La VPN xifra el trajecte, no la còpia al disc ni al núvol

Seguiu un fitxer des d’un portàtil fins a un col·lega: existeix al disc, travessa un túnel, aterra en un dipòsit al núvol i es copia en una còpia de seguretat. Només un d’aquests trams està cobert per la VPN, i és el més efímer. Les altres còpies continuen existint després que es tanqui el túnel, sota el xifratge d’emmagatzematge que els propietaris van configurar realment. Saber quina còpia protegeix què evita que un túnel que funciona es confongui amb una política de protecció de dades.

Seguir un fitxer a través de tres còpies

Comenceu per on descansen els bytes, després per on es mouen i finalment per on es tornen a desar. El túnel ocupa l’etapa intermèdia. A banda i banda, el xifratge de l’emmagatzematge, el xifratge de l’aplicació i el control d’accés són mecanismes diferents amb dipositaris de claus diferents.

Dibuixeu aquest camí abans de triar res. El dibuix sol revelar que la còpia que més preocupa, la que està en trànsit, és la que existeix menys segons. També mostra quin salt no té ningú a la sala, i normalment és el que necessita atenció.

La feina del túnel acaba al seu propi extrem

Una VPN convencional xifra el tram entre els seus dos extrems. Més enllà de l’extrem llunyà, el trànsit torna a ser IP corrent, tret que una altra cosa el protegeixi; per això una sessió del navegador pot romandre xifrada d’un extrem a l’altre mentre el túnel només cobreix el primer tram.

Res d’aquest tram no diu com el servei receptor desa la pujada, què escriu als seus registres o quines metadades de compte conserva. Són propietats del sistema receptor, i continuen sent certes tant si la petició va arribar per un túnel com si no. Un operador que anuncia transport xifrat ha descrit el viatge, no el magatzem.

El vostre disc i el vostre magatzem de claus són decisions separades

El xifratge de disc complet protegeix el volum quan la màquina està apagada, i depèn d’una clau que el dispositiu o l’usuari proporciona en arrencar. La caixa d’un gestor de contrasenyes xifra el seu propi contingut amb una clau derivada d’una credencial mestra. Activar una VPN no fa cap de les dues coses, i no xifrarà una exportació en text pla que ja sigui en una carpeta de baixades.

Les exportacions són on això es torna concret. Una exportació de caixa escrita per a una migració és un fitxer en text pla amb tots els secrets a dins, i sobreviu al túnel, a la sessió i al reinici tret que algú la elimini.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Si aquesta sortida és text llegible, el fitxer no està protegit. Suprimiu-lo tan bon punt la migració acabi, i recordeu que l’esborrat segur en emmagatzematge modern depèn del dispositiu i no és una única ordre portàtil.

Què cobreix realment el xifratge del costat del núvol

El xifratge del costat del servidor protegeix l’objecte desat de qui obtingui el suport subjacent, i el proveïdor encara té claus capaces de llegir-lo. El xifratge del costat del client, en què el fitxer es xifra abans de la pujada, manté el text pla fora de l’abast del proveïdor però trasllada la custòdia de les claus i la recuperació a vosaltres.

Cap dels dos models no és erroni, i responen a preguntes diferents sobre qui hauria de poder llegir les dades. Comproveu la configuració real del producte en lloc de suposar que un implica l’altre. Llegiu literalment la declaració sobre custòdia de claus, inclòs què passa quan el suport recupera un compte. Si el proveïdor pot restablir l’accés sense la vostra clau, aleshores el proveïdor pot llegir l’objecte.

Les còpies es multipliquen en silenci. Un enllaç compartit, un client de sincronització, una memòria cau local i una tasca de còpia de seguretat creen cadascun un altre objecte sota una política que potser no vau triar. Enumerou-los per a les dades que importen, perquè el xifratge més fort del recorregut és irrellevant si una còpia en text pla és en una carpeta compartida.

La prova és una restauració, no una velocitat de pujada

La prova útil d’un disseny d’emmagatzematge és que les persones previstes puguin recuperar les dades i les no previstes no. El cabal de pujada mesura una cosa completament diferent, i afalaga qualsevol disseny que mai no s’hagi restaurat. Trieu un fitxer de cada còpia en què confieu i demostreu que torna.

Restaureu un fitxer de cada còpia en què confieu, fent servir el material de recuperació en lloc de la sessió que el va crear. Una clau desada només a la màquina que va fallar no és un pla de recuperació, i una còpia de seguretat la restauració de la qual exigeix la caixa perduda és una altra mena de punt únic de fallada.

Les directrius de gestió de claus del NIST cobreixen les qüestions del cicle de vida que sobreviuen a qualsevol decisió de producte. Guardeu les respostes amb les dades que protegeixen, i reviseu-les quan canviï una còpia, un destinatari o un proveïdor d’emmagatzematge.