Nawet najmniejsze urządzenie podłączone do sieci jest potencjalnym celem dla hakerów próbujących wykraść informacje, manipulować danymi czy uszkodzić samo urządzenie. Zabezpieczenia wyłącznie programowe okazują się niewystarczające. Dlatego producenci sprzętu – procesorów, pamięci masowych, urządzeń sieciowych – stale pracują nad sprzętowymi mechanizmami bezpieczeństwa.

Eksperci Symantec przeprowadzili eksperyment polegający na przechwytywaniu transmisji Bluetooth między smartfonami a inteligentnymi zegarkami i różnymi urządzeniami służącymi do pomiaru aktywności fizycznej (tzw. fitness trackers). Test przeprowadzono w publicznym miejscu, „podsłuchując” przypadkowych przechodniów. Przechwycone dane zawierały, m.in. niezaszyfrowane hasła służące nawiązywaniu połączeń z urządzeniami przechodzących osób. Jeśli zważymy, że ludzie często używają jednego hasła w wielu miejscach, zdobyte w tym eksperymencie dane mogą dać dostęp, np. do firmowego konta danej osoby. Owszem, niektórym tego typu lukom można zapobiegać, konfigurując właściwie oprogramowanie zabezpieczające. Jednak nawet takie wysiłki nie eliminują wszystkich podatności i konieczne są dodatkowe, sprzętowe środki bezpieczeństwa.

Bezpieczeństwo z procesora

Procesory w architekturze x86/x64 mają wbudowane różne mechanizmy bezpieczeństwa. Jednym z nowszych rozwiązań jest Intel Software Guard Extensions. Jest to zestaw instrukcji, które umożliwiają aplikacjom rezerwowanie obszaru w pamięci operacyjnej na kod i dane, który to obszar nie jest dostępny dla innych procesów, również tych z wyższymi uprawnieniami. Technologia Intel SGX jest wbudowana w procesory Intela z rodziny Skylake. Początkowo jednak była wyłączona. Na przełomie października i listopada 2015 r. producent wprowadził w końcu do sprzedaży układy z włączonym zestawem instrukcji Intel SGX.

Intel SGX umożliwia osiągnięcie kilku celów. Po pierwsze, zapewnia ochronę poufnych danych przed nieuprawnionym dostępem lub modyfikacją przez złośliwe oprogramowanie, nawet jeśli działa ono z wyższymi uprawnieniami. Dane wymagają bowiem ochrony nie tylko wtedy, kiedy są przechowywane w zaszyfrowanej formie, ale również w środowisku uruchomieniowym, w którym nie są zaszyfrowane. Bardzo istotne jest też zabezpieczenie tego środowiska na wypadek ataków, w których złośliwe oprogramowanie wykorzystuje podatności w oprogramowaniu systemowym, aby uzyskać większe uprawnienia.

Dzięki Intel SGX zachowana jest bez zakłócania zarządzania zasobami przez uprawnione do tego oprogramowanie systemowe także poufność i spójność danych oraz kodu. Poufne dane wymagają ochrony przed złośliwym oprogramowaniem działającym z podwyższonymi uprawnieniami, ale jednocześnie system operacyjny musi mieć możliwość wykonywania swoich zadań. Nie do zaakceptowania byłaby sytuacja, w której chronione przy użyciu SGX aplikacje zakłócałyby działanie podstawowych funkcji systemu operacyjnego (np. zarządzanie urządzeniami czy kolejkowanie zadań). Systemy operacyjne są rozwijane od wielu lat i konieczność stworzenia dodatkowego, równoległego środowiska byłaby niepraktyczna.

Użytkownikom urządzeń z zestawem instrukcji Intel SGX umożliwia on zachowanie kontroli, a jednocześnie daje swobodę w instalowaniu i usuwaniu aplikacji w ich urządzeniach. Umożliwia również ocenę kodu aplikacji i wystawianie poświadczeń zaufanym aplikacjom, które mogą zostać zaszyte w procesorze. Z drugiej strony tworzenie zaufanych aplikacji nie powinno narzucać konieczności używania sprzętu o określonej konfiguracji czy ograniczać możliwości kontroli użytkownika nad jego urządzeniem. Powszechną praktyką poprawy bezpieczeństwa jest dzisiaj budowanie platform z ograniczonym zestawem aplikacji, które mogą być na nich uruchamiane.

Konsole do gier czy smartfony z reguły są wyposażone w dedykowany system operacyjny z ograniczonymi możliwościami aktualizowania oraz restrykcjami dotyczącymi instalowania aplikacji. W ten sposób ograniczania się ilość możliwych wariacji, które prowadzą do powstawania problemów z bezpieczeństwem. Firma może wymagać używania określonego systemu operacyjnego i konkretnych konfiguracji oprogramowania, a także ograniczać swobodę użytkowników (np. zabronić korzystania z kluczy USB). Dla takich ograniczeń mogą istnieć dobre powody biznesowe czy administracyjne, ale nie powinny być one wymaganiem stosowanym w celu zachowania poufności i spójności danych. To wymaganie jest wyraźne widoczne – jeśli spojrzeć na prywatne urządzenia użytkowników, w których równie duża jest potrzeba posiadania zaufanego środowiska – ale jednocześnie silny jest imperatyw zachowania dużej swobody personalizacji.

Samoszyfrujące dyski

Szyfrowanie to ostatnia, ale ważna linia obrony. Do większość głośnych wycieków danych nie doszłoby, gdyby zaatakowane firmy właściwie stosowały szyfrowanie. Aby zabezpieczyć dane zapisane na dyskach, można skorzystać z dwóch opcji: szyfrowania wbudowanego w dyski HDD lub z funkcji szyfrujących oferowanych przez macierze NAS. W tym przypadku Szyfrowanie realizuje kontroler dysków, który koduje dane zapisywane na dyskach i odszyfrowuje je podczas operacji odczytu. Służy do tego dedykowany układ ASIC, aby szyfrowanie nie powodowało spadku wydajności.

Producenci dysków twardych oferują modele samoszyfrujące SED (Self-Encrypting Drives). Algorytm szyfrujący jest wbudowany w kontroler dysku, który dba o to, aby dane były zapisywane w zaszyfrowanym formacie. Kluczami szyfrującymi zarządza dysk, nie ma potrzeby, aby zajmowali się tym administratorzy. Kiedy dysk SED zostaje podłączony, od użytkowników wymagane jest uwierzytelnienie, aby uzyskać dostęp do plików. To zapewnia ochronę, jeśli dysk zostanie odłączony od serwera NAS, np. z powodu awarii czy przy wymianie macierzy.

Trzeba pamiętać, że technologie szyfrowania SED nie zastąpią mechanizmów kontroli dostępu w centrum danych, raczej stanowią ich uzupełnienie. Dyski SED chronią bowiem dane na wypadek, kiedy właściciel straci nad nimi fizyczną kontrolę, ale nie zabezpieczają przed zagrożeniami występującymi wewnątrz centrum danych. Jeśli ktoś uzyska zdalny dostęp do serwera, który z kolei ma dostęp do zawartości dysku SED, będzie mógł odczytać dane z tego dysku w postaci niezaszyfrowanej.

Podziel się na:
  • Facebook
  • Google Bookmarks
  • LinkedIn