<Insert Picture Here> T4 and the Red Crypto Stack

Transkript

1

2 <Insert Picture Here> T4 and the Red Crypto Stack Stefan Hinker & Heinz-Wilhelm Fabry Oracle Deutschland B.V. & Co. KG

3 The following is intended to outline our general product direction. It is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making purchasing decisions. The development, release, and timing of any features or functionality described for Oracle s products remains at the sole discretion of Oracle. 3

4 The Red Crypto Stack Oracle ASO Oracle TDE ZFS IPsec Sicherheit ist mehr als die Summe der Einzelteile Integration von Verschlüsselung auf allen Ebenen Höchste Sicherheit bei höchster Effizienz Solaris SPARC T4 4

5 Agenda SPARC Hardware Kryptographie Das Solaris Cryptographic Framework Verschlüsselte Dateisysteme Solaris Immutable Zones Verschlüsselung in der Datenbank Verschlüsselung im Netzwerk Security Engineered to Work Together <Insert Picture Here> 5

6 SPARC Hardware-Kryptographie Ausgereift Vielseitig Schnell UltraSPARC T1 (2005) Asymetrische Chiffren RSA-1024: Ops/sec UltraSPARC T2 (2007) Zusätzlich Block Chiffren RSA-1024: Ops/sec AES-128: 44 Gbit/sec SPARC T3 (2010) Modernisierte Algorithmen RSA-1024: Ops/sec SPARC T4 (2011) 16 Algorithmen AES-128-CBC: 119 Gbit/sec 6

7 Das Solaris Cryptographic Framework Verbindet CryptoHardware mit Abnehmern Standard-Schnittstellen für Crypto-Abnehmer: OpenSSL mit Engines PKCS#11 JCE Kernel-Level Zugänge ZFS, IPsec, Kerberos Private Schnittstellen libsoftcrypto.so libcryptoutils.so 7

8 Beispiel: Hardware Crypto mit Java Verschlüsselung als Teil der Java Cryptographic Extension (JCE) Fertig Klassen für verbreitete Chiffren Hardware-Unterstützung wird automatisch genutzt Konfiguration in $JAVA_HOME/jre/lib/security/java.security security.provider.1=com.oracle.security.ucrypto.ucryptoprovider \ ${java.home}/lib/security/ucrypto-solaris.cfg Ggf. weitere Mechanismen freischalten in sunpkcs11-solaris.cfg bzw. ucrypto-solaris.cfg 8

9 Agenda SPARC Hardware Kryptographie Das Solaris Cryptographic Framework Verschlüsselte Dateisysteme Solaris Immutable Zones Verschlüsselung in der Datenbank Verschlüsselung im Netzwerk Security Engineered to Work Together <Insert Picture Here> 9

10 Verschlüsselung im Filesystem ZFS The Last Word in Filesystems Sicherheit für unstrukturierte Daten Binaries Konfigurations-Dateien Logfiles Schützt Daten in Ruhe Kombinierbar mit Deduplication, Compression Transparent für alle Anwendungen Unterstützung von Hardware Crypto SPARC T4 Xeon AES-NI 10

11 ZFS Crypto Beispiel # pktool genkey keystore=file keytype=aes keylen=128 \ outkey=/zones/key # zfs create -o encryption=on -o keysource=raw,file:///zones/key \ rpool/zones/orazone # pktool genkey keystore=pkcs11 keytype=aes keylen=128 label=fs2 Enter PIN for Sun Software PKCS#11 softtoken: xxxxx # zfs create -o encryption=on -o keysource=raw,pkcs11:object=fs2 \ tank/home/fs2 Enter PKCS#11 token PIN for 'tank/home/fs2': xxxxx # zfs key -c -o keysource=passphrase,prompt tank/home/fs2 Enter passphrase for 'tank/home/fs2/': ********** Enter again: ********** 11

12 ZFS Crypto Performance ZFS Encryption Performance MB/sec 2500 SPARC T4 Xeon X Clear Text AES-256-CCM AES-192-CCM AES-128-CCM 12

13 Agenda SPARC Hardware Kryptographie Das Solaris Cryptographic Framework Verschlüsselte Dateisysteme Solaris Immutable Zones Verschlüsselung in der Datenbank Verschlüsselung im Netzwerk Security Engineered to Work Together <Insert Picture Here> 13

14 Solaris Immutable Zones Solaris Zones als sichere Ablaufumgebung Delegation der Administration Immutable Zones: Read-Only Root Filesystem Unveränderliche Binaries & Libraries Konfigurationsdateien Schützt auch gegen Angriffe auf die Datenbank bspw. durch DLL Injection 14

15 Immutable Zones Beispiel Zone erzeugen und fertig konfigurieren Zonen-Schreibschutz aktivieren Zone in Betrieb nehmen... zonecfg -z orazone zonecfg:orazone> set file-mac-profile=fixed-configuration zonecfg:orazone> commit zonecfg:orazone> exit zoneadm -z orazone boot zlogin orazone echo false-host >> /etc/hosts -bash: /etc/hosts: Read-only file system 15

16 Immutable Zones Optionen Zone Option /, /usr, /lib,... /etc /var other none rw rw rw rw flexible ro rw rw ro fixed ro ro rw ro strict ro ro ro ro Immer ro: /var/ld, /var/lib/postrun, /var/pkg, /var/spool/cron, /var/spool/postrun, /var/svc/manifest, /var/svc/profiles Ausgenommen: add dataset... NFS mounts 16

17 Agenda SPARC Hardware Kryptographie Das Solaris Cryptographic Framework Verschlüsselte Dateisysteme Solaris Immutable Zones Verschlüsselung in der Datenbank Verschlüsselung im Netzwerk Security Engineered to Work Together <Insert Picture Here> 17

18 Verschlüsselt speichern Schutz vor unbefugtem Lesen der Daten Es geht NICHT darum, das Lesen oder Ändern über die SQL-Schnittstelle zu unterbinden Es geht um Verschlüsselung auf der Platte, im Backup, im Dump-File-Set Schutz vor Insidern Schutz z.b. bei entsorgten Platten Schutz z.b. beim Verlust auf dem Transport ins Schließfach 18

19 Daten verschlüsselt speichern Seit Oracle8i mittels PL/SQL-API Seit Oracle Database 10g verfügbar innerhalb von Advanced Security (Option) Transparent Data Encryption (TDE) Verschlüsselung von Tabellenspalten Seit Oracle Database 11g Verschlüsselung von Tablespaces 19

20 Transparent Data Encryption (TDE) Verschlüsseln von Tabellenspalten Anwendung Einschränkungen bei SQL-Schnittstelle entschlüsselt Daten Daten werden verschlüsselt auf die Platte geschrieben Daten sind verschlüsselt im Backup Datentypen Fremdschlüsselspalten Indexsuche... Keine Unterstützung durch CPUs wie SPARC T4 20

21 TDE - Tablespace-Verschlüsselung KEINERLEI funktionale Einschränkungen KEINERLEI Anpassung von Applikationen notwendig Linux und Solaris: Unterstützung von CPUs z.b. SPARC T4 ab Datenbankversion für die Entschlüsselung Verschlüsselung mit Patch Tablespace beim ersten Anlegen als verschlüsselt deklarieren CREATE TABLESPACE doag2012 DATAFILE '/app/oradata/dateiname.dbf' SIZE 10G ENCRYPTION USING 'AES256' DEFAULT STORAGE (encrypt); 21

22 TDE - Überblick Master Key verschlüsselt Tabellen- /Tablespace-Schlüssel Master Key im PKCS#12 Wallet / HSM Tabellen- / Tablespaceschlüssel verschlüsselt Daten 22

23 Agenda SPARC Hardware Kryptographie Das Solaris Cryptographic Framework Verschlüsselte Dateisysteme Solaris Immutable Zones Verschlüsselung in der Datenbank Verschlüsselung im Netzwerk Security Engineered to Work Together <Insert Picture Here> 23

24 Daten verschlüsselt übertragen - Ergebnis Vorher... Nachher... 24

25 Daten verschlüsselt übertragen x#!s%u3 Nur verfügbar mit Advanced Security Option Schutz vor Informationsverlust und vor Veränderung von Daten im Transfer Verschlüsseln der Übertragung von Oracle-Daten Vom Server zum Client Vom Client zum Server Von Server zu Server KEINE Unterstützung durch CPUs wie SPARC T4 Nativ oder über SSL 25

26 Nativ - nichts einfacher als das SQLNET.ORA sqlnet.encryption_server = required sqlnet.encryption_types_server = AES192 sqlnet.crypto_checksum_server = required sqlnet.crypto_checksum_types_server = MD5 sqlnet.encryption_client sqlnet.encryption_types_client sqlnet.crypto_checksum_client sqlnet.crypto_checksum_types_client = required = AES192 = required = MD5 26

27 Native Verschlüsselung einschalten Client Server REJECTED ACCEPTED REQUESTED REQUIRED REJECTED aus aus aus ACCEPTED aus aus** ein ein ein ein ein ein ein REQUESTED aus REQUIRED Keine V.* ein Keine V.* * Keine Verbindung ** Default ist Accepted (Verschlüsselung und Prüfsummenverfahren sind ausgeschaltet) 27

28 SSL - wer kann, der kann Deutlich aufwändiger, deshalb weniger im Einsatz Eventuell zusätzliche Kosten für Zertifikate Verbindungsaufbau langsamer Je nach Architektur müssen auch die Benutzer Accounts angepasst werden Implementieren Zertifikate für Client und Server bereitstellen Auf der Server UND der Client Seite Auto-open Wallet anlegen und Zertifikate importieren SQLNET.ORA anpassen LISTENER.ORA (Server) und TNSNAMES.ORA (Client) anpassen 28

29 IPsec Transparente Verschlüsselung im Netzwerk Transparente Verschlüsselung gesamter Netzwerkverkehr einzelne Ports Unterstützung durch T4 Hardware Kryptographie hohe Performance bei niedriger CPU-Last Keine Kommunikation ohne Authentifizierung IPsec Tunnel 29

30 IPsec Leistung und CPU-Last mit SPARC T4 IPsec Network Performance IPsec CPU Utilization Single CPU Single CPU SPARC T4 Xeon X5690 Mbit/sec AES Encrypt AES Decrypt CPU Utilization SPARC T4 Xeon X5690 AES Encrypt AES Decrypt 30

31 Zusammenfassung Customer Data Oracle TDE Solaris 11 Immutable Zones ZFS Encryption IPsec SPARC T4 & Hardware Crypto 31

32 dbacommunity_deutsch/ 32

33 33

34