Контейнерди же анын файлдарын камдыктоо керекпи? Калыбына келтирүү формасы боюнча чечиңиз
Сүрөт жана файл деңгээлиндеги камдык көчүрмөлөр ар башка нерселерди калыбына келтирет жана ар башка ачкычтарга көз каранды. Сакталган объектини сизге чындап керектүү калыбына келтирүүгө ылайыктаңыз.
Шифрленген контейнерди бир объект катары камдыктоого болот, же аны тоташтырып, ичиндеги файлдарды камдыктоого болот. Экөө тең VPN аркылуу тоскоолдуксуз өтөт, окшоштук ушуну менен бүтөт. Алар ар башка нерселерди калыбына келтирет, ар башка ачкычтарга көз каранды, ар башка орун ээлейт жана бирөөгө маалымат кайра керек болгондо ар башкача ишке ашпай калат. Адегенде калыбына келтирүү объектисин, анан ташууну, анан сакталган көчүрмөнүн шифрлөөсүн тандаңыз. Төмөнкү текшерүү тизмеси ушундай тартипте жүрөт, анткени камдык көчүрмө тууралуу дээрлик ар бир талаш чындыгында ушул үчөөнүн кайсынысы биринчи чечилгени тууралуу пикир келишпестик.
Эки объект, эки калыбына келтирүү формасы
Сүрөт деңгээлиндеги көчүрмө контейнерди калыбына келтирет: шифрленген томду кайра аласыз, аны ачуу үчүн дагы эле анын калыбына келтирүү материалы керек. Файл деңгээлиндеги көчүрмө файлдарды жана каталог дарактарын калыбына келтирет, ал эми аларды коргогон шифрлөө камдык көчүрмө кампасынын касиети, баштапкы контейнердин эмес. Алыскы папкага жөнөкөй көчүрмө үчүнчү учур, ал ошол папканын кокустан бар коргоосун мураска алат.
| Object | What a restore gives you | Where the encryption question lands |
|---|---|---|
| Encrypted container image | The volume, still locked | The container format and its recovery key material |
| Mounted files into a backup tool | Selected files and metadata | The backup repositorys own keys and design |
| Plain copy to a remote folder | Whatever the copy process kept | Whatever protects that storage afterwards |
Ортоңку сапты адамдар туура эмес окушат. Бул таптакыр жакшы долбоор болушу мүмкүн: камдык көчүрмө программасы ачык текстти жергиликтүү окуп, шифрленген, аутентификацияланган кампа жазат. Ошондо коопсуздук ошол программага жана анын эсептик маалыматтарына таянат, баштапкы контейнердин сырсөзүнө эмес, жана экөөнү бир көзөмөл катары сүрөттөөгө болбойт.
Текшерүү 1: калыбына келтирүү эмнени кайра курушу керек?
Суроону камдык көчүрмө эмес, калыбына келтирүү формасында бериңиз. Эгер талап «бул кызматты башка хостко кайтаруу» болсо, сүрөт жана анын калыбына келтирүү материалы — ырааттуу жооп. Эгер талап «март айындагы каржы таблицасын кайтаруу» болсо, бир файлды алуу үчүн бир нече гигабайттык сүрөттү калыбына келтирүү — кымбат жооп. Экөө тең мыйзамдуу калыбына келтирүү, алар бири-бирин алмаштыра турган бюджеттер эмес. Бирөөнү гана атаган план эртеби-кечпи экинчиси менен текшерилет.
Калыбына келтирүү максатын планга жазыңыз: бүтүндөй том, каталог дарагы же жеке файлдар. Анан алар менен кандай метаберилиштер жүрүшү керектигин белгилеңиз, анткени ээлик, укуктар, кеңейтилген атрибуттар жана убакыт белгилери файл деңгээлиндеги калыбына келтирүүнүн бөлүгү жана сыноо учурунда жетиштүү көрүнгөн көчүрүүгө негизделген иш агымдарында көп жоголот.
Калыбына келтирүүнү ким жасаарын да чечиңиз. Каалаган оператор тоташтыра ала турган файл деңгээлиндеги кампа — ачкыч ээсинин катышуусун талап кылган сүрөттөн башка кирүү модели, жана экөө тең автоматтык түрдө жакшы эмес. Маанилүүсү — тандоо атайын жана жазуу түрүндө болушу.
Текшерүү 2: сакталган көчүрмөнү эмне коргойт?
VPN ташуу сегментин коргойт. Ташуу бүткөндөн кийин сакталган көчүрмө тууралуу ал эч нерсе айтпайт, жана «ал туннелден өттү» деген камдык көчүрмө операторунун сиздин маалыматыңызды окуй алышы тууралуу билдирүү эмес. Эгер алыскы тарапты башка бирөө башкарса, суроо — алар эмнени окуй алат, байланыш шифрленген беле эмес.
Сүрөт үчүн бул контейнердин ачкыч материалын сүрөттүн өзүнөн өзүнчө коргоону билдирет. Аталышын жоготуу — томду жоготуу, ошондуктан аталышты сүрөт жок жерде камдыктаңыз:
cryptsetup luksHeaderBackup /dev/vg0/data --header-backup-file data-header.img
cryptsetup luksDump /dev/vg0/data | head -20Файл деңгээлиндеги кампа үчүн куралдын мазмунду жана метаберилиштерди хосттон чыгар алдында шифрлей турганын жана аутентификациялай турганын текшерип, ачкычтар кимде экенин билиңиз. Resticтин дизайн документтери ишенимдүү баштапкы хостту болжолдой турганын жана шифрлөө кампага кирүү мүмкүнчүлүгү бар адамдын камдык көчүрмөлөрдү жок кылышына тоскоол болбой турганын ачык айтат. Эки эскертүү тең маанилүү: кампа купуя болуп туруп да жок кылынышы мүмкүн.
Текшерүү 3: көчүрмө ырааттуубу?
Өзгөрүп жаткан файл системасын тарткан камдык көчүрмө — көчүрмө, калыбына келтирүү чекити эмес. Сүрөт үчүн том куралынын колдогон ыкмасы менен туруктуу сүрөт алыңыз, бул адатта сүрөт операциясын же ажыратууну билдирет, чоң файлды өзгөрүп жатканда окууну эмес:
lvcreate -L 5G -s -n data-snap /dev/vg0/data
cryptsetup open /dev/vg0/data-snap data-snap --readonlyТоташтырылган файлдар үчүн активдүү маалымат базалары жана башка шайкештештирилген маалыматтар үчүн колдонмонун колдогон ырааттуулук жол-жобосун колдонуңуз. Файл системасы деңгээлиндеги көчүрмө жана колдонмо менен ырааттуу калыбына келтирүү чекити — ар башка сүрөттөмөлөр, ал эми айырма калыбына келтирилген көчүрмөдөн колдонмону иштетүүгө аракет кылганда гана көрүнөт.
Калыбына келтирүү материалын көз карандысыз корголгон маршрутта кармаңыз. Баштапкы машинаны жоготуу эч качан анын камдык көчүрмөсүн ачкан жалгыз эсептик маалыматын жоготууну билдирбеши керек, ал эми ачкыч файлы камдыкталып жаткан томдо жашаса, дал ушундай болот. Бул бөлүнүүнү атайын сынаңыз: түпнусканы эч качан көрбөгөн хостто, план жеткиликтүү деп айтканды гана колдонуп калыбына келтириңиз.
Текшерүү 4: өзгөрүүлөрдү аныктоо бул объект үчүн иштейби?
Шифрленген контейнер көпчүлүк ташуу куралдарына бир чоң тунук эмес файл болуп көрүнөт, ошондуктан ачык тексттеги кичине оңдоо куралга жана форматка жараша чоң кайра окууга же толук кайра жүктөөгө алып келиши мүмкүн. Өзгөрмө өлчөмдөгү бөлүктөө жана кайталанмаларды жок кылуу, restic документтегендей, муну азайта алат, бирок бул ошол куралдын касиети, жалпы шифрленген контейнерлердин эмес.
Болжолдобой, өлчөңүз. Кичине, зыянсыз өзгөрүүдөн кийин биринчи жүгүртүүнү экинчиси менен салыштырып, берилген байттарды жана өткөн убакытты жазып алыңыз. Эксперимент учурунда белгилүү жакшы көчүрмөнү сактаңыз, сыноо жалгыз калыбына келтирүү чекитиңизди коротпосун.
Анан тизмени эң маанилүү жалгыз сыноо менен бүтүрүңүз: баштапкы машинасыз калыбына келтирүү. Калыбына келтирилген контейнерди ачыңыз, же тандалган файлдарды метаберилиштери менен калыбына келтириңиз жана колдонмо же колдонуучу натыйжаны колдоно аларын ырастаңыз. Бул сыноого жооп бере албаган тез, жакшы шифрленген ташуу — маалыматыңыздын көчүрмөсү, анын камдык көчүрмөсү эмес.