Còpia de seguretat del contenidor o dels seus fitxers? Decidiu per la forma de restauració

Podeu fer una còpia de seguretat d'un contenidor xifrat com un sol objecte, o bé muntar-lo i copiar-ne els fitxers de dins. Tots dos travessen la VPN sense problemes, i aquí s'acaba la semblança. Restauren coses diferents, depenen de claus diferents, costen quantitats d'espai diferents i fallen de maneres diferents quan algú necessita les dades. Trieu primer l'objecte de restauració, després el transport i després el xifratge de la còpia desada. La llista de comprovació següent segueix aquest ordre, perquè gairebé tota disputa sobre còpies de seguretat és en realitat un desacord sobre quina d'aquestes tres decisions es va prendre primer.

Dos objectes, dues formes de restauració

Una còpia d'imatge restaura un contenidor: recupereu el volum xifrat i encara necessiteu el seu material de restauració per obrir-lo. Una còpia a nivell de fitxers restaura fitxers i arbres de directoris, i el xifratge que els protegeix és una propietat del repositori de còpies, no del contenidor original. Una còpia simple en una carpeta remota és un tercer cas, i hereta la protecció que aquella carpeta tingui per casualitat.

La fila del mig és la que la gent llegeix malament. Pot ser un disseny perfectament bo: el programa de còpies llegeix text pla en local i escriu un repositori xifrat i autenticat. Llavors la seguretat depèn d'aquest programa i de les seves credencials, no de la contrasenya del contenidor original, i les dues coses no s'han de descriure com si fossin el mateix control.

Comprovació 1: què ha de reconstruir la restauració?

Feu la pregunta en forma de restauració, no de còpia. Si el requisit és “tornar aquest servei a un altre amfitrió”, una imatge amb el seu material de restauració és una resposta coherent. Si el requisit és “recuperar el full de càlcul financer del març”, restaurar una imatge de diversos gigabytes només per extreure'n un fitxer és una manera cara de respondre. Totes dues són restauracions legítimes i no són pressupostos intercanviables. Un pla que només n'anomena una aviat o tard serà provat per l'altra.

Escriviu l'objectiu de restauració al pla: el volum sencer, un arbre de directoris o fitxers individuals. Després anoteu quines metadades han de viatjar amb ells, perquè la propietat, els permisos, els atributs estesos i les marques de temps formen part d'una restauració a nivell de fitxers i sovint es perden en fluxos de treball basats en còpia que semblaven adequats durant les proves.

Decidiu també qui fa la restauració. Un repositori a nivell de fitxers que qualsevol operador pot muntar és un model d'accés diferent del d'una imatge que requereix la presència del titular de la clau, i cap dels dos no és automàticament millor. L'important és que l'elecció sigui deliberada i estigui escrita.

Comprovació 2: què protegeix la còpia desada?

La VPN protegeix un segment de transport. No diu res sobre la còpia desada un cop acaba la transferència, i “ha passat pel túnel” no és una afirmació sobre la capacitat de l'operador de còpies de llegir les vostres dades. Si el costat remot el gestiona algú altre, la pregunta és què poden llegir ells, no si l'enllaç anava xifrat.

Per a una imatge, això vol dir protegir el material de clau del contenidor per separat de la imatge mateixa. Perdre la capçalera és perdre el volum, així que feu una còpia de la capçalera en un lloc on no sigui la imatge:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Per a un repositori a nivell de fitxers, verifiqueu que l'eina xifra i autentica el contingut i les metadades abans que surtin de l'amfitrió, i esbrineu qui té les claus. La documentació de disseny de Restic és explícita que assumeix un amfitrió d'origen de confiança i que el xifratge no impedeix que algú amb accés a l'emmagatzematge esborri les còpies. Els dos advertiments importen: un repositori pot ser confidencial i tot i així ser destruït.

Comprovació 3: la còpia és coherent?

Una còpia que captura un sistema de fitxers que canvia és una còpia, no un punt de restauració. Per a una imatge, feu servir el mètode suportat de l'eina de volums per obtenir una instantània estable, que normalment vol dir una operació d'instantània o un desmuntatge en lloc de llegir un fitxer gran mentre canvia:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Per als fitxers muntats, feu servir el procediment de consistència suportat per l'aplicació per a bases de dades en viu i altres dades coordinades. Una còpia a nivell de sistema de fitxers i un punt de restauració consistent amb l'aplicació són descripcions diferents, i la diferència només es fa visible quan proveu d'iniciar l'aplicació des de la còpia restaurada.

Mantingueu el material de restauració en una ruta protegida independent. Perdre la màquina original no hauria de fer perdre mai l'única credencial que obre la seva còpia, que és exactament el que passa quan el fitxer de clau viu al volum que es copia. Proveu aquesta separació deliberadament: restaureu en un amfitrió que no hagi vist mai l'original, fent servir només el que el pla diu que hi ha disponible.

Comprovació 4: la detecció de canvis val per a aquest objecte?

Un contenidor xifrat sembla un sol fitxer gran i opac per a la majoria d'eines de transferència, així que una petita edició en text pla pot provocar una gran relectura o una pujada completa segons l'eina i el format. El tall en blocs de mida variable i la deduplicació, tal com documenta restic, ho poden reduir, però és una propietat d'aquesta eina i no dels contenidors xifrats en general.

Mesureu en lloc de suposar. Compareu una primera execució amb una segona després d'un canvi petit i inofensiu, i anoteu els bytes transferits i el temps transcorregut. Conserveu una còpia bona coneguda mentre experimenteu, perquè una prova no consumeixi el vostre únic punt de restauració.

Després acabeu la llista amb l'única prova que compta: restaurar sense la màquina original. Obriu un contenidor restaurat o restaureu fitxers seleccionats amb les seves metadades i confirmeu que l'aplicació o l'usuari pot fer servir el resultat. Una transferència ràpida i ben xifrada que no pot respondre a aquesta prova és una còpia de les vostres dades, no una còpia de seguretat.