In diesem kurzen Vortrag soll auf die Möglichkeiten des SQL Servers eingegangen werden, die Daten mittels Rechteverwaltung und Verschlüsselung gegen unberechtigten Zugriff abzusichern. Schwerpunkt sind in diesem Vortrag die Neuerungen seit SQL 2008R2/SQL 2012 und die betriebssystemseitigen Voraussetzungen. Lernen Sie den Zugriff von der Applikation bis hin zum Datensatz im SQL Server zu verstehen und so Ihre Daten umfassend abzusichern. Dabei wird sowohl auf die neuen Techniken, die der SQL Server 2012 mitbringt, als auch auf die Möglichkeiten, die das Betriebssystem Windows 2012 unterstützend mitbringt, eingegangen.
2. BASEL BERN BRUGG DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. GENF
HAMBURG KOPENHAGEN LAUSANNE MÜNCHEN STUTTGART WIEN ZÜRICH
SQL Server 2014
Security und Verschlüsselungsmechanismen
Frankfurter Datenbanktage 2015
Maic Beher
3. Agenda
Security und Verschlüsselungsmechanismen2 10.12.2015
1. Security
Wer braucht schon Sicherheit?
2. Verschlüsselung
Ich sehe was, was du nicht siehst!
3. Kurzer Blick in die Zukunft
Was wird (vielleicht) kommen!
5. Security
Security und Verschlüsselungsmechanismen4 10.12.2015
Arbeiten mit Dienstkonten
SPN und Kerberos
Datenbankbenutzer
Exkurs: Verschlüsselung
Anmeldungen in Contained Databases
Datenbankbenutzer mit Zertifikaten
6. Security– Arbeiten mit Dienstkonten
Security und Verschlüsselungsmechanismen5 10.12.2015
Konten zum Starten und Ausführen von SQL Server basierten Diensten
Integrierte Systemkonten
Virtuelle Konten
Lokale Benutzerkonten
Domänenbenutzerkonten
Verwaltete Dienstkonten
7. Security– Arbeiten mit Dienstkonten
Security und Verschlüsselungsmechanismen6 10.12.2015
Verwaltete Dienstkonten
MSA
– Wird in der AD verwaltet
– Kann den SPN setzen
– Tauscht regelmäßig Kennwörter
– Nicht für FCI geeignet
gMSA (gruppenverwaltete Dienstkonten)
– Wird offiziell noch nicht von SQL Server unterstützt
8. Security – Grundlagen Kerberos
Security und Verschlüsselungsmechanismen7 10.12.2015
1. Authentifizierung
2. Bestätigung /TGT + SessionKey
3. Anfrage ServiceTicket
4. Service Ticket plus
ServiceSessionKey
5. Service Anfrage mit ST/SSK
6. Bestätigung des Servicezugriffs
9. Security – Erstellen einer KERBEROS Delegation
Security und Verschlüsselungsmechanismen8 10.12.2015
Vertraut dem SPN SPN auf ServiceaccountVertrauenswürdig
10. Security – Windows Groups Login
Security und Verschlüsselungsmechanismen9 10.12.2015
Neues ab SQL Server 2012
Standard Schema für Windows Gruppen
– es gilt die niedrigste ID
Standardsprache auf Datenbankebene
– nicht wirksam, wenn dem Login eine Standardsprache zugewiesen wurde
11. Security – ‚Best Practice‘ in Contained Databases
Security und Verschlüsselungsmechanismen10 10.12.2015
Windowsbasierte User benutzen
– Benutzer mit Passwörtern können kein Kerberos
Alter any User vermeiden
Zugriff nur auf die DB begrenzt
– Identische User erstellen
– Trustworthy Eigenschaft aktivieren
Keine identischen ‚Benutzer mit Passwort‘ und ‚Anmeldenamen‘
– wenn vorhanden, dann an Instanz anmelden
12. Security – Anmeldeinformationen (Credentials)
Security und Verschlüsselungsmechanismen11 10.12.2015
Encryption Provider für Anmeldeinformationen
speichert, verwaltet Verschlüsselungsschlüssel außerhalb des SQL Servers
bietet Multi-Faktor Authentifizierung (1,2,3)
Seperation-of-Duties
– Securityverwaltung != Datenverwaltung
Enterprise Feature
Kann externe Schlüsselverwalter benutzen
– SmartCard
– USB Geräte
– EKM Module
15. Verschlüsselung - Begrifflichkeit
Security und Verschlüsselungsmechanismen14 10.12.2015
Symmetrische Schlüssel
Ent- und Verschlüsseln mit dem selben Schlüssel
Asymmetrische Schlüssel
Ent- und Verschlüsseln mit einem Schlüsselpaar
– Privater Schlüssel
– Öffentlicher Schlüssel
Hashalgorithmus
Erzeugt eine Prüfsumme mit festgelegter Länge
16. Verschlüsselung - Eigenschaften
Security und Verschlüsselungsmechanismen15 10.12.2015
Symmetrischer Schlüssel
– Schnell
– Sicher
– Größenneutral
Asymmetrischer Schlüssel
– einfache Schlüsselübergabe
Zertifikat
– PKI bestätigter öffentlicher Schlüssel eines asymmetrischen Schlüsselpaares
PKI Vertauen kann ein Schwachpunkt sein!!
18. Verschlüsselung – Datenbankbenutzer mit Zertifikaten
Security und Verschlüsselungsmechanismen17 10.12.2015
Voraussetzungen:
Datenbank Master Key muss erstellt sein
Zertifikat muss in zwei Dateien vorliegen
– öffentlicher Schlüssel im CER/DER Format
– privater Schlüssel im PVK Format
Erstellen eines selbst-signierten Zertifikates
Tool zum Erstellen der Dateien:
PVKConverter.EXE
19. Verschlüsselung – Asymmetrischer Schlüssel
Security und Verschlüsselungsmechanismen18 10.12.2015
Zweck asymmetrischer Schlüssel
Schützt den symmetrischen Verschlüsselungsschlüssel
Kann (eigenschränkt) Daten verschlüsseln
Signiert Datenbankobjekte
Können importiert werden
Aber:
Können NICHT Verbindungen verschlüsseln
Können nicht exportiert werden
20. Verschlüsselung –Asymmetrischer Schlüssel (Benutzer)
Security und Verschlüsselungsmechanismen19 10.12.2015
Benutzer auf Basis eines asymmetrischen Schlüssels
Können sich nicht anmelden
Können Berechtigungen erhalten
Können Module signieren
21. Verschlüsselung – Signierte Prozeduren
Security und Verschlüsselungsmechanismen20 10.12.2015
Signierte Prozeduren
Mehrmals signierfähig
Ändern einer Prozedur löscht die Signierung
23. Kurzer Blick in die Zukunft
Security und Verschlüsselungsmechanismen22 10.12.2015
Row Level Security
Always Encrypted
24. SQL 2016 Angekündigte Features
Security und Verschlüsselungsmechanismen23 10.12.2015
Row Level Security
gewährt Zugriff basierend auf
– Gruppenmitgliedschaft
– Ausführungskontext
portiert Datensicherheit aus Applikationsebene auf Datenbankebene
basiert auf ‚Sicherheitsrichtlinien‘ (Security Policy)
– benötigt Inline-Tabellenwertfunktionen als Prädikat
– Funktion muss mit Schemabindung erstellt werden
– pro DML nur ein Prädikat
25. Kurzer Blick in die Zukunft
Security und Verschlüsselungsmechanismen24 10.12.2015
Always Encrypted
Spaltenbasierte Verschlüsselung
trennt Datenbesitz und Datenverwaltung
transparent für die Applikation
benötigt:
– einen speziellen Treiber
– Column Master Key
– Column Encrytion Key
26. Kurzer Blick in die Zukunft
Security und Verschlüsselungsmechanismen25 10.12.2015