Praktische Überlegungen zur Cloud: Sicherheit

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Rechenleistung in der Cloud mag günstig sein, aber kostenlos ist sie nicht.

Die überwiegende Mehrheit der Apps wird heute über sicheres HTTP bereitgestellt. Das bedeutet TLS oder das zunehmend verpönte SSL. Es bedeutet Kryptografie, die traditionell mit Leistungsproblemen gleichgesetzt wird.

Dank des technologischen Fortschritts sind CPUs heute unglaublich schnell, und viele client- und serverseitige Geräte verfügen inzwischen standardmäßig über Funktionen, für die früher spezielle Kryptografie-Hardware erforderlich war. Das bedeutet, dass die Geschwindigkeit der Kryptografie bei einzelnen Verbindungen heute eine deutlich geringere Rolle spielt als früher.

Das bedeutet jedoch nicht, dass Kryptografie nicht weiterhin Leistungs- und Betriebskosten verursacht.

Die meisten Einwände gegen die These, dass Kryptografie eine wesentliche Ursache für Leistungsprobleme darstellt, beruhen auf einfachen Szenarien mit einem Client und einem Server. Dabei gibt es einen Verschlüsselungs- und einen Entschlüsselungsvorgang. In solchen Szenarien haben die Kritiker weitgehend recht. Die durch Ver- und Entschlüsselung verursachte Latenz ist minimal und in der Regel weniger problematisch als der durch TCP und das Netzwerk verursachte Overhead.

Doch heutige Anwendungen bestehen nicht nur aus einem einzigen Endpunkt. Eine Nachricht muss mehrere Vermittlungsinstanzen und Proxys durchlaufen, bevor sie diesen „einzigen Endpunkt“ überhaupt erreicht. Dabei handelt es sich um Endpunkte für Sicherheit und Zugriffskontrolle, Lastverteilung und Routing. Jeder von ihnen muss die Nachricht im Klartext prüfen, um seine vorgesehene Rolle im komplexen Zusammenspiel moderner Datenpfade erfüllen zu können.

An dieser Stelle beginnt das Argument, dass Kryptografie gar nicht so aufwendig sei, ins Wanken zu geraten. Für sich genommen verursacht ein einzelner Endpunkt nur eine sehr geringe Verzögerung. Wird dieser Vorgang jedoch an jedem einzelnen Endpunkt im Datenpfad mehrfach wiederholt, summieren sich diese einzelnen Verzögerungen zu einer spürbaren und – insbesondere in der Public Cloud – im Betrieb kostspieligen Gesamtverzögerung.

Kryptografie ist von Natur aus ein rechenintensiver Prozess. Das bedeutet, dass das Ver- oder Entschlüsseln einer Nachricht wesentlich mehr CPU-Zyklen erfordert als die Ausführung von Geschäftslogik. In der Cloud sind CPU-Zyklen gleichbedeutend mit anfallenden Kosten. Im Allgemeinen werden diese Kosten akzeptiert, da es darum geht, Investitionskosten in Betriebsausgaben zu verlagern.

Doch wenn Sie eine Nachricht mehrmals entschlüsseln und verschlüsseln, summieren sich die Kosten. Im Grunde bezahlen Sie für denselben kryptografischen Vorgang mehrfach. Was bei einmaliger Ausführung rechnerisch nur einen Cent kostet, schlägt bei fünfmaliger Ausführung plötzlich mit fünf Cent zu Buche. Rechnet man dies auf die Hunderttausenden von Transaktionen im Laufe eines Tages (oder einer Stunde) hoch, sind die daraus entstehenden Kosten enorm.

Bedenken Sie außerdem, dass jeder CPU-Zyklus, der für die kryptografische Verarbeitung aufgewendet wird, nicht für die Geschäftslogik zur Verfügung steht. Das bedeutet, dass Sie früher horizontal skalieren müssen, als Ihnen lieb ist, wodurch mit jeder zusätzlichen Instanz, die zur Bewältigung der Last gestartet wird, weitere Kosten entstehen.

Es versteht sich von selbst, dass „SSL überall“ in der Cloud nicht zu Architekturen nach dem Prinzip „überall entschlüsseln“ führen sollte.

Einmal entschlüsseln

Um die Kosten zu senken und die Effizienz der von Ihnen bezahlten CPUs zu maximieren, lohnt es sich, Ihre cloudbasierte Architektur nach dem Prinzip „Einmal entschlüsseln“ zu gestalten. „Einmal entschlüsseln“ bedeutet, dass Sie die Anzahl der Endpunkte im Datenpfad minimieren sollten, die übertragene Nachrichten entschlüsseln und erneut verschlüsseln müssen.

Dies erfordert vorausschauende Planung und eine sorgfältige Abwägung der sechzehn verschiedenen Anwendungsdienste, die Sie heute zur Absicherung und Skalierung von Anwendungen einsetzen. Wenn Sie keinen Vorschriften oder Anforderungen unterliegen, die eine Ende-zu-Ende-Verschlüsselung verlangen, sollten Sie Ihren Datenpfad so gestalten, dass Nachrichten so früh wie möglich entschlüsselt werden, um später zusätzliche, für die Entschlüsselung aufgewendete Rechenzyklen zu vermeiden. Wenn Sie eine Ende-zu-Ende-Verschlüsselung aufrechterhalten müssen, erzielen Sie durch die Zusammenführung von Diensten, wann immer dies möglich ist, die effizienteste Nutzung der Rechenressourcen.

Wenn Sie die Dienste, bei denen dies möglich ist – beispielsweise Lastverteilung und Web Application Firewall –, auf einer einzigen Plattform zusammenführen, müssen Daten während der Übertragung seltener entschlüsselt werden. Dies bietet zudem den Vorteil, dass weniger Verbindungen erforderlich sind und die Daten weniger Zeit im Netzwerk verbringen, was zu einer besseren Leistung für Benutzer und Verbraucher führt. Die eigentliche Einsparung liegt jedoch in den CPU-Zyklen, die nicht für wiederholtes Entschlüsseln und erneutes Verschlüsseln aufgewendet werden.

Es mag wie Zeitverschwendung erscheinen, sich mit den Auswirkungen der Ver- und Entschlüsselung bei einer App zu befassen, die heute nur wenig genutzt wird. Die eingesparten Centbeträge rechtfertigen den Aufwand sicherlich nicht. Doch wenn Apps mit der Zeit wachsen, skalieren und dauerhaft betrieben werden, summieren sich diese Centbeträge zu spürbaren Summen. Ganz zu schweigen davon, dass sich Mikrosekunden ebenso summieren wie Centbeträge. Wenn Sie die Auswirkungen der Kryptografie über den gesamten Datenpfad hinweg berücksichtigen, können Sie langfristig sowohl für die Nutzer als auch für das Unternehmen Vorteile erzielen.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie