Verschlüsselungslösungen in der LBBW

Transkript

1 Verschlüsselungslösungen in der LBBW Volker Kölz IT-Security 0711/ Joachim Seeger IT-Security 0711/ Landesbank Baden-Württemberg

2 Verschlüsselungslösungen Agenda Einführung Systemumgebung der LBBW Projekt: Datei- und Ordnerverschlüsselung in der LBBW Verschlüsselung bei Endgeräten in der LBBW Mailverschlüsselung Umgang mit verschlüsselten Internetseiten Seite 2

3 Einführung: Die gefühlte Bedrohung Seite 3

4 Einführung: Datenschutzvorfälle Juni 2006 Das weltgrößte Versicherungsunternehmen American International Group (AIG) verlor fast eine Million personenbezogene Datensätze, darunter Sozialversicherungsnummern und medizinische Informationen von Versicherten, durch den Diebstahl eines Fileservers. November 2007 Die britische Steuerbehörde HMRC musste zugeben, CDs mit den Steuerinformationen und Kontodaten von 25 Millionen britischer Bürger verloren zu haben. Betroffen waren u.a. alle Familien mit Kindern. März 2008 Die deutsche Bundesregierung vermeldet das Abhandenkommen von 500 Computern aus Bundesbehörden in den letzten drei Jahren mit zum Teil hochvertraulichen Daten. (Quelle: Süddeutsche Zeitung vom 22.März 2008) März 2009 Über Monate wurden PC-Daten interner Mitarbeiter der Deutschen Bahn ausspioniert. Betroffen war unter anderem der Betriebsrat (Quelle: DIE ZEIT 18/2009, Mai 2010 Ein Unternehmer aus Treuchtlingen hatte gebrauchte Festplatten auf verschiedenen Flohmärkten gekauft und dabei brisante Steuerdaten entdeckt. Betroffen sind hochsensible Daten des Finanzamts Traunstein, der Oberfinanzdirektion München, des Finanzamts Augsburg und auch aus Ingolstadt (Quelle: sueddeutsche.de vom ) Seite 4

5 Einführung: Maßnahmen Die Beispiele aus dem vorhergehenden Abschnitt haben einiges gemeinsam: Sie hatten nichts mit einem internetbasierten Angriff zu tun. Firewalls, IDS oder Virenscanner hätten in keinem Fall helfen können. Die mit den Vorfällen verbundenen Vertraulichkeitsbrüche hätten durch die Umsetzung einer einzigen Maßnahme verhindert werden können Verschlüsselung Seite 5

6 Einführung: Datenschutzvorfälle Seite 6

7 Voruntersuchung Auslöser für Untersuchung: Publizierte Vorkommnisse der letzten Monate erhöhen die Sensibilität für das Thema Datenverschlüsselung Nachfrage nach einer sicheren Ablage sensibler Daten auf zentralen Rechnern ; Ablösung vorhandener, gewachsener Strukturen Gesetzliche Vorgaben Systemlandschaft der LBBW: Hybridclient Daten NAS-Filer Standard: Thinclients WTS-Farm Seite 7

8 Anforderungen Bei der Erstellung der Anforderungsliste sind alle beteiligten Bereiche einzubeziehen. Fachbereich (Endanwender) Zugriff auf verschlüsselte Daten ausschließlich durch berechtigte Mitarbeiter. Auch Sonderuser sind ausgenommen (Betr: Administratoren,...) Einfacher Zugriff auf alle dienstlich benötigten Daten auf allen Speichermedien Sichere Datenablage sowohl zentral als auch lokal Endanwender bemerkt im Idealfall nichts von dem Tool Kontrollmöglichkeit über die Zugriffsberechtigungen auch durch den Fachbereich Einfache Wiederherstellung der Daten im K-Fall Optimaler Support (Unterstützung der User bei Problemen, Passwortrücksetzung, etc.) Betriebseinheit Hoher Automatisierungsgrad Kein Einfluss der Lösung auf Betriebsführungsprozesse So wenig zusätzliche Last (CPU / Memory /...) wie möglich Zentrale Lösung Herstellersupport Security End zu End Verschlüsselung Absicherung Verwaltungsdaten (z.b. Wiederherstellungsdatei,..) Rollentrennung System- und Securityadministration Verbindung mit Active Directory Technische Möglichkeit für die Umsetzung der Securityrichtlinien Mandantenfähigkeit Notfallkonzept (Recovery, Passwortrücksetzung, Konfigration zerstört,..) Seite 8

9 Untersuchung von Alternativen Auf Basis der Anforderungen wurden mehrere Anbieter von Verschlüsselungslösungen untersucht und bewertet. Lösungsansatz: Cryptobox (Hardwarelösung) Eine Appliance, die zwischen den Clients bzw. Terminalserver und dem Filer eingebaut wird. Sie führt sämtliche Verund Entschlüsselungen durch Cryptobox Hybridclient Daten NAS-Filer Standard: Thinclients WTS-Farm??? Verschlüsselung Seite 9

10 Untersuchung von Alternativen Lösungsansatz: Softwarelösung Auf den Clients bzw. Terminalservern ist ein Agent mit einem Filtertreiber installiert. Die Ver- und Entschlüsselung bei Anwenderzugriffen wird vom Client bzw. Terminalserver durchgeführt. Hybridclient Daten NAS-Filer Standard: Thinclients WTS-Farm Verschlüsselung End - End Ergebnis der Untersuchung: LBBW entscheidet sich für das Tool FideAs file Enterprise der Fa. apsec da es die Anforderungen der LBBW am besten abdeckt Seite 10

11 Fideas File Enterprise: Komponenten Securityserver (Windows 2003) mit Komponente Security Server und Adminsoftware FideAS Admin Securityserver Backup Securityserver (Windows VMWare) mit Komponente Security Server Backup Domaincontroller: Active Directory Daten Hybridclient (mit Applikation FideAS Private Agent ) Standard: Thinclients WTS-Farm (mit Applikation FideAS Private Agent ) NAS-Filer Mehrere Ordner, die teils verschlüsselt, teils unverschlüsselt sind Solutionserver Bei Bedarf: verschlüsselte und unverschlüsselte Ordner Seite 11

12 Generelle Verschlüsselungsverfahren Symmetrische Verschlüsselung Verschlüsselung und Entschlüsselung erfolgt mit dem selben Schlüssel Vorteile: Hohe Geschwindigkeiten erreichbar Schlüssellängen (128) Bit Nachteile: Schlüssel muss auf sicherem Weg ausgetauscht werden. Jeder, der den Schlüssel kennt kann Nachrichten ver- und entschlüsseln Nachricht + = XYH8H XYH8H + = Nachricht Asymmetrische Verschlüsselung Es wird ein Schlüsselpaar generiert (Public Key & Private Key) Nachrichten, die mit einem der Schlüssel verschlüsselt wurden, können ausschließlich mit dem zweiten Schlüssel wieder entschlüsselt werden. Vorteile: Problemloser Schlüsselaustausch. Der Private Key wird geheimgehalten, während der Public Key öffentlich zugänglich gemacht werden kann Hohe Sicherheit Nachteile: Komplexer als symmetrische Verschlüsselung, daher bei gleicher Sicherheit um Größenordnungen kleinere Geschwindigkeit erreichbar (Schlüssellängen Bit) Nachricht + = XYH8H XYH8H + = Nachricht Seite 12

13 Fideas File Enterprise: Prinzip Titel Fileheader: <Dokument + Recoverykey> Inhalt: Verschlüsselt NAS Filer Dateiinhalt verschlüsselt (Symmetrischer Schlüssel zufällig generiert durch Private Agent AES 192 Bit) Symmetrischer Schlüssel wird mit dem Pubkey der Usergruppe(n) verschlüsselt (RSA 2048) und im Dateiheader eingetragen (s. Dokumentkey) Schlüsselgenerierung und speicherung: Belegschaft PublicKey Gruppe PrivatKey Gruppe PublicKey User PrivateKey User Liste mit verschlüsselten Ordnern / Policy Securityserver Komponente Admin : Benutzeroberfläche / Verwaltung Nutzbar nur von Administrator mit Adminschlüssel Komponente SecurityServer : Serverkomponente zur Schlüsselgenerierung und - speicherung, Bearbeitung von Clientanfragen, Initialverschlüsselung ; Richtliniengenerierung ; Sync. Backupserver Userprofil / Anmeldung PublicKey user PrivateKey user Clients & Terminalserver Komponente Private Agent : Authentifikation gegenüber dem Securityserver und Ver- bzw. Entschlüsselung von Dokumenten Seite 13

14 Verschlüsselung aus Benutzersicht Aus Anforderungsliste LBBW: Zugriff auf verschlüsselte Daten ausschließlich durch berechtigte Mitarbeiter. Auch Sonderuser sind ausgenommen (Betr: Administratoren,...) Endanwender bemerkt im Idealfall nichts von dem Tool Benutzer meldet sich mit seinem Passwort an Die Verschlüsselung startet im Hintergrund. Sichtbares Zeichen für den ordnungsgemäßen Lauf ist das Taskbaricon, hinter dem sich verschiedene Funktionen befinden Verschlüsselte Pfade werden im Browser wie gewohnt angezeigt. Einziger Hinweis auf die Verschlüsselung ist das zusätzliche Symbol auf Ordnern und Dateien. Im akt. Beispiel darf der User den Ordner crypt1 nutzen, hat aber keinen Zugriff auf crypt2. uncrypt oder die Worddatei sind unverschlüsselte Ordner / Dateien Seite 14

15 Administratorrollen Aus Anforderungsliste LBBW: Rollentrennung System- und Securityadministration Kontrollmöglichkeit über die Zugriffsberechtigungen auch durch den Fachbereich FideAS ermöglicht verschiedene Administratorrollen zu vergeben um z.b. ein 4-Augen-Prinzip bei Konfigurationsänderungen zu realisieren Allesentscheider: Ändern: Freigeben: Administratoren mit diesem Attribut können Konfigurationen alleine ändern und aktivieren. Sie unterliegen keiner weiteren Kontrolle Diese Administratoren dürfen Konfigurationseinstellungen ändern und an den Securityserver schicken. Dadurch wird aber die Konfiguration noch nicht aktiv. Sie muss erst durch einen Admin mit Recht Allesentscheider oder Freigeben aktiviert werden. Diese Administratoren dürfen Änderungen aktivieren, die ein anderer Admin auf dem Securityserver abgelegt hat. Hinweis: Besitzt ein Admin das Recht Ändern und Freigeben, so darf er nur Konfigurationen aktivieren, die er nicht selbst erstellt hat. Seite 15

16 Support Aus Anforderungsliste LBBW: Einfache Wiederherstellung der Daten im K-Fall Optimaler Support (Unterstützung der User bei Problemen, Passwortrücksetzung, etc.) Onlinefall, d.h. Client kann Verbindung zum Securityserver herstellen Über Challenge/ Response wird ein Ersatzschlüssel ausgestellt (Prozess: Erzeugung einer Anfrage (XML Datei), welche dem Admin zur Verfügung gestellt wird. Der Admin erzeugt ein Antwortfile und sendet dieses zurück. Das neue Passwort wird dem User mitgeteilt Entschlüsselung mit Master-Recoverykey Recoverykey durch Securityserver erzeugt, auf Datenträger gespeichert in Tresor verwahrt Offlinefall, d.h. Client hat keinen Verbindung zum Securityserver (Alle temporären Rechte gelten nur für die Dauer der aktuellen Session oder bis der Securityserver wieder erreichbar ist.) Securityadministrator kann ein temporäres Passwort generieren (Challenge/ Response) das den Zugriff auf die lokalen Daten ermöglicht. Der Benutzer kann sofern diese Funktion zentral vom Securityadministrator erlaubt wurde selbst eine persönliche Kontrollfrage / Antwort generieren, mit dem er im Notfall Zugriff auf seine lokalen Daten erhält Seite 16

17 Anforderungen Bei der Erstellung der Anforderungsliste sind alle beteiligten Bereiche einzubeziehen. Fachbereich (Endanwender) Zugriff auf verschlüsselte Daten ausschließlich durch berechtigte Mitarbeiter. Auch Sonderuser sind ausgenommen (Betr: Administratoren,...) Einfacher Zugriff auf alle dienstlich benötigten Daten auf allen Speichermedien Sichere Datenablage sowohl zentral als auch lokal Endanwender bemerkt im Idealfall nichts von dem Tool Kontrollmöglichkeit über die Zugriffsberechtigungen auch durch den Fachbereich Einfache Wiederherstellung der Daten im K-Fall Optimaler Support (Unterstützung der User bei Problemen, Passwortrücksetzung, etc.) Betriebseinheit Hoher Automatisierungsgrad Kein Einfluss der Lösung auf Betriebsführungsprozesse So wenig zusätzliche Last (CPU / Memory /...) wie möglich Zentrale Lösung Herstellersupport Security End zu End Verschlüsselung Absicherung Verwaltungsdaten (z.b. Wiederherstellungsdatei,..) Rollentrennung System- und Securityadministration Verbindung mit Active Directory Technische Möglichkeit für die Umsetzung der Securityrichtlinien Mandantenfähigkeit Notfallkonzept (Recovery, Passwortrücksetzung, Konfigration zerstört,..) Seite 17

18 Untersuchung für Endgerät Client Grundsätzliche Fragen: Wie viele Clients kommen für Schutzmaßnahmen in Frage? Unterschiedliche Risiken vorhanden? Bringen die Clients bereits Schutzmaßnahmen mit? Anforderungsanalyse für kritische Maschinen: Risikoeinschätzung LBBW: Risiko: keines / gering Risiko: gering / mittel / hoch Seite 18

19 Lösung für Endgerät Client Risiko: keines / gering Keine separaten Schutzmaßnahmen (Clients mit Sonderanforderung: Lokale Verschlüsselte Ordner ) Risiko: gering Notebooks mit lokalen Daten der maximalen Schutzklasse Öffentlich Festplattenkennwort Risiko: mittel Notebooks mit lokalen Daten der Schutzklasse nicht öffentlich und höher Notebooks ohne Festplattenkennwort Festplattenkennwort Festplattenverschlüsselung Risiko: hoch Notebooks mit lokalen Daten der Schutzklasse vertraulich und höher Festplattenkennwort Festplattenverschlüsselung Lokale verschlüsselte Ordner Seite 19

20 Lösungen: Datenträger Alle Endgeräte der LBBW sind mit einer Schnittstellenkontrolle ausgerüstet, d.h. Benutzer können nur freigegebene Schnittstellen nutzen und nur definierte Datentypen übertragen USB Sticks: Je nach Schutzklasse der Daten sind verschiedene Sticks im Einsatz. Der User entscheidet selbst, welche Daten besonders schutzwürdig sind (Manueller Start für sicheren Bereich) Zwangsweise Verschlüsselung aller Daten Externe Festplatten: Einsatz von Festplatten mit integrierter Datenverschlüsselung. CD / DVD: Je nach Schutzklasse entscheidet der Benutzer welche Daten besonders schutzwürdig sind Verschlüsselungssoftware (Tool wahlweise auf Datenträger oder als Download) Seite 20

21 Verschlüsselungslösungen Vielen Dank für Ihre Aufmerksamkeit! Ansprechpartner : Joachim Seeger IT-Security 0711/ joachim.seeger@lbbw.de Seite 21

22 Verschlüsselungslösungen Agenda Einführung Systemumgebung der LBBW Projekt: Datei- und Ordnerverschlüsselung in der LBBW Verschlüsselung bei Endgeräten in der LBBW Mailverschlüsselung Umgang mit verschlüsselten Internetseiten Seite 22

23 Umgang mit Verschlüsselung bei & INTERNET Volker Kölz IT-Security 0711/ Landesbank Baden-Württemberg

24 Einsatz von Verschlüsselungslösungen Erster Gedanke Existieren schützenswerte Daten? Besteht Datenaustausch mit externen Partnern? Setzen diese Partner bereits eine Verschlüsselungslösung ein? Kann möglicherweise Verantwortung vom Absender abgenommen werden? Welches Verfahren? S/Mime, PGP, TLS oder PrivateCrypto, Steganos... Dokument mit PW-Schutz... Aufwandschätzung Lokale Verschlüsselung am Arbeitsplatz des Mitarbeiters Zentrale Verschlüsselung mit Unternehmensschlüssel/Domainkey oder Benutzerschlüssel/Userkeys Wichtig : Benutzerfreundlich, sicher und störungsunanfällig - und nat. möglichst wenig Betriebskosten! Seite 24

25 Einsatz von Verschlüsselungslösungen Und nicht zuletzt Rechtssicherheit -> Eine Richtlinie hilft Seite 25

26 LBBW Einsatz von Verschlüsselungslösungen = Großunternehmen mit vielen unterschiedlichen -Partnern. Niederlassungen, Töchter ( BW-Bank, RLP-Bank, Sachsenbank, LBBW-IMMO und weitere ) Viele Kunden im Mittelstand, Ärzte, im öffentlichen Sektor und im Sparkassenumfeld. Anforderung : Sichere Datenübertragung Dazu zählt auch, eine Zentrale Verschlüsselungslösung Anbieter... Die LBBW nutzt seit ca. 7 Jahren die Lösung des Anbieters Unterstützt werden alle gängigen Verschlüsselungs-Standards : und das verbindungsspeziefische TLS S/Mime, PGP Andere Lösungen gelten als Insellösungen und werden nur in Ausnahmefällen unterstützt. Problem : Inhaltsprüfung von nicht zentral entschlüsselbaren Dateien Beispiele -> PrivateCrypt, Steganos, DATEV... Dokumente mit Passwortschutz (ZIP, PDF, XLS...) Seite 26

27 Einsatz von Verschlüsselungslösungen Die ersten Schritte Einrichtung einer neuen Verschlüsselung Zertifikatsbasiert - S/Mime (X509) oder PGP Austausch Public Keys Verbindungsspeziefische Verschlüsselung zwischen den Mailgateways - TLS TLS Seite 27

28 Einsatz von Verschlüsselungslösungen Kleiner Einblick in die Schlüsselverwaltung am zentralen Verschlüsselungssystem Nachdem die Zertifikate ausgetauscht wurden, werden diese in das zentrale Verchlüsselungssystem importiert. Daraufhin wird das Regelwerk eingerichtet : Automatische Verschlüsselung, Benutzergesteuerte Verschlüsselung. In einem Test wird die Verschlüsselung abschließend geprüft. Logauswertungen zeigen die Funtionsweise : Seite 28

29 Einsatz von Verschlüsselungslösungen Die Mitarbeiter werden über die Verschlüsselung der s informiert Über internes Informationssystem (Partner mit sicherer übertragung) Innerhalb der Original- Seite 29

30 Einsatz von Verschlüsselungslösungen Handouts für Mitarbeiter und partner/Kunden Zertifikate Benutzeranleitung WIKI-Hinweise Aktivierung von TLS in EXCHANGE - Korrekte Adressierung im Zusammenhang mit Unternehmenszertifikaten & Outlook Grundsätzliches zum Thema verschlüsselung Seite 30

31 Einsatz von Verschlüsselungslösungen Ein klein wenig Statistik Zertifikatsbasierte s machen ca. 5% - 10% des gesamten verkehrs aus. Entscheidend ist hier aber nicht das -Volumen sondern die Brisanz der Inhalte. Zu bestimmten größeren Partnern existieren darüber hinaus auch Standleitungen oder gesicherte VPN-Verbindungen. Seite 31

32 Einsatz von Verschlüsselungslösungen LBBW umgebung Verschlüsselung Management + SpamQuarantäne Gateway + ContentQuarantäne TLS Spam NOTES / Communicationserver Zentrale Verschlüsselung S/Mime PGP Hausintern DMZ Internet Seite 32

33 Einsatz von Verschlüsselungslösungen Weitere (optionale) Verschlüsselungsmöglichkeiten Mitarbeiter Interner Mailserver Gateway +ContentQuarantäne Web-Server Datei-Store + Link lokale Tools Nachteil PGP : Steganos PrivateCrypt Installation, Service/Support Schulung, Ausnahmeregelung -Partnerabstimmung (muss oftmals selbes Produkt einsetzen) Zentrale Verschlüsselung PDF-Verschlüsselung PDF-Anhang + PW Hausintern DMZ Internet Seite 33

34 Das war ein grober Überblick über die verschlüsselung innerhalb der LBBW Haben Sie noch offene Fragen? Im Anschluss folgt : kleiner Einblick Umgang mit gesicherten Internetseiten Seite 34

35 Internet Umgang mit verschlüsselten Internetseiten Umgang mit verschlüsselten Internetseiten innerhalb der LBBW Seite 35

36 Internet Umgang mit verschlüsselten Internetseiten SSL-Zertifikate. Das SSL-Zertifikat ist vergleichbar mit einem Ausweis. Es sind verschiedene Informationen des Webseitenbetreibers im Zertifikat hinterlegt, z.b. Name des Betreibers (Firmen oder Privatpersonen). Weiterhin befinden sich einige weitere technische Parameter im Zertifikat, welche die eigentliche Verschlüsselung durchführen. Wodurch wird aber die Sicherheit gewährleistet? SSL-Zertfikate arbeiten in einem hierarchischem System und einer Vertrauenskette. Das bedeutet, dass das SSL-Zertifikat einer Webseite durch eine übergeordnete Instanz (Firma oder Person) unterschrieben wird, welche vertrauenswürdig ist. Man könnte also sagen, dass das Zertifikat einen Stempel erhält und damit ebenfalls vertrauenswürdig ist. Seite 36

37 Internet Umgang mit verschlüsselten Internetseiten Internetzugriff aus dem internen Hausnetz auch auf verschlüsselte Seiten Mitarbeiter FW FW Terminalserver Loadbalancer Proxy Speicher der Zertifikate prüfen der Zertifikate Proxy SSL-Terminierung Internet URL-Filter WebServer Securityscanner prüfen aller Objekte Seite 37

38 Das war der kurze Einblick in den Umgang mit verschlüsselung und mit verschlüsselten Internetseiten innerhalb der Landesbank Baden Württemberg LBBW Bestehen noch offene Fragen? Vielen Dank für Ihre Aufmerksamkeit! Ansprechpartner : Volker Kölz IT-Security 0711/ volker.koelz@lbbw.de Seite 38