Bezpečnost v oblacích: díl 2. – Úniky a ztráty

David Janoušek , 16. září 2014 15:51 0 komentářů
Bezpečnost v oblacích: díl 2. – Úniky a ztráty

Únik a následné zneužití dat patří mezi nejvíce diskutované hrozby při jejich uchování v cloudu. Jednu z forem tohoto nebezpečí představuje, zatím spíše v teoretické rovině, sledování jednoho virtuálního stroje druhým, pokud se oba nacházejí na jednom fyzickém serveru.

Tato skutečnost znepokojuje uživatele virtuálních serverů, kteří až doposud žili v přesvědčení, že parametry nastavení virtuálního stroje tvoří hranice, které nelze překročit. Cloudové technologie vycházejí z tzv. multi-tenant architektury, kdy je jeden fyzický server společně využíván více zákazníky a uživateli. Praktickou možnost tohoto úniku zkoumali odborníci z University of North Carolina, University of Wisconsin a RSA spadající pod EMC, avšak dle jejich závěrů provedení podobného útoku, byť jen v laboratorních podmínkách, bylo velmi obtížné.

Jak se bránit?

Za účelem zajištění ochrany proti tomuto riziku se využívá šifrování dat a většina velkých poskytovatelů jej nabízí jako standardní součást služby. Ochrana dat je v tomto případě kompletně v rukou poskytovatele služby a je otázkou, zda uživatel má k němu takovou důvěru, aby se s tímto "standardním" opatřením spokojil. Navíc někteří poskytovatelé cloudových služeb své zákazníky přímo nabádají ke sdílenému řešení bezpečnostních rizik, protože nechtějí nést plnou zodpovědnost za bezpečnost uložených dat a svoji roli omezují na poskytnutí fyzické bezpečnosti. Řada uživatelů proto aktivně přistupuje k použití vlastního bezpečnostního mechanismu, který zajistí šifrování dat ještě před tím, než opustí jejich interní síť. Pro tento účel se využívají bezpečnostní appliance zařazené do síťové infrastruktury zákazníka. Data se pak přenášejí a v cloudovém úložišti ukládají pouze v šifrované podobě a k jejich dešifrování dochází opět ve vnitřní síti zákazníka. Tímto odpadá základní problém s tím, kde uchovávat privátní klíče, protože jejich uložením na serverech poskytovatele služby by celý bezpečnostní mechanismus ztrácel smysl. Druhou možností je využití takzvaného bezpečnostního depositu, t.j. obdoby bankovního boxu, kdy jeden klíč vlastní zákazník a druhý poskytovatel bezpečnostního depositu (dále jen PBD). Kromě toho, že jsou klíče rozděleny, jsou navíc šifrovány tzv. zákaznickým master klíčem. Díky tomu má PBD sice přístup ke klíčům zákazníka, ale nemůže je číst, protože jsou šifrovány. Toto řešení je vhodné pro zákazníky, kteří nechtějí provozovat vlastní bezpečnostní appliance.

Cloud vs In-House

Uložení dat ve vlastním fyzickém úložišti pod plnou kontrolou zákazníka je na první pohled vždy bezpečnější. Paradoxně však tento pocit výhradní kontroly může vést a často vede k absenci nasazení pokročilejších forem ochrany dat, což je může vystavit celé řádě jiných bezpečnostních rizik.

Ztráta nebo nedostupnost dat

Zatímco únik dat bývá většinou způsoben provedením cíleného invazivního zásahu, jenž může být rovněž charakterizován jako krádež dat, hrozba jejich ztráty je více spojována se selháním hard disku, neúmyslným vymazáním nebo výskytem lidské chyby při údržbě cloudové infrastruktury. Do této kategorie rovněž patří cílený útok za účelem poškození/vymazání dat konkrétního uživatele, případně všech uživatelů daného poskytovatele služby. Nedostupnost dat pak představuje situaci, kdy důsledkem technické závady (např. výpadek internetu nebo selhání infrastruktury poskytovatele cloudu) zákazník ztratí přístup ke svým datům, nebo aplikacím.

Jak se bránit?

Samozřejmě zálohováním dat. Přestože zálohování dat je preventivní opatření, které existuje od raných dob využívání výpočetní techniky, je těžké uvěřit, kolik uživatelů tuto elementární prevenci podceňuje. Naštěstí poskytovatelé cloudu tuto funkcionalitu nabízejí ať již v základu, nebo jako rozšíření standardní funkcionality a většina z nich navíc zálohy ukládá v geograficky oddělených lokalitách. V každém případě platí, že uživatel by nikdy neměl být závislý pouze na těchto opatřeních, ale svá data pravidelně zálohoval lokálně. Problematika zálohování rovněž úzce souvisí se šifrováním dat, popsaným v předchozím bodu. Vždy je třeba pamatovat na zálohu klíčů, bez kterých se k zálohám (pokud jsou uchovávány v šifrované podobě) nelze dostat.

Cloud vs In-House

Pokud nebudou dodrženy zásady spojené se zálohováním dat, k jejich ztrátě může dojít stejně dobře v cloudu jako v lokální IT infrastruktuře. V obou případech je pak rozhodující reakční doba a schopnost daný problém vyřešit.

První díl seriálu naleznete zde.

David Janoušek

Autor článku dlouhodobě pracoval ve významných amerických IT společnostech zaměřených na vývoj aplikačních řešení pro velké firmy a státní správu. V současné době působí jako nezávislý IT konzultant a specializuje se na problematiku implementace cloudových řešení a jejich bezpečnost. Zabývá se rovněž vývojem webových aplikací na platformě Salesforce.com a Force.com.


Komentáře

RSS 

Komentujeme

Intel Inside aneb všichni jsme načipováni

Petr Zavoral , 10. prosinec 2017 18:20
Petr Zavoral

V Havlově hře Audience přesvědčuje Sládek Ferdinanda Vaňka, aby donášel sám na sebe. Z pohledu letoš...

Více







Kalendář

09. 01.

13. 01.
CES 2018
18. 01.

19. 01.
itSMF 2018
29. 01.

30. 01.
G2BTechEd

RSS 

Zprávičky

Nové Embarcadero RAD Studio obsahuje i licenci pro aplikační server

Pavel Houser , 15. prosinec 2017 10:00

Vývojové prostředí nabízí i nové prvky knihovny vizuálních komponent a nové možnosti grafického uživ...

Více 0 komentářů

Botnet Necurs se vrátil a šíří nový ransomware

Pavel Houser , 15. prosinec 2017 09:00

V listopadu došlo k oživení botnetu Necurs v souvislosti s distribucí nového ransomwaru Scarab. ...

Více 0 komentářů

Jižní Korea zvažuje, že zdaní obchody s bitcoinem

ČTK , 15. prosinec 2017 08:00

Vláda se obává dopadů, které s sebou může přinést náhlý cenový propad kryptoměn....

Více 0 komentářů

Starší zprávičky

O2 v dalších dvou letech vykoupí až 1,25 % vlastních akcií

ČTK , 14. prosinec 2017 10:00

Cílem nového programu je optimalizace kapitálové struktury, uvedla firma....

Více 0 komentářů

10 spotřebitelských trendů pro rok 2018

Pavel Houser , 14. prosinec 2017 09:00

Sluchátka budeme nosit 24 hodin denně, i během spánku. Umělá inteligence bude vytvářet reklamy. Koli...

Více 0 komentářů

Apple poskytne investici 390 milionů USD firmě Finisar

ČTK , 14. prosinec 2017 08:00

Výrobce optických komponentů Finisar získá investici 390 milionů dolarů od firmy Apple....

Více 0 komentářů

Facebook se chystá danit příjmy z reklamy v jednotlivých zemích

ČTK , 14. prosinec 2017 08:00

Změna se má uskutečnit do poloviny roku 2019 a týkat se bude zhruba 30 zemí, kde má firma kanceláře....

Více 0 komentářů