VPN шыфруе падарожжа, а не копію на дыску ці ў воблаку

Прасочыце адзін файл ад ноўтбука да калегі: ён ёсць на дыску, праходзіць праз тунэль, трапляе ў воблачнае сховішча і капіюецца ў рэзервовую копію. Толькі адзін з гэтых участкаў пакрыты VPN, і гэта самы кароткачасовы. Астатнія копіі працягваюць існаваць пасля закрыцця тунэлю — пад тым шыфраваннем сховішча, якое іх уласнікі сапраўды наладзілі. Веданне таго, якая копія чым абаронена, не дазваляе прыняць працуючы тунэль за палітыку абароны даных.

Прасочыце адзін файл праз тры копіі

Пачніце з таго, дзе байты ляжаць, потым з таго, куды яны перамяшчаюцца, і нарэшце з таго, дзе яны зноў захоўваюцца. Тунэль займае прамежкавы этап. Па абодва яго бакі шыфраванне сховішча, шыфраванне праграмы і кантроль доступу — гэта асобныя механізмы з асобнымі захавальнікамі ключоў.

Намалюйце гэты шлях, перш чым нешта выбіраць. Малюнак звычайна паказвае, што копія, пра якую найбольш хвалююцца, тая, што ў дарозе, існуе найменш секунд. Ён таксама паказвае, на якім пераходзе няма адказнага ў пакоі, і звычайна гэта той, якому патрэбна ўвага.

Праца тунэлю заканчваецца на яго ўласнай канчатковай кропцы

Звычайны VPN шыфруе ўчастак паміж двума сваімі канчатковымі кропкамі. За далёкай канчатковай кропкай трафік зноў становіцца звычайным IP, калі яго не абараняе нешта іншае; таму сеанс браўзера можа заставацца зашыфраваным ад пачатку да канца, пакуль тунэль пакрывае толькі першы адрэзак.

Нішто на гэтым участку не кажа пра тое, як служба-атрымальнік захоўвае загрузку, што яна піша ў свае журналы і якія метаданыя ўліковага запісу захоўвае. Гэта ўласцівасці сістэмы-атрымальніка, і яны застаюцца сапраўднымі незалежна ад таго, ці запыт прыйшоў праз тунэль. Аператар, які рэкламуе зашыфраваную перадачу, апісаў падарожжа, а не склад.

Ваш дыск і ваша сховішча ключоў — асобныя рашэнні

Шыфраванне ўсяго дыска абараняе том, калі машына выключана, і залежыць ад ключа, які прылада або карыстальнік падае пры загрузцы. Сховішча мэнэджара пароляў шыфруе ўласны змест ключом, вытворным ад галоўнага сакрэту. Уключэнне VPN не робіць ні таго, ні іншага і не зашыфруе экспарт у адкрытым выглядзе, які ўжо ляжыць у папцы загрузак.

На экспартах гэта становіцца канкрэтным. Экспарт сховішча, зроблены для міграцыі, — гэта файл у адкрытым выглядзе з усімі сакрэтамі, і ён перажывае тунэль, сеанс і перазагрузку, калі хтосьці яго не выдаліць.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Калі гэты вывад — чытабельны тэкст, файл не абаронены. Выдаліце яго, як толькі міграцыя скончыцца, і памятайце, што бяспечнае сціранне на сучасных носьбітах залежыць ад прылады і не з’яўляецца адной пераноснай камандай.

Што насамрэч пакрывае шыфраванне на баку воблака

Сервернае шыфраванне абараняе захаваны аб’ект ад таго, хто атрымае базавы носьбіт, а пастаўшчык па-ранейшаму трымае ключы, здольныя яго прачытаць. Кліенцкае шыфраванне, пры якім файл шыфруецца перад выгрузкай, трымае адкрыты тэкст па-за дасяжнасцю пастаўшчыка, але пераносіць захоўванне ключоў і аднаўленне на вас.

Ні адна з мадэляў не памылковая, і яны адказваюць на розныя пытанні пра тое, хто павінен мець магчымасць чытаць даныя. Правярайце фактычную канфігурацыю прадукту, а не мяркуйце, што адно азначае іншае. Чытайце заяву пра захоўванне ключоў літаральна, уключаючы тое, што адбываецца, калі падтрымка аднаўляе ўліковы запіс. Калі пастаўшчык можа аднавіць доступ без вашага ключа, значыць, пастаўшчык можа прачытаць аб’ект.

Копіі размнажаюцца ціха. Агульная спасылка, кліент сінхранізацыі, лакальны кэш і заданне рэзервовага капіравання ствараюць кожнае яшчэ адзін аб’ект паводле палітыкі, якую вы, магчыма, не выбіралі. Пералічыце іх для даных, якія важныя, бо наймацнейшае шыфраванне на шляху не мае значэння, калі копія ў адкрытым выглядзе ляжыць у агульнай папцы.

Доказ — гэта аднаўленне, а не хуткасць выгрузкі

Карысны доказ схемы захоўвання ў тым, што патрэбныя людзі могуць аднавіць даныя, а непатрэбныя — не. Прапускная здольнасць выгрузкі вымярае зусім іншае і ліслівіць любой схеме, якую ніколі не аднаўлялі. Выберыце па адным файле з кожнай копіі, на якую вы разлічваеце, і дакажыце, што ён вяртаецца.

Аднавіце па адным файле з кожнай копіі, на якую вы разлічваеце, выкарыстоўваючы матэрыял для аднаўлення, а не сеанс, які яе стварыў. Ключ, які захоўваецца толькі ў машыне, што адмовіла, — не план аднаўлення, а рэзервовая копія, для аднаўлення якой патрэбны страчаны сейф, — гэта іншы від адзінай кропкі адмовы.

Кіраўніцтва NIST па кіраванні ключамі ахоплівае пытанні жыццёвага цыклу, якія перажываюць любое асобнае прадуктовае рашэнне. Захоўвайце адказы разам з данымі, якія яны абараняюць, і пераглядайце іх, калі змяняецца копія, атрымальнік або пастаўшчык сховішча.