VPN шифрира пътуването, а не копието на диска или в облака

Проследете един файл от лаптопа до колега: той съществува на диска, преминава през тунел, попада в облачно хранилище и се копира в резервно копие. Само един от тези участъци е покрит от VPN и той е най-краткотрайният. Останалите копия продължават да съществуват след затварянето на тунела, под онова шифриране на хранилището, което собствениците им действително са настроили. Знанието кое копие от какво е защитено не позволява работещ тунел да бъде сбъркан с политика за защита на данните.

Проследете един файл през три копия

Започнете с това къде почиват байтовете, после с това накъде се движат и накрая с това къде се съхраняват отново. Тунелът заема междинния етап. От двете му страни шифрирането на хранилището, шифрирането на приложението и контролът на достъпа са отделни механизми с отделни пазители на ключове.

Начертайте този път, преди да изберете нещо. Чертежът обикновено показва, че копието, за което повечето хора се тревожат, това по пътя, съществува най-малко секунди. Той също показва при кой преход няма отговорник в стаята и обикновено това е онзи, който се нуждае от внимание.

Работата на тунела завършва в неговата собствена крайна точка

Обикновеният VPN шифрира участъка между двете си крайни точки. Отвъд далечната крайна точка трафикът отново е обикновен IP, освен ако нещо друго не го защитава; затова сесия на браузъра може да остане шифрирана от край до край, докато тунелът покрива само първия отсек.

Нищо в този участък не казва как приемащата услуга съхранява качването, какво записва в дневниците си и какви метаданни на акаунта пази. Това са свойства на приемащата система и те остават верни независимо дали заявката е пристигнала през тунел. Оператор, който рекламира шифриран транспорт, е описал пътуването, а не склада.

Вашият диск и вашето хранилище за ключове са отделни решения

Шифрирането на целия диск защитава тома, когато машината е изключена, и зависи от ключ, който устройството или потребителят предоставя при зареждане. Хранилището на мениджър за пароли шифрира собственото си съдържание с ключ, извлечен от главна тайна. Включването на VPN не прави нито едно от двете и няма да шифрира експорт в открит текст, който вече е в папка за изтегляния.

При експортите това става конкретно. Експорт на хранилище, направен за миграция, е файл в открит текст с всички тайни и преживява тунела, сесията и рестартирането, освен ако някой не го премахне.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Ако този изход е четим текст, файлът не е защитен. Изтрийте го веднага щом миграцията приключи, и помнете, че сигурното изтриване на съвременни носители зависи от устройството и не е една преносима команда.

Какво всъщност покрива шифрирането от страна на облака

Сървърното шифриране защитава съхранения обект от някого, който получи базовия носител, а доставчикът все още държи ключове, способни да го прочетат. Клиентското шифриране, при което файлът се шифрира преди качването, държи открития текст извън обсега на доставчика, но премества съхранението на ключовете и възстановяването при вас.

Нито един от двата модела не е грешен и те отговарят на различни въпроси за това кой трябва да може да чете данните. Проверявайте действителната конфигурация на продукта, вместо да предполагате, че едното означава другото. Четете буквално изявлението за съхранение на ключове, включително какво се случва, когато поддръжката възстанови акаунт. Ако доставчикът може да възстанови достъп без вашия ключ, значи доставчикът може да прочете обекта.

Копията се размножават тихо. Споделена връзка, клиент за синхронизация, локален кеш и задача за резервно копие създават всяко още един обект по политика, която може би не сте избрали. Избройте ги за данните, които имат значение, защото най-силното шифриране по пътя е без значение, ако копие в открит текст лежи в споделена папка.

Доказателството е възстановяване, а не скорост на качване

Полезното доказателство за схема за съхранение е, че предвидените хора могат да възстановят данните, а непредвидените не могат. Пропускливостта на качването измерва нещо съвсем друго и ласкае всяка схема, която никога не е била възстановявана. Изберете по един файл от всяко копие, на което разчитате, и докажете, че се връща.

Възстановете по един файл от всяко копие, на което разчитате, като използвате материала за възстановяване, а не сесията, която го е създала. Ключ, пазен само в машината, която се е повредила, не е план за възстановяване, а резервно копие, чието възстановяване изисква изгубеното хранилище, е друг вид единна точка на отказ.

Насоките на NIST за управление на ключове обхващат въпросите на жизнения цикъл, които надживяват всяко отделно продуктово решение. Пазете отговорите заедно с данните, които защитават, и ги преглеждайте, когато копие, получател или доставчик на хранилище се промени.