Datensicherheit in einer souveränen Cloud Confidential Computing – Der sichere Weg in die Cloud

Anbieter zum Thema

enclaive GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

In den meisten Cloud-Umgebungen sind sensible Daten nicht verschlüsselt und damit praktisch ungeschützt. Unternehmen riskieren so kritische Datenlecks und kostspielige Compliance-Verstöße. Confidential Computing könnte durchgängigen Schutz bieten.

Unternehmen und öffentliche Einrichtungen setzen heutzutage verstärkt auf Cloud-Lösungen oder planen, ihre Daten und Anwendungen in die Cloud zu migrieren. Mit der Verlagerung der Dienste in das Rechenzentrum des Providers geben sie aber immer auch ein Stück weit die Kontrolle über die Daten ab. Und das kann gefährlich werden: Da sich Daten mit traditioneller Verschlüsselung zwar im Ruhezustand und während der Übertragung, nicht aber bei der Verarbeitung schützen lassen, kann es zu unerwünschten Zugriffen von externen wie internen Angreifern oder auch seitens des Cloud-Providers kommen – der Compliance-Verstoß ist dann vorprogrammiert. Einen Ausweg aus diesem Dilemma bietet Confidential Cloud Computing.

Sichere Cloud-Umgebungen dank 3D-Verschlüsselung

Das Prinzip von Confidential Computing ist einfach: Mithilfe von Trusted Execution Environments (TEE), sogenannter Enklaven, werden Daten und Anwendungen auf der Prozessor-Ebene vom restlichen System logisch isoliert und auch während der Verarbeitung verschlüsselt. Diese Absicherung von Daten in allen drei Dimensionen (at rest, in transit, in use) lässt sich prägnant als „3D-Verschlüsselung“ beschreiben, die jeglichen nicht autorisierten Zugriff verhindert.

Um sicherzustellen, dass die Enklave und ihr Inhalt unverändert sind und nicht manipuliert wurden, wird auf Basis der Ausgangskonfiguration und des Codes innerhalb der Enklave zunächst ein kryptographischer Attestation Report erstellt, der anschließend von einem externen Attestation Service überprüft und validiert wird. Der Schutz der Enklaven fußt dabei auf starken Encryption Keys sowie einer sicheren Schlüsselverwaltung und -Verteilung.

Security-Insider Podcast – Folge 103

(Open) Confidential Computing – ohne Vertrauen geht's noch nicht

Wirksamer Schutz gegen Cyberattacken

Dieser Ansatz erhöht die Cyberresilienz erheblich: In den Enklaven sind Daten und Anwendungen auch dann zuverlässig geschützt, wenn Angreifer auf dem gleichen Host Malware oder Rootkits einschleusen und virtuelle Maschinen (VMs) oder den Hypervisor kompromittieren. Angriffe auf den Arbeitsspeicher, etwa durch Memory- oder Cold-Boot-Attacken, sind wirkungslos, da die Daten verschlüsselt und damit nicht im Klartext lesbar sind. Und Man-in-the-Middle-Angriffe, bei denen sich Angreifer in die Kommunikationskette einklinken und Daten manipulieren, werden durch Ende-zu-Ende-Verschlüsselung praktisch ausgeschlossen – solange die Schlüssel sicher verteilt sind. So werden auch Insider-Bedrohungen konsequent verhindert, da weder privilegierte Nutzer wie Admins noch der Cloud-Provider Zugriff auf die Enklaven haben.

Stichwort Schlüsselverteilung: Die Zugriffskontrollen und Authentifizierungsmechanismen, die ein robustes Key Management bereitstellt, machen Confidential Computing darüber hinaus zu einem wichtigen Bestandteil einer unternehmensweiten Zero-Trust-Architektur.

Multiple Einsatzszenarien

Da Confidential Computing lediglich 2 bis 3 Prozent zusätzliche Rechenleistung erfordert, können im Grunde alle Unternehmen und Organisationen von der hohen Datensicherheit der Enklaven profitieren. Auch Software-Hersteller und Managed Service Provider können ihre SaaS-Anwendungen oder andere Dienstleistungen in sicheren Ausführungsumgebungen bereitstellen und so neue Geschäftsmodelle erschließen.

Besonders eignet sich der Ansatz für Unternehmen und öffentliche Einrichtungen in stark regulierten Branchen, da so selbst strenge Compliance-Vorschriften umsetzbar sind: Confidential Computing gewährleistet den durchgängigen Schutz personenbezogener Daten (DSGVO), eine starke Cyberresilienz (NIS2) und die verschlüsselte Verarbeitung von Finanzdaten in isolierten und geschützten Umgebungen (DORA). Dabei lassen sich sogar die großen Hyperscaler bedenkenlos nutzen, ohne die Datensouveränität zu gefährden: Durch den CLOUD Act können US-Behörden zwar theoretisch sämtliche Daten amerikanischer Unternehmen anfordern, aber da die Provider keinen Zugriff auf die Enklaven haben, können sie auch keine Daten weitergeben.

Darüber hinaus schützen Unternehmen mit Confidential Computing ihr geistiges Eigentum: Kunden und Partner erhalten zwar Zugang zu geschützten Anwendungen – aber nicht zum Source-Code –, für die unternehmensübergreifende Zusammenarbeit an Projekten lassen sich die eigenen Systeme kontrolliert öffnen, und die vertraulichen Ausführungsumgebungen ermöglichen das gefahrlose Testen von Neuentwicklungen.

Ein weiterer spannender Use Case ist die Übertragung von Anwendungen in die Cloud, ohne Architektur und Code anzupassen. Diese „Lift-and-Shift“-Migrationen haben häufig mit Leistungseinbußen oder Ausfällen zu kämpfen, da die alte On-Premises- und die neue Cloud-Infrastruktur sich zu sehr unterscheiden. Als dedizierte Umgebung lassen sich Enklaven dagegen mit den gleichen Merkmalen wie die alte Umgebung konfigurieren – und die Migration vorab wiederum ohne Risiko testen.

Die richtige Umsetzung

Ob Confidential Cloud Computing die Datensicherheit wirklich erhöht, hängt zu großen Teilen von der richtigen Implementierung ab: So bieten die großen Hyperscaler heute auch schon Confidential-Computing-Lösungen samt Key Management an. Daraus resultieren gleich zwei Probleme: Zum einen ein Vendor Lock-In, der den Wechsel zu einem anderen Anbieter erschwert und Abhängigkeiten erzeugt. Hier helfen Multi-Cloud Confidential Computing Broker (MCCCP), die anbieterneutrale und damit Multi-Cloud-fähige Lösungen anbieten.

Zum anderen hat der Cloud-Provider, wenn sowohl Enklaven als auch Schlüsselservice bei ihm liegen, theoretisch Zugriff auf die Enklave – was das gesamte Konzept ad absurdum führen würde. Deshalb braucht es eine Cloud-kompatible Bring-Your-Own-Key-Lösung (BYOK), damit Unternehmen ihre Schlüssel selbst generieren, speichern und verwalten können. Einige MCCCPs verfügen für diesen Fall über virtuelle Hardware-Security-Module (vHSM), eine Weiterentwicklung traditioneller HSMs, die die kryptographische Performance der Hardware mit der Flexibilität und Skalierbarkeit der Cloud kombinieren.

Zu guter Letzt sollte die Confidential Computing-Lösung vor allem einfach zu integrieren sein, sprich: No Code Deployment. Im Optimalfall müssen bestehende Infrastruktur, Workflows oder Code wenig bis gar nicht angepasst werden, was neben der offensichtlichen Aufwandsersparnis auch die Akzeptanz für das neue Security-Konzept erhöht.

Compliance durch verschlüsselte Verarbeitung in sicheren Enklaven

Confidential Cloud Computing bietet ein neues Level an Data Security in der Cloud, da Daten nun auch während der Verarbeitung in sicheren Enklaven verschlüsselt sind. Diese vertraulichen Ausführungsumgebungen erhöhen die Cyberresilienz, ermöglichen sichere Cloud-Migrationen und stellen echte Compliance mit den strengen Vorgaben des Gesetzgebers sicher – sogar bei der Nutzung der großen US-Hyperscaler, da auch die Provider keinen Zugriff auf die enklavierten Daten haben. Wer seine Confidential-Computing-Ressourcen dabei über einen Multicloud Confidential Computing Broker mit ganzheitlichem Ansatz bezieht, verhindert Vendor-Lock-Ins, behält die Kontrolle über sein Key Management und profitiert von einer einfachen Implementierung.

(ID:50502222)