VPN səfəri şifrələyir, diskdəki və ya buluddakı kopyanı yox

Bir faylı noutbukdan həmkarınıza qədər izləyin: o, diskdə mövcuddur, tuneldən keçir, bulud anbarına düşür və ehtiyat nüsxəyə kopyalanır. Bu seqmentlərdən yalnız biri VPN ilə əhatə olunur və ən qısa ömürlü olan elə həmin seqmentdir. Digər kopyalar tunel bağlandıqdan sonra da mövcud olmağa davam edir, sahiblərinin həqiqətən konfiqurasiya etdiyi yaddaş şifrələməsi altında. Hansı kopyanın nə ilə qorunduğunu bilmək işlək tunelin məlumat mühafizəsi siyasəti ilə qarışdırılmasının qarşısını alır.

Bir faylı üç kopya boyunca izləyin

Baytların harada istirahət etdiyindən başlayın, sonra hara hərəkət etdikləri ilə, sonra yenidən harada saxlanıldıqları ilə davam edin. Tunel orta mərhələdə dayanır. Onun hər iki tərəfində yaddaş şifrələməsi, tətbiq şifrələməsi və giriş nəzarəti ayrı açar saxlayıcıları olan ayrı mexanizmlərdir.

Nəyisə seçməzdən əvvəl o yolu çəkin. Rəsm adətən insanların ən çox narahat olduğu kopyanın, yəni yolda olanın, ən az saniyə mövcud olduğunu göstərir. O, həmçinin hansı keçidin otaqda sahibi olmadığını göstərir və bu, adətən diqqət tələb edən keçiddir.

Tunelin işi öz son nöqtəsində bitir

Adi VPN öz iki son nöqtəsi arasındakı seqmenti şifrələyir. Uzaq son nöqtədən sonra trafik yenidən adi IP olur, məgər onu başqa bir şey qorumursa; buna görə brauzer sessiyası ucdan-uca şifrəli qala bilər, halbuki tunel yalnız birinci mərhələni əhatə edir.

O seqmentdə heç nə qəbuledici xidmətin yükləməni necə saxladığını, jurnallarına nə yazdığını və ya hansı hesab metadatasını saxladığını demir. Bunlar qəbuledici sistemin xüsusiyyətləridir və sorğunun tuneldən gəlib-gəlməməsindən asılı olmayaraq doğrudur. Şifrəli ötürmə reklam edən operator səfəri təsvir etmişdir, anbarı yox.

Diskiniz və açar anbarınız ayrı qərarlardır

Tam disk şifrələməsi maşın söndürüldükdə həcmi qoruyur və cihazın və ya istifadəçinin açılışda təqdim etdiyi açardan asılıdır. Parol menecerinin seyfi öz məzmununu əsas sirdən törəmə açar ilə şifrələyir. VPN-i açmaq bunların heç birini etmir və artıq yükləmələr qovluğunda olan açıq mətn ixracını şifrələməyəcək.

İxraclarda bu konkretləşir. Miqrasiya üçün yazılmış seyf ixracı bütün sirləri özündə saxlayan açıq mətn faylıdır və kimsə onu silməsə, tuneli, sessiyanı və yenidən başlatmanı keçib saxlayır.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Əgər bu çıxış oxuna bilən mətndirsə, fayl qorunmur. Miqrasiya bitən kimi onu silin və yadda saxlayın ki, müasir yaddaşda təhlükəsiz silmə cihazdan asılıdır və vahid daşına bilən əmr deyil.

Bulud tərəfindəki şifrələmə əslində nəyi əhatə edir

Server tərəfində şifrələmə saxlanılan obyekti əsas daşıyıcını əldə edən şəxsdən qoruyur və provayder onu oxuya bilən açarları hələ də saxlayır. Faylın yükləmədən əvvəl şifrələndiyi müştəri tərəfində şifrələmə açıq mətni provayderin əlçatımından kənarda saxlayır, lakin açar saxlanmasını və bərpanı sizə keçirir.

Modellərin heç biri səhv deyil və onlar məlumatları kimin oxuya bilməli olduğuna dair fərqli suallara cavab verir. Birinin digərini şərtləndirdiyini güman etmək əvəzinə real məhsul konfiqurasiyasını yoxlayın. Açar saxlanması ilə bağlı bəyanatı hərfi oxuyun, hesab dəstək tərəfindən bərpa edildikdə nə olduğu da daxil olmaqla. Provayder girişi sizin açarınız olmadan bərpa edə bilirsə, provayder obyekti oxuya bilər.

Kopyalar səssizcə çoxalır. Paylaşılan keçid, sinxronizasiya müştərisi, yerli keş və ehtiyat nüsxələmə işi, seçmədiyiniz bir siyasət altında hər biri daha bir obyekt yaradır. Vacib məlumatlar üçün onları sadalayın, çünki paylaşılan qovluqda açıq mətn kopyası dayanırsa, yoldakı ən güclü şifrələmə əhəmiyyətsizdir.

Sübut bərpadır, yükləmə sürəti deyil

Yaddaş dizaynının faydalı sübutu odur ki, nəzərdə tutulan insanlar məlumatları bərpa edə bilir, nəzərdə tutulmayanlar isə edə bilmir. Yükləmə ötürmə qabiliyyəti tamamilə başqa bir şeyi ölçür və heç vaxt bərpa edilməmiş hər dizayna iltifat edir. Etibar etdiyiniz hər kopyadan bir fayl seçin və onun geri qayıtdığını sübut edin.

Etibar etdiyiniz hər kopyadan bir faylı, onu yaradan sessiya əvəzinə bərpa materialından istifadə edərək bərpa edin. Yalnız sıradan çıxmış maşında saxlanılan açar bərpa planı deyil və bərpası itirdiyiniz seyfi tələb edən ehtiyat nüsxə başqa cür vahid nasazlıq nöqtəsidir.

NIST-in açar idarəetməsi təlimatı hər bir məhsul qərarından uzun yaşayan həyat dövrü suallarını əhatə edir. Cavabları qoruduqları məlumatlarla birlikdə saxlayın və bir kopya, bir alıcı və ya bir yaddaş provayderi dəyişdikdə onlara yenidən baxın.