<Insert Picture Here> Security in der Oracle Datenbank

Transkript

1

2 <Insert Picture Here> Security in der Oracle Datenbank Bodo von Neuhaus Leitender Systemberater Öffentliche Verwaltung Server Technology Customer Center (STCC) Nürnberg

3 Oracle Database Security Funktionalitäten und Komponenten Secure Configuration Database Vault SECRET Label Security Data Masking Audit Vault Secure Backup Total Recall Network Encryption Strong Authentication Transparent Data Encryption

4 Agenda Verschlüsselung Trennung Administration bzw. Funktion und Daten Monitoring und Auditing <Insert Picture Here>

5 Agenda Verschlüsselung Advanced Security Option Trennung Administration bzw. Funktion und Daten Monitoring und Auditing <Insert Picture Here>

6 Daten verschlüsselt übertragen x#!s%u3 Schutz vor Informationsverlust und vor Veränderung von Daten im Transfer Verschlüsseln der Übertragung von Oracle-Daten Vom Server zum Client Vom Client zum Server Von Server zu Server Unterstützt gängige Verfahren RC4, DES, Triple-DES, AES, MD5, SHA-1

7 Daten verschlüsselt übertragen Wie? SQLNET.ORA sqlnet.encryption_server sqlnet.encryption_types_server sqlnet.crypto_seed = required = AES192 = 'abcdefg ' sqlnet.crypto_checksum_server = required sqlnet.crypto_checksum_types_server = MD5 sqlnet.encryption_client sqlnet.encryption_types_client sqlnet.crypto_checksum_client sqlnet.crypto_checksum_types_client = required = AES192 = required = MD5

8 Daten verschlüsselt übertragen Ergebnis Vorher... Nachher...

9 Daten verschlüsselt speichern Schutz vor unbefugtem Lesen der Daten Seit Oracle8i mittels PL/SQL-API Verfügbar in der Standard und der Enterprise Edition DBMS_OBFUSCATION_TOOLKIT Unterstützt ausschließlich den DES- bzw. 3DES- Algorithmus und wird daher nicht mehr empfohlen DBMS_CRYPTO ab Oracle Database 10g Seit Oracle Database 10g Transparent Data Encryption (TDE) Verfügbar nur innerhalb der Advanced Security Option Zertifiziert für SAP und OID Verschlüsselung auf Spaltenebene Seit Oracle Database 11g TDE Verschlüsselung von Tablespaces

10 Verschlüsselt speichern Es geht NICHT darum, das Lesen oder Ändern über die SQL-Schnittstelle zu unterbinden Es geht um Verschlüsselung auf der Platte und im Backup Schutz vor Insidern Schutz z.b. bei entsorgten Platten Schutz z.b. beim Verlust auf dem Transport ins Schließfach

11 Verschlüsseln mit DBMS_CRYPTO Anwendungen / Trigger rufen das API auf Kein automatisches Schlüsselmanagement

12 Verschlüsseln mit DBMS_CRYPTO CREATE OR REPLACE FUNCTION crypt (eingabe IN VARCHAR2) RETURN RAW IS v_rohdaten RAW(200); v_schluessel RAW(32); bit v_verschluesselung PLS_INTEGER := DBMS_CRYPTO.ENCRYPT_AES256 + DBMS_CRYPTO.CHAIN_CBC + DBMS_CRYPTO.PAD_ZERO; BEGIN SELECT schluessel INTO v_schluessel FROM schluesseltabelle WHERE sysdate BETWEEN startdatum AND nvl(enddatum, sysdate); v_rohdaten := DBMS_CRYPTO.ENCRYPT( src => UTL_I18N.STRING_TO_RAW (eingabe, 'AL32UTF8'), typ => v_verschluesselung, key => v_schluessel); RETURN v_rohdaten; END;

13 Option Advanced Security Transparent Data Encryption Transparent Data Encryption Schlüssel- Management Transparent für Applikationen 100% Sicher Performant Indizierung möglich ASO Netzwerk- Verschlüsselung Daten werden verschlüsselt auf die Platte geschrieben Daten sind auch verschlüsselt im Backup

14 Transparent Data Encryption (TDE) Anwendung SQL-Schnittstelle entschlüsselt Daten ASO Netzwerk- Verschlüsselung Daten werden verschlüsselt auf die Platte geschrieben Daten sind verschlüsselt im Backup Im ersten Release für folgende Datentypen VARCHAR2 NVARCHAR2 NUMBER DATE BINARY_FLOAT BINARY_DOUBLE TIMESTAMP RAW CHAR NCHAR Mit Key Management

15 Nicht unterstützte Features Materialized View Logs Oracle Streams (< Oracle Database 11g, TS + Column) Logical Standby (< Oracle Database 11g) LogMiner Synchrones und asynchrones Change Data Capture (CDC) Direct Path Insert LOBs Transportable Tablespace Foreign Keys

16 Funktionstrennung & Aufgabenverteilung Wallet-Passwort ist getrennt vom System- und DBA- Passwort DBA startet Datenbank Kein Zugriff auf Wallet Security-DBA öffnet Wallet mit Master Key ALTER SYSTEM SET WALLET OPEN IDENTIFIED BY "passwort"

17 Master Key und table (column) Keys Master Key in PKCS#12 wallet Tabellenschlüssel verschlüsselt durch Master Key (Wallet kann auch für Secure Backup genutzt werden) Tabellenschlüssel verschlüsselt Daten

18 TDE - Schlüsselfragen Verschiedene Algorithmen Standard ist AES192 Wechsel von Schlüsseln möglich Master Key s.o. Auf Tabellenebene ALTER TABLE kunden REKEY USING 'AES256' Wechsel des Algorithmus möglich

19 Option Advanced Security Erweiterungen in 11g Speicherung des Schlüssels für TDE (master key) in einem Hardware Security Module (HSM) Verschlüsselung Tablespaces LOBs in SecureFiles Data Pump Export-Dateien Authentifizierung von SYSDBA und SYSOPER über LDAP-Verzeichnisse, SSL oder Kerberos

20 Allgemeine Hinweise zu TDE Speichern des Schlüssels für TDE (master key) in einem Hardware Security Module (HSM) Standard PKCS #11-API erlaubt Rückgriff auf Module unterschiedlicher Anbieter Zertifiziert sind: ncipher, NetApp und RSA auch SafeNet und Ingrian Ver- / Entschlüsseln findet nach wie vor auf dem Server statt Erleichtert das Schlüsselmanagement in verteilten Umgebungen z.b. mit Data Guard und RAC E-Business Suite und SAP unterstützen TDE Versionen der Applikations-Software beachten

21 Option Advanced Security Transparente Verschlüsselung 11gR2 Transparent Data Encryption (TDE) Unified Master Key Änderung des Master Key auch für Tablespace-Verschlüsselung Tabellen- / Tablespaceschlüssel verschlüsselt durch Master Key Master Key im Wallet / HSM Tabellen- / Tablespaceschlüssel verschlüsselt Daten

22 Zugriff auf das HSM Auf das HSM wird immer dann Zugegriffen beim: SELECT Lesen von Daten aus einer verschlüsselten Spalte INSERT Einfügen von Daten in eine verschlüsselte Spalte CREATE Anlegen einer Table mit verschlüsselten Spalten ALTER Anpassen der Verschlüsselungseigenschaften einer Spalte

23 TDE - Tablespace-Verschlüsselung Tablespaces beim ersten Anlegen als verschlüsselt deklarieren Tablespaces nicht nachträglich zu ver- oder entschlüsseln Transport vorhandener Daten in verschlüsselte Tablespaces mit DATA PUMP, CTAS, ALTER TABLE... MOVE TDE-Wallet muss vorhanden und geöffnet sein CREATE TABLESPACE sicheristsicher DATAFILE '$ORACLE_BASE/dbdata/orcl/tdedatei.dbf' SIZE 20G ENCRYPTION USING 'AES128' DEFAULT STORAGE (encrypt);

24 Hinweise: Tablespace-Verschlüsselung Verwendet immer SALT Verschlüsselung wirksam auch für REDO-Einträge, UNDO und TEMPORARY SEGMENTE Unterstützt INDEX RANGE SCANs und FOREIGN KEYs Unterstützt sämtliche Segment-Typen Bei LOBs alternativ über Secure Files CREATE TABLE tabelle (region VARCHAR2(20), a BLOB) LOB(a) STORE AS SECUREFILE (ENCRYPT USING 'AES128')

25 LOB-Verschlüsselung mit TDE Ausschließlich mit SecureFiles CREATE TABLE tabelle (region VARCHAR2(20), a BLOB) LOB(a) STORE AS SECUREFILE ( ENCRYPT USING 'AES128')

26 Oracle Verschlüsselung Methoden Übersicht

27 Data Pump-Verschlüsselung Steuerung über Parameter ENCRYPTION ALL / DATA_ONLY / ENCRYPTED_COLUMNS_ONLY / METADATA_ONLY / NONE ENCRYPTION_ALGORITHM AES128 / AES192 / AES256 ENCRYPTION_MODE DUAL / PASSWORD / TRANSPARENT ENCRYPTION_PASSWORD Die Parameter beeinflussen sich z.t. gegenseitig

28 TDE und Data Guard Produktions-Datenbank Physical Standby Daten verschlüsselt in den Sicherungskopien Redo Apply Redo Logs mit verschlüsselten Daten

29 Backups verschlüsseln mit RMAN Oracle Recovery Manager (RMAN) Standard-Werkzeug zur Sicherung von Oracle-Datenbanken Auf Disk oder über Media Management Layer auf Bandlaufwerke Verschlüsselung des Backup möglich Algorithmus: Advanced Encryption Standard (AES) Benutzerdefiniertes Passwort oder Authentifizierung über Oracle Wallet Backup auf Bandlaufwerke mit Oracle Secure Backup ASO NICHT erforderlich RMAN Datenbank- Bereich Media Management Layer DIGITAL DATA STORAGE DIGITAL DATA STORAGE Flash Recovery Area DIGITAL DATA STORAGE

30 Agenda Verschlüsselung Trennung Administration bzw. Funktion und Daten Oracle Database Vault Monitoring und Auditing <Insert Picture Here>

31 Wie kann gewährleistet werden, dass der DBA ein System verwaltet, die Daten aber nicht manipulieren kann?

32 Oracle Database Vault (DV) Für Datenbankversionen , , 11.1 und 11.2 in identischer Funktionalität Aufgaben verteilen und Funktionen trennen Berichte Schutz vor der Bedrohung von Innen Unterstützung bei der Konsolidierung von Datenbanken Anpassungsfähige Kontrolle des Zugriffs auf Daten

33 Database Vault Administrator (DVA)

34 Realms: Was geht & Was nicht geht Realm Vertraege Lieferanten Realm Auftraege Teile Positionen ALTER TABLE rw.teile... DBA SELECT * FROM rw.vertraege

35 Database Vault: Realms Definieren deklarativ Bereiche, auf die weder Datenbank-Administratoren (DBAs) noch privilegierte Benutzer zugreifen können Tabelle, Schema, Prozeduren, Rollen,... Zugriff auf Objekte des Realms erfordert explizite GRANTs Anwendungsmöglichkeiten Funktionstrennung und Aufgabenverteilung Einrichten von Datenbank-Administratoren für festgelegte Bereiche, z.b. für Rechnungswesen- oder Personaldaten Authorisierung als Realm-OWNER oder -PARTICIPANT Versuchte Verstöße gegen Realms können erfasst und gemeldet werden Datenbankkonsolidierung Schutz vor der Bedrohung von Innen

36 Realms schützen - auch vor dem DBA % SQLPLUS system/mypassword SQL> CREATE TABLE mein_emp AS SELECT * FROM scott.emp; ERROR at line 4: ORA-00604: error occurred at recursive SQL level 1 ORA-20401: Realm violation on create table MEIN_EMP ORA-06512: at DVSYS.AUTHORIZE_EVENT, line 35 ORA-06512: at line 13 SQL> DROP TABLE scott.emp; ERROR at line 4: ORA-00604: error occurred at recursive SQL level 1 ORA-20401: Realm violation on drop table SCOTT.EMP ORA-06512: at DVSYS.AUTHORIZE_EVENT, line 35 ORA-06512: at line 13

37 Database Vault Administrator (DVA)

38 Regelgruppen & Befehlsregeln Regeln zur Datenbank-Security Beispiel Befehlsregeln Steuern prozedural die Verwendung von DML- und DDL-Kommandos Systembefehle Grundsätzlich oder beispielsweise zum Implementieren des 4- Augen-Prinzips

39 Befehlsregeln für...

40 Beispiel - Einfache 4-Augen-Regel (SELECT count(*) FROM v$session WHERE username = 'KONTROLLEUR1' or username = 'KONTROLLEUR2') = 2

41 Betriebsprozesse Default-Einstellungen der Installation sind veränderbar Oracle Database Vault ist in der Regel nicht READY-TO-USE Oracle Database Vault-Komponenten an die eigenen Sicherheitsanforderungen anpassen Oracle Database Vault erfordert in der Regel Anpassungen der Betriebsprozesse Data Pump LogMiner, ALTER SESSION / SYSTEM,... DV schränkt die Möglichkeiten eines ROOT-Benutzers (UNIX) und des Besitzers der Oracle-Software NICHT ein

42 Auswirkungen Beeinflusst, auf welche Daten zugegriffen werden kann Transparent für Anwendungen Kein Einfluss auf Zugriffspfade Kann Auswirkungen auf die Performance haben Bedeutet eventuell höheren Personalbedarf

43

44

45