Verdens sikreste server

Alle producenter påstår at have en såkaldt ”sikker server”. Men hvad ligger der egentlig i begrebet en sikker server? For at kunne forklare, hvad en sikker server er, så er der lige et par begreber vi skal have defineret først:

En server er en computer, der leverer alle mulige typer af information til de clients, der kommunikerer med serveren. Det ligger implicit i client/server-relationen, at en server servicerer mange klienter. Og når man servicerer mange klienter, så har man automatisk mange sårbarheder, det som man i sikkerhedsverdenen kalder for en attack-vector, eller på dansk, der hvor man kan foretage et angreb. Kæden er således ikke stærkere end det svageste led. Og det har aldrig været et spørgsmål om man blev angrebet, men snarere et spørgsmål om hvornår man blev angrebet.

En servers indbyggede software (også kaldet firmware) kan f.eks. være en BIOS (Basic Input/Output System), Ilo (Integrated Lights Out), UEFI (Unified Extensible Firmware Interface), CPLD (Complex programmable logic device), Innovation Engine og Management Engine.

En Supply Chain er i dette tilfælde der, hvor du får dine server komponenter fra. Nogle laver noget selv, mens andre integrerer komponenter som er fremstillet af andre.

Sikkerhed er både en definitionssag og en balance.

Lad os begynde med definitionen. For det er i sagens natur ikke svært at lave en sikker server. Hvis man kigger på de systemer, der har det højeste niveau af sikkerhed i verden, så er disse hermetisk isolerede. Og selv om der eksisterer både clients og servere i disse miljøer, så er disse afskåret fra omverdenen, og dermed er der sat en effektiv sikkerhedsbarriere op.

Nu forholder det sig bare sådan, at langt de fleste servere er åbne for omverdenen. Dette er de blevet i takt med internettets udbredelse og i dag ville det være utænkeligt, at de fleste servere ikke skulle være kontaktbare via internettet.

Ergo er sikkerhed en balance mellem at gøre information tilgængelig samtidig med, at man har et rimeligt niveau af sikkerhed. Så vi kan bygge nok så mange sikre bygninger og datacentre, men det hjælper ikke noget, hvis serverne, der står i disse, er nemme at kompromittere.

Så hvordan bygger man en sikker server?

Faktum er, at sikkerhed ikke er nogen simpel og ligetil disciplin. Hvis du gerne vil sikre dine servere fra ”vugge til grav”, så er der en hel del du skal sikre dig. Og her står Hewlett Packard Enterprise meget stærkt.

Ifølge dansk lov om markedsføring, så er det ikke ulovligt at anprise et produkt, men det er ulovligt at tillægge produktet egenskaber, som det ikke har. Alle kan således kalde deres servere for verdens sikreste, men er de nu rent faktisk sikre? At lyve i et oplyst informationssamfund, skaber mistillid. Derfor er det i sagens natur vigtigt, at flere eksterne virksomheder også blåstempler de påståede egenskaber. Således har bl.a. Forbes og Cyber Catalyst (Cyber Catalyst by Marsh er en sammenslutning af forsikringsselskaberne Allianz, Axis, AXA XL, Beazley, CFC, Munich Re, Sompo International og Zurich North America) sagt god for funktionaliteten. Faktisk er både Aruba-teknologien ”Policy Enforcement Firewall” og ProLiant-teknologien ”Silicon Root of Trust” på March’ liste.

Faktisk har HPE – som den eneste – en hel række godkendelser på ProLiant-servere, herunder NIST 800-53 (det amerikanske National Institute of Standards and Technology), EU’s GDPR standard (General Data Protection Regulation, også kaldet Persondataforordningen) og ISO (International Organization for Standardization) 27001.

Hvis man kigger på HPE’s seneste generation af industristandardservere – kaldet ProLiant Gen10 – så har disse en såkaldt ”Silicon Root of Trust”. HPE designer sine egne chips og dermed også sin egen funktionalitet (software i serveren, der sikrer serverens funktionalitet). Dermed har vi mulighed for at indbygge sikkerhed direkte i vores egne chips og sørge for, at alle vores chips er uforanderlige. Hele kæden af chips i vores servere bliver således scannet og sammenlignet med det integrerede digitale fingeraftryk, som udgør vores sikkerhed. Hvis nogle af vores chips er blevet kompromitteret, så kan man vælge at:

1. Vende tilbage til det sidst kendte stadie hvor alt var i orden
2. Vende tilbage til fabriksindstilling (læs: nulstil serveren)
3. Gøre ingenting og dermed tage serveren ud af drift

Alle andre producenter køber chips af 3. parts leverandører og integrerer disse i deres egne servere. Denne metode åbner altså op for en kompromittering af disse chips. Til det skal der lægges, at hvor der tidligere har været såkaldte cyberattacks fokuseret på applikationer og operativsystemer, så er den nye attack-vector serverens software. Definitionen af et cyberattack/cyberangreb på en computer eller et computernetværk, er et forsøg på at udsætte, ændre, deaktivere, ødelægge, stjæle eller få uautoriseret adgang til eller gøre uautoriseret brug af et aktiv.

Ingeniørforeningen, IDA har i øvrigt skrevet en meget interessant artikel om de fem cyberangreb, der ændrede verden. Den kan du læse her: https://ida.dk/viden-og-netvaerk/temaer/cybersikkerhed/5-cyberangreb-der-aendrede-verden

Sidste niveau af sikkerhed er, at HPE som den eneste producent i industrien har CNSA – Commercial National Security Algorithm. CNSA er basalt set det højeste niveau af kryptering, som man kender i dag. Målet er at skabe en kryptering som er ubrydelig, selv for fremtidens kvantemekaniske computere.

Faktum er, at sikkerhed ikke er nogen simpel og ligetil disciplin. Hvis du gerne vil sikre dine servere fra ”vugge til grav”, så er der en hel del du skal sikre dig.

Og her står Hewlett Packard Enterprise meget stærkt.

Kilder:

Meet Gen10 – The World’s Most Secure Servers: https://www.youtube.com/watch?v=7wAfQqTdqBE
Firmware: A New Attack Vector Requiring Industry Leadership: https://www.darkreading.com/risk/firmware-a-new-attack-vector-requiring-industry-leadership-/a/d-id/1335743
Server: https://en.wikipedia.org/wiki/Server_(computing)
Supply Chain: https://en.wikipedia.org/wiki/Supply_chain
Commercial National Security Algorithm Suite: https://apps.nsa.gov/iaarchive/programs/iad-initiatives/cnsa-suite.cfm
NSA Suite B Cryptography: https://en.wikipedia.org/wiki/NSA_Suite_B_Cryptography
HPE Extends Its Cybersecurity Capabilities And Earns Two Cyber Catalyst Designations: https://www.forbes.com/sites/moorinsights/2019/09/26/why-hpe-leads-the-cyber-security-market/#5a7febc63bb9
Cyber Catalyst Designated Solutions 2019: https://www.marsh.com/us/services/cyber-risk/cyber-catalyst.html