Šifrování disku na stroji, který vám nepatří

Každý poskytovatel, který prodává soukromí, tvrdí, že disky jsou šifrované. Většinou je to pravda a většinou to odpovídá na otázku, kterou se nikdo neptal. U šifrování je třeba sledovat tři stavy dat a server tráví celý svůj provozní život právě v tom jediném, který úplné šifrování disku nepokrývá. Právě tam probíhá skutečná hranice, co leží na každé její straně a který ze dvou uspořádání prodávaných pod stejným tvrzením je ten, kde klíč držíte vy.

Tři stavy dat a ten, který nikdo nešifruje

O datech se hovoří jako o datech v jednom ze tří stavů, a dva z nich odvětví přesvědčivě vyřešilo. V klidu jsou data ležící na disku, který právě nikdo nečte: vyřešeno úplným šifrováním disku a nad ním vrstveným šifrováním databáze nebo objektového úložiště. Při přenosu jsou data překračující síť: vyřešeno pomocí TLS, a to natolik důkladně, že chybně vydaný certifikát je dnes zprávou. Při použití jsou data načtená do paměti běžícího procesu — a právě tam musí být každý bajt, který váš server odešle, byť jen na okamžik, aby vůbec mohl být odeslán.

Slovní spojení šifrování v klidu je přesné, a je přesné takovým způsobem, že se to snadno přehlédne. Popisuje stav vašich dat ve chvíli, kdy je stroj vypnutý. Server je ale stroj, jehož celou náplní práce je nebýt vypnutý. Po měsíce, které tráví v provozu, jsou jeho svazky otevřené, jeho databázové soubory čitelné pro každý proces běžící pod správným uživatelem, a šifrování nedělá nic jiného, než že čeká na výpadek napájení.

Druhá věc, kterou toto tvrzení skrývá, je čí je to vlastně klíč. Pod ním se prodávají dvě zcela odlišná uspořádání. Poskytovatel může šifrovat vrstvu úložiště klíči, které spravuje sám: to chrání jeho vlastní proces vyřazování disků z provozu a zmenšuje jeho expozici při úniku dat, a skutečně vás to chrání proti tomu, že disk fyzicky opustí budovu — jenže stranou, která drží klíč, je právě ta strana, na kterou jste se ptali. Nebo může být svazek zašifrovaný uvnitř vašeho vlastního stroje, klíčem, který neexistuje nikde jinde než ve vaší hlavě a v paměti běžícího jádra. Jen druhé uspořádání mění to, co může třetí strana skutečně získat, a jen to druhé má na mysli zbytek tohoto průvodce.

Nic z toho není argument proti šifrování disků. Je to argument pro to, abyste věděli, který z osmi scénářů níže máte pokrytý a který ne. Šifrování, které zastaví jednu skutečnou věc, se vyplatí mít; šifrování, o kterém si myslíte, že zastaví osm věcí, je horší než žádné, protože ta domněnka ukončuje diskusi.

Kde žije klíč, dokud stroj běží

Když odemknete svazek LUKS, heslo, které zadáte, není klíč sám o sobě. Rozbaluje hlavní klíč uložený v hlavičce svazku, a tento hlavní klíč se pak drží v paměti jádra, dokud se svazek nezavře nebo dokud stroj neztratí napájení. Prochází jím každé čtení i každý zápis. Neexistuje žádná konfigurace funkčního šifrovaného disku, ve které by klíč ležel někde jinde, zatímco je disk používaný — to není detail implementace, který by šlo opravit, je to samotný smysl toho, co znamená používat šifrovaný disk.

Na hardwaru, který vlastníte, leží tato paměť ve skříni v místnosti, kterou kontrolujete, a útok na ni je exotický: fyzická přítomnost a několik sekund reziduální stopy, kterou paměťové čipy udrží po odpojení napájení. Na virtuálním serveru se situace liší nikoli stupněm, ale povahou. Paměť vašeho jádra je oblastí paměti hosta. Hypervizor k ní má z definice přístup, protože právě tímto přístupem vám hypervizor tuto paměť vůbec přidělil. Čtou ji tři naprosto běžné operace:

• Živá migrace. Přesun běžícího virtuálního stroje mezi fyzickými hosty kopíruje jeho paměť za chodu. Je to funkce — takhle se host udržuje bez toho, aby vás bylo nutné restartovat — a váš hlavní klíč je součástí kopírovaných stránek.
• Snímek zahrnující paměť. Snímek pouze disku svazku, který jste si sami zašifrovali, obsahuje jen šifrovaný text a nic víc. Snímek, který umožní stroji pokračovat přesně tam, kde skončil, obsahuje i klíč, protože klíč je součástí toho, co ono „přesně tam, kde skončil“ znamená.
• Výpis paměti. Paměť vašeho hostovaného stroje leží uvnitř adresového prostoru procesu na hostu. Čtení paměti tohoto procesu je běžná ladicí operace a příslušné nástroje jsou součástí virtualizační sady, takže není třeba je nijak propašovat dovnitř.

Nic z toho netvrdí, že váš poskytovatel něco z toho dělá. Tvrdí to, že tyto úkony nevyžadují žádnou vaši spolupráci, nezanechávají žádnou stopu, kterou byste mohli vidět, a jsou k nerozeznání od běžné údržby platformy. To je jediná vlastnost, kterou má smysl zapsat do modelu hrozeb: ne co někdo dělá, ale co umí udělat, aniž byste na to přišli. Stejná úvaha o vrstvu dál vysvětluje, proč registr a proxy před vámi patří na stejný seznam jako host.

Problém restartu a zkratka, která ho maří

Šifrovaný kořenový svazek musí být odemčen dřív, než se systém při startu dostane natolik daleko, aby přijal SSH spojení. Na notebooku zadáte heslo přímo na klávesnici. U stroje vzdáleného dva tisíce kilometrů, v budově, do které jste nikdy nevkročili, nemáte v okamžiku, kdy je potřeba, žádnou klávesnici po ruce. Každá praktická odpověď na tohle je kompromis — a jedna ze čtyř možností níže není kompromisem vůbec, jen způsobem, jak kompromis pouze předstírat.

Čtyři způsoby odemčení šifrovaného kořenového svazku na vzdáleném stroji

Metoda	Restart bez obsluhy	Zastaví odcizený disk	Co vás to stojí
SSH do zaváděcího obrazu	Ne	Ano	Minimální SSH server uvnitř initramfs vám umožní se připojit a zadat heslo. Stroj zůstává nedostupný, dokud není nablízku a vzhůru člověk. Toto je poctivá varianta a její cena je skutečná: restart ve čtyři ráno znamená výpadek, dokud si ho někdo nevšimne.
Klíč vázaný na síť	Ano	Částečně	Stroj si při startu vyžádá odemykací klíč ze serveru, který provozujete jinde, a vy můžete odmítnout vydat klíč stroji, který se přesunul nebo který jste nerestartovali vy. Server s klíči musí zůstat v provozu a musí sídlit tam, kam stejný příkaz nedosáhne — jinak jste jen rozdělili klíč mezi dvoje dveře s jedním zámkem.
Soubor s klíčem v zaváděcím obrazu	Ano	Ne	Klíč leží v initramfs, initramfs leží na nešifrovaném zaváděcím oddílu a zaváděcí oddíl leží na disku, který jste chtěli chránit. Kdo si vezme disk, vezme si s ním i klíč. Toto uspořádání je běžné, nastartuje bez sebemenšího zádrhelu a nechrání vůbec před ničím.
Zapečetěný v TPM	Ano	Částečně	Na hardwaru, který vlastníte, skutečný bezpečnostní čip vydá klíč jen zaváděcímu řetězci, který nebyl pozměněn. Na virtuálním serveru je ale tento čip emulovaný samotným hostem, takže zapečetěním klíče do něj klíč předáváte přesně té straně, před kterou jste ho chtěli zapečetěním ukrýt.

Třetí řádek si zaslouží delší pohled. Je to místo, kam se dostanete, když byl požadavek napsán jako disky musí být šifrované a nikdo se neptal proč. Audit projde. Blokové zařízení je opravdu šifrované. Klíč cestuje na tom samém kusu železa, v souboru, který záchranný shell přečte za nějaké čtyři vteřiny.

Toto je také nejjasnější praktický rozdíl mezi pronajatým virtuálním strojem a strojem, který skutečně vlastníte. U dedikovaného hardwaru vám mimopásmové rozhraní pro správu dává konzoli, která přežije restart, takže se první řádek z výpadku mění na dvouminutové přerušení — a problém emulovaného čipu ze čtvrtého řádku mizí, protože čip je přiletovaný na desce, a ne napsaný v softwaru stranou, před kterou se bráníte.

Co vám úplné šifrování disku skutečně zajistí

Stejná otázka, položená osmi způsoby. Důležitý je poslední sloupec, protože v každém řádku, kde šifrování nepomáhá, pomáhá něco jiného — a pojmenovat toto něco je celá hodnota tohoto cvičení.

Osm scénářů a zda úplné šifrování disku mění výsledek

Scénář	Pomáhá šifrování	Co o tom skutečně rozhoduje
Disk je vyřazen, prodán dál nebo vrácen v rámci záruky	Ano	Nic jiného tohle nepokrývá. Disky opouštějí datová centra neustále, sanitizace je proces a procesy někdy selžou potichu. Přesně pro tento scénář bylo úplné šifrování disku vynalezeno, a proti němu funguje přesně tak, jak se slibuje.
Stroj je vypnutý a disk vyjmutý	Ano	Stejná ochrana se stejnou hranicí, a tou hranicí je slovo vypnutý. Stroj zabavený za chodu je stroj zabavený odemčený, s otevřenými svazky a klíčem přítomným v paměti.
Kopie zálohy leží někde jinde	Částečně	Šifrování zdrojového svazku pro kopii dat nedělá nic. Rozhoduje to, zda byla záloha zašifrovaná ještě předtím, než opustila stroj, klíčem, který není uložený na zálohovaném stroji.
Platforma pořídí snímek	Částečně	Snímek pouze disku svazku, který jste si sami zašifrovali, je jen šifrovaný text, k ničemu nikomu bez vašeho hesla. Snímek, který zachytí i stav paměti, zachytí s ním i klíč. Oběma se přitom říká snímek.
Někdo získá shell na běžícím stroji	Ne	Svazek je už otevřený a vetřelec čte soubory, ne bloky. O tomto řádku rozhoduje nasazování oprav, princip minimálních oprávnění a přihlašovací údaje, které se neopakují napříč službami — šifrování k němu nepřispívá ničím.
Provozovatel hosta, nebo kdokoli s jeho přístupy	Ne	Jedině šifrování, jehož klíč se do stroje vůbec nedostane. Jedinou výjimkou je hardwarové šifrování paměti, které je ale všude ve výchozím stavu vypnuté — tomu se věnuje další oddíl.
Poskytovateli je doručen příkaz	Částečně	Jurisdikce rozhoduje o tom, kdo se smí ptát a na základě čeho; šifrování rozhoduje o tom, co odpověď vůbec může obsahovat. Naše zveřejněné stanovisko je tvořeno dvěma samostatnými větami a obě jsou důležité: nedržíme klíče zákazníků a nemůžeme je vydat, a nešifrovaný svazek na virtuálním serveru přesto vyžaduje příkaz jmenující konkrétně tuto službu.
Musíte nahlásit únik dat	Částečně	Pokud jsou vaši uživatelé v EU, článek 32 GDPR jmenovitě uvádí šifrování mezi opatřeními, která se od vás očekávají, a článek 34 ruší povinnost oznámit únik dotčeným osobám — nikdy úřadu pro dozor — pokud byla data znepřístupněna tak, že jim nelze rozumět. Zda se to na váš případ vztahuje, závisí čistě na tom, kde byl klíč ve chvíli, kdy data unikla.

Nad diskem: co přežije nepřátelského hosta

Všechno doposud se týkalo vrstvy, která končí u blokového zařízení. Nad ní stojí tři věci, a dohromady jsou jedinou odpovědí na pátý, šestý a sedmý řádek té tabulky.

Šifrujte nad aplikací, ne pod ní

Šifrování na úrovni polí znamená, že aplikace zašifruje hodnotu dřív, než se dostane do databáze, a rozšifruje ji zpět až po jejím přečtení. Výpis z databáze pak dá šifrovaný text, ať už si ho vzal kdokoli a jakoukoli cestou. Stojí vás to schopnost vyhledávat nebo indexovat šifrované sloupce, a proto to patří jen na těch pár polí, která si to zaslouží — těla zpráv, nahrané dokumenty, tokeny třetích stran — ne na všechno. Konec této cesty je end-to-end: klíč patří uživateli, server nikdy nedrží prostý text a nepřátelský host nezíská nic, protože tam nic k získání není. To je jediná architektura na této stránce, které je opravdu jedno, kdo provozuje železo, a je to rozhodnutí produktové mnohem dřív, než je infrastrukturní.

Zálohy jsou samostatné rozhodnutí, ne důsledek

Nejběžnější cestou, kterou data opouštějí šifrovaný stroj, je záloha. Snímek nahraný do objektového úložiště, výpis databáze synchronizovaný k druhému poskytovateli, archiv stažený na pracovní stanici — žádný z nich nezdědí vůbec nic ze svazku, ze kterého pochází. Šifrujte ve chvíli, kdy se data zapisují do zálohy, klíčem uloženým tam, kam samotný stroj nedosáhne, aby kompromitovaný server nedokázal rozšifrovat vlastní historii. Pak jednu ze záloh obnovte na jiném stroji, dřív, než to budete skutečně potřebovat: šifrovaná záloha, kterou nedokážete otevřít, je nezvykle úhledný způsob, jak přijít o všechno najednou. Kopie v jiné zemi je zároveň kopií pod jinými pravidly, což je druhá jurisdikce, kterou jste si zvolili, aniž byste si toho všimli.

Šifrování paměti a proč ho pravděpodobně nemáte

Stav, který nešifruje nikdo, přesto má hardwarovou odpověď. Rozšíření pro důvěrné výpočty — SEV-SNP od AMD, TDX od Intelu — šifrují paměť a stav registrů hostovaného stroje klíčem drženým samostatným bezpečnostním procesorem, ne hypervizorem, takže host, který si vypíše paměť, dostane zpět jen šifrovaný text. Je to reálná a nasazená technologie. Je ale také úzce vymezená: SEV-SNP vyžaduje křemík EPYC třetí generace nebo novější, host na to musí být záměrně nastavený a hostovaný stroj musí prokázat (atestovat), že tuto ochranu skutečně dostal. Nabízí to téměř žádný univerzální virtuální server, a žádný ji nenabízí potichu. Předpokládejte, že ji nemáte, pokud vám poskytovatel písemně nepotvrdí opak a neřekne vám, jak si atestaci sami ověřit.

Nastavení, které je upřímné ohledně svých limitů

Nic z toho nekončí u nemá to cenu řešit. Končí to u konfigurace, jejíž limity dokážete nahlas vyslovit, aniž byste museli uhýbat pohledem.

1. Napište si jediný scénář, proti kterému se bráníte (5 min). Vyřazený disk, stroj zabavený za chodu, nepřátelský host, soudní příkaz, únik dat, který musíte nahlásit. Každý má jinou odpověď a nastavení mířené na všech pět spolehlivě nedosáhne ani jednoho z nich.
2. Umístěte šifrování tam, kde je váš klíč (rozhodnutí). Pokud klíč drží poskytovatel, koupili jste si ochranu proti disku, který opustí budovu, a nic nad rámec toho. Pokud chcete víc, svazek musí být odemčen zevnitř hostovaného stroje, vámi, něčím, co platforma nikdy neuvidí.
3. Šifrujte datový svazek, ne kořenový (nastavení). Šifrovaný kořenový svazek znamená, že na vás čeká každý restart. Samostatný šifrovaný svazek s adresářem databáze, nahranými soubory a tajnými klíči nechá stroj naběhnout samostatně, zatímco citlivá část zůstává uzavřená, dokud ji sami neotevřete. Tohle je kompromis, který by měla dělat většina malých platforem, a téměř nikdo si ho nezapisuje.
4. Nikdy nenechávejte soubor s klíčem na nešifrovaném zaváděcím oddílu (pravidlo). Pokud stroj startuje bez obsluhy, bez serveru s klíči a bez konzole, klíč je na disku; třetí možnost neexistuje. To je rozumný kompromis, pokud je odcizený disk opravdu celým vaším modelem hrozeb, a ve všech ostatních případech je to sebeklam.
5. Šifrujte zálohy přímo v okamžiku zápisu, klíčem uloženým jinde (nastavení). Pak jednu obnovte na jiném stroji, v den, kdy zrovna nic nehoří.
6. Vyjádřete jednou větou, co máte pokryté (5 min). Něco blízkého tomuto: útočník, který tento disk vytáhne ze stojanu, nezíská nic, a kdokoli s rootem na běžícím stroji nebo na jeho hostu získá všechno. Pokud je nepříjemné si tuto větu napsat, je to proto, že je pravdivá.

Dvě z těch šesti položek jsou rozhodnutí a čtyři jsou nastavení. Rozhodnutí zaberou odpoledne a nastavení hodinu, a ta hodina bez toho odpoledne nemá žádnou cenu. Když se to udělá v opačném pořadí, skončíte ve třetím řádku první tabulky, se strojem, který projde auditem a přitom vás nechrání před nikým.

Proti jakému scénáři se bráníte, je otázka modelování hrozeb dřív, než je otázkou šifrování, a jednohodinová verze tohoto cvičení vám větu z kroku šest vyprodukuje téměř jako vedlejší produkt. Pokud se ukáže, že odpovědí je spíš soudní příkaz než odcizený disk, vrstva, která o výsledku rozhoduje, vůbec neleží na vašem disku — je to otázka, čí právo dosáhne na vašeho poskytovatele, a jak si to ověřit dřív, než tomu uvěříte.

Napsali to inženýři, kteří platformu provozují, naposledy zkontrolováno dnes. Pokud je tu něco špatně nebo zastarale, napište nám to z panelu — právě odtamtud pochází asi polovina tohoto obsahu.