Datadiodes en domeinoverschrijdende overdracht: eenrichtingsbeveiligingsarchitectuur

Een bestand verplaatsen van een Secret-netwerk naar een niet-gerubriceerd netwerk klinkt triviaal totdat u nadenkt over wat er niet mee mag reizen. De tekst die de analist wil vrijgeven kan schoon zijn, maar het bestand dat deze draagt kan gerubriceerde inhoud smokkelen in metadata, ingesloten objecten, revisiegeschiedenis of de niet-geparseerde staart van een binair formaat. Een firewall kan dit niet oplossen, omdat een firewall vertrouwt op zijn eigen configuratie en zijn eigen softwarestack — beide kunnen worden ondermijnd. Het verdedigbare antwoord is om de ongewenste richting van datastroom een fysieke onmogelijkheid te maken, en vervolgens te inspecteren wat in de toegestane richting mag stromen. Dat is het domein van de datadiode en de domeinoverschrijdende oplossing.

Waarom richting in hardware moet worden afgedwongen

Een datadiode dwingt eenrichtingsdatastroom af als een eigenschap van de fysica in plaats van van software. De klassieke implementatie is een optische verbinding met een zender aan de bronzijde en een ontvanger aan de bestemmingszijde, en bewust geen zender aan de bestemming en geen ontvanger aan de bron. Fotonen reizen van hoog naar laag (of van laag naar hoog, afhankelijk van het ontwerp); er is simpelweg geen optisch pad voor iets om terug te reizen. Omdat de eenrichtingswerking in de bedrading is ingebouwd, kan deze niet worden uitgeschakeld door een configuratiefout, een firmware-exploit of een kwaadwillende insider met beheerderrstoegang tot beide hosts.

Dit is het cruciale onderscheid van een firewall. Een firewall is een bidirectioneel apparaat dat is geconfigureerd om zich te gedragen alsof het unidirectioneel is. De handhaving ervan is afhankelijk van regelsets, van de integriteit van het besturingssysteem en van de aanname dat er geen regel per vergissing is toegevoegd. Een datadiode verwijdert deze aannames: zelfs een volledig gecompromitteerde host aan de bestemmingszijde kan geen gegevens terug over de grens exfiltreren, omdat er geen kanaal is om te gebruiken. Voor de bescherming van een hoog-geclassificeerde enclave tegen elke inkomende verbinding, of voor het garanderen dat een gevoelig netwerk updates kan ontvangen zonder ooit bereikbaar te zijn, is deze fysieke garantie wat accreditatie mogelijk maakt.

Wat een diode niet oplost

Richting is niet hetzelfde als inhoud. Een eenrichtingsexportverbinding van een Secret-netwerk naar een niet-gerubriceerd netwerk draagt gerubriceerde inhoud net zo getrouw als vrijgeefbare inhoud — het heeft geen idee wat wat is. Als een analist een presentatie exporteert die een verborgen dia bevat, ingesloten brongegevens of sprekernotities die in het bestand zijn achtergebleven, verzendt de diode dit getrouw alles. De diode beantwoordt alleen de vraag "kan data terugstromen?" De afzonderlijke en moeilijkere vraag — "zou dit specifieke object überhaupt mogen bewegen?" — behoort toe aan de domeinoverschrijdende oplossing die er bovenop is gelaagd.

Van datadiode naar domeinoverschrijdende oplossing

Een domeinoverschrijdende oplossing (CDS) is een compleet, geaccrediteerd systeem voor gecontroleerde informatieoverdracht tussen beveiligingsdomeinen. CDS-ontwerpen voor uitsluitend overdracht verplaatsen gegevens zonder dat een van beide kanten interactieve toegang tot de andere heeft; toegangs-CDS-ontwerpen laten een enkel werkstation meerdere domeinen bereiken via een gecontroleerde grens. Dit artikel gaat over het overdrachtsscenario, waarbij datadiodes het meest worden gebruikt als afdwingingskern.

Een overdrachts-CDS heeft drie lagen. De eerste is de fysieke afdwingingslaag — gewoonlijk een of meer datadiodes — die de toegestane richting vastlegt. De tweede is de transportlaag, de proxysoftware die betrouwbare levering mogelijk maakt over een verbinding zonder terugkanaal. De derde is de inspectilaag, de overdrachtsbeveiliging die per object beslist wat er mag passeren. De combinatie van deze drie, plus een auditregime en een gedocumenteerd operationeel concept, is wat een accreditatieautoriteit evalueert. De relatie tussen richtingscontrole en inhoudscontrole wordt dieper onderzocht in ons begeleidende artikel over domeinoverschrijdende oplossingen voor defensie.

Betrouwbaar transport zonder terugkanaal mogelijk maken

De meeste nuttige protocollen — TCP bovenal — veronderstellen een terugkanaal voor bevestigingen, herversturing en stroomregeling. Een echte datadiode heeft er geen. De standaardoplossing is een paar proxy's, één aan elke kant van de diode. De verzendende proxy beëindigt de TCP-sessie van de applicatie lokaal, bevestigt ontvangst aan de bron alsof het de bestemming is, en serialiseert vervolgens de payload tot een unidirectionele stroom. Die stroom wordt over de diode gedragen via een protocol dat is gebouwd voor eenrichtingslevering, met forward error correction (FEC) in plaats van herversturing: redundante gegevens worden toegevoegd zodat de ontvanger verloren pakketten kan reconstrueren zonder ze ooit opnieuw op te vragen.

De ontvangende proxy reconstrueert de payload, verifieert de integriteit ervan en opent een nieuwe TCP-sessie naar de echte bestemming. Vanuit het perspectief van de applicatie heeft een gewone bestandsoverdracht of berichtbezorging plaatsgevonden. Vanuit het perspectief van de beveiligingsarchitect heeft geen bevestiging, geen handshake en geen timinggemoduleerd signaal de fysieke grens gekruist. Doorvoer en betrouwbaarheid worden afgestemd door FEC-redundantie en segmentgrootte aan te passen aan de gemeten foutfrequentie van de verbinding, waarbij bandbreedte wordt ingeruild voor veerkracht in plaats van te vertrouwen op een terugkanaal dat niet bestaat.

De overdrachtsbeveiliging: inspectie en vrijgavecontrole

De overdrachtsbeveiliging is de intelligentie van een domeinoverschrijdende oplossing. Deze bevindt zich in het datapad en past een vrijgavebeleid toe op elk object voordat het de grens mag passeren. Het leidende principe is whitelisting, niet blacklisting: in plaats van te proberen alles gevaarlijks op te sommen, staat de beveiliging alleen gegevens toe die exact voldoen aan een bekende goede specificatie en weigert al het andere. Verschillende technieken werken samen.

Structurele validatie. Elk bestand wordt geparseerd aan de hand van een strikt schema voor het gedeclareerde type. Een document dat beweert een eenvoudig tekstdragend formaat te zijn maar ingesloten macro's, externe referenties of onverwachte binaire regio's bevat, slaagt niet voor validatie. De beveiliging probeert een dergelijk bestand niet te repareren; het wijst het af, omdat pogingen om adversariële invoer te repareren zelf een aanvalsoppervlak vormen.

Metadataverwijdering en canonicalisatie. Complexe formaten worden omgezet naar de eenvoudigste getrouwe representatie — bijvoorbeeld door een rijk document om te zetten naar een plat, opnieuw gegenereerd formaat dat de verborgen objecten van het origineel niet kan dragen. Auteursnamen, bewerkingsgeschiedenis, geolocatietags en andere metadata worden verwijderd. Canonicalisatie reduceert de vele manieren waarop een formaat dezelfde zichtbare inhoud kan coderen tot één, waardoor de variatie wordt geëlimineerd die steganografie en verborgen kanalen uitbuiten.

Inhoudsafstemming en menselijke beoordeling. Lijsten met verboden woorden, reguliere-expressiepatronen en detectoren voor classificatiemarkering markeren tekst die nooit aan de bestemmingszijde mag verschijnen. Voor export van hoog naar laag — de gevaarlijke richting — worden gemarkeerde objecten doorgestuurd naar een menselijke beoordelaar die de uiteindelijke vrijgavebeslissing neemt. Geautomatiseerde inspectie verkleint het volume dat een beoordelaar moet verwerken; het vervangt de beoordelaar niet voor de hoogste-risico-overdrachten.

Import versus export: asymmetrisch risico

De twee richtingen van domeinoverschrijdende overdracht dragen zeer verschillende risico's. Import — gegevens verplaatsen van een lager netwerk naar een hoger netwerk — is primair een probleem van malware-injectie en integriteit. De bestemming is de gevoeliger zijde, dus de zorg is dat de inkomende gegevens een exploit kunnen bevatten of de hoge enclave kunnen beschadigen. De overdrachtsbeveiliging op een importpad richt zich op formaatvalidatie, malwarescanning en het afwijzen van alles wat uitvoerbaar of actief geïnterpreteerd is.

Export — gegevens verplaatsen van een hoger netwerk naar een lager netwerk — is de richting die gerubriceerde informatie kan lekken, en het is daarom het moeilijkere probleem. Hier is de taak van de beveiliging vertrouwelijkheid: zorg dat er niets gerubriceerds meerijdt in metadata, verborgen objecten of verborgen kanalen, en dat classificatiemarkiering aanwezig en consistent is. Omdat de gevolgen van een exportfout openbaarmaking zijn in plaats van infectie, vereisen exportpaden doorgaans striktere formaat-whitelists, verplichte menselijke beoordeling van gemarkeerde inhoud en de meest conservatieve canonicalisatie. Een veelgebruikte architectuur maakt gebruik van twee fysiek afzonderlijke diodes — één voor elke richting — zodat het import- en exportbeleid, en hun storingsvarianten, nooit een pad delen.

Waar diodes passen in een gelaagde architectuur

Datadiodes staan zelden alleen. Ze zijn één controle in een defence-in-depth-ontwerp dat ook netwerksegmentatie, sterke authenticatie en continue monitoring omvat. Een diode die een gevoelige enclave beschermt, complementeert de zero-trust-controles binnen die enclave in plaats van deze te vervangen; de diode beheert de grens, terwijl op identiteit gebaseerde verificatie elk verzoek daarbinnen beheert — het onderwerp van ons artikel over zero-trust-architectuur voor militaire netwerken. Diodes passen ook van nature bij geïsoleerde implementaties: een air-gapped systeem dat toch software-updates of dreigingsinformatie moet ontvangen, kan een importdiode gebruiken om gegevens op te nemen zonder ooit een terugpad bloot te stellen — een patroon dat wordt besproken in air-gapped implementaties voor defensiesoftware.

Operationele realiteiten

Een domeinoverschrijdende oplossing is een operationele verplichting, geen eenmalige installatie. Afwijzingspercentages moeten worden bewaakt, omdat een beveiliging die te veel afwijst gebruikers traint om niet-gesanctioneerde oplossingen te zoeken — de gevaarlijkste storingsvorm van allemaal. Wachtrijdiepte en latentie moeten worden bijgehouden zodat legitieme, tijdkritische overdrachten niet worden verhongerd. Elk formaat dat de beveiliging accepteert is een aanvalsoppervlak dat opnieuw moet worden gevalideerd telkens wanneer de parser, de regelset of de onderliggende software verandert. En elke overdrachtsbeslissing moet worden gelogd naar onveranderlijke opslag zodat een auditor achteraf exact kan reconstrueren wat de grens heeft gekruist en waarom het was toegestaan.

Formaatbeheer is het onderdeel dat het meest wordt onderschat. De verleiding in elke operationele implementatie is om steeds meer geaccepteerde formaten toe te voegen — hier een nieuw afbeeldingstype, daar een rijker documentformaat — totdat de whitelist stilzwijgend een blacklist door uitputting wordt. Elke toevoeging vergroot het parseeroppervlak waarop de beveiliging moet vertrouwen, en een complexe parser die adversariële invoer verwerkt is precies waar domeinoverschrijdende oplossingen historisch gezien falen. De gedisciplineerde praktijk is om de geaccepteerde-formaatset zo klein te houden als de missie toelaat, eenvoudige gestructureerde formaten te verkiezen boven rijke, en elk verzoek om een formaat toe te voegen te behandelen als een wijziging die hervalidatie vereist in plaats van een configuratieaanpassing. Wanneer een rijk formaat echt vereist is, is de veiligere route om het aan de vertrouwde zijde te renderen naar een platte, opnieuw gegenereerde representatie en alleen dat over te dragen, in plaats van de oorspronkelijke structuur over de grens toe te staan.

De menselijke dimensie is net zo belangrijk als de technische. De beoordelaars die gemarkeerde exportobjecten beoordelen, hebben training, duidelijke vrijgavecriteria en hulpmiddelen nodig die het object presenteren op een manier die verborgen inhoud aan de oppervlakte brengt in plaats van het te verbergen. Een beoordelingsproces dat een beoordelaar alleen het gerenderde oppervlak van een document laat zien, terwijl de beveiliging stilzwijgend de metadata eronder doorlaat, geeft een vals gevoel van zekerheid. De sterkste implementaties instrumenteren de beoordelingsstap zelf — door te meten hoe lang beoordelingen duren, hoe vaak beoordelaars geautomatiseerde markeringen overschrijven, en of overschrijdingspatronen in de loop van de tijd verschuiven — zodat de beslissing voor gecontroleerde vrijgave een bewuste menselijke beoordeling blijft in plaats van een rubberen stempel.

Accreditatie en autorisatie

Geen enkele domeinoverschrijdende oplossing verbindt gerubriceerde netwerken zonder formele accreditatie. In Amerikaanse nationale veiligheidsomgevingen onderhoudt het National Cross Domain Strategy and Management Office (NCDSMO) een basislijn van geëvalueerde producten en de Raise-the-Bar-ontwerpvereisten, en ondergaat een nieuwe of gewijzigde CDS een laboratoriumgebaseerde veiligheidsbeoordeling gevolgd door een formele autorisatie-tot-operatiebeslissing. NATO en nationale programma's passen analoge regimes toe die verwijzen naar Common Criteria-evaluatie en nationale veiligheidsaccreditatieautoriteiten. Cruciaal is dat accreditatie het volledige operationele concept dekt — de toegestane gegevensformaten, de inspectieregels, het auditontwerp en het menselijke beoordelingsproces — niet slechts het apparaat. Een diode is een component; een geaccrediteerde CDS is een systeem met gedocumenteerd gedrag, en het systeem — niet de doos — is wat een autoriteit goedkeurt.