-
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Zugriff auf Dateien eines sicheren Fileservers. Auch wird ein Rechnernetzwerk mit einer solchen Vorrichtung vorgeschlagen.
-
Lösungen zur Bereitstellung von Dateien bzw. Daten insbesondere mittels zentralisierter Rechner (Fileserver) sind bekannt. Administratoren sind in der Regel mit Rechten ausgestattet, die gegenüber normalen Nutzern einen erweiterten Zugriff auf Dateien und/oder das Rechnernetz ermöglichen. Oftmals erhalten die Administratoren Zugriff auf den vollständigen Datenbestand.
-
Gerade bei großen Rechnernetzen ist der Umgang und insbesondere die Ablage streng vertraulicher Daten problematisch. Beispielsweise ist es ein Ziel, den Personenkreis, der Zugriff auf diese Daten hat, möglichst klein zu halten. Insbesondere sollen nicht alle Administratoren Zugriff auf die streng vertraulichen Daten haben. Daher werden oft dedizierte und isolierte Bereiche definiert, die speziell mit Firewalls und Sicherheitszonen gesichert werden. Für deren Bereitstellung (Aufrechterhaltung, Kontrolle, Sicherheit, Überwachung, etc.) sind spezielle Betriebsteams erforderlich, die sich von den normalen Administratoren unterscheiden und insbesondere ein hohes Maß an Vertraulichkeit aufweisen. Diese zusätzlichen Betriebsteams müssen häufig eine Betreuung der Fileserver rund um die Uhr sicherstellen. Hierfür fallen neben den Kosten für die zusätzliche Hardware auch Kosten für die aufwändige Administration der Fileserver in den isolierten Bereichen an. Ein weiterer Nachteil besteht darin, dass die Betriebsteams Zugriff auf die streng vertraulichen Daten haben.
-
Mittels bekannter Verschlüsselungs-Applikationen ist es möglich, die Datenablage auf einem Speichermedium verschlüsselt durchzuführen. Hierbei ist es allerdings von Nachteil, dass die vertraulichen Daten bis zur Verschlüsselung als transparente Daten in dem Rechnernetz abgreifbar sind.
-
Weiterhin ist es von Nachteil, dass bei bestimmten standardmäßig eingesetzten Fileservern der Fileserver selbst ungeschützt ist. Auch hier kann ein Zugriff auf streng vertrauliche Daten erfolgen.
-
Auch gibt es Lösungen, bei denen ein Zugriff auf Dateien über eine Zertifikats- und Rechteverwaltung definiert ist. Solche Lösungen sind jedoch im Hinblick auf die Administration und die Handhabung durch den Endbenutzer umständlich, insbesondere wenn mehrere Nutzer auf Dateien in einem Verzeichnis zugreifen müssen. In diesem Fall benötigen alle Nutzer den richtigen Key bzw. das richtige Zertifikat. Dies ist beispielsweise in einem dynamischen Umfeld, d. h. unterschiedliche Mitarbeiter arbeiten in verschiedenen Teams zusammen, sehr kompliziert und aufwändig, da für jede Mitarbeiter-/Teamkombination ein eigener Schlüssel bzw. ein eigenes Zertifikat erzeugt, verwaltet und verteilt werden müsste.
-
Die Aufgabe der Erfindung besteht darin, die vorstehend genannten Nachteile zu vermeiden und insbesondere eine Möglichkeit zum effizienten, weitgehend sicheren und für den Benutzer einfachen und transparenten Umgang mit vertraulichen Daten zu schaffen.
-
Diese Aufgabe wird gemäß den Merkmalen der unabhängigen Patentansprüche gelöst. Weiterbildungen der Erfindung ergeben sich auch aus den abhängigen Ansprüchen.
-
Zur Lösung der Aufgabe wird ein Verfahren zum Zugriff auf Dateien eines sicheren Fileservers angegeben,
- – bei dem ein Benutzer oder ein Prozess authentifiziert wird;
- – bei dem der Zugriff auf die Dateien des sicheren Fileservers über ein Verschlüsselungsmodul des sicheren Fileservers erfolgt,
- – bei dem das Verschlüsselungsmodul eine Verschlüsselungsvereinbarung von einer zentralisierten Sicherheitsanwendung erhält;
- – bei dem der Zugriff des authentifizierten Benutzers oder Prozesses auf den sicheren Fileserver unter Berücksichtigung der Verschlüsselungsvereinbarung erfolgt.
-
Insbesondere kann die Verschlüsselungsvereinbarung (Policy) von der zentralisierten Sicherheitsanwendung dem Verschlüsselungsmodul des Fileservers bereitgestellt werden, indem der Fileserver die Verschlüsselungsvereinbarung aktiv anfordert oder die Verschlüsselungsvereinbarung ohne eine solche Anforderung an den Fileserver übertragen wird.
-
Die zentralisierte Sicherheitsanwendung ist eine Applikation, die vorzugsweise auf einem separaten Rechner abläuft. Die Verschlüsselungsvereinbarung kann z. B. Verschlüsselungsregeln und/oder Schlüssel für den Zugriff auf die Dateien des sicheren Servers aufweisen.
-
Hierbei sei angemerkt, dass der sichere Fileserver mindestens einen Rechner umfasst, der ein Verschlüsselungsmodul aufweist. Der ”sichere Fileserver” unterscheidet sich insofern von einem Server ohne Verschlüsselungsmodul. Die tatsächliche Sicherheit des ”sicheren” Fileservers wird hierbei nicht näher quantifiziert; diese kann je nach Einsatzgebiet z. B. durch geeignete Maßnahmen (bauliche Maßnahme, Zugangskontrolle, zusätzliche Software) zum Schutz des ”sicheren Servers” bereitgestellt werden.
-
Ferner sei erwähnt, dass es sich bei der zentralisierten Sicherheitsanwendung vorzugsweise um eine Anwendung handeln kann, die besonderen Sicherheitsanforderungen genügt. Diese kann z. B. auf einem speziell geschützten Rechner (z. B. geschützt durch spezielle Verschlüsselungshardware) ablaufen, zu dem nur ein kleiner Personenkreis mit einer speziellen Vertrauensstellung Zugang hat. Die zentralisierte Sicherheitsanwendung kann für mehrere sichere Fileserver Verschlüsselungsvereinbarungen bereitstellen. Durch die zentralisierte Anordnung ist die aufgrund der hohen Sicherheitsanforderungen aufwändige Administration erleichtert; auch ist es von Vorteil, dass die Administration der zentralisierten Sicherheitsanwendung nur einen reduzierten Aufwand gegenüber der Administration eines Fileservers erfordert und somit Bedienpersonen für die zentralisierte Sicherheitsanwendung nicht 24 Stunden am Tag an 7 Tagen pro Woche verfügbar sein müssen.
-
Bei dem Prozess kann es sich um einen Dienst in dem Rechnernetzwerk, z. B. um einen Systemdienst des sicheren Fileservers handeln.
-
Hierbei ist es von Vorteil, dass die Verschlüsselungsvereinbarung sehr granular bestimmt bzw. vorgegeben werden kann, insbesondere kann z. B. Kontextinformation (z. B. welcher Prozess auf welche Datei(en) zugreift) genutzt werden, um den Zugriff auf die Dateien des sicheren Fileservers zu regeln.
-
Der hier vorgestellte Ansatz gilt generell für Server, bei denen vertrauliche Daten gespeichert werden. Bei dem hier erwähnten sicheren Fileserver kann es sich auch um eine Applikation handeln, die sensible Daten verarbeitet. Die Applikation wird anhand der Signatur des Dienstes oder anhand des ausführenden Benutzer erkannt und über die Verschlüsselungsvereinbarung kann sichergestellt werden, dass nur für diese Applikation die Daten entschlüsselt werden.
-
Eine Weiterbildung ist es, dass der Zugriff des Benutzers gemäß dem folgenden Rollenmodell geregelt wird:
- – handelt es sich um einen berechtigten Benutzer, so werden die Dateien von dem Verschlüsselungsmodul des sicheren Fileservers verschlüsselt und/oder entschlüsselt;
- – handelt es sich um einen Administrator, so wird der Zugriff gestattet, die Dateien werden aber weder verschlüsselt noch entschlüsselt;
- – handelt es sich um einen unberechtigten Benutzer, so wird der Zugriff blockiert.
-
Entsprechend kann der Zugriff des Prozesses (z. B. Systemdienstes) geregelt werden. Insbesondere ist es möglich, dass das Rollenmodell für Benutzer und/oder Prozesse in der Verschlüsselungsvereinbarung hinterlegt sind.
-
Auch ist es eine Weiterbildung, dass der Zugriff des authentifizierten Benutzers oder Prozesses auf den sicheren Fileserver unter Berücksichtigung der Verschlüsselungsvereinbarung über eine verschlüsselte Verbindung erfolgt.
-
Eine andere Weiterbildung ist es, dass der Benutzer mittels seiner Benutzerkennung authentifiziert wird.
-
Insbesondere kann die Rolle des Benutzers anhand seiner Benutzerkennung ermittelt werden. Dies ist von Vorteil, weil sich der Benutzer auf die ihm bekannte Art dem System gegenüber authentifiziert (z. B. im Rahmen einer Anmeldung an dem System) und für den Benutzer transparent (d. h. ohne zusätzlichen Aufwand seinerseits) der Zugriff auf den sicheren Fileserver geregelt wird. Für den berechtigten Benutzer stellt die hier vorgeschlagene Lösung z. B. ein zusätzliches Speichermittel dar, auf das er (lesend und schreiben) zugreifen kann. Dabei erfolgt die Verschlüsselung vorzugsweise von dem Arbeitsplatzrechner zu dem sicheren Fileserver nahtlos (Ende-zu-Ende Verschlüsselung), so dass keine Möglichkeit zum Abgriff der unverschlüsselten Daten auf der Verbindung zwischen dem Arbeitsplatzrechner und dem sicheren Fileserver besteht.
-
Hierin wird unter ”Ende-zu-Ende”-Verschlüsselung insbesondere ein zweistufiger Ansatz verstanden: Die Verschlüsselung der Dateien kann zentral an dem Fileserver erfolgen, die Strecke zwischen dem Arbeitsplatzrechner (Client) und dem Fileserver kann davon separat geschützt (verschlüsselt) werden.
-
Insbesondere ist es eine Weiterbildung, dass sich der Benutzer über einen Arbeitsplatzrechner mit seiner Benutzerkennung authentifiziert und eine verschlüsselte Übertragung von Dateien zwischen dem Arbeitsplatzrechner und dem sicheren Fileserver durchgeführt wird.
-
Auch ist es eine Weiterbildung, dass die verschlüsselte Übertragung zwischen dem Arbeitsplatzrechner und dem sicheren Fileserver mittels des IPSec Protokolls erfolgt.
-
Alternativ ist es möglich, dass die verschlüsselte Übertragung zwischen dem Arbeitsplatzrechner und dem sicheren Fileserver durch Verschlüsselung auf einer höheren Protokollebene (z. B. TLS/SSL) erfolgt.
-
Ferner ist es eine Weiterbildung, dass der Zugriff oder der versuchte Zugriff auf den sicheren Fileserver abgespeichert und/oder überwacht wird.
-
Somit ist es von Vorteil, dass eine Sicherheit des Rechnernetzwerks und insbesondere der vertraulichen Dateien dokumentiert werden kann.
-
Im Rahmen einer zusätzlichen Weiterbildung wird der Prozess von der zentralisierten Sicherheitsanwendung authentifiziert.
-
Eine nächste Weiterbildung besteht darin, dass der Prozess von dem Fileserver, insbesondere dem Verschlüsselungsmodul des Fileservers, mittels einer Signatur authentifiziert wird.
-
Hierdurch kann sichergestellt werden, dass der Prozess nicht manipuliert wurde. Dies ist insbesondere von Bedeutung für solche Prozesse, die Zugriff auf die vertraulichen Daten des sicheren Servers haben.
-
Eine Ausgestaltung ist es, dass abhängig von der Art des Prozesses anhand der Verschlüsselungsvereinbarung der Zugriff auf die Dateien des sicheren Fileservers geregelt wird.
-
Eine alternative Ausführungsform besteht darin, dass der Prozess ein Anti-Virusprogramm ist, das anhand der Verschlüsselungsvereinbarung vollen Zugriff auf die Dateien des sicheren Fileservers erhält.
-
Weitere Beispiele für Prozesse, die anhand der Verschlüsselungsvereinbarung vollen Zugriff auf die Dateien des Fileservers haben, sind: e-Discovery Prozesse Revisionsprozesse, Indizierung und Suchprozesse.
-
Eine nächste Ausgestaltung ist es, dass von dem Verschlüsselungsmodul Dateiinhalte verschlüsselt werden und Metadaten einer Datei nicht verschlüsselt werden.
-
Auch ist es eine Ausgestaltung, dass die Dateien des sicheren Fileservers gegebenenfalls zusammen mit Dateien eines normalen Fileservers auf einem Speichermedium gesichert werden.
-
Bei dem Speichermedium kann es sich um ein Speicherarray und/oder um ein beliebiges Backup-Medium, z. B. lokale Festplatten, Archivierungsmedien, handeln. Hierbei können vorteilhaft die Dateien des sicheren Fileservers genau wie Dateien eines normalen Fileservers behandelt werden. Insbesondere ist es somit möglich, dass Administratoren z. B. die Sicherung der vertraulichen Daten durchführen, ohne diese entschlüsseln zu können.
-
Die vorstehend genannte Aufgabe wird auch gelöst durch eine Vorrichtung zur Bereitstellung von Dateien, umfassend
- – ein Verschlüsselungsmodul, wobei das Verschlüsselungsmodul eine Verschlüsselungsvereinbarung von einer zentralisierten Sicherheitsanwendung erhält,
- – eine Verarbeitungseinheit, die derart eingerichtet ist, dass
- – ein Benutzer oder ein Prozess authentifizierbar ist;
- – ein Zugriff auf die Dateien über das Verschlüsselungsmodul erfolgt,
- – der Zugriff des authentifizierten Benutzers oder Prozesses unter Berücksichtigung der Verschlüsselungsvereinbarung erfolgt.
-
Ergänzend sei nochmals erwähnt, dass die Verschlüsselungsvereinbarung zusätzlich zu einer Autorisierung an dem Fileserver berücksichtigt werden kann.
-
Entsprechend ist die Verarbeitungseinheit eingerichtet zur Durchführung einer der weiteren hierin beschriebenen Aktionen.
-
So wird die vorstehend genannte Aufgabe auch gelöst durch eine Vorrichtung mit einer Verarbeitungseinheit, wobei die Verarbeitungseinheit derart eingerichtet ist, dass das hier beschriebene Verfahren durchführbar ist.
-
Die Verarbeitungseinheit kann z. B. eine analoge oder digitale Verarbeitungseinheit sein, sie kann als ein Prozessor und/oder eine zumindest teilweise festverdrahtete Schaltungsanordnung ausgeführt sein, die derart eingerichtet ist, dass das Verfahren wie hierin beschrieben durchführbar ist.
-
Der Prozessor kann jede Art von Prozessor oder Rechner oder Computer mit entsprechend notwendiger Peripherie (Speicher, Input/Output-Schnittstellen, Ein-Ausgabe-Geräte, etc.) sein oder einen solchen umfassen. Weiterhin kann eine festverdrahtete Schaltungseinheit, z. B. ein FPGA oder ein ASIC oder eine sonstige integrierte Schaltung, vorgesehen sein.
-
Im Rahmen einer Ausgestaltung ist die Vorrichtung ein sicherer Fileserver in einem Rechnernetzwerk.
-
Wie vorstehend ausgeführt wurde, unterscheidet sich der sichere Fileserver von einem nicht-sicheren oder auch normalen Fileserver dadurch, dass er ein Verschlüsselungsmodul aufweist.
-
Auch wird die Aufgabe gelöst mittels eines Rechnernetzwerks umfassend mindestens eine Vorrichtung wie hierin beschrieben.
-
Ausführungsbeispiele der Erfindung werden nachfolgend anhand der Zeichnungen dargestellt und erläutert.
-
Es zeigen:
-
1 ein Blockdiagramm mit einem Verschlüsselungsmodul als Ergänzung eines Dateisystems (Filesystems) eines Windows-Servers;
-
2 ein Blockdiagramm, das eine Dateiverarbeitung in einem Teil eines Rechnernetzes veranschaulicht;
-
3 eine beispielhafte Aufstellung von Verschlüsselungsregeln, die insbesondere Teil einer Verschlüsselungsvereinbarung (Policy) sein können.
-
Insbesondere kann der hier vorgestellte Ansatz auf folgenden (logischen und/oder physikalischen) Komponenten basieren:
- a) Mindestens ein Fileserver stellt Dateien (Files) bereit. Für ein hochverfügbares System können mindestens zwei Fileserver (z. B. Windows Server) eingesetzt werden. Mittels einer Replikation von Dateien (Distributed File System Replication, DFSR) werden Dateien und Verzeichnisse auf mehreren Fileservern in einem synchronisierten Zustand gehalten.
- b) Auf dem Fileserver wird eine software- oder hardware-basierte Verschlüsselung bereitgestellt.
- c) Das IPsec-Protokoll wird für eine Verschlüsselung der Kommunikation zwischen einem Client (z. B. einem Arbeitsplatzrechner eines Benutzers) und dem Fileserver eingesetzt. Das IPsec-Protokoll ist ein Sicherheitsprotokoll, das für die Kommunikation über IP-Netze eine Vertraulichkeit, eine Authentizität und eine Integrität gewährleisten soll. RFC 2401 bzw. RFC 4301 beschreiben die Architektur von IPsec.
-
Es wird vorgeschlagen, mindestens einen Fileserver um ein Verschlüsselungsmodul (Policy Enforcement Module, PEM) zu erweitern. 1 zeigt ein Blockdiagramm mit einem Verschlüsselungsmodul 104 als Ergänzung eines Dateisystems (Filesystems) eines Windows-Servers 101.
-
Der Windows-Server 101 umfasst Anwendungen 102, die auf Datenbanken 103 zugreifen. Die Datenbanken 103 und Anwendungen 102 sind in 1 lediglich optional zu sehen und können auch entfallen. Über das Verschlüsselungsmodul 104 wird ein gesicherter Zugriff (also über ein verschlüsseltes Protokoll) über ein Netzwerk 109 (z. B. ein LAN oder ein WAN) zu einer Sicherheitsanwendung 110 durchgeführt. Die Sicherheitsanwendung 110 stellt Verschlüsselungsvereinbarungen (Policies) und/oder Schlüssel und/oder Signaturen der Prozesse für das Verschlüsselungsmodul 104 bereit. Die Sicherheitsanwendung 110 kann als eine zentrale Einheit für mehrere Server (z. B. Windows-Server, Linux-Server oder Server mit beliebigen Betriebssysteme, auch in Kombination) eingesetzt werden und entsprechend hohe Sicherheitsanforderungen erfüllen. Die Sicherheitsanwendung 110 kann auf einem zentralen Rechner eingerichtet sein, der entsprechend baulich und mittels Software vor unberechtigten Zugriffen geschützt ist.
-
Der Server 101 ist weiterhin logisch verbunden mit einem direkt angebundenen Speichermittel 107 (Direct Attached Storage, DAS) und/oder einem Speichernetzwerk (Storage Area Network. SAN) bzw. einem Speichermittel im Netzwerk (Network Attached Storage, NAS) 108. Ein Volume Manager 106 ist für die Anbindung der Speichermittel 107 an ein Dateisystem 105 zuständig, wobei das Verschlüsselungsmodul 104 lokal die Dienste des Dateisystems 105 nutzt.
-
Dass Verschlüsselungsmodul 104 kann jeden Zugriff auf eine Datei abfangen und überprüfen, ob es sich um einen Bereich der vorgegeben Verschlüsselungsvereinbarung (Policy) handelt und – falls dies gegeben ist – ob gemäß der vorgegebenen Verschlüssungsvereinbarung (Policy) der Zugriff gewährt werden soll oder nicht. Insbesondere können hierbei Entscheidungen bezüglich der folgenden Aktionen getroffen werden:
- – Der Zugriff wird nicht erlaubt bzw. geblockt (”access denied”);
- – Der Zugriff wird erlaubt, die Daten werden jedoch weder verschlüsselt noch entschlüsselt;
- – Der Zugriff wird erlaubt, die Daten werden beim Schreiben verschlüsselt und bei Lesen entschlüsselt.
-
Optional kann jeder Zugriff zudem abgespeichert bzw. überwacht werden.
-
Vorzugsweise werden Dateiinhalte verschlüsselt; Metadaten (Name, Größe, Besitzer einer Datei) bleiben unverschlüsselt.
-
2 zeigt ein Blockdiagramm, das eine Dateiverarbeitung in einem Teil eines Rechnernetzes veranschaulicht. Hierbei werden sowohl Dateien mit normaler Vertraulichkeit als auch streng vertrauliche Dateien verarbeitet.
-
Ein Client 201 (Rechner eines berechtigten Nutzers) verfügt über ein lokales Laufwerk 202 ohne Verschlüsselung und/oder über ein lokales Laufwerk 203 mit einer Verschlüsselung. Normale Dateien 204 werden auf dem Laufwerk 202 und vertrauliche Dateien 205 werden auf dem Laufwerk 203 abgespeichert. Hierbei sei erwähnt, dass die Laufwerke 202 und 203 auf einem einzigen physikalischen Medium, z. B. einer Festplatte, ausgeführt sein können.
-
Normale Dateien 206 können von dem Client 201 auf einen normalen Fileserver 208 über eine unverschlüsselte Verbindung übertragen werden, vertrauliche Dateien 207 werden über eine IPSec-Verbindung 214 von dem Client 201 zu dem sicheren Fileserver 209 übertragen. Der Fileserver 209 kann eine Architektur gemäß 1 aufweisen, verschlüsselt mithilfe des Verschlüsselungsmoduls 104 die vertraulichen Dateien 207 und legt die verschlüsselten Dateien z. B. auf einem lokalen Laufwerk (nicht dargestellt) oder auf dem Speicherarray 212, das für den Fileserver im Falle von SAN wie eine lokale Festplatte angesprochen wird und im Fall von NAS einem Netzwerklaufwerk entspricht, ab.
-
Die Dateien des normalen Fileservers 208 und des sicheren Fileservers 209 werden auf einem Speicherarray 212 und/oder auf einem Backup-Medium 213 (z. B. in Form von Speicherbändern) abgelegt. Hierbei werden von dem normalen Fileserver 208 normale Dateien 210 und von dem sicheren Fileserver 209 verschlüsselte Dateien 211 auf dem Speicherarray 212 bzw. dem Backup-Medium 213 abgespeichert.
-
Der hier vorgeschlagene Ansatz kann z. B. das nachfolgend dargestellte Rollenmodell nutzen:
- – erfolgt ein Zugriff von einem berechtigten Nutzer, werden die Daten ver- bzw. entschlüsselt;
- – erfolgt ein Zugriff durch einen Administrator, werden die Daten nicht ver- bzw. entschlüsselt;
- – erfolgt der Zugriff durch einen unberechtigten Nutzer, wird der Zugriff blockiert.
-
Hierbei ist es von Vorteil, dass die vorgeschlagene Lösung für den berechtigten Nutzer völlig transparent ist, d. h. für ihn verhält sich der sichere Fileserver genau wie der normale Fileserver. Der berechtigte Nutzer merkt nichts davon, dass die Daten verschlüsselt abgelegt werden oder dass ein Zugriff auf vertrauliche Daten über das Verschlüsselungsmodul des sicheren Fileservers erfolgt. Auch ein Administrator des sicheren Fileservers bemerkt von der Verschlüsselung zunächst nichts, da die Metadaten der Dateien unverschlüsselt sind, und kann seine täglichen Aufgaben ungehindert wahrnehmen: Dateien kopieren, wiederherstellen, migrieren, etc. Wenn er jedoch versucht, eine verschlüsselte Datei zu öffnen, erhält er nur den verschlüsselten, nicht den unverschlüsselten Inhalt.
-
Die Verschlüsselungsvereinbarung (Policy) und die Schlüssel können in speziell gehärteten Sicherheitsanwendungen (110, siehe 1) verwaltet und gespeichert sein. Die Sicherheitsanwendungen können zentralisiert bereitgestellt und der Zugriff kann auf wenige interne Mitarbeiter beschränkt werden. Für die Sicherheitsanwendungen sind selten Konfigurationsänderungen zu erwarten, daher ist keine allzu hohe Verfügbarkeit des Betriebspersonals erforderlich, d. h. es können deutlich Kosten eingespart werden.
-
Eine Unterscheidung zwischen berechtigten Nutzern, unberechtigten Nutzern und Administratoren kann mittels einer Nutzerkennung (UserID) erfolgen.
-
Um hohen Sicherheitsanforderungen zu genügen, können berechtigte Nutzer und Administratoren direkt an der Sicherheitsanwendung konfiguriert werden. Oftmals kann es im Hinblick auf übliche Sicherheitsanforderungen auch ausreichen, dass die berechtigten Nutzer und Administratoren in üblichen Verzeichnisdiensten (z. B. Active Directory Sicherheits-Gruppen) gelistet sind. So kann die Verwaltung der Sicherheitsanwendung mit reduziertem Aufwand erreicht werden. Die Sicherheits-Gruppen werden vorzugsweise überwacht, um eine Manipulation z. B. durch Domain-Administratoren zu erkennen.
-
Optional werden Verschlüsselungsregeln eingesetzt. So können Benutzer (berechtigte, unberechtigte) und Administratoren erkannt werden und abhängig von deren Benutzerkennung kann ein Zugriff auf sensible Daten erlaubt, eingeschränkt erlaubt oder verboten werden. Zusätzlich ist es möglich, dass auch Dienste oder Prozesse, z. B. Systemdienste erkannt werden und abhängig von einem bestimmten Dienst unterschiedliche Arten des Zugriffs auf die sensiblen Daten gestattet oder verboten werden.
-
3 zeigt eine beispielhafte Aufstellung von Verschlüsselungsregeln. Hierbei deutet eine leeres Aktions-Feld an, dass keine Einschränkung z. B. bezüglich des Lesens oder Schreibens besteht. Ein Eintrag im Aktionsfeld gibt hingegeben die Art der Einschränkung(en) an.
-
Ein Systemdienst Anti-Virus (Zeile 1) (andere Systemdienste sind entsprechend denkbar, z. B. ein Indizierungsdienst) erhält vollen Zugriff (für beliebige Aktionen, d. h. Lesen und/oder Schreiben) auf die sensiblen Dateien, diese werden für den Virus-Scan auch entschlüsselt. Ein DFSR-Dienst des replizierten verteilten Dateisystems erhält nur Zugriff auf die verschlüsselten Dateien (Zeile 2) ebenso wie ein Backup-Dienst (Zeile 3) und ein Quota-Dienst (Zeile 4).
-
Ein berechtigter Nutzer erhält vollen Zugriff auf die sensiblen Dateien (Zeile 5).
-
Um vertrauliche Dateien von einem anderen Fileserver auf den sicheren Fileserver zu migrieren, muss entweder der berechtigte Nutzer aktiv werden (wenn er schreibt, wird verschlüsselt) oder ein sogenannter Migrations-Administrator. Ein normaler Administrator kann hierzu temporär die Rolle des Migrations-Administrators erhalten und die Dateien von dem normalen Fileserver auf den sicheren Fileserver kopieren. Der Migrations-Administrator hat dabei keinen lesenden Zugriff auf die Dateien des sicheren Fileservers, er kann mittels schreibendem Zugriff jedoch Dateien auf diesem ablegen. Vorzugsweise legt der Administrator nach durchgeführter Migration die Rolle des Migrations-Administrator wieder ab, um unerwünschte Effekte (doppelte Verschlüsselung) bei weiteren Tätigkeiten auf dem sicheren Fileserver zu vermeiden (Zeilen 6 und 7). Ansonsten erhalten System-Nutzer (Systemdienste) sowie Administratoren Zugriff auf die verschlüsselten Dateien (Zeilen 8 und 9). Alle anderen Benutzer oder Dienste erhalten keinen Zugriff (Zeile 10).
-
Vorzugsweise können Dateien der einzelnen Dienste mit einer Signatur versehen werden, um Manipulationen der Dateien auszuschließen. Auch ist es möglich, dass der Systemdienst Anti-Virus über die Sicherheitsanwendung geschützt ist, um Manipulationen auszuschließen. Beispielsweise kann die Sicherheitsanwendung diesen Systemdienst gegenüber dem Fileserver authentifizieren, so dass jede Veränderung des Systemdienstes anhand der dann fehlenden Authentifizierung durch die Sicherheitsanwendung erkennbar ist. Wie bereits ausgeführt wurde, ist die Sicherheitsanwendung in hohem Maße sicher, so dass diese als nichtmanipulierbares Vertrauenscenter einsetzbar ist.
-
Der oben genannte Migrations-Administrator kann z. B. Daten auf den hochsicheren Fileserver kopieren, ohne Klartext-Zugriff auf die dort gespeicherten Dateien zu erhalten.
-
Die Netzwerkstrecke zwischen dem Client und dem Fileserver, auf der die unverschlüsselten Dateien übertragen werden, wird durch ein verschlüsseltes Protokoll (z. B. IPsec) abgesichert. IPsec ist in den TCP/IP-Protokollstack des Windows-Betriebssystems integriert und kann über eine einfache IP-Sicherheitsrichtlinie aktiviert und durch eine Gruppenvereinbarung (Group Policy) auf den relevanten Windows Clients aktiviert werden. Um die Konfiguration zu vereinfachen, können hochsichere Fileserver einem speziellen IP-Subnetz zugeordnet werden. Hierzu eignen sich die folgenden Einstellungen:
- – Der Fileserver wird so konfiguriert, dass alle Clients, die per CIFS-Protokoll (z. B. über TCP-Ports 139 und 445) mit dem Fileserver kommunizieren wollen, das IPsec-Protokoll benutzen müssen. Es werden lediglich unkritische Ausnahmen für einzelne Betriebs-Server zugelassen (z. B. Sprungserver, Monitoring-Server, Patch-Server).
- – Die Clients werden so konfiguriert, dass sie das IPsec-Protokoll benutzen müssen, wenn sie mit dem Netzsegment der sicheren Fileserver per CIFS-Protokoll kommunizieren wollen. Eine entsprechende IP-Sicherheitsrichtlinie kann automatisch auf die Clients verteilt werden.
-
Ergänzend sei erwähnt, dass es sich bei einem Sprungserver um einen Server handelt, an dem sich ein Administrator anmelden muss, ehe er auf den Fileserver gelangt. Dies hat den Vorteil, dass alle Zugriffe über eine zentrale Einheit (den Sprungserver) gehen, die für geeignete Sicherheitsanforderungen ausgelegt und entsprechend überwacht werden kann. Bei einem Monitoring-Server handelt es sich um einen Server, auf dem Überwachungsprogramme ablaufen, die den Status des Fileservers überprüfen; bei Problemen löst der Monitoring-Server einen Alarm aus. Ein Patch-Server ist ein zentraler Server, auf dem Programm betreffend Sicherheitsaktualisierungen (Patches) bereitgestellt werden, die von dem Fileserver geladen und installiert werden können.
-
Die Datenspeicherung auf dem Client kann mittels einer (lokalen) Festplattenverschlüsselung erfolgen. Das Zusammenspiel mit der hier beschriebenen Lösung ist sichergestellt, weil die Verschlüsselung auf dem Fileserver für den Client transparent ist und nicht mit der lokalen Festplattenverschlüsselung kollidiert.
-
Der berechtigte Benutzer erhält nach seiner Authentifizierung ein zusätzliches Laufwerk (erkennbar z. B. über einen weiteren Laufwerkbuchstaben), auf dem er die sensiblen Dateien ablegen kann. Die Authentifizierung über seine Nutzerkennung mit Passwort kann in vielen Bereichen eine ausreichende Sicherheit mit einer gleichzeitig hohen Praktikabilität und Nutzerakzeptanz sicherstellen. Alternativ können zusätzliche Authentifizierungsmittel (z. B. starke Authentisierung oder Zwei-Faktor-Authentisierung) vorgesehen werden, die einen erfolgreichen unberechtigten Zugriff erschweren (Chipkarte, wechselnder Zugangscode, verbesserte Passworte, zusätzliche Authentifizierung, Fingerabdruck, biometrische Authentifizierung, etc.).
-
Weitere Vorteile:
-
Der hier vorgeschlagene Ansatz ermöglicht eine gesicherte Datenablage, d. h. Server-, Speicher- und Netzwerkadministratoren haben nur Zugriff auf verschlüsselte und damit wertlose Dateien.
-
Die Verschlüsselungslösung ist für den Endanwender transparent. Sie ist intuitiv und einfach zu benutzen und erlaubt eine hohe Akzeptanz.
-
Weiterhin sind kaum beeinträchtigende Effekte betreffend die Verarbeitungsgeschwindigkeiten feststellbar; die Verschlüsselung und Entschlüsselung auf dem Fileserver erfolgt ohne wahrnehmbare Verzögerung.
-
Zugriffe auf geschützte Dateien und/oder Verzeichnisse können granular und für Administratoren nicht manipulierbar gespeichert und überwacht werden. Dies ermöglicht eine Dokumentation und damit Transparenz der tatsächlich erreichten Sicherheit.
-
Zugriffskontroll-Listen (Access Control Lists, ACLs) können zur Verwaltung der Zugriffsrechte eingesetzt werden.
-
Aufgrund der vorgeschlagenen Lösung sind keine isolierten speziell dafür vorgesehenen Speichersysteme in Sicherheitszonen nötig, die zu hohen Kosten bei üblicherweise eingeschränkter Verfügbarkeit führen. Vielmehr kann die Lösung in eine bestehende Infrastruktur integriert werden. Die Systemadministration kann von der bestehenden Administration mit übernommen werden, was eine hohe Verfügbarkeit (24 Stunden Service an 7 Tagen pro Woche) bei im Wesentlichen unveränderten Kosten erlaubt. Die Teile der Lösung, die nicht von der bestehenden Administration mitgetragen werden können (z. B. Administration der Sicherheitsanwendung), benötigen eine deutlich reduzierte Verfügbarkeit. Dort kann ein zentralisierter Ansatz jedoch für eine gemeinsame Administration einer Vielzahl von sicheren Fileservern eingesetzt werden. Ergänzend sei angemerkt, dass es sich bei den hier erwähnten Fileservern auch um Applikationsserver handeln kann, die entsprechend dem vorgestellten Ansatz ausgelegt sind.
-
Abkürzungsverzeichnis:
-
-
- ACL
- Access Control List
- CIFS
- Common Internet File System
- DAS
- Direct Attached Storage
- DFS
- Distributed File System
- DFSR
- DFS Replication
- IP
- Internet Protocol
- IPSec
- IP Security
- LAN
- Local Area Network
- NAS
- Network Attached Storage
- PEM
- Policy Enforcement Module
- RFC
- Request for Comments
- SAN
- Storage Area Network
- SSL
- Secure Socket Layer
- TCP
- Transmission Control Protocol
- TLS
- Transport Layer Security
- WAN
- Wide Area Network
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- RFC 2401 [0051]
- RFC 4301 [0051]
