VPN მგზავრობას შიფრავს და არა დისკზე ან ღრუბელში არსებულ ასლს

თვალი ადევნეთ ერთ ფაილს ლეპტოპიდან კოლეგამდე: ის დისკზე არსებობს, გადის გვირაბს, ეშვება ღრუბლოვან საცავში და კოპირდება სარეზერვო ასლში. ამ სეგმენტებიდან მხოლოდ ერთია VPN-ით დაფარული და ეს ყველაზე ხანმოკლეა. დანარჩენი ასლები აგრძელებენ არსებობას გვირაბის დახურვის შემდეგ, იმ შენახვის შიფრაციის ქვეშ, რომელიც მათმა მფლობელებმა რეალურად დააკონფიგურირეს. იმის ცოდნა, თუ რომელი ასლი რით არის დაცული, ხელს უშლის მომუშავე გვირაბის მონაცემთა დაცვის პოლიტიკად აღქმას.

თვალი ადევნეთ ერთ ფაილს სამი ასლის გავლით

დაიწყეთ იმით, სად ისვენებს ბაიტები, შემდეგ იმით, სად მოძრაობენ, და ბოლოს იმით, სად ინახება ისინი ხელახლა. გვირაბი შუა ეტაპზეა. მის ორივე მხარეს შენახვის შიფრაცია, აპლიკაციის შიფრაცია და წვდომის კონტროლი ცალკეული მექანიზმებია ცალკეული გასაღების მცველებით.

დახაზეთ ეს გზა, სანამ რამეს აირჩევთ. ნახატი ჩვეულებრივ ავლენს, რომ ასლი, რომელზეც ყველაზე მეტად ღელავენ, ის, რომელიც გზაშია, ყველაზე ცოტა წამი არსებობს. ის ასევე აჩვენებს, რომელ გადასვლას არ ჰყავს ოთახში პასუხისმგებელი, და ჩვეულებრივ სწორედ ის საჭიროებს ყურადღებას.

გვირაბის სამუშაო მთავრდება მის საკუთარ საბოლოო წერტილში

ჩვეულებრივი VPN შიფრავს სეგმენტს თავის ორ საბოლოო წერტილს შორის. შორეული საბოლოო წერტილის მიღმა ტრაფიკი ისევ ჩვეულებრივი IP ხდება, თუ მას სხვა რამ არ იცავს; ამიტომ ბრაუზერის სესია შეიძლება დარჩეს დაშიფრული თავიდან ბოლომდე, სანამ გვირაბი მხოლოდ პირველ ეტაპს ფარავს.

ამ სეგმენტში არაფერი ამბობს, როგორ ინახავს მიმღები სერვისი ატვირთვას, რას წერს თავის ჟურნალებში ან რომელ ანგარიშის მეტამონაცემებს ინახავს. ეს მიმღები სისტემის თვისებებია და ძალაში რჩება მიუხედავად იმისა, მოვიდა თუ არა მოთხოვნა გვირაბით. ოპერატორმა, რომელიც რეკლამას უკეთებს დაშიფრულ ტრანსპორტს, აღწერა მგზავრობა და არა საწყობი.

თქვენი დისკი და თქვენი გასაღების საცავი ცალკე გადაწყვეტილებებია

მთლიანი დისკის შიფრაცია იცავს ტომს, როცა მანქანა გამორთულია, და დამოკიდებულია გასაღებზე, რომელსაც მოწყობილობა ან მომხმარებელი ჩატვირთვისას აწვდის. პაროლების მენეჯერის სეიფი შიფრავს საკუთარ შიგთავსს მთავარი საიდუმლოდან გამოყვანილი გასაღებით. VPN-ის ჩართვა არც ერთს არ აკეთებს და არც გადმოწერების საქაღალდეში უკვე არსებულ ღია ტექსტის ექსპორტს დაშიფრავს.

ექსპორტებში ეს კონკრეტული ხდება. მიგრაციისთვის დაწერილი სეიფის ექსპორტი არის ღია ტექსტის ფაილი ყველა საიდუმლოებით და ის გადარჩება გვირაბს, სესიასა და გადატვირთვას, თუ ვინმე არ ამოიღებს.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

თუ ეს გამოსავალი წაკითხვადი ტექსტია, ფაილი დაცული არ არის. წაშალეთ ის მიგრაციის დასრულებისთანავე და გახსოვდეთ, რომ თანამედროვე შენახვაზე უსაფრთხო წაშლა მოწყობილობაზეა დამოკიდებული და არ არის ერთი პორტატული ბრძანება.

რას ფარავს სინამდვილეში ღრუბლის მხარეს შიფრაცია

სერვერის მხარეს შიფრაცია იცავს შენახულ ობიექტს მისგან, ვინც ძირითად მატარებელს მოიპოვებს, და პროვაიდერს კვლავ აქვს მისი წაკითხვის უნარის მქონე გასაღებები. კლიენტის მხარეს შიფრაცია, როცა ფაილი ატვირთვამდე იშიფრება, ღია ტექსტს პროვაიდერის ხელში არ ტოვებს, მაგრამ გასაღების შენახვასა და აღდგენას თქვენზე გადააქვს.

არც ერთი მოდელი არ არის მცდარი და ისინი პასუხობენ სხვადასხვა კითხვას იმაზე, ვის უნდა შეეძლოს მონაცემების წაკითხვა. შეამოწმეთ პროდუქტის რეალური კონფიგურაცია იმის ნაცვლად, რომ ივარაუდოთ ერთის მეორით გამომდინარეობა. წაიკითხეთ გასაღების შენახვის განცხადება სიტყვასიტყვით, მათ შორის რა ხდება, როცა მხარდაჭერა ანგარიშს აღადგენს. თუ პროვაიდერს შეუძლია წვდომის აღდგენა თქვენი გასაღების გარეშე, მაშინ პროვაიდერს შეუძლია ობიექტის წაკითხვა.

ასლები ჩუმად მრავლდება. გაზიარებული ბმული, სინქრონიზაციის კლიენტი, ლოკალური ქეში და სარეზერვო კოპირების დავალება თითოეული ქმნის კიდევ ერთ ობიექტს იმ პოლიტიკის ქვეშ, რომელიც შეიძლება არ აგირჩევიათ. ჩამოთვალეთ ისინი მნიშვნელოვანი მონაცემებისთვის, რადგან გზაზე ყველაზე ძლიერი შიფრაცია უმნიშვნელოა, თუ გაზიარებულ საქაღალდეში ღია ტექსტის ასლია.

მტკიცებულება აღდგენაა და არა ატვირთვის სისწრაფე

შენახვის დიზაინის სასარგებლო მტკიცებულებაა, რომ განზრახული ადამიანები მონაცემებს აღადგენენ, ხოლო განუზრახავი — არა. ატვირთვის გამტარუნარიანობა სულ სხვა რამეს ზომავს და ეხვევა ყველა იმ დიზაინს, რომელიც არასდროს აღდგენილა. აირჩიეთ თითო ფაილი თითოეული ასლიდან, რომელსაც ეყრდნობით, და დაამტკიცეთ, რომ ის ბრუნდება.

აღადგინეთ თითო ფაილი თითოეული ასლიდან, რომელსაც ეყრდნობით, აღდგენის მასალის გამოყენებით და არა იმ სესიის, რომელმაც ის შექმნა. მხოლოდ წარუმატებელ მანქანაში შენახული გასაღები არ არის აღდგენის გეგმა, ხოლო სარეზერვო ასლი, რომლის აღდგენასაც დაკარგული სეიფი სჭირდება, ერთი წარუმატებლობის წერტილის სხვა სახეა.

NIST-ის გასაღების მართვის მითითებები მოიცავს სასიცოცხლო ციკლის კითხვებს, რომლებიც ნებისმიერ ცალკეულ პროდუქტის გადაწყვეტილებას გადააჭარბებს. შეინახეთ პასუხები მათ მიერ დაცულ მონაცემებთან ერთად და გადახედეთ მათ, როცა ასლი, მიმღები ან შენახვის პროვაიდერი იცვლება.