Nawet jeśli en-masse ochoczo i bez specjalnych zachęt publicznie relacjonujemy swoją codzienność, okraszając te zapiski szczegółami, które – bez ostrzeżenia – mogą natychmiast zostać użyte przeciwko swoim autorom (i nie zawsze świadomym bohaterom tych zapisków), to dla każdego z nas istnieją pewne naturalne granice otwartości i jawności, które powodują, że mechanizmy zabezpieczenia informacji przed niepowołanym dostępem przestały być przedmiotem zainteresowania wąskiego grona specjalistów. O ile jednak do zablokowania swojego telefonu komórkowego z kolekcją spontanicznie wykonanych zdjęć - co uchroni ją przed niechcianym ujawnieniem w przypadku zagubienia aparatu - może nas skłonić jedynie osobista zapobiegliwość, to wiele innych danych podlega sztywnym regułom prawnym narzuconym przez ustawodawców. A gdy na horyzoncie pojawiają się dotkliwe dla odpowiedzialnych osób i firm sankcje, to kwestia wymaga kompleksowego rozwiązania.
Szyfrowanie to nie koniec problemu
Naturalnym podejściem technologicznym do zapewnienia poufności informacji jest operowanie wyłącznie danymi w postaci zaszyfrowanej, co jednak tylko przenosi zagadnienie na inny poziom: zamiast utajniać gigabajty i terabajty danych źródłowych (dostęp do mocno zaszyfrowanych danych niewiele da potencjalnemu włamywaczowi ) można – a nawet trzeba – zająć się kluczami (hasłami) służącymi do szyfrowania. Do tego celu może posłużyć Oracle Key Manager 3 (OKM): system zarządzania całym cyklem życia kluczy szyfrujących.
Jak działa OKM 3
Minimalna konfiguracja sprzętowa składa się z dwóch połączonych w klaster niezawodnościowy specjalizowanych urządzeń serwerowych (dla ciekawych: są to serwery Netra SPARC T4-1), zarządzanych za pośrednictwem graficznej aplikacji uruchomionej w przeglądarce webowej. Skalowalność do 20 urządzeń gwarantuje wydajną obsługę rozbudowanych środowisk z tysiącami punktów szyfrowania, w szczególności i takich, które w celu zapewnienia wysokiej dostępności danych obejmują dwa lub więcej oddzielnych ośrodków przetwarzania danych. Stan systemu OKM (liczebność urządzeń w klastrze, baza użytkowników i przypisanych im ról administracyjnych, rejestr wygenerowanych kluczy szyfrujących itd.) jest na bieżąco replikowany do wszystkich sklastrowanych urządzeń i zapisywany w utrzymywanych lokalnie bazach danych - dzięki temu instalacja jest w stanie skutecznie działać pod warunkiem dostępności przynajmniej jednego appliance’u.
Co by tu zaszyfrować?
O ile poprzednie wersje rozwiązania OKM ograniczały się do obsługi kluczy szyfrowania na potrzeby urządzeń taśmowych, takich jak napędy StorageTek T10000 albo napędy aktualnych edycji standardu LTO, to nowością aktualnej wersji 3 jest wsparcie dla mechanizmów szyfrowania w obrębie bazy danych Oracle lub implementowanych przez inne aplikacje napisane w języku Java. Szerokie spektrum możliwości dopełnia integracja z szyfrowaniem systemu plików ZFS, zarówno w ogólnych instancjach systemu operacyjnego Oracle Solaris, jak i w macierzach dyskowych ZFS Storage (o najnowszych modelach pisaliśmy już wcześniej na tym Blogu). Zwłaszcza ta ostatnia możliwość jest ciekawa w kontekście coraz częściej spotykanych architektur rozwiązań backupowych i archiwizacyjnych łączących pamięci masowe różnych typów: podręczny bufor dyskowy (macierze ZFS właśnie) z długotrwałym przechowywaniem na taśmach (biblioteki Oracle StorageTek).
Certyfikacje
Skoro całe rozwiązanie OKM wpisuje się w infrastrukturę bezpieczeństwa, to trzeba tutaj zasygnalizować fakt, że bazując na niedawnych certyfikacjach bezpieczeństwa FIPS 140-2 dla modułu szyfrowania w jądrze Solarisa wspomaganego akceleratorami sprzętowymi, obecnymi w każdym rdzeniu procesora SPARC T5/T4 (certyfikacja na poziomie 1), a także wcześniejszych certyfikacjach dla napędów taśmowych StrorageTek T10000 (poziom 1) oraz zabezpieczonego sprzętowo modułu HSM w postaci karty PCI Crypto Accelerator 6000 (poziom 3), można w OKM osiągnąć najwyższe poziomy bezpieczeństwa procedur zarządzania kluczami szyfrującymi.
O autorze
Jan Okrasiński, Senior Systems Engineer w Zespole wsparcia sprzedaży Oracle Hardware.
Brak komentarzy:
Prześlij komentarz