Verschlüsselung ruhender Daten: wogegen sie schützt und wogegen nicht

Worum es geht

„Verschlüsselung ruhender Daten“ (Encryption at Rest) bezeichnet mehrere unterschiedliche Ebenen. Die PostgreSQL-Dokumentation führt diese unter den Optionen für einen Datenbankserver auf: Verschlüsselung der Datenpartition auf Block- oder Dateisystemebene (unter Linux typischerweise dm-crypt mit LUKS, verwaltet über cryptsetup), Verschlüsselung einzelner Spalten mit pgcrypto, wobei der Client den Schlüssel liefert und der Server entschlüsselt, sowie clientseitige Verschlüsselung, bei der der Server nie Klartext sieht. Cloud-Plattformen ergänzen dies um anbieterverwaltete Volumenverschlüsselung mit Schlüsseln in einem Schlüsselverwaltungsdienst. Die Dokumentation nennt die Grenze der Partitionsverschlüsselung unumwunden: Sie verhindert, dass unverschlüsselte Daten von den Laufwerken gelesen werden können, wenn die Laufwerke oder der Rechner gestohlen werden, schützt aber nicht vor Angriffen, während das Dateisystem eingehängt ist, weil das Betriebssystem dann eine unverschlüsselte Sicht auf die Daten bereitstellt; und um sie einzuhängen, muss der Schlüssel dem Host übergeben werden, was mitunter bedeutet, dass der Schlüssel auf diesem Host gespeichert ist.

Warum es wichtig ist

Fragebögen fragen „sind Daten ruhend verschlüsselt?“, und ein Ja wird oft als Schutz vor Sicherheitsverletzungen gelesen. Ein Angriff, der über die Anwendung oder deren Zugangsdaten läuft, trifft ein laufendes System, bei dem die Volumenverschlüsselung transparent ist. Zu wissen, welche Ebene welche Bedrohung abwehrt, verhindert sowohl falsche Sicherheit als auch unnötige Komplexität.

So wird es angewendet

• Bedrohung: gestohlene oder ausgemusterte Festplatten, verlorene Backup-Medien, in das falsche Konto kopierte Snapshots. Massnahme: vollständige Volumenverschlüsselung, verschlüsselte Backups und ein Schlüssel, der woanders gespeichert ist als auf der verschlüsselten Festplatte.
• Bedrohung: eine Datenbankadministratorin oder ein Eindringling auf dem Host, die bestimmte sensible Felder lesen. Massnahme: Spaltenverschlüsselung mit Schlüsseln, die die Anwendung hält, wobei akzeptiert wird, dass Klartext und Schlüssel kurzzeitig auf dem Server vorhanden sind (das pgcrypto-Modell), oder clientseitige Verschlüsselung, die dafür auf serverseitige Suche und Indexierung dieser Felder verzichtet.
• Schlüssel: Das OWASP Cryptographic Storage Cheat Sheet empfiehlt, Schlüssel getrennt von den Daten zu speichern, den datenverschlüsselnden Schlüssel (DEK) mit einem an anderer Stelle aufbewahrten schlüsselverschlüsselnden Schlüssel (KEK) zu umhüllen und ausgemusterte Schlüssel so lange aufzubewahren, wie alte Backups sie noch brauchen könnten.
• Pro Datenklasse festhalten, welche Ebene sie wogegen schützt; Backups, Exporte und Logs einbeziehen, die oft die unverschlüsselte Kopie darstellen.

Stolpersteine

Eine Spalte verschlüsseln und dann ihren Klartext indexieren, durchsuchen oder loggen. Den KEK verlieren, was vom Verlust der Daten selbst nicht zu unterscheiden ist. Anbieterverwaltete Verschlüsselung, bei der der Anbieter den Schlüssel hält, als Schutz gegen den Anbieter oder gegen jeden mit den eigenen Kontozugangsdaten behandeln. Annehmen, ein verschlüsseltes Volume mache auch Dumps verschlüsselt: pg_dump-Ausgaben, exportierte CSV-Dateien und Log-Dateien sind Klartext, sofern nicht gesondert verschlüsselt.

Schlüssel in Statement-Protokollen

Ein Schlüssel, der innerhalb einer SQL-Anweisung an pgcrypto übergeben wird, wird überall dort geschrieben, wo Anweisungstext geschrieben wird: im Server-Log unter log_statement = 'all' oder log_min_duration_statement, in pg_stat_activity.query, in Client-Verlaufsdateien und in jedem Logging-Proxy. Seit PostgreSQL 13 werden standardmässig auch gebundene Parameter geloggt, sofern log_parameter_max_length nicht 0 ist. Serverseitige Spaltenentschlüsselung setzt daher voraus, dass Anweisungs- und Parameterprotokollierung für die Rolle, die Schlüssel liefert, deaktiviert ist und dass Zugriff auf Logs wie Zugriff auf Schlüssel behandelt wird; lässt sich das nicht sicherstellen, clientseitige Verschlüsselung verwenden, bei der der Schlüssel den Server nie erreicht.