Criptarea discului pe o mașină care nu vă aparține

Orice furnizor care vinde confidențialitate afirmă că discurile sunt criptate. De cele mai multe ori este adevărat, și de cele mai multe ori răspunde la o întrebare pe care nimeni nu a pus-o. Criptarea are trei stări de care trebuie să țineți cont, iar un server își petrece întreaga viață activă tocmai în cea pe care criptarea completă a discului nu o acoperă. Acest ghid arată unde se află, de fapt, linia, ce se găsește de fiecare parte a ei, și care dintre cele două aranjamente vândute sub aceiași patru termeni este cel în care dumneavoastră dețineți cheia.

Trei stări, și cea pe care nimeni nu o criptează

Datele sunt descrise ca aflându-se în una dintre trei stări, iar industria a rezolvat convingător două dintre ele. În repaus înseamnă date aflate pe un disc pe care, în acel moment, nimic nu le citește: problemă rezolvată prin criptarea completă a discului, plus o criptare suplimentară la nivel de bază de date sau de spațiu de stocare tip obiect. În tranzit înseamnă date care traversează o rețea: problemă rezolvată prin TLS, și încă atât de temeinic încât un certificat emis greșit devine azi o știre. În uz înseamnă date încărcate în memoria unui proces care rulează — locul prin care trebuie să treacă, oricât de scurt, fiecare byte pe care serverul dumneavoastră îl livrează, pentru a putea fi livrat.

Sintagma criptarea datelor în repaus este exactă, și este exactă într-un fel peste care se trece ușor cu privirea. Ea descrie starea datelor dumneavoastră cât timp mașina este oprită. Un server este o mașină a cărei întreagă meserie este să nu fie oprită. Pe parcursul lunilor în care funcționează, volumele sale sunt deschise, fișierele bazei sale de date pot fi citite de orice proces care rulează sub utilizatorul potrivit, iar criptarea nu face nimic altceva decât să aștepte o pană de curent.

Al doilea lucru pe care îl ascund acești patru termeni este a cui este cheia. Sub ei se vând două aranjamente complet diferite. Un furnizor poate cripta stratul de stocare cu chei pe care le administrează chiar el: asta protejează procesul propriu de casare a echipamentelor și îi reduce propria expunere în caz de breșă, și chiar vă protejează împotriva unui disc care iese pe ușă din clădire — dar partea care deține cheia este exact partea despre care întrebați. Sau volumul poate fi criptat în interiorul propriei dumneavoastră mașini, cu o cheie care nu există nicăieri altundeva decât în mintea dumneavoastră și în memoria unui kernel aflat în funcțiune. Doar al doilea aranjament schimbă ce poate obține un terț, și doar la al doilea se referă restul acestui ghid.

Nimic din toate acestea nu este un argument împotriva criptării discurilor. Este un argument pentru a ști pe care dintre cele opt scenarii de mai jos le-ați acoperit și pe care nu. O criptare care oprește un singur lucru real merită păstrată; o criptare pe care o credeți capabilă să oprească opt este mai rea decât deloc, pentru că această credință pune capăt discuției.

Unde locuiește cheia cât timp mașina funcționează

Când deblocați un volum LUKS, fraza de acces pe care o introduceți nu este chiar cheia. Ea despachetează o cheie master stocată în antetul volumului, iar acea cheie master este apoi păstrată în memoria kernelului până când volumul este închis sau mașina pierde alimentarea. Fiecare citire și fiecare scriere trece prin ea. Nu există nicio configurație a unui disc criptat funcțional în care cheia să se afle altundeva cât timp discul este în uz — nu este un detaliu de implementare pe care cineva l-ar putea repara, este chiar ceea ce înseamnă să folosești un disc criptat.

Pe un echipament pe care îl dețineți, acea memorie se află într-o carcasă, într-o cameră pe care o controlați, iar atacul împotriva ei este exotic: prezență fizică, și cele câteva secunde de reziduu pe care cipurile de memorie le păstrează după întreruperea alimentării. Pe un server virtual, situația diferă în natură, nu doar în grad. Memoria kernelului dumneavoastră este o regiune din memoria hostului. Hipervizorul o poate adresa prin definiție, pentru că adresarea ei este chiar modul în care hipervizorul v-a atribuit-o de la bun început. Trei operațiuni cu totul obișnuite o citesc:

• O migrare live. Mutarea unei mașini virtuale în funcțiune între hosturi fizice îi copiază memoria în timp ce rulează. Aceasta este o funcționalitate — este modul în care un host este întreținut fără să vă repornească — iar cheia dumneavoastră master se află printre paginile copiate.
• Un instantaneu care include memoria. Un instantaneu care privește doar discul, al unui volum criptat chiar de dumneavoastră, conține text criptat și nimic altceva. Un instantaneu care permite mașinii să își reia activitatea exact de unde a rămas conține și cheia, pentru că cheia face parte din ceea ce înseamnă „exact de unde a rămas”.
• Un dump de memorie. Memoria guest-ului dumneavoastră trăiește în interiorul spațiului de adrese al unui proces de pe host. Citirea memoriei acelui proces este o operațiune de depanare obișnuită, iar uneltele necesare vin incluse în stiva de virtualizare, nu trebuie introduse pe furiș.

Nimic din toate acestea nu afirmă că furnizorul dumneavoastră ar face vreuna dintre ele. Afirmă doar că aceste acțiuni nu necesită nicio cooperare din partea dumneavoastră, nu lasă nicio urmă vizibilă și sunt imposibil de distins de o întreținere obișnuită a platformei. Aceasta este singura proprietate care merită scrisă într-un model de amenințări: nu ce face cineva, ci ce este capabil să facă fără ca dumneavoastră să aflați. Același raționament, aplicat un nivel mai sus, este motivul pentru care registry-ul și proxy-ul din fața dumneavoastră aparțin aceleiași liste ca și hostul.

Problema repornirii, și scurtătura care o anulează

Un volum rădăcină criptat trebuie deblocat înainte ca sistemul să pornească suficient de mult încât să accepte o conexiune SSH. Pe un laptop, introduceți fraza de acces direct de la tastatură. Pe o mașină aflată la două mii de kilometri distanță, într-o clădire în care nu ați pus niciodată piciorul, nu aveți nicio tastatură la îndemână în momentul în care este nevoie de ea. Fiecare răspuns practic la această problemă este un compromis — iar una dintre cele patru soluții de mai jos nu este deloc un compromis, ci doar modul de a părea că ai făcut unul.

Patru moduri de a debloca un volum rădăcină criptat pe o mașină aflată la distanță

Metodă	Repornire nesupravegheată	Oprește un disc furat	Ce vă costă
SSH în imaginea de boot	Nu	Da	Un server SSH minimal în initramfs vă permite să vă conectați și să introduceți fraza de acces. Mașina rămâne oprită până când o persoană este trează și disponibilă. Aceasta este opțiunea onestă, iar costul este real: o repornire la ora patru dimineața înseamnă o întrerupere a serviciului până când cineva o observă.
Cheie legată de rețea	Da	Parțial	Mașina își preia cheia de deblocare la pornire de pe un server pe care îl administrați în altă parte, și puteți refuza să livrați o cheie unei mașini care s-a mutat sau pe care nu ați repornit-o dumneavoastră. Serverul de chei trebuie să rămână funcțional și trebuie să se afle undeva unde același ordin nu poate ajunge — altfel ați împărțit cheia între două uși cu o singură broască.
Fișier-cheie în imaginea de boot	Da	Nu	Cheia se află în initramfs, initramfs-ul se află pe o partiție de boot necriptată, iar partiția de boot se află pe discul pe care încercați să îl protejați. Oricine ia discul ia și cheia odată cu el. Această configurație este frecventă, pornește impecabil și nu apără absolut nimic.
Sigilată pe un TPM	Da	Parțial	Pe un echipament pe care îl dețineți, un cip de securitate real eliberează cheia doar către un lanț de boot care nu a fost modificat. Pe un server virtual, acel cip este emulat de către host, astfel încât sigilarea unei chei pe el o predă exact părții de care încercați să o feriți.

Al treilea rând merită o privire mai atentă. Este locul unde ajungeți când cerința a fost scrisă ca discurile trebuie să fie criptate și nimeni nu a întrebat cu ce scop. Auditul trece. Dispozitivul de tip bloc chiar este criptat. Cheia călătorește pe aceeași bucată de fier, într-un fișier pe care un shell de recuperare îl va citi în vreo patru secunde.

Aceasta este și cea mai clară diferență practică între o mașină virtuală închiriată și o mașină a dumneavoastră proprie. Pe echipamente dedicate, interfața de administrare out-of-band vă oferă o consolă care supraviețuiește unei reporniri, astfel încât primul rând încetează să mai fie o întrerupere a serviciului și devine o pauză de două minute — iar problema cipului emulat din al patrulea rând dispare, pentru că cipul este lipit pe o placă, nu scris în software de partea de care vă apărați.

Ce cumpără, de fapt, criptarea completă a discului

Aceeași întrebare, pusă în opt feluri. Coloana care contează este ultima, pentru că în fiecare rând în care criptarea nu ajută, altceva ajută — iar a numi acel altceva este toată valoarea exercițiului.

Opt scenarii, și dacă criptarea completă a discului schimbă rezultatul

Scenariu	Criptarea ajută	Ce decide, de fapt, rezultatul
Un disc este scos din uz, revândut sau returnat în garanție	Da	Nimic altceva nu acoperă acest caz. Discurile ies din centrele de date în mod constant, ștergerea sigură este un proces, iar procesele eșuează în tăcere. Acesta este scenariul pentru care a fost inventată criptarea completă a discului, și împotriva lui funcționează exact așa cum se promite.
Mașina este oprită și discul este scos	Da	Aceeași protecție, cu aceeași limită, iar limita este cuvântul oprită. O mașină luată în timp ce funcționează este o mașină luată deblocată, cu volumele deschise și cheia prezentă în memorie.
O copie de rezervă se află în altă parte	Parțial	Criptarea volumului sursă nu are niciun efect asupra unei copii a datelor. Ceea ce decide rezultatul este dacă copia de rezervă a fost criptată înainte de a pleca, cu o cheie care nu este stocată pe mașina ale cărei date sunt copiate.
Platforma face un instantaneu	Parțial	Un instantaneu care privește doar discul, al unui volum criptat chiar de dumneavoastră, este text criptat și inutil oricui nu are fraza dumneavoastră de acces. Un instantaneu care surprinde și starea memoriei surprinde odată cu ea și cheia. Ambele se numesc instantanee.
Cineva obține un shell pe mașina în funcțiune	Nu	Volumul este deja deschis, iar un intrus citește fișiere, nu blocuri brute. Aplicarea corecțiilor, privilegiul minim necesar și datele de acces care nu sunt reutilizate între servicii decid acest rând, iar criptarea nu contribuie cu nimic la el.
Operatorul hostului, sau oricine deține accesul operatorului hostului	Nu	Doar o criptare a cărei cheie nu intră niciodată în mașină. Criptarea hardware a memoriei este singura excepție, și este dezactivată implicit peste tot — subiect tratat în secțiunea următoare.
Furnizorul primește un ordin	Parțial	Jurisdicția decide cine poate solicita și pe ce temei; criptarea decide ce ar putea conține un răspuns. Poziția noastră publicată constă în două fraze distincte, și ambele contează: nu deținem cheile clienților și nu le putem furniza, iar un volum necriptat pe un server virtual necesită totuși un ordin care să numească explicit acel serviciu.
Trebuie să notificați o breșă de date	Parțial	Dacă utilizatorii dumneavoastră se află în UE, articolul 32 din RGPD numește criptarea printre măsurile așteptate din partea dumneavoastră, iar articolul 34 ridică obligația de a notifica persoanele vizate — niciodată autoritatea de supraveghere — atunci când datele au fost făcute neinteligibile. Dacă această situație se aplică depinde în întregime de locul în care se afla cheia în momentul în care datele au ieșit.

Deasupra discului: ce supraviețuiește unui host ostil

Tot ce am discutat până acum privește un strat care se oprește la dispozitivul de tip bloc. Deasupra lui se află trei lucruri, care împreună sunt singurele răspunsuri la rândurile cinci, șase și șapte din tabelul de mai sus.

Criptați deasupra aplicației, nu dedesubtul ei

Criptarea la nivel de câmp înseamnă că aplicația criptează o valoare înainte ca aceasta să ajungă în baza de date și o decriptează după ce o citește înapoi. Un dump al bazei de date produce text criptat, indiferent cine a făcut dump-ul și pe ce cale. Costul este pierderea capacității de a căuta sau de a indexa coloanele criptate, motiv pentru care această tehnică se aplică doar pe puținele câmpuri care o merită — corpul mesajelor, documentele încărcate, token-urile de la terți — și nu pe tot. Capătul acestui drum este criptarea end-to-end: cheia aparține utilizatorului, serverul nu deține niciodată text în clar, iar un host ostil nu obține nimic pentru că nu există nimic de obținut. Aceasta este singura arhitectură din acest ghid cu adevărat indiferentă la cine administrează echipamentul fizic, și este o decizie de produs cu mult înainte de a fi una de infrastructură.

Copiile de rezervă sunt o decizie separată, nu o consecință

Cel mai frecvent mod în care datele ies de pe o mașină criptată este o copie de rezervă. Un instantaneu trimis către un spațiu de stocare tip obiect, un dump de bază de date sincronizat către un al doilea furnizor, o arhivă descărcată pe un calculator de lucru — niciunul dintre ele nu moștenește absolut nimic de la volumul din care provine. Criptați chiar în momentul în care datele sunt scrise în copia de rezervă, cu o cheie păstrată undeva la care mașina însăși nu poate ajunge, astfel încât un server compromis să nu își poată decripta propriul istoric. Apoi restaurați o copie, pe o mașină diferită, înainte să aveți nevoie de ea cu adevărat: o copie de rezervă criptată pe care nu o puteți deschide este un mod neobișnuit de ordonat de a pierde totul dintr-o dată. O copie păstrată în altă țară este și o copie supusă unui alt set de reguli — o a doua jurisdicție pe care ați ales-o fără să vă dați seama.

Criptarea memoriei, și de ce probabil nu o aveți

Starea pe care nimeni nu o criptează are totuși un răspuns hardware. Extensiile de calcul confidențial — SEV-SNP de la AMD, TDX de la Intel — criptează memoria și starea registrelor unui guest sub o cheie deținută de un procesor de securitate separat, nu de hipervizor, astfel încât un host care extrage un dump de memorie primește înapoi text criptat. Este o tehnologie reală și deja disponibilă comercial. Este însă și îngustă: SEV-SNP necesită siliciu EPYC de a treia generație sau mai nou, hostul trebuie configurat deliberat pentru ea, iar guest-ul trebuie să ateste că a primit-o. Aproape niciun server virtual generalist nu o oferă, și niciunul nu o oferă tacit. Presupuneți că nu o aveți, cu excepția cazului în care un furnizor confirmă în scris că o aveți și vă poate arăta cum să verificați dumneavoastră înșivă atestarea.

O configurație sinceră cu privire la limitele ei

Nimic din toate acestea nu se termină cu nu vă mai obosiți. Se termină cu o configurație ale cărei limite le puteți enunța cu voce tare, fără să tresăriți.

1. Notați scenariul unic împotriva căruia vă apărați (5 min). Un disc scos din uz, o mașină confiscată în timp ce funcționează, un host ostil, un ordin judecătoresc, o breșă pe care trebuie să o notificați. Fiecare are un răspuns diferit, iar o configurație gândită pentru toate cele cinci nu le atinge, în mod fiabil, pe niciuna.
2. Puneți criptarea acolo unde este cheia dumneavoastră (decizie). Dacă furnizorul deține cheia, ați cumpărat protecție împotriva unui disc care iese din clădire și nimic mai mult. Dacă vreți mai mult de atât, volumul trebuie deblocat din interiorul guest-ului, de către dumneavoastră, cu ceva ce platforma nu vede niciodată.
3. Criptați volumul de date, nu volumul rădăcină (configurare). O rădăcină criptată înseamnă că fiecare repornire vă așteaptă pe dumneavoastră. Un volum criptat separat, care conține directorul bazei de date, fișierele încărcate și secretele, permite mașinii să repornească singură, cât timp partea sensibilă rămâne închisă până când o deschideți dumneavoastră. Acesta este compromisul pe care ar trebui să îl facă majoritatea platformelor mici, și aproape nimeni nu îl scrie undeva.
4. Nu lăsați niciodată fișierul-cheie pe partiția de boot necriptată (regulă). Dacă mașina pornește nesupravegheată, fără server de chei și fără consolă, cheia se află pe disc; nu există o a treia posibilitate. Este un compromis rezonabil atunci când un disc furat chiar reprezintă întregul dumneavoastră model de amenințări, și autoamăgire în orice alt caz.
5. Criptați copiile de rezervă chiar în momentul scrierii, cu o cheie păstrată în altă parte (configurare). Apoi restaurați o copie pe o mașină diferită, într-o zi în care nimic nu arde.
6. Spuneți, într-o singură frază, ce ați acoperit (5 min). Ceva de genul: un atacator care scoate acest disc din rack nu obține nimic, iar oricine are root pe mașina în funcțiune sau pe hostul ei obține totul. Dacă această frază este inconfortabil de scris, este pentru că este adevărată.

Două dintre aceste șase puncte sunt decizii, iar patru sunt configurare. Deciziile durează o după-amiază, iar configurarea durează o oră, iar ora nu valorează nimic fără după-amiaza. Făcându-le în ordine inversă ajungeți exact în al treilea rând din primul tabel, cu o mașină care trece auditul și nu vă apără de nimeni.

Împotriva cărui scenariu vă apărați este mai întâi o întrebare de modelare a amenințărilor, și abia apoi una de criptare, iar versiunea de o oră a acelui exercițiu produce fraza de la pasul șase aproape ca un produs secundar. Dacă răspunsul se dovedește a fi un ordin judecătoresc, nu un disc furat, atunci stratul care decide rezultatul nu se află deloc pe discul dumneavoastră — ci în legea care ajunge la furnizorul dumneavoastră, și cum să verificați asta înainte să vă bazați pe ea.

Scris de inginerii care administrează platforma și recitit astăzi. Dacă ceva de aici este greșit sau depășit, spuneți-ne din panou — de acolo provine aproximativ jumătate dintre acestea.