Datakryptering i OneDrive for Business og SharePoint Online

• 7/2/2018
• 3 minutter at læse
• • K
  • D
  • D
  • j
  • l
  • +3

Forstå de grundlæggende elementer i kryptering til datasikkerhed i OneDrive for Business og SharePoint Online.

Sikkerhed og datakryptering i Office 365

Microsoft 365 er et meget sikkert miljø, der tilbyder omfattende beskyttelse i flere lag: fysisk datacentersikkerhed, netværkssikkerhed, adgangssikkerhed, programsikkerhed og datasikkerhed. Denne artikel fokuserer specifikt på krypteringssiden af datasikkerhed i transit og i hvile for OneDrive for Business og SharePoint Online.

Se, hvordan datakryptering fungerer, i følgende video.

Kryptering af data i transit

I OneDrive for Business og SharePoint Online er der to scenarier, hvor data kommer ind i og forlader datacentrene.

• Klientkommunikation med serveren Kommunikation til OneDrive for Business over internettet anvender SSL/TLS-forbindelser. Alle SSL-forbindelser etableres ved hjælp af 2048-bit-nøgler.

• Databevægelse mellem datacentre Den primære grund til at flytte data mellem datacentre er geo-replikation for at muliggøre katastrofeberedskab. SQL Server-transaktionslogs og blob-lagringsdelta’er flyttes f.eks. ad dette rør. Selv om disse data allerede overføres ved hjælp af et privat netværk, er de yderligere beskyttet med best-in-class-kryptering.

Kryptering af data i hvile

Kryptering i hvile omfatter to komponenter: BitLocker-kryptering på diskniveau og kryptering pr. fil af kundeindhold.

BitLocker er implementeret til OneDrive for Business og SharePoint Online på tværs af tjenesten. Kryptering pr. fil er også i OneDrive for Business og SharePoint Online i Microsoft 365 multi-tenant og nye dedikerede miljøer, der er bygget på multi-tenant-teknologi.

Mens BitLocker krypterer alle data på en disk, går kryptering pr. fil endnu længere ved at inkludere en unik krypteringsnøgle for hver fil. Desuden krypteres hver opdatering af hver fil ved hjælp af sin egen krypteringsnøgle. Nøglerne til det krypterede indhold gemmes fysisk adskilt fra indholdet, før de gemmes. Hvert trin i denne kryptering anvender Advanced Encryption Standard (AES) med 256-bit-nøgler og er FIPS 140-2-kompatibelt (Federal Information Processing Standard). Det krypterede indhold er fordelt på en række containere i hele datacenteret, og hver container har unikke legitimationsoplysninger. Disse legitimationsoplysninger gemmes på et andet fysisk sted end indholdet eller indholdsnøglerne.

For yderligere oplysninger om overholdelse af FIPS 140-2, se FIPS 140-2 Compliance.

Filniveaukryptering i hvile udnytter blob-lagring til at give mulighed for praktisk talt ubegrænset lagervækst og til at muliggøre en hidtil uset beskyttelse. Alt kundeindhold i OneDrive for Business og SharePoint Online vil blive migreret til blob-lagring. Sådan er disse data sikret:

1. Alt indhold krypteres, potentielt med flere nøgler, og distribueres på tværs af datacenteret. Hver fil, der skal lagres, opdeles i en eller flere chunks, afhængigt af dens størrelse. Derefter krypteres hver chunk med sin egen unikke nøgle. Opdateringer håndteres på samme måde: Sættet af ændringer eller deltaer, der er indsendt af en bruger, opdeles i chunks, og hver enkelt er krypteret med sin egen nøgle.

2. Alle disse chunks – filer, dele af filer og opdateringsdeltaer – lagres som blobs i vores blob-lager. De er også tilfældigt fordelt på flere blob-containere.

3. Det “kort”, der bruges til at samle filen igen ud fra dens komponenter, er gemt i indholdsdatabasen.

4. Hver blob-container har sine egne unikke legitimationsoplysninger pr. adgangstype (læse, skrive, opregne og slette). Hvert sæt legitimationsoplysninger opbevares i det sikre nøglelager og opdateres regelmæssigt.

Med andre ord er der tre forskellige typer af lagre involveret i kryptering pr. fil i hvile, hver med en særskilt funktion:

• Indholdet lagres som krypterede blobs i blob-lageret. Nøglen til hver indholdsklump krypteres og lagres separat i indholdsdatabasen. Selve indholdet indeholder ingen ledetråde om, hvordan det kan dekrypteres.

• Indholdsdatabasen er en SQL Server-database. Den indeholder det kort, der er nødvendigt for at finde og samle alle de indholdsblokke, der findes i blob-lageret, samt de nøgler, der er nødvendige for at dekryptere disse blokke.

Hver af disse tre lagringskomponenter – blob-lageret, indholdsdatabasen og nøglelageret – er fysisk adskilt. De oplysninger, der opbevares i en af komponenterne, er ubrugelige hver for sig. Dette giver et hidtil uset sikkerhedsniveau. Uden adgang til alle tre er det umuligt at hente nøglerne til chunks, dekryptere nøglerne for at gøre dem anvendelige, knytte nøglerne til de tilsvarende chunks, dekryptere en chunk eller rekonstruere et dokument ud fra de enkelte chunks.