Zusammenfassung

  • Thales kündigte am 14. September britisch gehostete Dienste von Luna Cloud HSM an. Schlüssel sollen im Vereinigten Königreich erzeugt, gespeichert, verwendet, gesichert und vernichtet werden.
  • Zwei dortige Instanzen von Data Protection on Demand sollen Hochverfügbarkeit und Notfallwiederherstellung unterstützen. Das ist kein unabhängiger Nachweis eines erfolgreichen Tests oder umfassender Anwendungskonformität.

Wer den Aufenthaltsort seiner kryptografischen Schlüssel festlegt, muss auch den Ort der Wiederherstellung betrachten. Eine eindeutige Adresse für den laufenden Betrieb genügt nicht, wenn die benötigten Sicherungskopien anderswo liegen. Das neue britische Angebot von Thales beschreibt diesen Bereich nun ausdrücklich.

Die am 14. September angekündigten Dienste werden über Data Protection on Demand angeboten. Laut Thales umfasst die britische Standortzusage Erzeugung, Speicherung, Nutzung, Sicherung und Vernichtung der Schlüssel. Zwei Instanzen im Vereinigten Königreich sollen dort Hochverfügbarkeit und Disaster Recovery bereitstellen.

Das ist eine konkretere Produkteigenschaft als ein bloßes Hosting-Etikett. Es bleibt allerdings eine Ankündigung des Lieferanten. Ein dokumentierter Wiederherstellungstest oder eine regulatorische Freigabe für einen benannten Kunden wird damit nicht vorgelegt.

Nicht alles folgt dem Standort des Schlüssels

Ein Hardware-Sicherheitsmodul, kurz HSM, schützt kryptografische Schlüssel und führt Operationen damit aus. Das Cloud-Angebot ermöglicht diese Funktionen, ohne für den Dienst selbst eine dedizierte HSM-Infrastruktur aufzubauen und zu betreiben. Thales nennt unter anderem regulierte britische Organisationen und den öffentlichen Sektor als Zielgruppen.

Daraus folgt nicht, dass Anwendungsdaten, Protokolle, Client-Software und Administratoren sämtlich im Vereinigten Königreich liegen. Auch eine hybride Anwendungsumgebung wird durch diesen Dienst nicht automatisch zu einer vollständig inländischen Betriebsumgebung.

Die Mitteilung unterscheidet selbst zwischen physischem Standort und Souveränität. Letztere umfasst auch Zugriff, Kontrolle und betriebliche Anforderungen. Die kommerzielle Neuerung ist somit eine geografisch bestimmte Option für den verwalteten Schlüssellebenszyklus, keine pauschale Konformitätsbescheinigung für jede Anwendung.

Preise, Kundenzahlen und die detaillierte Verteilung von Wiederherstellungsaufgaben fehlen. Ebenso nennt die Ankündigung keine konkreten Wiederanlaufzeiten oder Wiederherstellungspunkte, keine Aufbewahrungsdauer früherer Zustände und keine genaue Trennung der Fehlerdomänen. Aus zwei Instanzen dürfen nicht stillschweigend zwei nachgewiesen unabhängige Regionen oder Schutz vor jedem landesweiten Ereignis werden.

Aktuelle Kopien bewahren nicht automatisch die Vergangenheit

Die allgemeine Luna-Dokumentation macht eine wichtige Unterscheidung. Ihr Hochverfügbarkeitsleitfaden beschreibt Bereitschaftsmitglieder, die aktuelle Objekte repliziert erhalten. Diese Funktion allein hält keine mehreren Generationen früherer Partitionsinhalte vor. Sollen solche Zustände erhalten bleiben, verweist der Leitfaden auf gezielte Sicherungen.

Das ist allgemeine Produktdokumentation, keine technische Beschreibung des neuen britischen Managed Service. Sie belegt weder, dass dessen zwei Instanzen diese clientgesteuerte Anordnung verwenden, noch, dass historische Sicherungen fehlen. Sie erklärt lediglich, warum eine Instanzzahl nicht beantwortet, welcher gültige Zustand nach einem Fehler wiederhergestellt werden kann.

Der Sicherungsleitfaden für Luna Cloud HSM empfiehlt einen dokumentierten Plan: Was wird gesichert, wie häufig, an welchem Ort, durch wen kann die Wiederherstellung erfolgen und wie oft wird sie getestet? Wiederherstellungsübungen werden mindestens halbjährlich empfohlen. Das ist eine allgemeine Herstellerempfehlung, keine neue britische Vorschrift und kein Nachweis einer bereits absolvierten Übung für das angekündigte Angebot.

Derselbe Leitfaden behandelt auch Umsetzungen mit dedizierten Sicherungs-HSMs, passenden Domänen und erforderlichen Zugangsdaten. Das bedeutet nicht, dass jeder Käufer des neuen Dienstes solche Geräte erwerben muss. Es zeigt, dass Produktfamilie, konkrete Bereitstellung und vertragliche Zuständigkeit getrennt zu prüfen sind.

Der zugesagte Ort braucht einen vereinbarten Rückweg

Die Standortzusage gibt Beschaffern eine konkrete Bedingung zur Prüfung. Aussagekräftig wären nun dienstspezifische Angaben zu abgedeckten Störungen, verfügbarer Historie, Wiederherstellungszielen und den Personen, die entsprechende Schritte freigeben dürfen.

Wenn ein Kunde eigene Integrationen oder Wiederherstellungskomponenten ergänzt, müssen auch deren Verantwortlichkeiten und Standortanforderungen geklärt werden. Das ist eine Frage des Bereitstellungsumfangs, kein Vorwurf, der britische Dienst lasse Schlüssel außer Landes gelangen.

Für die Kaufentscheidung sind zwei Nachweise nötig: wo die Operationen stattfinden und wie ein getesteter, klar abgegrenzter Ablauf wieder einen nutzbaren kryptografischen Dienst herstellt. Der richtige Standort ersetzt den Rückweg nicht. Der Rückweg ersetzt umgekehrt nicht die geografische Vorgabe.

Quellen