“ози сайт използва бисквитки (cookies). јко желаете можете да научите повече тук. –азбрах

Ќовини “ехнологии и концепции
бр. 7, 2018

»зникват хардуерни и софтуерни решени€ за криптиране в работен режим

’акерите често намират и използват пропуски в защитата на текстовите данни - новите софтуерни и хардуерни решени€ за криптиране в работен режим цел€т да запушат тези пробойни

от , 24 юли 2018 0 859 прочитани€,

ћари€  оролов, CSO, —јў 

 риптирането на облачните приложени€ е у€звимо за разлика от данните„на склад“, които са добре защитени, макар че все още много фирми подцен€ват ползата от подобни решени€. ƒобре защитена е и информаци€та, докато се пренас€.  акво става обаче с данните, които се използват?

 огато използва данните, облачното приложение тр€бва да ги „вижда“ в текстов формат. “ова означава, че хакер или вътрешен човек с достъп до приложната среда може да ги прочете с лекота. ѕодобен проблем със сигурността предизвикват програмите Spectre и Meltdown, които откриват у€звимите места на хардуера, позвол€ващи да бъдат откраднати данни чрез код. ѕо принцип не е забранено една програма да чете информаци€ от друга, но Spectre и Meltdown могат да бъдат използвани от зловреден софтуер за достъп до чувствителна информаци€, складирана в паметта на други приложени€ в работен режим, и така са се осъществи неоторизиран достъп до пароли, запазени в password manager или браузъра, имейли, съобщени€, дори документи. Meltdown и Spectre работ€т на персонални компютри, мобилни устройства и в облака. 

ƒоскоро единственото решение за фирмите беше да стартират приложени€та в клиентската среда и да използват облака само за съхранение. ƒнес вече има н€колко технологии, които решават този проблем както от хардуерна, така и от софтуерна гледа точка. Google, Microsoft и IBM имат решени€, готови или в процес на разработка, а н€колко американски стартъпа са се заели със специфичните случаи. 



«ащитени вътрешни сектори в чип
«ащитените вътрешни сектори се използват широко в смартфоните за съхранение на важна информаци€, например за идентификаци€ и плащани€. »де€та е, че криптираните данни попадат в защитени€ сектор, където се декриптират, обработват и повторно се криптират, преди да изл€зат от него. “ъй като криптирането става хардуерно, то е бързо и сигурно.

ѕодобна технологи€ съществува и в чиповете, залегнали в облачните приложени€, включително тези на Intel, ARM и AMD, наречени защитени работни среди. AMD има сво€та Secure Execution Environment, а ARM разполага с TrustZone. “ази на Intel се нарича Software Guard Extensions или Intel SGX.

„¬ътрешни€т сектор не е достъпен за системата“, казва јмбуй  умар, съосновател и изпълнителен директор на Fortanix. „јко откриете вирус в операционната система, секторът остава защитен. јко имате злонамерен вътрешен човек с достъп до системата, секторът отново е недостъпен. ƒори да сте изправени пред физически нападател, който може да влезе в паметта, криптирането в работен режим не се нарушава, защото вътреши€т сектор е вграден в централни€ процесор.“

Fortanix предлага платформа, позвол€ваще на инсталираните приложени€ да получат достъп до защитени€ вътрешен сектор. „ огато приложението изисква определени данни, те се криптират на парче“, казва той. „ѕриложението си мисли, че работи с декриптирана информаци€, защото при нужда данните винаги са на разположение.“

ќсвен че предлага обща програмна рамка, Fortanix предлага и вградени решени€, включително устройство за управление на ключове и продукт за бази данни. Ќа 20 юни 2018 компани€та об€ви аналитичен продукт, който поддържа приложени€, написани на Python и R, най-разпростраенните езици за приложени€ с изкуствен интелект и машинно обучение. ¬ече тези програми могат да се обучават в облака, без да се компрометира сигурността, казва  умар.

“ова помага да се преодоле€т предизвикателствата, свързани със защитата на личните данни при AI задачи, потвърждава –ик ≈шевери€, генерален директор платформена сигурност в Intel.

GeneTank, ко€то преди използваше хомоморфно криптиране - софтуерно базиран подход за сигурност в работен режим, планира да премине към Fortanix. „Fortanix Runtime Encryption поддържа нашата визи€ за създаването на сигурен и прозрачен пазар за генетични и здравни алгоритми и AI услуги“, казва главни€т изпълнителен директор на компани€та јн  им.

ќще един от ранните последователи е iExec, компани€, ко€то предлага блокчейн базирани облачни решени€, цел€щи да направ€т AI по-ефективен. “€ ще използва технологи€та на Fortanix за криптиране в работен режим, за да защити приложени€та, вградени в платформата, коментира Ћей ∆анг, мениджър сигурност и разработки в iExec.

Fortanix са готови да поддържат и други чипсетове, но за момента се фокусира върху Intel SGX, тъй като той е най-напред в технологично отношение и се поддържа от най-много други доставчици. IBM например об€ви сво€та услуга Data Guard минали€ декември в партньорство с Fortanix и сега приема записвани€ за ранен достъп.

 орпораци€та см€та да предложи първоначална поддръжка за MySQL, Nginx, Forgerock OpenDJ, OpenStack Barbican и menidvyri на софтуерни ключове (key managers), готови да вл€зат в Docker регистъра на IBM. ќсвен това бизнес клиентите ще могат да промен€т приложени€та си, като използват набора от инструменти на Fortanix.

Microsoft разполага с конфиденциалното решение Azure и също използва технологи€та Intel SGX. ћинали€ месец технологични€т гигант об€ви процесори Intel Xeon, снабдени с SGX, за сво€ Azure регион в източните американски щати. ќт Microsoft твърд€т, че работ€т също и върху инструменти за софтуерна разработка на приложен интерфейс, който да улесни програмистите при използването на Intel SGX хардуера.

ћинали€ месец в играта се включи и Google с Asylo, рамка с отворен код за разработване на приложени€ за сигурност, използващи надеждни работни среди, като Intel SGX. ƒоставчикът на инструменти за сигурност Gemalto на свой ред отдел€ внимание върху новата технологи€ с решението си SafeNet – облачно базирана услуга за управление на ключове. 

ƒруга компани€, ко€то предлага управлението на ключове като услуга, е Equinix. —ъщо като IBM т€ използва Fortanix като основна технологи€, а първи€т й гол€м продукт на пазара, базиран на Intel SGX, се по€ви миналата есен.

ƒнес около 60 компании тестват услугата, казва »мам Ўейк, главен мениджър продукти за сигурност в Equinix. „Ѕизнес случаите са различни – н€кои € използват за криптирани кредитни карти, други – за криптиране на ключове за бази данни.“

¬се още н€маме новини от Amazon - дали използва вече Intel SGX, но има време. ќчаквани€та са технологи€та да става все по-попул€рна, а криптирането в работен режим да се превърне в нова категори€ продукти за сигурност.

«ащитените вътрешни сектори имат и минуси
Ќедостатъците на хардуерно базираните защитени вътрешни сектори включват ограничени€ за количеството данни, което може да се съхран€ва в сектора, а това може да доведе до забав€не в обработката. ќще по-гол€мо неудобство е, че клиентите, които използват приложени€ в облака, обикновено не зна€т какъв е хардуерът на доставчика на платформата. ѕроблемът веро€тно ще се разреши, когато облачните компании започнат да предлагат програмни среди, които автоматично се настройват към хардуера. 

ќсвен това защитените вътрешни сектори не предпазват приложени€та от грешки. Ќапример, ако н€кой получи достъп до легитимен сертификат или открие грешка в кода, може да използва приложението, за да стигне до данните. „Ќ€ма софтуерно решение, което да ви защити, ако сте написали кода си лошо“, предупреждава  умар.

Ќакра€ идва и целостта на самите защитени вътрешни сектори. ≈ксперти от ”ниверситета на ќхайо неотдавна демонстрираха у€звимост на Intel SGX, ко€то нарекоха SgXSpectre. “ози недостатък, подобен на Spectre, показва, че „ако кодът на вътрешни€ сектор бъде повли€н от програми извън него, контролни€т поток на програмата на сектора може временно да бъде променена, за да изпълни инструкции, водещи до видими промени в кеша.“ — други думи, некриптираните данни в сектора стават четими.

—офтуерно базирани подходи за защитени изчислени€ в облака

—офтуерно базираните алтернативи на защитени€ вътрешен сектор са опити да се намер€т начини за работа в облака, без да се криптират данните. »ма два основни подхода: хомоморфно криптиране и многостранно изчисление.

’омоморфното криптиране позвол€ва да се извършват изчислени€та или търсени€ без първоначално декриптиране на данните. Ќедостатъкът му е, че може да бъде много бавно.

ћногостранното изчисление раздел€ алгоритъма на множество части, като използва различни сървъри за обработка на вс€ка от т€х. Ќито един от сървърите не разполага с пълните декриптирани данни по което да е време. —поред експертите то е по-бързо от първи€ способ, но не и от хардуерно базираните алтернативи. «абав€нето се дължи най-вече на по-гол€мото комуникационно натоварване.

 омпани€та Inpher работи и върху двете технологии, като предлага търговски продукт Xor, който използва многостранно изчисление за защита на анализи в облака. –азполага също и с отворена библиотека за хомоморфно криптиране.

’омоморфни€т подход е много по-бавен, казва ƒжордан Ѕрант, съосновател и главен изпълнителен директор на компани€та. „≈то защо платени€т ни продукт се основава на защитени многостранно изчислен舓, по€сн€ва още той.

Inpher достав€ набор от конектори към често срещани аналитични платформи и езици като Tensor Flow, Python и R, както и обичайни методи за съхранение на данни като Hadoop клъстери, SQL бази данни и дори текстови файлове. „Ќе се интересуваме как се съхран€ват данните, казва Ѕрант, а управл€ваме начина, по който се обработват, така че крайни€т потребител да не се тревожи за сложността на използваното криптиране.“

—ред клиентите са холандската банка ING и френската компани€ за отбранителни технологии Thales, ко€то от април стана партньор на Inpher, използвайки защитените анализи за прогнозна поддръжка. „“рудно ще намерите компани€, ко€то да иска да говори официално за това как използва криптирането в работен режим. Ќе само защото технологи€та е много нова, но и защото е трудна за внедр€ване. » хомоморфното криптиране, и многостранното изчисление е възможно да изискват нова програмна логика. „Ќе всички приложени€ могат да се преобразуват за тези видове изчислен舓, казва ƒейвид јрчър, главен изследовател в консултантската компани€ за защита на личните данни и криптографи€ Galois.

¬ резултат повечето от доставчиците предлагат т€сно специализирани решени€. Ќапример рамката за разкриване на информаци€ с етична защита на Galois (Framework for Information Disclosure with Ethical Security или FIDES) позвол€ва на изследователите достъп до криптирани сетове от данни, без да виждат суровите данни, а само резултатите от за€вките, попадащи в забранени параметри.

„–аботим с вътрешното министерство на —јў за въвеждане на контрол на достъпа до данни и поддържането им в криптиран вид по време на ползване. »маме подобни проекти и с ћинистерството на отбраната“, коментира јрчър. 

ƒруг доставчик, Unbound Tech, познат преди като Dyadic Security, предлага сигурен софтуерно базиран мениджър на ключове като алтернатива на хардуерно базираните защитни модули. “ой използва многостранно изчисление. „¬место да държим ключовете в паметта или дори на едно м€сто, ние ги разпредел€ме в много локации и след това работим с данните, без никога да събираме ключовете заедно“, казва съосновател€т на компани€та Ќайджъл —март.

‘окусът върху специфично приложение премахва нуждата клиентите да преработват софтуера си, казва той. Unbound планира да разшири дейността си в областта на защитени€ достъп до бази данни, което е друго често срещано приложение на софтуерно базираното криптиране в работен режим. ќбикновено доставчиците в тази сфера предлагат продукт, разположен между новото приложение на клиента и стандартна база данни като SQL.

јко приложението на клиента разчита изц€ло на базата за търсенето и обработката на данните, тогава то може да се възползва от готовите решени€ за криптиране в работен режим и н€ма да се налага преправ€не. ѕри условие че приложението вади данни от базата и след това прави нещо с т€х без вътрешна логика, преминаването към хомоморфно криптиране или многостранно изчисление е много по-трудно. „Ќ€ма технологи€ на света, ко€то да вземе дадена програма и просто да € подкара“, казва той. „“€ тр€бва да се преобразува в криптографски€ протокол.“

Baffle вече предлага защитен достъп до бази данни, който използва многостранно изчисление. „¬карваме слой между приложението и базата данни. ¬ действителност не промен€ме приложението въобще“, коментира главни€т изпълнителен директор на Baffle јмеш ƒиватиа.

ѕредимството при използването на софтуерно базирано криптиране в работен режим вместо решение като Intel SGX е, че то не разчита на специфичен хардуер, и с все по-широкото навлизане на Intel SGX Baffle може да се възползва от него.

 ато повечето доставчици в областта Baffle е относително нова компани€. “€ об€ви поддържката на SQL бази данни преди година, а на AWS и Azure – миналата есен. ѕрез юни представи функционалност за търсене със заместващи символи.  омпани€та има клиенти във финансовите услуги и здравеопазването, които са на различен етап от внедр€ването, коментира ƒиватиа.

≈дин от основните конкуренти на Baffle е Enveil, ко€то идва от военни€ сектор.  омпани€та, основана през 2016, твърди, че е намерила тайна стратеги€, ко€то прави хомоморфното криптиране по-бързо. „»махме гол€м успех във федералното правителство и го сертифицирахме за държавно ползване“, казва главни€т изпълнителен директор на Enveil ≈лисън јн ”ил€мс. „Ќаистина предлагаме практическо хомоморфно криптиране. » го направихме лесно за ползване при вс€какъв вид приложени€, така че да не тр€бва да промен€те потребителското си прежив€ване и това как съхран€вате данните си или дори как ги криптирате.“

”ил€мс коментира още, че Enveil осигур€ва данни за сравнителен анализ (benchmarking data) на клиентите за всеки случай поотделно, но не го прави обществено досто€ние. “ехнологи€та може да се използва за широк набор от приложени€, казва ”ил€мс. „Ќо виждаме, че повечето хора прав€т търсени€ и анализи.“

ƒоставчици на софтуерно базирани решени€ за криптиране в работен режим
—писъкът на компаниите, които предлагат софтуерни продукти и услуги за криптиране в работен режим, расте. ≈то кои доставчици намерихме:

Baffle: ћногостранно изчисление за защитен достъп до бази данни
Duality: ’омоморфно криптиране за облачно базирани анализи
Enveil: ’омоморфно криптиране за облачно базирани анализи и търсени€, като и хардуерно базирани вътрешни сектори, основани на Intel SGX
Inpher: ћногостранно изчисление за анализи, както и отворена библиотека за хомоморфно криптиране
Partisia: ћногостранно изчисление за онлайн търгове
Sepior: ћногостранно изчисление за управление на ключове
Sharemind: ћногостранно изчисление за засичане на измами
UnBound: ћногостранно изчисление за управление на ключове 
CryptoExperts:  онсултантска компани€, специализирана в проекти за хомоморфно криптиране
Galois:  онсултантска компани€, специализирана в проекти за многостранно изчисление

 риптирането в работен режим – отрасъл или функционалност
Ќе вс€ка компани€ ще иска да използва криптиране в работен режим, казва √арет Ѕекер, анализатор в 451 Research: „“о налага н€кои компромиси. ћоже да повреди приложени€ или функционалности.“

Ќо за SaaS доставчиците криптирането в работен режим е полезна функционалност, ко€то да предлагат на заинтересованите клиенти. “ехнологи€та може би има повече смисъл като функционалност, предлагана от големите доставчици на облачни платформи или киберсигурност. Ѕекер очаква много поглъщани€, след като се финализира сливането на гигантите Gemalto и Thales.

ћеждувременно преди криптирането в работен режим пред компаниите сто€т за решаване много други проблеми със сигурността. ј от страна на крайни€ потребител още н€ма търсене на такива продукти. 

ѕревод и редакци€ ёли€ ”ршева

 ќћ≈Ќ“ј–» ќ“  

ѕолезни страници
    «а нас | јудитори€ | –еклама |  онтакти | ќбщи услови€ | ƒеклараци€ за поверителност | ѕолитика за бисквитки |
    ƒействителни собственици на насто€щото издание са »во √еоргиев ѕрокопиев и “еодор »ванов «ахов