A VPN cifra a viaxe, non a copia no disco ou na nube

Siga un ficheiro desde un portátil ata un colega: existe no disco, atravesa un túnel, aterra nun depósito na nube e cópiase nunha copia de seguridade. Só un deses treitos está cuberto pola VPN, e é o máis efémero. As outras copias seguen existindo despois de pechar o túnel, baixo o cifrado de almacenamento que os donos configuraron realmente. Saber que copia protexe que evita que un túnel que funciona se confunda cunha política de protección de datos.

Seguir un ficheiro a través de tres copias

Comece por onde repousan os bytes, despois por onde se moven e por último por onde se gardan de novo. O túnel ocupa a etapa intermedia. A cada lado, o cifrado do almacenamento, o cifrado da aplicación e o control de acceso son mecanismos distintos con custodios de chaves distintos.

Debuxe ese camiño antes de escoller nada. O debuxo adoita revelar que a copia que máis preocupa, a que está en tránsito, é a que existe menos segundos. Tamén mostra que salto non ten ninguén na sala, e normalmente é o que necesita atención.

O traballo do túnel remata no seu propio extremo

Unha VPN convencional cifra o treito entre os seus dous extremos. Máis alá do extremo afastado, o tráfico volve ser IP corrente, agás que outra cousa o protexa; por iso unha sesión do navegador pode seguir cifrada de extremo a extremo mentres o túnel só cobre o primeiro treito.

Nada nese treito di como o servizo receptor garda a subida, que escribe nos seus rexistros ou que metadatos de conta conserva. Son propiedades do sistema receptor, e seguen sendo certas tanto se a petición chegou por un túnel coma se non. Un operador que anuncia transporte cifrado describiu a viaxe, non o almacén.

O seu disco e o seu almacén de chaves son decisións separadas

O cifrado de disco completo protexe o volume cando a máquina está apagada, e depende dunha chave que o dispositivo ou o usuario fornece no arranque. O cofre dun xestor de contrasinais cifra o seu propio contido cunha chave derivada dunha credencial mestra. Activar unha VPN non fai ningunha desas dúas cousas, e non cifrará unha exportación en texto claro que xa estea nun cartafol de descargas.

As exportacións son onde isto se volve concreto. Unha exportación de cofre escrita para unha migración é un ficheiro en texto claro con todos os segredos dentro, e sobrevive ao túnel, á sesión e ao reinicio agás que alguén a elimine.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Se esa saída é texto lexible, o ficheiro non está protexido. Elimíneo en canto remate a migración, e lembre que o borrado seguro en almacenamento moderno depende do dispositivo e non é unha única orde portátil.

Que cubre realmente o cifrado do lado da nube

O cifrado do lado do servidor protexe o obxecto almacenado de quen obteña o soporte subxacente, e o provedor segue tendo chaves capaces de lelo. O cifrado do lado do cliente, no que o ficheiro se cifra antes da subida, mantén o texto claro fóra do alcance do provedor pero traslada a custodia das chaves e a recuperación a vostede.

Ningún dos dous modelos é erróneo, e responden a preguntas diferentes sobre quen debería poder ler os datos. Comprobe a configuración real do produto en lugar de supor que un implica o outro. Lea literalmente a declaración sobre custodia de chaves, incluído o que acontece cando o soporte recupera unha conta. Se o provedor pode restablecer o acceso sen a súa chave, entón o provedor pode ler o obxecto.

As copias multiplícanse en silencio. Unha ligazón compartida, un cliente de sincronización, unha caché local e unha tarefa de copia de seguridade crean cada un outro obxecto baixo unha política que quizais non escolleu. Enuméreos para os datos que importan, porque o cifrado máis forte do percorrido é irrelevante se unha copia en texto claro está nun cartafol compartido.

A proba é unha restauración, non unha velocidade de subida

A proba útil dun deseño de almacenamento é que as persoas previstas poidan recuperar os datos e as non previstas non. O caudal de subida mide algo completamente distinto, e lisonjea todo deseño que nunca se restaurou. Escolla un ficheiro de cada copia na que confíe e demostre que volve.

Restaure un ficheiro de cada copia na que confíe, usando o material de recuperación en lugar da sesión que o creou. Unha chave gardada só na máquina que fallou non é un plan de recuperación, e unha copia de seguridade cuxa restauración esixe o cofre perdido é outra forma de punto único de fallo.

As directrices de xestión de chaves do NIST cobren as cuestións do ciclo de vida que sobreviven a calquera decisión de produto. Garde as respostas xunto aos datos que protexen, e revíseas cando cambie unha copia, un destinatario ou un provedor de almacenamento.