La VPN cifra el trayecto, no la copia en el disco ni en la nube

Siga un archivo desde un portátil hasta un colega: existe en el disco, cruza un túnel, aterriza en un depósito en la nube y se copia en una copia de seguridad. Solo uno de esos tramos está cubierto por la VPN, y es el más efímero. Las demás copias siguen existiendo después de cerrar el túnel, bajo el cifrado de almacenamiento que sus dueños configuraron realmente. Saber qué copia protege qué evita que un túnel que funciona se confunda con una política de protección de datos.

Seguir un archivo a través de tres copias

Empiece por dónde descansan los bytes, luego por dónde se mueven y por último por dónde se guardan de nuevo. El túnel ocupa la etapa intermedia. A cada lado, el cifrado del almacenamiento, el cifrado de la aplicación y el control de acceso son mecanismos distintos con custodios de claves distintos.

Dibuje ese camino antes de elegir nada. El dibujo suele revelar que la copia que más preocupa, la que está en tránsito, es la que existe menos segundos. También muestra qué salto no tiene a nadie en la sala, y suele ser el que necesita atención.

El trabajo del túnel termina en su propio extremo

Una VPN convencional cifra el tramo entre sus dos extremos. Más allá del extremo lejano, el tráfico vuelve a ser IP corriente, salvo que otra cosa lo proteja; por eso una sesión del navegador puede seguir cifrada de extremo a extremo mientras el túnel solo cubre el primer tramo.

Nada en ese tramo dice cómo guarda el servicio receptor la subida, qué escribe en sus registros ni qué metadatos de cuenta conserva. Son propiedades del sistema receptor, y siguen siendo ciertas tanto si la petición llegó por un túnel como si no. Un operador que anuncia transporte cifrado ha descrito el viaje, no el almacén.

Su disco y su almacén de claves son decisiones separadas

El cifrado de disco completo protege el volumen cuando el equipo está apagado, y depende de una clave que el dispositivo o el usuario aporta al arrancar. La bóveda de un gestor de contraseñas cifra su propio contenido con una clave derivada de una credencial maestra. Activar una VPN no hace ninguna de esas dos cosas, y no cifrará un export en claro que ya esté en una carpeta de descargas.

Los exports son donde esto se vuelve concreto. Un export de bóveda escrito para una migración es un archivo en claro con todos los secretos dentro, y sobrevive al túnel, a la sesión y al reinicio salvo que alguien lo elimine.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Si esa salida es texto legible, el archivo no está protegido. Bórrelo en cuanto termine la migración, y recuerde que el borrado seguro en almacenamiento moderno depende del dispositivo y no es un único comando portátil.

Qué cubre realmente el cifrado del lado de la nube

El cifrado del lado del servidor protege el objeto almacenado de quien obtenga el soporte subyacente, y el proveedor sigue teniendo claves capaces de leerlo. El cifrado del lado del cliente, en el que el archivo se cifra antes de subirlo, mantiene el texto en claro fuera del alcance del proveedor pero traslada la custodia de claves y la recuperación a usted.

Ninguno de los dos modelos es erróneo, y responden a preguntas distintas sobre quién debería poder leer los datos. Compruebe la configuración real del producto en lugar de suponer que uno implica el otro. Lea literalmente la declaración sobre custodia de claves, incluido lo que ocurre cuando el soporte recupera una cuenta. Si el proveedor puede restablecer el acceso sin su clave, entonces el proveedor puede leer el objeto.

Las copias se multiplican en silencio. Un enlace compartido, un cliente de sincronización, una caché local y una tarea de copia de seguridad crean cada uno otro objeto bajo una política que quizá no eligió. Enumérelos para los datos que importan, porque el cifrado más fuerte del recorrido es irrelevante si una copia en claro está en una carpeta compartida.

La prueba es una restauración, no una velocidad de subida

La prueba útil de un diseño de almacenamiento es que las personas previstas puedan recuperar los datos y las no previstas no. El rendimiento de subida mide algo completamente distinto, y halaga todo diseño que nunca se restauró. Elija un archivo de cada copia en la que confíe y demuestre que vuelve.

Restaure un archivo de cada copia en la que confíe, usando el material de recuperación en lugar de la sesión que lo creó. Una clave guardada solo en la máquina que falló no es un plan de recuperación, y una copia de seguridad cuya restauración exige la bóveda perdida es otra forma de punto único de fallo.

Las directrices de gestión de claves del NIST cubren las cuestiones del ciclo de vida que sobreviven a cualquier decisión de producto. Guarde las respuestas junto a los datos que protegen y revíselas cuando cambie una copia, un destinatario o un proveedor de almacenamiento.