VPN fersiferet de reis, net de kopy op skiif of yn ’e wolk

Folgje ien bestân fan in laptop nei in kollega: it bestiet op ’e skiif, stekt in tunnel oer, lânnet yn in wolkebak en wurdt nei in reservekopy kopiearre. Mar ien fan dy segminten wurdt troch de VPN dekt, en it is it koartst besteande. De oare kopyen bliuwe bestean neidat de tunnel slút, ûnder hokker opslachfersifering har eigners wier ynsteld hawwe. Witte hokker kopy troch wat beskerme wurdt, foarkomt dat in wurkjende tunnel foar in gegevensbeskermingsbelied oansjoen wurdt.

Ien bestân troch trije kopyen folgje

Begjin by wêr’t de bytes rêste, dan wêr’t se bewege, en dan wêr’t se wer bewarre wurde. De tunnel sit yn ’e middelste etappe. Oan beide kanten dêrfan binne opslachfersifering, applikaasjefersifering en tagongskontrôle aparte meganismen mei aparte kaai-behearders.

Teken dat paad foardat jo eat kieze. De tekening lit meastentiids sjen dat de kopy dêr’t de measte minsken har soargen oer meitsje, dy ûnderweis, it minst lang bestiet. Se lit ek sjen hokker hop gjin eigner yn ’e keamer hat, en dat is meastentiids dy’t oandacht nedich hat.

De taak fan de tunnel einiget by syn eigen einpunt

In konvinsjonele VPN fersiferet it segmint tusken syn twa einpunten. Foarby it fiere einpunt is it ferkear wer gewoane IP, útsein as eat oars it beskermet; dêrom kin in browser-sesje ein-oan-ein fersifere bliuwe wylst de tunnel allinnich de earste etappe dekt.

Neat oan dat segmint seit hoe’t de ûntfangende tsjinst de upload bewarret, wat se yn har logboeken skriuwt, of hokker akkountmetadata se hâldt. Dat binne eigenskippen fan it ûntfangende systeem, en se jilde oft it fersyk no troch in tunnel kaam of net. In provider dy’t fersifere ferfier advertearret, hat de reis beskreaun, net it pakhûs.

Jo skiif en jo kaai-opslach binne aparte besluten

Folsleine skiiffersifering beskermet it volume as de masine út stiet, en se hinget ôf fan in kaai dy’t it apparaat of de brûker by de opstart leveret. De kluis fan in wachtwurdbehearder fersiferet syn eigen ynhâld mei in kaai dy’t út in haadgeheim ôflaat is. In VPN oansette docht gjin fan beide dingen, en it fersiferet gjin eksport yn gewoane tekst dy’t al yn in downloadmap stiet.

By eksporten wurdt dit konkreet. In kluiseksport skreaun foar in migraasje is in bestân yn gewoane tekst mei alle geheimnissen deryn, en it oerlibbet de tunnel, de sesje en de werstart, útsein as immen it fuorthellet.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

As dy útfier lêsbere tekst is, is it bestân ûnbeskerme. Wiskje it sa gau as de migraasje klear is, en tink deroan dat feilich wiskjen op moderne opslach apparaatspesifyk is en net ien draachber kommando.

Wat fersifering oan de wolkekant eins dekt

Serverside-fersifering beskermet it bewarre objekt tsjin immen dy’t de ûnderlizzende media krijt, en de provider hâldt noch altyd kaaien wêrmei’t er it lêze kin. Kliïntside-fersifering, wêrby’t it bestân foar it uploeden fersifere wurdt, hâldt de gewoane tekst bûten berik fan de provider, mar ferpleatst kaai-behear en weromsetten nei jo.

Gjin fan beide modellen is ferkeard, en se beantwurdzje ferskillende fragen oer wa’t de gegevens lêze meie. Kontrolearje de wiere produktkonfiguraasje yn stee fan oan te nimmen dat it iene it oare ymplisearret. Lês de ferklearring oer kaai-behear letterlik, ynklusyf wat der bart as stipe in akkount weromset. As de provider tagong sûnder jo kaai weromsette kin, dan kin de provider it objekt lêze.

Kopyen fermannichfâldigje har stil. In dielde keppeling, in syngronisaasjekliïnt, in lokale cache en in reservekopy-taak meitsje elk noch in objekt ûnder in belied dat jo miskien net keazen hawwe. List se op foar de gegevens dy’t der ta dogge, want de sterkste fersifering yn it paad is irrelevant as in kopy yn gewoane tekst yn in dielde map sit.

It bewiis is in weromsetten, net in uploedsnelheid

It nuttige bewiis fan in opslachûntwerp is dat de bedoelde minsken de gegevens weromsette kinne en de net-bedoelde net. Uploeddjipset mjit eat hiel oars, en it flaait elk ûntwerp dat nea weromset is. Kies ien bestân út elke kopy dêr’t jo op fertrouwe en bewiis dat it weromkomt.

Set ien bestân werom út elke kopy dêr’t jo op fertrouwe, mei it weromsetsjenmateriaal yn stee fan de sesje dy’t it makke hat. In kaai dy’t allinnich yn ’e masine holden wurdt dy’t mislearre, is gjin weromsetsjenplan, en in reservekopy wêrfan’t it weromsetten de kluis nedich hat dy’t jo ferlern binne, is op in oare wize in inkeld flaterpunt.

De rjochtline foar kaai-behear fan NIST dekt de libbenssyklusfragen dy’t elk inkeld produktbeslút oerlibje. Bewarje de antwurden by de gegevens dy’t se beskermje, en besjoch se opnij as in kopy, in ûntfanger of in opslachprovider feroaret.