הצפנת דיסק במכונה שכורה

כל אחסון שמוכר פרטיות טוען שהדיסקים שלו מוצפנים. זה נכון ברוב המקרים, ובדרך כלל זו תשובה לשאלה שאיש לא שאל. להצפנה יש שלושה מצבים שיש להיזהר מהם, ושרת מבלה את כל חייו הפעילים באחד מהם שאותו הצפנת דיסק מלאה אינה מכסה. זהו המקום שבו הגבול באמת עובר, מה נמצא בכל צד שלו, ואיזו משתי הצורות הנמכרות תחת אותן ארבע מילים היא זו שבה המפתח נמצא בידי הלקוח.

שלושה מצבים, וזה שאף אחד לא מצפין

נהוג לתאר נתונים כנמצאים באחד משלושה מצבים, והתעשייה פתרה באופן משכנע שניים מהם. במנוחה הם נתונים המונחים על דיסק שדבר אינו קורא כרגע: פתור באמצעות הצפנת דיסק מלאה, ובאמצעות הצפנת מסד נתונים או אחסון עצמים המונחת מעליה. בתנועה הם נתונים החוצים רשת: פתור באמצעות TLS, ביסודיות כזו שתעודה שהונפקה בטעות היא כיום ידיעה חדשותית. בשימוש הם נתונים הטעונים בזיכרון של תהליך פעיל — וזה בדיוק המצב שבו חייב להימצא כל בית בשרת בזמן שהוא מוגש, ולו לרגע קצר, כדי שניתן יהיה להגיש אותו כלל.

הביטוי הצפנה במנוחה מדויק, ומדויק באופן שקל לקרוא מעליו בלי לשים לב. הוא מתאר את המצב שבו נמצאים הנתונים בזמן שהמכונה כבויה. שרת הוא מכונה שכל תפקידה הוא לא להיות כבויה. בחודשים שבהם היא פועלת, הכרכים (volumes) שלה פתוחים, קובצי מסד הנתונים שלה קריאים לכל תהליך הרץ תחת המשתמש הנכון, וההצפנה אינה עושה דבר מלבד להמתין להפסקת חשמל.

הדבר השני שארבע המילים הללו מסתירות הוא בידי מי נמצא המפתח. שתי צורות שונות לגמרי נמכרות תחתן. ספק יכול להצפין את שכבת האחסון במפתחות שהוא עצמו מנהל: זה מגן על תהליך הגריטה (decommissioning) של הספק ומצמצם את חשיפתו לפריצות, וזה אכן מגן מפני כונן שיוצא מהמתקן כשהנתונים עדיין עליו — אבל הצד המחזיק במפתח הוא בדיוק הצד שעליו נשאלה השאלה. לחלופין, ניתן להצפין את הכרך בתוך המכונה עצמה, במפתח שאינו קיים בשום מקום מלבד בזיכרון האנושי ובזיכרון של ליבה (kernel) פעילה. רק הצורה השנייה משנה את מה שצד שלישי מסוגל להשיג, ורק השנייה היא הכוונה של שאר המדריך הזה.

אין בכל זה טיעון נגד הצפנת דיסקים. זהו טיעון בעד ידיעה אילו מבין שמונת התרחישים שלהלן מכוסים ואילו לא. הצפנה שעוצרת דבר אמיתי אחד שווה את המאמץ; הצפנה שמאמינים כי היא עוצרת שמונה גרועה מהיעדר הצפנה כלל, משום שהאמונה מסיימת את השיחה.

היכן שוכן המפתח בזמן שהמכונה פועלת

כאשר פותחים כרך LUKS, משפט הסיסמה (passphrase) שמקלידים אינו המפתח עצמו. הוא פותח מפתח ראשי השמור בכותרת הכרך, ומפתח ראשי זה מוחזק לאחר מכן בזיכרון הליבה (kernel) עד שהכרך נסגר או שהמכונה מאבדת חשמל. כל קריאה וכל כתיבה עוברות דרכו. אין תצורה של דיסק מוצפן פעיל שבה המפתח נמצא במקום אחר בזמן שהדיסק בשימוש — זה אינו פרט יישום שניתן לתקן, זו ההגדרה עצמה של שימוש בדיסק מוצפן.

על חומרה בבעלות פרטית, הזיכרון הזה יושב בתוך תיבה בחדר שנשלט על ידי הבעלים, וההתקפה נגדו אקזוטית: נוכחות פיזית, ושאריות של שניות ששבבי הזיכרון שומרים לאחר ניתוק החשמל. בשרת וירטואלי המצב שונה באופן מהותי ולא רק במידה. זיכרון הליבה הוא אזור בתוך זיכרון המארח. ההיפרווייזר יכול לגשת אליו מעצם ההגדרה, משום שהיכולת לגשת אליו היא הדרך שבה ההיפרווייזר העניק אותו מלכתחילה. שלוש פעולות שגרתיות לחלוטין קוראות אותו:

• הגירה חיה (live migration). העברת מכונה וירטואלית פעילה בין מארחים פיזיים מעתיקה את זיכרונה תוך כדי פעולה. זוהי תכונה — כך מתוחזק מארח בלי לאתחל מחדש את הלקוח — והמפתח הראשי נמצא בין העמודים המועתקים.
• תמונת מצב הכוללת זיכרון. תמונת מצב של דיסק בלבד, עבור כרך שהוצפן על ידי הלקוח עצמו, מכילה טקסט מוצפן (ciphertext) בלבד. תמונת מצב שמאפשרת למכונה להתחדש בדיוק מהנקודה שבה הייתה מכילה גם את המפתח, משום שהמפתח הוא חלק ממה ש"בדיוק מאותה נקודה" מורכב ממנו.
• העתק זיכרון (memory dump). זיכרון האורח (guest) חי בתוך מרחב הכתובות של תהליך על גבי המארח. קריאת הזיכרון של אותו תהליך היא פעולת דיבוג שגרתית, והכלים לכך מגיעים יחד עם מחסנית הוירטואליזציה ולא צריכים להיות מוברחים פנימה.

אין בכך טענה שהספק אכן מבצע מי מהפעולות הללו. יש בכך טענה שפעולות אלה אינן דורשות כל שיתוף פעולה, אינן משאירות עקבות בשום דבר שניתן לראות, ואינן ניתנות להבחנה מתחזוקת פלטפורמה רגילה. זו התכונה היחידה שראוי לכתוב לתוך מודל איומים: לא מה מישהו עושה בפועל, אלא מה הוא מסוגל לעשות בלי שאיש ידע על כך. אותו היגיון, שכבה אחת הלאה, הוא הסיבה שהרישום (registry) והפרוקסי שלפני השרת שייכים לאותה רשימה כמו המארח.

בעיית האתחול מחדש, והקיצור שמבטל אותה

כרך שורש (root) מוצפן חייב להיפתח לפני שהמערכת מאתחלת די והותר כדי לקבל חיבור SSH. במחשב נייד מקלידים את משפט הסיסמה במקלדת. במכונה המרוחקת אלפיים קילומטרים, בבניין שאיש לא נכנס אליו, אין מקלדת שניתן להגיע אליה ברגע שבו היא נדרשת. לכל תשובה מעשית לכך יש מחיר — ואחת מהארבע שלהלן אינה מחיר כלל, אלא דרך להיראות כאילו שולם מחיר.

ארבע דרכים לפתוח כרך שורש מוצפן במכונה מרוחקת

שיטה	אתחול מחדש ללא נוכחות	עוצר דיסק גנוב	מה זה עולה
SSH לתוך תמונת האתחול	לא	כן	שרת SSH מינימלי בתוך ה-initramfs מאפשר להתחבר ולהקליד את משפט הסיסמה. המכונה נשארת כבויה עד שמישהו ער וזמין. זוהי האפשרות הכנה, והמחיר אמיתי: אתחול מחדש בארבע לפנות בוקר הוא השבתה עד שמישהו שם לב אליה.
מפתח מותנה ברשת	כן	חלקית	המכונה שולפת את מפתח הפתיחה שלה באתחול משרת שמופעל במקום אחר, וניתן לסרב לספק מפתח למכונה שזזה או שלא עברה אתחול מבוקר. שרת המפתחות חייב להישאר פעיל, והוא חייב לשבת במקום שאותו צו לא יכול להגיע אליו — אחרת המפתח פוצל בין שתי דלתות עם מנעול אחד.
קובץ מפתח בתוך תמונת האתחול	כן	לא	המפתח יושב בתוך ה-initramfs, ה-initramfs יושב על מחיצת אתחול לא מוצפנת, ומחיצת האתחול יושבת על אותו הדיסק שאותו רצו להגן עליו. מי שלוקח את הדיסק לוקח איתו גם את המפתח. תצורה זו נפוצה, מאתחלת יפהפה, ואינה מגנה מפני דבר.
חתום ל-TPM	כן	חלקית	על חומרה בבעלות פרטית, שבב אבטחה אמיתי משחרר את המפתח רק לשרשרת אתחול שלא שונתה. בשרת וירטואלי אותו שבב מדומה על ידי המארח, כך שחתימת מפתח אליו מוסרת את המפתח בדיוק לצד שממנו רצו להסתיר אותו.

השורה השלישית ראויה למבט ממושך. זה המקום שאליו מגיעים כאשר הדרישה נוסחה כהדיסקים חייבים להיות מוצפנים ואיש לא שאל לשם מה. הביקורת (audit) עוברת. התקן החסימה אכן מוצפן. המפתח נוסע על גבי אותה יחידת מתכת, בקובץ שכל shell לשחזור יקרא בתוך כארבע שניות.

זהו גם ההבדל המעשי הברור ביותר בין מכונה וירטואלית שכורה לבין מכונה בבעלות פרטית. בחומרה ייעודית ממשק הניהול מחוץ לפס (out-of-band) מספק קונסולה ששורדת אתחול מחדש, כך שהשורה הראשונה חדלה מלהיות השבתה והופכת להפרעה של שתי דקות — ובעיית השבב המדומה בשורה הרביעית נעלמת, משום שהשבב מולחם ללוח ולא נכתב בתוכנה על ידי הצד שמפניו מנסים להתגונן.

מה הצפנת דיסק מלאה באמת קונה

אותה שאלה, נשאלת בשמונה דרכים. העמודה החשובה היא האחרונה, משום שבכל שורה שבה ההצפנה אינה עוזרת, משהו אחר כן עוזר — ומתן שם לאותו משהו הוא כל התכלית של התרגיל.

שמונה תרחישים, והאם הצפנת דיסק מלאה משנה את התוצאה

תרחיש	ההצפנה עוזרת	מה שבאמת קובע
כונן יוצא משימוש, נמכר מחדש או מוחזר באחריות	כן	שום דבר אחר לא מכסה את זה. כוננים עוזבים מרכזי נתונים כל הזמן, טיהור (sanitisation) הוא תהליך, ותהליכים נכשלים בשקט. זהו התרחיש שלמענו הומצאה הצפנת דיסק מלאה, ומולו היא פועלת בדיוק כפי שמובטח.
המכונה כבויה והדיסק מוצא ממנה	כן	אותה הגנה עם אותו גבול, והגבול הוא המילה כבויה. מכונה שנלקחת בזמן שהיא פועלת היא מכונה שנלקחת פתוחה, עם הכרכים שלה פתוחים והמפתח שלה נוכח בזיכרון.
עותק גיבוי יושב במקום אחר	חלקית	הצפנה על כרך המקור אינה עושה דבר עבור עותק של הנתונים. מה שקובע הוא האם הגיבוי הוצפן לפני שיצא, במפתח שאינו מאוחסן על המכונה שממנה נגזר הגיבוי.
הפלטפורמה מבצעת תמונת מצב	חלקית	תמונת מצב של דיסק בלבד, עבור כרך שהוצפן על ידי הלקוח עצמו, היא טקסט מוצפן וחסרת תועלת לכל מי שאין לו את משפט הסיסמה. תמונת מצב שלוכדת גם את מצב הזיכרון לוכדת יחד איתו את המפתח. שתיהן נקראות "תמונת מצב".
מישהו משיג shell על המכונה הפעילה	לא	הכרך כבר פתוח, והפורץ קורא קבצים ולא בלוקים. עדכוני אבטחה (patching), הרשאות מינימליות, ופרטי גישה שלא נעשה בהם שימוש חוזר בין שירותים הם אלה שקובעים את השורה הזו, וההצפנה אינה תורמת לכך דבר.
מפעיל המארח, או כל מי שמחזיק בגישה של מפעיל המארח	לא	רק הצפנה שהמפתח שלה לעולם אינו נכנס למכונה כלל. הצפנת זיכרון בחומרה היא היוצא מן הכלל היחיד, והיא כבויה כברירת מחדל כמעט בכל מקום, כפי שמפורט בסעיף הבא.
צו מוגש לספק	חלקית	סמכות השיפוט קובעת מי רשאי לבקש ועל בסיס מה; ההצפנה קובעת מה יכולה להכיל התשובה. העמדה הפומבית שלנו היא שני משפטים נפרדים, ושניהם חשובים: איננו מחזיקים במפתחות ההצפנה של לקוחות ולא יכולים למסור אותם, וכרך לא מוצפן על שרת וירטואלי עדיין דורש צו הנוקב באותו שירות.
נדרש דיווח על פריצה	חלקית	אם המשתמשים נמצאים באיחוד האירופי, סעיף 32 ל-GDPR מונה את ההצפנה בין אמצעי ההגנה הנדרשים, וסעיף 34 מבטל את חובת ההודעה לאנשים הנוגעים בדבר — לעולם לא לרשות הפיקוח — כאשר הנתונים הפכו לבלתי ניתנים לפענוח. האם זה חל תלוי לגמרי במיקום המפתח ברגע שבו הנתונים יצאו.

מעל הדיסק: מה שורד מארח עוין

כל מה שנדון עד כה נוגע לשכבה שעוצרת בהתקן החסימה (block device). שלושה דברים יושבים מעליה, וביניהם הם התשובות היחידות לשורה החמישית, השישית והשביעית בטבלה ההיא.

להצפין מעל האפליקציה, לא מתחתיה

הצפנה ברמת השדה (field-level) פירושה שהאפליקציה מצפינה ערך לפני שהוא מגיע למסד הנתונים ומפענחת אותו לאחר קריאתו בחזרה. העתק של מסד הנתונים מניב טקסט מוצפן, יהיה מי שלקח את ההעתק ובכל דרך שבה נלקח. המחיר הוא איבוד היכולת לחפש או לאנדקס את העמודות המוצפנות, וזו הסיבה שהיא מתאימה למספר מצומצם של שדות שראויים לכך — גופי הודעות, מסמכים שהועלו, טוקנים של צד שלישי — ולא לכל דבר. סוף הדרך הזו הוא הצפנה מקצה לקצה: המפתח שייך למשתמש, השרת לעולם אינו מחזיק בטקסט גלוי (plaintext), ומארח עוין אינו משיג דבר משום שאין שם דבר להשיג. זו הארכיטקטורה היחידה בעמוד הזה שאדישה באמת למי שמריץ את החומרה, והיא החלטת מוצר עוד לפני שהיא החלטת תשתית.

גיבויים הם החלטה נפרדת, לא תוצאה

הדרך הנפוצה ביותר שבה נתונים עוזבים מכונה מוצפנת היא גיבוי. תמונת מצב שנדחפת לאחסון עצמים, העתק של מסד נתונים שמסונכרן לספק שני, ארכיון שמורד לתחנת עבודה — אף אחד מהם אינו יורש דבר מהכרך שממנו הגיע. יש להצפין ברגע שבו הנתונים נכתבים לתוך הגיבוי, במפתח המוחזק במקום שהמכונה עצמה אינה יכולה להגיע אליו, כך ששרת שנפרץ לא יוכל לפענח את ההיסטוריה שלו. לאחר מכן יש לשחזר עותק אחד, על מכונה אחרת, לפני שהצורך בכך יתעורר: גיבוי מוצפן שלא ניתן לפתוח הוא דרך מסודרת במיוחד לאבד הכול בבת אחת. עותק במדינה אחרת הוא גם עותק תחת מערכת חוקים אחרת, כלומר סמכות שיפוט שנייה שנבחרה בלי לשים לב.

הצפנת זיכרון, ומדוע היא כנראה אינה זמינה

למצב שאף אחד לא מצפין יש בכל זאת מענה בחומרה. הרחבות מחשוב חסוי (confidential computing) — SEV-SNP של AMD, TDX של Intel — מצפינות את הזיכרון ואת מצב הרגיסטרים של האורח (guest) במפתח המוחזק על ידי מעבד אבטחה נפרד ולא על ידי ההיפרווייזר, כך שמארח שמבצע העתק זיכרון מקבל בחזרה טקסט מוצפן. זהו דבר אמיתי והוא כבר בשימוש. הוא גם צר: SEV-SNP דורש שבב EPYC מהדור השלישי ואילך, המארח חייב להיות מוגדר לכך במפורש, והאורח חייב לעבור אימות (attestation) שאכן קיבל זאת. כמעט אף שרת וירטואלי כללי אינו מציע זאת, ואף אחד לא מציע זאת בשקט. יש להניח שהיא אינה זמינה, אלא אם הספק מצהיר על כך בכתב ומסביר כיצד ניתן לבצע את האימות באופן עצמאי.

תצורה כנה לגבי הגבולות שלה

כל זה אינו מסתיים באין טעם. הוא מסתיים בתצורה שאת גבולותיה ניתן להצהיר בקול רם בלי להירתע.

1. יש לרשום את התרחיש היחיד שמפניו מתגוננים (5 דק׳). כונן שיצא משימוש, מכונה שנתפסה בזמן שפעלה, מארח עוין, צו בית משפט, פריצה שיש לדווח עליה. לכל אחד מהם תשובה שונה, ותצורה שמכוונת לכל החמישה בבת אחת אינה משיגה למעשה אף אחת מהן.
2. יש למקם את ההצפנה במקום שבו נמצא המפתח (החלטה). אם הספק מחזיק במפתח, הושגה הגנה מפני כונן שעוזב את המתקן ותו לא. אם דרושה הגנה נרחבת יותר, יש לפתוח את הכרך מתוך האורח (guest) עצמו, במשהו שהפלטפורמה לעולם אינה רואה.
3. יש להצפין את כרך הנתונים ולא את השורש (root) (הגדרה). שורש מוצפן פירושו שכל אתחול מחדש ממתין. כרך מוצפן נפרד, המכיל את תיקיית מסד הנתונים, הקבצים שהועלו והסודות, מאפשר למכונה לחזור לפעולה בעצמה בעוד החלק הרגיש נשאר סגור עד שפותחים אותו. זהו הפשרה שרוב הפלטפורמות הקטנות אמורות לאמץ, וכמעט איש אינו כותב אותה במפורש.
4. אין להשאיר לעולם את קובץ המפתח על מחיצת האתחול הלא-מוצפנת (כלל). אם המכונה מאתחלת ללא נוכחות, ללא שרת מפתחות וללא קונסולה, המפתח נמצא על הדיסק; אין אפשרות שלישית. זו פשרה סבירה כאשר דיסק גנוב הוא אכן כל מודל האיומים, ותרמית עצמית בכל מקרה אחר.
5. יש להצפין גיבויים ברגע הכתיבה, במפתח המוחזק במקום אחר (הגדרה). לאחר מכן יש לשחזר עותק אחד על מכונה אחרת, ביום שבו דבר אינו בוער.
6. יש לנסח מה כוסה, במשפט אחד (5 דק׳). קרוב למשהו כמו: תוקף שמוציא את הדיסק הזה מהמתקן אינו משיג דבר, ומי שמחזיק בהרשאת root על המכונה הפעילה או על המארח שלה משיג הכול. אם משפט כזה קשה לכתוב, זה משום שהוא נכון.

שניים מתוך השישה הם החלטות וארבעה הם תצורה. ההחלטות לוקחות אחר צהריים וההגדרה לוקחת שעה, והשעה אינה שווה דבר בלי אחר הצהריים. לעשות זאת בסדר ההפוך הוא האופן שבו מגיעים לשורה השלישית בטבלה הראשונה, עם מכונה שעוברת ביקורת (audit) ואינה מגנה על איש.

התרחיש שמפניו מתגוננים הוא שאלה של מידול איומים לפני שהוא שאלה של הצפנה, והגרסה בת השעה של אותו תרגיל מפיקה את המשפט מהצעד השישי כמעט כתוצר לוואי. אם מתברר שהתשובה היא צו בית משפט ולא כונן, השכבה שקובעת את התוצאה אינה נמצאת על הדיסק כלל — היא שאלה של החוק של מי מגיע לספק, וכיצד לבדוק זאת לפני שסומכים עליו.

נכתב על ידי המהנדסים שמפעילים את הפלטפורמה, ונקרא מחדש לאחרונה היום. אם משהו כאן שגוי או מיושן, ניתן לציין זאת דרך הפאנל — משם הגיע כמחצית מהתיקונים האלה.