Zwei allgemeine Dinge, die Sie anscheinend übersehen haben:

• Im Falle eines Festplattenfehlers löst das Verschlüsseln der Daten in Ruhe das Problem, dass potenziell sensible Daten auf einem Medium vorhanden sind, das Sie können. ' nicht mehr zugreifen. Dies macht die Entsorgung fehlerhafter Laufwerke einfacher und billiger (und es ist ein Problem weniger).

• Die vollständige Festplattenverschlüsselung erschwert es einem Angreifer auch, Daten aus dem "leeren" Speicherplatz abzurufen die Laufwerke (die häufig Spuren zuvor gültiger Daten enthalten)

Und wenn Sie VMs verwenden:

• Wenn Sie die Partition verschlüsseln, werden Sie dazu gebracht weniger abhängig von der Sicherheit Ihres Hypervisors: Wenn der Rohinhalt eines Ihrer Laufwerke auf eine andere VM "leckt" (was passieren kann, wenn der Speicherplatz des Laufwerks einer anderen VM zugewiesen und nicht auf Null gesetzt wird), ist diese VM weniger wahrscheinlich um Zugriff auf die tatsächlichen Daten zu haben (es müsste auch der Entschlüsselungsschlüssel abgerufen werden).

Wenn der Entschlüsselungsschlüssel einfach auf demselben Medium wie die verschlüsselten Daten gespeichert ist, ist die Verschlüsselung sinnlos. Wenn Sie über eine Reihe von Regeln verfügen, nach denen Daten verschlüsselt werden müssen, der Schlüssel jedoch in einfacher Form auf demselben Medium gespeichert werden kann, sind die Regeln fehlerhaft. Wenn Sie jemals mit einem solchen fehlerhaften Regelwerk konfrontiert werden, sollten Sie auf den Fehler hinweisen.

Wenn der Schlüssel nicht auf demselben Medium wie die Daten gespeichert ist. Dann erfüllt die Verschlüsselung einen Zweck. Dies wirft jedoch die Frage auf, woher der Server den Schlüssel beim Booten bezieht. Es gibt einige Optionen:

• Während des Startvorgangs muss ein Kennwort eingegeben werden. Dies ist für einen Server nicht sehr praktisch.
• Rufen Sie den Entschlüsselungsschlüssel von einem Schlüsselserver ab. Dies kann verhindern, dass die Daten entschlüsselt werden, wenn der Server gestohlen wurde. Der Schlüsselserver muss lediglich auf Anfragen aus dem Rechenzentrum antworten.
• Geheime Freigabe des Schlüssels auf mehreren Festplatten. Tut nichts für den Fall, dass der Server gestohlen wird. Wenn Sie jedoch ein RAID haben, bei dem gelegentlich einzelne Festplatten ausgetauscht werden, wird garantiert, dass alle Daten, die auf den im Rahmen der Garantie zurückgegebenen Festplatten verbleiben, ordnungsgemäß verschlüsselt sind. Wenn dem RAID eine neue Festplatte hinzugefügt wird, muss eine Implementierung dieser Technik Folgendes tun:
  • Generieren Sie einen Verschlüsselungsschlüssel für diese einzelne Festplatte.
  • Generieren Sie einen neuen Hauptschlüssel.
  • Geheime Freigabe des neuen Hauptschlüssels für alle Festplatten.
  • Schreiben Sie auf jede Festplatte den unter dem neuen Hauptschlüssel verschlüsselten Festplattenverschlüsselungsschlüssel.

Die drei oben beschriebenen Ansätze können kombiniert werden. Wenn sie kombiniert werden, kann der Schlüsselserver mithilfe von blindem RSA implementiert werden.

Es gibt Angriffe auf die Firmware von Festplatten. Wenn Sie nach Festplatten-Firmware-Angriffen googeln, werden einige Ergebnisse darüber zurückgegeben, was die NSA tut oder kann, was für Sie wahrscheinlich nicht sehr relevant ist. Aber auch Hobbyisten können die Firmware von Laufwerken ändern. Dieser Typ hat sogar einen Linux-Kernel auf seiner Festplatte installiert - nein, es war nicht der PC, auf dem Linux lief, der Festplattencontroller selbst hat das getan.

Wenn jemand Zugriff erhält auf die Firmware Ihrer Festplatten (z. B. dass jemand einen Server für einen Monat von Ihrem Rechenzentrum mietet und ihn dann zurückgibt; die Rechenzentrumsfirma löscht die Laufwerke und weist Ihnen diesen Server dann zu), kann sie die Laufwerksfirmware ausführen lassen So etwas wie "Wenn ein Block, der auf die Festplatte geschrieben wird, für die nächsten 5 Minuten ein spezielles Muster enthält, ersetzen Sie in jedem Leseblock, der mit root: $ 1 $ beginnt, die ersten Bytes durch (einen Passwort-Hash). ", Sie haben einen Angriff, der fast nicht nachweisbar ist. Ihre / etc / shadow -Datei sieht für Sie normal aus, außer während des 5-minütigen Zeitfensters, nachdem Ihr Angreifer eine Datei mit einem Namen angefordert hat, der das Auslösemuster von Ihrem Webserver enthält, der sie in das Fehlerprotokoll geschrieben hat

Unwahrscheinlich? Sicher. Unmöglich? Definitiv nicht. Ist es paranoid anzunehmen, dass dies passieren könnte? Wahrscheinlich ja, je nachdem, wie interessant Ihre Daten sind. Das Verschlüsseln Ihrer Laufwerke schützt Sie jedoch vor solchen Angriffen und kostet Sie nur ein paar CPU-Zyklen. Und wenn es Gesetze oder Vorschriften gibt, die im Falle einer Sicherheitsverletzung zu befolgen sind, möchte ich sicherlich nicht in der Lage sein, zu erklären, warum ich dachte, dass es keine Rolle spielt.

Überlegen Sie, was Sie unter "sicherem" Rechenzentrum verstehen.

Im Allgemeinen halte ich nichts für sicher gegen einen entschlossenen und gut ausgestatteten Angreifer. Zwar bieten 18 Zoll Stahlbeton, doppelte Menschenfallen und bewaffnete Sicherheit ein angemessenes Maß an Schutz, aber es ist selten, dass dieser Schutz nur für Sie bestimmt ist. In den meisten Einrichtungen am selben Ort schützt Sie nur dies vor einem Eine Person mit 500 US-Dollar und genügend Wissen, um Rack-Platz in derselben Einrichtung wie Sie zu mieten, ist ein zweifelhaft sicherer Drahtkäfig mit einem dreipoligen Becher.

Gelegentlich überfluten Naturkatastrophen und von Menschen verursachte Katastrophen die Dinge, unterbrechen den Strom, vergiften Sie die Wasserversorgung und tun Sie alle möglichen ungewöhnlichen Dinge, die dazu führen, dass Sicherheitspersonal und Techniker nicht zur Arbeit erscheinen oder einfach zu ihren Familien nach Hause gehen. Ich sage, dass Rechenzentren nur ein Sicherheitsniveau bieten, das wahrscheinlich nicht so ist So wie viele ihrer Kunden denken.

Überdenken Sie Ihre Haltung zu dem geringen Risiko, dass Ihr Entsorgungsunternehmen Laufwerke verliert.

Eine Vernichtungsbescheinigung berechtigt Sie ebenfalls ..... die 20 Dollar zurück, die Sie ihnen gezahlt haben, um ein Laufwerk zu zerstören, das nicht wirklich zerstört wurde?

Haben Sie Ihre Anlagenentsorgungsanlage besucht? Überprüfen Sie ihre Einstellungsverfahren? Ihre Schutzmaßnahmen gesehen? Stellen Sie sicher, dass Sie diesbezüglich absolut sicher sind, da dies eine der offensichtlichsten Sicherheitslücken ist - eine Änderung des Sorgerechts.

Das haben Sie also überhaupt nicht gefragt, wie steht es mit der Insider-Bedrohung? Sie haben tatsächlich danach gefragt.

Ok, ein Insider hätte Zugriff über Ihre FDE und würde die Dateien unverschlüsselt sehen. In Ihrem FDE-Szenario wird der Insider nicht daran gehindert oder daran gehindert, auf die Daten zuzugreifen.

Dadurch wird Ihre Insider-Bedrohung durch Ihre FDE geleitet, sodass Sie sich protokollieren können , überwachen und identifizieren Sie einen Täter oder zumindest einen Verdächtigen. Die Identifizierung Ihres Angreifers ist eine Sicherheitsstufe.

Aber ich bin mir ziemlich sicher, dass Trichter nicht in erster Linie für FDE gedacht ist. Selbst wenn Sie über FDE verfügen, können Sie zusätzlich zu FDE eine andere Dateiebene oder eine andere Datenverschlüsselung implementieren. Sie können auch weiterhin die Zugriffskontrollen des Betriebssystems verwenden.

FDE schützt vor Insidern, die keinen Zugriff über die FDE haben. Es schützt vor Servertechnikern, die Laufwerke ersetzen, die eines nehmen und mit Daten abheben. Es schützt vor einem Mitarbeiter der Servereinrichtung, der einen aus einem Versandbehälter in Ihrer Einrichtung abholt und auf den Transport zu Ihrem Zerstörungsunternehmen wartet.

Mit FDE können Sie auf einer anderen Ebene auch Insider-Bedrohungen stoppen, wenn Sie dies tun Trennen Sie Ihre Farm oder verwenden Sie granularen Zugriff - sagen Sie, Ihre Insider haben nur Zugriff auf bestimmte Server usw. FDE würde sie daran hindern, Laufwerke einfach im Großhandel zu kopieren, für die sie keinen Zugriff über die FDE haben.

Einfach ausgedrückt FDE schützt die Daten auf dem Laufwerk vor physischem Zugriff auf das Laufwerk. Sie können versuchen, den physischen Zugriff so weit zu steuern, wie Sie möchten, aber die Laufwerke sind immer mit einer gewissen Sicherheitslücke behaftet (von Insidern gestohlen, von Insidern kopiert, Sorgerecht übertragen, wo Insider es berühren, aufgrund einer Katastrophe unbewacht usw. ). Wenn Leute das Laufwerk berühren, ist FDE eine Verteidigungsschicht dagegen.

David

Nicht sicher. Es kommt darauf an, gegen was Sie sich verteidigen wollen. Einige Beispiele:

• Wenn Sie in einem Land leben, in dem die Regierung Ihren Server beschlagnahmen kann, um dessen Inhalt zu analysieren, und ihn dann gegen Sie oder Ihren Arbeitgeber verwenden kann.
• Wenn Sie sind der Eigentümer des Servers, geben jedoch nicht die Möglichkeit, dass Ihre Mitarbeiter / Kollegen physischen Zugriff darauf haben, dass sie dessen Inhalt gestohlen / gespiegelt haben. Anschließend aktivieren Sie sie für den Service / Start, geben ihnen jedoch nicht die Verschlüsselungsschlüssel.
• Dies kann als effizienter Schutz dienen, wenn Sie Ihrer Server-Hosting-Lösung nicht vertrauen können / wollen.

Das hängt von den Umständen ab. Diese Umstände, die ich als Beispiel gezeigt habe, sind in meiner Umgebung zumindest ungewöhnlich, aber sie könnten möglich sein.

Wenn Sie sich in einer normalen Geschäftsumgebung befinden, tun Sie dies nicht. Es hat viele Arbeitsstunden gekostet und die Servicezeit verlängert. Meiner Meinung nach ist es in den meisten Fällen seinen Preis nicht wert.

Zitat: "... sie haben wenig bis gar nichts getan, um das mit unverschlüsselten Daten verbundene Risiko tatsächlich zu verringern ..."

Ok, ja, ich denke, Sie haben Recht. Die einfache Antwort lautet "es ist sinnlos", aber "es ist auch NICHT sinnlos". Aus diesem Grund, und verzeihen Sie mir, dass ich das sage, denke ich, dass Sie möglicherweise den falschen Baum bellen. Lassen Sie mich erklären. Die vollständige Festplattenverschlüsselung (FDE) erfüllt einen bestimmten Zweck - auch wenn sie nur für eine Teilmenge von Exploits mit geringer Wahrscheinlichkeit gilt. Es gibt eine Reihe möglicher Exploits - und die LOW-Wahrscheinlichkeit entspricht nicht der NO-Wahrscheinlichkeit.

Ist es also sinnlos? Nicht komplett. Aber warum argumentieren Sie dagegen? Möchten Sie der Sicherheit mehr Aufmerksamkeit schenken, wenn die Server ausgeführt werden und die Daten unverschlüsselt sind? Dies tritt in die Region ein, in der Fakten Ihnen möglicherweise weniger gut tun und ein Sinn für Politik Ihnen zugute kommen kann.

Es könnte sein, dass Ihr Ziel bei diesem Argument bei der Arbeit darin besteht, Ihr Fachwissen zu etablieren. Oder vielleicht gibt es etwas, von dem Sie denken, dass es getan werden muss, und niemand achtet darauf. Alle oben genannten Punkte sind gültig und angemessen und gehören zum alltäglichen Arbeitsumfeld. Ich könnte Ihre Frage falsch verstehen, aber es scheint mir, dass Sie ein besseres Ergebnis erzielen, wenn Sie für die Aktion argumentieren, die Ihrer Meinung nach durchgeführt werden muss, anstatt gegen eine Aktion, die gerade durchgeführt wird. Wähle deine Kämpfe aus.

Nach Ihrer Beschreibung vermute ich, dass Sie korrekt sind. Das heißt, die vollständige Festplattenverschlüsselung bietet keinen wirklichen Schutz für Ihre Daten auf einem laufenden Server, falls jemand diesen Server kompromittiert, um die Daten zu extrahieren. Dies ist nicht das Ziel der vollständigen Festplattenverschlüsselung. Dies bedeutet jedoch nicht, dass auf einem Server keine vollständige Festplattenverschlüsselung vorhanden ist. Wie bereits in anderen Beiträgen erwähnt, gibt es gute Gründe für eine vollständige Festplattenverschlüsselung auf einem Server, z. B. Schutz vor Diebstahl, wirksame Kontrolle der Festplattenentsorgung oder Rückgabe fehlerhafter Festplatten an den Hersteller usw. Wenn Sie jedoch die Daten schützen müssen Auf dem Server, während er ausgeführt wird, benötigen Sie normalerweise eine Datei-, Tabellen- usw. Verschlüsselung zusätzlich zur Festplattenverschlüsselung - dies ist nicht unbedingt eine Entweder-Oder-Situation.

Die andere zu berücksichtigende Sache ist, dass es bei der Sicherheit um Schutzschichten geht. Wenn Sie vorschlagen, dass Sie über gute Steuerelemente für die Entsorgung von Datenträgern verfügen und daher keine vollständige Festplattenverschlüsselung benötigen, wird davon ausgegangen, dass die beim Entsorgen von Datenträgern verwendeten Steuerelemente niemals fehlschlagen. Diese Arten von Steuerelementen haben jedoch normalerweise einen hohen prozeduralen und menschlichen Inhalt - sie hängen stark vom Administrator ab, der das Verfahren korrekt befolgt. Nach meiner Erfahrung sind dies die Arten von Steuerelementen, bei denen es wahrscheinlicher ist, dass sie fehlschlagen. Es könnte sein, dass ein neuer Mitarbeiter, der das Verfahren nur vergisst oder sich dessen nicht bewusst ist, ein erfahrener Systemadministrator ist, der sich mit einem Hochdruckfehler befasst, bei dem der Chef ihn unter Druck setzt, den Dienst so schnell wie möglich wieder in Betrieb zu nehmen einfach eine weitere Schutzkontrolle, die das Personal entlastet und die möglichen Auswirkungen eines einfachen menschlichen Fehlers verringert.

Wenn bei der vollständigen Festplattenverschlüsselung Probleme auftreten, wird davon ausgegangen, dass mehr Probleme gelöst werden als tatsächlich - dies scheint der Kern Ihrer Argumentation / Ihres Anliegens zu sein. Ich habe viele Anbieter und sogar Administratoren gesehen, die das Management davon überzeugt haben, dass die Daten sicher sind, nur weil sie die vollständige Festplattenverschlüsselung verwenden. Infolgedessen wird kaum eine echte Risikoanalyse hinsichtlich der Risiken durchgeführt, wenn der Server ausgeführt wird. Ich habe kürzlich ein großes Datenspeicherprojekt für einen Kunden durchgeführt, das potenziell sensible und / oder wertvolle Daten enthielt. Es war ziemlich überraschend, wie viele Anbieter die Verschlüsselungsfragen nicht richtig beantwortet haben. Ihre Standardantwort lautete: "Es ist in Ordnung, das System verwendet die vollständige Festplattenverschlüsselung." Nachdem ich einen Drilldown durchgeführt und Beispiele gegeben und gefragt hatte, wie die vollständige Festplattenverschlüsselung vor verschiedenen Szenarien für einen laufenden Server schützen würde, lautete die allgemeine Antwort "Oh, das ist ein Problem, das die Anwendung lösen muss".

Für mich ist das größte Problem, auf das ich sowohl bei der vollständigen Festplattenverschlüsselung als auch bei der Verschlüsselung auf Datei- / Tabellenebene gestoßen bin, das häufige Fehlen jeglicher wirklicher Überlegungen zur Schlüsselverwaltung. Für mich scheinen die meisten Lösungen eine schwache Unterstützung für ein konsistentes und zuverlässiges Schlüsselmanagement zu bieten. Es gab viele Male, in denen ich ein System gesehen habe, in dem mir von der wunderbaren Verwendung der Verschlüsselung zum Schutz der Daten berichtet wurde, nur um festzustellen, dass die verwendeten Schlüssel schlecht geschützt sind - fast ein nachträglicher Gedanke. Schlimmer noch, aufgrund des Fehlens eines guten oder verstandenen Ansatzes stoßen Sie auf Rechenzentren, in denen derselbe Schlüssel an mehreren Orten oder auf mehreren Ebenen verwendet wird, damit die Administratoren sie effektiv verwalten und bei Bedarf wiederherstellen können.

Vielen Dank an alle für das Feedback. Zusammenfassend ist die Titelfrage, ob FDE für einen Server in einem sicheren Rechenzentrum sinnlos ist. Die Antwort ist nicht unbedingt, da es Szenarien geben könnte, in denen der zusätzliche Schutz der physischen Geräte gewünscht wird. Zum Beispiel Schutz während der Zerstörung, Schutz vor dem Gastland oder Schutz bei Festplattenausfall unter anderen Situationen.

Im Text wurde die Frage etwas von der im Titel angegebenen geändert. Das Problem in der Hauptfrage war, dass die Daten nicht durch physischen Zugriff auf den Server, sondern durch logischen Zugriff auf die Daten kompromittiert wurden. Basierend auf den Antworten scheint es, dass FDE diesen Schutz nicht bietet. Die Lösung ist für den Benutzer transparent, bei dem die Daten beim Booten auf dem Server entschlüsselt werden. Zu diesem Zeitpunkt ist man auf andere Steuerelemente wie Firewalls, gute Zugriffsverwaltung, starke Authentifizierung und Patches angewiesen.

Ich bevorzuge, dass zusätzlich zu den Steuerelementen für die Verschlüsselung auf Datei- oder Feldebene der Zugriff auf die Verschlüsselungsschlüssel eingeschränkt wird, um eine zusätzliche Sicherheitsebene bereitzustellen.

Eine Sache, die ich nicht erwähnt habe, ist, dass ich gehört habe, dass FDE auch Schutz vor bestimmten Arten von Malware bieten kann, die die Informationen möglicherweise programmgesteuert kopieren. Ich konnte diese Aussage jedoch nicht durch Recherchen bestätigen.

Hier sind zwei weitere Vorteile (vorausgesetzt, Sie verwenden bei jeder Neuinstallation neue Verschlüsselungsschlüssel):

• Wenn Sie Tools zur Dateiwiederherstellung ausführen, die das Vollblockgerät scannen, z. PhotoRec, Sie müssen nicht Tonnen alter Dateien überprüfen, die nicht mehr von Interesse sind.

• Wenn Sie Dateisystemreparatur-Tools ausführen, die das Vollblockgerät scannen, werden Sie nicht ausgeführt das Risiko, Strukturen und Metadaten eines alten Dateisystems mit dem aktuellen zu verwechseln.

JJ