Шифрование диска

Защита данных держателей карт

Доктор Антон А. Чувакин , Бранден Р. Уильямс , в Соответствие PCI (второе издание), 2010 г.

Методы шифрования данных в состоянии покоя

Программное обеспечение для шифрования дисков можно разделить на три категории высокого уровня:

File- или шифрование на уровне папок

Полное шифрование диска

Шифрование базы данных

Давайте рассмотрим преимущества и недостатки каждого из них, поскольку вы рассматриваете, как и где они могут вписаться в вашу программу защиты данных держателей карт.

Шифрование на уровне файлов или папок

Шифрование на уровне файлов или папок (или уровень файловой системы) — это система шифрования, в которой определенные папки, файлы или тома шифруются сторонним программным пакетом или функцией самой файловой системы.

Преимущества:

Возможен более детальный контроль над тем, какая конкретная информация должна быть зашифрована. . Файлы данных карты, которые необходимо зашифровать, могут храниться в определенной папке или томе, а данные, которые не нуждаются в защите, могут храниться в другом месте. Например, некоторые небольшие организации, которые производят периодическое выставление счетов, фактически используют этот метод для шифрования всех чисел между запусками выставления счетов, таким образом удовлетворяя требованиям PCI DSS.

Многие продукты для шифрования на уровне файлов позволяют интегрировать ограничения на уровне доступа. Это позволяет вам управлять тем, кто к чему имеет доступ. Это помогает обеспечить защиту данных и контроль доступа.

Некоторые системы шифрования на уровне файлов позволяют отслеживать, кто пытается для доступа к файлу и когда. Продукты для шифрования на уровне файлов позволяют добавлять детализированную регистрацию данных, что помогает удовлетворить Требование 10 о регистрации доступа к данным карты.

Когда есть необходимость переместить данные, данные могут быть зашифрованы на уровне файла, а затем перемещены из места хранения, необходимо убедиться, что незашифрованная копия удалена. Это сохраняет конфиденциальность данных при их перемещении на резервную ленту. Известно, что ленты с резервными копиями использовались злоумышленниками для взлома огромных объемов данных карт. Даже случайная «потеря» ленты вызвала затруднения у компаний и вызвала необходимость дорогостоящих процедур раскрытия информации.

Шифрование файлов менее агрессивно для база данных, чем шифрование на уровне столбцов. Схема базы данных не нуждается в изменении, и доступ к данным авторизованного персонала (на основе контроля доступа) не затрудняется при выполнении запросов и других действиях по управлению. Это аспект доступности , один из трех принципов триады ЦРУ; хотя PCI DSS не содержит требований к доступности, у вашего бизнеса они явно есть.

Шифрование на уровне файлов, как правило, потребляет меньше ресурсов, поэтому меньше влияет на производительность системы. Современные операционные системы могут выполнять эффективное шифрование файлов на лету.

Недостатки:

Проблемы с производительностью могут быть вызваны процессами резервного копирования, особенно с реляционными базами данных.

Требуются дополнительные ресурсы для управления ключами, поскольку необходимо управлять большим количеством ключей.

Зашифрованная файловая система Windows (EFS) с операционными системами Microsoft является основным примером такой технологии. Помните, что при развертывании этого типа шифрования необходимо убедиться, что учетные данные для дешифрования отличаются от ваших стандартных учетных данных для входа в Windows. Также могут использоваться дополнительные продукты шифрования. Вот некоторые из распространенных бесплатных или широко используемых продуктов для шифрования файлов с открытым исходным кодом:

GNU Privacy Guard (GnuPG или GPG) от Free Software Foundation можно найти на сайте www.gnupg.org. Он выполняет эффективное шифрование файлов с использованием симметричной криптографии и криптографии с открытым ключом и работает в операционных системах Windows и Unix.

TrueCrypt — это другое бесплатное программное обеспечение для шифрования дисков с открытым исходным кодом для Windows, Linux и даже MacOS. Его можно найти на сайте www.truecrypt.org. Он может выполнять шифрование файлов, папок и всего диска.

AxCrypt (www.axantum.com/AxCrypt /) — еще один вариант для систем Windows. Это также бесплатно и с открытым исходным кодом.

С помощью вышеуказанных инструментов шифрование отдельных файлов данных карты осуществляется бесплатно и легко. Как и в случае с другими доменами, PCI DSS никогда не требует отдельных инструментов или поставщиков.

Полнодисковое шифрование

Полнодисковое шифрование ( FDE) или методы шифрования «всего диска» шифруют каждый файл, хранящийся на диске (или дисках), включая операционную систему/файловую систему. Обычно это делается посекторно. Драйвер фильтра, который загружается в память при загрузке, шифрует каждый файл при его записи на диск и расшифровывает любой файл, перемещаемый с диска. Это происходит прозрачно для конечного пользователя или приложения, создающего файлы.

Преимущества:

Все на диске (или дисках) зашифровано, включая временные файлы и пространство подкачки, что повышает безопасность всех ваших данных, а не только данных карты. При развертывании во всех рассматриваемых системах данные карты будут гарантированно зашифрованы.

Принудительное шифрование данных для конечного пользователя, облегчая принятие решений о том, что или что не шифровать.

Шифрование/дешифрование прозрачно. Когда необходимо получить доступ к информации, ее можно сохранить вне системы и автоматически расшифровать. Если в системе установлено приложение для обработки, использование зашифрованных данных также легко. 4

Поскольку все данные на диске зашифрованы, даже если Альтернативный загрузочный носитель используется против зашифрованной системы, данные на диске не читаются и, следовательно, бесполезны для вора. Таким образом, данные карты защищены даже при выключении системы.

Недостатки:

Некоторые программы FDE могут вызывать увеличение времени доступа к данным. Могут возникать небольшие задержки при записи и чтении данных, особенно с очень большими файлами и большими объемами транзакций.

Системный пароль необходимо определить и внедрить процессы управления и управления ключами. Если пользователь теряет свой пароль, открывающий доступ к зашифрованной системе, он вообще не имеет доступа к своим данным. Процедуры управления ключами, определенные в Требовании 3.5, более важны для шифрования всего диска. Кстати, согласно 3.4.1, «Ключи дешифрования не должны быть привязаны к учетным записям пользователей!»

FDE больше подходит для защиты данных на рабочих станциях и мобильных устройствах, тогда как шифрование на уровне файлов более полезно как метод на устройствах хранения большого объема. Широко разрекламированные случаи, когда менеджеры баз данных или аналитики подвергали опасности тысячи клиентов из-за кражи портативного компьютера, который использовался для загрузки больших объемов конфиденциальных данных с устройства хранения, служат только для демонстрации этого факта.

Рисунок 6.3 иллюстрирует разницу в архитектуре между шифрованием на уровне файлов и FDE.

Рисунок 6.3. Файловое шифрование и шифрование всего диска

Шифрование диска BitLocker, включенное в новые операционные системы Microsoft Windows Visa и Windows 7, является первичный пример такой технологии. Также могут использоваться дополнительные продукты шифрования. Например, TrueCrypt — это бесплатное программное обеспечение для шифрования дисков с открытым исходным кодом для Windows, Linux и даже MacOS, которое может выполнять полное шифрование диска. Его можно найти на сайте www.truecrypt.org. Последняя версия PGP Whole Disk Encryption (www.pgp.com) не бесплатна, но часто используется.

Инструменты

Прежде чем обращаться к инструментам шифрования, запомните и повторите мантру: «Нужно ли мне хранить эти данные?»

Ниже перечислены бесплатные известные инструменты шифрования файлов и дисков:

Самый популярный и широко используемый инструмент GnuPG от Free Software Foundation можно найти на www.gnupg.org. Он выполняет эффективное шифрование файлов с использованием симметричной криптографии и криптографии с открытым ключом и работает в операционных системах Windows и Unix.

TrueCrypt — это еще одно бесплатное программное обеспечение для шифрования дисков с открытым исходным кодом для Windows, Linux и даже MacOS. Его можно найти на сайте www.truecrypt.org. Он может выполнять шифрование файлов, папок и всего диска..

Шифрование базы данных (на уровне столбца)

Самая конфиденциальная часть данных о держателях карт, которую разрешено хранить, — это PAN. Считайте это своей жемчужиной в короне. Это полный номер карты, который идентифицирует как эмитента карты, так и счет держателя карты. В стандарте PCI DSS 3.4 указано: «МИНИМАЛЬНАЯ информация учетной записи, которая должна быть сделана нечитаемой, — это PAN». Если PAN хранятся в реляционной базе данных, а не в файлах, шифрование на уровне столбцов становится единственным способом сделать данные держателя ключевой карты нечитаемыми.

Преимущества:

Когда в таблице запрашиваются данные в незашифрованном столбце, никакого влияния на производительность не наблюдается. Поскольку никаких операций по расшифровке не происходит, нет задержек при чтении/записи и не снижается производительность системы из-за активности программного обеспечения для шифрования.

Когда выполняется запрос записи с данными из зашифрованного поля, накладные расходы минимальны. Поскольку расшифровка должна выполняться только для отдельного поля или полей, которые зашифрованы, накладные расходы намного меньше.

Его можно использовать вместе с другими элементами управления для защиты данных от администраторов. Разделение обязанностей между администраторами безопасности и базами данных снижает риски, предоставляя администратору базы данных (DBA) неограниченный доступ к данным, которые необходимо защитить для соответствия требованиям PCI.

Недостатки:

Шифрование базы данных требует тесной интеграции с базой данных или приобретенных отдельно от поставщика базы данных.

Часто это сильно влияет на структуру базы данных. Чтобы реализовать защиту шифрования на уровне столбцов, вам, вероятно, придется изменить следующее:

Данные тип зашифрованного поля.

Ссылки на зашифрованные поля и запросы к ним должны быть изменен для ограничения доступа. ПО промежуточного слоя и другие приложения, которые взаимодействуют с базой данных, должны быть осмыслены и, возможно, перенастроены.

Управление ключами должно быть хорошо спланировано; если ключ шифрования жестко запрограммирован в сценариях, он нарушает безопасность и нарушает Требование 3.5. Сами ключи должны храниться в зашифрованном состоянии, а элементы управления доступом должны размещаться вокруг них.

Продавцы и поставщики услуг, которые выполняют пакетная обработка обычно приводит к сохранению конфиденциальных данных в плоских файлах, экспортированных из базы данных. В этом случае шифрование базы данных должно сочетаться с шифрованием файлов или папок.

В результате шифрование базы данных на уровне столбцов может быть решением для части вашего общего плана по защите данных о держателях карт, но вряд ли это будет весь план.

На момент написания большинство основных поставщиков реляционных баз данных предлагали шифрование баз данных. В частности:

База данных Oracle (www.oracle.com) предлагает несколько типов зашифрованных таблиц, включая « прозрачное шифрование », которое можно интегрировать с приложениями. См. [2] для получения дополнительной информации.

База данных IBM DB2 (www.ibm.com/db2) предлагает данные а также шифрование полей и столбцов. См. [3] для получения дополнительной информации.

Microsoft MS SQL Server (www.microsoft.com/sqlserver) предлагает также шифрование данных.

Бесплатная база данных MySQL с открытым исходным кодом (www.mysql.com), теперь принадлежащая Oracle предлагает непрозрачное шифрование данных с использованием криптографического алгоритма AES.

Как и раньше, выберите решение, которое соответствует вашей общей ИТ-стратегии; вам, скорее всего, не потребуется менять поставщиков баз данных для выполнения своих обязательств по PCI.

Предупреждение

Не забывайте о переносимых устройства хранения, которые подключаются к ноутбукам или настольным компьютерам. Существуют программные решения, которые можно настроить для принудительного шифрования любого подключенного USB-устройства, иногда даже в зависимости от типа копируемых данных. Несмотря на то, что это сложно в управлении, это также может защитить вас от того, что ваше дорогостоящее решение для шифрования будет отменено неосторожным сотрудником, который хранит конфиденциальные данные в зашифрованной системе, но затем использует незащищенный USB-накопитель для передачи данных карты, тем самым расшифровывая их при передаче. к устройству. В целом, сведите к минимуму использование портальных устройств для передачи данных карт.

Просмотреть главуКнига о покупках
Прочитать всю главу
URL: https://www.sciencedirect.com/science/article/pii/B9781597494991000118
Оцените статью
techsly.ru
Добавить комментарий