Squares „Krypto-Anker“: Ein einzelnes, ratenbegrenztes HSM steht zwischen Dieben und jedem Datensatz

Nach den katastrophalen Datenschutzverletzungen bei Equifax – 143 Millionen Datensätze von Amerikanern, später auf über 145 Millionen korrigiert – und bei Yahoo gab der Sicherheitsingenieur Diogo Mónica einer Architektur einen Namen, die er Jahre zuvor entwickelt hatte: „Krypto-Anker“. Mónica und sein Kollege Nathan McCauley setzten das System beim Zahlungsdienstleister Square ein, bevor sie 2015 zum Unternehmenssoftware-Anbieter Docker wechselten.

Üblicherweise muss der Webserver den Datenbankschlüssel halten, um zu funktionieren, sodass jeder, der den Server übernimmt, ihn erbt – ungefähr so wird vermutet, dass die Angreifer von Equifax vorgingen. Bei einem Krypto-Anker liegt der Schlüssel ausschließlich auf einem gehärteten Hardware-Sicherheitsmodul (HSM), das jeden Datensatz auf Anfrage entschlüsselt und sich selbst in der Rate begrenzt. Selbst bei einer Million Abfragen pro Tag würde es über sechs Monate ununterbrochener Anwesenheit dauern, die Sozialversicherungsnummern von Equifax abzuziehen. Auch Hashing rettet ein herkömmliches Design nicht: Bei weniger als einer Milliarde möglicher SSNs lassen sich gestohlene Hashes in aller Ruhe offline zuordnen.

„Das Kernkonzept besteht darin, sicherzustellen, dass Ihre Daten nicht nur verschlüsselt sind, sondern dass die einzige Möglichkeit, sie zu entschlüsseln, darauf zuzugreifen oder mit ihnen zu arbeiten, physisch in Ihrem Rechenzentrum liegt“, sagte Mónica. „Wenn jemand meine Datenbank kompromittiert, wenn sie durchsickert, ist sie nicht nützlich, es sei denn, er befindet sich in meinem Netzwerk.“ Haroon Meer, Gründer des Sicherheitsunternehmens Thinkst, brachte den Reiz auf den Punkt: „Man zwingt sie, auf dem eigenen Terrain zu spielen, sodass man sie kommen sieht.“

Das Verfahren war 2017 kaum verbreitet, lief aber dort, wo es darauf ankam. Neben Squares Implementierung sagte Mónica, Ingenieure bei Facebook und Uber hätten ihm privat mitgeteilt, dass sie etwas Ähnliches betrieben, und der Kryptograf Matthew Green von der Johns Hopkins University sagte, er habe mehrere große Technologieunternehmen zu Varianten davon beraten – für Sicherheitsdesigner „alter Hut“, „neu in dem Sinne, dass es nur sehr wenige tatsächlich tun“.

Man kann Eindringlinge nicht draußen halten, also kontrolliere man das Einzige, was sie zum Abfließen brauchen: Jede Entschlüsselung muss physisch ein separates Gerät passieren, dessen Rate man selbst festlegt.

Echtzeitanwendungen müssen bei Bedarf entschlüsseln, daher legt klassische Verschlüsselung den Schlüssel auf genau den Webserver, den Angreifer zuerst kompromittieren.

Hashing allein scheitert bei kleinen Schlüsselräumen: Sozialversicherungsnummern lassen sich offline erschöpfend hashen und mit gestohlenen Hashes abgleichen.

Jede Entschlüsselung durch ein einziges gehärtetes HSM zu leiten, macht den Schlüssel physisch nicht herunterladbar und begrenzt die Datenausgaberate durch die Hardware.

Der Preis – Hundertstelsekunden pro Anfrage – erkauft eine Exfiltrationsuhr, die in Monaten gezählt wird und für Verteidiger vollständig sichtbar ist.

Auf Exfiltration auslegen, nicht nur auf den Eintritt: Die Rate ist die Ressource, die ein Verteidiger kontrolliert. Ein eigener Engpass verwandelt einen stillen Einbruch in eine langsame, laute Belagerung.

Bis Ende 2017 behauptete Mónica, „jedes wirklich gute Sicherheits-Engineering-Team nutzt irgendeine Form davon“, und verwies auf private Bestätigungen von Ingenieuren bei Facebook und Uber. Die HSM-Anbieter Gemalto und Thales hatten solche Setups seit Jahren ermöglicht, und Cloud-Varianten – Amazons CloudHSM, Microsofts Azure Key Vault – brachten die Bausteine in Reichweite gewöhnlicher Unternehmen. Mónica konnte nicht versprechen, dass Krypto-Anker Equifax gestoppt hätten, dessen Angriffsweg noch unklar war, argumentierte aber, dass sie den Angreifer verlangsamt und die Beute verkleinert hätten.