VPN যাত্রাকে এনক্রিপ্ট করে, ডিস্ক বা ক্লাউডে থাকা কপিকে নয়

একটি ফাইল ল্যাপটপ থেকে সহকর্মীর কাছে অনুসরণ করুন: এটি ডিস্কে আছে, একটি টানেল অতিক্রম করে, ক্লাউড বাকেটে অবতরণ করে এবং ব্যাকআপে কপি হয়। এই অংশগুলোর মধ্যে কেবল একটি VPN দ্বারা আচ্ছাদিত, এবং সেটিই সবচেয়ে কমস্থায়ী। বাকি কপিগুলো টানেল বন্ধ হওয়ার পরেও থেকে যায়, সেই স্টোরেজ এনক্রিপশনের অধীনে যা তাদের মালিকেরা সত্যিই কনফিগার করেছিলেন। কোন কপি কী দিয়ে সুরক্ষিত তা জানা একটি কার্যকর টানেলকে ডেটা সুরক্ষা নীতি ভেবে ভুল করার থেকে বিরত রাখে।

একটি ফাইল তিনটি কপির মধ্য দিয়ে অনুসরণ করুন

শুরু করুন বাইটগুলো কোথায় বিশ্রাম নেয় তা দিয়ে, তারপর কোথায় চলে তা দিয়ে, এবং শেষে কোথায় আবার সংরক্ষিত হয় তা দিয়ে। টানেলটি মাঝের ধাপে রয়েছে। এর দুই পাশে স্টোরেজ এনক্রিপশন, অ্যাপ্লিকেশন এনক্রিপশন এবং অ্যাক্সেস নিয়ন্ত্রণ আলাদা প্রক্রিয়া যাদের আলাদা কী রক্ষক রয়েছে।

কিছু বাছাই করার আগে সেই পথটি আঁকুন। ছবিটি সাধারণত দেখায় যে যে কপিটি নিয়ে সবচেয়ে বেশি উদ্বেগ, অর্থাৎ পথে থাকা কপিটি, সেটিই সবচেয়ে কম সেকেন্ড টিকে থাকে। এটি এও দেখায় যে কোন লাফের ঘরে কোনো মালিক নেই, এবং সাধারণত সেটিই মনোযোগ দাবি করে।

টানেলের কাজ তার নিজের শেষ বিন্দুতেই শেষ হয়

একটি প্রচলিত VPN তার দুই শেষ বিন্দুর মধ্যবর্তী অংশটি এনক্রিপ্ট করে। দূরের শেষ বিন্দুর ওপারে ট্রাফিক আবার সাধারণ IP হয়ে যায়, যদি না অন্য কিছু সেটিকে রক্ষা করে; তাই একটি ব্রাউজার সেশন শুরু থেকে শেষ পর্যন্ত এনক্রিপ্টেড থাকতে পারে যখন টানেল কেবল প্রথম ধাপটি ঢাকে।

সেই অংশে কিছুই বলে না কীভাবে গ্রহণকারী সেবা আপলোড সংরক্ষণ করে, তার লগে কী লেখে, বা কোন অ্যাকাউন্ট মেটাডেটা রাখে। এগুলো গ্রহণকারী সিস্টেমের বৈশিষ্ট্য, এবং অনুরোধ টানেল দিয়ে এসেছে কি না তা নির্বিশেষে সত্য থাকে। এনক্রিপ্টেড পরিবহনের বিজ্ঞাপন দেওয়া অপারেটর যাত্রার বর্ণনা দিয়েছে, গুদামের নয়।

আপনার ডিস্ক এবং আপনার কী ভান্ডার আলাদা সিদ্ধান্ত

সম্পূর্ণ-ডিস্ক এনক্রিপশন মেশিন বন্ধ থাকলে ভলিউমকে রক্ষা করে, এবং এটি সেই কী-এর ওপর নির্ভর করে যা ডিভাইস বা ব্যবহারকারী বুটের সময় দেয়। পাসওয়ার্ড ম্যানেজারের ভল্ট তার নিজের বিষয়বস্তু একটি প্রধান গোপন থেকে উদ্ভূত কী দিয়ে এনক্রিপ্ট করে। VPN চালু করা এর কোনোটিই করে না, এবং ডাউনলোড ফোল্ডারে আগে থেকেই থাকা সাধারণ টেক্সট রপ্তানিকে এনক্রিপ্ট করবে না।

রপ্তানিতে এটি সুনির্দিষ্ট হয়ে ওঠে। মাইগ্রেশনের জন্য লেখা ভল্ট রপ্তানি সমস্ত গোপনীয়তাসহ একটি সাধারণ টেক্সট ফাইল, এবং এটি টানেল, সেশন ও রিবুট অতিক্রম করে যদি না কেউ এটি সরিয়ে দেয়।

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

যদি সেই আউটপুট পঠনযোগ্য টেক্সট হয়, ফাইলটি অসুরক্ষিত। মাইগ্রেশন শেষ হওয়ামাত্র এটি মুছে ফেলুন, এবং মনে রাখবেন আধুনিক স্টোরেজে নিরাপদ মোছা ডিভাইস-নির্ভর এবং একটি একক বহনযোগ্য কমান্ড নয়।

ক্লাউড-সাইড এনক্রিপশন আসলে কী ঢাকে

সার্ভার-সাইড এনক্রিপশন সংরক্ষিত অবজেক্টকে সেই ব্যক্তির থেকে রক্ষা করে যে অন্তর্নিহিত মিডিয়া পায়, এবং প্রদানকারীর কাছে এখনও এটি পড়তে সক্ষম কী থাকে। ক্লায়েন্ট-সাইড এনক্রিপশন, যেখানে ফাইল আপলোডের আগে এনক্রিপ্ট হয়, সাধারণ টেক্সটকে প্রদানকারীর নাগালের বাইরে রাখে কিন্তু কী হেফাজত ও পুনরুদ্ধার আপনার কাছে নিয়ে আসে।

দুটি মডেলের কোনোটিই ভুল নয়, এবং তারা ডেটা কে পড়তে সক্ষম হওয়া উচিত সে সম্পর্কে ভিন্ন প্রশ্নের উত্তর দেয়। একটি অন্যটিকে বোঝায় ধরে নেওয়ার বদলে প্রকৃত পণ্য কনফিগারেশন পরীক্ষা করুন। কী হেফাজতের বিবৃতিটি আক্ষরিকভাবে পড়ুন, সহায়তা যখন কোনো অ্যাকাউন্ট পুনরুদ্ধার করে তখন কী ঘটে তা সহ। যদি প্রদানকারী আপনার কী ছাড়া অ্যাক্সেস পুনরুদ্ধার করতে পারে, তবে প্রদানকারী অবজেক্টটি পড়তে পারে।

কপিগুলো চুপচাপ বাড়ে। একটি ভাগ করা লিংক, একটি সিঙ্ক ক্লায়েন্ট, একটি স্থানীয় ক্যাশে এবং একটি ব্যাকআপ কাজ প্রত্যেকে এমন একটি নীতির অধীনে আরেকটি অবজেক্ট তৈরি করে যা আপনি বেছে নেননি। যে ডেটা গুরুত্বপূর্ণ তার জন্য সেগুলো তালিকাভুক্ত করুন, কারণ পথের সবচেয়ে শক্তিশালী এনক্রিপশন অপ্রাসঙ্গিক যদি একটি ভাগ করা ফোল্ডারে সাধারণ টেক্সট কপি থাকে।

প্রমাণ হলো পুনরুদ্ধার, আপলোড গতি নয়

স্টোরেজ ডিজাইনের উপযোগী প্রমাণ হলো যে অভিপ্রেত মানুষ ডেটা পুনরুদ্ধার করতে পারে এবং অনভিপ্রেতরা পারে না। আপলোড থ্রুপুট সম্পূর্ণ অন্য কিছু মাপে, এবং এটি এমন প্রতিটি ডিজাইনের তোষামোদ করে যা কখনো পুনরুদ্ধার হয়নি। প্রতিটি কপি থেকে একটি ফাইল বেছে নিন যার ওপর আপনি নির্ভর করেন এবং প্রমাণ করুন যে এটি ফিরে আসে।

প্রতিটি কপি থেকে একটি ফাইল পুনরুদ্ধার করুন যার ওপর আপনি নির্ভর করেন, যে সেশনটি এটি তৈরি করেছিল তার বদলে পুনরুদ্ধার সামগ্রী ব্যবহার করে। কেবল ব্যর্থ মেশিনে রাখা কী পুনরুদ্ধার পরিকল্পনা নয়, এবং এমন ব্যাকআপ যার পুনরুদ্ধারের জন্য হারানো ভল্ট দরকার তা একক ব্যর্থতা বিন্দুর আরেক ধরন।

NIST-এর কী ব্যবস্থাপনা নির্দেশিকা জীবনচক্রের সেই প্রশ্নগুলো ঢাকে যা যে কোনো একক পণ্য সিদ্ধান্তের চেয়ে বেশি টেকে। উত্তরগুলো যে ডেটা তারা রক্ষা করে তার সঙ্গে রাখুন, এবং কোনো কপি, প্রাপক বা স্টোরেজ প্রদানকারী বদলালে সেগুলো পর্যালোচনা করুন।