Параметры шифрования для защиты виртуальных машин Windows и Linux
Предположим, что торговые партнеры вашей компании имеют политики безопасности, требующие защиты своих торговых данных с помощью строгого шифрования. Вы используете приложение B2B, которое работает на серверах Windows и сохраняет данные на диске данных сервера. Теперь при переходе в облако необходимо продемонстрировать своим торговым партнерам, что доступ к данным, хранящимся на виртуальных машинах Azure, нельзя получить неавторизованным пользователям или с помощью несанкционированных устройств и приложений. Необходимо выбрать стратегию реализации шифрования данных B2B.
В соответствии с требованиями аудита управление ключами шифрования должно осуществляться внутри компании, а не третьими сторонами. Вы также хотите убедиться, что производительность и управляемость серверов на основе Azure поддерживаются. Поэтому, прежде чем реализовать шифрование, необходимо убедиться, что производительность не снизится.
Что такое шифрование?
Шифрование — это преобразование полезной информации в данные, которые выглядят как бессмысленные, например как случайная последовательность букв и цифр. При шифровании в рамках алгоритма, который создает зашифрованные данные, используется определенная форма ключа. Ключ также необходим для расшифровки. Ключи могут быть симметричными, где один и тот же ключ используется для шифрования и расшифровки, или асимметричной, где используются разные ключи. например, как в парах из открытого и закрытого ключей, используемых в сертификатах безопасности.
Симметричное шифрование
Алгоритмы, использующие симметричные ключи, такие как Advanced Encryption Standard (AES), обычно быстрее, чем алгоритмы открытого ключа, и часто используются для защиты больших хранилищ данных. Так как имеется только один ключ, необходимо выполнять процедуры, чтобы он не стал общеизвестным.
Асимметричное шифрование
При использовании асимметричных алгоритмов необходимо обеспечить защиту и конфиденциальность только закрытого ключа из пары. Как следует из названия, доступ к закрытому ключу можно предоставить любому пользователю без ущерба для зашифрованных данных. Однако недостатком алгоритмов открытого ключа является то, что они гораздо медленнее симметричного алгоритма и не могут использоваться для шифрования больших объемов данных.
Управление ключами
В Azure корпорация Майкрософт или клиент могут управлять ключами шифрования. Часто спрос на управляемые клиентом ключи исходит от организаций, которые должны продемонстрировать соответствие HIPAA или другим нормативным требованиям. Такое соответствие может потребовать, чтобы доступ к ключам регистрировался и что регулярные изменения ключей вносятся и записываются.
Технологии шифрования дисков Azure
Ниже перечислены основные технологии защиты диска на основе шифрования для виртуальных машин Azure:
- Шифрование службы хранилища Azure (SSE)
- Шифрование дисков Azure
SSE выполняется на физических дисках в центре данных. При прямом доступе к физическому диску данные на нем будут зашифрованы. При правильном обращении к такому диску данные расшифровываются и загружаются в память.
Шифрование дисков Azure зашифровывает виртуальные жесткие диски (VHD) виртуальной машины. Если виртуальный жесткий диск защищен с помощью ADE, образ диска доступен только виртуальной машиной, владеющей диском.
Для защиты данных можно использовать обе службы.
Шифрование службы хранилища
SSE — это встроенная в Azure служба шифрования, используемая для проецирования неактивных данных. Платформа службы хранилища Azure автоматически шифрует данные перед их отправкой на хранение в нескольких службах хранилища, включая Управляемые диски Azure. Шифрование включается по умолчанию с использованием 256-разрядного шифрования AES. Шифрованием управляет администратор учетной записи хранения.
Служба SSE включена для всех новых и существующих учетных записей хранения и не может быть отключена. Данные защищены по умолчанию. Вам не нужно изменять код и приложения, чтобы воспользоваться преимуществами SSE.
SSE не влияет на производительность служб хранилища Azure.
Шифрование дисков Azure
Владелец виртуальной машины управляет ADE. Оно контролирует шифрование дисков, управляемых виртуальной машиной Windows и Linux, с помощью BitLocker на виртуальных машинах Windows и DM-Crypt на виртуальных машинах Linux. Шифрование диска BitLocker — это функция защиты данных, которая интегрируется с операционной системой и устраняет угрозы кражи или раскрытия данных от потерянных, украденных или неуместных компьютеров. Аналогичным образом DM-Crypt шифрует неактивные данные для Linux перед записью в хранилище.
ADE обеспечивает шифрование всех данных на дисках виртуальной машины при хранении в службе хранилища Azure. ADE требуется для виртуальных машин, резервные копии которых помещаются в хранилище служб восстановления.
При использовании ADE загрузка виртуальных машин выполняется в соответствии с ключами и политиками, которыми управляет клиент. ADE интегрирован с Azure Key Vault для управления этими ключами шифрования дисков и секретами.
Примечание.
ADE не поддерживает шифрование виртуальных машин уровня "Базовый", и вы не можете использовать локальную служба управления ключами (KMS) с ADE.
Когда следует использовать шифрование
Компьютерные данные находятся под угрозой во время передачи (передаются через Интернет или другую сеть) или когда неактивны (сохранены на устройство хранения). При защите данных на дисках виртуальной машины Azure особое внимание необходимо уделить сценарию с неактивными данными. Например, кто-то может скачать файл виртуального жесткого диска (VHD), связанный с виртуальной машиной Azure, и сохранить его на ноутбуке. Если виртуальный жесткий диск не зашифрован, доступ к его содержимому может получить любой пользователь, который может подключить файл виртуального жесткого диска на компьютере.
Для дисков операционной системы (ОС) такие данные, как пароли, шифруются автоматически, поэтому даже если сам виртуальный жесткий диск не зашифрован, доступ к этой информации не легко получить. Приложения также могут автоматически шифровать собственные данные. Однако даже с такой защитой, если кто-то с вредоносным намерением получает доступ к диску данных, и сам диск не был зашифрован, они могут использовать любые известные слабые места в защите данных этого приложения. При использовании шифрования дисков такие эксплойты не возможны.
SSE является частью самой Azure, и при использовании SSE не должно быть заметного влияния на производительность диска виртуальной машины. Управляемые диски с SSE теперь используются по умолчанию и причин менять этот параметр нет. ADE использует средства операционной системы виртуальной машины (BitLocker и DM-Crypt), поэтому сама виртуальная машина должна выполнять некоторые действия при шифровании или расшифровке на дисках виртуальных машин. Влияние дополнительной нагрузки на ЦП виртуальной машины обычно незначительное, за исключением некоторых ситуаций. Например, если у вас есть приложение с большим объемом ЦП, может возникнуть случай, когда диск ОС не зашифрован, чтобы повысить производительность. В этой ситуации можно хранить данные приложения на отдельном зашифрованном диске данных, что обеспечивает производительность, необходимую без ущерба для безопасности.
Azure предоставляет две взаимодополняющие технологии шифрования, используемые для защиты дисков виртуальной машины Azure. Эти технологии (SSE и ADE) шифруются на разных уровнях и служат различным целям. Они обе используют 256-битовое шифрование AES. Использование обеих технологий обеспечивает многоуровневую защиту от несанкционированного доступа к службе хранилища Azure и определенным жестким дискам.