas atkarības. Reģistrējiet metadatus, nevis slepeno atslēgas materiālu. Nošķiriet šifrēšanas atslēgas, parakstīšanas atslēgas, TLS privātās atslēgas un API akreditācijas datus, jo to atklāšanas un aizstāšanas procedūras atšķiras.

Nodaliet ražošanu no izstrādes un testēšanas. Atslēgas koplietošana starp vidēm paplašina zemākas uzticamības vides ietekmi un apgrūtina lietojuma žurnālu interpretāciju.

Nodaliet atslēgu kontroli no piekļuves datiem

Atslēgu pārvaldības pakalpojums jeb KMS parasti nodrošina pārvaldītas atslēgu operācijas, piekļuves politikas, versiju pārvaldību un lietojuma ierakstus. Aparatūras drošības modulis jeb HSM nodrošina aparatūrā balstītu robežu kriptogrāfiskām operācijām un atslēgu aizsardzībai. Pakalpojumi var šīs funkcijas apvienot, taču produktu nosaukumi nenosaka precīzu drošības robežu.

Nosakiet, vai atslēgas ir eksportējamas, kuras operācijas notiek robežas iekšienē, kas administrē politikas un kā darbojas atjaunošana. Izvēlieties pārvaldītus atslēgu pakalpojumus vai aparatūras aizsardzību atbilstoši riskam un darbības prasībām, nevis uzskatiet speciālu aparatūru par vispārēji nepieciešamu. HSM galvenokārt aizsargā atslēgas un kriptogrāfiskās operācijas; tie nav vispārēja lietojuma krātuves visiem šifrētajiem biznesa datiem.

Aploksnes šifrēšana ir izplatīts paņēmiens. Datu šifrēšanas atslēga šifrē saturu, un atslēgu šifrēšanas atslēga aizsargā šo datu atslēgu. Šifrētā datu atslēga var atrasties kopā ar šifrtekstu. Tās drošība ir atkarīga no tā, vai spēja to atiesaiņot paliek atsevišķi kontrolēta, nevis no katra šifrētās atslēgas bloka paslēpšanas citā vietā.

Ierobežojiet atšifrēšanu līdz darba slodzēm, kurām tā ir nepieciešama. Kur iespējams, nodaliet atslēgu administrēšanu no atslēgu izmantošanas un krātuves administrēšanas. Pārskatiet, vai administrators, kurš pašlaik nevar atšifrēt, var piešķirt sev šo atļauju. Ārkārtas piekļuvei jābūt ar skaidru apstiprinājumu, ierobežotu ilgumu un pārskatīšanas pierakstiem.

Uztveriet rotāciju kā izmaiņu procesu, nevis atzīmi

Nosakiet kriptoperiodus atbilstoši datu sensitivitātei, atklātībai, algoritmu ierobežojumiem, lietojuma apjomam un piemērojamām prasībām. Rotācija ir piemērota arī pēc aizdomām par kompromitēšanu vai būtiskām uzticamības izmaiņām.

Precizējiet, ko „rotācija” dara izvēlētajā pakalpojumā. Jaunas atslēgas versijas izveide turpmākai šifrēšanai var atstāt vēsturiskos datus atkarīgus no vecākām versijām. Datu atslēgu pārietīšana ar jaunu atslēgu šifrēšanas atslēgu atšķiras no pamatā esošo datu atšifrēšanas un atkārtotas šifrēšanas. Nevienu no šīm operācijām nevajadzētu pieņemt, balstoties uz automātiskās rotācijas iestatījumu.

Rotācijas plānā jāidentificē ietekmētās lietotnes, saglabātie atslēgu identifikatori, vēsturiskās versijas, pakāpeniska ieviešana, kļūmju uzraudzība, atcelšanas nosacījumi un galīgā izņemšana no lietošanas. Pārbaudiet jauktu versiju nolasīšanu un ilgstošus darbus, pirms noņemat veco piekļuvi.

Nošķiriet atsaukšanu no iznīcināšanas

Atsaukšana noņem atļauju vai atspējo atslēgas turpmāku izmantošanu. Tā neizdzēš jau iegūto atklāto tekstu, nepadara nederīgu katru kešatmiņā saglabāto datu atslēgu un neliek pazust eksportētam noslēpumam.

Iznīcināšana var padarīt saglabāto šifrtekstu neatgūstamu, bet tikai tad, ja tiek ņemtas vērā visas izmantojamās kopijas un atjaunošanas ceļi. Apsveriet replikas, deponēšanu, eksportētu materiālu, rezerves kopijas un koplietotu atslēgu atkarības. Ja nesaistītiem ierakstiem ir kopīga atslēga, tās iznīcināšana var iznīcināt arī piekļuvi datiem, kuriem jāpaliek pieejamiem.

Uzturiet glabāšanas un dzēšanas projektēšanu savstarpēji saistītu. Bezgalīga atslēgu glabāšana var iedragāt dzēšanas mērķi; priekšlaicīga iznīcināšana var radīt pieejamības incidentu.

Novērtējiet mākoņa atslēgu modeļus pēc to faktiskās kontroles robežas

Mākoņa šifrēšana var samazināt ieviešanas darbu, taču pakalpojumu sniedzēja noklusējumi nenosaka jūsu draudu modeli. Novērtējiet pakalpojumu, atslēgu politiku, administratīvo piekļuvi, reģionu, atjaunošanas modeli un pamatojošos pierādījumus kopā.

Pakalpojumu sniedzēja pārvaldītas atslēgas var būt piemērotas dažiem riskiem ar salīdzinoši nelielu darbības slogu. Klienta pārvaldītas atslēgas var nodrošināt skaidrāku politiku kontroli, īpašumtiesības un dzīves cikla lēmumus. Ārēji glabātas atslēgas var radīt citu uzticamības robežu, vienlaikus ieviešot atkarību no ārējas pieejamības un savienojamības.

Tādi termini kā bring your own key, bring your own encryption un šifrēšana kā pakalpojums nav līdzvērtīgas arhitektūras garantijas. Atslēgas importēšana pakalpojumu sniedzēja pakalpojumā ne vienmēr nozīmē, ka pakalpojumu sniedzējs nekad nevar veikt atšifrēšanu. Klienta puses šifrēšanas ieviešana maina atklātā teksta robežu, taču var sarežģīt lietotnes funkcijas un atjaunošanu.

Pajautājiet potenciālajam pakalpojumu sniedzējam:

• Vai mēs varam identificēt atslēgu, kas izmantota katram attiecīgajam glabāšanas resursam un rezerves kopijai?
• Kas var mainīt atslēgu politikas, un kā šīs izmaiņas tiek reģistrētas?
• Kas notiek, kad atslēga tiek atspējota vai atslēgu pakalpojums nav pieejams?
• Kā eksports, replicēšana, migrācija un konta slēgšana ietekmē aizsardzību?
• Kuri lietojuma notikumi ir pieejami, un kāda darbība paliek ārpus to redzamības?

Novērtējiet veiktspēju, izmantojot reprezentatīvas darba slodzes: caurlaidspēju, latentumu, atslēgu pakalpojuma kvotas, kešošanas uzvedību un kļūmju režīmus. Pakalpojums, kas darbojas nelielā demonstrācijā, var neizdoties lielapjoma atjaunošanas laikā. Datu atrašanās vieta un klienta atslēgu īpašumtiesības ir noderīgi projektēšanas ievaddati, nevis suverenitātes vai regulatīvās atbilstības pierādījums.

Izvēlieties risinājumu ar darbības izmēģinājumu

Salīdziniet kandidātus ar aizsardzības karti, nevis ar algoritmu nosaukumu sarakstu. Iekļaujiet bibliotēku uzturēšanu, atbalstītās platformas, administratīvo nodalīšanu, pierādījumu pieejamību, migrācijas iespējas un komandas spēju darbināt pakalpojumu. Ja līgums prasa validētu kriptogrāfisko moduli, nosakiet attiecīgo moduli, versiju, darbības vidi un validācijas tvērumu; AES apzīmējums viens pats šo prasību neapliecina.

Praktiskā izmēģinājumā jāšifrē reprezentatīvi dati, jāveic parastas nolasīšanas, jārotē atslēga, jāatjauno vecāka kopija un jāsimulē nepieejams atslēgu pakalpojums. Iekļaujiet lielapjoma importu un eksportu, jo to uzvedība var atšķirties no ikdienas lietotnes pieprasījumiem. Izmēriet ietekmi uz pašas lietotnes latentumu un atjaunošanas mērķiem, nevis pieņemiet vispārīgu veiktspējas apgalvojumu.

Reģistrējiet skaidru pieņemšanas lēmumu: kuri draudi ir risināti, kuras atkarības ir ieviestas, kas paliek ārpus tvēruma un kam pieder šie atlikušie riski. Pārbaudiet arī pārnesamību. Eksportētam šifrtekstam ir maza darbības vērtība, ja tā formātu, ietītās atslēgas vai nepieciešamos metadatus nevar interpretēt pēc pakalpojuma attiecību beigām.

Projektējiet atjaunošanu kopā ar konfidencialitāti

Rezerves kopijai nosakiet trīs lietas: dati ir šifrēti, pilnvarotais atjaunošanas personāls var iegūt nepieciešamās atslēgu operācijas, un atjaunošana izdodas.

Nenovietojiet vienīgo atjaunošanas ceļu tajā pašā kļūmes robežā, kurā ir ražošana. Konta bloķēšana, reģionāls traucējums vai administratīva kļūda var ietekmēt gan rezerves kopiju, gan tās atslēgas. Atsevišķiem atjaunošanas mehānismiem jāpaliek stingri kontrolētiem; to neatkarība nedrīkst padarīt tos plaši pieejamus.

Dokumentējiet atslēgu versijas, kas nepieciešamas katrai rezerves kopiju paaudzei, nepieciešamās identitātes, apstiprināšanas soļus, pakalpojumu sniedzēju atkarības un ierobežojumus atjaunotajiem datiem. Atjaunošana testa vidē nedrīkst klusi atklāt ražošanas informāciju izstrādātājiem.

Veiciet atjaunošanas mācības izolētā vidē. Reģistrējiet, vai rezerves kopiju izdevās atrast, vai integritātes pārbaudes bija sekmīgas, vai nepieciešamās atslēgas joprojām bija izmantojamas, vai lietotnes dati bija nolasāmi un vai sasniegtais atjaunošanas laiks atbilda organizācijas mērķim. Jebkuri laika rādītāji attiecas uz faktiskajām mācībām, nevis uz pieņemtu šifrēšanas ieguvumu.

Iekļaujiet atslēgu pakalpojuma kļūmi noturības testēšanā. Izlemiet, vai darba slodzei jāpārtrauc darbība (fail closed), jāmēģina atkārtoti vai jāizmanto apstiprināta kešatmiņā saglabāta atslēga. Kešošana var uzlabot pieejamību, taču pagarina periodu, kurā process var atšifrēt pēc centrālās piekļuves noņemšanas. Dokumentējiet šo kompromisu skaidri.

Sagatavojieties aizdomām par atslēgas kompromitēšanu

Reaģēšana ir atkarīga no tā, kas tika atklāts. Noplūduši lietotnes akreditācijas dati ar atļauju izsaukt KMS atšķiras no eksportētas šifrēšanas atslēgas: akreditācijas datu noņemšana var apturēt turpmāku piekļuvi pakalpojumam, savukārt uzbrucējs, kuram ir atslēga un šifrteksts, var atšifrēt neatkarīgi. Kompromitēta parakstīšanas atslēga rada citu problēmu, kas saistīta ar uzticēšanos parakstiem, nevis vienkārši ar konfidencialitāti.

Sagatavojiet rīcības rokasgrāmatu, kurā identificēts lēmuma pieņēmējs, ietekmētie atslēgu identifikatori, atkarīgās sistēmas, ierobežošanas iespējas un saglabājamie pierādījumi. Izmeklējiet politiku izmaiņas, neparastas atslēgu operācijas, datu lejupielādes, lietotnes piekļuvi un iespējamo atklātības logu. Trūkstoši žurnāla notikumi nav pierādījums, ka atšifrēšana nav notikusi, īpaši tur, kur atslēgas var eksportēt vai kešot.

Ierobežošana var ietvert identitātes atspējošanu, politikas sašaurināšanu, darba slodzes izolēšanu vai atslēgas atspējošanu. Pirms neatgriezeniskas darbības novērtējiet sekas pieejamībai. Neiznīciniet vienīgo atjaunošanas atslēgu kā improvizētu ierobežošanas soli.

Pēc ierobežošanas nosakiet, kuri dati jāmigrē uz nekompromitētām atslēgām. Ietīšanas atslēgas rotēšana nav pietiekama, ja uzbrucējs ieguva pamatā esošās datu atslēgas. Saglabāto datu atkārtota šifrēšana var aizsargāt turpmākās kopijas, taču tā nevar atsaukt šifrtekstu un atslēgas, kas jau nozagtas kopā. Līdzīgi kompromitētas lietotnes identitātes aizstāšana, nenovēršot tās autorizācijas trūkumu, atstāj sākotnējo izpaušanas ceļu atvērtu.

Saglabājiet incidenta laika grafiku, ietekmēto datu novērtējumu, aizstāšanas un validācijas ierakstus un atlikušās neskaidrības. Ja ir iesaistīti personas dati, novērtējiet paziņošanas pienākumus atsevišķi; „datubāze bija šifrēta” neatbild uz jautājumu, vai uzbrucējs varēja iegūt atklāto tekstu vai izmantojamas atslēgas.

Veidojiet pierādījumus, kas pārbauda ķēdi

Politika apraksta paredzēto uzvedību. Pierādījumiem jāapliecina, ka ieviešana tai seko un ka svarīgie kļūmju ceļi uzvedas, kā paredzēts.

Izmantojiet konfigurācijas eksportus, politiku pārskatus, piekļuves testus, atslēgu lietojuma žurnālus, izvietošanas pārbaudes un atjaunošanas ierakstus kopā. Ekrānuzņēmumi var atbalstīt pārskatīšanu, taču tie paši par sevi reti izskaidro tvērumu, vēsturisko uzvedību vai novirzes.

Žurnālēšanas pārklājumu interpretējiet uzmanīgi. Ar aploksnes šifrēšanu un kešatmiņā saglabātām datu atslēgām viena atslēgu pakalpojuma operācija var ļaut veikt vairākas vēlākas lokālas atšifrēšanas. Tāpēc KMS žurnāls ne vienmēr ir pilnīgs katras piekļuves atklātajam tekstam ieraksts. Kur piemērots, papildiniet to ar lietotnes autorizācijas un datu piekļuves ierakstiem.

Rediģējiet noslēpumus no pierādījumu paketēm. Nekad neaugšupielādējiet neapstrādātas atslēgas, atkopšanas frāzes, aktīvus akreditācijas datus vai nevajadzīgus atklātā teksta ierakstus. Saglabājiet resursa identifikatoru, laika zīmogu, tvērumu, pārskatītāju, testa rezultātu un attiecīgo konfigurāciju, neradot jaunu atklātību.

Izņēmumos jānorāda ietekmētā sistēma, iemesls, kompensējošās kontroles, īpašnieks, derīguma termiņš un novēršanas uzdevums. Pagaidu izņēmumam novecojušam transportam nepieciešams lēmums un izstāšanās plāns, nevis pastāvīga piezīme izklājlapā.

Kā praktisku ieteikumu atkārtojiet mērķtiecīgas pārbaudes pēc izmaiņām krātuvē, darba slodžu identitātēs, atslēgu politikās, sertifikātos vai rezerves kopiju galamērķos. Plānotas pārskatīšanas joprojām ir noderīgas, taču izvietošana var mainīt aizsardzības robežu pirms nākamās kalendārās pārskatīšanas. Automatizētajām pārbaudēm jārada konstatējumi, uz kuriem var rīkoties, ar resursa kontekstu un īpašnieku, savukārt cilvēki pārskatītāji novērtē izņēmumus un draudu modeļa izmaiņas.

Praktisks piemērs: izsekojiet klientu dokumentu pakalpojumu

Pieņemsim ilustratīvu SaaS pakalpojumu, kas glabā konfidenciālus klientu dokumentus objektu krātuvē. Tā lietotne izgūst dokumentus autentificētiem lietotājiem, un ikdienas rezerves kopijas atbalsta biznesa noteiktu atjaunošanas mērķi. Pārskatāmie draudi ir nozagtas krātuves kopijas, neatļauta administratīvā piekļuve un izpaušana starp nomniekiem.

Komanda kartē TLS no pārlūka līdz malai, TLS no malas līdz lietotnei, savienojumus no lietotnes līdz krātuvei, ražošanas spaini un atsevišķu rezerves kopiju galamērķi. Tā atklāj, ka problēmu novēršanas eksporta darbs ieraksta atšifrētus failus atbalsta mapē. Šī mape kļūst par tūlītēju tvēruma elementu; ražošanas spaiņa šifrēšanas iestatījums to neaptver.

Sākotnējā risinājumā glabāšanas šifrēšana ar klienta pārvaldītu atslēgu aizsargā ražošanas objektus. Lietotnes identitāte var izgūt autorizētus objektus un izsaukt nepieciešamās atslēgu operācijas. Izvietošanas lomai ir tiesības izveidot resursus, bet nav ikdienas atšifrēšanas atļaujas. Atslēgu politiku administrēšana notiek pa atsevišķu apstiprināšanas ceļu.

Komanda atzīst atlikušo robežu: lietotnes kompromitēšana joprojām varētu ļaut izgūt atklāto tekstu. Tā apsver lietotnes slāņa šifrēšanu īpaši sensitīvai dokumentu kategorijai, pēc tam izvērtē meklēšanas prasības, atbalsta piekļuvi un atjaunošanas sarežģītību, pirms izlemj, vai papildu robeža ir pamatota.

Pārbaude sniedz konkrētus rezultātus:

• Neautorizēta pakalpojuma identitāte nevar izgūt vai atšifrēt dokumentu.
• Lietotne liedz piekļuvi autentificētam lietotājam no cita nomnieka.
• Nederīgi augšupējie sertifikāti tiek noraidīti, nevis apieti.
• Vecāka rezerves kopija sekmīgi tiek atjaunota ar tai nepieciešamo vēsturisko atslēgas versiju.
• Pakāpeniska atslēgas maiņa ļauj nolasīt gan esošos dokumentus, gan jaunas augšupielādes.
• Atbalsta eksporta darbs tiek mainīts, lai izmantotu apstiprinātu, piekļuves kontrolētu šifrētu galamērķi ar definētu glabāšanas termiņu.

Pārskatītājs saglabā datu plūsmas karti, konfigurācijas eksportus, identitāšu politikas, anonimizētus negatīvo testu rezultātus, rotācijas ierakstu un atjaunošanas ziņojumu. Atslēgas atspējošanas mācības neražošanas vidē apstiprina, ka pakalpojums atgriež kontrolētu kļūdu, nevis atklāj datus vai klusi atmet ierakstus.

Šis piemērs nepierāda aizsardzību pret katru uzbrukumu. Tas parāda, kurus draudus risinājums risina, kura identitāte paliek uzticama un kādi pierādījumi atbalsta šos secinājumus.

Sasaistiet juridiskās prasības un nākotnes izmaiņas ar risinājumu

Šifrēšanas lēmumiem jāatspoguļo juridiskās, līgumiskās un ietvaru prasības, nepārvēršot tās vispārīgos apgalvojumos. VDAR 32. pants izmanto uz risku balstītu pieeju un iekļauj šifrēšanu starp atbilstošajiem pasākumiem; tas neuzliek universālu šifrēšanas pienākumu katrai apstrādes darbībai. Šifrēšana arī neatceļ pienākumus attiecībā uz likumīgu apstrādi, piekļuvi, glabāšanu vai incidentu novērtēšanu.

Noteikta tvēruma ISO 27001 ISMS ietvaros dokumentējiet riska apstrādi, piemērojamās kontroles, īpašumtiesības un pierādījumus, nevis pieņemiet, ka viena šifrēta datubāze apmierina plašāko pārvaldības sistēmu. Ja NIS2 piemēro ar valsts tiesību aktiem, tās 21. panta pasākumi ietver politikas un procedūras attiecībā uz kriptogrāfiju un, attiecīgā gadījumā, šifrēšanu. Piemērojamību un valsts prasības apstipriniet atsevišķi.

Plānojiet kriptogrāfiskas izmaiņas kā inženiertehnisku atkarību. Uzskaitiet algoritmus, sertifikātus, bibliotēkas, protokolus un iegultos formātus, lai novecojušus mehānismus varētu aizstāt. Ilgi glabājamiem konfidenciāliem datiem novērtējiet nākotnes kriptoanalītisko un kvantu draudu nozīmi. Pēckvantu migrācijas jautājumi atšķiras atslēgu izveidei, parakstiem un simetriskajai šifrēšanai; izvairieties no nepārbaudītas pilnīgas aizstāšanas, kas pasniegta kā universāls risinājums.

Padariet nākamo pārskatīšanu konkrētu

Secani šim darbam var sasaistīt mērķa sistēmas, kontroļu prasības, ieviešanas aprakstus, pierādījumus, īpašniekus un pārskatīšanas lēmumus. Pievienojiet aizsardzības karti un anonimizētus testu ierakstus attiecīgajām sistēmām un kontrolēm, pārvērtiet neatrisinātus jautājumus par piekļuvi atslēgām vai atjaunošanu uzdevumos un saglabājiet, kāpēc katra kriptogrāfiskā izvēle tika apstiprināta. Pārskatiet MI atbalstītus ieteikumus pret to avotiem un saglabājiet cilvēka apstiprinājumu skaidru.

Sāciet ar vienu sensitīvu datu krātuvi un izsekojiet piekļuvi datiem, piekļuvi atslēgām un atjaunošanu kopā. Izvēlieties vienu negatīvu autorizācijas testu un vienas atjaunošanas mācības, piešķiriet īpašniekus un reģistrējiet rezultātus, pirms paplašināt tvērumu. Mūsu mākoņdrošības ceļvedis sniedz apkārtējās konfigurācijas kontekstu.