Klíč k rozšifrování bezpečnosti

Během několika posledních měsíců jsme mohli zaznamenat hned několik případů souvisejících se špatnou správou zá...


Během několika posledních měsíců jsme mohli zaznamenat hned několik případů
souvisejících se špatnou správou zákaznických dat ve firmách. Zálohovací pásky,
které se ztratily v institucích jako Bank of America, Citibank, Ameritrade
Holding či Time Warner, obsahovaly osobní data milionů klientů. Podobný typ
popularity si asi nepřeje nikdo.


Ztratit zálohovací pásky by pro naši organizaci bylo nanejvýš škodlivé," říká
Daniel Chow, systémový a bezpečnostní administrátor společnosti Boeing
Employees Credit Union (BECU), největší úvěrové instituce ve státě Washington.
"Tou poslední věcí, kterou chcete, je, aby bylo vaše jméno uvedeno na přední
straně novin v souvislosti s ohrožením zákaznických dat." Aby se minimalizovala
pravděpodobnost, že budou data vydána napospas, kdyby došlo ke ztrátě pásek,
zavedla BECU šifrovací technologii od společnosti Decru (tu nedávno získala
firma Network Appliance).
Logika, která stojí za tímto krokem, je docela přímočará. Zkušenost ukazuje, že
pokusy zabránit ztrátě dat nakonec selhávají. Je tedy chytré se pojistit a
zabezpečit, aby data byla šifrována, takže pokud se dostanou do špatných rukou,
nebude je možné přečíst.

Kde šifrovat?
Kde by však mělo být šifrování provedeno? Může být uskutečněno v rámci
aplikace, v databázi nebo na úrovni souborového systému prostřednictvím
softwarového šifrování. Nicméně šifrování založené na softwaru, jestliže je
prováděno nekorektně, může zvýšit břemeno režie. Alternativu pro programová
řešení představují hardwarová zařízení, která stačí zapojit a fungují. Dokonce
se na trhu objevují i pevné disky, jež šifrují data v době, kdy jsou na disk
zapisována. Většina firemních uživatelů ale, jak se zdá, preferuje přístup
využívající samostatná zařízení, a to kvůli výhodám z hlediska pohodlí i výkonu
a také proto, že jde o jednoduchý plug-and-play způsob, jak vyhovět
regulatorním požadavkům.
"Bezpečnosti úložných systémů se konečně dostává pozornosti, ale stále ne
dostatečné," myslí si Steve Duplessie, analytik společnosti Enterprise Strategy
Group. "Problémy týkající se ochrany soukromí nakonec povedou k nařízení, aby
všechna data byla šifrována a to způsobí velké problémy celému IT sektoru."
Oblasti uchovávání informací a bezpečnosti od sebe bývaly odděleny na míle
daleko. Pracovníci zodpovědní za storage spokojeně nechávali své kolegy z
bezpečnostního oddělení, aby se starali o firewally, detekci narušení a virů či
dalších externích hrozeb. Je však těžké ignorovat titulky v novinách. A tak se
odvětví úložných systémů probudilo ke své velké firemní zodpovědnosti a
bezpečnost uložených dat už konečně není "problémem někoho jiného".
Zatím se toto uvědomění sice promítlo do článků v odborných časopisech či do
setkávání na specializovaných konferencích, nikoliv však do nezbytných
rozpočtových opatření. Adopce a zavedení technologií a procedur pro zabezpečení
úložných zdrojů zůstává dosud na velmi nízké úrovni. Společnost Enterprise
Strategy Group odhaduje, že celý trh bezpečnosti pro systémy storage dosáhl v
roce 2004 celkové hodnoty 50 milionů dolarů. Očekává se ovšem, že za loňský rok
by se mohl zdvojnásobit a v několika následujících letech bude jednou z oblastí
vykazující značný vzestup. Přijetí a zavádění technologií pro šifrování pohání
dnes zvláště trh zálohování.
Společnost BECU provádí každou noc ve svém sídle v Tukwile zálohování svých dat
a totéž činí i ve svém call centru v Kentu. Pro tyto operace přitom využívá
software Legato Networker od společnosti EMC. Jedná se o 6 TB dat z produktů
řady SAN (Storage Area Network) umístěných v síti BECU. Tato zařízení se
skládají převážně z hardwaru od firmy Hewlett-Packard a z přepínačů společnosti
Brocade Communications Systems. Informace jsou ze SAN posílány do páskové
knihovny HP ESL9000, přičemž každé ráno jsou příslušné pásky přepravovány mimo
tyto lokality prostřednictvím služeb třetí strany, společnosti Iron Mountain,
která byla mimochodem zapletena i v některých z uvedených incidentů se
ztracenými páskami. Už tento převoz po veřejné cestě vzbuzuje u některých
bezpečnostních expertů značné pochybnosti.

Nechráněné pásky
"Jestliže své zálohovací pásky posíláte UPS kamionem, prosím, skončete s tím,"
říká W. Curtis Preston, viceprezident služeb pro ochranu dat ve společnosti
GlassHouse Technologies, což je firma poskytující konzultace a služby týkající
se ukládání dat. "A pokud opravdu musíte převážet pásky mimo sídlo firmy,
ujistěte se, že jsou zašifrované."
BECU používá zařízení Decru DataFort k tomu, aby šifrovala veškerá zálohovací
data ještě před tím, než budou přemístěna jinam. "Nemůžete slepě věřit třetí
straně, neboť nikdy doopravdy nevíte, co s vašimi páskami ve skutečnosti
dělají," říká Chow. "Vzali jsme tedy zodpovědnost za zajištění toho, že jsou
naše data v bezpečí, sami na sebe."
BECU proto koupila šest zařízení, z nichž každé stálo přibližně 25 tisíc
dolarů. Každá ze dvou sítí SAN v sídle společnosti používá kvůli redundanci dvě
zařízení, zmiňované call centrum v Kentu má jedno, přičemž další box používá i
centrum pro obnovu po havárii ve Spokane. Nezbytný je také server pro
management licenčních klíčů, který spravuje šifrovací klíče pro všechna
zařízení. Chow uvádí, že nakonec dal přednost hardwarovému šifrování, protože
se chtěl vyhnout jakémukoliv dopadu na výkon. "S těmito zařízeními jsme
nezaznamenali v podstatě žádnou režii," říká Chow.
Klidnější spánek má prý také proto, že se systém osvědčil už během auditů a
testů. Někdo například vzal pásku a pokusil se extrahovat soubor, avšak
výstupem byla jen nesrozumitelná směs znaků. Oddělení auditu pak vyzvalo IT,
aby dokázalo, že je schopno data rychle dešifrovat. "Testovací obnovení
proběhlo k plné spokojenosti," chlubí se Chow.

Kódy pro všechno
Zatímco většina organizací, které se rozhodnou pro zavedení šifrování, začne
možná u operací spojených se zálohováním, některé firmy, jako třeba
Payformance, se rozhodly šifrovat úplně všechno. Společnost Payformance nabízí
software, který organizacím umožňuje tisknout laserové šeky, finanční výkazy,
faktury a další dokumenty s využitím vlastních zdrojů.
"Našim klientům z oblasti finančních služeb a zdravotnictví velmi záleží na
bezpečnosti a soukromí dat vztahujících se k platbám," říká George Betancourt,
bezpečnostní šéf Payformance. "Osobní zdravotní informace musejí být naprosto
pod kontrolou."

Minimální zatížení
Betancourt testoval šifrování na úrovni souborového systému vestavěném v
operačním systému Microsoft Windows Server 2003, nebyl však s výkonem
softwarové podoby kódování spokojen. Uvádí, že zpoždění kvůli šifrování,
dokonce i kdyby bylo jen malé, by znamenalo, že by zákazníci byli nuceni na
dokumenty čekat.
Firma se nakonec rozhodla použít zařízení CryptoStor od společnosti NeoScale
Systems. Dva boxy v režimu fail-over jsou zapojeny přímo do struktury tamní
firemní SAN, obsahující prostor pro 2 TB dat a využívající disková pole EMC
CX500, páskové mechaniky Dell a optické přepínače společnosti McData.
"Provedli jsme testy SAN před a po nasazení těchto systémů a nezaznamenali jsme
žádný dopad na výkon," říká Betancourt. "Zdálo se tedy, že nejjednodušší je
šifrovat všechno."
Payformance ale používá další zařízení CryptoStor ještě pro šifrování dat na
páskách. Software Veritas Backup Exec 10 společnosti Symantec posílá data přes
uvedené zařízení do páskové knihovny Dell PowerVault 132T, přičemž tyto pásky
jsou pro účely skladování přemístěny mimo sídlo firmy. Proč v architektuře
páskového zálohování není nezbytné aplikovat režim fail-over?
"Pokud dojde k selhání zařízení, jsme připraveni na krátkou dobu, potřebnou pro
jeho opravu, zálohování zastavit," vysvětluje Betancourt. "U SAN je to něco
jiného. Tady si jakýkoliv prostoj dovolit nemůžeme."

Softwarový hybrid
Přední výrobci systémů pro šifrování úložných systémů Decru, NeoScale, Kasten
Chase Applied Research a Vormetric nabízejí produkty v podobě hardwarových
zařízení. Nicméně nástroj Vormetric se od ostatních přece jen liší, neboť
provádí softwarové šifrování a hardware se stará o správu příslušných klíčů.
Firma Havok, která vyvíjí middleware pro počítačové hry, využívá Vormetric
CoreGuard Security System ve svých pobočkách v Dublinu a San Franciscu.
"Hacknutí hry Half-Life 2 nás přinutilo udržovat zvýšenou pozornost, neboť v
této hře je i náš kód," říká Alistair Duff, ředitel IT ve společnosti Havok.
Havok si vybírá, která data střežit. Chrání pouze herní kód a další kritická
data, umístěná na několika serverech a desktopech. Data mohou být šifrována ve
statickém režimu a při přenosu. Jestliže jste, když přistupujete k souboru, u
PC, je tento dokument dešifrován v době, kdy prochází sítí, a na vašem stroji
se jeví už jako nekódovaný text samozřejmě za předpokladu, že máte požadovanou
úroveň autorizačních práv.
Přístup může být omezen podle aplikace, uživatele a hostitele. Software je
implementován na každý chráněný stroj, přičemž každá pobočka má své vlastní
zařízení. Systém Duffovi poskytuje i dodatečnou vrstvu ochrany proti hrozbám
představovaným viry. "Když se k nám dostane nějaký trojský červ, nebude
nainstalován a spuštěn, neboť není na našich PC oprávněn běžet," říká.

Ekonomika i předpisy
Finanční stránka je možná tím hlavním důvodem, proč se šifrování dosud skutečně
neuchytilo ve větší míře. Při cenách více než 20 000 dolarů za jeden box nebo
až 2 000 dolarů za licenci pro softwarové šifrování nepřijde tato forma ochrany
dat právě nejlevněji. Ale uvědomujeme si, kolik stojí náprava škody způsobené
únikem či odkrytím zákaznických dat?
"Firmy jako Iron Mountain a Bank of America utrpěly kvůli nedávným událostem
značnou ztrátu důvěryhodnosti," říká Chow z BECU. "Rovnice návratnosti investic
je jednoduchá jakou hodnotu má dobrá pověst organizace?"
Navzdory vysokým nákladům bude možná šifrování brzy nevyhnutné. Některé státy
(jako třeba Kalifornie) už schválily zákony, které obsahují značně vysoké
sankce pro ty firmy, které data nešifrují. Ačkoliv tyto zákony obvykle
nepožadují přímo šifrování, v některých státech je například po firmách
vyžadováno, aby veškerá narušení bezpečnosti přiznaly a oznámily médiím i všem
potenciálně postiženým zákazníkům to se rovná v oblasti public relations
doslova katastrofě.
"Kdyby byly pásky společnosti Bank of America zašifrovány, nemusela by se
krádež vůbec oznámit," říká Jon Oltsik z Enterprise Strategy Group. "Přišel čas
přestat mluvit o bezpečnosti a začít věnovat prostředky z rozpočtu na řešení
tohoto obchodního rizika."



Šifrovací odlišnosti
Šifrování může být prováděno na několika vrstvách. Může být vykonáváno pomocí k
tomu určených zařízení, dále v síti (prostřednictvím virtuálních privátních
sítí, VPN), v rámci určitých aplikací, v databázi nebo na úrovni souborového
systému. Ve světě ukládání dat si získaly oblibu i přístupy založené na
specializovaných zařízeních.
"Šifrovací zařízení jsou od základu stavěna pro to, aby vykonávala bezpečnostní
funkci, a jsou certifikována k tomu, aby vyhovovala příslušným legislatiovním
standardům," říká Jon Oltsik, analytik zabývající se bezpečností úložných
systémů ve společnosti Enterprise Strategy Group. "Většina z nich pracuje jako
bezpečnostní brána typu BITW (Bump In The Wire). Přestože jsou si všechna
celkem podobná, najdou se mezi nimi drobné rozdíly."
Podle Oltsika se například v případě produktů společností Decru a NeoScale
jedná o in-line zařízení, která jsou umístěna mezi host bus adaptérem (HBA) a
storage přepínačem. Naproti tomu nástroj společnosti Kasten Chase je něco jako
in-line šifrovací HBA, zatímco Vormetric nabízí metodu založenou ve větší míře
na softwaru, jenž provádí šifrování na úrovni souborového systému. Hardwarové
zařízení Vormetric pak slouží pro centralizovanou správu systému a jeho klíčů.
Který z nich je nejlepší? Žádný výrobce nešetří chválou, aby vyzdvihnul výhody
svého systému. Navštivte jejich weby, kde najdete spoustu tabulek a specifikací
pro porovnání jejich funkcí. Nicméně jedinou skutečně vypovídající cestou, jak
určit, co bude v daném specifickém prostředí fungovat nejlépe, jsou
demonstrační aplikace pravděpodobných kandidátů. "Každá metoda má totiž své
silné i slabé stránky," uzavírá Oltsik.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.