Un VPN chiffre le trajet, pas la copie sur le disque ni dans le cloud

Suivez un fichier d’un ordinateur portable jusqu’à un collègue : il existe sur le disque, traverse un tunnel, atterrit dans un stockage cloud et se retrouve copié dans une sauvegarde. Un seul de ces segments est couvert par le VPN, et c’est le plus éphémère. Les autres copies continuent d’exister après la fermeture du tunnel, sous le chiffrement de stockage que leurs propriétaires ont réellement configuré. Savoir quelle copie est protégée par quoi empêche de prendre un tunnel fonctionnel pour une politique de protection des données.

Suivre un fichier à travers trois copies

Commencez par où reposent les octets, puis par où ils circulent, puis par où ils sont stockés de nouveau. Le tunnel occupe l’étape intermédiaire. De part et d’autre, le chiffrement du stockage, le chiffrement applicatif et le contrôle d’accès sont des mécanismes distincts avec des dépositaires de clés distincts.

Tracez ce chemin avant de choisir quoi que ce soit. Le schéma révèle souvent que la copie qui inquiète le plus, celle en transit, est celle qui existe le moins de secondes. Il montre aussi quel saut n’a personne dans la salle pour s’en occuper, et c’est généralement celui qui demande de l’attention.

Le travail du tunnel s’arrête à son propre point de sortie

Un VPN classique chiffre le segment entre ses deux extrémités. Au-delà de l’extrémité distante, le trafic redevient du simple IP, sauf si autre chose le protège ; c’est pourquoi une session de navigateur peut rester chiffrée de bout en bout alors que le tunnel ne couvre que le premier tronçon.

Rien dans ce segment ne dit comment le service destinataire stocke le dépôt, ce qu’il écrit dans ses journaux ou quelles métadonnées de compte il conserve. Ce sont des propriétés du système destinataire, et elles restent vraies que la requête soit arrivée par un tunnel ou non. Un opérateur qui vante un transport chiffré a décrit le trajet, pas l’entrepôt.

Votre disque et votre magasin de clés sont des décisions séparées

Le chiffrement intégral du disque protège le volume lorsque la machine est éteinte, et il dépend d’une clé que l’appareil ou l’utilisateur fournit au démarrage. Le coffre d’un gestionnaire de mots de passe chiffre son propre contenu avec une clé dérivée d’un secret maître. Activer un VPN ne fait ni l’un ni l’autre, et cela ne chiffrera pas un export en clair qui se trouve déjà dans un dossier de téléchargements.

Les exports sont le point où cela devient concret. Un export de coffre rédigé pour une migration est un fichier en clair contenant tous les secrets, et il survit au tunnel, à la session et au redémarrage à moins que quelqu’un ne le supprime.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Si cette sortie est du texte lisible, le fichier n’est pas protégé. Supprimez-le dès que la migration est terminée, et rappelez-vous que l’effacement sécurisé sur un stockage moderne dépend de l’appareil et n’est pas une commande portable unique.

Ce que couvre réellement le chiffrement côté cloud

Le chiffrement côté serveur protège l’objet stocké contre quelqu’un qui obtient le support sous-jacent, et le fournisseur détient toujours des clés capables de le lire. Le chiffrement côté client, où le fichier est chiffré avant l’envoi, garde le clair hors de portée du fournisseur mais déplace la garde des clés et la récupération vers vous.

Aucun des deux modèles n’est faux, et ils répondent à des questions différentes sur qui devrait pouvoir lire les données. Vérifiez la configuration réelle du produit au lieu de supposer que l’un implique l’autre. Lisez littéralement la déclaration sur la garde des clés, y compris ce qui se passe lorsqu’un compte est récupéré par le support. Si le fournisseur peut restaurer l’accès sans votre clé, alors le fournisseur peut lire l’objet.

Les copies se multiplient en silence. Un lien partagé, un client de synchronisation, un cache local et une tâche de sauvegarde créent chacun un objet de plus sous une politique que vous n’avez peut-être pas choisie. Énumérez-les pour les données qui comptent, car le chiffrement le plus fort du parcours est sans effet si une copie en clair se trouve dans un dossier partagé.

La preuve, c’est une restauration, pas un débit d’envoi

La preuve utile d’une conception de stockage est que les personnes prévues peuvent récupérer les données et que les autres ne le peuvent pas. Le débit d’envoi mesure tout autre chose, et il flatte toute conception qui n’a jamais été restaurée. Choisissez un fichier dans chaque copie sur laquelle vous comptez et prouvez qu’il revient.

Restaurez un fichier de chaque copie sur laquelle vous comptez, en utilisant le matériel de récupération plutôt que la session qui l’a créé. Une clé détenue uniquement dans la machine défaillante n’est pas un plan de récupération, et une sauvegarde dont la restauration exige le coffre perdu est une autre forme de point de défaillance unique.

Les recommandations de gestion des clés du NIST couvrent les questions de cycle de vie qui survivent à toute décision produit. Conservez les réponses avec les données qu’elles protègent, et révisez-les lorsqu’une copie, un destinataire ou un fournisseur de stockage change.