Einführung
Datenverschlüsselung , insbesondere in der Cloud, ist heutzutage ein extrem wichtiger Bestandteil jedes Cybersicherheitskonzepts. Immer mehr Unternehmen migrieren ihre Daten in die Cloud, da diese benutzerfreundlicher ist, geringere Kosten bietet und eine höhere Sicherheit gewährleistet. Die führenden Cloud -Service-Provider (CSPs) wie Google, Azure und Amazon verwenden zwar unterschiedliche Datenverschlüsselungsmethoden, diese sind jedoch alle sicher und benutzerfreundlich.
So funktioniert die Datenverschlüsselung in der Cloud
Cloud-Daten befinden sich an zwei Orten: während der Übertragung und im Ruhezustand.
Die Datenübertragungsverschlüsselung (Data-in-Transfer, Datenübertragungsverschlüsselung) verwendet SSL oder TLS, um die übertragenen Daten mit einer Sicherheitsschicht zu versehen. Dadurch wird das Abfangen der Daten während der Übertragung deutlich erschwert. Selbst wenn dies gelingt, handelt es sich um eine unverständliche Zeichenkette, die für den Angreifer nicht lesbar ist. Die Datenübertragungsverschlüsselung erfolgt meist über Webbrowser oder FTP-Clients und erfordert daher weniger Aufwand als die Verschlüsselung ruhender Daten. Letztere kommt zum Einsatz, wenn sich die Daten auf einer Festplatte oder einem anderen Speichermedium befinden. Ähnlich wie bei der Datenübertragungsverschlüsselung werden die Daten in eine zufällige Zeichenkette umgewandelt, um zu verhindern, dass Angreifer den Klartext entschlüsseln.
Von GCP bereitgestellte Tools zur Datenverschlüsselung
GCP verwendet standardmäßig AES-256-Verschlüsselung für ruhende Daten in Google Cloud Storage und TLS-Verschlüsselung für die Datenübertragung. Bei der Datenverschlüsselung in der Cloud nutzt GCP DEKs und KEKs, die mit der Google Key Management Service (KMS) API verwendet und gespeichert werden. Ein DEK ist ein Datenverschlüsselungsschlüssel, der zur Verschlüsselung der Daten selbst dient.
Ein KEK (Key Encryption Key) wird verwendet, um den Datenverschlüsselungsschlüssel zu verschlüsseln und so eine zusätzliche Sicherheitsebene zu gewährleisten. Die KMS- API arbeitet eng mit anderen Google Cloud-Diensten zusammen, wie z. B. Cloud-Sicherheitsdiensten und Google Cloud Functions, um die für die Ver- und Entschlüsselung verwendeten Schlüssel in der Cloud zu speichern. Wenn andere APIs auf DEKs und KEKs zugreifen möchten, benötigt der Nutzer die entsprechenden Berechtigungen. Dienste wie IAM stellen Rollen bereit, die Nutzern den Zugriff auf KMS ermöglichen.
IAM (Identity and Access Management) erstellt wichtige Rollen für Dienste, die für die Zusammenarbeit mit verschiedenen APIs innerhalb der GCP benötigt werden. IAM bietet eine zusätzliche Ebene über KMS zum Schutz verschlüsselter Daten. Administratoren können eigene Rollen für Dienste und Nutzer erstellen und so mehr Kontrolle über den Zugriff bestimmter Nutzer oder Dienste gewinnen. IAM kann außerdem andere GSuite-Anwendungen wie Gmail oder Google Drive mit Anwendungen und Diensten innerhalb des Google Cloud-Kontos eines Nutzers verbinden und so die Nutzerauthentifizierung weiter vorantreiben.
Ein weiteres Beispiel für eine GCP-API, die bei der Datenverschlüsselung hilft, ist die Data Loss Prevention (DLP)-API. Diese API kann innerhalb oder außerhalb der Google Cloud verwendet werden und unterstützt Nutzer dabei, potenziell sensible Daten wie personenbezogene Daten zu identifizieren und diese vor Angreifern zu schützen. Nutzer der Google Cloud Platform können die KMS- und DLP-APIs integrieren, um Verschlüsselungsmethoden wie die formaterhaltende Verschlüsselung (FPEC) anzuwenden . Diese verschlüsselt Daten so, dass sie nicht missverstanden werden, behält aber die Formatierung des Klartextes bei. Dadurch können die personenbezogenen Daten mit falschen Werten verwendet werden.
Fazit
Diese und weitere Methoden ermöglichen Nutzern die freie Verwaltung ihrer Datenverschlüsselungsmethoden auf der Google Cloud Platform. KMS, IAM und DLP können zudem in Google Cloud Functions integriert werden, um Daten beim Hochladen in Google Cloud Storage automatisch zu verschlüsseln. Google Cloud Dataflow kann DLP und KMS nutzen, um Daten aus verschiedenen Speicherorten automatisch zu verschlüsseln. Dies zeigt, wie Nutzer eigene, potenziell robustere Datenverschlüsselungsmethoden erstellen können, um die Speicherung sensibler Daten in der Cloud zu unterstützen.
