VPN מצפין את המסע, לא את העותק בדיסק או בענן

עקבו אחרי קובץ אחד ממחשב נייד ועד לעמית: הוא קיים בדיסק, חוצה מנהרה, נוחת בדלי בענן ומועתק לגיבוי. רק אחד מהקטעים האלה מכוסה על ידי ה-VPN, והוא בעל החיים הקצרים ביותר. העותקים האחרים ממשיכים להתקיים לאחר סגירת המנהרה, תחת הצפנת האחסון שבעליהם באמת הגדירו. הידיעה איזה עותק מוגן על ידי מה מונעת טעות לחשוב שמנהרה עובדת היא מדיניות הגנת נתונים.

עקבו אחרי קובץ אחד דרך שלושה עותקים

התחילו במקום שבו הבייטים נחים, אחר כך לאן הם נעים, ולבסוף איפה הם נשמרים שוב. המנהרה נמצאת בשלב האמצעי. משני צדדיה, הצפנת אחסון, הצפנת יישומים ובקרת גישה הם מנגנונים נפרדים עם שומרי מפתחות נפרדים.

ציירו את הנתיב הזה לפני שתבחרו משהו. הציור בדרך כלל מגלה שהעותק שהכי מדאיג אנשים, זה שבתנועה, הוא זה שקיים הכי מעט שניות. הוא גם מראה לאיזה מעבר אין אחראי בחדר, ובדרך כלל זה מה שדורש תשומת לב.

העבודה של המנהרה נגמרת בנקודת הקצה שלה עצמה

VPN רגיל מצפין את הקטע בין שתי נקודות הקצה שלו. מעבר לנקודת הקצה הרחוקה, התעבורה היא שוב IP רגיל, אלא אם משהו אחר מגן עליה; לכן הפעלת דפדפן יכולה להישאר מוצפנת מקצה לקצה בזמן ש המנהרה מכסה רק את השלב הראשון.

שום דבר בקטע הזה לא אומר איך שירות הקבלה מאחסן את ההעלאה, מה הוא כותב ביומנים שלו או אילו מטא-נתוני חשבון הוא שומר. אלה תכונות של מערכת הקבלה, והן נכונות בין אם הבקשה הגיעה דרך מנהרה ובין אם לא. מפעיל שמפרסם תעבורה מוצפנת תיאר את המסע, לא את המחסן.

הדיסק שלכם ומאגר המפתחות שלכם הם החלטות נפרדות

הצפנת דיסק מלאה מגנה על הכרך כשהמכונה כבויה, והיא תלויה במפתח שהמכשיר או המשתמש מספק בעת האתחול. הכספת של מנהל סיסמאות מצפינה את תוכנה במפתח שנגזר מסוד מאסטר. הפעלת VPN לא עושה אף אחד מאלה, והיא לא תצפין ייצוא בטקסט פשוט שכבר נמצא בתיקיית הורדות.

בייצוא זה הופך לקונקרטי. ייצוא כספת שנכתב לצורך העברה הוא קובץ טקסט פשוט עם כל הסודות, והוא שורד את המנהרה, את ההפעלה ואת האתחול מחדש אלא אם מישהו מסיר אותו.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

אם הפלט הזה הוא טקסט קריא, הקובץ אינו מוגן. מחקו אותו ברגע שההעברה תסתיים, וזכרו שמחיקה בטוחה באחסון מודרני תלויה במכשיר ואינה פקודה ניידת אחת.

מה הצפנה בצד הענן באמת מכסה

הצפנה בצד השרת מגנה על האובייקט המאוחסן מפני מי שמשיג את המדיה הבסיסית, והספק עדיין מחזיק מפתחות שמסוגלים לקרוא אותו. הצפנה בצד הלקוח, שבה הקובץ מוצפן לפני ההעלאה, מרחיקה את הטקסט הפשוט מהישג ידו של הספק אך מעבירה את שמירת המפתחות ואת השחזור אליכם.

אף אחד משני המודלים אינו שגוי, והם עונים על שאלות שונות לגבי מי אמור להיות מסוגל לקרוא את הנתונים. בדקו את תצורת המוצר בפועל במקום להניח שאחד מרמז על השני. קראו את ההצהרה על שמירת מפתחות כפשוטה, כולל מה קורה כשתמיכה משחזרת חשבון. אם הספק יכול לשחזר גישה בלי המפתח שלכם, אז הספק יכול לקרוא את האובייקט.

עותקים מתרבים בשקט. קישור משותף, לקוח סנכרון, מטמון מקומי ומשימת גיבוי יוצרים כל אחד אובייקט נוסף תחת מדיניות שאולי לא בחרתם. פרטו אותם עבור הנתונים החשובים, כי ההצפנה החזקה ביותר בנתיב חסרת משמעות אם עותק טקסט פשוט יושב בתיקייה משותפת.

ההוכחה היא שחזור, לא מהירות העלאה

ההוכחה השימושית של תכנון אחסון היא שהאנשים המיועדים יכולים לשחזר את הנתונים ושאינם מיועדים לא. תפוקת ההעלאה מודדת משהו אחר לגמרי, והיא מחמיאה לכל תכנון שמעולם לא שוחזר. בחרו קובץ אחד מכל עותק שאתם סומכים עליו והוכיחו שהוא חוזר.

שחזרו קובץ אחד מכל עותק שאתם סומכים עליו, באמצעות חומר השחזור ולא באמצעות ההפעלה שיצרה אותו. מפתח שנשמר רק במכונה שנכשלה אינו תוכנית שחזור, וגיבוי שהשחזור שלו דורש את הכספת שאבדה הוא סוג אחר של נקודת כשל יחידה.

הנחיות ניהול מפתחות של NIST מכסות את שאלות מחזור החיים ששורדות כל החלטת מוצר בודדת. שמרו את התשובות יחד עם הנתונים שהם מגנים עליהם, ועיינו בהן כשעותק, נמען או ספק אחסון משתנה.