Datendioden und domänenübergreifende Übertragung: Einweg-Sicherheitsarchitektur

Eine Datei von einem als geheim eingestuften Netzwerk in ein unklassifiziertes zu übertragen klingt trivial, bis man bedenkt, was nicht mit ihr übertragen werden darf. Der Text, den der Analyst freigeben möchte, mag sauber sein, aber die Datei, die ihn enthält, kann klassifizierte Inhalte in Metadaten, eingebetteten Objekten, Versionsverlauf oder dem ungeparsten Anhang eines Binärformats einschmuggeln. Eine Firewall kann das nicht lösen, weil eine Firewall ihrer eigenen Konfiguration und ihrem eigenen Software-Stack vertraut — beides kann unterlaufen werden. Die verteidigungsfähige Antwort ist, die unerwünschte Flussrichtung zu einer physischen Unmöglichkeit zu machen und dann zu inspizieren, was in der erlaubten Richtung zu fließen berechtigt ist. Das ist die Domäne der Datendioide und der Cross-Domain-Lösung.

Warum die Richtung in Hardware erzwungen werden muss

Eine Datendioide erzwingt den Einweg-Datenfluss als Eigenschaft der Physik und nicht der Software. Die klassische Implementierung ist ein optischer Link mit einem Sender auf der Quellseite und einem Empfänger auf der Zielseite, und bewusst kein Sender auf der Zielseite und kein Empfänger auf der Quellseite. Photonen reisen von hoch nach niedrig (oder von niedrig nach hoch, je nach Design); es gibt schlicht keinen optischen Pfad, auf dem irgendetwas zurückreisen könnte. Da die Einwegrichtung in die Verkabelung eingebaut ist, kann sie nicht durch einen Konfigurationsfehler, einen Firmware-Exploit oder einen böswilligen Insider mit Administratorzugang zu einem der Hosts deaktiviert werden.

Das ist der entscheidende Unterschied zu einer Firewall. Eine Firewall ist ein bidirektionales Gerät, das so konfiguriert ist, als ob es unidirektional wäre. Seine Durchsetzung hängt von Regelsätzen, der Integrität seines Betriebssystems und der Annahme ab, dass keine Regel versehentlich hinzugefügt wurde. Eine Datendioide beseitigt diese Annahmen: Selbst ein vollständig kompromittierter Host auf der Zielseite kann keine Daten zurück über die Grenze exfiltrieren, weil es keinen Kanal dafür gibt. Für den Schutz eines hochklassifizierten Enklaves vor eingehenden Verbindungen oder zur Gewährleistung, dass ein sensibles Netzwerk Updates empfangen kann, ohne jemals erreichbar zu sein, ist diese physische Garantie das, was Akkreditierung ermöglicht.

Was eine Dioide nicht löst

Richtung ist nicht dasselbe wie Inhalt. Ein Einweg-Exportlink von einem geheimen Netzwerk zu einem unklassifizierten überträgt klassifizierte Inhalte genauso zuverlässig wie freigebbare Inhalte — er hat keine Ahnung, was was ist. Wenn ein Analyst eine Präsentation exportiert, die eine versteckte Folie, eingebettete Quelldaten oder im Dokument verbliebene Sprechernotizen enthält, überträgt die Dioide pflichtbewusst alles davon. Die Dioide beantwortet nur die Frage „Können Daten zurückreisen?" Die separate und schwierigere Frage — „Sollte dieses spezifische Objekt überhaupt übertragen werden dürfen?" — gehört zur darüber gelegten Cross-Domain-Lösung.

Von der Datendioide zur Cross-Domain-Lösung

Eine Cross-Domain-Lösung (CDS) ist ein vollständiges, akkreditiertes System für den kontrollierten Informationsaustausch zwischen Sicherheitsdomänen. Reine Transfer-CDS-Designs verschieben Daten, ohne einer der Seiten interaktiven Zugang zur anderen zu gewähren; Zugangs-CDS-Designs erlauben einer einzelnen Arbeitsstation, über eine kontrollierte Grenze auf mehrere Domänen zuzugreifen. Dieser Artikel befasst sich mit dem Transfer-Fall, bei dem Datendioden am häufigsten als Durchsetzungskern verwendet werden.

Eine Transfer-CDS hat drei Schichten. Die erste ist die physische Durchsetzungsschicht — gewöhnlich eine oder mehrere Datendioden —, die die erlaubte Richtung festlegt. Die zweite ist die Transportschicht, die Proxy-Software, die eine zuverlässige Zustellung über einen Link ohne Rückkanal ermöglicht. Die dritte ist die Inspektionsschicht, der Transfer-Guard, der objekt-für-objekt entscheidet, was passieren darf. Die Kombination aus diesen dreien, plus einem Auditregime und einem dokumentierten Betriebskonzept, ist das, was eine Akkreditierungsbehörde bewertet. Das Verhältnis zwischen Richtungskontrolle und Inhaltskontrolle wird in unserem Begleitartikel über Cross-Domain-Lösungen für die Verteidigung eingehender untersucht.

Zuverlässigen Transport ohne Rückkanal realisieren

Die meisten nützlichen Protokolle — allen voran TCP — setzen einen Rückkanal für Quittierungen, Neuübertragungen und Flusskontrolle voraus. Eine echte Datendioide hat keinen. Die Standardlösung ist ein Paar Proxies, einen auf jeder Seite der Dioide. Der senderseitige Proxy beendet die TCP-Sitzung der Anwendung lokal, quittiert den Empfang gegenüber der Quelle, als wäre er das Ziel, und serialisiert die Nutzlast in einen unidirektionalen Datenstrom. Dieser Strom wird über die Dioide mit einem für Einwegzustellung entwickelten Protokoll übertragen, mit Vorwärtsfehlerkorrektur (FEC) statt Neuübertragung: Redundante Daten werden hinzugefügt, damit der Empfänger verlorene Pakete rekonstruieren kann, ohne sie jemals erneut anfordern zu müssen.

Der empfängerseitige Proxy rekonstruiert die Nutzlast, überprüft ihre Integrität und öffnet eine neue TCP-Sitzung zum eigentlichen Ziel. Aus Sicht der Anwendung hat eine gewöhnliche Dateiübertragung oder Nachrichtenzustellung stattgefunden. Aus Sicht des Sicherheitsarchitekten hat keine Quittierung, kein Handshake und kein zeitmoduliertes Signal die physische Grenze überschritten. Durchsatz und Zuverlässigkeit werden durch Anpassung von FEC-Redundanz und Segmentgröße an die gemessene Fehlerrate des Links optimiert, indem Bandbreite gegen Ausfallsicherheit abgewogen wird, anstatt auf einen Rückkanal zu setzen, der nicht existiert.

Der Transfer-Guard: Inspektion und Freigabekontrolle

Der Transfer-Guard ist die Intelligenz einer Cross-Domain-Lösung. Er sitzt im Datenpfad und wendet eine Freigaberichtlinie auf jedes Objekt an, bevor es passieren darf. Das Leitprinzip ist Whitelisting, nicht Blacklisting: Anstatt zu versuchen, alles Gefährliche aufzuzählen, erlaubt der Guard nur Daten, die genau einer bekanntermaßen korrekten Spezifikation entsprechen, und lehnt alles andere ab. Mehrere Techniken wirken zusammen.

Strukturelle Validierung. Jede Datei wird gegen ein strenges Schema für ihren deklarierten Typ geparst. Ein Dokument, das behauptet, ein einfaches texttragendes Format zu sein, aber eingebettete Makros, externe Referenzen oder unerwartete Binärbereiche enthält, besteht die Validierung nicht. Der Guard versucht nicht, eine solche Datei zu bereinigen; er lehnt sie ab, weil der Versuch, feindliche Eingaben zu reparieren, selbst eine Angriffsfläche ist.

Metadaten-Entfernung und Kanonisierung. Komplexe Formate werden in die einfachste treue Darstellung umgewandelt — beispielsweise durch Rendern eines umfangreichen Dokuments in ein flaches, regeneriertes Format, das die versteckten Objekte des Originals nicht tragen kann. Autorennamen, Bearbeitungsverlauf, Geolokalisierungs-Tags und andere Metadaten werden entfernt. Die Kanonisierung reduziert die vielen Möglichkeiten, wie ein Format denselben sichtbaren Inhalt kodieren kann, auf eine einzige, und eliminiert damit die Variation, die Steganografie und verdeckte Kanäle ausnutzen.

Inhaltserkennung und menschliche Überprüfung. Dirty-Word-Listen, reguläre Ausdrucksmuster und Klassifizierungsmarkierungs-Detektoren markieren Text, der niemals auf der Zielseite erscheinen sollte. Für den Export von hoch nach niedrig — die gefährliche Richtung — werden markierte Objekte an einen menschlichen Prüfer weitergeleitet, der die endgültige Freigabeentscheidung trifft. Automatisierte Inspektion reduziert das Volumen, das ein Prüfer bearbeiten muss; sie ersetzt den Prüfer nicht bei den risikoreichsten Übertragungen.

Import versus Export: asymmetrisches Risiko

Die beiden Richtungen der domänenübergreifenden Übertragung tragen sehr unterschiedliche Risiken. Import — Verschieben von Daten von einem niedrigeren Netzwerk auf ein höheres — ist in erster Linie ein Malware-Injektions- und Integritätsproblem. Das Ziel ist die sensiblere Seite, daher besteht die Sorge darin, dass die eingehenden Daten einen Exploit tragen oder die hohe Enklave korrumpieren könnten. Der Transfer-Guard auf einem Importpfad konzentriert sich auf Formatvalidierung, Malware-Scanning und das Ablehnen von allem, was ausführbar oder aktiv interpretiert wird.

Export — Verschieben von Daten von einem höheren Netzwerk nach unten auf ein niedrigeres — ist die Richtung, die klassifizierte Informationen durchsickern lassen kann, und ist daher das schwierigere Problem. Hier ist die Aufgabe des Guards die Vertraulichkeit: sicherstellen, dass nichts Klassifiziertes in Metadaten, versteckten Objekten oder verdeckten Kanälen mitreist und dass Klassifizierungsmarkierungen vorhanden und konsistent sind. Da die Konsequenz eines Export-Versagens Offenlegung und nicht Infektion ist, verlangen Exportpfade typischerweise strengere Formatwhitelists, obligatorische menschliche Überprüfung markierter Inhalte und die konservativste Kanonisierung. Eine gängige Architektur verwendet zwei physisch getrennte Datendioden — eine für jede Richtung —, so dass die Import- und Exportrichtlinien und ihre Fehlermodi niemals einen Pfad teilen.

Wo Datendioden in einer geschichteten Architektur passen

Datendioden stehen selten allein. Sie sind eine Kontrolle in einem Defence-in-Depth-Design, das auch Netzwerksegmentierung, starke Authentifizierung und kontinuierliche Überwachung umfasst. Eine Dioide, die eine sensible Enklave schützt, ergänzt die Zero-Trust-Kontrollen innerhalb dieser Enklave, anstatt sie zu ersetzen; die Dioide regiert die Grenze, während identitätsbasierte Überprüfung jede Anfrage darin regiert — das Thema unseres Artikels über Zero-Trust-Architektur für militärische Netzwerke. Datendioden passen auch natürlich zu isolierten Einsätzen: Ein Air-Gap-System, das trotzdem Software-Updates oder Bedrohungsinformationen empfangen muss, kann eine Import-Dioide verwenden, um Daten aufzunehmen, ohne jemals einen Rückpfad zu exponieren — ein Muster, das in Air-Gap-Einsätze für Verteidigungssoftware besprochen wird.

Betriebliche Realitäten

Eine Cross-Domain-Lösung ist ein operatives Engagement, keine einmalige Installation. Ablehnungsraten müssen überwacht werden, weil ein Guard, der zu viel ablehnt, Benutzer dazu trainiert, nicht sanktionierte Umgehungswege zu finden — den gefährlichsten Fehlermodus überhaupt. Warteschlangentiefe und Latenz müssen verfolgt werden, damit legitime, zeitkritische Übertragungen nicht ausgehungert werden. Jedes Format, das der Guard akzeptiert, ist eine Angriffsfläche, die neu validiert werden muss, wenn sich der Parser, der Regelsatz oder die zugrundeliegende Software ändert. Und jede Übertragungsentscheidung muss in unveränderlichem Speicher protokolliert werden, so dass ein Prüfer im Nachhinein genau rekonstruieren kann, was die Grenze überschritten hat und warum es erlaubt wurde.

Format-Governance ist der Teil, der am häufigsten unterschätzt wird. Die Versuchung bei jedem operativen Einsatz besteht darin, immer mehr akzeptierte Formate hinzuzufügen — hier ein neuer Bildtyp, dort ein reicheres Dokumentformat —, bis die Whitelist durch Abnutzung leise zu einer Blacklist wird. Jede Ergänzung erweitert die Parsing-Oberfläche, der der Guard vertrauen muss, und ein komplexer Parser, der feindliche Eingaben verarbeitet, ist genau da, wo Cross-Domain-Lösungen historisch scheitern. Die disziplinierte Praxis besteht darin, den akzeptierten Formatsatz so klein wie die Mission toleriert zu halten, einfache strukturierte Formate gegenüber reichhaltigen zu bevorzugen und jede Anfrage, ein Format hinzuzufügen, als eine Änderung zu behandeln, die eine Neubewertung auslöst, nicht als Konfigurationsanpassung. Wo ein reichhaltiges Format wirklich erforderlich ist, ist der sicherere Weg, es auf der vertrauenswürdigen Seite in eine flache, regenerierte Darstellung zu rendern und nur diese zu übertragen, anstatt die ursprüngliche Struktur über die Grenze zu lassen.

Die menschliche Dimension ist genauso wichtig wie die technische. Die Prüfer, die markierte Export-Objekte beurteilen, brauchen Schulungen, klare Freigabekriterien und Werkzeuge, die das Objekt so präsentieren, dass versteckte Inhalte sichtbar werden und nicht verborgen bleiben. Ein Überprüfungsprozess, der einem Prüfer nur die gerenderte Oberfläche eines Dokuments zeigt, während der Guard die darunter liegenden Metadaten stillschweigend durchlässt, vermittelt ein falsches Gefühl von Sicherheit. Die stärksten Einsätze instrumentieren den Überprüfungsschritt selbst — messen, wie lange Überprüfungen dauern, wie oft Prüfer automatisierte Markierungen überstimmen und ob Überstimmungsmuster im Laufe der Zeit driften —, so dass die kontrollierte Freigabeentscheidung ein bewusstes menschliches Urteil bleibt und kein Stempelvorgang.

Akkreditierung und Genehmigung

Keine Cross-Domain-Lösung verbindet klassifizierte Netzwerke ohne formale Akkreditierung. In US-amerikanischen Sicherheitsumgebungen pflegt das National Cross Domain Strategy and Management Office (NCDSMO) eine Baseline evaluierter Produkte und die Raise-the-Bar-Designanforderungen, und eine neue oder geänderte CDS durchläuft eine laborbasierte Sicherheitsbewertung, gefolgt von einer formalen Betriebsgenehmigungsentscheidung. NATO und nationale Programme wenden analoge Regelwerke an, die auf Common-Criteria-Evaluierung und nationalen Sicherheitsakkreditierungsbehörden referenzieren. Entscheidend ist, dass die Akkreditierung das gesamte Betriebskonzept abdeckt — die erlaubten Datenformate, die Inspektionsregeln, das Auditdesign und den menschlichen Überprüfungsprozess — und nicht nur das Gerät. Eine Dioide ist eine Komponente; eine akkreditierte CDS ist ein System mit dokumentiertem Verhalten, und es ist das System, nicht das Gerät, das eine Behörde abnimmt.