Categories
Das KMS muss von Produktionsdaten getrennt bleiben
Wenn Unternehmen beginnen, das Key Management Interoperability Protocol (KMIP) einzuführen, sollte das KMS von dem Gerät getrennt bleiben, das Produktionsdaten speichert, anstatt dass ein allgemeines Speicher-Gerät beide Rollen übernimmt. Dies ist ein grundlegendes Prinzip der Trennung von Aufgaben (SoD): Das KMS und der Administrator der Produktionsdaten sollten zwei verschiedene Rollen sein.
Das Key Management System (KMS) dient als Vertrauensanker für die gesamte Umgebung und erfordert eine Umgebung mit minimalem Footprint und maximaler Härtung. Im Gegensatz dazu ist ein NAS als leistungsstarkes, multifunktionales Speicher-System konzipiert, das als KMIP-Client fungiert, wodurch die beiden grundsätzlich gegensätzlich sind.
QNAPs Designphilosophie: QNAPs Entscheidung, QNAP NAS nicht als KMS zu unterstützen, ist eine bewusste architektonische Maßnahme, um das Prinzip der Aufgaben- und Verantwortungstrennung zu wahren. Die Schlüsselverwaltung wird einem dedizierten, auditierbaren KMS übertragen, während das NAS ausschließlich für das Anfordern kryptografischer Schlüssel bei Bedarf zuständig ist. So bleibt die Verschlüsselungsarchitektur der Organisation konform und effektiv.
Die Nutzung eines NAS als KMS: Ein häufig übersehenes Compliance-Risiko
In der Praxis benötigen Teams oft ein KMS, um die Verschlüsselungsschlüssel für gemeinsame Ordner und volume zentral zu verwalten und so die Anforderungen von Sicherheitsaudits zu erfüllen. Da kommerzielle KMS-Lösungen jedoch teuer sein können, greifen sie auf Speicher-Geräte zurück, um Kosten zu sparen.
Dies ist jedoch eine gefährliche Scheinsparmaßnahme: Organisationen glauben, die Kosten für ein KMS eingespart zu haben, verlassen sich aber auf die falsche Architektur für eine der kritischsten Aufgaben. Die eingesparten Kosten bedeuten nicht automatisch mehr Sicherheit und widersprechen zudem der grundlegenden Designphilosophie eines KMS.
Einige Speicher-Lösungen auf dem Markt bieten eine integrierte KMS-Rolle, aber aus Auditsicht fehlt bei einem Design, bei dem Daten und Schlüssel auf demselben System liegen, eine klare Trennung der Verantwortlichkeiten. Eine einzige Verwaltungsoberfläche, die sowohl Daten als auch Schlüssel kontrolliert, ist selbst ein Single Point of Failure, den Auditoren unabhängig von der Stärke der Verschlüsselungstechnologie kaum akzeptieren werden.
Root of Trust: Warum ein KMS deutlich höhere Sicherheitsanforderungen als gewöhnliche Systeme hat
Der Schlüssel zum Verständnis liegt im Konzept des Single Root of Trust.
Wenn eine Organisation den Punkt erreicht, an dem KMIP erforderlich ist, bedeutet das, dass Verschlüsselungsschlüssel zentral für die gesamte Umgebung verwaltet werden müssen und nicht nur von NAS-Systemen genutzt werden. Typische On-Premises-Unternehmensszenarien sind unter anderem:
- Virtualisierungsplattformen: VMware vSphere/vSAN-Verschlüsselung für virtuelle Maschinen und Datenspeicher, Hyper-V und Nutanix
- Datenbank-Transparente Datenverschlüsselung (TDE): Oracle und SQL Server
- Backupsysteme: Verschlüsselungsschlüssel für Backup-Software auf Enterprise-Niveau wie Veeam und Commvault
- Geteilte Speicher-Server (NAS)
- Selbstverschlüsselnde Speicher-Arrays
- Selbstverschlüsselnde Hardware: Selbstverschlüsselnde Laufwerke (SEDs), Tape Libraries und selbstverschlüsselnde Speicher-Arrays
Wenn KMS zur Single Root of Trust für alle oben genannten Geräte wird, sind die Sicherheitsanforderungen deutlich höher als bei jedem verwalteten Gerät. Insbesondere müssen KMS-Lösungen auf Enterprise-Niveau in der Regel Folgendes bieten: einen von einem Hardware Security Module (HSM) unterstützten Keystore, eine strikte Trennung der Aufgaben, einen vollständigen und auditierbaren Schlüssel-Lebenszyklus sowie eine unabhängige Validierung des kryptografischen Moduls.
Deshalb spielt das KMS eine Rolle auf einer höheren Sicherheitsebene als die Systeme, die es verwaltet.
Das Schlüsselmaterial selbst ist äußerst klein – die Schlüssel, Metadaten und Richtlinien zusammen ergeben bei den meisten Unternehmen typischerweise nur wenige Megabyte. Ein ideales KMS folgt dem Prinzip der Minimierung: Es entfernt alle Funktionen, die nicht mit der Schlüsselverwaltung zu tun haben, behält nur eine einzige Verantwortung, hält die Vertrauensgrenze so klein wie möglich und erleichtert eine unabhängige Prüfung.
Im Gegensatz dazu basiert der Wert von NAS auf seinen multifunktionalen Fähigkeiten, einschließlich hoher Kapazität, Dateidiensten, einem umfangreichen Anwendungsekosystem und der Unterstützung verschiedener Kommunikationsprotokolle. Dies sind die Stärken von NAS als Datenplattform, stellen jedoch ein anderes Designziel dar als den „minimalistischen und einzweckorientierten“ Ansatz, der für KMS erforderlich ist.
QNAP QuTS hero: Die Rolle des „KMIP-Clients“ richtig umsetzen
In der Architektur von QNAP übernimmt NAS die Rolle eines leistungsfähigen KMIP-Clients – die Schlüsselverwaltung bleibt einem dedizierten KMS überlassen, während der Fokus auf den Kernfunktionen von Speicher liegt. Der KMIP-Client von QuTS hero bietet folgende Designmerkmale:
- Remote-Schlüsselverwaltung: Verschlüsselungsschlüssel werden auf einem entfernten KMIP-Server gespeichert, wodurch das Risiko eines unbefugten Zugriffs oder Schlüsselverlusts auf der Ebene von NAS minimiert wird.
- FIPS 140-3-konformer Schlüsselaustausch: Der Schlüsselaustauschprozess ist gemäß den FIPS 140-3-Sicherheitsanforderungen und unternehmensweiten Compliance-Standards konzipiert.
- Mutual TLS verschlüsselter Kanal: Der NAS und der KMIP-Server kommunizieren über Mutual TLS (mTLS). Standardmäßig wird Port 5696 verwendet und beide Parteien müssen gültige, nicht abgelaufene Zertifikate installiert haben.
- Automatische Schlüsselanwendung und Entsperrung beim Systemstart: Verschlüsselte Freigabeordner und verschlüsselte Logical Unit Numbers (LUNs) können Schlüssel automatisch abrufen. Solange die Verbindung zwischen Client und Server besteht, bleibt der Zugriff auch nach einem Neustart des Systems erhalten.
- Vollständiges Zertifikatslebenszyklus-Management: Unterstützt die Erstellung, den Import, den Austausch, den Download und das Löschen von Zertifikaten und ermöglicht es Benutzern, Status und Ablaufdaten einzusehen.
Bezüglich der unterstützten Versionen ist der KMIP-Client seit QuTS hero h6.0 verfügbar. Um ihn zu installieren und zu konfigurieren, installieren Sie den „KMIP Client“ aus App Center und gehen Sie dann zu Systemsteuerung > System > Sicherheit > KMIP Einstellungen.
Genau darin liegt der Vorteil dieser Aufgabenverteilung: Die höchste Sicherheitsverantwortung für die CMVP-Kryptomodulvalidierung wird von einem professionellen KMS übernommen, anstatt dass jedes Speicher-Gerät diese Verantwortung selbst tragen muss. Der NAS muss lediglich die FIPS 140-3-Designanforderungen für den Schlüsselaustausch erfüllen und das Root of Trust an die entsprechende Instanz delegieren.
So wählen Sie ein KMIP-kompatibles KMS aus
Sobald das „NAS-as-a-Client“-Modell eingerichtet ist, besteht der nächste Schritt darin, eine geeignete Schlüsselverwaltungsinstanz auszuwählen. Die empfohlene Vorgehensweise ist, je nach Audit-Anforderungen und Budget zwischen zwei Wegen zu wählen:
| Szenario | Empfohlene Vorgehensweise | Repräsentative Lösungen |
| Strenge Audit-Anforderungen | Verwenden Sie bestehende, zertifizierte kommerzielle KMS-Lösungen | Thales CipherTrust Manager, Entrust KeyControl, IBM Guardium Key Lifecycle Manager, HashiCorp Vault Enterprise (KMIP Secrets Engine) |
| Das Budget ist das wichtigste Kriterium | Setzen Sie einen selbst gehosteten KMIP-Server auf einem dedizierten, kontrollierten und auditierbaren Host mithilfe von Containern ein | HashiCorp Vault / OpenBao (KMIP Engine), Cosmian KMS; PyKMIP ist nur für Testzwecke |
Entscheidend ist nicht, auf welchem Host das KMS läuft, sondern ob der Host gehärtet ist, Zugriffskontrollen durchgesetzt werden und Audit-Trails zur Überprüfung erstellt werden können. Solange die Schlüsselverwaltungsinstanz unabhängig von der produktiven Speicher bleibt und die oben beschriebenen Governance-Anforderungen erfüllt, können sowohl kommerzielle als auch selbst gehostete Lösungen eine robuste Grundlage für Ihre Verschlüsselungsarchitektur bieten.
KMIP und FIPS verstehen: Ein vollständiger Überblick
Bei der Validierung von Verschlüsselungs-Audits werden drei Begriffe häufig miteinander verwechselt, aber Auditoren prüfen sie auf völlig unterschiedlichen Ebenen:
| Konzept | Was wird validiert | Erläuterung |
| Interoperabilität | Ob ein KMS über KMIP eine Verbindung herstellen und ordnungsgemäß funktionieren kann | “Die Protokollverbindung funktioniert erfolgreich” |
| Algorithmusvalidierung (NIST CAVP) | Ob die Anbieterimplementierungen von Algorithmen wie AES/SHA/RSA korrekt sind | “Die mathematischen Operationen sind korrekt” |
| Kryptographische Modulvalidierung (NIST CMVP, FIPS 140-2/140-3) | Ob das gesamte kryptographische Modul, einschließlich Schlüsselverwaltung und Modulgrenze, die Validierung bestanden und ein gültiges Zertifikat erhalten hat | “Der gesamte Tresor wurde gemäß den Sicherheitsanforderungen validiert” |
Für Auditoren ist die kryptographische Modulvalidierung die wichtigste und in der Regel strengste Anforderung. Das Bestehen einer Algorithmusimplementierung CAVP oder ein Modul im Test bedeutet nicht, dass ein gültiges CMVP-Zertifikat vorliegt, das die von Ihnen genutzten Schlüsselverwaltungskomponenten abdeckt. Daher wird unabhängig von der gewählten KMS-Lösung empfohlen, den Validierungsstatus direkt über die NIST CMVP Validierungsliste zu prüfen und den Zertifikatsumfang mit Ihren Auditoren abzustimmen.
KMIP selbst ist ein offenes Standardprotokoll, das es KMIP-Clients und -Servern verschiedener Anbieter ermöglicht, miteinander zu kommunizieren. Allerdings ist „interoperabel zu sein“ nur der Anfang; ob die Lösung die Compliance-Validierung besteht, ist die eigentliche Herausforderung, die Unternehmen meistern müssen.
Fazit: Schloss und Schlüssel getrennt aufbewahren
Wenn Sie KMIP implementieren, ist das Ziel nicht, Ihr NAS in ein KMS zu verwandeln, sondern eine unabhängige, vertrauenswürdige und auditierbare Schlüsselverwaltungsinstanz für die gesamte Umgebung zu etablieren.
Als KMIP-Client überträgt QNAP NAS die Schlüsselverwaltung an ein professionelles KMS zur zentralen Steuerung und konzentriert sich auf Speicher und Datendienste. Dies bedeutet nicht, dass eine Funktion fehlt, sondern ist eine bewusste Entscheidung, den Vertrauensanker dort zu platzieren, wo er hingehört. Schloss und Schlüssel getrennt zu halten, macht Sicherheit wirksam und ermöglicht erfolgreiche Audits.
Weitere Informationen zum QuTS hero KMIP-Client-Konfigurationsprozess finden Sie im offiziellen QNAP Tutorial:
https://www.qnap.com/go/how-to/tutorial/article/how-to-use-kmip-client-for-secure-key-management
Häufig gestellte Fragen (FAQ)
F: Kann ein NAS als KMIP Server verwendet werden?
A: QNAP NAS ist bewusst so konzipiert, dass es ausschließlich die KMIP-Client-Rolle und nicht die Server-Rolle unterstützt. Ein KMS dient als Vertrauensanker und folgt dem Prinzip der Minimierung (Einzelverantwortung und kleinstmögliche Vertrauensgrenze), während ein NAS eine hochkapazitive, vielseitige Datenplattform ist. Die beiden verfolgen unterschiedliche Designziele. Selbst der Kauf eines weiteren NAS, das ausschließlich als KMS dienen soll, würde bedeuten, eine Mehrzweckplattform für eine Aufgabe zu verwenden, die ein Einzwecksystem erfordert, wobei der Großteil der Kapazität ungenutzt bliebe. Der richtige Ansatz ist, das NAS als Client zu verwenden und die Schlüssel von einem dedizierten, prüfbaren und unabhängigen KMS verwalten und schützen zu lassen.
F: Ab welcher QNAP Softwareversion wird der KMIP Client erstmals unterstützt?
A: Der KMIP-Client wird seit QuTS hero h6.0 unterstützt. Installieren Sie den KMIP-Client aus App Center und aktivieren Sie ihn in den Sicherheitseinstellungen in Systemsteuerung.
F: Ist es bei begrenztem Budget notwendig, ein teures kommerzielles KMS zu kaufen?
A: Nicht unbedingt. Unternehmen können Open-Source-/Community-unterstützte Lösungen mit KMIP-Engines wie HashiCorp Vault (Enterprise) oder OpenBao in einer unabhängigen und gehärteten virtuellen Maschine oder Container-Umgebung einsetzen. Entscheidend ist, diese Umgebung durch physische Isolierung und Zugriffskontrolltrennung vom NAS zu trennen und gleichzeitig sicherzustellen, dass vollständige Zugriffsprotokolle erstellt werden können.
