Die sichere Übertragung von Daten zwischen vertrauenswürdigen und nicht vertrauenswürdigen Umgebungen stellt eine erhebliche Herausforderung dar, insbesondere wenn das Transitnetzwerk nicht vertrauenswürdig ist. Eine domänenübergreifende Dateiübertragungsarchitektur ermöglicht die sichere Übertragung von Daten zwischen Umgebungen durch die Kombination aus unidirektionalem Datenfluss, kryptografischer Signatur und gegenseitig authentifiziertem Transport. Durch die Annahme eines feindlichen Transitnetzwerks und den Verzicht auf bidirektionale Kommunikation bietet dieses Design einen robusten und überprüfbaren Ansatz zur Wahrung der Datenintegrität, Authentizität und Systemisolierung.
Vertrauen bei domänenübergreifenden Datenübertragungen neu überdenken
Systeme zur domänenübergreifenden Datenübertragung müssen einen Ausgleich schaffen zwischen der betrieblichen Notwendigkeit des Datenaustauschs und Sicherheitsmaßnahmen, die unbefugten Zugriff, Datenlecks und Command-and-Control-Kanäle verhindern. Da Angreifer das Übertragungsnetzwerk beobachten oder kompromittieren könnten, darf sich die Sicherheit nicht ausschließlich auf herkömmliche netzwerkbasierte Schutzmaßnahmen stützen.
Die hier vorgestellte Architektur basiert auf der Annahme, dass das Transitnetz nicht vertrauenswürdig und möglicherweise kompromittiert ist und dass die Sicherheit durch physische Isolierung und kryptografische Verifizierung gewährleistet wird.
Annahmen, Bedrohungsmodell und Architektur
Annahmen
- Das Transitnetzwerk ist nicht vertrauenswürdig und kann aktiv feindlich sein
- Angreifer können Datenverkehr abfangen, verändern, wiederholen, verzögern oder Daten einfügen
- Eine bidirektionale Kommunikation zwischen vertrauenswürdigen und nicht vertrauenswürdigen Domänen ist nicht zulässig.
- Das Vertrauen beschränkt sich auf festgelegte kryptografische Schlüssel und die Verifizierungslogik
Zu behandelnde Bedrohungen
- Man-in-the-Middle-Angriffe
- Datenmanipulation und Fälschung
- Replay-Angriffe
- Ausführung von Befehlen aus der Ferne
- Verdeckte Rückmeldungskanäle
Architekturübersicht
Die Architektur besteht aus drei Sicherheitszonen, wobei das System zu keinem Zeitpunkt eine bidirektionale Verbindung über Sicherheitsgrenzen hinweg zulässt:
- Vertrauenszone (für die Signatur)
- Nicht vertrauenswürdiges Transit-Netzwerk
- Überprüfungsdomäne für nicht vertrauenswürdige Zone
So funktioniert diese diodenbasierte Architektur
„Trusted Zone“ als Signaturdomäne
Alle Daten stammen aus einer vertrauenswürdigen Signaturzone. Vor der Freigabe werden die Dateien gemäß den Richtlinien validiert und mithilfe eines geschützten privaten Schlüssels auf der Datendiode digital signiert. Die Signatur dient als kryptografischer Nachweis für Herkunft und Integrität. Nach der Signierung sind die Dateien aus Sicht der Vertrauenswürdigkeit unveränderlich, und jede nachträgliche Änderung wird in den nachfolgenden Systemen erkannt.
Dieser Bereich verfügt über keine eingehende Netzwerkverbindung, Signaturvorgänge unterliegen strengen Einschränkungen, und private Schlüssel werden durch hardwaregestützte Speichersysteme geschützt. Vor der Signatur können zudem Inhaltsprüfungen oder Bereinigungen durchgeführt werden, um sicherzustellen, dass nur genehmigte Daten freigegeben werden.
Physikalische Durchsetzung mithilfe von Datendioden
Ausgangsdiode
Die erste Daten-Diode-Komponente erzwingt einen einseitigen Datenfluss aus der vertrauenswürdigen Umgebung heraus. Sie verhindert physisch, dass Daten, Signale oder Protokollrückmeldungen in die Quelldomäne zurückgelangen.
Eingangsdioden-Bauteil
Die zweite Daten-Diode-Komponente erzwingt einen einseitigen Datenzufluss in die nicht vertrauenswürdige Domäne. Dadurch wird verhindert, dass nicht vertrauenswürdige Netzwerke bidirektionale Verbindungen zu internen Systemen herstellen, und die Sicherheitszertifizierung wird durch die Durchsetzung eines festgelegten Informationsflusses vereinfacht.
Secure über ein nicht vertrauenswürdiges Netzwerk
Zwischen den Endpunkten der Diode durchlaufen die Daten ein nicht vertrauenswürdiges Netzwerk. Die Transportkommunikation wird durch Mutual TLS (mTLS) geschützt, um die Endpunkte zu authentifizieren und die Daten während der Übertragung zu verschlüsseln.
mTLS wird ausdrücklich als Maßnahme im Rahmen eines mehrschichtigen Sicherheitskonzepts behandelt und nicht als Vertrauensanker. Es verringert das Risiko von Identitätsbetrug und passivem Abfangen, dient jedoch nicht zur Gewährleistung der Datenintegrität oder -authentizität.
Nicht vertrauenswürdige Verifizierungsdomäne
In der nicht vertrauenswürdigen Domäne werden empfangene Dateien einer kryptografischen Überprüfung unterzogen. Die Diode überprüft digitale Signaturen, Zertifikatsketten und Richtlinienbeschränkungen, bevor Daten akzeptiert werden. Nicht bestandene Überprüfungen werden abgelehnt und protokolliert.
Das Vertrauen in dieser Domäne beschränkt sich auf zugelassene öffentliche Schlüssel oder Zertifikate sowie auf Überprüfungslogik und die Durchsetzung von Richtlinien. Folglich wird weder der Netzwerk- noch der Transportschicht Vertrauen entgegengebracht.
Sicherheitsgarantien und Ergebnisse
Diese Architektur bietet ein hohes Maß an Sicherheit. Selbst wenn das Transitnetz vollständig kompromittiert wird, können Angreifer keine vertrauenswürdigen Daten fälschen oder vertrauenswürdige Systeme beeinflussen. Zu den wichtigsten Sicherheitsgarantien gehören:
- Physikalisch erzwungener unidirektionaler Datenfluss
- Kryptografische Integrität und Authentizität unabhängig vom Transport
- Beseitigung interaktiver Angriffsflächen
- Widerstandsfähigkeit gegen Abfangen, Wiederholung und Manipulation
- Klare Trennung von Aufgabenbereichen und Prüfungsgrenzen
Maßgeschneiderte Lösungen für Secure Datenübertragungen
Durch die Kombination von Datendioden wie MetaDefender Diode™, digitalen Signaturen und mehrschichtiger Transportsicherheit ermöglicht diese Architektur eine sichere domänenübergreifende Dateiübertragung, ohne auf Netzwerkvertrauen angewiesen zu sein. Das Konzept eignet sich besonders für vertrauenswürdige Umgebungen, kritische Infrastrukturen und regulierte Systeme, die ein hohes Maß an Sicherheit, minimale Vertrauensannahmen und überprüfbare Kontrollmechanismen erfordern.
Wenn Sie mehr darüber erfahren möchten, wie OPSWATOPSWAT bei der Umsetzung dieser Architektur unterstützen kann, wenden Sie sich noch heute an einen Experten.
