Eine der größten Banken und Confidential Computing

Intel® Software Guard Extensions und Azure Confidential Computing verschlüsseln Daten, die aus Gründen der Cloud-Sicherheit aus dem Netzwerk verschoben werden.

Auf einen Blick:

  • Eine der größten Banken wollte zugangsbeschränkte Daten intern weitergeben und verteilen sowie Berichte und Analysen basierend auf allen Arten von Datensätzen aggregieren.

  • In einem Proof-of-Concept arbeitete die Bank mit eperi zusammen, um zu ermöglichen, dass Daten sicher in die Cloud verschoben werden. Zu diesem Zweck wurden die Daten auf dem Weg aus dem Netzwerk mit dem eperi Gateway verschlüsselt. Außerdem wurde Azure Confidential Computing mit Intel® Software Guard Extensions verwendet, um die Verarbeitung dieser Daten in der Cloud unter Einhaltung datenschutzrechtlicher Vorschriften zu ermöglichen und eine Cloud-basierte Datenanalyseplattform aufzubauen.

author-image

Von

Immer mehr Unternehmen – selbst in stark regulierten Branchen – verfolgen einen Cloud-zentrierten, serverlosen Architekturansatz. Dieser Prozess wird jedoch durch Bedenken hinsichtlich der Datensicherheit und die Notwendigkeit der Einhaltung gesetzlicher Vorschriften verlangsamt. Die eperi Cloud Data Protection Solution in Kombination mit Intel® Software Guard Extensions (Intel® SGX) verleiht dem Confidential Computing eine neue Dimension. Vertrauliche Daten sind jederzeit in der Cloud geschützt – auch wenn diese geschützten Daten analysiert werden.

Herausforderung

Unternehmen aller Branchen haben begonnen, das wirtschaftliche Potenzial ihrer Datenrepositorien zu erkennen. Ein Großteil dieser Informationen enthält personenbezogene Daten. Das Datenschutzrisiko für die zugehörige Person trägt nur die Organisation, da die Organisation die alleinige rechtliche Verantwortung für die Daten trägt.

Die regulatorischen Anforderungen an die Privatsphäre und den Datenschutz werden weltweit verschärft. Die Nichteinhaltung führt zu erheblichen Risiken. Die Entwicklung von Funktionen zur Datenanalyse nimmt massiv zu und führt zu einer Nachfrage nach neuen Technologien zur Wahrung der Privatsphäre bei Analyse- und Business-Intelligence-Prozessen.

eperi hat mit einer der größten Banken1 zusammengearbeitet, um den Aufbau einer Cloud-basierten Datenanalyseplattform zu ermöglichen, während die weltweiten gesetzlichen Bestimmungen vorschreiben, dass der Zugriff auf personenbezogene und geschäftskritische Daten eingeschränkt ist. Diese große Bank stand vor der Herausforderung, dass ihre Geschäftsabteilungen Daten aus verschiedenen Eingabekanälen zusammenfassen und Berichte und Geschäftsanalysen durchführen müssen. Da es sich bei den meisten dieser Daten um personenbezogene Daten (PII) handelt, wurde eine Lösung benötigt, mit der die Daten pseudonymisiert und verschlüsselt werden können und auch während des Analyseprozesses geschützt sind. Eine der größten Beschränkungen bei pseudonymisierten und verschlüsselten Daten besteht jedoch normalerweise darin, dass zu jedem Zeitpunkt unverschlüsselte Daten analysiert werden müssen. Dies ist in der Cloud tabu!

Lösung

Durch die Pseudonymisierung und Verschlüsselung mit dem eperi Gateway können Unternehmen die Public Cloud sicher nutzen und gleichzeitig den Informationswert erhalten. Dies ist der Schlüssel für Privacy Preserving Analytics. Gemäß den weltweiten Gesetzen werden anonymisierte und korrekt pseudonymisierte (de facto anonymisierte) Daten von den Datenschutzgesetzen ausgeschlossen, da sie nicht als personenbezogene Daten (PII) erachtet werden.2

Das eperi Gateway verfügt über eine Vielzahl von Funktionen zur Transformation personenbezogener Daten und bietet dadurch ein Gleichgewicht, das den Nutzen des Unternehmens und den Datenschutz von Personen gewährleistet. Es reduziert die Empfindlichkeit persönlicher Daten oder anonymisiert sie sogar (vorübergehend) – während des Betriebs und in Echtzeit. Das Gateway fungiert transparent als Proxy im Datenstrom und wurde so erstellt, dass es sowohl für den Benutzer als auch für die Cloud-Anwendung vollständig unsichtbar ist. Es ist eine schnell einzurichtende Lösung, die die Einhaltung dringlicher behördlicher Anforderungen ermöglicht.

Das eperi Gateway ist die einzige Lösung der Welt, die hybride Multi-Cloud-Umgebungen unterstützt. Cloud-Anbieter erstellen „verteilte Clouds“, um Services dort bereitzustellen, wo sie gebraucht werden. Dadurch erhalten Kunden neue Möglichkeiten für den Betrieb an jedem beliebigen Ort. Nur „mit dem Cybersicherheitsnetz kann jeder sicher auf digitale Assets zugreifen, unabhängig davon, wo sich die Assets oder Personen befinden“, erklärte auch Gartner in den Top Strategic Technology Trends für 2021. In demselben Bericht wird „Privacy-enhancing Computation“ als strategische Technologie im Jahr 2021 angesehen. Des Weiteren geht Gartner davon aus, dass bis 2025 50 % der großen Unternehmen diese Technologie übernehmen werden. Privacy-enhancing Computation „schafft eine vertrauenswürdige Umgebung, in der vertrauliche Daten verarbeitet oder analysiert werden können. Es umfasst vertrauenswürdige Dritte und hardwarebasierte, vertrauenswürdige Ausführungsumgebungen (auch als „Confidential Computing“ bezeichnet).“3

Zusätzlich zu den üblichen Sicherheitskontrollen für ruhende Daten schützt das eperi Gateway die Daten während der Verwendung und ermöglicht so die Verwendung der Daten unter Wahrung der Geheimhaltung oder des Datenschutzes.

Die kombinierte Lösung aus eperi und Intel® Technik schützt alle Arten von Daten, bevor Sie in die Cloud verschoben werden. Auf diese Weise können Unternehmen Datenverarbeitungs- und Analysefunktionen implementieren, die zuvor aus Datenschutz- oder Sicherheitsgründen tabu waren.

Die Intel SGX-Enklave ermöglicht als sichere Hardware-Ausführungsumgebung die sicherheitsempfindliche Verarbeitung von Daten in der Cloud, während die Daten auch vor Arbeitsvorgängen des Betriebssystems oder der virtuellen Maschine geschützt sind. Einfach ausgedrückt: Confidential Computing ermöglicht die Ausführung von Vorgängen mit Daten auf dem Computer eines anderen Benutzers, bei denen der Besitzer dieses Computers jedoch weder Einfluss nehmen noch beobachten kann, was passiert.

Die Unterstützung von Confidential Computing durch eperi gibt dem Kunden die Möglichkeit zu entscheiden, welche Funktionen des eperi Gateways (Schlüsselverwaltung, Verschlüsselung, Tokenisierung, benutzerdefinierte Analysealgorithmen usw.) im eperi Gateway vor Ort oder in der Public Cloud ausgeführt werden und welche geschützt in der Intel SGX-Enklave ausgeführt werden. Die eperi Gateway-Technologie stellt sicher, dass die Dienste in der Cloud immer mit den eperi Gateway-Diensten synchronisiert sind. Mit der kombinierten Lösung von eperi und Intel Technik sind die zugriffsbeschränkten Daten zu keinem Zeitpunkt als Klartext in der Public Cloud verfügbar.

Wie in der obigen Abbildung beschrieben, arbeiten autorisierte Benutzer oder Anwendungen mit den kritischen Daten im Klartext. Das eperi Gateway pseudonymisiert die kritischen Daten, bevor sie an die Cloud gesendet werden. Dies stellt sicher, dass der Cloud-Anbieter die Daten nicht verwenden kann und selbst Angreifer die gestohlenen Daten nicht verwenden können, da sie pseudonymisiert sind. Alle Verbindungen zum und vom eperi Gateway sind natürlich für den Transport verschlüsselt, wodurch eine „Data in Transit“-Sicherheit ermöglicht wird. Innerhalb der Analyseanwendung (Daten in Verwendung) sowie in allen Datenseen und -speichern (Daten im Ruhezustand) sind die Daten pseudonymisiert.

Der frühere Nachteil pseudonymisierter Daten – die Tatsache, dass mit diesen Daten keine Vorgänge ausgeführt werden können – wurde mithilfe der eperi und Intel® Lösung behoben. Analytics-Anwendungen, die versuchen, Vorgänge mit pseudonymisierten Daten auszuführen, werden von den eperi Gateway Micro Services in der Intel SGX-Enklave aktiviert, um diese Vorgänge in einer zuverlässigen und sicheren Umgebung auszuführen.

Die einzigartige eperi Gateway-Technologie stellt sicher, dass das eperi Gateway ständig mit den eperi Gateway Micro Services synchronisiert wird, die in der sicheren Intel SGX-Enklave ausgeführt werden.

Auf diese Weise können Kunden alle gewünschten Analysevorgänge für pseudonymisierte Daten ausführen, ohne sich um Sicherheit und Datenschutz sorgen zu müssen.

Einzelheiten der Lösung

Die SGX-Lösung von eperi und Intel gibt dem Finanzinstitut die Möglichkeit, alle erforderlichen Cloud-Analysen unter Einhaltung datenschutzrechtlicher Vorschriften durchzuführen und die Gesetze und Vorschriften weltweit einzuhalten. Bereits in der Proof-of-Concept-Phase konnte eperi zeigen, dass eperi-geschützte Cloud-Daten nahtlos für Analysevorgänge in der Intel SGX-Enklave in Azure Cloud-Diensten eingesetzt werden können.

Da viele neue Sicherheitstrends – wie die homomorphe Verschlüsselung – einen sehr begrenzten Betriebsbereich und ein unbewiesenes Sicherheitsniveau aufweisen, hebt sich diese gemeinsame Lösung von anderen ab.

Kunden können ihren eigenen Krypto-Algorithmus verwenden, um die Daten basierend auf ihrer unternehmensinternen Sicherheitsrichtlinie zu sichern (Crypto Agility). HSMs, Multiparty Computation oder Post Quantum Crypto-Algorithmen können verwendet werden. Dies ermöglicht die Verwendung der besten und vertrauenswürdigsten Verschlüsselungs- und Tokenisierungsalgorithmen. Darüber hinaus können mithilfe der Intel SGX-Enklave alle Vorgänge mit gesicherten Daten nahtlos ausgeführt werden. Diese zukunftssichere Lösung bietet alles, was heute und morgen benötigt wird.

Das obige Diagramm zeigt den Workflow, der datenschutzfreundliche Analysen ermöglicht.

  1. Der autorisierte Benutzer oder die autorisierte Anwendung sendet die Eingabe für die Analyseanwendung/das ETL-Tool wie gewohnt im Klartext. Als Reverse- oder Forward-Proxy im Datenstrom pseudonymisiert das eperi Gateway die kritischen Daten, wenn die Klartextdaten gesendet werden. Technisch gesehen ist Pseudonymisierung eine Kombination aus Verschlüsselung und Tokenisierung. Der große Vorteil des eperi Gateways besteht darin, dass weder eine Installation auf der Benutzerseite noch auf der Anwendungs-/Cloud-Seite erforderlich ist.
  2. Die pseudonymisierten Daten werden dann an die Analyseanwendung gesendet, die mit diesen Daten arbeiten und sie beispielsweise in einem Datensee speichern kann.
  3. Wenn die Analyseanwendung Vorgänge mit den pseudonymisierten Daten ausführen muss, ruft sie die eperi Gateway Micro Services auf, die in der sicheren Intel SGX-Enklave ausgeführt werden.
  4. Die eperi Gateway Micro Services de-pseudonymisieren die Daten. Es können beliebige Operationen mit den Klartextdaten ausgeführt werden. Das Ergebnis wird erneut pseudonymisiert. Während des Betriebs gewährleistet die sichere Intel SGX-Enklave, dass kein Administrator, kein Angreifer und kein Betriebs- oder Virtualisierungssystem auf die Klartext-Daten zugreifen kann. Als Intel die SGX-Funktionalität in die Mainstream-Serverprozessoren einbrachte, beginnend mit den „Sunny Cove“-Kernen in den skalierbaren Intel® Xeon® Prozessoren, geschah dies alles auf Hardwareebene. Intel® Xeon® E3 Prozessoren von 2015 bis 2018 und Prozessoren der Intel® Xeon® E-Serie von 2019 unterstützen ebenfalls SGX. Die mit skalierbaren Intel Xeon Prozessoren gelieferte SGX-Enklave unterstützt bis zu 1 TB an Anwendungen und Daten.
  5. Das pseudonymisierte Ergebnis wird dann zurück zur Analyseanwendung in der Cloud übertragen und kann verarbeitet, z. B. dort gespeichert werden.
  6. Sobald der autorisierte Benutzer die Daten anfordert, werden sie über das eperi Gateway gesendet und dort de-pseudonymisiert.
  7. Der autorisierte Benutzer erhält die Daten im Klartextformat. Dieser gesamte Prozess funktioniert transparent für den Benutzer, der die integrierten App-Funktionen nutzen kann, ohne dass zusätzliche Plugins oder angepasste Workflows auf der Benutzerseite erforderlich sind. Die Klartextdaten werden dem Cloud-Anbieter oder der Analyseanwendung zu keinem Zeitpunkt mitgeteilt.

Das folgende Beispiel zeigt den Prozess aus der Perspektive der Analyseanwendung. Die verschlüsselte Anforderung mit den pseudonymisierten Daten wird an die Intel SGX-Enklave gesendet. Dort werden die Daten de-pseudonymisiert und der (in diesem Beispiel einfache) Vorgang wird ausgeführt. „10237123 + 2923740 + 234250 + 1683677951 = 1697073064“ Das Ergebnis wird dann erneut pseudonymisiert und in für den Transport verschlüsselter Form an die Analyseanwendung zurückgesendet.

Einer der wichtigsten Sicherheitsanker ist die Vertrauenswürdigkeit des ausgeführten Codes in der Intel SGX-Enklave. Daher erfolgt die Initialisierung der Enklave mit dem Code und dem Verschlüsselungsschlüssel. Der Vorgang wird im Folgenden beschrieben und im Schema dargestellt:

  1. Der Administrator des Unternehmens, der das eperi Gateway verwendet, stellt die eperi Gateway Micro Services als Binärdatei für die Intel SGX-Enklave bereit.
  2. Er löst auch den Attestation Service Provider aus, der einen öffentlichen Schlüssel und ein Angebot von der Intel SGX-Enklave erhält.
  3. Der Attestation Service Provider sendet die Anfrage einer Attestierung für das Angebot an den Intel Attestierungsdienst, der das an die Intel SGX-Enklave zu sendende Attestierungsergebnis zurückgibt.

Ergebnisse

Das eperi Gateway unterstützt Azure Confidential Computing mit Intel SGX und ermöglicht eine Vielzahl von Anwendungsfällen wie:

  • Alle arithmetischen Operationen und komplexen (Analyse-) Algorithmen können sicher mit verschlüsselten Daten in der Intel SGX-Enklave ausgeführt werden.
  • Ergebnisdaten werden verschlüsselt/tokenisiert, bevor sie zurück in die Cloud übertragen werden.
  • Über das eperi Gateway werden die Ergebnisse dem autorisierten Benutzer im Klartext angezeigt.
  • Das Unternehmen (Dateneigentümer) behält die Kontrolle über seine kritischen Daten.
  • Das Unternehmen erfüllt alle internationalen Compliance-Anforderungen für die Datensicherheit in der Cloud.
  • Cloud-Daten sind für Angreifer, externe Personen, Cloud-Anbieter und eperi nutzlos.

PDF herunterladen ›