Container oder seine Dateien sichern? Entscheidend ist die Form der Wiederherstellung

Sie können einen verschlüsselten Container als ein Objekt sichern oder ihn einbinden und die darin liegenden Dateien sichern. Beides kommt problemlos durch das VPN, und dort endet die Ähnlichkeit. Sie stellen unterschiedliche Dinge wieder her, hängen von unterschiedlichen Schlüsseln ab, kosten unterschiedlich viel Speicherplatz und scheitern auf unterschiedliche Weise, wenn jemand die Daten zurückbraucht. Wählen Sie zuerst das Wiederherstellungsobjekt, dann den Transport, dann die Verschlüsselung der gespeicherten Kopie. Die Checkliste unten folgt dieser Reihenfolge, weil fast jeder Streit über Sicherungen in Wahrheit ein Streit darüber ist, welche dieser drei Entscheidungen zuerst getroffen wurde.

Zwei Objekte, zwei Formen der Wiederherstellung

Eine Image-Sicherung stellt einen Container wieder her: Sie bekommen das verschlüsselte Volume zurück und brauchen weiterhin dessen Wiederherstellungsmaterial, um es zu öffnen. Eine dateibasierte Sicherung stellt Dateien und Verzeichnisbäume wieder her, und welcher Verschlüsselung sie schützt, ist eine Eigenschaft des Sicherungsdepots und nicht des ursprünglichen Containers. Eine einfache Kopie in einen entfernten Ordner ist ein dritter Fall, und sie erbt den Schutz, den dieser Ordner zufällig hat.

Die mittlere Zeile ist die, die Menschen falsch lesen. Sie kann ein völlig gutes Design sein: Das Sicherungsprogramm liest Klartext lokal und schreibt ein verschlüsseltes, authentifiziertes Depot. Seine Sicherheit ruht dann auf diesem Programm und seinen Anmeldedaten, nicht auf dem Passwort des ursprünglichen Containers, und beides sollte nicht so beschrieben werden, als sei es dieselbe Kontrolle.

Prüfung 1: Was muss die Wiederherstellung rekonstruieren?

Stellen Sie die Frage in Form einer Wiederherstellung, nicht einer Sicherung. Wenn die Anforderung lautet „diesen Dienst auf einem anderen Host zurückbringen“, ist ein Image samt Wiederherstellungsmaterial eine stimmige Antwort. Wenn die Anforderung lautet „die Finanztabelle von März zurückholen“, ist es teuer, ein mehrere Gigabyte großes Image wiederherzustellen, um eine Datei zu entnehmen. Beides sind legitime Wiederherstellungen und keine austauschbaren Budgets. Ein Plan, der nur eine davon nennt, wird früher oder später an der anderen gemessen.

Schreiben Sie das Wiederherstellungsziel in den Plan: ganzes Volume, einen Verzeichnisbaum oder einzelne Dateien. Notieren Sie dann, welche Metadaten mitreisen müssen, denn Eigentümerschaft, Berechtigungen, erweiterte Attribute und Zeitstempel gehören zu einer dateibasierten Wiederherstellung und gehen in kopierbasierten Abläufen, die im Test ausreichend wirkten, häufig verloren.

Entscheiden Sie auch, wer die Wiederherstellung durchführt. Ein dateibasiertes Depot, das jeder Operator einbinden kann, ist ein anderes Zugriffsmodell als ein Image, das die Anwesenheit des Schlüsselinhabers verlangt, und keines ist automatisch besser. Wichtig ist, dass die Wahl bewusst getroffen und schriftlich festgehalten wird.

Prüfung 2: Was schützt die gespeicherte Kopie?

Das VPN schützt einen Transportabschnitt. Über die gespeicherte Kopie sagt es nichts, sobald die Übertragung beendet ist, und „es lief durch den Tunnel“ ist keine Aussage über die Fähigkeit des Sicherungsbetreibers, Ihre Daten zu lesen. Wird die Gegenseite von jemand anderem betrieben, ist die Frage, was diese lesen können, nicht ob die Verbindung verschlüsselt war.

Bei einem Image heißt das, das Schlüsselmaterial des Containers getrennt vom Image selbst zu schützen. Wer den Header verliert, verliert das Volume, also sichern Sie den Header an einem Ort, an dem das Image nicht ist:

cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20

Bei einem dateibasierten Depot prüfen Sie, ob das Werkzeug Inhalte und Metadaten verschlüsselt und authentifiziert, bevor sie den Host verlassen, und finden Sie heraus, wer die Schlüssel hält. Restics Designdokumentation ist eindeutig, dass es einen vertrauenswürdigen Quellhost voraussetzt und dass Verschlüsselung nicht verhindert, dass jemand mit Speicherzugriff Sicherungen löscht. Beide Vorbehalte sind wichtig: Ein Depot kann vertraulich und trotzdem zerstört werden.

Prüfung 3: Ist die Kopie konsistent?

Eine Sicherung, die ein sich änderndes Dateisystem erfasst, ist eine Kopie, kein Wiederherstellungspunkt. Nutzen Sie bei einem Image die unterstützte Methode des Volume-Werkzeugs für einen stabilen Snapshot, was meist einen Snapshot-Vorgang oder ein Aushängen bedeutet statt eine große Datei zu lesen, während sie sich ändert:

lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonly

Nutzen Sie bei eingebundenen Dateien das unterstützte Konsistenzverfahren der Anwendung für laufende Datenbanken und andere koordinierte Daten. Eine Kopie auf Dateisystemebene und ein anwendungskonsistenter Wiederherstellungspunkt sind unterschiedliche Beschreibungen, und der Unterschied wird erst sichtbar, wenn Sie versuchen, die Anwendung aus der wiederhergestellten Kopie zu starten.

Halten Sie das Wiederherstellungsmaterial auf einem unabhängigen geschützten Weg. Der Verlust des Originalrechners darf nie auch die einzigen Anmeldedaten kosten, die seine Sicherung öffnen, und genau das passiert, wenn die Schlüsseldatei auf dem Volume liegt, das gesichert wird. Testen Sie diese Trennung bewusst: Stellen Sie auf einem Host wieder her, der das Original nie gesehen hat, und nutzen Sie nur, was der Plan als verfügbar nennt.

Prüfung 4: Trägt die Änderungserkennung für dieses Objekt?

Ein verschlüsselter Container erscheint den meisten Übertragungswerkzeugen als eine große undurchsichtige Datei, daher kann eine kleine Klartextänderung je nach Werkzeug und Format ein großes erneutes Lesen oder ein vollständiges erneutes Hochladen auslösen. Blockbildung variabler Größe und Deduplizierung, wie restic sie dokumentiert, können das verringern, aber das ist eine Eigenschaft jenes Werkzeugs und nicht verschlüsselter Container allgemein.

Messen Sie, statt anzunehmen. Vergleichen Sie einen ersten Lauf mit einem zweiten nach einer kleinen, harmlosen Änderung, und halten Sie übertragene Bytes sowie verstrichene Zeit fest. Bewahren Sie während des Experiments eine bekannt gute Sicherung auf, damit ein Test nicht Ihren einzigen Wiederherstellungspunkt verbraucht.

Beenden Sie die Checkliste dann mit dem einzigen Test, der zählt: Wiederherstellung ohne den Originalrechner. Öffnen Sie einen wiederhergestellten Container oder stellen Sie ausgewählte Dateien mit ihren Metadaten wieder her, und bestätigen Sie, dass die Anwendung oder der Nutzer das Ergebnis verwenden kann. Eine schnelle, gut verschlüsselte Übertragung, die diesen Test nicht besteht, ist eine Kopie Ihrer Daten, keine Sicherung davon.