A VPN cifra o trajeto, não a cópia no disco ou na nuvem

Siga um ficheiro de um portátil até um colega: existe no disco, atravessa um túnel, aterrissa num balde na nuvem e é copiado para uma cópia de segurança. Apenas um desses trechos é coberto pela VPN, e é o mais efémero. As outras cópias continuam a existir depois de o túnel fechar, sob o cifrado de armazenamento que os donos realmente configuraram. Saber qual cópia é protegida por quê evita que um túnel a funcionar seja confundido com uma política de proteção de dados.

Seguir um ficheiro através de três cópias

Comece por onde os bytes repousam, depois por onde se movem e, por fim, por onde são guardados de novo. O túnel ocupa o estágio intermédio. De cada lado, o cifrado do armazenamento, o cifrado da aplicação e o controlo de acessos são mecanismos distintos com custodiantes de chaves distintos.

Desenhe esse caminho antes de escolher seja o que for. O desenho revela habitualmente que a cópia que mais preocupa, a que está em trânsito, é a que existe menos segundos. Mostra também qual salto não tem ninguém na sala, e é normalmente o que precisa de atenção.

O trabalho do túnel termina no seu próprio extremo

Uma VPN convencional cifra o trecho entre os seus dois extremos. Para além do extremo distante, o tráfego volta a ser IP comum, a menos que outra coisa o proteja; por isso uma sessão do navegador pode continuar cifrada de ponta a ponta enquanto o túnel cobre apenas o primeiro troço.

Nada nesse trecho diz como o serviço recetor guarda o carregamento, o que escreve nos seus registos ou que metadados de conta mantém. São propriedades do sistema recetor, e continuam verdadeiras quer o pedido tenha chegado por um túnel quer não. Um operador que anuncia transporte cifrado descreveu a viagem, não o armazém.

O seu disco e o seu cofre de chaves são decisões separadas

O cifrado de disco completo protege o volume quando a máquina está desligada, e depende de uma chave que o dispositivo ou o utilizador fornece no arranque. O cofre de um gestor de palavras-passe cifra o seu próprio conteúdo com uma chave derivada de uma credencial mestra. Ativar uma VPN não faz nenhuma dessas coisas, e não cifrará uma exportação em texto simples que já esteja numa pasta de transferências.

As exportações são onde isto se torna concreto. Uma exportação de cofre escrita para uma migração é um ficheiro em texto simples com todos os segredos lá dentro, e sobrevive ao túnel, à sessão e ao reinício, a menos que alguém a remova.

file export-notes.json
head -c 80 export-notes.json
sha256sum export-notes.json

Se essa saída for texto legível, o ficheiro não está protegido. Elimine-o assim que a migração terminar, e lembre-se de que o apagamento seguro em armazenamento moderno depende do dispositivo e não é um único comando portátil.

O que o cifrado do lado da nuvem cobre realmente

O cifrado do lado do servidor protege o objeto armazenado de quem obtiver o suporte subjacente, e o fornecedor continua a deter chaves capazes de o ler. O cifrado do lado do cliente, em que o ficheiro é cifrado antes do carregamento, mantém o texto simples fora do alcance do fornecedor mas transfere a custódia das chaves e a recuperação para si.

Nenhum dos modelos está errado, e respondem a perguntas diferentes sobre quem deveria poder ler os dados. Verifique a configuração real do produto em vez de assumir que um implica o outro. Leia literalmente a declaração sobre custódia de chaves, incluindo o que acontece quando o suporte recupera uma conta. Se o fornecedor pode restaurar o acesso sem a sua chave, então o fornecedor pode ler o objeto.

As cópias multiplicam-se em silêncio. Uma ligação partilhada, um cliente de sincronização, uma cache local e uma tarefa de cópia de segurança criam cada um mais um objeto sob uma política que talvez não tenha escolhido. Enumere-os para os dados que importam, porque o cifrado mais forte do percurso é irrelevante se uma cópia em texto simples estiver numa pasta partilhada.

A prova é um restauro, não uma velocidade de carregamento

A prova útil de um desenho de armazenamento é que as pessoas previstas conseguem recuperar os dados e as não previstas não. O débito de carregamento mede outra coisa completamente diferente, e lisonjeia qualquer desenho que nunca foi restaurado. Escolha um ficheiro de cada cópia em que confia e prove que ele volta.

Restaure um ficheiro de cada cópia em que confia, usando o material de recuperação em vez da sessão que o criou. Uma chave guardada apenas na máquina que falhou não é um plano de recuperação, e uma cópia de segurança cujo restauro exige o cofre perdido é outra forma de ponto único de falha.

As orientações de gestão de chaves do NIST cobrem as questões do ciclo de vida que sobrevivem a qualquer decisão de produto. Guarde as respostas junto dos dados que protegem e reveja-as quando uma cópia, um destinatário ou um fornecedor de armazenamento mudar.