- Η κρυπτογράφηση στο cloud προστατεύει τα δεδομένα εν ηρεμία, εν μεταφορά και, σε περιορισμένο βαθμό, εν χρήση, μειώνοντας τον αντίκτυπο πιθανών παραβιάσεων.
- Υπάρχουν διαφορετικά μοντέλα και επίπεδα κρυπτογράφησης (συμμετρική, ασύμμετρη, από την πλευρά του διακομιστή, από την πλευρά του πελάτη, από άκρο σε άκρο) με πλεονεκτήματα και περιορισμούς.
- Η διαχείριση κλειδιών και το μοντέλο κοινής ευθύνης είναι κρίσιμα για να είναι πραγματικά αποτελεσματική η κρυπτογράφηση.
- Μια πολυεπίπεδη προσέγγιση, σε συνδυασμό με βέλτιστες πρακτικές και εκπαίδευση, σας επιτρέπει να αξιοποιήσετε το cloud χωρίς να θυσιάσετε την ασφάλεια των δεδομένων.
Στην εποχή του cloud computing, η ασφάλεια των πληροφοριών έχει καταστεί κρίσιμη για κάθε επιχείρηση, κυβερνητική υπηρεσία ή επαγγελματία που αποθηκεύει δεδομένα εκτός των δικών του διακομιστών. Το cloud προσφέρει ευελιξία, εξοικονόμηση κόστους και επεκτασιμότητα, αλλά ανοίγει επίσης την πόρτα σε νέους φορείς επιθέσεων και σε πολύ μεγαλύτερη έκθεση ευαίσθητων πληροφοριών.
Σε αυτό το πλαίσιο, η κρυπτογράφηση δεδομένων cloud είναι το βασικό στοιχείο που διακρίνει μια απλή παραβίαση από μια καταστροφή. Εάν τα κλεμμένα δεδομένα είναι σωστά κρυπτογραφημένα και τα κλειδιά παραμένουν ασφαλή, η λεία είναι πρακτικά άχρηστη για έναν εισβολέα. Επομένως, η πλήρης κατανόηση του τρόπου λειτουργίας της κρυπτογράφησης, των διαφορετικών διαθέσιμων τύπων, των επιλογών που προσφέρουν οι μεγάλοι πάροχοι και των πρακτικών προκλήσεων που παρουσιάζει δεν είναι πλέον απλώς ένα «τεχνικό» ζήτημα: είναι μέρος της επιχειρηματικής στρατηγικής.
Γιατί είναι τόσο σημαντική η κρυπτογράφηση δεδομένων στο cloud;
Σε αυτό το σενάριο, η ισχυρή κρυπτογράφηση λειτουργεί ως η τελευταία γραμμή άμυνας : ακόμη και αν κάποιος καταφέρει να αποκτήσει πρόσβαση στο περιβάλλον cloud, δεν θα πρέπει να είναι σε θέση να διαβάσει ή να χρησιμοποιήσει τις πληροφορίες χωρίς τα σωστά κλειδιά. Στην πραγματικότητα, πολλά κανονιστικά πλαίσια και οδηγοί βέλτιστων πρακτικών θεωρούν ότι μια διαρροή κρυπτογραφημένων δεδομένων, με καλά προστατευμένα κλειδιά, δεν χρειάζεται απαραίτητα να ταξινομηθεί ως παραβίαση δεδομένων στο ίδιο επίπεδο με μια διαρροή απλού κειμένου.
Η κρυπτογράφηση μετατρέπει τις πληροφορίες σε μη αναγνώσιμη μορφή (κρυπτογραφημένο κείμενο) που μπορεί να ανακτηθεί μόνο χρησιμοποιώντας το σωστό κλειδί αποκρυπτογράφησης . Αυτό ισχύει για τα δεδομένα πελατών (αναγνωριστικά, ιατρικά αρχεία, τραπεζικά στοιχεία κ.λπ.), καθώς και για την πνευματική ιδιοκτησία, τα εσωτερικά έγγραφα, τις επικοινωνίες και οποιαδήποτε άλλα ευαίσθητα περιουσιακά στοιχεία που φιλοξενούνται σε υπηρεσίες cloud.
Επιπλέον, η κρυπτογράφηση διευκολύνει τη συμμόρφωση με κανονισμούς όπως ο GDPR, ο HIPAA και ο PCI DSS, οι οποίοι επιβάλλουν την εφαρμογή τεχνικών ελέγχων για τον περιορισμό της πρόσβασης σε προσωπικά ή εμπιστευτικά δεδομένα . Πολλές ρυθμιστικές αρχές συνιστούν ρητά τη χρήση κρυπτογράφησης κατά την ακινησία και τη μεταφορά ως μέτρο προτεραιότητας.
Καταστάσεις δεδομένων στο cloud και πώς προστατεύονται
Για να κατανοήσετε πλήρως πού πρέπει να εφαρμόσετε προστασία, είναι χρήσιμο να διακρίνετε τις τρεις κύριες καταστάσεις στις οποίες μπορούν να βρεθούν πληροφορίες σε ένα περιβάλλον cloud και πώς εντάσσεται η κρυπτογράφηση σε καθεμία από αυτές.
Καταρχάς, έχουμε δεδομένα σε κατάσταση ηρεμίας , που σημαίνει δεδομένα που είναι αποθηκευμένα σε δίσκους, βάσεις δεδομένων, συστήματα αρχείων ή υπηρεσίες αποθήκευσης αντικειμένων. Αυτό περιλαμβάνει πλήρη κρυπτογράφηση τόμου, κρυπτογράφηση βάσης δεδομένων, κρυπτογράφηση σε επίπεδο αρχείου και συστήματα κρυπτογράφησης που διαχειρίζονται από προμηθευτές.
Δεύτερον, έχουμε δεδομένα σε μεταφορά , δηλαδή δεδομένα που ταξιδεύουν μέσω δημόσιων ή ιδιωτικών δικτύων μεταξύ διαφορετικών χρηστών, εφαρμογών, κέντρων δεδομένων ή υπηρεσιών cloud. Σε αυτό το σημείο, η χρήση ασφαλών πρωτοκόλλων όπως το TLS (ο διάδοχος του SSL) ή το IPsec είναι απαραίτητη για να διασφαλιστεί ότι κάθε πακέτο δεδομένων προστατεύεται κατά τη διάρκεια του ταξιδιού του.
Τέλος, υπάρχουν τα δεδομένα που χρησιμοποιούνται , αυτά που υποβάλλονται σε επεξεργασία από μια εφαρμογή σε πραγματικό χρόνο. Η προστασία αυτής της κατάστασης είναι πολύ πιο περίπλοκη: είναι δυνατή η χρήση ομομορφικής κρυπτογράφησης ή άλλων προηγμένων τεχνικών που επιτρέπουν λειτουργίες σε κρυπτογραφημένα δεδομένα χωρίς να τα αποκρυπτογραφήσουν πλήρως, αλλά προς το παρόν αυτές είναι συνήθως πολύ αναποτελεσματικές για ευρεία χρήση.
Πώς λειτουργεί η κρυπτογράφηση δεδομένων στο cloud
Στην πράξη, η κρυπτογράφηση στο cloud δεν διαφέρει πολύ από αυτήν που χρησιμοποιείται σε άλλα περιβάλλοντα . Ο βασικός μηχανισμός συνίσταται στη δημιουργία ενός ή περισσότερων κρυπτογραφικών κλειδιών, στον καθορισμό του ποιος μπορεί να έχει πρόσβαση σε αυτά και στη συνέχεια στη διασφάλιση ότι οποιαδήποτε δεδομένα που εγγράφονται ή μεταδίδονται κωδικοποιούνται με τον επιλεγμένο αλγόριθμο.
Συνήθως, πριν από την αποθήκευση δεδομένων σε δίσκο ή σε μια βάση αποθήκευσης, το σύστημα τα κρυπτογραφεί αυτόματα με το αντίστοιχο κλειδί . Όταν μια εξουσιοδοτημένη εφαρμογή, χρήστης ή υπηρεσία χρειάζεται να διαβάσει αυτά τα δεδομένα, το σύστημα τα αποκρυπτογραφεί αμέσως, υπό την προϋπόθεση ότι οι πολιτικές πρόσβασης το επιτρέπουν.
Στην κίνηση δικτύου, κάτι παρόμοιο συμβαίνει με το HTTPS που βασίζεται στο TLS. Όταν ένας υπολογιστής-πελάτης δημιουργεί μια ασφαλή σύνδεση με μια υπηρεσία cloud , τα κλειδιά συνεδρίας διαπραγματεύονται και κάθε πακέτο δεδομένων κρυπτογραφείται, έτσι ώστε εάν κάποιος παρεμποδίσει την κίνηση, να βλέπει μόνο ακατανόητες πληροφορίες.
Πολλές επιχειρηματικές υπηρεσίες συνδυάζουν επίσης επίπεδα ασφάλειας: έλεγχο ταυτότητας πολλαπλών παραγόντων για την επαλήθευση του εαυτού σας, κρυπτογράφηση για την προστασία όσων ταξιδεύουν ή αποθηκεύονται και λεπτομερείς ελέγχους πρόσβασης για τον περιορισμό των δυνατοτήτων σας με αυτά τα δεδομένα.
Βασικοί τύποι κρυπτογράφησης: συμμετρική και ασύμμετρη
Ολόκληρο το οικοσύστημα κρυπτογράφησης cloud βασίζεται ουσιαστικά σε δύο κύριες οικογένειες αλγορίθμων: τη συμμετρική κρυπτογράφηση και την ασύμμετρη κρυπτογράφηση . Κάθε μία έχει τα δυνατά και τα αδύνατα σημεία της, τα οποία συχνά συνδυάζονται.
Η συμμετρική κρυπτογράφηση χρησιμοποιεί το ίδιο κλειδί τόσο για την κρυπτογράφηση όσο και για την αποκρυπτογράφηση. Φανταστείτε ένα πολύ απλό παράδειγμα: μετατοπίζοντας κάθε γράμμα μιας λέξης κατά αρκετές θέσεις στο αλφάβητο. Γνωρίζοντας αυτό το "κλειδί", το μήνυμα μπορεί να κωδικοποιηθεί και να αποκωδικοποιηθεί. Στον πραγματικό κόσμο, αλγόριθμοι όπως ο AES έχουν γίνει το de facto πρότυπο επειδή προσφέρουν πολύ υψηλή ασφάλεια έναντι επιθέσεων ωμής βίας, ενώ παράλληλα είναι αρκετά γρήγοροι για να χειρίζονται μεγάλους όγκους δεδομένων.
Ωστόσο, το σημαντικότερο πρακτικό πρόβλημα με τη συμμετρική κρυπτογράφηση είναι η ασφαλής διανομή του κλειδιού . Εάν πρέπει να αποσταλεί μέσω του διαδικτύου ή να αποθηκευτεί σε ένα κοινόχρηστο περιβάλλον, υπάρχει κίνδυνος ένας εισβολέας να το υποκλέψει ή να αποκτήσει πρόσβαση σε αυτό, θέτοντας σε κίνδυνο όλα τα δεδομένα που προστατεύονται από αυτό το κλειδί.
Η ασύμμετρη κρυπτογράφηση επιχειρεί να λύσει ακριβώς αυτήν την πρόκληση. Αντί για ένα μόνο κλειδί, χρησιμοποιεί ένα ζεύγος: ένα μαθηματικά συνδεδεμένο αλλά διακριτό δημόσιο κλειδί και ένα ιδιωτικό κλειδί. Το δημόσιο κλειδί μπορεί να κοινοποιηθεί χωρίς φόβο, καθώς χρησιμοποιείται μόνο για κρυπτογράφηση ή επαλήθευση. Το ιδιωτικό κλειδί διατηρείται μυστικό και χρησιμοποιείται για αποκρυπτογράφηση ή ψηφιακή υπογραφή.
Με αυτό το σχήμα, μπορώ να δημοσιεύσω το δημόσιο κλειδί μου, έτσι ώστε ο καθένας να μπορεί να κρυπτογραφήσει μηνύματα που απευθύνονται σε εμένα , αλλά μόνο εγώ, με το ιδιωτικό μου κλειδί, θα μπορώ να τα διαβάσω. Αλγόριθμοι όπως RSA, DSA ή ECC χρησιμοποιούνται σε πρωτόκολλα όπως το TLS, τόσο για την ασφαλή ανταλλαγή συμμετρικών κλειδιών συνεδρίας όσο και για τον έλεγχο ταυτότητας διακομιστών και την υπογραφή περιεχομένου.
Μοντέλα κρυπτογράφησης cloud: ποιος κρυπτογραφεί και πού
Πέρα από τους αλγόριθμους, υπάρχει ένα άλλο κρίσιμο ερώτημα: πού λαμβάνει χώρα η κρυπτογράφηση και ποιος ελέγχει τα κλειδιά . Σε περιβάλλοντα cloud, συνήθως διακρίνονται τρία κύρια μοντέλα.
Η πρώτη είναι η κρυπτογράφηση από την πλευρά του διακομιστή . Εδώ, ο ίδιος ο πάροχος υπηρεσιών cloud κρυπτογραφεί τα δεδομένα πριν τα αποθηκεύσει στους δίσκους του. Ο πελάτης αναθέτει τόσο την εκτέλεση της κρυπτογράφησης όσο και, σε πολλές περιπτώσεις, τη διαχείριση των κλειδιών στον πάροχο, αν και συχνά προσφέρονται επιλογές για τον πελάτη να διαχειρίζεται τα δικά του κλειδιά (BYOK, Κλειδιά που διαχειρίζεται ο πελάτης, κ.λπ.).
Το δεύτερο μοντέλο είναι η κρυπτογράφηση από την πλευρά του πελάτη . Σε αυτήν την προσέγγιση, τα δεδομένα κρυπτογραφούνται στους υπολογιστές ή τις εφαρμογές του πελάτη πριν μεταφορτωθούν στο cloud και παραμένουν κρυπτογραφημένα για όσο διάστημα αποθηκεύονται εκεί. Ο πάροχος δεν βλέπει ποτέ τις πληροφορίες σε απλό κείμενο, κάτι που παρέχει σημαντική αύξηση της εμπιστευτικότητας, με κόστος μεγαλύτερης πολυπλοκότητας διαχείρισης και, μερικές φορές, την απώλεια ορισμένων προηγμένων λειτουργιών της υπηρεσίας.
Το τρίτο μοντέλο είναι η κρυπτογράφηση από άκρο σε άκρο . Σε αυτήν την περίπτωση, τα δεδομένα κρυπτογραφούνται στην πηγή και αποκρυπτογραφούνται μόνο στον τελικό προορισμό, παραμένοντας προστατευμένα ακόμη και εντός της υποδομής του παρόχου. Αυτό το σχήμα προσφέρει το υψηλότερο επίπεδο απορρήτου, αλλά είναι συνήθως το πιο περίπλοκο στον σχεδιασμό και την ενσωμάτωση με άλλες υπηρεσίες cloud.
Επιλογές κρυπτογράφησης σε κατάσταση ηρεμίας σε περιβάλλοντα cloud
Όσον αφορά τα αποθηκευμένα δεδομένα, οι οργανισμοί έχουν στη διάθεσή τους πολλά επίπεδα προστασίας για να επιλέξουν, συχνά συνδυάζοντας πολλά από αυτά. Οι πάροχοι δημόσιου cloud όπως το AWS, το Azure, το Google Cloud και υπηρεσίες αποθήκευσης όπως το Dropbox προσφέρουν ήδη μηχανισμούς κρυπτογράφησης σε κατάσταση ηρεμίας ως στάνταρ σε πολλά από τα προϊόντα τους.
Μια συνηθισμένη επιλογή είναι η χρήση των εγγενών λύσεων κρυπτογράφησης του προμηθευτή , όπου η υποδομή κρυπτογραφεί αυτόματα δίσκους, τόμους ή buckets χωρίς να απαιτείται καμία ειδική ενέργεια από τον πελάτη. Σε αυτές τις περιπτώσεις, η διαχείριση κλειδιών μπορεί να γίνει εξ ολοκλήρου από τον προμηθευτή ή ο πελάτης μπορεί να έχει ορισμένες επιλογές προσαρμογής.
Μια άλλη διαδεδομένη παραλλαγή είναι το μοντέλο « φέρε το δικό σου κλειδί » (BYOK). Εδώ, η κρυπτογράφηση παραμένει στον πάροχο, αλλά ο οργανισμός διατηρεί τον έλεγχο των κλειδιών, τα οποία δημιουργούνται και διαχειρίζονται μέσω της δικής του ή μιας υπηρεσίας διαχείρισης κλειδιών τρίτου μέρους. Αυτό ενισχύει την κυριαρχία των δεδομένων και διευκολύνει τη συμμόρφωση σε περιβάλλοντα με αυστηρές ρυθμίσεις.
Είναι επίσης σύνηθες να εφαρμόζεται κρυπτογράφηση ειδικά για τη βάση δεδομένων . Πολλές μηχανές προσφέρουν διαφανή κρυπτογράφηση σε επίπεδο πίνακα ή αρχείου δεδομένων, έτσι ώστε ακόμη και αν κάποιος αποκτήσει πρόσβαση στον υποκείμενο δίσκο, η βάση δεδομένων παραμένει μη αναγνώσιμη χωρίς τα κλειδιά που κατέχει η μηχανή.
Βάσει αυτού, πολλές λύσεις βασίζονται στην πλήρη κρυπτογράφηση δίσκου (FDE) . Αυτή η τεχνική προστατεύει όλα τα αποθηκευμένα σε έναν τόμο, συμπεριλαμβανομένων των προσωρινών αρχείων, των αντιγράφων ασφαλείας και, στην περίπτωση εικονικών περιβαλλόντων, των πλήρων εικόνων της εικονικής μηχανής.
Σε περιπτώσεις όπου η εταιρεία αναπτύσσει τις δικές της εικονικές μηχανές, μπορεί να επωφεληθεί από τις δυνατότητες κρυπτογράφησης που είναι ενσωματωμένες στα λειτουργικά συστήματα , όπως το BitLocker ή το DM-Crypt, ή από πρόσθετες λύσεις για την κεντρική κρυπτογράφηση δίσκων και διαμερισμάτων αυτών των εικονικών μηχανών.
Τέλος, πολλές αρχιτεκτονικές επιλέγουν την κρυπτογράφηση σε επίπεδο εφαρμογής . Εδώ, η ίδια η εφαρμογή αποφασίζει ποια δεδομένα θα κρυπτογραφήσει, με ποια κλειδιά και πότε. Αυτή η λεπτομέρεια επιτρέπει την εφαρμογή διαφορετικών πολιτικών ανάλογα με τον τύπο των πληροφοριών (για παράδειγμα, ειδική κρυπτογράφηση πεδίων που περιέχουν δεδομένα πιστωτικών καρτών, ιατρικά αρχεία ή εμπορικά μυστικά).
Διαχείριση κλειδιών: η αχίλλειος πτέρνα της κρυπτογράφησης
Η ισχυρή κρυπτογράφηση δεν έχει μεγάλη χρησιμότητα εάν η διαχείριση κλειδιών είναι καταστροφική. Η πραγματική ασφάλεια ενός συστήματος εξαρτάται σε μεγάλο βαθμό από τον τρόπο με τον οποίο δημιουργούνται, αποθηκεύονται, κοινοποιούνται, εναλλάσσονται και καταστρέφονται τα κλειδιά που προστατεύουν τα δεδομένα.
Οι βέλτιστες πρακτικές συνιστούν τη χρήση μονάδων ασφαλείας υλικού (HSM) ή ισοδύναμων υπηρεσιών cloud για τη δημιουργία και την προστασία κύριων κλειδιών, την ελαχιστοποίηση της έκθεσής τους και την αποτροπή της ανεξέλεγκτης εξαγωγής τους. Αυτά τα HSM συνήθως συμμορφώνονται με πρότυπα όπως το FIPS 140-2, τα οποία πιστοποιούν ότι η μονάδα πληροί ορισμένα επίπεδα αντοχής σε φυσικές και λογικές επιθέσεις.
Είναι επίσης απαραίτητο να εφαρμόζονται πολιτικές περιοδικής εναλλαγής κλειδιών, έτσι ώστε, ακόμη και αν ένα κλειδί παραβιαστεί, το χρονικό διάστημα έκθεσης να είναι όσο το δυνατόν μικρότερο. Αυτό περιλαμβάνει τη διαχείριση των εκδόσεων κλειδιών και τη διασφάλιση ότι τα ιστορικά δεδομένα παραμένουν προσβάσιμα χωρίς να χάνεται η ιχνηλασιμότητα.
Ένα άλλο κρίσιμο σημείο είναι ο έλεγχος πρόσβασης σε κλειδιά . Δεν χρειάζεται κάθε διαχειριστής να είναι σε θέση να βλέπει, να εξάγει ή να χρησιμοποιεί κλειδιά κρυπτογράφησης. Ο διαχωρισμός καθηκόντων, η αρχή των ελάχιστων προνομίων και η λεπτομερής καταγραφή όλων των λειτουργιών κλειδιών είναι απαραίτητα για την αποτροπή κατάχρησης ή ανθρώπινου λάθους.
Υπηρεσίες όπως οι Υπηρεσίες Διαχείρισης Κλειδιών από μεγάλους παρόχους ή εξωτερικές λύσεις κλειδιών (για παράδειγμα, Cloud EKM) επιτρέπουν στους οργανισμούς να συγκεντρώνουν τη διαχείριση κλειδιών και να αποφασίζουν πού βρίσκονται φυσικά τα κλειδιά , ποιος μπορεί να τα χρησιμοποιήσει και για ποιους σκοπούς, διατηρώντας έτσι μεγαλύτερο έλεγχο στην αλυσίδα εμπιστοσύνης.
Τι προσφέρουν οι μεγάλοι πάροχοι cloud για επιχειρήσεις;
Οι κύριοι πάροχοι υπηρεσιών cloud για επιχειρήσεις έχουν ενσωματώσει την κρυπτογράφηση ως βασικό μηχανισμό ασφαλείας σε όλες σχεδόν τις λύσεις τους, τόσο κατά τη μεταφορά όσο και σε αδρανή κατάσταση, και δίνουν επίσης την επιλογή στον πελάτη να προχωρήσει ένα βήμα παραπέρα με τα δικά του κλειδιά ή πολιτικές.
Στον τομέα της κρυπτογράφησης σε κατάσταση ηρεμίας, είναι σύνηθες να χρησιμοποιούνται τεχνολογίες όπως το BitLocker, το DM-Crypt, η διαφανής κρυπτογράφηση αποθήκευσης ή οι κατανεμημένοι διαχειριστές κλειδιών που διασφαλίζουν ότι τα δεδομένα των πελατών σε υπηρεσίες email, συνεργασίας, αποθήκευσης αρχείων ή επιχειρηματικών εφαρμογών παραμένουν προστατευμένα ενώ βρίσκονται στα κέντρα δεδομένων του παρόχου.
Για δεδομένα που βρίσκονται σε μεταφορά, όλες οι συνδέσεις που βλέπουν προς τους πελάτες διαπραγματεύονται συνεδρίες TLS από προεπιλογή . Αυτό περιλαμβάνει την πρόσβαση μέσω προγράμματος περιήγησης, εφαρμογών για υπολογιστές, κινητών πελατών και υπηρεσιών συγχρονισμού, καθώς και την κίνηση μεταξύ των κέντρων δεδομένων του παρόχου.
Πέρα από αυτήν την ελάχιστη βάση, πολλά από αυτά τα περιβάλλοντα επιτρέπουν στους οργανισμούς να ενεργοποιούν πρόσθετη κρυπτογράφηση για την κίνηση μεταξύ των δικών τους εικονικών μηχανών και των χρηστών , για παράδειγμα μέσω εικονικών ιδιωτικών δικτύων (VPN) με IPsec μεταξύ του εταιρικού δικτύου και του cloud ή μεταξύ εικονικών μηχανών εντός του ίδιου εικονικού δικτύου.
Επιπλέον, υπάρχουν συχνά προηγμένες επιλογές, όπως η χρήση των δικών σας κλειδιών κρυπτογράφησης που είναι αποθηκευμένα στα θησαυροφυλάκια κλειδιών του παρόχου (Κλειδί Πελάτη, Κλειδιά που Διαχειρίζεται ο Πελάτη) για υπηρεσίες email, συνεργασίας και αποθήκευσης, έτσι ώστε ο πελάτης να διατηρεί μεγαλύτερο έλεγχο στην πρόσβαση στις πληροφορίες.
Κρυπτογράφηση cloud vs τοπική κρυπτογράφηση: βασικές διαφορές
Κατά τον σχεδιασμό μιας στρατηγικής προστασίας δεδομένων, πολλές ομάδες IT αναρωτιούνται αν είναι καλύτερο να συγκεντρώσουν τα πάντα στο cloud, να τα διατηρήσουν εσωτερικά ή να υιοθετήσουν μια υβριδική προσέγγιση . Από την άποψη της κρυπτογράφησης, κάθε επιλογή έχει τις δικές της αποχρώσεις.
Στην κρυπτογράφηση cloud , επικρατεί το μοντέλο κοινής ευθύνης: ο πάροχος είναι υπεύθυνος για την προστασία της υποκείμενης υποδομής, των hypervisors, του υλικού και πολλών διαχειριζόμενων υπηρεσιών, ενώ ο πελάτης είναι υπεύθυνος για τα δεδομένα, τις ταυτότητες, τις διαμορφώσεις και τις εφαρμογές του. Αυτό σημαίνει ότι, παρόλο που η βασική κρυπτογράφηση παρέχεται από προεπιλογή, η εταιρεία πρέπει να προσθέσει τα δικά της επίπεδα και πολιτικές για να καλύψει τις δικές της ευθύνες.
Αντίθετα, με την τοπική κρυπτογράφηση , ο οργανισμός ελέγχει τα πάντα: υλικό, λογισμικό, κλειδιά, διαδικασίες και ανθρώπους. Αυτό επιτρέπει μεγαλύτερο βαθμό προσαρμογής και πολύ λεπτομερή έλεγχο, αλλά απαιτεί επίσης περισσότερες επενδύσεις σε εξοπλισμό, άδειες, συντήρηση και εξειδικευμένο προσωπικό.
Όσον αφορά την επεκτασιμότητα, το cloud επιτρέπει την γρήγορη προσαρμογή της χωρητικότητας κρυπτογράφησης στους αυξανόμενους όγκους δεδομένων χωρίς την ανάγκη αγοράς και ανάπτυξης νέου υλικού. Σε περιβάλλοντα εσωτερικής εγκατάστασης, κάθε κλιμάκωση απαιτεί σχεδιασμό, προμήθεια και φυσική ανάπτυξη.
Από την άποψη του κόστους, το cloud συνήθως λειτουργεί με μοντέλα πληρωμής ανά χρήση ή συνδρομής (OpEx), ενώ οι λύσεις εσωτερικής εγκατάστασης συνεπάγονται μεγάλες αρχικές δαπάνες σε υλικό και λογισμικό (CapEx) , εκτός από το τρέχον κόστος συντήρησης.
Ως εκ τούτου, πολλοί οργανισμοί επιλέγουν ένα υβριδικό μοντέλο : διατηρούν τα πιο κρίσιμα ή αυστηρά ρυθμιζόμενα δεδομένα σε ελεγχόμενες υποδομές και αξιοποιούν το cloud για λιγότερο ευαίσθητα ή πιο δυναμικά φόρτα εργασίας, εφαρμόζοντας κατάλληλη κρυπτογράφηση και ελέγχους ασφαλείας και στους δύο κόσμους.
Πέρα από το μάρκετινγκ: ισχυρή κρυπτογράφηση και συγχρονισμός αρχείων
Η αγορά έχει δει έναν πολλαπλασιασμό των υπηρεσιών αποθήκευσης στο cloud που διαθέτουν εξαιρετικά ισχυρή, ακόμη και μετα-κβαντική , κρυπτογράφηση ως κύριο πλεονέκτημα πώλησής τους. Ενώ η ισχυρή κρυπτογράφηση διακομιστή είναι απαραίτητη, είναι σημαντικό να κατανοήσουμε την πραγματική αδυναμία στις περισσότερες αναπτύξεις.
Όταν το λειτουργικό μοντέλο βασίζεται σε εικονικούς δίσκους ή φακέλους που συγχρονίζονται μεταξύ του cloud και των υπολογιστών των χρηστών ( cloud vs. USB drive ), τα αρχεία καταλήγουν να αποθηκεύονται σε απλό κείμενο σε πολλές τοπικές συσκευές. Εάν οκτώ άτομα σε μια εταιρεία έχουν συγχρονίσει τον κοινόχρηστο φάκελο, θα υπάρχουν τουλάχιστον εννέα αντίγραφα αυτών των εγγράφων: ένα πολύ καλά προστατευμένο στο cloud και οκτώ αντίγραφα στους υπολογιστές των χρηστών, χωρίς αυτό το επίπεδο προστασίας.
Σε αυτό το πλαίσιο, όσο εντυπωσιακή κι αν είναι η κρυπτογράφηση στο cloud, μια εισβολή, κακόβουλο λογισμικό ή κλοπή φορητού υπολογιστή σε οποιαδήποτε από τις συγχρονισμένες συσκευές μπορεί να εκθέσει δεδομένα χωρίς να παραβιάσει την κρυπτογράφηση του παρόχου . Το μάρκετινγκ επικεντρώνεται στην κρυπτογραφική ισχύ του διακομιστή, αλλά στην πράξη, ο πιο αδύναμος κρίκος είναι συνήθως το τελικό σημείο.
Για να μετριαστεί αυτό το πρόβλημα, ορισμένες εναλλακτικές πλατφόρμες προτείνουν μοντέλα που δεν βασίζονται στον συνεχή συγχρονισμό φακέλων . Αντί να αντιγράφει όλα τα περιεχόμενα μιας μονάδας δίσκου σε όλες τις συσκευές, η εφαρμογή επιτρέπει στους χρήστες να ανοίγουν και να επεξεργάζονται απευθείας αρχεία που είναι αποθηκευμένα στο cloud, αποκρυπτογραφώντας το αρχείο κατά τη στιγμή της επεξεργασίας και διαγράφοντας το τοπικό αντίγραφο μετά την ολοκλήρωσή της.
Με αυτόν τον τρόπο, ένας ιδιαίτερα ευαίσθητος φάκελος (που περιέχει προσωπικά δεδομένα, οικονομικές πληροφορίες ή κρίσιμα έγγραφα) μπορεί να φυλάσσεται αποκλειστικά στο κρυπτογραφημένο cloud, με μόνο το αρχείο να αποκρυπτογραφείται κατά το άνοιγμά του, χωρίς να αφήνει μόνιμα ίχνη στον υπολογιστή . Ο συγχρονισμός, εάν χρησιμοποιηθεί, καθίσταται προαιρετικός και περιορίζεται σε εκείνους τους φακέλους όπου προσθέτει πραγματικά αξία.
Εργαλεία κρυπτογράφησης από την πλευρά του πελάτη για υπηρεσίες cloud
Αν σας αρέσει να χρησιμοποιείτε δημοφιλείς υπηρεσίες όπως το Dropbox, το Google Drive, το OneDrive ή παρόμοιες , αλλά δεν θέλετε ορισμένα έγγραφα να αποθηκεύονται εκεί σε απλό κείμενο, μια πρακτική εναλλακτική λύση είναι να προσθέσετε το δικό σας επίπεδο κρυπτογράφησης στην πλευρά του πελάτη.
Λύσεις όπως το Boxcryptor ή οι οδηγοί για την κρυπτογράφηση αρχείων στο cloud με το Cryptomator λειτουργούν ως ένα είδος «μεσαίου επιπέδου» μεταξύ του συστήματός σας και του χώρου αποθήκευσης στο cloud. Η ιδέα είναι απλή: το λογισμικό δημιουργεί μια λογική μονάδα δίσκου στον υπολογιστή σας και κρυπτογραφεί με διαφάνεια όλα όσα αποθηκεύετε σε συγκεκριμένους φακέλους, έτσι ώστε ακόμη και αν αυτά τα αρχεία είναι συγχρονισμένα με το cloud, ό,τι φτάνει στον πάροχο είναι ήδη κρυπτογραφημένο.
Ένα πλεονέκτημα αυτών των εργαλείων είναι ότι μπορείτε να συνεχίσετε να μοιράζεστε φακέλους και αρχεία με άλλους χρήστες, διατηρώντας το συνεργατικό οικοσύστημα, αλλά με πρόσθετη προστασία που δεν εξαρτάται από τον πάροχο cloud. Σε ορισμένες περιπτώσεις, υπάρχουν δωρεάν όρια (για παράδειγμα, ένας ορισμένος αριθμός κρυπτογραφημένων gigabyte) που σας επιτρέπουν να δοκιμάσετε τη λύση χωρίς κόστος.
Άλλες εναλλακτικές λύσεις, όπως το Viivo, το Cloudfogger και το Crypsync , ακολουθούν παρόμοιες προσεγγίσεις, παρέχοντας κρυπτογράφηση από την πλευρά του πελάτη για να συμπληρώσουν την ασφάλεια του χώρου αποθήκευσης στο cloud. Υπάρχουν επίσης λύσεις όπως το Hippo, σχεδιασμένες για την κρυπτογράφηση τοπικών αρχείων και την προστασία δεδομένων που κοινοποιούνται μέσω κοινωνικών δικτύων ή υπηρεσιών cloud, χρησιμοποιώντας ισχυρά κλειδιά και χωρίς να απαιτούνται πολύπλοκες εγκαταστάσεις.
Σε όλες αυτές τις περιπτώσεις, η λογική είναι η ίδια: μην βασίζεστε αποκλειστικά στην κρυπτογράφηση του παρόχου και προσθέστε τον δικό σας έλεγχο σχετικά με το ποιος μπορεί να αποκρυπτογραφήσει τις πληροφορίες, έτσι ώστε ακόμη και αν μια υπηρεσία cloud υποστεί παραβίαση, τα κλεμμένα δεδομένα να παραμένουν μη αναγνώσιμα.
Πλεονεκτήματα της κρυπτογράφησης δεδομένων cloud
Η εφαρμογή ενός καλού συστήματος κρυπτογράφησης στο cloud παρέχει μια σειρά από σαφή οφέλη που υπερβαίνουν την καθαρή τεχνική ασφάλεια και επηρεάζουν άμεσα τον επιχειρηματικό κίνδυνο.
Το πρώτο είναι η μείωση των επιπτώσεων μιας πιθανής παραβίασης δεδομένων . Εάν ο εισβολέας αποκτήσει πρόσβαση μόνο σε κρυπτογραφημένες πληροφορίες και δεν έχει κανέναν εύλογο τρόπο να αποκτήσει τα κλειδιά, η πραγματική αξία αυτών των δεδομένων πλησιάζει το μηδέν. Σε πολλές περιπτώσεις, αυτό μπορεί να εξοικονομήσει κόστος, ζημία στη φήμη και υποχρεώσεις νομικής ειδοποίησης.
Δεύτερον, η κρυπτογράφηση λειτουργεί ως ένας πρόσθετος μηχανισμός ελέγχου πρόσβασης . Μόνο τα άτομα, οι εφαρμογές ή οι υπηρεσίες που διαθέτουν το σωστό κλειδί μπορούν να δουν τα δεδομένα σε απλό κείμενο. Αυτό λειτουργεί ως ένα δεύτερο φίλτρο επιπλέον των παραδοσιακών δικαιωμάτων χρήστη ή λιστών ελέγχου πρόσβασης.
Ένα άλλο σημαντικό πλεονέκτημα είναι η προστασία της ακεραιότητας των δεδομένων . Πολλοί αλγόριθμοι κρυπτογράφησης και τρόποι λειτουργίας περιλαμβάνουν μηχανισμούς για την ανίχνευση μη εξουσιοδοτημένων τροποποιήσεων, έτσι ώστε εάν κάποιος επιχειρήσει να τροποποιήσει ένα κρυπτογραφημένο αρχείο, το σύστημα να μπορεί να εντοπίσει ότι έχει παραβιαστεί.
Από την άποψη της κανονιστικής συμμόρφωσης, η κρυπτογράφηση βοηθά στην ευθυγράμμιση με τους νόμους και τα πρότυπα ασφαλείας που απαιτούν τεχνικές δικλείδες ασφαλείας για την προστασία προσωπικών, κλινικών ή οικονομικών δεδομένων. Αυτό είναι ιδιαίτερα σημαντικό σε τομείς όπως η υγειονομική περίθαλψη, οι τραπεζικές εργασίες, η δημόσια διοίκηση και η εκπαίδευση.
Προκλήσεις και κίνδυνοι που σχετίζονται με την κρυπτογράφηση στο cloud
Παρά τα πλεονεκτήματά της, η κρυπτογράφηση δεν είναι η ιδανική λύση. Η σωστή εφαρμογή της περιλαμβάνει την αντιμετώπιση ορισμένων τεχνικών, λειτουργικών και σχεδιαστικών προκλήσεων που θα πρέπει να ληφθούν υπόψη εξαρχής.
Ένα από αυτά είναι η επιβάρυνση στην απόδοση . Η κρυπτογράφηση και η αποκρυπτογράφηση καταναλώνουν CPU, μνήμη και, σε ορισμένες περιπτώσεις, εισάγουν πρόσθετη καθυστέρηση. Στα περισσότερα σύγχρονα σενάρια, ο αντίκτυπος είναι αποδεκτός, αλλά σε εφαρμογές που είναι ευαίσθητες στην απόδοση ή σε εφαρμογές με τεράστιους όγκους δεδομένων, μπορεί να είναι απαραίτητο να βελτιστοποιηθούν οι αρχιτεκτονικές και να διαστασιολογηθούν σωστά οι πόροι.
Ένα άλλο κρίσιμο ζήτημα είναι η εξάρτηση από τη διαχείριση κλειδιών . Εάν ένα κλειδί χαθεί χωρίς αντίγραφο ασφαλείας ή εάν το σύστημα που το αποθηκεύει είναι κατεστραμμένο, τα σχετικά κρυπτογραφημένα δεδομένα ενδέχεται να καταστούν μόνιμα μη προσβάσιμα. Το ίδιο ισχύει εάν ένα κλειδί πέσει στα χέρια ενός εισβολέα: οτιδήποτε προστατεύεται από αυτό παραβιάζεται.
Πρέπει επίσης να ληφθεί υπόψη ο κίνδυνος δέσμευσης σε έναν προμηθευτή . Εάν υιοθετήσετε πολύ εξειδικευμένες ιδιόκτητες λύσεις κρυπτογράφησης από έναν πάροχο cloud, η αλλαγή πλατφορμών, η δημιουργία ενός περιβάλλοντος πολλαπλών cloud ή η ενσωμάτωση υπηρεσιών τρίτων μπορεί να γίνει πολύ πιο περίπλοκη.
Τέλος, δεν πρέπει να παραβλέπονται οι ανθρώπινοι και οργανωτικοί παράγοντες . Πολλές εταιρείες υποτιμούν την ευθύνη τους στο μοντέλο cloud και υποθέτουν λανθασμένα ότι ο πάροχος είναι υπεύθυνος για όλη την ασφάλεια. Η έλλειψη εκπαίδευσης, οι κακές πρακτικές πιστοποίησης ή η απουσία σαφών πολιτικών μπορούν να θέσουν σε κίνδυνο οποιοδήποτε κρυπτογραφικό σύστημα, ανεξάρτητα από το πόσο ισχυρό είναι.
Βέλτιστες πρακτικές για την έξυπνη εφαρμογή της κρυπτογράφησης στο cloud
Για να αξιοποιήσετε πραγματικά τις δυνατότητες της κρυπτογράφησης στο cloud και να αποφύγετε δυσάρεστες εκπλήξεις, συνιστάται να ακολουθήσετε μια σειρά από οδηγίες που θα βοηθήσουν στην ενσωμάτωσή της στη στρατηγική κυβερνοασφάλειας του οργανισμού.
Το πρώτο βήμα είναι η καταγραφή και η ταξινόμηση των δεδομένων : ποιες πληροφορίες αποθηκεύονται ή υποβάλλονται σε επεξεργασία στο cloud, πού βρίσκονται, ποιος τις χρησιμοποιεί και το επίπεδο ευαισθησίας τους. Δεν απαιτούν όλα το ίδιο επίπεδο προστασίας και αυτή η ταξινόμηση θα βοηθήσει στην ιεράρχηση των προσπαθειών.
Από εκεί και πέρα, συνιστάται να επιλέξετε το καταλληλότερο μοντέλο κρυπτογράφησης για κάθε περίπτωση χρήσης : διακομιστής, πελάτης ή end-to-end, καθώς και τις συγκεκριμένες τεχνολογίες (FDE, κρυπτογράφηση σε επίπεδο εφαρμογής, κρυπτογράφηση βάσης δεδομένων, κ.λπ.). Δεν έχει νόημα να περιπλέκεται υπερβολικά ένα περιβάλλον εάν οι κίνδυνοι δεν το δικαιολογούν, αλλά ούτε αξίζει να υπολείπεστε όταν ασχολείστε με ιδιαίτερα ευαίσθητα δεδομένα.
Παράλληλα, πρέπει να σχεδιαστεί και να εφαρμοστεί μια ισχυρή πολιτική διαχείρισης κλειδιών , η οποία να καθορίζει τον τρόπο δημιουργίας των κλειδιών, ποιος μπορεί να τα χρησιμοποιήσει, πώς αποθηκεύονται, πότε εναλλάσσονται και πώς καταστρέφονται. Ιδανικά, αυτό θα πρέπει να υποστηρίζεται από υπηρεσίες διαχείρισης κλειδιών ή HSM με αναγνωρισμένες πιστοποιήσεις.
Μια άλλη βασική πρακτική είναι η τακτική παρακολούθηση και ο έλεγχος της χρήσης κρυπτογράφησης και των λειτουργιών κλειδιού . Αυτό περιλαμβάνει την καταγραφή της πρόσβασης, των αλλαγών διαμόρφωσης, των αποτυχημένων προσπαθειών και οποιωνδήποτε άλλων σχετικών συμβάντων, ώστε να μπορούν να εντοπιστούν ανωμαλίες και να αποδειχθεί η συμμόρφωση κατά τη διάρκεια εξωτερικών ελέγχων.
Η εκπαίδευση παίζει επίσης καθοριστικό ρόλο. Είναι σημαντικό το τεχνικό προσωπικό και οι χρήστες που έχουν πρόσβαση σε ευαίσθητες πληροφορίες να κατανοούν γιατί ορισμένα δεδομένα κρυπτογραφούνται, πώς να τα χειρίζονται και ποιες πρακτικές πρέπει να αποφεύγουν (για παράδειγμα, την κοινή χρήση κλειδιών ή την αποθήκευσή τους σε μη ασφαλείς τοποθεσίες).
Τέλος, κατά την επιλογή ενός παρόχου υπηρεσιών cloud ή ενός παρόχου λύσεων κρυπτογράφησης, είναι απαραίτητο να εξετάσετε το ιστορικό ασφαλείας, τις πιστοποιήσεις, τη διαφάνεια και τη δέσμευσή του σε ανοιχτά πρότυπα , ώστε να μην κολλήσετε με τεχνολογίες που εμποδίζουν τη μελλοντική εξέλιξη της αρχιτεκτονικής.
Εάν σχεδιαστεί προσεκτικά, συνδυάζοντας ισχυρή κρυπτογράφηση, καλή διαχείριση κλειδιών, έλεγχο πρόσβασης, συνεχή παρακολούθηση και κατάλληλη εκπαίδευση, το cloud μπορεί να γίνει ένα περιβάλλον ακόμη πιο ασφαλές από πολλές υποδομές εσωτερικής εγκατάστασης, επιτρέποντάς σας παράλληλα να επωφεληθείτε από όλα τα οφέλη της ευελιξίας, της επεκτασιμότητας και της μείωσης του κόστους χωρίς να αφήσετε απροστάτευτο το πιο πολύτιμο περιουσιακό στοιχείο του οργανισμού: τα δεδομένα του.
