La VPN cifra il viaggio, non la copia su disco o nel cloud

Segui un file da un portatile a un collega: esiste sul disco, attraversa un tunnel, finisce in un contenitore cloud e viene copiato in un backup. Solo uno di questi segmenti è coperto dalla VPN, ed è quello che vive meno. Le altre copie continuano a esistere dopo la chiusura del tunnel, con la cifratura di archiviazione che i proprietari hanno effettivamente configurato. Sapere quale copia è protetta da cosa impedisce di scambiare un tunnel funzionante per una politica di protezione dei dati.

Seguire un file attraverso tre copie

Parti da dove riposano i byte, poi da dove si spostano, infine da dove vengono archiviati di nuovo. Il tunnel occupa lo stadio intermedio. Da entrambi i lati, la cifratura dell’archiviazione, la cifratura applicativa e il controllo degli accessi sono meccanismi distinti con custodi delle chiavi distinti.

Disegna quel percorso prima di scegliere qualsiasi cosa. Il disegno rivela di solito che la copia che preoccupa di più, quella in transito, è quella che esiste per meno secondi. Mostra anche quale salto non ha nessuno nella stanza, e di solito è quello che richiede attenzione.

Il lavoro del tunnel finisce al proprio punto di uscita

Una VPN convenzionale cifra il segmento tra i suoi due estremi. Oltre l’estremo lontano, il traffico torna a essere IP ordinario, a meno che qualcos’altro non lo protegga; per questo una sessione del browser può restare cifrata da un capo all’altro mentre il tunnel copre solo la prima tratta.

Niente in quel segmento dice come il servizio ricevente archivia il caricamento, cosa scrive nei propri registri o quali metadati dell’account conserva. Sono proprietà del sistema ricevente, e restano vere sia che la richiesta sia arrivata da un tunnel sia che no. Un operatore che pubblicizza un trasporto cifrato ha descritto il viaggio, non il magazzino.

Il disco e il portachiavi sono decisioni separate

La cifratura dell’intero disco protegge il volume quando la macchina è spenta, e dipende da una chiave che il dispositivo o l’utente fornisce all’avvio. La cassaforte di un gestore di password cifra il proprio contenuto con una chiave derivata da una credenziale principale. Attivare una VPN non fa nessuna delle due cose, e non cifrerà un export in chiaro che si trova già in una cartella dei download.

Gli export sono il punto in cui questo diventa concreto. Un export della cassaforte scritto per una migrazione è un file in chiaro con tutti i segreti dentro, e sopravvive al tunnel, alla sessione e al riavvio a meno che qualcuno non lo rimuova.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Se quell’output è testo leggibile, il file non è protetto. Eliminalo appena la migrazione è finita, e ricorda che la cancellazione sicura su archiviazione moderna dipende dal dispositivo e non è un unico comando portatile.

Che cosa copre davvero la cifratura lato cloud

La cifratura lato server protegge l’oggetto archiviato da chi ottiene il supporto sottostante, e il fornitore detiene ancora chiavi in grado di leggerlo. La cifratura lato client, in cui il file viene cifrato prima del caricamento, tiene il testo in chiaro fuori dalla portata del fornitore ma sposta la custodia delle chiavi e il ripristino su di te.

Nessuno dei due modelli è sbagliato, e rispondono a domande diverse su chi dovrebbe poter leggere i dati. Controlla la configurazione reale del prodotto invece di presumere che l’uno implichi l’altro. Leggi alla lettera la dichiarazione sulla custodia delle chiavi, compreso cosa succede quando l’assistenza recupera un account. Se il fornitore può ripristinare l’accesso senza la tua chiave, allora il fornitore può leggere l’oggetto.

Le copie si moltiplicano in silenzio. Un link condiviso, un client di sincronizzazione, una cache locale e un processo di backup creano ciascuno un altro oggetto sotto una politica che forse non hai scelto. Elencali per i dati che contano, perché la cifratura più forte del percorso è irrilevante se una copia in chiaro si trova in una cartella condivisa.

La prova è un ripristino, non una velocità di caricamento

La prova utile di un progetto di archiviazione è che le persone previste possano recuperare i dati e quelle non previste no. La velocità di caricamento misura qualcosa di completamente diverso, e lusinga ogni progetto che non è mai stato ripristinato. Scegli un file da ogni copia su cui conti e dimostra che torna.

Ripristina un file da ogni copia su cui conti, usando il materiale di ripristino invece della sessione che l’ha creato. Una chiave tenuta solo nella macchina che si è guastata non è un piano di ripristino, e un backup il cui ripristino richiede la cassaforte perduta è un altro tipo di singolo punto di guasto.

Le linee guida sulla gestione delle chiavi del NIST coprono le questioni del ciclo di vita che sopravvivono a qualsiasi singola decisione di prodotto. Conserva le risposte insieme ai dati che proteggono, e riesaminale quando cambiano una copia, un destinatario o un fornitore di archiviazione.