Wie funktionieren Verschlüsselungmechanismen und was ist dabei zu beachten?
Autor/Redakteur: Bertram Dorn, Principal Solutions Architect Security and Compliance bei Amazon Web Services/gg
Die Verschlüsselung ist eine der wichtigsten Komponenten in der IT-Sicherheit. Sie wandelt direkt lesbare Daten in chiffrierte Daten um. So kann zum Beispiel aus dem Text „Hallo Welt“ die Chiffre „1c28df2b595b4e30b7b07500963dc7c“ werden. Dabei existieren verschiedene Verschlüsselungsalgorithmen mit unterschiedlichen Typen von Schlüsseln. Bei einer modernen Verschlüsselungsmethode sollte der ursprüngliche Inhalt auch bei hoher Rechenleistung nicht dechiffrierbar sein – zumindest nicht innerhalb einer realistischen Zeit. Mit dem richtigen Schlüssel hingegen können chiffrierte Daten wieder direkt lesbar gemacht werden. Dabei ist es allerdings auch von entscheidender Bedeutung, wie die Schlüssel verwaltet werden und wie sie geschützt sind.
Maßnahmen, um die Unternehmens-IT abzusichern, etwa ein Schutz der Parameter vor unbefugtem Zugriff, können unbekannte Schwachpunkte oder Lücken aufweisen, die es Dritten dennoch ermöglichen, die Daten einzusehen. Wenn diese allerdings adäquat verschlüsselt sind, kann der Angreifer sie ohne Schlüssel nicht in absehbarer Zeit dechiffrieren. Für eine besonders starke Verschlüsselung sorgt etwa der Advanced Encryption Standard (AES) mit 256-Bit-Schlüsseln, den Amazon Web Services (AWS) bei seinem Simple Storage Service mit serverseitiger Verschlüsselung (S3) verwendet. AES256 beruht auf dem Rijndael-Algorithmus für blockweise Verschlüsselung, der von vielen Parteien geprüft worden und in Industrie und Regierungen allgemein anerkannt ist. Die aktuell kommerziell erhältliche IT-Technologie bräuchte statistisch mindestens eine Milliarde Jahre, um den Klartext einer damit verschlüsselten Nachricht zu ermitteln. Auch die derzeit bekannten und verfügbaren Quantencomputer würden hierzu nicht wesentlich weniger Zeit beanspruchen. Selbst Zugriffsrichtlinien, die nicht strikt genug definiert wurden, sind nicht weiter problematisch, wenn eine starke Verschlüsselung sowie eine ausgefeilte Schlüsselverwaltung vorhanden sind und der Zugriff auf die Schlüssel beziehungsweise auf die Rohdaten geschützt ist.
Voraussetzungen für eine optimale Verschlüsselung
Um eine Verschlüsselung möglichst effizient und sicher zu gestalten, müssen vier Voraussetzungen erfüllt sein. Zunächst ist auf den Schutz der Schlüssel im Ruhezustand zu achten, damit niemand unbefugt darauf zugreifen kann. Außerdem ist es unabdingbar, dass die Verschlüsselungsalgorithmen korrekt implementiert sind – eine Dechiffrierung ohne Schlüssel darf nicht möglich sein. Darüber hinaus muss der Zugriff auf die chiffrierten Daten selbst geschützt sein. Als vierte Voraussetzung gilt die Unabhängigkeit der Schlüsselverwaltung: Der Zugriff auf die zu verschlüsselnden Daten sollte getrennt von der Verschlüsselungsberechtigung erfolgen.
Die Lösungen von Drittanbietern, die diese Anforderungen erfüllen, sind allerdings meist zu teuer, um sie im großen Maßstab einzusetzen. AWS hat daher eine Reihe von Optionen für eine einfache Verschlüsselung und Schlüsselverwaltung im Portfolio.
Schlüssel im Ruhezustand schützen
Wer eine Schlüsselverwaltung eines Drittanbieters nutzt, sollte sich stets bewusst sein, dass Klartextschlüssel ein Ablaufdatum haben können und sich auch außerhalb der Lösung verwenden lassen. Nicht immer lässt sich überprüfen, ob die Speichermedien, auf denen Schlüssel verwahrt werden, gegen unbefugten Zugriff gesichert sind. Um den Schutz zu erhöhen, sollte daher ein qualifiziertes Hardware-Sicherheitsmodul (HSM) verwendet werden. Darin sind mehrere Sicherheitskontrollen integriert, die die Nutzung von Schlüsseln außerhalb des Systems verhindern.
Ein modernes HSM verfügt über Sensoren, die unbefugte physische und logische Versuche, auf Klartextschlüssel zuzugreifen, erkennen. Der entsprechende Schlüssel wird dann automatisch zerstört. AWS bietet derzeit zwei Dienste an, die den Einsatz von HSMs ermöglichen: Der AWS Key Management Service (KMS) verwaltet Schlüsselmaterial im Namen des Kunden und nutzt dabei auch HSMs im Backend. AWS CloudHSMv2 erlaubt es Unternehmen, ihnen zugeordnete Crypto Partitionen auf HSMs zu verwalten. Beide Services können sowohl Schlüssel im Kundennamen erstellen als auch bedingt solche einsetzen, die der Kunde aus eigenen lokalen Systemen importiert hat. Mit beiden Diensten lassen sich Daten direkt verschlüsseln sowie Schlüssel sichern, die eine Chiffrierung innerhalb von Anwendungen durchführen. Die Envelope-Verschlüsselung chiffriert die Daten, ohne dass sie vorher an ein HSM übermittelt werden müssen – ein Vorteil, wenn es um die Sicherung großer Datensätze geht. Der Datenschlüssel wird dabei erst dann von der Anwendung authentisiert angefordert und übertragen, wenn er benötigt wird. Im AWS-KMS wird der Datenschlüssel von den Master Keys im HSM verschlüsselt, damit die Applikation ihn mitsamt der verschlüsselten Informationen speichert. Sind die Daten chiffriert, kann die Klartextkopie des Schlüssels gelöscht werden. Um den Schutz wieder aufzuheben, muss der Datenschlüssel erneut durch das KMS und das dahinter stehende HSM entschlüsselt werden.
