carloscastilla - Fotolia
Key-Management in der Multi Cloud mit KMaaS vereinfachen
Die von den Cloud-Anbietern bereitgestellten Tools zum Management von Schlüsseln und Passwörter sind nicht in der Lage, Multi-Cloud-Umgebungen zu schützen. Dazu erfordert es KMaaS.
Viele Anwendungen laufen nur mit „Geheimnissen“, auch „Secrets“ genannt. Was ist damit gemeint? Um zum Beispiel eine Applikation sicher in der Cloud einsetzen zu können, benötigen Sie meist einen oder mehrere SSH-Schlüssel zum Zugriff auf virtuelle Maschinen (VMs).
Dazu kommen Schlüssel für die APIs (Application Programming Interfaces), damit unterschiedliche Dienste miteinander kommunizieren können sowie X.509-v3-Zertifikate für Ihren Webserver. Zusätzlich benötigen Sie auf den Clients passende Zertifikate, damit diese sich gegenüber den abgesicherten Webdiensten authentifizieren können. Ebenfalls nötig sind zudem oft Schlüssel und Passphrasen zum Verschlüsseln von Daten sowie Passwörter für den Zugriff auf die Middleware oder die Datenspeicher im Backend.
Das sichere Speichern und Verwalten all dieser „Secrets“ ist eine Herausforderung, die nicht unterschätzt werden darf. Das gilt besonders für die heutige Cloud-zentrierte Welt, wie sie in den meisten Unternehmen zu finden ist. Der deutliche Trend zu Umgebungen, die aus mehr als einer Cloud bestehen (Multi Cloud), verschärft die Situation weiter.
Traditionelle Methoden zum Schutz von Secrets sind in der Cloud obsolet
Bislang werden in vielen Unternehmen meist Hardware Security Modules (HSMs) eingesetzt, um mit ihnen besonders sensible Daten zu schützen. Sie sind damit weitgehend sicher vor Manipulationen und bieten einen physischen Ort, um die Secrets zu speichern. Häufig zu finden sind auch lokale Lösungen oder Dienste zum Management der Verschlüsselungs-Keys. Sie bieten meist ein zentrales, sicheres Repository, in dem die Schlüssel und Secrets hinterlegt werden können.
Die Cloud hat die Anforderungen an ein sicheres Schlüsselmanagement jedoch auf den Kopf gestellt. Die traditionellen Methoden sind hier weit weniger nützlich, da die Cloud auf eine andere Art funktioniert.
Nehmen wir als Beispiel eine Anwendung aus einer typischen IaaS-Umgebung (Infrastructure as a Service). Alles unterhalb der Betriebssystemebene wird hier vom Provider bereitgestellt. Der Einsatz physischer Systeme, wie sie HSMs ja sind, liegt damit außerhalb der direkten Kontrolle des Kunden. Oft stellen die Cloud-Anbieter dem Kunden daher Cloud-basierte HSM-Lösungen zur Verfügung. Andere Systeme kann er nicht einsetzen.
Auch in PaaS- oder SaaS-Umgebungen lassen sich nur HSMs nutzen, die vom Provider bereitgestellt werden. Das gilt selbst für die Infrastruktur. Sie ist ebenfalls nicht steuer- oder kontrollierbar. Das bedeutet, dass Dienste zum Management der Schlüssel über eine API vom Cloud-Anbieter stammen müssen. Aus Sicht der Kunden sind sie damit jedoch nicht direkt erreichbar.
Viele Provider bieten ihren Kunden daher Unterstützung und spezielle Lösungen an, wenn es um das Management ihrer Secrets in der Cloud geht. So hat etwa Azure die Lösung Key Vault im Portfolio, bei AWS (Amazon Web Service) ist es der Key Management Service und bei der Google Cloud Platform wird sie Cloud Key Management Service genannt. Mit jeder dieser Anwendungen ist es möglich, die Secrets eines Unternehmens innerhalb der gesicherten Umgebung des jeweiligen Anbieters abzulegen.
Auch wenn diese Lösungen in der Regel gut arbeiten und ihre Aufgabe durchaus erfüllen, hängen sie doch eng mit der jeweiligen Umgebung zusammen. Außerdem unterscheiden sie sich in dem Interface, das der Kunde nutzen kann.
Was passiert also, wenn ein Kunde eine Lösung zum Management seiner Secrets benötigt, die mehrere Cloud-Umgebungen oder eine hybride Cloud überspannen muss? Die bisherigen Angebote reichen dafür nicht aus. In den folgenden Abschnitten erfahren Sie daher, wie Sie Ihr Schlüsselmanagement auch in Multi-Cloud- oder Hybrid-Umgebungen erfolgreich implementieren können.
Multi-Cloud Key Management-as-a-Service
Beim Multi-Cloud Key Management geht es um die Frage, wie sich die Fähigkeiten zur Schlüsselverwaltung auf Umgebungen ausweiten lassen, in denen mehrere Clouds genutzt werden. KMaaS (Multi-Cloud Key Management-as-a-Service) ist die Antwort auf dieses Problem. Mit KMaaS werden Dienste bezeichnet, die selbst in der Cloud angeboten werden und die daher besonders schnell und umfassend eingesetzt werden können.
Abhängig vom jeweiligen KMaaS-Angebot können neue Schlüssel entweder über das Key Management Interoperability Protocol (KMIP), einen Standard zum Anfordern von Schlüsseln von einem Key-Management-Server, oder über eine Rest-API geordert werden. Letztere lassen sich über vom Provider angebotene Key-Management-Service-Module anfordern, die dem Public-Key Cryptography Standard 11 entsprechen.
Einer der Vorteile dieses Vorgehens ist, dass dadurch die Interfaces für die zum Schlüsselmanagement benötigten Mechanismen standardisiert und vereinfacht werden. Anwendungen, die auf einen Key-Manager zugreifen, werden zudem leichter übertragbar. Es macht also keinen Unterschied mehr, ob eine Anwendung, die Zugriff auf einen Schlüssel oder andere Secrets benötigt, sich heute in einem lokalen Rechenzentrum und morgen in der Cloud befindet.
Dies trifft auch dann zu, wenn sich ein Unternehmen kurzfristig für den Umzug in die Public Cloud oder einen Wechsel von einer Cloud zu einer anderen Umgebung entscheidet, um einer gestiegenen Nachfrage zu entsprechen oder um den Schutz vor Datenverlusten zu erhöhen. Die Sicherheit wird verbessert, weil die Secrets nicht neu erstellt werden müssen, selbst wenn sich die Cloud-Umgebung ändert. Auch ein Export ist nicht mehr nötig.
Zusätzlich zur Standardisierung des Interfaces, vereinheitlicht KMaaS auch die Verwaltung. Administrative Bereiche wie Abrechnungen, Genehmigungen, die Pflege von Schlüsseln und andere Aufgaben lassen sich so zentralisieren. Dadurch steigt die Transparenz, während der Aufwand reduziert werden kann, der etwa mit der Schulung von Mitarbeitern in speziellen administrativen Abläufen verbunden ist.
Vier Punkte, die man beim Einsatz von KMaaS bedenken sollte
IT-Entscheider sollten sich aber darüber auch im Klaren sein, dass allein der Einsatz eines KMaaS-Tools noch nicht dafür sorgt, dass die Cloud-gestützte IT-Nutzung eines Unternehmens nun automatisch sicher ist. Es ist deswegen essentiell, sich vorher mit den Voraussetzungen zu beschäftigen, die ein KMaaS mit sich bringt.
Vier dieser Kriterien spielen eine besonders große Rolle, wenn Sie sich für den KMaaS-Markt zu interessieren:
- Stellen Sie sicher, dass die zum Speichern und Abrufen der Schlüssel vorgesehenen Mechanismen in die Abläufe in Ihrem Unternehmen integriert werden können. Beispielsweise sollten Firmen, die Java-Anwendungen einsetzen, darauf Wert legen, dass der ausgewählte KMaaS-Anbieter über eine Java Cryptography Extension verfügt.
- Berücksichtigen Sie zudem, wie sich Komponenten und Anwendungen mit dem Dienst verbinden können und welchen Einfluss dies auf die Performance sowie auf die Sicherheit hat, die Sie benötigen. Selbst beim Einsatz einer Rest-API, dem wohl am häufigsten verwendeten Mechanismus für die Verbindung mit einem KMaaS-Dienst, wird eine Verbindung zwischen dem Schlüsselmanagement-Service zu der Stelle benötigt, an der der Schlüssel eingesetzt werden soll. Es gibt allerdings auch Situationen, in denen dies keine Voraussetzung ist. Ein Beispiel dafür sind geschützte virtuelle private Clouds, die über keine nach außen gerichteten Verbindungen verfügen. Kunden in dieser Situation benötigen einen Mechanismus, um eine vorübergehende Verbindung zu ermöglichen, die Anfragen weiterzuleiten und dann vom Anbieter bereitgestellte Komponenten nutzen zu können, die sie zwischenspeichern. Wenn das nicht funktioniert, muss ein anderer Weg gefunden werden.
- Inventarisieren Sie bereits vorhandene Secrets, die im KMaaS gespeichert werden sollen. Wenn es vor Ort einen lokalen Key-Managementdienst gibt, dann prüfen Sie, was darin gespeichert ist und wie diese Secrets eingesetzt werden. Diese vorher durchgeführte Evaluierung der Ist-Situation hilft IT-Entscheidern beim Umstieg. Wie schwierig wird er sein und welche Zugriffsmethoden werden dafür benötigt? Achten Sie darauf, wie Access Requests validiert und genehmigt und wie Schlüssel erneuert oder gelöscht werden.
- Bei all diesen Überlegungen sollte Ihnen aber immer bewusst sein, dass nicht alle zur Verfügung stehenden Key-Managementprozesse in der Multi Cloud gleichwertig sind. Achten Sie besonders auf Situationen, in denen ein Ersetzen bereits vorhandener Komponenten nicht möglich oder nötig ist. So werden viele Unternehmen, die bislang ein physisches HSM genutzt haben, feststellen, dass die dort gespeicherten Schlüssel nicht exportiert werden können. Das trifft auf die meisten HSM-Lösungen zu, da die Krypto-Operationen direkt in ihnen selbst durchgeführt werden. Das führt dann dazu, dass ein Schlüssel die Grenzen des Hardware Security Modules nicht verlassen kann. Anders sieht es bei einem Key-Manager aus, gleichgültig ob es sich um ein KMaaS oder eine andere Lösung handelt. Manche Unternehmen werden legitime Sicherheits- oder Nutzungsanforderungen haben, für die dies von Vorteil ist. Zu verstehen, warum Ihre Schlüssel auf eine bestimmte Art und Weise geschützt werden müssen, ist aber ein wichtiger Punkt bei der Entscheidung für die am besten passende Lösung. Sie basiert dann zudem auf den Risiken und Herausforderungen für das jeweilige Unternehmen.
