Events Fachartikel Partner UnternehmenVerschlüsselung von SharePoint-Datenbanken mit TDE

In Extranet-Szenarien sind die technischen Betreuer einer SharePoint-Farm immer bestrebt den Weg der „höchsten Sicherheit“ einzuschlagen, um Außenstehenden einen Zugriff auf firmeninterne Daten zu verwehren.
 
Aus einem erfolgreich abgeschlossenen Projekt war der Anlass das maximale an Sicherheit aus dem System zu holen, was mit Boardmitteln zu realisieren sei. Es darf keinerlei unverschlüsselter Datenverkehr fließen – auch nicht in das Backend.
 
Nebst allen Raffinessen, welche auf SharePoint-Seite realisiert werden können, sollte auch der Weg zwischen den SharePoint-Servern und dem SQL-Backend sowie alle bereitgestellten Inhalts-Datenbanken verschlüsselt werden.
 
SQL-Server liefert ab Version 2008 die integrierte „Transparent Data Encryption (TDE)“, welche in der Enterprise- und Datacenter-Variante zur Verfügung stehen. Microsoft bestätigte in einer Presales-Anfrage, dass die Verschlüsselung von Datenbanken für den SharePoint-Betrieb „supported“ sei. Verschlüsselt werden immer komplette Datenbanken. Eine Verschlüsselung einzelner Spalten und Tabellen ist nicht unterstützt.
 
Es handelt sich hierbei um eine Real-Time I/O Encryption und Decryption. Das bedeutet, dass alle Daten- und Logfiles in Echtzeit verschlüsselt und entschlüsselt werden. Ein solches Verschlüsselungsverfahren ist ein sehr rechenintensiver Vorgang, welcher sich direkt auf die Performance des Systems auswirkt.
 
Initial wird ein Masterkey definiert und ein Zertifikat samt EncryptionKey angelegt. Microsoft SQL-Server stellt hierfür diverse Algorithmen zur Verfügung. Anschließend kann für jede gewünschte Datenbank die „Transparent Data Encryption (TDE)“ aktiviert werden. Da dies sehr granular gestaltet werden kann, bietet es sich an Service-Datenbanken, welche ein hohes I/O Potential vorweisen, von der Verschlüsselung auszuschließen.
 
Doch wie bei so vielen technischen Sicherheitsverfahren folgt auch hier das große Achtung:
Die Datenbank-Files liegen nun in verschlüsselter Form vor. Folglich können diese auch nur an SQL-Systeme angehängt werden, welche über den notwendigen Encryption-Key verfügen. Das alleinige MDF-File ist unbrauchbar. Somit sollte die Sicherung des Zertifikats samt private Key unbedingt nach seiner Erstellung erfolgen um bei einem Systemausfall die Datenbanken an einem neuen System wiederherstellen zu können.
Es werden lediglich die Datenbanken an sich verschlüsselt – die Datenströme zwischen SharePoint- und SQL-Server liegen nach wie vor unverschlüsselt vor. Es bedarf weiterer Methoden um auch diese vor Angreifern zu schützen. SQL-Server liefert die Möglichkeit der SSL-Verschlüsselung des Datenverkehrs. Alternativ kann sämtlicher Datenverkehr zwischen den Servern über eine verschlüsselte IPSec Verbindung erfolgen.
Die TempDB ist automatisch auch TDE-Enabled (auch wenn nur eine DB verschlüsselt werden soll). Hier kann man Abhilfe schaffen indem die Inhaltsdatenbanken welche verschlüsselt werden sollen auf in eine eigene Instanz verschiebt.
Filestream Daten können mit diesem Verfahren nicht verschlüsselt werden.
Data Compression bei der Sicherung der Datenbanken nicht mehr effektiv.
Ein TDE-Encryption Zertifikat kann auch nach Überschreiten des ExpirationDates noch zur Ver- und Entschlüsselung der Datenbanken verwendet werden
In vielen Unternehmen lautet die Devise: „Sicherheit vor Verfügbarkeit“ und jedem Administrator, der sich mit SharePoint-Infrastrukturen auseinandersetzt, ist sich im Klaren, dass dieses Ziel nicht ohne Verlust an Performance und/oder Funktionalität zu erreichen ist. Hier ist es die Kunst eine geeignete Strategie zu erarbeiten, um ein angemessenes Maß an Sicherheit zu bieten ohne die im jeweiligen Anwendungsfall notwendigen Funktionalitäten der SharePoint-Farm einzuschränken und die Performance auf einem akzeptablen Level zu halten.
 

Weitere Informationen hierzu finden Sie unter folgendem Link:
Understanding Transparent Data Encryption (TDE)
http://msdn.microsoft.com/en-us/library/bb934049.aspx

Kommentare

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

    Anja Weidner