- 7/2/2018
- 3 minutes to read
-
-
K -
D -
D -
j -
l -
+3
-
Ymmärtää salauksen peruselementit tietoturvan takaamiseksi OneDrive for Businessissa ja SharePoint Onlinessa.
Turvallisuus ja tietojen salaus Office 365:ssä
Microsoft 365 on erittäin turvallinen ympäristö, joka tarjoaa kattavan suojan useilla kerroksilla: fyysisen datakeskuksen tietoturva, verkkoturva, käyttöoikeusturva, sovellusturva ja tietoturva. Tässä artikkelissa keskitytään erityisesti OneDrive for Businessin ja SharePoint Online -palvelun tietoturvan siirto- ja pysäytyssalauksen puoleen.
Katso seuraavasta videosta, miten tietojen salaus toimii.
Tietojen salaus kuljetuksen aikana
OneDrive for Business- ja SharePoint Online -palvelimissa on kaksi skenaariota, joissa tiedot tulevat ja poistuvat tietokeskuksista.
-
Asiakasviestintä palvelimen kanssa Tiedonsiirto OneDrive for Business -palvelimeen Internetin kautta käyttää SSL/TLS-yhteyksiä. Kaikki SSL-yhteydet muodostetaan 2048-bittisillä avaimilla.
-
Datan siirtäminen tietokeskusten välillä Ensisijainen syy tietojen siirtämiseen tietokeskusten välillä on maantieteellinen replikointi katastrofista toipumisen mahdollistamiseksi. Esimerkiksi SQL Serverin tapahtumalokit ja blob-tallennuksen deltat liikkuvat tätä putkea pitkin. Vaikka nämä tiedot siirretään jo nyt yksityisen verkon avulla, ne suojataan edelleen luokkansa parhaalla salauksella.
Levossa olevien tietojen salaus
Levossa olevaan salaukseen kuuluu kaksi komponenttia: BitLocker-levytason salaus ja asiakassisällön tiedostokohtainen salaus.
BitLocker on otettu käyttöön OneDrive for Businessissa ja SharePoint Onlinessa koko palvelussa. Tiedostokohtainen salaus on myös OneDrive for Businessissa ja SharePoint Onlinessa Microsoft 365:n monitilaajaympäristöissä ja uusissa dedikoiduissa ympäristöissä, jotka on rakennettu monitilaaja-teknologian varaan.
Vaikka BitLocker salaa kaiken levyllä olevan datan, tiedostokohtainen salaus menee vielä pidemmälle sisällyttämällä jokaiseen tiedostoon yksilöllisen salausavaimen. Lisäksi jokainen päivitys jokaiseen tiedostoon salataan omalla salausavaimella. Ennen tallentamista salatun sisällön avaimet tallennetaan sisällöstä fyysisesti erilliseen paikkaan. Tämän salauksen jokaisessa vaiheessa käytetään Advanced Encryption Standard (AES) -tekniikkaa 256-bittisillä avaimilla, ja se on FIPS 140-2 -standardin (Federal Information Processing Standard) mukainen. Salattu sisältö on jaettu useisiin säiliöihin eri puolilla datakeskusta, ja jokaisella säiliöllä on yksilölliset tunnistetiedot. Nämä tunnistetiedot säilytetään fyysisesti erillään sisällöstä tai sisällön avaimista.
Lisätietoja FIPS 140-2 -vaatimustenmukaisuudesta on kohdassa FIPS 140-2 -vaatimustenmukaisuus.
Tiedostotason salaus levossa hyödyntää blob-tallennustilaa, jotta tallennustilaa voidaan kasvattaa käytännössä rajattomasti ja mahdollistaa ennennäkemättömän suojan. Kaikki OneDrive for Business- ja SharePoint Online -palveluissa oleva asiakassisältö siirretään blob-tallennukseen. Näin nämä tiedot suojataan:
-
Kaikki sisältö salataan, mahdollisesti useilla avaimilla, ja se jaetaan eri puolille datakeskusta. Jokainen tallennettava tiedosto jaetaan yhteen tai useampaan lohkoon sen koosta riippuen. Sen jälkeen jokainen lohko salataan omalla yksilöllisellä avaimellaan. Päivitykset käsitellään samalla tavalla: käyttäjän lähettämien muutosten eli deltojen joukko jaetaan palasiin, ja kukin niistä salataan omalla avaimellaan.
-
Kaikki nämä palaset – tiedostot, tiedostopalat ja päivitysdeltat – tallennetaan blobeina blob-varastoon. Ne on myös jaettu satunnaisesti useisiin blob-säiliöihin.
-
”Kartta”, jota käytetään tiedoston kokoamiseen uudelleen sen osista, on tallennettu sisältötietokantaan.
-
Kullakin blob-säiliöllä on omat yksilölliset tunnistetietonsa käyttöoikeustyypeittäin (lue, kirjoita, luettele ja poista). Kutakin tunnistetietosarjaa säilytetään suojatussa avainvarastossa, ja se päivitetään säännöllisesti.
Muiden sanoen tiedostokohtaiseen levossa tapahtuvaan salaukseen osallistuu kolme erityyppistä varastoa, joilla kullakin on oma tehtävänsä:
-
Sisältö tallennetaan salattuina blobeina blob-varastoon. Kunkin sisältöblokin avain salataan ja tallennetaan erikseen sisältötietokantaan. Sisältö itsessään ei sisällä mitään vihjeitä siitä, miten se voidaan purkaa.
-
Sisältötietokanta on SQL Server -tietokanta. Se sisältää kartan, jota tarvitaan kaikkien blob-varastossa säilytettävien sisältöblobien paikantamiseen ja uudelleenkokoamiseen, sekä avaimet, joita tarvitaan näiden blobien salauksen purkamiseen.
Jokainen näistä kolmesta tallennuskomponentista – blob-varasto, sisältötietokanta ja avainsäilö – on fyysisesti erillinen. Missä tahansa näistä komponenteista säilytettävät tiedot ovat käyttökelvottomia yksinään. Tämä tarjoaa ennennäkemättömän turvallisuustason. Ilman pääsyä kaikkiin kolmeen on mahdotonta hakea palojen avaimia, purkaa avainten salaus niiden käyttökelpoisiksi, yhdistää avaimia vastaaviin paloihin, purkaa minkä tahansa palan salaus tai rekonstruoida asiakirja sen sisältämistä paloista.