Levyn salaus vuokratulla koneella

Jokainen yksityisyyttä myyvä palveluntarjoaja sanoo levyjen olevan salattuja. Se pitää yleensä paikkansa, ja se yleensä vastaa kysymykseen, jota kukaan ei esittänyt. Salauksessa on kolme tilaa, joista kannattaa huolehtia, ja palvelin viettää koko työikänsä juuri siinä tilassa, jota koko levyn salaus ei kata. Tässä on, mihin raja todella asettuu, mitä kummallakin puolella sitä on, ja kumpi kahdesta samalla neljällä sanalla myydystä järjestelystä on se, jossa avain jää omiin käsiin.

Kolme tilaa, ja se, jota kukaan ei salaa

Datan sanotaan olevan yhdessä kolmesta tilasta, ja toimiala on ratkaissut kaksi niistä vakuuttavasti. Levossa tarkoittaa dataa, joka lepää levyllä, jota mikään ei parhaillaan lue: ratkaistu koko levyn salauksella sekä sen päälle kerrostetulla tietokanta- tai object-tallennuksen salauksella. Siirrossa tarkoittaa dataa, joka kulkee verkon yli: ratkaistu TLS-salauksella niin perusteellisesti, että virheellisesti myönnetty varmenne on nykyään uutinen. Käytössä tarkoittaa dataa, joka on ladattu käynnissä olevan prosessin muistiin — ja juuri siellä jokaisen palvelimen tarjoaman tavun on oltava, vaikka vain hetken, jotta se ylipäätään voidaan tarjoilla.

Ilmaisu levossa oleva salaus on täsmällinen, ja se on täsmällinen tavalla, joka on helppo lukea huomaamatta. Se kuvaa tilaa, jossa data on koneen ollessa sammuksissa. Palvelimen koko tehtävä on kuitenkin olla olematta sammuksissa. Niiden kuukausien ajan, jotka se viettää käynnissä, sen taltiot ovat auki, sen tietokantatiedostot ovat minkä tahansa oikealla käyttäjätunnuksella ajettavan prosessin luettavissa, eikä salaus tee mitään muuta kuin odottaa sähkökatkoa.

Toinen asia, jonka nuo neljä sanaa piilottavat, on kenen avain se on. Niiden alla myydään kahta täysin erilaista järjestelyä. Palveluntarjoaja voi salata tallennuskerroksen avaimilla, joita se itse hallinnoi: tämä suojaa palveluntarjoajan käytöstäpoistoprosessia ja pienentää sen omaa tietoturvaloukkausriskiä, ja se todella suojaa levyä vastaan, joka kävelee ulos rakennuksesta — mutta avaimen haltija on juuri se osapuoli, josta kysymys todella oli. Tai taltio voidaan salata oman koneen sisällä, avaimella, joka ei ole olemassa missään muualla kuin ylläpitäjän muistissa ja käynnissä olevan kernelin muistissa. Vain jälkimmäinen järjestely muuttaa sitä, mitä kolmas osapuoli pystyy saamaan haltuunsa, ja vain jälkimmäinen on se, mitä tämä opas jäljellä olevalta osaltaan tarkoittaa.

Mikään tästä ei ole argumentti levyjen salaamista vastaan. Se on argumentti sen puolesta, että tiedetään, minkä alla olevista kahdeksasta skenaariosta on katettu ja mitä ei. Salaus, joka pysäyttää yhden todellisen asian, on säilyttämisen arvoinen; salaus, jonka luullaan pysäyttävän kahdeksan, on pahempi kuin ei mitään, koska usko lopettaa keskustelun.

Missä avain on koneen ollessa käynnissä

Kun LUKS-taltio avataan, kirjoitettu salasana ei ole itse avain. Se avaa pääavaimen, joka on tallennettuna taltion otsikkoalueelle, ja tuota pääavainta pidetään sen jälkeen kernelin muistissa, kunnes taltio suljetaan tai kone menettää virran. Jokainen luku- ja kirjoitusoperaatio kulkee sen kautta. Yhtään toimivaa salattua levyä ei ole olemassa siten, että avain olisi jossain muualla levyn ollessa käytössä — tämä ei ole toteutusyksityiskohta, jonka joku voisi korjata, vaan se on juuri se, mitä salatun levyn käyttäminen tarkoittaa.

Omalla laitteistolla tuo muisti sijaitsee kotelossa, omassa hallinnassa olevassa huoneessa, ja sitä vastaan tehtävä hyökkäys on eksoottinen: fyysinen läsnäolo ja ne sekunnit jäännöstietoa, jotka muistipiirit säilyttävät virran katkeamisen jälkeen. Virtuaalipalvelimella tilanne eroaa laadullisesti, ei vain asteeltaan. Kernelin muisti on osa isäntäkoneen muistia. Hypervisori pystyy osoittamaan sen jo määritelmällisesti, koska juuri sen osoittaminen on tapa, jolla hypervisori antoi sen alun perin käyttöön. Kolme täysin tavanomaista toimenpidettä lukee sitä:

• Käynnissä olevan koneen siirto. Käynnissä olevan virtuaalikoneen siirtäminen fyysisten isäntäkoneiden välillä kopioi sen muistin sellaisenaan koneen käydessä. Tämä on ominaisuus — näin isäntäkone huolletaan ilman, että asiakkaan konetta joudutaan käynnistämään uudelleen — ja pääavain on niiden sivujen joukossa, jotka kopioidaan.
• Muistin sisältävä tilannevedos. Pelkkään levyyn kohdistuva tilannevedos itse salatusta taltiosta sisältää salatekstiä eikä mitään muuta. Tilannevedos, joka antaa koneen jatkaa täsmälleen siitä, mihin se jäi, sisältää myös avaimen, koska avain on osa sitä, mistä ”täsmälleen siihen kohtaan” koostuu.
• Muistivedos. Vierasjärjestelmän muisti elää isäntäkoneella toimivan prosessin osoiteavaruuden sisällä. Kyseisen prosessin muistin lukeminen on rutiininomainen vianetsintätoimenpide, ja työkalut tulevat suoraan virtualisointipinon mukana sen sijaan, että ne pitäisi salakuljettaa erikseen.

Mikään tästä ei väitä, että palveluntarjoaja tekisi mitään näistä. Se väittää, että nämä toimet eivät vaadi mitään yhteistyötä, eivät jätä jälkeä mihinkään näkyvään, eivätkä erotu tavallisesta alustan ylläpidosta. Se on ainoa ominaisuus, joka kannattaa kirjata uhkamalliin: ei se, mitä joku tekee, vaan se, mihin hän pystyy ilman että se paljastuu. Sama päättely yhtä kerrosta ulompana on syy, miksi rekisteri ja edessä oleva proxy kuuluvat samalle listalle kuin isäntäkone.

Uudelleenkäynnistysongelma, ja oikotie, joka mitätöi sen

Salattu juuritaltio on avattava, ennen kuin järjestelmä käynnistyy tarpeeksi pitkälle hyväksyäkseen SSH-yhteyden. Kannettavalla salasana kirjoitetaan näppäimistöltä. Koneella, joka on kahden tuhannen kilometrin päässä, rakennuksessa jossa kukaan ei ole koskaan käynyt, ei ole näppäimistöä tavoitettavissa juuri silloin, kun sitä tarvitaan. Jokainen käytännön vastaus tähän on kompromissi — ja yksi alla olevista neljästä ei ole kompromissi lainkaan, vaan tapa näyttää siltä, että sellainen olisi tehty.

Neljä tapaa avata salattu juuritaltio etäkoneella

Menetelmä	Toimii ilman valvontaa	Pysäyttää varastetun levyn	Mitä se maksaa
SSH käynnistyslevykuvaan	Ei	Kyllä	Minimaalinen SSH-palvelin initramfsin sisällä mahdollistaa yhteyden ja salasanan syöttämisen. Kone pysyy alhaalla, kunnes joku on hereillä ja tavoitettavissa. Tämä on rehellinen vaihtoehto, ja sen hinta on todellinen: kello neljältä aamuyöllä tapahtuva uudelleenkäynnistys on katkos, kunnes joku huomaa sen.
Verkkoon sidottu avain	Kyllä	Osittain	Kone hakee avaimensa käynnistyksen yhteydessä palvelimelta, jota ylläpidetään muualla, ja avaimen toimittamisesta koneelle, joka on siirtynyt tai jota ei ole käynnistetty itse uudelleen, voidaan kieltäytyä. Avainpalvelimen on pysyttävä käynnissä, ja sen on sijaittava paikassa, johon sama määräys ei ulotu — muuten avain on jaettu kahden oven taakse yhdellä lukolla.
Avaintiedosto käynnistyslevykuvassa	Kyllä	Ei	Avain sijaitsee initramfsissa, initramfs sijaitsee salaamattomalla käynnistysosiolla, ja käynnistysosio sijaitsee samalla levyllä, jota oli tarkoitus suojata. Se, joka vie levyn, vie mukana myös avaimen. Tämä järjestely on yleinen, se käynnistyy moitteettomasti, eikä se suojaa yhtään miltään.
Sidottu TPM-siruun	Kyllä	Osittain	Omalla laitteistolla aito suojaussiru vapauttaa avaimen vain käynnistysketjulle, jota ei ole muutettu. Virtuaalipalvelimella kyseinen siru on isäntäkoneen emuloima, joten avaimen sinetöiminen siihen luovuttaa avaimen juuri sille osapuolelle, jolta sitä yritettiin suojata.

Kolmas rivi ansaitsee pitkän tarkastelun. Siihen päädytään, kun vaatimus on kirjoitettu muotoon levyjen on oltava salattuja, eikä kukaan ole kysynyt, mitä varten. Auditointi menee läpi. Lohkolaite on todellakin salattu. Avain matkustaa mukana samalla metallipalalla, tiedostossa, jonka palautusshell lukee noin neljässä sekunnissa.

Tämä on myös selkein käytännön ero vuokratun virtuaalikoneen ja oman koneen välillä. Dedikoidulla laitteistolla out-of-band-hallintaliittymä tarjoaa konsolin, joka selviää uudelleenkäynnistyksestä, jolloin ensimmäisestä rivistä tulee katkoksen sijaan kahden minuutin keskeytys — ja neljännen rivin emuloitu siru -ongelma katoaa, koska siru on juotettu piirilevylle sen sijaan, että sen olisi kirjoittanut ohjelmistona juuri se osapuoli, jota vastaan puolustaudutaan.

Mitä koko levyn salaus todella ostaa

Sama kysymys esitettynä kahdeksalla eri tavalla. Merkityksellinen sarake on viimeinen, koska jokaisella rivillä, jolla salaus ei auta, jokin muu auttaa — ja juuri sen nimeäminen on koko harjoituksen arvo.

Kahdeksan skenaariota, ja muuttaako koko levyn salaus lopputulosta

Skenaario	Salaus auttaa	Mikä oikeasti ratkaisee
Levy poistetaan käytöstä, myydään eteenpäin tai palautetaan takuuseen	Kyllä	Mikään muu ei kata tätä. Levyjä poistuu konesaleista jatkuvasti, tyhjennys on prosessi, ja prosessit epäonnistuvat äänettömästi. Tätä skenaariota varten koko levyn salaus keksittiin, ja sitä vastaan se toimii juuri niin kuin luvataan.
Kone sammutetaan ja levy irrotetaan	Kyllä	Sama suoja ja sama raja, ja raja on juuri sana sammutettu. Käynnissä ollessaan viety kone on avattuna viety kone, jonka taltiot ovat auki ja avain paikallaan muistissa.
Varmuuskopio sijaitsee muualla	Osittain	Lähdetaltion salaus ei tee mitään datan kopiolle. Ratkaisevaa on, salattiinko varmuuskopio ennen kuin se lähti koneelta, avaimella, jota ei säilytetä varmuuskopioitavalla koneella.
Alusta ottaa tilannevedoksen	Osittain	Pelkkään levyyn kohdistuva tilannevedos itse salatusta taltiosta on salatekstiä ja hyödytöntä ilman salasanaa. Tilannevedos, joka tallentaa myös muistin tilan, tallentaa mukana myös avaimen. Molempia kutsutaan tilannevedoksiksi.
Joku saa shellin käynnissä olevalle koneelle	Ei	Taltio on jo auki, ja tunkeutuja lukee tiedostoja lohkojen sijaan. Tämän rivin ratkaisevat päivitykset, vähimpien oikeuksien periaate ja tunnukset, joita ei käytetä uudelleen eri palveluissa — salaus ei anna tähän mitään.
Isäntäkoneen operaattori tai kuka tahansa, jolla on sen pääsyoikeudet	Ei	Auttaa vain salaus, jonka avain ei koskaan tule koneelle lainkaan. Laitteistopohjainen muistin salaus on ainoa poikkeus, ja se on oletuksena pois päältä kaikkialla — käsitellään seuraavassa osiossa.
Palveluntarjoajalle esitetään määräys	Osittain	Lainkäyttöalue ratkaisee, kuka saa kysyä ja millä perusteella; salaus ratkaisee, mitä vastaus voisi sisältää. Julkaistu kantamme on kaksi erillistä lausetta, ja molemmat merkitsevät: emme hallitse asiakkaiden avaimia emmekä voi luovuttaa niitä, ja salaamaton taltio virtuaalipalvelimella vaatii silti kyseistä palvelua nimeävän määräyksen.
Tietoturvaloukkauksesta on ilmoitettava	Osittain	Jos palvelun käyttäjät ovat EU-alueella, GDPR-asetuksen 32 artikla mainitsee salauksen nimenomaisesti odotettujen toimenpiteiden joukossa, ja 34 artikla poistaa velvollisuuden ilmoittaa rekisteröidyille — ei koskaan valvontaviranomaiselle — kun data on tehty tunnistamattomaksi. Se, päteekö tämä, riippuu kokonaan siitä, missä avain oli, kun data lähti.

Levyn yläpuolella: mikä selviää vihamielisestä isäntäkoneesta

Kaikki tähän mennessä käsitelty koskee kerrosta, joka päättyy lohkolaitteeseen. Sen yläpuolella on kolme asiaa, ja yhdessä ne ovat ainoat vastaukset taulukon viidenteen, kuudenteen ja seitsemänteen riviin.

Salaus sovelluksen yläpuolella, ei sen alla

Kenttäkohtainen salaus tarkoittaa, että sovellus salaa arvon ennen kuin se saapuu tietokantaan ja purkaa salauksen vasta luettaessa sitä takaisin. Tietokannan dumppi tuottaa salatekstiä riippumatta siitä, kuka dumpin otti ja mitä reittiä. Se maksaa kykynä hakea tai indeksoida salattuja sarakkeita, minkä vuoksi se kuuluu vain harvoille sen ansaitseville kentille — viestien sisällöt, ladatut tiedostot, kolmansien osapuolten tokenit — ei kaikkeen. Tien pää on päästä päähän -salaus: avain kuuluu käyttäjälle, palvelin ei koskaan pidä hallussaan selvätekstiä, eikä vihamielinen isäntäkone saa mitään, koska siellä ei ole mitään saatavaa. Se on ainoa tällä sivulla esitelty arkkitehtuuri, joka on aidosti välinpitämätön sen suhteen, kuka pyörittää rautaa, ja se on tuotepäätös kauan ennen kuin se on infrastruktuuripäätös.

Varmuuskopiointi on oma päätöksensä, ei seuraus

Yleisin tapa, jolla data poistuu salatulta koneelta, on varmuuskopio. Object-tallennustilaan viety tilannevedos, toiselle palveluntarjoajalle synkronoitu tietokantadumppi, työasemalle ladattu arkisto — mikään niistä ei peri mitään siltä taltiolta, josta se on peräisin. Data salataan sillä hetkellä, kun se kirjoitetaan varmuuskopioon, avaimella, jota kone itse ei voi tavoittaa, jotta vaarantunut palvelin ei pysty purkamaan omaa historiaansa. Yksi varmuuskopio palautetaan sitten eri koneelle ennen kuin sitä oikeasti tarvitaan: varmuuskopio, jota ei pystytä avaamaan, on poikkeuksellisen siisti tapa menettää kaikki kerralla. Kopio toisessa maassa on myös kopio toisten sääntöjen alaisena, eli toinen lainkäyttöalue, joka on valittu huomaamatta.

Muistin salaus, ja miksi sitä tuskin on käytössä

Tilalla, jota kukaan ei salaa, on kuitenkin laitteistopohjainen vastaus. Luottamuksellisen laskennan laajennukset — SEV-SNP (AMD) ja TDX (Intel) — salaavat vierasjärjestelmän muistin ja rekisteritilan avaimella, joka on erillisen suojausprosessorin eikä hypervisorin hallussa, joten isäntäkone, joka dumppaa muistin, saa takaisin vain salatekstiä. Se on todellinen ja jo käytössä. Se on myös kapea-alainen: SEV-SNP edellyttää kolmannen sukupolven EPYC-prosessoria tai uudempaa, isäntäkone on konfiguroitava sitä varten tarkoituksella, ja vierasjärjestelmän on todistettava saaneensa sen käyttöön. Lähes mikään yleiskäyttöinen virtuaalipalvelin ei tarjoa sitä, eikä yksikään tarjoa sitä huomaamatta. On syytä olettaa, ettei sitä ole käytössä, ellei palveluntarjoaja ilmoita kirjallisesti asiasta ja osaa kertoa, miten attestoinnin voi itse varmistaa.

Kokoonpano, joka on rehellinen omista rajoistaan

Mikään tästä ei pääty siihen, että ei kannata vaivautua. Se päättyy kokoonpanoon, jonka rajat pystyy sanomaan ääneen värähtämättä.

1. Kirjataan ylös se yksi skenaario, jota vastaan puolustaudutaan (5 min). Käytöstä poistettu levy, käynnissä takavarikoitu kone, vihamielinen isäntäkone, tuomioistuimen määräys, ilmoitettava tietoturvaloukkaus. Niillä on eri vastaukset, ja kaikkiin viiteen tähtäävä kokoonpano ei luotettavasti saavuta yhtäkään niistä.
2. Sijoitetaan salaus sinne, missä avain on (päätös). Jos palveluntarjoaja hallitsee avainta, on ostettu suoja vain levyn poistumista rakennuksesta vastaan, ei mitään sen yli. Jos halutaan enemmän, taltio on avattava vierasjärjestelmän sisältä, jollain, mitä alusta ei koskaan näe.
3. Salataan datataltio juuritaltion sijaan (kokoonpano). Salattu juuritaltio tarkoittaa, että jokainen uudelleenkäynnistys odottaa. Erillinen salattu taltio, joka pitää sisällään tietokantahakemiston, lataukset ja salaisuudet, antaa koneen palata itsestään, kun taas arkaluonteinen osa pysyy suljettuna, kunnes se avataan. Tämä on kompromissi, johon useimpien pienten alustojen pitäisi päätyä, eikä sitä juuri kukaan kirjaa ylös.
4. Avaintiedostoa ei koskaan jätetä salaamattomalle käynnistysosiolle (sääntö). Jos kone käynnistyy valvomatta ilman avainpalvelinta ja ilman konsolia, avain on levyllä; kolmatta vaihtoehtoa ei ole. Se on hyvä kauppa silloin, kun varastettu levy on aidosti koko uhkamalli, ja itsepetosta kaikissa muissa tapauksissa.
5. Varmuuskopiot salataan kirjoitushetkellä, avaimella, jota säilytetään muualla (kokoonpano). Yksi varmuuskopio palautetaan sitten eri koneelle päivänä, jolloin mikään ei ole tulessa.
6. Sanotaan yhdellä lauseella, mitä on katettu (5 min). Jotain lähellä tätä: hyökkääjä, joka vetää levyn ulos telineestä, ei saa mitään, ja kuka tahansa, jolla on root-oikeudet käynnissä olevalla koneella tai sen isäntäkoneella, saa kaiken. Jos tuota lausetta on epämukava kirjoittaa, se johtuu siitä, että se on totta.

Kahdesta niistä kuudesta on kyse päätöksestä ja neljästä kokoonpanosta. Päätökset vievät iltapäivän ja kokoonpano tunnin, eikä tunti ole minkään arvoinen ilman iltapäivää. Järjestyksen kääntäminen toisin päin on juuri se tapa, jolla päädytään ensimmäisen taulukon kolmanteen riviin: auditoinnin läpäisevään koneeseen, joka ei suojaa keneltäkään.

Se, mitä skenaariota vastaan puolustaudutaan, on uhkamallinnuskysymys ennen kuin se on salauskysymys, ja tunnin mittainen versio tuosta harjoituksesta tuottaa vaiheen kuusi lauseen lähes sivutuotteena. Jos vastaus osoittautuukin tuomioistuimen määräykseksi levyn sijaan, ratkaiseva kerros ei ole levyllä lainkaan — se on kysymys siitä, minkä maan laki ulottuu palveluntarjoajaan, ja miten sen voi tarkistaa ennen kuin siihen luotetaan.

Kirjoittanut alustaa ylläpitävät insinöörit, luettu uudelleen tänään. Jos jokin tässä on väärin tai vanhentunut, siitä voi kertoa paneelista — sieltä on peräisin noin puolet näistä.