Einführung
Datum Verschlüsselung, insbesondere in der Cloud, ist heutzutage ein äußerst wichtiger Bestandteil jedes Cybersicherheitsplans. Immer mehr Unternehmen migrieren ihre Daten in die Cloud, da sie einfacher zu verwenden, kostengünstiger und sicherer sind. Die bekanntesten Cloud-Service-Provider (CSPs), wie Google, Azure und Amazon, verfügen alle über unterschiedliche Methoden zur Datenverschlüsselung, aber sie sind alle sicher und benutzerfreundlich.
So funktioniert die Datenverschlüsselung in der Cloud
Cloud-Daten befinden sich an zwei Orten: während der Übertragung und im Ruhezustand.
Data-in-Transit-Verschlüsselung bezieht sich auf die Verwendung SSL oder TLS um einen Sicherheits-„Wrapper“ um die zu übertragenden Daten zu erstellen. Dies erschwert den Diebstahl von Daten während der Übertragung. Selbst wenn die Daten erfolgreich gestohlen würden, wären sie jedoch ein verwirrender Zeichenblock, der für den Angreifer keinen Sinn ergibt. Die meisten Verschlüsselungen während der Übertragung erfolgen über Webbrowser oder FTP-Clients und müssen daher nicht so verwaltet werden wie die Verschlüsselung ruhender Daten. Die Verschlüsselung ruhender Daten erfolgt, wenn sich die Daten auf einer Festplatte oder einem anderen Speichermedium befinden. Ähnlich wie bei der Verschlüsselung während der Übertragung werden die Daten in eine zufällige Zeichenfolge umgewandelt, um Angreifer am Diebstahl der Daten zu hindern. Klartext.
Von GCP bereitgestellte Tools zur Datenverschlüsselung
GCP verwendet AES-256-Verschlüsselung standardmäßig, wenn Daten in Google Cloud Storage ruhen, und während der Übertragung werden Daten standardmäßig mit TLS verschlüsselt. Beim Verschlüsseln von Daten in der Cloud verwendet GCP DEKs und KEKs, die mit Googles Schlüsselverwaltungsdienst (KMS) API. Ein DEK ist ein Datenverschlüsselungsschlüssel, der zum Verschlüsseln der Daten selbst verwendet wird.
Ein KEK (Key-Encryption Key) wird dann verwendet, um den Datenverschlüsselungsschlüssel zu verschlüsseln und so eine zusätzliche Sicherheitsebene zu gewährleisten. Der KMS API arbeitet eng mit anderen Google Cloud-Diensten zusammen, wie z. B. Cloud-Sicherheitsdiensten, Google Cloud Functions usw., um Schlüssel zu speichern, die für die Verschlüsselung verwendet werden und Entschlüsselung in der Cloud. Wenn andere APIs versuchen, auf DEKs und KEKs zuzugreifen, muss der Benutzer zunächst über die erforderlichen Berechtigungen für den Zugriff auf die Schlüssel verfügen. Dienste wie IAM stellen Rollen bereit, mit denen Benutzer auf KMS zugreifen können.
IAM (Identity and Access Management) erstellt wichtige Rollen für Dienste, die für die Zusammenarbeit mit verschiedenen APIs innerhalb der GCP benötigt werden. IAM bietet eine zusätzliche Ebene über KMS zum Schutz verschlüsselter Daten. Administratoren können eigene Rollen für Dienste und Nutzer erstellen und so mehr Kontrolle über den Zugriff bestimmter Nutzer oder Dienste gewinnen. IAM kann außerdem andere GSuite-Anwendungen wie Gmail oder Google Drive mit Anwendungen und Diensten innerhalb des Google Cloud-Kontos eines Nutzers verbinden und so die Nutzerauthentifizierung weiter vorantreiben.
Ein weiteres Beispiel für eine GCP-API zur Datenverschlüsselung ist die Data Loss Prevention (DLP) API. Diese API kann innerhalb und außerhalb von Google Cloud verwendet werden und hilft dem Nutzer, potenziell sensible Daten wie personenbezogene Daten zu identifizieren und vor Angreifern zu verbergen. Nutzer der Google Cloud Platform können die KMS- und DLP-APIs integrieren, um Verschlüsselungsmethoden wie Formaterhaltende Verschlüsselung, das Daten so verschlüsselt, dass sie missverstanden werden können, während die gleiche Formatierung wie der Klartext beibehalten wird, sodass die PII-Daten mit falschen Werten verwendet werden können.
Fazit
Diese und weitere Methoden ermöglichen Nutzern die freie Verwaltung ihrer Datenverschlüsselungsmethoden auf der Google Cloud Platform. KMS, IAM und DLP können zudem in Google Cloud Functions integriert werden, um Daten beim Hochladen in Google Cloud Storage automatisch zu verschlüsseln. Google Cloud Dataflow kann DLP und KMS nutzen, um Daten aus verschiedenen Speicherorten automatisch zu verschlüsseln. Dies zeigt, wie Nutzer eigene, potenziell robustere Datenverschlüsselungsmethoden erstellen können, um die Speicherung sensibler Daten in der Cloud zu unterstützen.
