Anfang August hat Oracle ein neues Produkt namens Oracle Key Vault (OKV) zum Einsatz freigegeben. Es handelt sich dabei um ein Hardware Security Modul (HSM) - also um ein Stück Hardware zum Speichern von Schlüsseln, Passwörtern und Dateien, die Schlüssel und Passwörter enthalten.

Oracle Datenbank Installationen nutzen die zuletzt genannte Form des Speicherns von Passwörtern und Schlüsseln in Dateien für Oracle Advanced Security Transparent Data Encryption (TDE) und external password stores. Die Dateien werden in den Versionen 10 und 11 der Datenbank als Wallets bezeichnet, in der Version 12 als Keystores. Allerdings gibt es auch schon seit der Datenbankversion 11.2 beim Einsatz von TDE die Möglichkeit, statt der Wallets / Keystores HSMs einzusetzen. Da Oracle selbst kein eigenes HSM Produkt anbieten konnte, haben Unternehmenskunden dann auf Produkte anderer Anbieter zurückgegriffen. Das kann sich mit OKV nun ändern.

Abhängig vom Bedrohungsszenario kann die Entscheidung gegen den Einsatz von Wallets / Keystores und für den Einsatz eines HSMs durchaus sinnvoll sein, denn

• ein HSM bietet mehr Sicherheit: Eine Betriebssystemdatei kann leichter gestohlen (kopiert) werden, als ein HSM, das in der Regel als speziell gesicherte Steckkarte in einem Rechner eingebaut ist oder als eigenes Gerät geschützt in einem Rechenzentrum steht.
• ein HSM kann anders als ein Wallet / Keystore systemübergreifend verwendet werden. Das erlaubt eine gemeinsame Nutzung von Schlüsseln - was wiederum zum Beispiel den Einsatz von TDE auf RAC Installationen perfekt unterstützt.
• ein HSM kann von mehreren Anwendungen genutzt werden. Das erleichtert das Konsolidieren und Verwalten von Passwörtern und Schlüsseln.

1. Ein Key Administrator, der zum Beispiel den Zugriff auf Wallets und Schlüssel kontrolliert. Er kann auch weitere Key Administratoren einrichten.
2. Ein Administrator, der für die Verwaltung des OKV zuständig ist. Er ist zum Beispiel zuständig für das Starten und Stoppen des OKV, für Backups und Recovery, Einrichten von Hochverfügbarkeit sowie von Endpoints und Benutzern. Er kann auch weitere Administratoren einrichten.
3. Ein Audit Manager, der den Audit Trail des OKV verwaltet und weitere Audit Manager einrichten kann.
4. Ein Root User, der sich bei Bedarf, zum Beispiel zum Ausführen festgelegter Skripte oder im Recoveryfall als Benutzer root auf dem OKV einloggen kann.
5. Ein Support User, der sich mit SSH auf dem System anmelden kann.

• Java Keystores (JKS)
• Java Cryptography Extension Keystores (JCEKS)
• SSH Key Files
• Kerberos Keytabs und
• Oracle Wallets

1. Endpoint einrichten
2. Datenbank einrichten
3. TDE einrichten

1. Die Software okvutil, die OKV in Form einer Datei namens okvclient.jar zur Verfügung stellt, wird auf den Datenbankserver heruntergeladen und entpackt. Dazu muss mindestens JDK 1.5 installiert sein. Ausserdem ist die Variable JAVA_HOME zu setzen. Auch der Pfad zum Java Executable sollte explizit gesetzt sein.
2. Eine Library, die den Zugriff auf das PKCS#11 kompatible OKV ermöglicht, muss verfügbar gemacht werden. Diese Library ist Teil der Datei okvclient.jar. Da das System die Library in einem bestimmten Verzeichnis erwartet, stellt Oracle ein Skript namens root.sh bereit, das das Verzeichnis anlegt und die Library dort ablegt. Die Library heisst liborapkcs.so.

[oracle@hwf Desktop]$ java -jar okvclient.jar -d /oracle/app/oracle/product/okvutil -v
Detected JAVA_HOME: /usr/lib/jvm/java-1.6.0-openjdk-1.6.0.0.x86_64/jre
Enter new Key Vault endpoint password ( for auto-login):         
Confirm new Key Vault endpoint password:         
Oracle Key Vault endpoint software installed successfully.

[root@hwf bin]# pwd
/oracle/app/oracle/product/okvutil/bin
[root@hwf bin]# ./root.sh
Creating directory: /opt/oracle/extapi/64/hsm/oracle/1.0.0/
Copying PKCS library to /opt/oracle/extapi/64/hsm/oracle/1.0.0/
Setting PKCS library file permissions
Installation successful.

ENCRYPTION_WALLET_LOCATION=(SOURCE=(METHOD=HSM))

SQL> SELECT * FROM v$encryption_wallet;

WRL_TYPE   WRL_PARAMETER                                                STATUS
---------- ------------------------------------------------------------ -------
HSM                                                                     CLOSED

SQL orcl> ALTER SYSTEM set encryption key IDENTIFIED BY "Oracle.1";

System altered.

SQL orcl> CREATE TABLESPACE sicheristsicher
  2  DATAFILE '/home/oracle/dateiname.dbf' SIZE 10M
  3  ENCRYPTION USING 'AES256' DEFAULT STORAGE (ENCRYPT);

Tablespace created.

SQL orcl> SELECT tablespace_name, encrypted FROM dba_tablespaces
  2  WHERE tablespace_name like 'SICHER%';

TABLESPACE_NAME                ENCRYPTED
------------------------------ ---------
SICHERISTSICHER                YES

Zurück zum Anfang des Artikels

Zurück zur Community-Seite