Fingerabdruck

In der Datensicherheit bezeichnet der Begriff Fingerabdruck drei verschiedene Dinge, und wer sie verwechselt, formuliert falsche Richtlinien. Die Idee ist immer dieselbe: Aus etwas Größerem wird ein kurzer Wert abgeleitet, damit es später wiedererkannt werden kann. Unterschiedlich sind das Objekt des Fingerabdrucks und die Berechnung des Wertes.

Die ersten beiden Bedeutungen sind für die Verhinderung von Datenverlusten am wichtigsten, weil sie geschützte Dokumente erkennen. Die dritte beschreibt Systeme statt Dokumente und dient der Identifikation und dem Inventar.

Ein Inhalts-Fingerabdruck speichert das Dokument selbst nicht. Das Verfahren ist für Material gedacht, das bearbeitet oder teilweise wiederverwendet wurde, also genau dort, wo einfache Dateiprüfungen versagen. In Anexet wird das Verfahren als digitaler Fingerabdruck eingerichtet und läuft in vier Schritten ab.

Der Nutzen ist praktisch: Ein Auszug, der in eine E-Mail eingefügt wird, passt weiterhin zu seiner Quelle, und eine Vorlage aus einem leeren Formular passt zu jeder ausgefüllten Kopie davon.

1. 1

   Text normalisieren

   Formatierung entfernen und das Dokument auf vergleichbaren Text reduzieren, damit Layoutänderungen das Ergebnis nicht beeinflussen.

2. 2

   Überlappende Abschnitte hashen

   Hash-Werte für überlappende Textabschnitte berechnen. Gespeichert wird nur diese Menge von Werten.

3. 3

   Neuen Inhalt vergleichen

   Ausgehende E-Mails, Uploads und Nachrichten durchlaufen denselben Ablauf und werden mit der gespeicherten Menge verglichen.

4. 4

   Bei Übereinstimmung handeln

   Eine deutliche Überschneidung bedeutet, dass geschütztes Material vorhanden ist. Die Regel blockiert, protokolliert oder alarmiert.

Ein kryptografischer Hash wird über die gesamte Datei berechnet, und der Wert wird in einer Hash-Bank gespeichert. Er beantwortet eine Frage mit Sicherheit: Ist es dieselbe Datei, Byte für Byte? Hashes sind günstig zu berechnen und zu vergleichen und liefern keine Fehlalarme.

Genau diese Genauigkeit ist ihre Grenze. Wer das Dokument in einem anderen Format speichert oder ein einziges Zeichen ändert, erhält einen völlig anderen Wert, und es gibt keine Übereinstimmung. Hashes eignen sich gut als erster Filter und bei der Prüfung der Dateiintegrität, können aber umgeschriebene Inhalte nicht verfolgen.

Registrierte Fingerabdrücke werden in Datenbanken geführt. Der Fingerabdruck-Manager zeigt jede Bank mit Größe, Dokumentenanzahl und Datum der letzten Aktualisierung. So erkennt ein Administrator, was geschützt ist und wie aktuell der Referenzbestand ist. Eine Bank, die nie aktualisiert wird, schützt eine immer historischere Dokumentenmenge.

Diese Bedeutung teilt die Metapher mit den anderen, nicht aber den Mechanismus. Ein Geräte- oder Browser-Fingerabdruck ist ein Profil aus beobachtbaren Merkmalen des Systems: Hardware-Kennungen, installierte Komponenten, Bildschirm- und Spracheinstellungen sowie Netzwerkattribute. Nichts davon stammt aus geschütztem Inhalt, und das Objekt ist ein System, kein Dokument.

Verteidiger nutzen es zur Geräteidentifikation und zur Erfassung der Endgeräte, etwa im Hardware-Inventar. Angreifer verwenden ähnliche Profile, um Nutzer ohne Cookies zu verfolgen. Deshalb braucht der Begriff in jedem Sicherheitsprogramm eine präzise Definition.

Die Methoden ergänzen einander. Hashes sind der günstigste erste Filter, Inhalts-Fingerabdrücke erkennen, was eine Bearbeitung verbergen würde, und eine Liste verbotener Wörter deckt sensible Inhalte ab, die niemand im Voraus registriert hat.

Alle Fingerabdruckverfahren sind Einwegverfahren. Das Original lässt sich aus dem abgeleiteten Wert praktisch nicht rekonstruieren, daher kann das Erkennungssystem regulierte Inhalte erkennen, ohne eine zweite Kopie aufzubewahren. Das ist ein Vorteil für den Datenschutz und zugleich der Grund, warum der Referenzbestand gepflegt werden muss.

Fingerabdrücke funktionieren nur bei Daten, die sie lesen können. Inhalte, die als Bild vorliegen, brauchen zuerst eine Texterkennung, und stark verschlüsselte oder umformulierte Inhalte liegen außerhalb der Übereinstimmung. Auch jeden Versuch einer Datenexfiltration beschreiben sie nicht, deshalb wirken sie am besten zusammen mit anderen Kontrollen.

Beginnen Sie mit der Registrierung der Dokumente, deren Abfluss den größten Schaden verursachen würde, etwa Verträge, Quellcode und Kundendaten. Eine aus diesen Dateien aufgebaute Bank erkennt Kopien, die bearbeitet oder wiederverwendet wurden.

Prüfen Sie die Bank danach regelmäßig, denn der Referenzbestand ist nur so aktuell wie die letzte Registrierung.

Weiterlesen: Verschlüsselung, Kodierung und Hashing – was ist der Unterschied?.