Bring Your Own Key (BYOK) is een aanpak waarbij de sleutels op locatie in een cloud-serviceprovider omgeving, waardoor het mogelijk is om on-premise sleutels te gebruiken met de native cloud sleutelbeheer diensten aan enccrypt en aflypt inhoud. BYOK vereist HSMs (hetzij toegewijd, hetzij aangeboden als KMS-service), maar ondersteunt alle cloud servicemodellen (SaaS, PaaS en IaaS), zolang de cloudleverancier een sleutelbeheerservice aanbiedt.
Rol en werking van BYOK
Stel je BYOK voor als een systeem waarbij je je eigen slot en sleutel bij je draagt om waardevolle spullen veilig te bewaren, zelfs wanneer je ze opbergt in een gedeelde kluis (zoals cloudopslag). Deze analogie benadrukt de sleutelrol van BYOK (Bring Your Own Key) in cloudbeveiliging: behoud van controle over uw gegevensversleutelingssleutels.
Bij traditionele cloudopslag beheert en versleutelt de cloudprovider de gegevens met zijn eigen sleutels. Met BYOK kunt u uw eigen encryptiesleutels genereren en beheren, die meestal worden opgeslagen in een beveiligd apparaat, een zogenaamde Hardware Security Module (HSM). Zo werkt het:
-
Genereren en opslaan
Maak uw encryptiesleutels aan en sla ze veilig op in uw HSM.
-
Uploaden (optioneel)
Afhankelijk van de BYOK-implementatie kunt u met sommige oplossingen de gecodeerde sleutel uploaden naar de Key Management Service (KMS) van de cloudprovider voor extra beheerfuncties.
-
Coderen en decoderen
Wanneer u gegevens uploadt naar de cloud, versleutelt de HSM deze met uw sleutel. Wanneer u toegang tot de gegevens nodig hebt, ontsleutelt de HSM deze met dezelfde sleutel.
BYOK met Cloud KMS
Organisaties kunnen hun eigen 'mastersleutels' naar de cloud brengen, maar de cloudprovider gebruikt data-encryptiesleutels die van de master zijn afgeleid voor de daadwerkelijke encryptie en decryptie buiten de HSM's. Omdat de cloudleverancier alle onderliggende hardware en software beheert, kan hij kiezen of encryptie plaatsvindt in hardware- of softwareservices, terwijl de beveiliging van de afgeleide encryptiesleutels behouden blijft.
Voordelen
- Er zijn geen gespecialiseerde, deskundige middelen nodig
- Maakt het mogelijk om bestaande producten te gebruiken die sleutels nodig hebben geheimschrift
- Biedt een gecentraliseerd punt voor het beheren van sleutels voor heterogene producten
- Native integratie met andere diensten zoals systeembeheer, databases, opslag en applicatie-ontwikkelingstools die door de cloudprovider worden aangeboden
Nadelen
- Belangrijke blootstelling buiten HSM
- FIPS 140-2 Niveau 3 en hogere apparaten niet beschikbaar
BYOK met Cloud HSM
Alle encryptiebewerkingen namens de organisatie worden binnen de HSM uitgevoerd. De native cloud-encryptieservice kan verzoeken namens de organisatie verwerken, waardoor encryptie en decryptie transparant zijn, maar sleuteltoegang en cryptografische bewerkingen binnen de HSM plaatsvinden.
Voordelen
- Geen sleutelblootstelling buiten de HSM
- FIPS geavanceerde hardware-gebaseerde apparaten (FIPS 140-2 niveau 3 en hoger) die voldoen aan alle wettelijke vereisten
- Kan alle kernfuncties van een on-premises HSM uitvoeren: sleutelgeneratie, sleutelopslag, sleutelrotatie en API-interfaces om encryptie in de cloud te orkestreren
- Ontworpen voor veiligheid
- Speciale hardware en software voor beveiligingsfuncties.
Nadelen
- Er is behoefte aan gespecialiseerde interne middelen om de belangrijkste activiteiten en de levenscyclus van cryptovaluta te beheren
- Op HSM gebaseerde benaderingen zijn kostenintensiever vanwege het speciale hardware-apparaat dat beschikbaar wordt gesteld
- Prestatieoverheads