Verschlüsselung im Ruhezustand und der Verschlüsselungsschlüssel

Dieser Artikel erläutert, wie MobilityManager gespeicherte Dokumente verschlüsselt, woher der Verschlüsselungsschlüssel stammt und welche Regel Sie beim Wechsel des Schlüssels niemals verletzen dürfen.

Verschlüsselung im Ruhezustand, bei jedem Anbieter

Wenn die Verschlüsselung im Ruhezustand aktiviert ist, wird jede Datei verschlüsselt, bevor sie in den Speicher geschrieben wird. Dies gilt unabhängig davon, welcher Anbieter aktiv ist – Local, Azure Blob und S3 erhalten allesamt bereits verschlüsselte Inhalte. Dadurch enthält der Ordner, Container oder Bucket zu keiner Zeit eine lesbare Kopie Ihrer Dokumente. Dateien werden erst dann entschlüsselt, wenn ein berechtigter Benutzer sie herunterlädt. Die Verschlüsselung im Ruhezustand ist standardmäßig aktiviert.

Wie die Verschlüsselung funktioniert

Die Plattform verwendet AES-GCM, ein authentifiziertes Verschlüsselungsverfahren, und kapselt jede Datei in einer selbstbeschreibenden Hülle. Da die Hülle authentifiziert ist, wird eine Manipulation einer gespeicherten Datei beim Herunterladen erkannt, und die Datei lässt sich nicht entschlüsseln. Jede Datei erhält einen frischen zufälligen Nonce-Wert, sodass identische Dateien keinen identischen Chiffretext erzeugen.

Der Verschlüsselungsschlüssel

Die Verschlüsselung verwendet einen einzelnen 256-Bit-Schlüssel, der als base64-codierter 32-Byte-Wert bereitgestellt wird. Es gibt zwei Möglichkeiten, ihn bereitzustellen:

Quelle	Wie er festgelegt wird
Datenbankschlüssel	Ein Betreiber legt einen base64-Schlüssel direkt in den Speichereinstellungen fest. Diese Variante wird bevorzugt, sofern vorhanden.
Verweis auf ein Konfigurationsgeheimnis	Ein Verweis auf einen Konfigurationsschlüssel (zum Beispiel eine Umgebungsvariable oder einen Eintrag in einem Secret-Store), der den Schlüssel enthält.

Ist ein Datenbankschlüssel festgelegt, hat dieser Vorrang; andernfalls löst die Plattform den Schlüssel über den konfigurierten Geheimnisverweis auf. Aus Sicherheitsgründen wird der Rohschlüssel niemals vom Einstellungsbildschirm zurückgegeben – die Oberfläche zeigt lediglich an, ob ein Schlüssel vorhanden ist, damit sie einen Wechsel anbieten kann.

Den Schlüssel sicher wechseln

Die Plattform verwendet einen aktiven Schlüssel ohne Schlüsselbund und verschlüsselt vorhandene Dateien bei einem Schlüsselwechsel nicht erneut. Das hat eine kritische Konsequenz:

Warnung: Wenn Sie den Verschlüsselungsschlüssel ändern, können Dokumente, die mit dem vorherigen Schlüssel verschlüsselt wurden, nicht mehr entschlüsselt werden. Es gibt keine automatische Neuverschlüsselung. Behandeln Sie Schlüsseländerungen als einmaligen, unumkehrbaren Vorgang und vergewissern Sie sich vor dem Wechsel, dass keine wichtigen Dokumente unter dem alten Schlüssel vorliegen.

Um Sie vor versehentlichem Verlust zu schützen, bewahrt das Speichern von Speichereinstellungen ohne Angabe eines neuen Schlüssels den vorhandenen Schlüssel, anstatt ihn zu löschen. Der Schlüssel ändert sich nur dann, wenn Sie bewusst einen neuen eingeben. Ein neuer Schlüssel muss ein gültiger base64-codierter 32-Byte-Wert sein, andernfalls wird das Speichern abgelehnt.

Abwärtskompatibilität

Dateien, die vor der Aktivierung der Verschlüsselung hochgeladen wurden, bleiben lesbar. Beim Herunterladen erkennt die Plattform anhand der Hülle, ob eine gespeicherte Datei verschlüsselt ist, und gibt unverschlüsselte Dateien unverändert zurück. Das bedeutet, dass die Aktivierung der Verschlüsselung den Zugriff auf ältere Dokumente nicht beeinträchtigt – tatsächlich verschlüsselt werden jedoch nur Dateien, die nach der Aktivierung geschrieben werden.

Hinweis: Die Verwaltung des Verschlüsselungsschlüssels erfordert die Berechtigung settings:manage, die üblicherweise SystemAdmin innehat. Bewahren Sie eine sichere Sicherungskopie des Schlüssels außerhalb der Plattform auf, denn ein Verlust bedeutet den Verlust des Zugriffs auf jedes damit verschlüsselte Dokument.