Datadiodit ja toimialueiden välinen siirto: yksisuuntainen tietoturva-arkkitehtuuri

Tiedoston siirtäminen Salainen-verkosta luokittelemattomaan kuulostaa triviaaliselta, kunnes harkitset, mitä sen mukana ei saa siirtyä. Analyytikon tarkoittama julkaistavaksi tarkoitettu teksti voi olla puhdas, mutta sen kantava tiedosto voi salakuljettaa luokiteltua sisältöä metatiedoissa, upotetuissa objekteissa, muokkaushistoriassa tai binäärimuodon jäsentämättömässä häntäosassa. Palomuuri ei ratkaise tätä, koska palomuuri luottaa omaan konfiguraatioonsa ja omaan ohjelmistopinoonsa — joita molempia voidaan vaarantaa. Puolustettava vastaus on tehdä ei-toivotusta virtaussuunnasta fyysinen mahdottomuus ja sitten tarkastaa, mitä sallitaan kulkea sallitussa suunnassa. Tämä on datadiodin ja toimialueiden välisen ratkaisun alue.

Miksi suunta on pakotettava laitteistossa

Datadiodi pakottaa yksisuuntaisen datavirran fysiikan ominaisuutena eikä ohjelmiston ominaisuutena. Klassinen toteutus on optinen yhteys, jossa on lähetin lähteen puolella ja vastaanotin kohteen puolella, ja tarkoituksellisesti ei lähetintä kohteessa eikä vastaanotinta lähteessä. Fotonit kulkevat korkealta matalalle (tai matalalta korkealle, suunnittelusta riippuen); yksinkertaisesti mitään optista polkua ei ole olemassa minkään paluukuljettamiseen. Koska yksisuuntaisuus on sisäänrakennettu johdotukseen, sitä ei voi kytkeä pois päältä konfiguraatiovirheellä, laiteohjelmistoeksploitilla tai haitallisella sisäpiiriläisellä, jolla on järjestelmänvalvojan käyttöoikeudet kummalle tahansa isäntäkoneelle.

Tämä on ratkaiseva ero palomuuriin verrattuna. Palomuuri on kaksisuuntainen laite, joka on konfiguroitu käyttäytymään kuin se olisi yksisuuntainen. Sen pakottaminen riippuu sääntöjoukosta, käyttöjärjestelmänsä eheydestä ja oletuksesta, ettei sääntöä ole lisätty virheellisesti. Datadiodi poistaa nämä oletukset: jopa täysin vaarantunut isäntäkone kohteen puolella ei voi suodattaa dataa takaisin rajan yli, koska sillä ei ole kanavaa sitä varten. Korkean turvaluokituksen enklaavia suojattaessa mistään sisäisestä yhteydestä tai taattaessa, että arkaluonteinen verkko voi vastaanottaa päivityksiä olematta koskaan saavutettavissa, tämä fyysinen takuu on se, mikä mahdollistaa akkreditoinnin.

Mitä diodi ei ratkaise

Suunta ei ole sama kuin sisältö. Yksisuuntainen vientilinki Salainen-verkosta luokittelemattomaan siirtää luokiteltua sisältöä yhtä uskollisesti kuin julkaistavaa sisältöä — sillä ei ole aavistustakaan kumpi on kumpi. Jos analyytikko vie esityksen, joka sisältää piilotetun dian, upotetun lähdeaineiston tai tiedostoon jääneet puhujan muistiinpanot, diodi siirtää kaiken siitä uskollisesti. Diodi vastaa vain kysymykseen "voiko data kulkea takaisin?" Erillinen ja vaikeampi kysymys — "saako tämä tietty objekti kulkea lainkaan?" — kuuluu sen päälle kerroksittain rakennetulle toimialueiden väliselle ratkaisulle.

Datadiodin kehittyminen toimialueiden väliseksi ratkaisuksi

Toimialueiden välinen ratkaisu (CDS) on täydellinen akkreditoitu järjestelmä hallittua tiedonsiirtoa varten turvallisuustoimialueiden välillä. Pelkät siirto-CDS-suunnitelmat siirtävät dataa antamatta kummallekaan puolelle interaktiivista pääsyä toiseen; käyttö-CDS-suunnitelmat antavat yksittäisen työaseman päästä useisiin toimialueisiin hallitun rajan kautta. Tämä artikkeli koskee siirtotapausta, jossa datadiodit yleisimmin käytetään pakotusten ytimessä.

Siirto-CDS:ssä on kolme kerrosta. Ensimmäinen on fyysinen pakotuskerros — yleensä yksi tai useampi datadiodi — joka määrittää sallitun suunnan. Toinen on kuljetuskerros, välityspalvelinohjelmisto, joka mahdollistaa luotettavan toimituksen linkin yli, jolla ei ole paluukanavaa. Kolmas on tarkastuskerros, siirtovartija, joka päättää objekti kerrallaan, mitä saa ylittää rajan. Näiden kolmen yhdistelmä, plus auditointijärjestely ja dokumentoitu toimintakonsepti, on se, mitä akkreditointiviranomainen arvioi. Suunnanhallinnan ja sisällönhallinnan välistä suhdetta käsitellään syvemmin kumppaniartikkelissamme aiheesta toimialueiden väliset ratkaisut puolustukseen.

Luotettavan kuljetuksen toteuttaminen ilman paluukanavaa

Useimmat hyödylliset protokollat — ennen kaikkea TCP — edellyttävät paluukanavaa kuittauksille, uudelleenlähetykselle ja vuonohjaukselle. Todellisella datadiodiilla ei ole sellaista. Vakioratkaisu on välityspalvelinpari, yksi diodin kummallakin puolella. Lähetyspuolen välityspalvelin päättää sovelluksen TCP-istunnon paikallisesti, kuittaa vastaanottamisen lähteelle ikään kuin se olisi kohde, ja sarjallistaa hyötykuorman yksisuuntaiseen virtaan. Tuo virta siirretään diodin yli protokollalla, joka on rakennettu yksisuuntaiseen toimitukseen, eteenpäin virheenkorjauksella (FEC) uudelleenlähetyksen sijaan: redundanttia dataa lisätään, jotta vastaanotin voi rekonstruoida kadonneet paketit ilman, että se koskaan pyytää niitä uudelleen.

Vastaanottopuolen välityspalvelin rekonstruoi hyötykuorman, tarkistaa sen eheyden ja avaa uuden TCP-istunnon todelliseen kohteeseen. Sovelluksen näkökulmasta on tapahtunut tavallinen tiedostonsiirto tai viestin toimitus. Tietoturva-arkkitehdin näkökulmasta mikään kuittaus, kättely tai ajoitusmoduloitu signaali ei ole ylittänyt fyysistä rajaa. Läpimenoa ja luotettavuutta säädetään säätämällä FEC:n redundanssia ja segmenttikokoa linkin mitattuun virheasteeseen sopivaksi — vaihdetaan kaistanleveyttä joustavuuden vuoksi eikä luoteta paluukanavaan, jota ei ole olemassa.

Siirtovartija: tarkastus ja julkaisun hallinta

Siirtovartija on toimialueiden välisen ratkaisun älykkyys. Se istuu datapolulla ja soveltaa julkaisupolitiikkaa jokaiseen objektiin ennen kuin se saa ylittää rajan. Ohjaava periaate on sallittujen luettelo, ei kiellettyjen luettelo: sen sijaan, että yritetään luetella kaikki vaarallinen, vartija sallii vain datan, joka vastaa täsmälleen tunnettua hyvää määritystä, ja hylkää kaiken muun. Useat tekniikat toimivat yhdessä.

Rakenteellinen validointi. Jokainen tiedosto jäsennetään tiukan skeeman avulla sen ilmoitetun tyypin mukaisesti. Asiakirja, joka väittää olevansa yksinkertainen tekstinä oleva muoto, mutta sisältää upotettuja makroja, ulkoisia viittauksia tai odottamattomia binäärialueita, epäonnistuu validoinnissa. Vartija ei yritä puhdistaa tällaista tiedostoa; se hylkää sen, koska vihamielisen syötteen korjaaminen on itsessään hyökkäyspinta.

Metatietojen poistaminen ja kanonisaatio. Monimutkaiset muodot muunnetaan yksinkertaisimpaan uskolliseen esitykseen — esimerkiksi renderöimällä rikas asiakirja tasaiseen, uudelleen luotuun muotoon, joka ei voi kantaa alkuperäisen piilotettuja objekteja. Tekijöiden nimet, muokkaushistoria, geolokointitunnisteet ja muut metatiedot poistetaan. Kanonisaatio yhdistää monet tavat, joilla muoto voi koodata saman näkyvän sisällön yhdeksi, poistaen vaihtelun, jota steganografia ja piilokanavat hyödyntävät.

Sisällönhaku ja ihmistarkastus. Kiellettyjen sanojen luettelot, säännöllisten lausekkeiden kuviot ja luokitusmerkintöjen tunnistimet merkitsevät tekstin, jonka ei pitäisi koskaan ilmestyä kohteen puolelle. Korkealta matalalle vientiä varten — vaaralliseen suuntaan — merkityt objektit ohjataan ihmistarkastajalle, joka tekee lopullisen julkaisupäätöksen. Automaattinen tarkastus vähentää tarkastajan käsiteltävän volyymin; se ei korvaa tarkastajaa korkeimman riskin siirroissa.

Tuonti vs. vienti: epäsymmetrinen riski

Toimialueiden välisen siirron kahdella suunnalla on hyvin erilaiset riskit. Tuonti — datan siirtäminen matalammasta verkosta korkeampaan — on ensisijaisesti haittaohjelman injektio- ja eheysongulma. Kohde on herkempi puoli, joten huolena on, että saapuva data voi kantaa exploitin tai korruptoida korkean enklaavia. Tuontipolussa olevan siirtovartijan painopiste on muodon validoinnissa, haittaohjelmien skannauksessa ja kaiken suoritettavan tai aktiivisesti tulkittavan hylkäämisessä.

Vienti — datan siirtäminen korkeammasta verkosta matalampaan — on suunta, joka voi vuotaa luokiteltua tietoa, ja se on siksi vaikeampi ongelma. Tässä vartijan tehtävä on luottamuksellisuus: varmistaa, ettei mitään luokiteltua kulje mukana metatiedoissa, piilotuissa objekteissa tai piilokanavissa, ja että luokitusmerkinnät ovat olemassa ja johdonmukaiset. Koska vientivirheen seuraus on paljastaminen eikä tartunta, vientipolut vaativat tyypillisesti tiukempia muotojen sallittuja luetteloita, pakollista ihmistarkastusta merkitystä sisällöstä ja konservatiivisinta kanonisaatiota. Yleinen arkkitehtuuri käyttää kahta fyysisesti erillistä diodia — yksi kumpaankin suuntaan — jotta tuonti- ja vientikäytännöt sekä niiden vikatilat eivät koskaan jaa polkua.

Missä diodien paikka on kerrosarkkitehtuurissa

Datadiodit seisovat harvoin yksin. Ne ovat yksi ohjaus syvyyssuuntaisen puolustuksen suunnittelussa, johon sisältyy myös verkon segmentointi, vahva todennus ja jatkuva seuranta. Arkaluonteista enklaavia suojaava diodi täydentää eikä korvaa zero-trust-ohjaimia tuossa enklaavis­sa; diodi hallitsee rajaa, kun taas identiteettipohjainen varmennus hallitsee jokaista pyyntöä sen sisällä — mikä on aiheena artikkelissamme zero-trust-arkkitehtuurista sotilasverkoille. Diodit sopivat myös luontevasti eristettyihin käyttöönotottoihin: ilmaraon järjestelmä, jonka on silti vastaanotettava ohjelmistopäivityksiä tai uhkatietoja, voi käyttää tuontidiodia datan vastaanottamiseen altistamatta koskaan paluupolkua — kuvio, jota käsitellään artikkelissamme ilmaraon käyttöönotoista puolustuksen ohjelmistoille.

Operatiiviset todellisuudet

Toimialueiden välinen ratkaisu on operatiivinen sitoumus, ei kertakäyttöinen asennus. Hylkäysasteita on seurattava, koska vartija, joka hylkää liian paljon, kouluttaa käyttäjät löytämään epävirallisia kiertoteitä — kaikkein vaarallisin vikatila. Jonon syvyyttä ja viivettä on seurattava, jotta lailliset, aikakriittiset siirrot eivät nälkiinny. Jokainen muoto, jonka vartija hyväksyy, on hyökkäyspinta, joka on uudelleenvalidoitava aina kun jäsennin, sääntöjoukko tai taustalla oleva ohjelmisto muuttuu. Ja jokainen siirtopäätös on kirjattava muuttumattomaan tallennustilaan, jotta jälkikäteen auditoija voi rekonstruoida täsmälleen mitä rajan yli ylitti ja miksi se sallittiin.

Muotojen hallinta on osa-alue, joka useimmin aliarvioidaan. Kiusaus missä tahansa operatiivisessa käyttöönottotapauksessa on jatkaa hyväksyttyjen muotojen lisäämistä — uusi kuvatyyppi täällä, rikkaampi asiakirjamuoto siellä — kunnes sallittujen luettelo hiljaa muuttuu kiellettyjen luetteloksi kulumisen kautta. Jokainen lisäys laajentaa jäsentämispintaa, jonka vartijan on luotettava, ja monimutkainen jäsennin, joka käsittelee vihamielistä syötettä, on täsmälleen se, missä toimialueiden väliset ratkaisut historiallisesti epäonnistuvat. Kurinalainen käytäntö on pitää hyväksyttyjen muotojen joukko niin pienenä kuin tehtävä sallii, suosia yksinkertaisia rakenteellisia muotoja rikkaiden yli ja kohdella jokaista pyyntöä lisätä muoto muutoksena, joka käynnistää uudelleenarvioinnin eikä konfiguraatiomuutoksena. Missä rikasta muotoa todella tarvitaan, turvallisempi reitti on renderöidä se tasaiseksi uudelleenluoduksi esitykseksi luotetulla puolella ja siirtää vain se, sen sijaan että alkuperäinen rakenne sallitaan rajan yli ollenkaan.

Ihmisulottuvuus on yhtä tärkeä kuin tekninen. Tarkastajat, jotka harkitsevat merkittyjä vientiobjekteja, tarvitsevat koulutusta, selkeät julkaisukriteerit ja työkalut, jotka esittävät objektin tavalla, joka tuo piilotettua sisältöä esiin eikä piilota sitä. Tarkastusprosessi, joka näyttää tarkastajalle vain asiakirjan renderöidyn pinnan, kun vartija hiljaa siirtää sen alla olevan metatiedon, antaa väärän turvallisuuden tunteen. Vahvimmat käyttöönottotapaukset instrumentoivat tarkastusvaiheen itsessään — mittaamalla, kuinka kauan tarkastukset kestävät, kuinka usein tarkastajat ohittavat automaattiset merkinnät ja onko ohituskuviot ajautuneet ajan myötä — jotta hallittu julkaisupäätös säilyy harkittuna ihmisjudgementtina eikä kumileimasimena.

Akkreditointi ja lupa

Mikään toimialueiden välinen ratkaisu ei yhdistä luokiteltuja verkkoja ilman muodollista akkreditointia. Yhdysvaltain kansallisen turvallisuuden ympäristöissä National Cross Domain Strategy and Management Office (NCDSMO) ylläpitää perustasoa arvioiduista tuotteista ja Raise-the-Bar -suunnitteluvaatimuksista, ja uusi tai muokattu CDS käy läpi laboratorioperusteisen turvallisuusarvioinnin, jota seuraa muodollinen käyttöoikeuspäätös. NATO ja kansalliset ohjelmat soveltavat vastaavia järjestelmiä, jotka viittaavat Common Criteria -arviointiin ja kansallisiin turvallisuusakkreditointiviranomaisiin. Ratkaisevasti akkreditointi kattaa koko toimintakonseptin — sallitut datamuodot, tarkastussäännöt, auditointisuunnittelun ja ihmistarkastusprosessin — eikä pelkästään laitteen. Datadiodi on komponentti; akkreditoitu CDS on järjestelmä dokumentoidulla toiminnalla, ja se on järjestelmä, ei laite, jonka viranomainen hyväksyy.