Verbessern der Datensicherheit durch SQL Server 2005

Verwenden der SQL Server 2005-Verschlüsselung zum Schutz von Daten

Veröffentlicht: Oktober 2005

Überblick

Situation● Microsoft IT hat eine Neubewertung der Datenbanksicherheits-

Frameworks vorgenommen

Lösung● SQL Server 2005

Vorteile● Einfache Verwendung, robustes Framework zur Schlüsselverwaltung● Verschlüsselung vertraulicher Daten in Anwendungen● Entschlüsselung von Daten in einer Sicht● Vereinfachte Datenverschlüsselung

Produkte und Technologien

● SQL Server 2005

Überblick über gesetzliche Anforderungen

● Microsoft-Sicherheitsframeworks müssen den in den USA geltenden staatlichen und bundesstaatlichen sowie den entsprechenden internationalen Gesetzen zur Speicherung persönlicher Daten genügen

● Die Anforderungen betreffen mehrere Datenbankoperationen

Übersicht über die Datenverschlüsselung

● Normalerweise stellt die Datenverschlüsselung die letzte Sicherheitsbarriere für vertrauliche Daten dar

● Verschlüsselung erhöht die Prozessorlast und verbraucht Speicherplatz

● Verschlüsselung benötigt eine Schlüsselverwaltung

● Symmetrische Verschlüsselung:● Ist schnell● Verwendet einen einzelnen Schlüssel● Nichtabstreitbarkeit steht nicht

zur Verfügung

Übersicht über die Datenverschlüsselung

● Asymmetrische Verschlüsselung:● Verwendet ein Schlüsselpaar● Ist langsamer als symmetrische Verschlüsselung● Vertraulichkeit und Nichtabstreitbarkeit stehen zur

Verfügung● Kombinierte Verschlüsselung:

● Nutzt die Vorteile der Geschwindigkeit von symmetrischer Verschlüsselung und der erhöhten Sicherheit von asymmetrischer Verschlüsselung

Anwendungsumgebung

● Microsoft IT aktualisiert alle datenbankbezogenen LOB-Anwendungen auf SQL Server 2005

● Analysen von Datenbankspeicherlösungen wurden den gesetzlichen Anforderungen sowie den Anforderungen der Informationssicherheit angepasst

● Drei Datenbanksysteme wurden analysiert

Lösung: SQL Server 2005-Verschlüsselung

● Enthält viele Sicherheitsfeatures● Unterstützt drei Verschlüsselungstypen, von

denen jeder mit unterschiedlichen Schlüsseln und mehreren Verschlüsselungsalgorithmen arbeitet

Lösung: SQL Server 2005-Verschlüsselung

Operating system level Windows DPAPI

SQL Server 2005 instance levelService Master Key

DPAPI encrypts Service Master Key

SQL Server 2005 database levelDatabase Master Key

Service Master Key encrypts Database Master Key

Asymmetric keys

Certificates

Symmetric keys

Data

Symmetric keys

Data

Symmetric keys

Data

Lösung: SQL Server 2005-Verschlüsselung

● Anforderungen für den Ver- und Entschlüsselungsprozess:● Ein Zertifikat als Verfahren zur Anwendung

einer asymmetrischen Verschlüsselung● Ein asymmetrischer Schlüssel● Ein symmetrischer Schlüssel, der in einer

Verschlüsselungshierarchie in der richtigen Reihenfolge geöffnet werden muss

FeedStore

Linked serversReplication

Flat files

Publishers

FeedStore

DistributionServers

Subscribers

FeedStore

Batch acctService acctUser acct

FeedStore-Strategie

● Sensible Daten wurden dupliziert und an mehreren Speicherorten gespeichert

● Das Verschlüsseln von Daten an den einzelnen Speicherorten wäre zu kostenaufwendig

● Das Konsolidieren und Verschlüsseln von Daten in einem separaten Speicher war die beste Strategie

FeedStore-Strategie

Linked serversReplication

Flat files

Publishers

FeedStore

Distributionservers

Subscribers

Encrypted store

Sensitive data

Sensitive data

FeedStore-Strategie

● Neukonfiguration des Datenfeeds, um sensible Daten aus Anwendungen zu entfernen, die keinen Zugriff benötigen

● Neukonfiguration bestimmter Anwendungen, um sensible Daten aus einem separaten, verschlüsselten Speicher abzurufen

● Sensible Daten robust verfügbar halten

Digital Asset Store-Pilotprojekt

● Erstellen eines zentralen verschlüsselten Speichers mit SQL Server 2005

● Erstellen von Geschäftsanforderungen und Geschäftszielen

● Klassifizierung aktueller Informationen● Planung und Überwachung, um sensible

Daten für Anwendungen verfügbar zu halten

Digital Asset Store-Pilotprojekt

● Verschiedene Aktionen, die für sensible Datenelemente und personenbezogene Informationen im LOB-Anwendungsbereich in Bezug auf Feedstore ausgeführt wurden

● Herausgeber wurden für das Senden von sensiblen Daten an den Digital Asset Store konfiguriert

Digital Asset Store-Pilotprojekt

Push

Pull

Drop Pick upFlat file location

SAP orfile source

FeedStore

Digital Asset Store-Pilotprojekt

Push

PullSAP orfile source

Digital Asset Store

Digital Asset Store-Pilotprojekt

Server 1SQL Server 2005

Data

Server 2SQL Server 2005

Key 1 Key 2

Encrypted channel

Digital Asset Store-Pilotprojekt

● Inline-Übersetzung:● Einfügen von sensiblen Daten zur Laufzeit in

einen zwischen Unternehmen übertragenen Datenfeed

● Verringert die Anzahl der Instanzen, in der auf sensible Daten zugegriffen werden kann bzw. in der solche Daten gespeichert und übertragen werden können

● Verwendet einen separaten, verschlüsselten Speicher für sensible Daten

Digital Asset Store-Pilotprojekt

Certificate-based encryption

Encrypted symmetric

key

Plaintext

SQL Server 2005

symmetric key encryption Ciphertext

Digital Asset Store

Digital Asset Store-Pilotprojekt

Plaintext

Digital Asset Store

Certificate-based decryption

Encrypted symmetric

key

Decrypted symmetric key

Data Encrypted channelData

Subscriber processing

Data dissipation

PCRS (Payroll Controls Reporting System)

FeedStore

SAP Processing

Payroll information

Payroll information

PCRS data warehouse

Report generation

Excel reports

Access reports

PCRS (Payroll Controls Reporting System)

● Anpassung der PCRS-Anwendung für die Verwendung der SQL Server 2005-Verschlüsselung

● Implementierung der Verschlüsselung in der lokalen PCRS-Datenbank

● Implementierung eines Datenbankprototyps zum Testen der Sicherung, Verwaltung und Wiederherstellung von Verschlüsselungsschlüsseln

PCRS (Payroll Controls Reporting System)

PCRS_Encryption

Employee table

Full namePersonnel numberSocial Security number

Stored procedure

Stored procedure

SELECT

INSERT

PCRS (Payroll Controls Reporting System)

● Schritte zum Erstellen einer einfachen, jedoch robusten SQL Server 2005-Hierarchie für Verschlüsselungschlüssel

● Schritte zum Ändern des Datenbankschemas, um sensible Daten in der Tabelle zu verschlüsseln

● Schritte zur Aktualisierung der gespeicherten Prozeduren, um Funktionen für den Zugriff auf verschlüsselte Daten zu verwenden

PCRS (Payroll Controls Reporting System)

● Konfiguration von Berechtigungen für die SQL Server-Rollen

● Sicherung des Datenbank-Hauptschlüssels, des SQL Server 2005-Zertifikats und des symmetrischen Schlüssels

● Sicherung der Datenbank● Testen der Datenbank in realen Szenarios

Metropolis

● Anwendung besteht aus einem Front-End-Tool, einer XML-basierten zweiten Ebene und einer SQL Server 2005-basierten dritten Ebene

● DPAPI kann als Sicherheitsmechanismus für sensible Daten bei Microsoft verwendet werden

● Administrative, von Services IT erstellte Datenbank zum Speichern von sensiblen Daten für Metropolis

Metropolis

Operating System level DPAPI

SQL Server 2005 instance levelService Master Key

DPAPI encrypts Service Master Key

Service Master Key encrypts Database Master Key

SQL Server 2005 certificate

Encrypts symmetric key

Symmetric key

Stored procedure to encrypt data

Stored procedure to decrypt data

SQL Server 2005 database levelDatabase Master Key

Data

Encrypts data

Digitally signs stored procedure

Decrypts symmetric key Decrypts symmetric key

Requires Key Masterpermission

Metropolis

● Die Verwendung der DPAPI zum Verschlüsseln des Diensthauptschlüssels genügt den Sicherheitsanforderungen

● Das Verschlüsselungs-Framework verwendet ein Zertifikat zum digitalen Signieren der gespeicherten Prozedur, die Daten verschlüsselt

● Das Zertifikat ermöglicht die Konfiguration eines Berechtigungs-Frameworks

Bewährte Methoden

● Schlüsselverwaltung als entscheidendes Element eines Verschlüsselungs-Frameworks● Schlüsselgenerierung● Schlüsselverwendung● Schlüsselsicherung● Schlüsselwiederherstellung

Bewährte Methoden

● Beschränken der Verschlüsselung auf vertrauliche Daten● Berücksichtigung der leistungsbezogenen

Auswirkungen der Verschlüsselung● Prüfen, ob eine externe Quelle Zugriff auf

verschlüsselte Daten benötigt● Berücksichtigen, dass verschlüsselter Text

mehr Speicherplatz als Klartext benötigt

Schlussbemerkung

● Das Sicherheits-Framework wurde im LOB-Anwendungsbereich von Microsoft IT neu bewertet

● Das Verschlüsselungs-Framework und das Digital Asset Store-Pilotprojekt haben die FeedStore-Sicherheit verbessert

● Mechanismen zur Schlüsselverwaltung und die SQL Server 2005-Verschlüsselung auf Spaltenebene haben die Datensicherheit bei Microsoft verbessert

Weitere Informationen

● Weitere Informationen zu Microsoft IT-Bereitstellungen und bewährten Methoden finden Sie in englischer Sprache auf http://www.microsoft.com.

● Microsoft TechNet http://www.microsoft.com/technet/itshowcase

● Fallstudien-Ressourcen von Microsofthttp://www.microsoft.com/resources/casestudies

Dieses Dokument dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESES DOKUMENT JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT.

© 2005 Microsoft Corporation. Alle Rechte vorbehalten. Diese Präsentation dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESE ZUSAMMENFASSUNG JEDE GARANTIE AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. Microsoft, Excel, Win32 und Windows sind entweder eingetragene Marken oder Marken der Microsoft Corporation in den USA und/oder anderen Ländern. Die in diesem Dokument aufgeführten Namen von tatsächlichen Unternehmen und Produkten können geschützte Marken ihrer jeweiligen Eigentümer sein.