VPN سفر را رمزنگاری می‌کند، نه نسخه روی دیسک یا در ابر
یک تونل از یک بخش از یک انتقال محافظت می‌کند. حجم‌های دیسک، گاوصندوق‌های رمز عبور و نسخه‌های ابری هر یک به رمزنگاری خود و مدیریت کلید خود نیاز دارند.
یک فایل را از لپ‌تاپ تا همکار دنبال کنید: روی دیسک وجود دارد، از تونل می‌گذرد، در سطلی در ابر فرود می‌آید و در یک نسخه پشتیبان کپی می‌شود. تنها یکی از این بخش‌ها توسط VPN پوشش داده می‌شود و همان کوتاه‌عمرترین است. نسخه‌های دیگر پس از بسته شدن تونل باقی می‌مانند، زیر رمزنگاری ذخیره‌سازی‌ای که صاحبانشان واقعاً پیکربندی کرده‌اند. دانستن اینکه کدام نسخه با چه چیزی محافظت می‌شود مانع از آن می‌شود که یک تونل کارآمد با یک سیاست حفاظت از داده اشتباه گرفته شود.
یک فایل را در سه نسخه دنبال کنید
از جایی شروع کنید که بایت‌ها در آن استراحت می‌کنند، سپس از جایی که جابه‌جا می‌شوند، و در پایان از جایی که دوباره ذخیره می‌شوند. تونل در مرحله میانی قرار دارد. در دو طرف آن، رمزنگاری ذخیره‌سازی، رمزنگاری برنامه و کنترل دسترسی سازوکارهای جداگانه‌ای با نگهبانان کلید جداگانه هستند.
پیش از انتخاب هر چیزی آن مسیر را رسم کنید. رسم معمولاً نشان می‌دهد نسخه‌ای که بیشتر مردم نگرانش هستند، همان نسخه در راه، کمترین ثانیه را وجود دارد. همچنین نشان می‌دهد کدام پرش در اتاق مسئول ندارد، و معمولاً همان است که به توجه نیاز دارد.
کار تونل در نقطه پایانی خودش تمام می‌شود
یک VPN متعارف بخش میان دو نقطه پایانی خود را رمزنگاری می‌کند. آن‌سوی نقطه پایانی دور، ترافیک دوباره IP معمولی است، مگر اینکه چیز دیگری از آن محافظت کند؛ به همین دلیل یک نشست مرورگر می‌تواند از ابتدا تا انتها رمزنگاری‌شده بماند در حالی که تونل تنها مرحله اول را پوشش می‌دهد.
هیچ چیز در آن بخش نمی‌گوید سرویس گیرنده بارگذاری را چگونه ذخیره می‌کند، چه چیزی در گزارش‌هایش می‌نویسد یا کدام فراداده حساب را نگه می‌دارد. اینها ویژگی‌های سیستم گیرنده‌اند و مستقل از اینکه درخواست از تونل آمده باشد یا نه معتبرند. اپراتوری که انتقال رمزنگاری‌شده را تبلیغ می‌کند سفر را توصیف کرده است، نه انبار را.
دیسک شما و مخزن کلید شما تصمیم‌های جداگانه‌اند
رمزنگاری کامل دیسک، حجم را هنگامی که دستگاه خاموش است محافظت می‌کند و به کلیدی وابسته است که دستگاه یا کاربر هنگام راه‌اندازی فراهم می‌کند. گاوصندوق یک مدیر رمز عبور محتوای خود را با کلیدی مشتق‌شده از یک راز اصلی رمزنگاری می‌کند. روشن کردن VPN هیچ‌یک را انجام نمی‌دهد و یک خروجی متن ساده را که از قبل در پوشه دانلودها هست رمزنگاری نمی‌کند.
در خروجی‌ها این امر ملموس می‌شود. خروجی گاوصندوقی که برای مهاجرت نوشته شده یک فایل متن ساده با همه رازها در آن است و از تونل، نشست و راه‌اندازی دوباره جان سالم به در می‌برد مگر کسی آن را حذف کند.
file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.jsonاگر آن خروجی متن خوانا باشد، فایل محافظت‌نشده است. به‌محض پایان مهاجرت آن را حذف کنید و به یاد داشته باشید که پاک‌سازی امن روی حافظه‌های نوین به دستگاه بستگی دارد و یک فرمان قابل‌حمل واحد نیست.
رمزنگاری سمت ابر در واقع چه چیزی را پوشش می‌دهد
رمزنگاری سمت سرور از شیء ذخیره‌شده در برابر کسی که رسانه زیرین را به دست می‌آورد محافظت می‌کند و ارائه‌دهنده هنوز کلیدهایی دارد که می‌تواند آن را بخواند. رمزنگاری سمت مشتری، که در آن فایل پیش از بارگذاری رمزنگاری می‌شود، متن ساده را از دسترس ارائه‌دهنده بیرون نگه می‌دارد اما نگهداری کلید و بازیابی را به شما منتقل می‌کند.
هیچ‌یک از دو مدل نادرست نیست و آنها به پرسش‌های متفاوتی درباره اینکه چه کسی باید بتواند داده‌ها را بخواند پاسخ می‌دهند. پیکربندی واقعی محصول را بررسی کنید نه اینکه فرض کنید یکی دیگری را ایجاب می‌کند. بیانیه نگهداری کلید را تحت‌اللفظی بخوانید، از جمله اینکه وقتی پشتیبانی حسابی را بازیابی می‌کند چه رخ می‌دهد. اگر ارائه‌دهنده بتواند دسترسی را بدون کلید شما بازیابی کند، پس ارائه‌دهنده می‌تواند شیء را بخواند.
نسخه‌ها بی‌صدا زیاد می‌شوند. یک پیوند اشتراکی، یک کلاینت همگام‌سازی، یک حافظه محلی و یک کار نسخه پشتیبان هر یک شیء دیگری زیر سیاستی می‌سازند که شاید آن را انتخاب نکرده باشید. آنها را برای داده‌های مهم برشمارید، زیرا قوی‌ترین رمزنگاری در مسیر بی‌اهمیت است اگر نسخه‌ای متن ساده در پوشه‌ای اشتراکی باشد.
اثبات، بازیابی است نه سرعت بارگذاری
اثبات سودمند یک طرح ذخیره‌سازی این است که افراد مورد نظر می‌توانند داده‌ها را بازیابی کنند و افراد ناخواسته نمی‌توانند. توان عبوری بارگذاری چیزی کاملاً دیگر را می‌سنجد و به هر طرحی که هرگز بازیابی نشده چاپلوسی می‌کند. از هر نسخه‌ای که به آن تکیه دارید یک فایل انتخاب کنید و اثبات کنید که بازمی‌گردد.
یک فایل از هر نسخه‌ای که به آن تکیه دارید را بازیابی کنید، با استفاده از مواد بازیابی نه نشستی که آن را ساخته است. کلیدی که فقط در دستگاهی که از کار افتاده نگهداری می‌شود طرح بازیابی نیست، و نسخه پشتیبانی که بازیابی‌اش گاوصندوق ازدست‌رفته را می‌طلبد نوع دیگری از نقطه شکست واحد است.
راهنمای مدیریت کلید مؤسسه NIST پرسش‌های چرخه عمر را پوشش می‌دهد که از هر تصمیم منفرد محصول عمر بیشتری دارند. پاسخ‌ها را همراه داده‌هایی که محافظت می‌کنند نگه دارید و هنگامی که نسخه، گیرنده یا ارائه‌دهنده ذخیره‌سازی تغییر می‌کند آنها را بازبینی کنید.